Décision DT-2024-016 du 2 août 2024 autorisant la fédération SOS MEDECINS FRANCE à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé « EDS CONTACT ». (Demande d’autorisation n° 2234954)
Type : Autre autorisation
Date : 2024-08-02
État juridique : VIGUEUR

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés au directeur de l’accompagnement juridique et au directeur adjoint de l’accompagnement juridique ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les points de non-conformité au référentiel concerné Le dossier mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé" à l’exception : de la base légale du traitement ; des finalités du traitement. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel. Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé détenues par les associations participantes et membres de la fédération, dénommé "EDS CONTACT". Le traitement envisagé a pour objectif : L’amélioration des pratiques et de la prise en charge médicale, notamment afin de permettre la production d’indicateurs, le pilotage de l’activité, le passage au niveau national d’initiatives locales de qualité et de pertinence des prises en charge, ainsi que l’amélioration de l'information médicale et la réalisation d’études de faisabilité. L’utilisation des données par des tiers, notamment afin d’optimiser les trajectoires et parcours de soins ainsi que l’accès aux soins pour tous, contribuer à l’innovation en médecine générale (projets d’intelligence artificielle, la personnalisation des soins ou encore l’éco santé), participer à la recherche en santé et anonymiser les données pour leur réutilisation pour des finalités d’intérêt public. Les données contenues dans cet entrepôt ne pourront, par analogie avec les finalités "interdites d’utilisation du Système national des données de santé (SNDS), être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. Le traitement envisagé par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi "informatique et libertés". Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi "informatique et libertés", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public et fassent l’objet de formalités propres. Sur les transferts de données La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne, vers un pays ne présentant pas un niveau de protection adéquat. Sur la sécurité des données et la traçabilité des actions Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt "EDS CONTACT", ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel "entrepôt de données dans le domaine de la santé". Aucun écart avec les exigences de sécurité du référentiel n’a été relevé par le responsable de traitement. Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5,1, f) et 32 du règlement général sur la protection des données compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. AUTORISE la fédération SOS MEDECINS FRANCE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU