La Commission nationale de l'informatique et des libertés,
Saisie par la société PREMIÈRES LIGNES TÉLÉVISION d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur les variations d’incidence et de mortalité liées à l’épidémie de la COVID-19 par types et sous-types d’établissements dans les établissements d’hébergement pour personnes âgées dépendantes, intitulée VarIncidMortEHPAD ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’avis du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 9 juin 2020 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement
La société PREMIÈRES LIGNES TÉLÉVISION est spécialisée dans la production d’émissions télévisées, et plus particulièrement de documentaires d’investigation. A ce titre, elle produit notamment l’émission
Cash Investigation
Pour les besoins d’une émission qui sera diffusée durant l’année 2021, elle souhaite accéder aux données de la plateforme de signalement obligatoire COVID-19 EHPAD/ESMS coordonnée par l’Agence nationale de santé publique.
Sur la licéité du traitement
Le traitement mis en œuvre par la société PREMIÈRES LIGNES TÉLÉVISION s’inscrit dans le cadre de son activité de production de documentaires d’investigation.
Il est nécessaire aux fins des intérêts légitimes poursuivis par le responsable de traitement. A ce titre, sont pris en considération le caractère très indirectement identifiant des données et les garanties, notamment en termes de droits des personnes, prévues dans le dossier de demande.
Ce traitement est, à ce titre, licite au regard de l’article 6-1-f) du Règlement général sur la protection des données (ci-après RGPD ).
Sur la finalité et l’intérêt public du traitement
Le traitement a pour finalité la mise en œuvre d’une étude portant sur l’intensité de l’épidémie liée à la COVID-19 au sein des établissements d’hébergement pour personnes âgées dépendantes.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5-1- b du RGPD.
Elle estime, par ailleurs, que ce traitement présente une finalité d’intérêt public, conformément à l’article 66-I de la loi informatique et libertés .
Sur la nature des données traitées
Les données colligées par la plateforme de signalement obligatoire COVID-19 EHPAD/ESMS durant les années 2020 et 2021 seront utilisées dans le cadre de cette étude, sous réserve de leur disponibilité.
La Commission relève que cette plateforme, coordonnée par l’Agence nationale de santé publique, permet de signaler la survenue de cas présentant un tableau clinique compatible avec une infection liée à la COVID-19 parmi les résidents et le personnel des établissements d’hébergement pour personnes âgées dépendantes (EHPAD) ainsi que des établissements médico-sociaux (EMS) afin de mettre en place des mesures médicales, sanitaires et sociales d’accompagnement de ces personnes.
Cette plateforme recueille notamment des informations relatives :
aux caractéristiques de l’établissement (statut et sous-statut administratif, numéro FINESS) ;
au nombre de résidents et de membres du personnel présents lors du signalement ;
au nombre de cas parmi les résidents et les membres du personnel (cas possibles, cas confirmés, cas hospitalisés ainsi que, le cas échéant, lieu de survenance du décès) ;
au nombre de tests réalisés auprès des résidents et du personnel.
La Commission relève que les déclarations effectuées par les établissements diffèrent selon le statut de l’épisode infectieux (initial, en cours ou achevé) :
pour les établissements dans lesquels l’épisode infectieux n’est pas achevé, le responsable de traitement sollicite un accès à l’ensemble des variables disponibles au moment de l’extraction ;
pour les établissements dans lesquels l’épisode infectieux est achevé, le responsable de traitement sollicite un accès à l’ensemble des variables consolidées.
Les données issues de la plateforme de signalement feront l’objet d’un appariement avec des données disponibles en

les données du fichier national des établissements sanitaires et sociaux (FINESS) des EHPAD officiellement immatriculés afin, d’une part, de fusionner les établissements déclarants et les établissements non-déclarants et, d’autre part, de lier chaque établissement déclarant à son entité gestionnaire ;
les données de l’annuaire du Portail national d’information et d’orientation des personnes âgées en perte d’autonomie et de leurs proches contenant notamment des informations relatives au statut juridique de l’établissement, à sa capacité totale et à ses tarifs.
Ces données seront appariées à partir d’une clef primaire constituée du code postal suivi du nom de l’établissement et d’une clé secondaire constituée par son numéro FINESS géographique.
La Commission relève, enfin, que les données ainsi appariées permettront d’analyser l’intensité de l’épidémie à travers la production d’indicateurs relatifs au :
taux d’incidence parmi les résidents et/ou les personnels de ces établissements ;
taux de mortalité ;
rapport d’incidence entre les résidents infectés et les personnels infectés lorsque des cas ont été déclarés parmi le personnel de l’établissement.
Ces indicateurs seront déclinés selon différentes variables ayant trait au profil des résidents (niveau moyen de dépendance,


La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5, 1, c) du RGPD.
Sur l’information et les droits des personnes
En application de l'article 69 de la loi informatique et libertés modifiée et de l'article 14-5-b du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, conformément au Règlement général sur la protection des données, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, la Commission prend acte qu'il sera fait exception au principe d'information individuelle des personnes et que des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du groupe France télévisions d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par l’article 14 du RGPD.
Elle relève que cette information sera mise en ligne dès que les données auront été mises à disposition du responsable de traitement par l’Agence nationale de santé publique.
Les personnes concernées seront également informées lors de la diffusion du documentaire.
Sur les mesures de sécurité et la traçabilité des actions
La Commission relève que la mise à disposition des données ne pourra être effectuée que selon l’une des deux modalités suivantes.
La mise à disposition des données via le Centre d’accès sécurisé aux données (CASD)
Les données pourront être mises à disposition auprès du responsable de traitement par l’intermédiaire du Centre d’accès sécurisé aux données. La Commission souligne que la transmission des données au CASD devra s’effectuer par des moyens sécurisés.
Par la suite, seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes soit impossible, pourront faire l’objet d’une extraction depuis le CASD.
La Commission rappelle que, pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n°05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. A défaut, si ces trois critères ne peuvent être réunis, une étude des risques de réidentification doit être menée.
A cet égard, la Commission relève que les résultats concernant moins de dix cas seront systématiquement exclus.
Elle attire cependant l’attention du responsable de traitement sur le fait que la suppression des résultats contenant de petits effectifs peut ne pas être suffisante pour respecter les trois critères définis par l’avis n°05/2014 précité et qu’une analyse complète de ses processus d’anonymisation doit être menée, assortie d’une réévaluation régulière des risques de réidentification.
La mise à disposition d’indicateurs agrégés par l’Agence nationale de santé publique
A défaut de mise à disposition

Dans cette hypothèse, la Commission rappelle que seules des données vérifiant les critères de l’avis du G29 susvisé pourront être mises à disposition, et ce par des moyens sécurisés, adaptés notamment au niveau des risques de réidentification.
Sur les catégories de destinataires
Quelles que soient les modalités de mise à disposition des données, seul le responsable du traitement et les personnes habilitées par lui ont accès aux données à caractère personnel dans le cadre de la présente autorisation. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur la durée de conservation des données
La durée d’accès aux données à caractère personnel devra être limitée à la durée nécessaire à la mise en œuvre du traitement, qui ne saurait être supérieure à dix-mois mois, à compter de l’accès effectif aux données.
Cette durée n’excède pas celle nécessaire aux finalités pour lesquelles les données sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du Règlement général sur la protection des données.
Sur la transparence du traitement et la publication des résultats
La Commission relève que le responsable de traitement envisage une diffusion de l’ensemble des résultats dans un documentaire. Ces résultats seront notamment rendus accessibles sous forme de cartographies (s’agissant des variables géographiques), de graphiques et de tableaux.
Outre la mise à disposition du documentaire en

La Commission rappelle que, lorsque le résultat du traitement de données est rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 68 de la loi informatique et libertés .
Autorise, conformément à la présente délibération, la société PREMIÈRES LIGNES TÉLÉVISION à mettre en œuvre le traitement susmentionné.
La Présidente
Marie-Laure DENIS