La Commission nationale de l'informatique et des libertés,
Saisie par la société ELSAN SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé dénommé EDS ELSAN ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi informatique et libertés ), notamment ses articles 44-3° et 66-III ;
Vu la délibération n° 2021-118 du 7 octobre 2021 portant adoption d’un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de création d’entrepôt de données dans le domaine de la santé ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur la responsabilité de traitement
La société ELSAN SAS est un acteur de l’hospitalisation privée en France regroupant 137 établissements de santé sur l'ensemble du territoire. Les établissements du groupe proposent des services de médecine, chirurgie et obstétrique, dialyse, services d’urgence, soins de suite et de réadaptation, d'hospitalisation à domicile, de radiologie, médecine nucléaire et radiothérapie et prennent en charge plus de 2 200 000 patients par an.
Sur les sous-traitants
Plusieurs sous-traitants interviendront dans la mise en œuvre de cet entrepôt. Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique, conformément à l’article 28 du RGPD.
Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé
Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé EDS ELSAN .
Ce dernier a pour finalités :
la réalisation d’analyses en routine avec production d’indicateurs à des fins de pilotage médico-économique, opérationnel et stratégique et d’amélioration de la qualité de soins ;
la réalisation d’analyses avec production d’indicateurs en vue d’apprécier la faisabilité de recherches sur cohorte à l’échelle du groupe ELSAN ;
la réalisation d’études, recherches, évaluations dans le domaine de la santé.
La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du RGPD.
Les données contenues dans cet entrepôt ne pourront, par analogie avec les finalités interdites d’utilisation du Système national des données de santé (SNDS), être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque.
Le traitement mis en œuvre par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est, au titre de cette base légale, licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi informatique et libertés modifiée.
Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés , qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres.
Sur le point de non-conformité au référentiel concerné
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé , à l’exception de la base légale du traitement.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel entrepôt de données dans le domaine de la santé .
Sur la gouvernance de l’entrepôt
Le responsable de traitement a mis en place un dispositif de gouvernance de l’entrepôt EDS ELSAN afin de maîtriser l’exploitation qui en sera faite dans le respect des finalités déclarées et de l’intérêt public.
Ce dispositif est composé :
d’un comité de pilotage opérationnel, qui est en charge notamment de la gestion des données, du respect du droit des personnes concernées, de proposer au comité stratégique des orientations opérationnelles à apporter à l’entrepôt, de gérer les requêtes d’accès aux données, de s’assurer du respect des règles de sécurité et de formaliser un bilan annuel du fonctionnement de l’entrepôt. Il est par ailleurs en charge d’assurer la tenue d’une liste exhaustive des données et de justifier de leur nécessité ;
d’un comité stratégique, qui détermine les orientations stratégiques de l'entrepôt et les ressources à allouer. Il a notamment la charge de s’assurer de la définition et du respect des bonnes pratiques de fonctionnement de l’entrepôt et de valider les habilitations données de manière permanente pour l’accès aux données ;
d’un comité scientifique et éthique pour la recherche, qui a pour mission notamment d’évaluer et d’approuver les propositions de projets nécessitant la réutilisation des données de l’entrepôt.
Sur les données traitées
Les données à caractère personnel de professionnels de santé et de patients pris en charge par les établissements de santé du groupe ELSAN et versées dans l’entrepôt sont :
les données de patients, provenant de la prise en charge et recueillies dans le cadre des soins
les données de l’INSEE relatives aux personnes décédées
les données structurées issues du programme de médicalisation du système d’information (PMSI)
les données d’identification des patients
les données des médecins
les données des intervenants paramédicaux facturant des actes
Ces données seront pseudonymisées avant leur intégration dans l’entrepôt.
Conformément au référentiel, le NIR des patients sera d’une part, conservé chiffré et, d’autre part, pseudonymisé de façon irréversible pour alimenter l’entrepôt.
Ces données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du RGPD.
Sur la conservation des données
Les données versées dans l’entrepôt sont conservées dans l’entrepôt vingt ans à compter de leur collecte puis supprimées. Les traces fonctionnelles et techniques sont conservées un an.
Ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD.
Sur les accédants et les destinataires des données
Pourront accéder aux données à caractère personnel :
les personnels spécifiquement habilités d’ELSAN, soumis au secret professionnel, dans les strictes limites de leur besoin d’en connaître pour l’exercice de leurs missions s’inscrivant dans les finalités de l’entrepôt EDS ELSAN ;
les partenaires extérieurs, organismes publics ou privés, porteurs de projets d’étude, d’évaluation ou de recherche dans le domaine de la santé ayant réalisé les formalités nécessaires auprès de la Commission.
En dehors des personnes visées ci-dessus, les demandeurs ne pourront être destinataires que de rapports contenant des données agrégées et anonymisées.
Sur l’information et les droits des personnes
S’agissant des patients pris en charge antérieurement à la constitution de l’entrepôt et n’étant plus suivis :
En application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des participants pris en charge antérieurement à la constitution de l’entrepôt et n’étant plus suivis. Des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude, sur les réseaux sociaux et par communiqué de presse, ainsi que par voie d’affichage dans les établissements de santé ELSAN, d’une information comportant l’ensemble des mentions prévues par le RGPD.
S’agissant des patients pris en charge postérieurement à la constitution de l’entrepôt :
Une note d’information individuelle, comportant l’ensemble des mentions prévues par le RGPD, sera remise aux patients et, le cas échéant, leurs représentants légaux, au moment de leur prise en charge.
S’agissant des médecins et paramédicaux facturant des actes :
Les médecins et paramédicaux facturant des actes et dont les données sont versées dans l’entrepôt recevront une note d’information individuelle, comportant l’ensemble des mentions prévues par le RGPD.
S’agissant des utilisateurs de l’entrepôt :
Les utilisateurs sont informés de la collecte de leurs données au moment de leur connexion et préalablement à l’envoi du login et du mot de passe.
Les droits des personnes s’exercent auprès du délégué à la protection des données de l’établissement de prise en charge ou du délégué à la protection des données d’ELSAN.
L’information relative à la constitution de la base de données dénommée EDS ELSAN ne peut se substituer à l’information individuelle préalable prévue par les dispositions du RGPD et de la loi informatique et libertés , qui devra être réalisée pour chaque traitement de données réalisé à partir des données de l’entrepôt.
Sur les transferts de données
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne, vers un pays ne présentant pas un niveau de protection adéquat.
Sur la sécurité des données et la traçabilité des actions
À titre liminaire, la Commission prend acte de ce que le dossier de demande mentionne que le traitement envisagé est conforme à toutes les mesures de sécurité prévues dans le référentiel entrepôt de données dans le domaine de la santé .
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt.
L’alimentation de l’entrepôt avec les données de santé en provenance des établissements de santé sera effectuée sous forme d’archive chiffrée, accessible pour une durée limitée dans un espace sécurisé. Une purge automatique est prévue dès récupération des données. Le responsable de traitement devra s’assurer du respect des exigences du référentiel entrepôt de données de santé pour les échanges de données entrant et sortant de l’entrepôt.
Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, répondront alors aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Autorise, conformément à la présente délibération, la société ELSAN SAS à mettre en œuvre, dans ces conditions et conformément à son plan d’actions, un traitement de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé dénommé EDS ELSAN pour une durée de dix ans.
La Présidente
Marie-Laure DENIS