(Demande d’autorisation n° 918123)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut universitaire européen d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel, nécessitant un accès aux données du Système national d'information inter-régimes de l'Assurance maladie et du fichier national des professionnels de santé de la Caisse nationale de l’assurance maladie ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-II-8°, 54, 61 et suivants ;
Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, notamment son article 193 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé « Système national des données de santé » ;
Vu l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé ;
Vu l’avis du Comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé du 20 mars 2018 ;
Vu l’avis sur l’intérêt public du Conseil d’administration de l’Institut national des données de santé du 25 septembre 2018 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Financé par l’Union européenne et par les États membres, l'Institut universitaire européen (ci-après « l’Institut ») est une organisation internationale ayant des activités d’enseignement et de recherche. Composé de quatre départements, il propose des contrats doctoraux ainsi que des programmes postdoctoraux.
Sur la licéité du traitement
La présente étude s’inscrit dans le cadre d’un doctorat en économie mené par une étudiante de l’Institut. Ce traitement, réalisé à des fins de recherche scientifique, est nécessaire à l’exécution d’une mission d’intérêt public du responsable de traitement.
Le traitement est donc licite au regard des articles 6 paragraphe 1 point e) et 9 paragraphe 2 point j) du Règlement général sur la protection des données (ci-après « RGPD »).
Sur la finalité du traitement et son caractère d’intérêt public
Le traitement, nécessitant un accès aux données du Système national d'information inter-régimes de l'Assurance maladie (ci-après « SNIIRAM ») et du fichier national des professionnels de santé, a pour finalité la réalisation d’une étude portant sur la féminisation des professions de santé et le dépassement d’honoraires.
La Commission considère que la finalité des traitements est déterminée, explicite et légitime, conformément à l’article 5 paragraphe 1 point b) du RGPD.
Par ailleurs, sous réserve du respect des conditions mentionnées dans l'avis de l'Institut national des données de santé (ci-après « INDS »), la Commission estime que le traitement présente une finalité d’intérêt public, conformément à l’article 54 I de la loi de la loi du 6 janvier 1978 modifiée  (ci-après « loi informatique et libertés »).
Sur les catégories de données traitées
La Commission rappelle que le responsable de traitement ne doit traiter que les données strictement nécessaires et pertinentes au regard des objectifs du traitement.
Sous réserve que ces données puissent être diffusées par la Caisse nationale de l’Assurance Maladie (ci-après « CNAM »), certaines variables seront colligées à partir des bases suivantes :
Le SNIIRAM (notamment la spécialité médicale, le code postal du cabinet/commune d’implantation, les honoraires sur chaque type d’actes) ;
Le fichier national des professionnels de santé (notamment le sexe, âge / date de naissance, le mode d’exercice).
Le traitement inclus dans le cadre de la demande d’autorisation porte sur les données du SNIIRAM et du fichier national des professionnels de santé pour les années 2006 à 2018.
Sur l’application des dispositions liées au SNDS
Les données du SNIIRAM étant issues d’une des bases composant le Système national des données de santé (ci-après « SNDS »), la Commission rappelle que l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce et notamment :
l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ;
le respect du référentiel de sécurité applicable au SNDS, fixé par l’arrêté du 22 mars 2017 ;
le principe de transparence prévu à l’article L. 1461-3 du code de la santé publique : transmission à l’INDS du protocole, de la déclaration d’intérêts et des résultats.
Sur la durée de conservation des données
Les données à caractère personnel du SNIIRAM et du fichier national des professionnels de santé ne peuvent faire l’objet d’une conservation en dehors de la plateforme de la CNAM par le responsable de traitement. Seuls des résultats anonymes peuvent en être exportés.
La durée d’accès aux données dans la plateforme sécurisée doit être limitée à la durée nécessaire à la mise en œuvre du traitement. Lorsque le responsable de traitement en justifie, l’accès aux données peut être maintenu à l’issue de l’étude, dans la limite de deux ans à compter de la dernière publication relative aux résultats.
Sur la publication des résultats
La Commission rappelle que, lorsque le résultat du traitement de données est rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 56 de la loi «  loi informatique et libertés ».
Sur les catégories de destinataires des données
Seul le responsable du traitement et les personnes habilitées par lui ont accès aux données dans le cadre de la présente autorisation. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur l'information et les droits des personnes
Les données traitées ne provenant pas exclusivement du SNDS, l'article R. 1461-9 du code de la santé publique relatif aux modalités d’information des personnes quant à la réutilisation possible de leurs données à caractère personnel n’est pas applicable en l’espèce.
Conformément à l’article 58 de la loi « informatique et libertés », les personnes auprès desquelles sont recueillies des données à caractère personnel ou  à propos desquelles de telles données sont transmises doivent faire l’objet d’une information individuelle.
Par exception, en vertu de l'article 14 paragraphe 5 point b) du RGPD et de l'article 58 de la loi « informatique et libertés », l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions dans l'hypothèse où la fourniture d'une telle information se révèle impossible, exigerait des efforts disproportionnés, rendrait impossible ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, conformément au RGPD, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
La Commission prend acte que les données n’ont pas été collectées auprès des personnes concernées et qu’il sera fait exception au principe d'information individuelle de ces dernières.
Elle relève qu’en application du RGPD, des mesures appropriées seront mises en œuvre, notamment la diffusion sur le site internet du responsable de traitement d’une information relative au projet de recherche comportant l’ensemble des mentions prévues par l’article 14 du RGPD. En outre, la Commission prend acte de ce que le responsable de traitement complétera cette information collective en utilisant d'autres moyens de diffusion.
Enfin, la Commission rappelle que les droits d’accès, de rectification et d’opposition s’exercent auprès du responsable de traitement.
Sur la sécurité des données et la traçabilité des actions
La mise en œuvre de traitements de données à caractère personnel intervenant dans le cadre de l’étude s'effectue sous la responsabilité du responsable de traitement, y compris chez des tiers agissant pour son compte, dans le respect des dispositions des articles 24, 25, 28, 32 à 35 du RGPD ainsi que de l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS.
Les données seront mises à disposition auprès du responsable de traitement par l’intermédiaire de la plateforme de la CNAM.
Seules des statistiques agrégées de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, peuvent faire l’objet d’une extraction.
Sur le principe de transparence
La mise à disposition des données du SNDS et de ses composantes est conçue de façon à rendre compte de leur utilisation à la société civile. À cette fin, l’article L. 1461-3 du code de la santé publique subordonne l’accès aux données du SNDS et de ses composantes à la communication à l’INDS de plusieurs éléments par le responsable de traitement, avant et après les études.
À la fin de l’étude, la méthode et les résultats obtenus devront être communiqués à l’INDS en vue de leur publication. L’enregistrement du traitement et la transmission des résultats sont effectués conformément aux modalités définies par l’INDS.
Autorise, conformément à la présente délibération, l’Institut universitaire européen à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS