Décision DT-2024-013 du 18 juillet 2024 autorisant la société LOGIPREM-F à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé « EDS LOGIPREN ». (Demande d’autorisation n°2233577).
Type : Autre autorisation
Date : 2024-07-18
État juridique : VIGUEUR

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur la responsabilité de traitement La société LOGIPREM-F est responsable du traitement autorisé. Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé , à l’exception : de la base légale ; de la conservation de données d’identification dans la base principale de l’entrepôt. Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé EDS Logipren . Ce dernier a pour finalités : la réalisation de recherches, études et évaluations dans le domaine de la santé ; l’amélioration des pratiques de soins en néonatologie et pédiatrie (description des pratiques de prescription et de nutrition et mise en place d’un processus régulier de comparaison des pratiques entre services de soins). Les données contenues dans cet entrepôt ne pourront, par analogie avec les finalités interdites d’utilisation du Système national des données de santé (SNDS), être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311‑1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. Le traitement est fondé sur l’intérêt légitime responsable du traitement. Il est licite au regard de l’article 6-1-f) du règlement général sur la protection des données (RGPD) et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44‑3° de la loi informatique et libertés modifiée. Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés , qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres. Sur les données traitées Cet entrepôt sera alimenté par des données issues du logiciel LOGIPREN , outil d’aide à la prescription en néonatologie et en pédiatrie. Les données à caractère personnel de personnes concernées versées dans l’entrepôt sont : données administratives/ d’identification des patients : sexe, date et heure de naissance, date de décès le cas échéant ; données relatives à la prise en charge médico-administrative des patients : établissement d’hospitalisation, niveau de soins, dates d’hospitalisation (début et fin de séjour), mode de sortie, identifiant technique LOGIPREN pour la base de données ; données de santé des patients : type de grossesse (unique, jumeaux, triplés ou plus) et rang de naissance ; score clinique à la naissance (APGAR, CRIB2) ; âge gestationnel, poids, taille et périmètre crânien de naissance ; poids journalier mesuré, taille et périmètre crânien si remesurés en cours d’hospitalisation ; poids de prescription, surface corporelle, date et heure de prescription ; traitement médicamenteux ; données spécifiques aux prescriptions d’anti-infectieux ; allergies, intolérances ; bilan nutritionnel journalier ; prescription d’alimentation entérale ; prescription d’alimentation parentérale individualisée ; prescription de perfusion ; prescription de bilan, examen, surveillance. Sur les conditions de mise à disposition des jeux de données traitées Le dossier de demande d’autorisation indique que les données mises à disposition dans le cadre de l’utilisation de l’entrepôt seront : soit des données pseudonymisées auxquelles le porteur de projet accédera au sein d’un espace de travail spécifique de l’entrepôt de données de santé ; soit des données anonymisées transmises en dehors de l’entrepôt de données de santé. Le procédé d’anonymisation décrit dans le dossier ne permet pas de déterminer de manière certaine que les données exportées pourront être qualifiées d’anonymes de manière systématique. Le responsable de traitement devra documenter et justifier le caractère anonyme de chaque jeu de données divulgués en dehors de l’entrepôt de données de santé. Sur la conservation des données Les données versées dans l’entrepôt sont conservées vingt ans à compter de leur collecte dans le cadre des soins puis supprimées. Ce processus de suppression des données sera planifié et mis en œuvre une fois par an. Les traces seront conservées un an. Elles ne devront pas contenir de données de santé ou de secrets (mot de passe, empreinte cryptographique, etc.). Sur les accédants et les destinataires des données Seules les personnes habilitées par le responsable de traitement auront accès aux données dans le cadre de la mise en œuvre de ce traitement. Il tiendra à jour les documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations. Pourront également accéder aux données à caractère personnel les équipes de recherche externes au responsable de traitement ayant réalisé les formalités nécessaires auprès de la CNIL. Des documents tenus à jour indiquent la ou les personnes compétentes pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations. La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement. Sur les transferts de données La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne, vers un pays ne présentant pas un niveau de protection adéquat. Sur la sécurité des données et la traçabilité des actions Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt EDS Logipren , ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . Le point de non-conformité vis-à-vis de ces mesures de sécurité est le suivant : l’inclusion du sexe, de la date et de l’heure de naissance, de la date de décès dans la base de données principale de l’entrepôt. Cette non-conformité a été dûment justifiée et compensée par la mise en œuvre de mesures techniques et organisationnelles à l’état de l’art. Par ailleurs, certaines mesures de sécurité techniques et organisationnelles prévues afin d’améliorer la conformité au référentiel entrepôt de données dans le domaine de la santé sont actuellement en cours d’implémentation, notamment : la mise en place d’espaces de travail accessibles à des utilisateurs externes ; le chiffrement au repos des bases de données, supports de stockage et sauvegardes de l’entrepôt ; la génération de l’identifiant interne via des nombres pseudo-aléatoires cryptographiquement sûrs avant intégration dans l’entrepôt ; la génération des identifiants spécifiques aux espaces de travail via une fonction de hachage cryptographique à l’état de l’art ; la mise en place d’outils permettant la détection de comportements anormaux ; la mise en place d’une authentification multifacteur ; la conformité à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés ; la mise en place d’une authentification machine à machine conforme au référentiel entrepôt de données de santé . Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. AUTORISE la société LOGIPREM-F à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l’accompagnement juridique Paul HEBERT