(Demande d’autorisation n° 2135463)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut de Recherche pour le Développement d’une demande d’autorisation concernant un observatoire transfontalier du paludisme;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE » (Règlement général sur la protection des données);
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-II-8° et 54 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments, et notamment l’analyse d’impact relative protection des données produite en date du 06 novembre 2018. ;
Sur la proposition de Mme Valérie Peugeot, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
L’Institut de Recherche pour le Développement (IRD), établissement public à caractère scientifique et technologique (EPST), est co-tutelle de l’unité mixte de recherche (UMR) ESPACE DEV. L'UMR ESPACE-DEV développe des recherches sur les dynamiques spatiales caractérisant les éco-sociosystèmes.
Il met en œuvre le présent traitement, dans le cadre d’un partenariat avec l’Institut de Communication et d’Information Scientifique et Technologique en Santé – Fondation Oswaldo Cruz ICICT-FIOCRUZ,  concernant les données paludiques.
Sur la finalité
L’observatoire transfrontalier du paludisme a pour finalités :
l’intégration et l’harmonisation automatiques des données épidémiologiques recueillies en routine par les services de santé et relatives aux cas de paludisme des communes situées de part et d’autre de la frontière entre la Guyane française et le Brésil ;
le calcul automatique d’indicateurs de base pour le suivi et l’aide à l’interprétation de la situation épidémiologique : séries temporelles et cartes des nombres de cas agrégés selon différentes unités temporelles (jour, semaine, mois, année, ...) et spatiales (localités/quartiers, communes, pays, …) ;
la diffusion d’informations et d’indicateurs via un site web.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b du RGPD.
Le traitement a pour base légale l’exercice d’une mission d’intérêt public, au sens de l’article 6-1-e du Règlement général sur la protection des données (RGPD).
Elle estime qu’il y a lieu de faire application des dispositions de l’article 8-II 8° et 54 de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
La Commission rappelle que les traitements de données de santé à caractère personnel qui seront mis en œuvre, à des fins de recherche dans le domaine de la santé, à partir des données recueillies dans le cadre de l’observatoire, sont des traitements distincts qui devront faire l’objet de formalités propres au titre du chapitre IX de la loi « Informatique et Libertés ».
Sur les données traitées
Les données sont recueillies en routine par les organismes dispensant des soins dans les deux pays : centres départementaux de prévention et de santé en Guyane et postes de santé et de notification au Brésil.
Elles sont transmises, associées à un identifiant (composé de cinq chiffres et d’une letttre) à échéance régulière, au service des Centres Délocalisés de Prévention et de Soin (CDPS) du Centre hospitalier Andrée Rosemon de Cayenne, côté français et au Département Informatique du Système Universel de Santé, côté brésilien (DATASUS), en charge de systèmes nationaux de surveillance du paludisme.
Les données sélectionnées pour répondre aux finalités du traitement (« données d’intérêts ») sont les suivantes :
identifiant unique du patient;
centre de consultation et de notification ;
pays et commune de naissance ;
date de consultation ou de mise en observation, type de consultation, date de sortie de mise en observation, mode de sortie de mise en observation ;


présence ou absence de couverture sociale ;
catégorie socioprofessionnelle ;
niveau de scolarité/formation ;
lieu probable d’infection (déterminé à partir des principaux lieux fréquentés lors des dernières semaines ;
pays et communes de naissance ;
localité de résidence et localité probable de contamination (nom, latitude, longitude) ;
résultats des diagnostics principaux et secondaires (espèces plasmodiales) ;
résultats de la surveillance syndromique du paludisme.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Ces données, contenues dans la base de données du service des CDPS (Centre hospitalier de Cayenne, Guyane française) sont transmises à l’IRD.
L’ICIT/Fiocruz les télécharge, côté brésilien, à partir du système de surveillance du paludisme SIVEP-Malária, auprès du DATASUS.
L’harmonisation des données françaises et brésiliennes est effectuée  au sein de l’IRD à Cayenne. Les données harmonisées sont ensuite transférées à l’ICICT /Fiocruz à Rio de Janeiro.
Le transfert est réalisé selon les conditions prévues au chapitre V du RGPD, c’est-à-dire par la signature d’un contrat de responsable de traitement à  responsable de traitement conforme aux clauses contractuelles type adoptées par la Commission européenne.
Sur les destinataires
Les destinataires sont les suivants :
le laboratoire mixte international « Sentinela » (associant l’IRD, l’ICICT-FIOCRUZ et l’université du Brésil) ;
l’institut Pasteur de Guyane ;
l’agence régionale de santé de Guyane ;
la cellule inter-régionale d’épidémiologie (agence nationale de santé publique) de Guyane ;
direction de la démoustication de la collectivité territoriale de Guyane ;
le secrétariat municipal à la santé d’Oiapoque ;
le département en charge de la santé indigène ;
la super-intendance de la veille sanitaire d’Amapà ;
le « public » en général.
Le  public pourra accéder aux données agrégées spatialement (au niveau des localités, quartiers ou groupes de petites localités proches spatialement) et temporellement (au niveau mensuel pour le niveau le plus fin).  Cette diffusion répond à l’une des finalités à savoir la diffusion d’informations et de données via Internet. Elle a pour objectif de  permettre à la population de mieux connaitre la maladie, de pouvoir s’en prévenir et de pouvoir engager un dialogue avec les autorités sanitaires.
Un profil "membre" donne accès, en visualisation et téléchargement, à l'ensemble des résultats du traitement à leur niveau de détail le plus fin. Il concerne les  instances de veille et de contrôle sanitaire et les chercheurs impliqués dans la mise en œuvre du traitement.
La Commission considère que les catégories de destinataires n’appellent pas d’observation.
Sur l’information et les droits des personnes
Les personnes concernées sont informées du traitement de données les concernant au moyen d’une notice d’information qui leur est remise au moment de leur prise en charge au sein des centres de santé.
Les droits des personnes s’exercent, côté français, auprès du médecin responsable de l’information médicale du Centre Hospitalier de Cayenne. Au Brésil, ils  s’exercent auprès du ministère de la santé (service en charge de la « médiation » concernant les actions du système universel de santé (SUS), dont fait partie la surveillance et l'analyse des cas de paludisme).
La Commission estime nécessaire de compléter la note d'information afin d’y faire figurer l'ensemble des droits mentionnés par l'article 13 du Règlement général sur la protection des données.
Une information est également prévue sur le site internet de diffusion des données (affichage d’une fenêtre lors de la première connexion).
Sur les mesures de sécurité
Deux types de profil d’habilitation sont prévus afin de gérer les accès aux données en tant que de besoin : le profil « public » et le profil « membre ».
Le profil « public » ne requiert pas d’authentification préalable et donne accès aux données agrégées spatialement et temporellement. Ce profil ne permet pas le téléchargement des données. Le profil « membre » donne accès, après authentification, en visualisation et téléchargement à des données pseudonymisées et à leur niveau de détail le plus fin spatialement et temporellement.
La Commission rappelle que seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, peuvent faire l’objet d’un accès pour le profil « public ».
Pour se prévaloir qu’un jeu de données est anonyme, le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n°05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. A défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification doit être menée.
Concernant les utilisateurs ayant un profil « membre », ceux-ci s’authentifient par un identifiant et un mot de passe. La Commission recommande qu’une revue globale des habilitations soit opérée régulièrement.
S’agissant de la complexité des mots de passe et des modalités de conservation, la Commission rappelle que la politique mise en place doit être conforme à la délibération n°2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe.
Les échanges transfrontaliers de données sont effectués en employant des mécanismes cryptographiques. Les accès au traitement se font via des protocoles sécurisés (SFTP, HTTPS, SSH) qui permettent de garantir la confidentialité des données échangées ainsi que l’authentification de la source et du destinataire. La Commission recommande d’utiliser les versions de ces protocoles les plus à jour possibles.
Les données sur les disques durs des serveurs de production sont chiffrées.
Une journalisation des opérations de consultation, création et modification des données est mise en place. La Commission recommande que les interventions de maintenance fassent l’objet de mesures de traçabilité (enregistrement dans une main courante, par exemple).
Des sauvegardes régulières sont réalisées. Elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité. La Commission rappelle que celles-ci doivent être testées régulièrement afin de vérifier leur intégrité.
La Commission rappelle qu'une durée de conservation des journaux techniques de trois ans n'est pas conforme aux six mois préconisés par la Commission pour ce type de traitement, et qu'aucune disposition réglementaire ne justifie l'application d'une durée différente de celle habituellement préconisée par la Commission.
L’accès aux locaux hébergeant le traitement est restreint au moyen d’alarmes, clés, badges d'accès et gardiennage.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la durée de conservation des données
L’identifiant unique codé est conservé pendant un an à compter de la dernière consultation des personnes dans les centres de santé.
Les autres données sont conservées pendant 10 ans.
La Commission considère que ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Autorise, l’Institut de Recherche pour le Développement, conformément à la présente délibération, à mettre en œuvre le traitement décrit ci-dessus.
Pour La Présidente, la Vice-Présidente DéléguéeSophie LAMBREMON