(Demande d’autorisation n° 1691388)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut de veille sanitaire d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel, dénommé  SurSaUD®, ayant pour finalité l’amélioration de la surveillance sanitaire des urgences et des décès;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code général des collectivités territoriales, notamment son article L. 2223-42 et R. 2213-1-1 à R. 2213-1-6 ;
Vu le code de la santé publique, notamment ses articles L. 1413-2, L. 1413-4 et L.6113-8;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I°1);
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n°2006-938 du 27 juillet 2006 relatif au certificat de décès et modifiant le code des collectivités territoriales ;
Vu l’arrêté du 24 juillet 2013 relatif au recueil et au traitement des données d’activité médicale produites par les établissements de santé publics ou privés ayant une activité de médecine d’urgence et à la transmission d’informations issues de ce traitement dans les conditions définies à l’article L. 6113-8 du code de la santé publique et dans un but de veille et de sécurité sanitaires, notamment son article 6 ;
Vu l’instruction N°DGS/DAD/BSIIP/2013/291 du 12 juillet 2013 relative au déploiement dans les établissements de santé de la certification électronique en matière de certificats de décès ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’Institut de veille sanitaire (InVS) est un établissement public administratif, placé sous la tutelle du ministre de la santé, créé par la loi n° 98-535 du 1er juillet 1998 relative au renforcement de la veille sanitaire et au contrôle de la sécurité sanitaire des produits destinés à l’homme, qui a vu ses missions étendues par la loi n° 2004-806 du 9 août 2004 relative à la politique de santé publique.
Il est chargé, conformément aux dispositions de l'article L. 1413-2 du code de la santé publique, d'effectuer la surveillance et l'observation permanente de l'état de santé de la population, d'alerter les pouvoirs publics en cas de menace pour la santé publique, quelle qu'en soit l'origine, et de leur recommander toute mesure ou action appropriées.
Il lui appartient également de mener toute action nécessaire pour identifier les causes d'une modification de l'état de santé de la population, notamment en situation d'urgence et d’apporter une contribution à la gestion des situations de crise sanitaire.
A ce titre, il participe au recueil et au traitement des données de santé à des fins épidémiologiques en s’appuyant notamment sur des correspondants publics et privés faisant partie du réseau national de santé publique, conformément aux dispositions de l’article L.1413-4 du code de la santé publique.
Sur la finalité
Le traitement, dénommé SurSaUD®, a pour finalité la surveillance épidémiologique des urgences et des décès afin de détecter de façon précoce de nouvelles menaces pour la santé publique d’origines diverses (environnementale, infectieuse ou malveillante) et d’en suivre l’impact sanitaire pour la population.
La Commission rappelle qu’elle a autorisé, le 17 décembre 2009, l’InVS à mettre en œuvre un traitement de données à caractère personnel (demande d’autorisation n°1363151) portant sur un  système de surveillance à la fois non spécifique et réactif, prévoyant une remontée des données en temps réel issues de différentes sources la suite de la canicule de l’été 2003, l’événement ayant montré les limites du système de surveillance mis en place.
A ce jour, le système s’appuie sur la collecte de données émanant de trois sources qui ne font pas l’objet de croisement :
L’InVS souhaite dorénavant pouvoir intégrer dans l’application une quatrième source de données : les données de mortalité issues de la certification électronique des décès, dont la transmission par le Centre d’épidémiologie sur les causes médicales de décès de l'Institut national de la santé et de la recherche médicale (« INSERM - CépiDc ») à l’InVS est prévue par le décret n°2006-938 du 27 juillet 2006 relatif au certificat de décès et modifiant le Code général des collectivités territoriales.
Les données issues des structures d’urgence hospitalières appartenant au réseau OSCOUR (Organisation de la surveillance coordonnée des urgences), dont l’InVS est destinataire conformément aux dispositions de l’arrêté susvisé du 24 juillet 2013 ;
Les données transmises par la plateforme nationale du réseau des associations SOS Médecins ;
Les données relatives aux décès enregistrés dans les bureaux d’état civil transmises à  l’Institut National de la statistique et des études économiques (INSEE).
mettre en évidence des signaux sanitaires d’événements prévisibles ou émergents pouvant constituer une menace pour la santé publique ;
contribuer à suivre, décrire et mesurer l’impact d’une situation sanitaire ;
surveiller des pathologies ou des populations en dehors de tout événement identifié pour contribuer à la surveillance pérenne de l’état sanitaire de la population.
Compte tenu de l’enrichissement du  système d’information à l’aide de données supplémentaires, dont le numéro de certificat de décès, l’InVS a saisi la CNIL d’une demande d’autorisation sur le fondement des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Le dispositif poursuit, en effet, les objectifs de santé publique suivants :
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites au sens de l’article 6 de la loi du 6 janvier 1978 modifiée et estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° précitées.
Les données issues des structures d’urgence hospitalières appartenant au réseau OSCOUR (Organisation de la surveillance coordonnée des urgences), dont l’InVS est destinataire conformément aux dispositions de l’arrêté susvisé du 24 juillet 2013 ;
Les données transmises par la plateforme nationale du réseau des associations SOS Médecins ;
Les données relatives aux décès enregistrés dans les bureaux d’état civil transmises à  l’Institut National de la statistique et des études économiques (INSEE).
mettre en évidence des signaux sanitaires d’événements prévisibles ou émergents pouvant constituer une menace pour la santé publique ;
contribuer à suivre, décrire et mesurer l’impact d’une situation sanitaire ;
surveiller des pathologies ou des populations en dehors de tout événement identifié pour contribuer à la surveillance pérenne de l’état sanitaire de la population.
Sur les données traitées
La Commission relève qu’aucune donnée directement nominative n’est enregistrée dans l’application.
Selon les sources, sont collectées des informations différentes relatives aux :
- données d’identification suivantes : date de naissance ; sexe ; date de décès ;  code postal de résidence; nom de la commune de résidence, commune de décès ; code INSEE de la commune ;
- dates et heures d’appel (SOS Médecins) ; dates et heures d’entrée et de sortie aux urgences (OSCOUR) ; motifs de recours aux urgences ; diagnostics (codé selon la classification internationale des maladies (CIM10), score de gravité (selon une graduation de 1 à 5) ; orientation à la sortie ; moyens de transport jusqu’aux urgences ;
- données relatives à la structure de prise en charge (code de l’association SOS médecins).
S’agissant des données issues du CépiDC, sont recueillis le numéro du certificat des décès ; le code postal de la commune de naissance, les données relatives à la nationalité, au statut matrimonial, au déroulement de la grossesse le cas échéant et à l’activité professionnelle.
Interrogé sur la nécessité de collecter la date de naissance complète des intéressés, l’InVS a souligné la pertinence de cette donnée au regard de la nécessité de disposer de données permettant de repérer d’éventuels doublons en l’absence d’identifiant unique des individus, ainsi que dans le cadre de l’étude des syndromes affectant les enfants.
En outre, la collecte des dates complètes se justifierait dans un objectif de veille et de surveillance sanitaires par la construction d’indicateurs épidémiologiques menée sur chacune des sources par l’agrégation de données individuelles selon différents critères (par jour, semaine, ou mois, par classes d’âges ou par sexe, par différents niveaux géographiques de l’établissement ou de la commune jusqu’au niveau national).
La Commission relève, en outre, que sa communication à l’InVS est prévue par l’arrêté du 24 juillet 2013 précité.
S’agissant du numéro de certificat de décès, la Commission prend acte de ce qu’il s’avérerait nécessaire pour permettre la gestion de l’intégration successive des données au cours du temps, plusieurs transmissions d’un même certificat pouvant être effectuées, ainsi que pour permettre le repérage d’éventuels doublons.
La Commission prend également acte de l’engagement de l’InVS de procéder à une évaluation de la possibilité de supprimer cette donnée une fois le certificat de décès validé compte tenu du retour d’expérience permettant de fixer la durée moyenne de validation de ces certificats.  La Commission demande à être rendue destinataire de cette évaluation.
Enfin, la Commission prend acte de ce que les agrégations menées sur chacune des sources le sont indépendamment les unes des autres et que les données individuelles issues des différentes sources de données du système ne sont pas croisées entre elles.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seule l’équipe en charge de l’exploitation des données appartenant au département de la coordination des alertes en région (DCAR-Saint Maurice) de l’InVS a accès aux données individuelles contenues dans l’application.
Toutefois, les données issues de la certification électronique des causes médicales de décès ne sont accessibles qu’à des agents nommément désignés par la direction générale de l’InVS, conformément aux dispositions de l’article R. 2213-1-3 du code général des collectivités territoriales.
Les autres départements de l’InVS ont accès aux données nationales pour le ou les syndromes qui entrent dans leur champ de compétence.
Les Cellules interrégionales d’épidémiologie (CIRE), chargées de la déclination des missions de l’InVS en région, ont accès aux données concernant leur territoire de compétence.
Les partenaires fournisseurs de données (services d’urgence des hôpitaux, associations SOS médecins, l’INSEE et le CépiDc) ont exclusivement accès aux  données qu’ils fournissent au système de surveillance.
Les résultats de cette surveillance seront adressés aux pouvoirs publics sous format agrégé quel que soit le support de communication utilisé (tableaux de bord, bulletins épidémiologiques…) et donneront lieu à des publications, dans des conditions de nature à garantir l’anonymat des personnes.
Cette liste de destinataires n’appelle pas d’observations de la Commission.
Sur l’information et le droit d’accès
En application de l’article 32 de la loi du 6 janvier 1978 modifiée, une information est délivrée par voie d’affichage dans chacun des centres d’urgence participant au réseau OSCOUR, ainsi que sur le site internet de SOS médecins.
Le système de surveillance SurSaUD® est également présenté sur le site internet de l’InVS et des plaquettes de présentation du dispositif sont produites régulièrement, envoyées aux établissements de santé et disponibles sur le site internet de l’InVS.
La Commission estime que les modalités d’information n’appellent pas d’observation. Toutefois, elle estime nécessaire de substituer, dans les affichettes, à la notion d’anonymat celle de confidentialité qui apparaît plus appropriée au regard de la nature des données collectées, susceptibles de permettre une identification indirecte des personnes.
Les droits d’accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s’exercent auprès du service des urgences de la structure d’urgence ou de l’association SOS Médecins, ainsi qu’auprès de l’InVS.
La remontée vers l’InVS de données relatives aux résumés de passage aux urgences (RPU), ainsi qu’aux causes médicales de décès présente un caractère obligatoire en application du décret n°2006-938 du 27 juillet 2006 et de l’arrêté du 24 juillet 2013, susmentionnés.
Le droit d’opposition prévu par l’article 38 de la loi du 6 janvier 1978 modifiée s’applique donc exclusivement aux données recueillies dans le cadre du recours à SOS médecins et les personnes en sont clairement informées. La Commission en prend acte.
Sur les mesures de sécurité
La Commission prend acte de ce que les données individuelles ne seront accessibles qu’à un nombre limité de personnes spécialement habilitées. Elles sont conservées dans des conditions de nature à garantir leur confidentialité.
Tous les transferts de données vers l’application SurSaUD® sont chiffrés du logiciel GnuPG permettant la mise en œuvre de la cryptographie asymétrique avec une clé RSA d’une longueur de clé d’une taille de 2048 bits.
Les données sont hébergées sur un serveur interne et sécurisé de l’InVS.
Les habilitations d’accès au système d’information SurSaUD® sont définies en fonction des attributions et des besoins des destinataires dans les strictes limites de l’exercice de leurs missions respectives.
Le contrôle des accès à l’application par les personnels habilités se fait par un identifiant associé à un mot de passe dont la complexité apparaît conforme aux exigences de la CNIL.
La Commission rappelle toutefois que le mot de passe doit être modifié par l’utilisateur dès sa première connexion, puis régulièrement. Elle rappelle également que les mots de passe ne doivent pas être stockés en clair en base de données. Elle recommande ainsi d’appliquer la fonction de hachage HMAC à clé secrète avant de conserver les mots de passe.
Les accès à l’application doivent faire l’objet d’une journalisation. La Commission rappelle que les traces des accès à l’application et aux données doivent être analysées et qu’il convient d’informer les personnels concernés de la mise en œuvre de ces mesures.
La Commission relève, en outre, que les accès à l’application pour les utilisateurs internes à l’InVS et les partenaires fournisseurs sont subordonnés à la signature d’une charte « utilisateur » rappelant les règles de confidentialité et d’utilisation des données.
Les données sont sauvegardées de façon quotidienne et hebdomadaire sur baie de stockage et sur bandes magnétiques chiffrées conservées dans des coffres-forts sécurisés par digicode dans des locaux à accès restreint (par badge) aux personnels autorisés du service des systèmes d’information.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Sur la durée de conservation des données, l’InVS a indiqué que l’efficacité du système de surveillance mis en œuvre nécessite que les données soient collectées dans des conditions homogènes au cours du temps et dans l’espace, qu’elles soient susceptibles d’être mobilisées rapidement et sans travail supplémentaire et conservées  pendant une longue durée, estimée à 20 ans.
Interrogé sur la possibilité d’un appauvrissement progressif des données au cours du temps sans compromettre l’efficacité du système de surveillance, l’InVS a indiqué que le risque de perte irréversible des données serait très important au regard des  intérêts de santé publique en jeu, sans une évaluation préalable  du degré de précision de l’historique nécessaire à des études statistiques comparées efficaces.
L’InVS s’est donc engagé à mener une évaluation sur cinq ans portant sur ce point.
La Commission en prend acte et demande que les résultats de cette évaluation lui soient communiqués au plus tard à l’issue d’une période de cinq ans à compter de la date de notification de la présente délibération.
Autorise, conformément à la présente délibération, l’Institut de veille sanitaire à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN