(Demande d’autorisation n° 2112336)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Etablissement français du sang (EFS) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de la relation avec les donneurs de sang et la promotion du don du sang ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1221-1 et suivants, L. 1222-1 et suivants, L. 1223-1 et suivants, R. 1222-40 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu la loi du 1er juillet 1998 relative au renforcement de la veille sanitaire et du contrôle de la sécurité sanitaire des produits destinés à l'homme ;
Vu l’ordonnance n° 2016-1406 du 20 octobre 2016 portant adaptation et simplification de la législation relative à l'Etablissement français du sang et aux activités liées à la transfusion sanguine ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments et notamment l’analyse d’impact relative à la protection des données produite en date du 5 octobre 2018 ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
L’établissement français du sang (EFS) est un établissement public placé sous la tutelle du ministère de la santé. Il est l’opérateur unique du service public de la transfusion sanguine en France.
À ce titre, il est chargé de l’ensemble des activités liées aux produits sanguins labiles : collecte, préparation, qualification, distribution et délivrance aux établissements de santé des produits sanguins labiles.
L’EFS comprend quinze établissements régionaux dont trois sont situés outre-mer.
Sur la finalité
La présente autorisation concerne le traitement de données à caractère personnel relatif à la relation avec les donneurs de sang dans le cadre :
de l’activité de don du sang ;
d opérations de communication destinées à promouvoir les activités de l’EFS.
Le traitement a pour base légale, au sens de l’article 6 du Règlement général sur la protection des données (RGPD) :
le respect d’une obligation légale à laquelle est soumis le responsable de traitement ;
l’exercice d’une mission d’intérêt public, ou relevant de l’exercice d’une autorité publique dont est investi le responsable de traitement.
Les objectifs du traitement sont les suivants :
la fiabilisation des données par la mise à jour des informations directement par les donneurs concernés ;
l’amélioration, la fidélisation et l’optimisation des relations avec les donneurs de sang ;
la contribution à l’atteinte des objectifs de prélèvement de manière quantitative et qualitative ;
l’accroissement de la fréquentation des collectes et des sites fixes ;
le pilotage de la relation à distance ;
le recrutement de nouveaux donneurs ;
l’offre de nouveaux services (espace Webdonneur) ;
la mesure de l’efficacité des actions prises dans le cadre de la relation donneur ;
la diffusion d’informations relatives au don de sang ;
la réalisation d’enquêtes auprès des donneurs et de l’ensemble des parties prenantes dans le processus encadrant le don de sang (études liées à la satisfaction, à la mesure de la performance, à la perception et à l’image de l’EFS ou bien destinées à recueillir de l’information).
La Commission considère que les finalités du traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 5-1-b du RGPD.
Elle estime qu’il y a lieu de faire application des dispositions de l’article 8-II 8° et 54 de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les personnes concernées par le traitement sont :
les donneurs (candidats au don pour lesquels une poche de produit sanguin a été prélevée, même s’il a été exclu à la suite des examens biologiques) ;
les candidats (personnes se présentant pour donner leur sang sur un lieu de don, avec l’intention de donner) ;
les promettants : personnes ayant formalisé une promesse de don (p. ex.  : par téléphone, par message électronique, etc.) ;
les prospects : personnes susceptibles de devenir candidats au don, c'est-à-dire des personnes ayant contacté l’EFS ou ayant manifesté leur intérêt pour le don ou personnes ayant transmis volontairement leurs coordonnées à un tiers partenaire de l’EFS ;
le personnel de l’EFS ;
les partenaires de l’EFS.
Les données recueillies relatives aux donneurs et aux candidats sont les suivantes : nom d’usage, nom de naissance, prénom, sexe, date de naissance, lieu de naissance, civilité, adresse postale, adresse électronique, liste des lieux de don, numéro de téléphone du domicile, numéro de téléphone portable, poids, taille, numéro de donneur, dates des derniers dons, types de don, date d’éligibilité aux prochains dons, nombre de dons effectués, nombre de jours depuis le dernier don, groupe sanguin, rhésus, type de prélèvements, nombre d’invitations réalisées, numéro de collecte, date de la collecte, code ensemble de la collecte.
Les données recueillies relatives aux prospects et aux promettants sont les suivantes : nom d’usage, nom de naissance, prénom, sexe, date de naissance, lieu de naissance, civilité, adresse postale, adresse électronique, poids, taille.
Les données recueillies relatives au personnel de l’EFS sont les suivantes : nom, prénom, adresse électronique, numéro de téléphone professionnel,  catégorie socioprofessionnelle, données de connexion.
Les données recueillies relatives aux partenaires de l’EFS sont les suivantes : nom du contact,  prénom du contact, qualité, fonction, titre ou distinction, adresse électronique du contact, numéro de téléphone professionnel du contact.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur les destinataires
Les destinataires des données sont les suivants :
- les personnels individuellement habilités au sein de chaque établissement régional, en fonction de leurs attributions ;
- les prestataires ;
- les partenaires de l’EFS (associations pour le don de sang bénévoles,  associations de malades, entreprises, organismes publics), à condition que les personnes concernées par le traitement aient au préalable été informées et qu’elles aient donné leur consentement exprès à la communication des données les concernant. Cet échange est encadré par une convention signée entre l’EFS et le partenaire destinataire afin de garantir la sécurité et la confidentialité des données.
Les sous-traitants qui interviennent dans la mise en œuvre des outils de promotion ont accès aux données enregistrées dans le cadre et la limite de leurs fonctions et dans les conditions définies par le contrat les liant à l’EFS.
L’EFS a recours à des sous-traitants s’agissant, notamment :
de l’envoi de messages électroniques ;
de l’envoi de SMS ;
de l’appel téléphonique des donneurs ou des promettants et destiné à organiser un rendez-vous ;
du routage de l’impression et des invitations sur support papier ;
de la réalisation de certaines études ou enquêtes ;du développement de sites web et d’applications mobiles ;
du nettoyage des adresses dans le cadre de la Restructuration Normalisation Validation Postale ou dans le cadre de recherche des personnes ayant déménagé et par conséquent changé d’adresse postale.
Sur l’information et les droits des personnes
Les candidats au don et les donneurs sont informés de la mise en œuvre du traitement par voie d’affichage, sur les formulaires de collecte de données ainsi que sur l’ensemble des sites web et applications web destinés à promouvoir le don de sang.
Les candidats et les donneurs ne peuvent s’opposer au recueil de de leurs données, eu égard aux obligations légales de traçabilité et sécurité sanitaire auxquelles est soumis l’EFS.
S’agissant spécifiquement de la promotion du don du sang, les candidats aux dons et les donneurs peuvent s’opposer à tout moment à ce que l’EFS les contacte, dans ce cadre précis, et ce pour chaque moyen de communication (courrier, courriel, SMS).
Dans l’espace Webdonneur, le donneur est invité à cocher une case afin de consentir à ce que ses coordonnées (nom, prénom, adresse de messagerie et numéro de téléphone) soient transmises par l’EFS à ses partenaires.
Les prospects sont informés de la mise en œuvre du traitement au moyen du formulaire de collecte des données, ou sur les interfaces web lorsque ces données sont complétées via un formulaire dématérialisé.
Les promettants sont informés du traitement de données à caractère personnel les concernant sur les supports de communication qui leur sont adressés.
Les personnels de l’EFS sont informés de la mise en œuvre du traitement au moyen de la charte d’utilisation du système d’information.
La Commission rappelle que la note d’information doit être complétée afin d’y faire figurer l’ensemble des mentions obligatoires prévues à l’article 13 du RGPD.
Le droit d’accès des candidats au don et des donneurs s’exerce auprès du directeur de l’établissement de transfusion sanguine dont dépend le site de collecte ou de réception du sang.
Le droit d’accès des promettants et des prospects s’exerce auprès de la direction marketing.
Le droit d’accès des personnels s’exerce auprès de la direction des ressources humaines.
La Commission considère que ces modalités d’exercice des droits sont satisfaisantes, mais appelle l’attention du responsable de traitement sur la nécessité de prévoir les conditions d’exercice des droits prévus par le RGPD et qui s’appliqueraient dans le cadre de la mise en œuvre du traitement.
Sur les mesures de sécurité
Le traitement a fait l'objet d'une étude des risques sur la protection des données des personnes concernées et des mesures ont été déterminées pour les traiter de manière proportionnée.
S’agissant du site web, la Commission prend acte de l’engagement du responsable de traitement d’attester de sa conformité au référentiel général de sécurité. Elle demande que cette conformité soit mentionnée sur le site, dans le cadre de l'homologation préalable.
Le responsable de traitement a mis en œuvre une politique de mots de passe exigeant huit caractères alphanumériques, une majuscule et une minuscule. À cet égard, la Commission a élaboré une délibération 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe. Elle relève ainsi que la mise en place de la politique de mots de passe élaborée par le responsable de traitement nécessite une mise à jour afin de maintenir sa conformité aux recommandations de la CNIL.
La Commission relève qu’un module d’analyse de données permet une exploitation statistique. Elle rappelle qu'un tel outil ne doit permettre que des restitutions parfaitement anonymes. A défaut, des mesures complémentaires doivent être mises en œuvre afin de limiter les risques de ré identification des personnes, notamment en limitant les interrogations ciblées et le niveau de détail des données fournies.
La Commission considère que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la durée de conservation des données
Les données relatives aux candidats au don et aux donneurs sont conservées pendant trente-cinq ans, en application de la décision du 6 novembre 2006 définissant les bonnes pratiques de l’article L. 1222-12 du CSP.
Les données traitées, spécifiquement dans le cadre de la finalité de promotion du don, seront conservées, au sein des outils de communication dédiés, pendant huit ans. En cas de sollicitations infructueuses et au plus tard dans un délai de huit ans, les données relatives aux candidats sont supprimées.
La durée de conservation des données relatives aux promettants est fixée à deux ans maximum à compter de la date depromesse de don.
La durée de conservation relative aux prospects est de six mois maximum.
Les coordonnées des personnes à contacter au sein des organismes partenaires  de l’EFS sont conservées jusqu’à la fin de l’exercice de leurs fonctions au sein de l’organisme partenaire.
La Commission considère que ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Autorise, conformément à la présente délibération, l’EFS à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS