La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence nationale de santé publique (ANSP) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un système de surveillance des donneurs de sang ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles R. 1221-36 et R. 1221-39-4° ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n°2066-99 du 1er février 2006 relatif à l'Etablissement français du sang et à l'hémovigilance et modifiant le code de la santé publique ;
Vu l’arrêté du 12 janvier 2009 fixant les  critères de sélection des donneurs de sang ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les propositions de M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Etablissement public administratif placé sous la tutelle du ministre chargé de la santé, l’Agence nationale de santé publique (ANSP) a, en application de l’article L. 1413-1 du code la santé publique (CSP), pour missions :
l'observation épidémiologique et la surveillance de l'état de santé des populations ;
la veille sur les risques sanitaires menaçant les populations ;
la promotion de la santé et la réduction des risques pour la santé ;
le développement de la prévention et de l'éducation pour la santé ;
la préparation et la réponse aux menaces, alertes et crises sanitaires ;
le lancement de l'alerte sanitaire.
Sur la finalité
Le traitement repose sur un dispositif de surveillance épidémiologique des donneurs de sang dont les objectifs sont les suivants :
suivre la prévalence des infections transmissibles par le sang ;
analyser les cas d’incidents ;
repérer d’éventuels nouveaux facteurs de risque ;
évaluer le risque résiduel de transmission de ces infections par transfusion ;
évaluer la sélection des donneurs de sang.
Ce traitement est justifié par un intérêt public au sens de l’article 8 IV de la loi et doit être autorisé par la CNIL en application de son article 25 I 1°.
Le traitement mis en œuvre répond aux obligations incombant à l’ANSP définies à l’article R. 1221-36 du CSP.
La Commission considère que ces finalités sont déterminées, explicites et légitimes au sens de l’article 6 2° de la loi.
Sur les données traitées
Les données traitées sont les suivantes :
le n° de don affecté par l’Etablissement français du sang (EFS). Ce numéro est constitué de onze caractères : les deux premiers représentent le n° de l’établissement, les deux suivants représentent l’année du don et les sept suivants constituent un numéro aléatoire ;
la date du don et la date du don antérieur négatif ;
les résultats détaillés des marqueurs pour chacun des agents transmissibles par transfusion dont le dépistage est obligatoire ;
les variables spécifiques à certains marqueurs :
pour le VIH : mode de contamination (rapports sexuels entre hommes, rapports hétérosexuels, usage de drogues injectables), nombre de partenaires au cours des douze derniers mois, date présumée de contamination ;
pour la syphilis : antécédents de syphilis et autres infections sexuellement transmissibles, signes cliniques dans les douze derniers mois ;
les autres marqueurs ;
le type de donneur (nouveau donneur ou donneur connu) ;
le sexe, l’âge et le département de domicile du donneur ;
l’origine géographique parmi quatre items : France métropolitaine, Antilles – Guyane, Afrique sub-saharienne et « autre » ;
le mode probable de contamination et les facteurs de risque ;
les informations relatives au suivi du donneur : « revu en consultation à l’EFS », « consultation externe à l’EFS », « perdu de vue ».
Le recueil des données est effectué par le biais de sept questionnaires trimestriels et deux questionnaires annuels. Les sept questionnaires trimestriels sont dédiés au dépistage des infections transmissibles par voie sanguine dont six contiennent des données individuelles/identifiantes. Les deux questionnaires annuels ne comportent que des données agrégées. L’un porte sur les donneurs homologues, l’autre sur les candidats à une transfusion autologue.
Les dix-sept centres de l’EFS et le centre de transfusion des armées font parvenir les questionnaires trimestriels (à la fin de chaque trimestre) et les questionnaires annuels (en fin d’année) à l’ANSP qui procède à la saisie et à l’analyse des données.
L’EFS met à la disposition de l’ANSP les fichiers de données via l’application QuED. Cette application a été décrite dans la délibération n°2011-395 du 8 décembre 2011 autorisant la « mise en œuvre par l’Etablissement français du sang des traitements automatisés de données à caractère personnel ayant pour finalité la gestion des activités de transfusion sanguine dévolues par la loi à l’EFS  et notamment la gestion des dossiers des donneurs et des receveurs ».
L’Institut national de transfusion sanguine (laboratoire associé du Centre national de référence VIH et du Centre national de référence hépatite, pour les questions liées à la transfusion) transmet par courrier électronique une fois par mois un fichier Excel comprenant le n° de don, le résultat du test d’infection récente par le VIH et le génotypage pour le VIH et l’hépatite.
Sur les destinataires
L’ensemble des données est accessible à un nombre limité de personnes spécialement habilitées au sein de l’ANSP en raison de leurs fonctions.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et les droits des personnes
Les donneurs de sang dont un marqueur au moins a été trouvé positif sont informés de la transmission des données les  concernant à l’ANSP, au moyen d’une note d’information remise  par le médecin lors de l’entretien de contrôle.
Cet entretien de contrôle n’étant pas obligatoire,  les donneurs ne s’y présentant pas ne recevront pas l’information relative à la transmission de leurs données à l’ANSP.
La Commission rappelle que les obligations rappelées à l’article 32 de la loi doivent s’appliquer pour l’ensemble des personnes concernées.
L’exercice des droits des personnes s’effectue auprès de l’ANSP.
Sur les mesures de sécurité
S’agissant de la transmission des données détenues par l’EFS à l’ANSP :
Les agents habilités de l’ANSP accèdent aux fichiers de données par le biais de l’application QuED (autorisation n° 2011-395 du 8 décembre 2011) à travers un portail internet. La Commission prend note que ces échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire.
La Commission relève que les moyens d’authentification, en l’espèce un identifiant et un mot de passe, sont gérés par la direction médicale de l’EFS. S’agissant de la gestion de l’authentification, la Commission a élaboré, dans sa délibération n° 2017-012 du 19 janvier 2017, plusieurs recommandations relatives aux mots de passe. Elle invite dès lors le responsable de traitement à en prendre connaissance et à procéder aux éventuelles modifications nécessaires afin de mettre sa politique des mots de passe en conformité avec les recommandations de la Commission.
Par ailleurs, la Commission recommande que les permissions d'accès soient attribuées pour une durée déterminée, après validation hiérarchique, qu’elles soient supprimées pour tout utilisateur n'étant plus habilité et qu’une revue globale des habilitations soit opérée régulièrement.
La Commission relève que l’agent de l’ANSP extrait les fichiers au format .pdf à travers un flux chiffrés. La Commission recommande sur ce point d’utiliser les versions de protocole les plus à jour possible. La Commission prend acte de ce que les impressions de ces fichiers sont stockées de façon sécurisée.
S’agissant de la transmission des données détenues par l’Institut national de transfusion sanguine à l’ANSP, la Commission est informée que les données sont transmises par l’envoi de fichier Excel par courriel. Ces échanges contiennent notamment le numéro de don.
La Commission rappelle que les échanges de données à caractère personnel doivent systématiquement faire l'objet de mesures visant à en garantir la confidentialité, et qu'à ce titre la transmission de telles données via courrier électronique nécessite la mise en place de mesures de chiffrement ayant recours à des algorithmes et des procédures de gestion de clés conformes à l'annexe B1 du référentiel général de sécurité.
Sur la durée de conservation des données
Le numéro de don est conservé pour une durée de trois ans.
Les données d’identification de la personne responsable du recueil de données et son numéro de téléphone sont conservées sous format papier pour une durée de trois ans.
Les autres données sont conservées pendant vingt ans.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’Agence nationale de santé publique à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS