(Demande d’autorisation n° 1818160v1)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence nationale de santé publique d’une demande d’autorisation concernant un traitement de surveillance du VIH et de la tuberculose par un dispositif dématérialisé de déclaration obligatoire nommé « E-DO » ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la santé publique, notamment ses articles L. 3113-1, R. 3113-1 et suivants et D. 3113-7 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-II-8° et 54 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 4 décembre 2015 modifiant le modèle de la fiche de notification figurant à l'annexe 29 de l'arrêté du 22 août 2011 relatif à la notification obligatoire des maladies infectieuses et autres maladies mentionnées à l'article D. 3113-7 du code de la santé publique ;
Vu les délibérations de la Commission n° 00-045 du 3 octobre 2000, n° 02-020 du 21 mars 2002, n° 02-082 du 19 novembre 2002 et n° 2006-258 du 5 décembre 2006 ;
Vu le dossier et ses compléments, et notamment l’analyse d’impact relative à la protection des données produite en date du 15 novembre 2018 ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
L’Agence nationale de santé publique (ANSP).
Sur la finalité
Les dispositions de l’article L. 3113-1 du code de la santé publique (CSP) prévoient que les maladies à déclaration obligatoire (MDO) font l’objet d’une transmission de données individuelles à l’autorité sanitaire par les médecins et les responsables des services et laboratoires de biologie médicale publics et privés.
Le VIH et la tuberculose figurent sur la liste des MDO qui font l’objet d’une notification obligatoire à l’autorité sanitaire selon des modalités de transmission définies par les articles R. 3113-1 et suivants du CSP.
Par délibération n° 02-082 du 19 novembre 2002, la Commission a autorisé l’ANSP à mettre en place l’application informatique destinée à la surveillance épidémiologique nationale des maladies infectieuses à déclaration obligatoire dont le VIH. En ce qui concerne la tuberculose, le circuit particulier des déclarations qui sont saisies par les agences régionales de santé (ARS) avait amené la Direction Générale de la Santé (DGS) à saisir la CNIL d’une demande d’autorisation (n° 902313).
L’ANSP, dans le cadre de la présente demande souhaite : dématérialiser la procédure concernant le VIH/Sida par la mise en place de « e-DO » ; mettre en œuvre la saisie par les ARS des données concernant la tuberculose dans l’application « e-DO » et permettre leur consultation par les ARS et l’ANSP ; actualiser à cette occasion les fiches de notification ; allonger la durée de conservation des données nominatives, tel que le permet l’article R. 3113-3 du CSP, modifié par le décret n° 2018-338 du 4 mai 2018. Ces évolutions visent à simplifier le processus de notification ; améliorer l’adhésion des professionnels de santé ; augmenter le nombre de déclarations et raccourcir leur délai ; suivre les tendances, les caractéristiques des cas et évaluer les programmes de lutte contre ces pathologies.
La Commission considère que la finalité du traitement présentée est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-a du Règlement général sur la protection des données (RGPD). Elle estime qu’il y a lieu de faire application des dispositions des articles 8-II 8° et 54 de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les informations qui doivent figurer sur la fiche de notification des données individuelles sont énumérées à l’article R. 3113-2 du CSP, dont le « numéro d’anonymat » établi par codage informatique à partir des éléments d’identité de la personne.
L’arrêté du 22 août 2011 relatif à la notification obligatoire des maladies infectieuses et autres maladies mentionnées à l’article D. 3113-7 du CSP détaille en son annexe 24 (tuberculose) et 29 (VIH) la liste des informations que doivent contenir les fiches de notification.
Des variables supplémentaires sont recueillies, dans les fiches de notification, s’agissant du VIH et de la tuberculose, à l’occasion de la mise en œuvre d’« e-DO ».
La Commission précise que, dans la mesure où l’article R. 3113-2 du CSP prévoit qu’un arrêté fixe les données cliniques, biologiques et sociodémographiques devant figurer sur la fiche de notification, la collecte des données supplémentaires précitées ne pourra débuter qu’une fois cet arrêté publié.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur les destinataires
La Commission prend acte de ce que le projet de dématérialisation ne modifie pas les destinataires du traitement actuellement autorisé.
Ont accès aux données strictement nécessaires à l’exercice de leur fonction les acteurs de la déclaration obligatoire et de la surveillance virologique, c’est-à-dire des professionnels de santé déclarants, des agents habilités des ARS du lieu d’exercice du médecin, des agents habilités des Cellules d’intervention en région (Cire) de l’ANSP.
L’application « e-DO » permet aux biologistes et médecins de créer des comptes afin de permettre aux personnels nommément désignés, placés sous leur autorité et soumis au secret professionnel, de compléter et d’envoyer les déclarations. Lors de l’instruction, il a été précisé aux services de la CNIL que ce personnel n’aurait en aucun cas accès, dans l’application « e-DO », aux données directement identifiantes des personnes ayant fait l’objet de déclaration.
La Commission considère que les catégories de destinataires n’appellent pas d’observation.
Sur l’information et les droits des personnes
Une note d’information destinée aux personnes concernées par la déclaration obligatoire leur est remise par leur médecin.
Elle fait état des objectifs de ce recueil, du contenu des informations collectées, des garanties de sécurité des données et des modalités d’exercice des droits.
Une note d’information spécifique à la surveillance virologique de l’infection à VIH est également remise aux personnes concernées.
Les droits d’accès et de rectification s’exercent auprès du département des maladies infectieuses de l’ANSP par l’intermédiaire du médecin qui a procédé à la notification.
S’agissant du VIH, ces droits s’exercent uniquement pendant le délai de douze mois après que le médecin a transmis la fiche de notification. S’agissant de la tuberculose, les droits peuvent s’exercer pendant trois ans (passé ces délais, la correspondance est supprimée).
La déclaration du VIH et de la tuberculose découlant d’une obligation légale, le droit d’opposition ne s’applique pas.
La Commission demande que les supports d’information soient complétés afin qu'ils comportent l'ensemble des mentions prévues par l'article 13 du RGPD.
Sur les mesures de sécurité
L’application web « e-DO » est hébergée auprès d’un hébergeur agréé de données de santé.
La Commission relève que différentes mesures de sécurité visant à assurer la confidentialité, l’intégrité et la disponibilité des données sont mises en œuvre au sein de ce réseau (cloisonnement bas niveau, filtrage applicatif, lutte contre les logiciels malveillants, hébergements physiques redondés, sauvegardes délocalisées, développement des applications à partir de jeux de données anonymisées, effacement sécurisé des données en cas de mise au rebut de matériel, architecture spécifique et dédiée d’enregistrement des traces fonctionnelles).
En particulier, la Commission prend acte de ce que les professionnels de santé accédant à l’application s’authentifient exclusivement de manière forte via leur carte de professionnel de santé. Les listes de révocation associées aux certificats déployés dans ces cartes sont régulièrement récupérées auprès de l’Agence des systèmes d’information partagés de santé.
De plus, la Commission relève que des mesures techniques spécifiques de protection de l’identité des patients sont mises en œuvre (hachage de l’identifiant transmis par le médecin, cloisonné par maladie à déclaration obligatoire).
La Commission considère que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la durée de conservation des données
S’agissant du VIH, la table de correspondance entre le « numéro d’anonymat » et les données d’identification de la personne est conservée par le médecin pendant douze mois.
La Commission prend acte de ce qu’au terme de ce délai, la table de correspondance est détruite, l’ANSP procédant de son côté à la suppression des coordonnées du prescripteur et à celles du responsable du service de biologie ou du laboratoire.
L’ANSP envisage de conserver les données de la surveillance épidémiologique expurgées de toute donnée d’identification et du « numéro d’anonymat », pendant une durée de quatre-vingt-dix ans, afin de pouvoir apprécier l’évolution de l’infection tant au niveau du cas individuel déclaré (de l’infection au sida jusqu’au décès, le cas échéant) qu’au niveau collectif sur l’ensemble des déclarations effectuées.
S’agissant de la tuberculose, la table de correspondance entre les données identifiantes du cas et son numéro d’anonymat est conservée par le médecin pendant trois ans et pendant cinq ans spécifiquement pour les données des années 2018 et 2019 (prise en compte du retard du traitement des données lié à leur intégration dans « e-DO »).
La Commission prend acte de ce qu’au terme de ce délai de trois ans et cinq ans pour les années de transition, la table de correspondance est détruite, l’ANSP procédant de son côté à la suppression des coordonnées du prescripteur et à celles du responsable du service de biologie ou du laboratoire, conformément aux dispositions de l’article R. 3113-2-II-2°.
L’ANSP envisage de conserver les données de la surveillance épidémiologique, expurgées de toute donnée d’identification et du « numéro d’anonymat », pendant une durée de vingt-cinq ans.
Concernant les autres données, dont la date de naissance et le code postal de résidence, elles sont conservées pendant vingt-cinq ans à des fins de surveillance, afin de pouvoir mesurer les tendances dans le temps pendant une période suffisamment longue et d’évaluer sur le long terme les programmes de contrôle.
La Commission considère que ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Autorise l’ANSP, conformément à la présente délibération, à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS