Délibération n° 2024-030 du 11 avril 2024 portant avis sur un projet de loi de simplification
Type : Avis
Date : 2024-04-11
État juridique : VIGUEUR

Numéro de demande d’avis : 24004933 Thématiques : missions de la CNIL ; formalités préalables pour les traitements de données dans le domaine de la santé Organisme à l’origine de la saisine : ministère de l’économie, des finances et de la souveraineté industrielle et numérique Fondement de la saisine : Article 8 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés L’essentiel : La CNIL est saisie de deux dispositions d’un projet de loi de simplification. L’une de ces dispositions (article 23 du PJL) vise principalement à modifier le régime de création des traitements dans le domaine de la santé afin de renforcer le principe selon lequel l’engagement de conformité (référentiel, méthodologie de référence), est la norme, et l’autorisation, l’exception. Il est également prévu d’introduire la possibilité pour le ministre de la santé et les acteurs représentatifs du secteur de proposer des projets de référentiels à la CNIL. Elle souscrit pleinement à cette évolution qui correspond aux attentes du secteur de la recherche en santé tout en maintenant le régime d’autorisation pour les traitements innovants qui ne correspondraient à aucun référentiel ou méthodologie de référence. Elle estime que ces modifications maintiennent un haut niveau de protection des données. L’autre disposition (article 24 PJL) prévoit d’inscrire la prise en compte des enjeux d’innovation dans les missions de la CNIL. Celle-ci estime qu’une telle disposition viendra reconnaître la pratique de la CNIL et un de ses axes stratégiques depuis de nombreuses années. La CNIL suggère que la rédaction permette d’inscrire dans la loi son rôle d’accompagnement des entreprises et de la communauté scientifique, notamment la mission de favoriser une innovation respectueuse des droits des personnes dans le domaine de l’intelligence artificielle. ­­­­­­­­­­­­­­­­­­­­­­­­­­­­_________________ La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ( loi informatique et libertés ) ; Après avoir entendu le rapport de Mme Marie-Laure Denis, présidente, et les observations de M. Damien Milic, commissaire du Gouvernement ; Adopte la délibération suivante : La CNIL a été saisie, pour avis, des articles 23 et 24 du projet de loi de simplification. . A - Sur le projet d’article 23 : Ce projet d’article vise à modifier, d’une part, le code de la santé publique (CSP) et, d’autre part, la section 3 du chapitre III du titre II de la loi informatique et libertés (LIL) (traitements de données à caractère personnel dans le domaine de la santé). . Sur la modification prévue de certaines dispositions du CSP : Le projet de loi entend simplifier la procédure d’autorisation d’importation et d’exportation des tissus et de cellules issus du corps humain, d’organes, de sang, de ses composants et de ses produits dérivés, notamment dans le cadre : de recherches impliquant la personne humaine définies à l’article L. 1121-1 du CSP ; d’essais cliniques de médicaments régis par les dispositions du règlement (UE) n° 536/2014 du Parlement européen et du Conseil du 16 avril 2014 ; d’investigations cliniques de dispositifs mentionnés à l'article premier du règlement (UE) 2017/745 du Parlement européen et du Conseil du 5 avril 2017 ; d’études des performances de dispositifs médicaux de diagnostic in vitro mentionnés à l'article premier du règlement (UE) 2017/746 du Parlement européen et du Conseil du 5 avril 2017. Les éléments et produits du corps humain sont le plus souvent associés à des données à caractère personnel, notamment des données d’identification des patients et des données cliniques. En outre, comme la CNIL l’avait déjà indiqué dans son avis du 11 juillet 2019 relatif au projet de loi bioéthique, les prélèvements effectués à partir d’éléments et produits du corps humain constituent, de par leur nature, des sources de données que l’on pourrait qualifier d’intarissables, au regard de l’évolution constante des techniques d’analyse. Les conditions de leur collecte, de leur conservation, de leur utilisation et de leur circulation doivent être particulièrement rigoureuses et respectueuses des droits des personnes, notamment s’agissant de la protection de leur vie privée et de leurs données à caractère personnel. Ces modifications n’appellent pas d’observations de la CNIL, qui rappelle que ces activités devront être mises en œuvre dans le respect du règlement général sur la protection des données (RGPD) et de la LIL. . Sur la modification de la section 3 du chapitre III du titre II de la loi informatique et libertés (traitements de données à caractère personnel dans le domaine de la santé) : > Concernant la modification prévue de l’article 65 de la LIL : Le projet de loi prévoit de préciser que les dispositions des articles 65 et suivants de la LIL sont applicables aux traitements qui, cumulativement, sont mis en œuvre dans le domaine de la santé et contiennent des données concernant la santé. La CNIL accueille favorablement cette modification, dès lors qu’elle a pu constater à plusieurs reprises que la formulation actuelle suscitait des interrogations. > Concernant la modification prévue de l’article 66 de la LIL : Pour la mise en œuvre du RGPD, l’ordonnance n° 2018-1125 du 12 décembre 2018 puis la loi n° 2019-774 du 24 juillet 2019 ont refondu les dispositions nationales protégeant les données à caractère personnel. Usant de la marge de manœuvre nationale laissée par le RGPD, le législateur a maintenu les formalités préalables pour certains traitements opérés dans le domaine de la santé, eu égard à la grande quantité et à la sensibilité des données concernées. En l’état du droit, ces traitements doivent être autorisés par la CNIL, sauf à être conformes à un référentiel ou, dans le domaine des recherches en santé, à une méthodologie de référence adopté par elle. Les récents rapports Fédérer les acteurs de l’écosystème pour libérer l’utilisation secondaire des données de santé , confié à M. Jérôme Marchand-Arvier, et IA : notre ambition pour la France , de la Commission de l’intelligence artificielle, proposent d’élargir le champ d’application des référentiels et des méthodologies de référence afin que le régime de l’autorisation n’ait vocation qu’à concerner un nombre résiduel de traitements. La CNIL accueille favorablement ces propositions qui s’inscrivent dans sa volonté de favoriser la recherche en santé. Elle se félicite que le gouvernement ait fait le choix de maintenir un examen par elle de la conformité au RGPD de tout référentiel ou de toute méthodologie de référence, afin de garantir la sécurité juridique des responsables de traitement, dès lors qu’il lui revient de contrôler en aval le respect du RGPD par ces acteurs. Dans un premier temps, le projet prévoit de modifier les conditions d’adoption des référentiels permettant aux responsables de traitement de mettre en œuvre leurs projets grâce à une simple déclaration de conformité. Il a notamment pour objet d’inscrire dans la loi les principes selon lesquels les référentiels : précisent les modalités concrètes de mise en œuvre des traitements en vue d’assurer le respect des dispositions du RGPD et de la LIL ; assurent un équilibre entre la protection des données et les finalités d’intérêt public poursuivies par les traitements soumis à formalités préalables, notamment en matière de développement de la recherche dans le domaine de la santé. Ces dispositions viennent conforter les pratiques de la CNIL en matière d’élaboration de référentiels dans la mesure où elle a toujours eu à cœur de créer des outils de mise en conformité sectoriels pragmatiques et adaptés aux pratiques des professionnels, décrivant de manière pédagogique et précise les mesures garantissant la conformité de leurs traitements aux exigences du RGPD et de la LIL. Le projet introduit en outre la possibilité, pour le ministre de la santé et certains acteurs représentatifs du secteur, d’adresser à la CNIL des propositions de référentiel. Cette modification vient consacrer la volonté constante de la CNIL d’inciter les acteurs concernés à lui adresser de telles propositions, afin de permettre l’adoption de référentiels adaptés à leurs besoins et leurs pratiques. En outre, elle s’inscrit pleinement dans l’esprit du principe de responsabilisation des acteurs prévu par le RGPD. La CNIL prend acte de ce que le gouvernement s’est engagé à prévoir, dans le projet de loi ou par voie réglementaire, le délai dont elle disposera pour adopter ou refuser un projet de référentiel. Elle propose qu’il soit fixé à deux mois (renouvelable une fois). Par ailleurs, le projet prévoit que la CNIL élaborera et publiera une stratégie qui comportera une programmation des référentiels à adopter pour les catégories le plus usuelles de traitements. Un tel dispositif permettra d’identifier, en lien avec les acteurs concernés, les types de traitements, et notamment de recherches, non couverts par des référentiels ou méthodologies de référence afin d’en élargir progressivement le champ. Cette stratégie pourra prévoir de confier l’élaboration de certains projets de référentiel ou de méthodologies à d’autres acteurs, en collaboration avec elle. Le gouvernement a précisé que cette stratégie n’aura pas vocation à décrire de manière exhaustive et obligatoire l’ensemble des référentiels à élaborer, mais constituera un document programmatique. La CNIL souligne qu’une telle stratégie, pour être efficace, devrait être pluriannuelle. Elle invite le gouvernement à le préciser dans le projet. Le projet de II de l’article 66 précise enfin que les référentiels et cette stratégie sont élaborés dans des conditions prévues par décret en Conseil d’Etat, dont la CNIL sera saisie pour avis. Dans un second temps, le projet précise que les traitements mis en œuvre en application de la section 3 doivent être conformes à l’un des référentiels adoptés par la CNIL et que le responsable n’effectue qu’une déclaration de conformité lorsqu’il entend mettre en œuvre plusieurs traitements relevant d’un même référentiel. La CNIL rappelle que chacun des traitements devra être inscrit au registre du responsable de traitement prévu à l’article 30 du RGPD. Le projet prévoit de maintenir, dans le IV de l’article 66, le principe selon lequel, en l’absence de conformité à un référentiel (absence de référentiel ou non-conformité au référentiel existant), les traitements ne peuvent être mis en œuvre qu’après autorisation de la CNIL. La CNIL se félicite du maintien de ce principe qui permettra : de ne pas faire obstacle à l’innovation, en garantissant la possibilité pour les acteurs publics et privés de s’affranchir des cadres proposés par les référentiels et de mettre en œuvre des projets créatifs et ambitieux, respectueux des droits et libertés des personnes concernées ; d’accompagner ces acteurs et de construire la doctrine nécessaire à l’élaboration de nouveaux référentiels adaptés aux besoins et pratiques du plus grand nombre. En conclusion, la CNIL estime que ces mesures, prises dans leur ensemble, permettront une simplification des démarches des acteurs du secteur de la santé. Elle confirme sa volonté d’élargir et de diversifier le champ des référentiels, comme en témoigne le lancement prochain d’une concertation publique relative aux référentiels applicables au secteur de la recherche en santé. La CNIL souligne néanmoins qu’il sera nécessaire, pour garantir l’efficacité de ces mesures, que les acteurs concernés se saisissent de l’opportunité qui leur sera offerte de lui adresser des propositions adaptées à leurs besoins et respectueuses des droits des personnes, conformément au principe de responsabilisation des acteurs prévu par le RGPD. > Concernant la modification prévue de l’article 73 de la LIL : Le projet simplifie la rédaction de l’article 73 de la LIL, qui vient préciser que les référentiels applicables aux recherches, études et évaluations dans le domaine de la santé, les méthodologies de référence, sont adoptés par la CNIL, tout en renvoyant aux modalités prévues à l’article 66 de cette même loi. La CNIL renvoie à ses observations sur la modification prévue de l’article 66. > Concernant la modification prévue de l’article 76 de la LIL : Le projet ajoute un alinéa à cet article, afin d’aménager une exception au principe selon lequel l’autorisation de la CNIL est accordée après avis du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES) s’agissant des études, des évaluations et des recherches n’impliquant pas la personne humaine. Le gouvernement entend ainsi dispenser de l’obtention d’un avis préalable du CESREES les dossiers de demande ayant fait l’objet d’un avis favorable d’un comité scientifique et éthique local dont le fonctionnement respectera un cahier des charges établi au niveau national par le ministre chargé de la santé pris après avis du CESREES. La CNIL souhaite être associée à l’élaboration de ce cahier des charges. La CNIL accueille favorablement cette modification qui permettra, tout en soulageant le CESREES d’un volume certain de demandes d’avis, d’éclairer l’instruction des demandes d’autorisation par des avis élaborés par des instances connaissant les bases dont les données seront issues. Elle invite le gouvernement à préciser les termes comité scientifique et éthique local , par exemple en visant les comités éthiques et scientifiques intervenant dans la gouvernance des bases de données dont l’utilisation est envisagée . La CNIL comprend par ailleurs du dispositif prévu que le CESREES devra être saisi en cas d’avis défavorable du comité scientifique et éthique local. Elle s’interroge toutefois sur la répartition des compétences entre ces comités. Elle suggère que cette articulation soit prévue par un acte de nature réglementaire, qui pourrait réserver au CESREES l’examen de certains projets qui dépassent le champ de compétence des comités locaux. Elle demande enfin que le projet précise que les avis rendus par ces comités scientifiques et éthiques locaux sont motivés, à l’instar de ceux rendus par le CESREES et qui lui sont utiles dans l’instruction des dossiers. . B - Sur le projet d’article 24 : Le projet d’article 24 prévoit de compléter l’article 8 de la LIL, relatif aux missions de la CNIL, en inscrivant la prise en compte des enjeux d’innovation dans tous les domaines de son action. La CNIL est favorable à la consécration, par la loi, d’un de ses axes stratégiques. Depuis de nombreuses années, elle a mis en place, notamment auprès de la communauté scientifique et des acteurs de la recherche, une stratégie d’accompagnement à l’innovation : d’une part, en produisant des éléments de doctrine sur des sujets innovants (chaîne de blocs ou blockchain, interface de programmation d’applications, fiches sur l’intelligence artificielle, journée annuelle consacrée à la recherche en matière de protection de la vie privée ou privacy research day, etc.) ; d’autre part, en accompagnant de manière pragmatique les acteurs innovants (création du laboratoire d’innovation numérique de la CNIL, création d’un service de l’intelligence artificielle, création d’un Bac à sable et d’un dispositif d’accompagnement renforcé destiné aux entreprises innovantes, stratégie start-up , etc.). La CNIL est par ailleurs en lien direct avec la communauté scientifique pour accompagner la recherche et l’innovation (partenariats avec des organismes de recherche comme l’Institut national de recherche en sciences et technologies du numérique (Inria), accompagnement de programmes et équipements prioritaires de recherche (PEPR)). Elle propose de préciser la disposition sur deux points. D’une part, elle propose que le texte indique explicitement qu’à ce titre la CNIL peut accompagner les responsables de traitement dans la mise en place d’un traitement innovant, ce qu’elle accomplit déjà grâce aux divers programmes d’accompagnement mis en place. D’autre part, elle invite le gouvernement à aller jusqu’au bout de cette logique en consacrant explicitement dans la loi informatique et libertés une mission pour la CNIL d’accompagner spécifiquement l’innovation dans le domaine de l’intelligence artificielle (IA). Ainsi que la doctrine s’en est fait l’écho, de même que le récent rapport de la Commission de l’intelligence artificielle, l’innovation en intelligence artificielle nécessite de grandes bases de données, qui contiennent souvent des données à caractère personnel. Ainsi que la CNIL l’a souligné lors de la récente publication de ses premières recommandations pour l’entraînement des modèles d’intelligence artificielle, l’application du RGPD ne s’oppose nullement à l’innovation en la matière. En revanche, la constitution et l’utilisation des bases d’entraînement, ainsi que l’utilisation des modèles d’IA, doivent prendre en compte les risques liés à l’utilisation des données à caractère personnel pour assurer une protection proportionnée de la vie privée des personnes. La CNIL a donc une mission essentielle à remplir pour garantir une innovation en matière d’IA respectueuse des droits des personnes. Cette reconnaissance serait cohérente avec un certain nombre de publications appelant l’autorité de régulation des données à caractère personnel à jouer un rôle central en matière d’IA : étude Intelligence artificielle et action publique : construire la confiance, servir la performance du Conseil d’Etat (août 2022), le rapport d’information du Sénat Pour un déploiement de l’intelligence artificielle conforme aux valeurs européennes (mars 2023) ou encore le rapport d’information de l’Assemblée nationale sur les défis de l’intelligence artificielle générative en matière de protection des données personnelles et d’utilisation du contenu généré (février 2024). La présidente, M.-L. Denis