La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence Régionale de Santé Auvergne-Rhône-Alpes d’une demande d’autorisation concernant un suivi cartographique des cas de légionellose;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE
Vu le code de la santé publique, notamment les articles R. 3113-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-II-8° et 54 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments, et notamment l’analyse d’impact relative à la vie privée produite en date du 12 juillet 2018 ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Eve JULLIEN, adjoint au commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
L’Agence Régionale de Santé (ARS) Auvergne-Rhône-Alpes.
Sur la finalité
Le projet de cartographie faisant l’objet de la présente demande d’autorisation s’inscrit dans le cadre des investigations réalisées lors du signalement des cas de légionellose.
Le traitement a pour base légale l’article 6-1-e du Règlement Général sur la Protection des Données (RGPD), à savoir une mission d'intérêt public.
La légionellose est une maladie à déclaration obligatoire qui doit être signalée au médecin de l'ARS

Les objectifs du traitement poursuivi sont donc de :
détecter les cas de légionellose groupés et identifier la source de contamination afin d'éviter l'apparition de nouveaux cas;
repérer géographiquement la proximité de certaines sources de contamination comme les tours aéroréfrigérantes qui sont cartographiées en région Auvergne Rhône-Alpes ;
identifier des zones de surincidence qui peuvent correspondre à une source à bas bruit ou qui émet des légionnelles de façon sporadique ;
réaliser des analyses épidémiologiques spatiales sur une longue période (dix ans) pour améliorer la connaissance des facteurs de risque environnementaux et permettre la mise en place de mesures de prévention collectives ;
réaliser des analyses statistiques permettant de suivre la situation en particulier sur les sources potentielles mises en cause et permettant ainsi une sensibilisation des responsables de ces sources.
La Commission considère que la finalité du traitement présentée est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-a du RGPD.
Elle estime qu’il y a lieu de faire application des dispositions des articles 8-II 8° et 54 de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
La Commission rappelle que les traitements de données de santé à caractère personnel qui seront mis en œuvre ultérieurement, à des fins de recherche, d’étude et d’évaluation dans le domaine de la santé sont des traitements distincts qui doivent faire l’objet de formalités propres au titre de la section II du chapitre IX de la loi informatique et libertés .
Sur les données traitées
La personne concernée, diagnostiquée comme atteinte de légionellose, est géoréférencée au plus près de l’adresse de son domicile ainsi que de ses déplacements dans des lieux avec une source potentielle de contamination pendant les quatorze jours précédant la date de début des signes cliniques.
Les données recueillies concernent également le type d’exposition potentielle au lieu du domicile de la personne concernée et lors de ses déplacements.
Les données traitées sont les suivantes :
Champs à renseigner directement
numéro de code de la déclaration obligatoire
numéro identifiant du cas dans la base maladie à déclaration obligatoire ;
date de début des signes cliniques ;
nom de lieu du déplacement ;
date de début de la fréquentation du lieu de déplacement pendant la période d’incubation.
Champs automatiques
code Insee de la commune du domicile de la personne concernée ;
commune du domicile du cas ;
numéro de département du domicile du cas ;
numéro de la région du domicile du cas ;
nom de la commune de déplacement du cas ;
numéro de département du déplacement ;
numéro de la région du déplacement ;
date de saisie du déplacement.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur les destinataires
Seuls les agents de l’ARS auxquels des droits spécifiques ont été donnés et la cellule d’intervention en Région de santé publique France dans sa mission d’appui à l’ARS auront accès à la cartographie.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur les droits des personnes
L’information des personnes est réalisée au moyen d’un courrier type adressé de manière systématique aux personnes concernées.
Les personnes concernées peuvent exercer leurs droits auprès du délégué à la protection des données de l’ARS Auvergne-Rhône-Alpes.
La Commission demande que les supports d’information soient complétés afin qu'ils comportent l'ensemble des mentions prévues par l'article 14 du RGPD.
Sur les mesures de sécurité
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. Une revue globale des habilitations est opérée régulièrement. Les utilisateurs s’authentifient par un identifiant et un mot de passe.
S’agissant de la complexité des mots de passe et des modalités de conservation, la Commission rappelle que la politique mise en place doit être conforme à la délibération n°2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe.
Les accès au traitement se font

Une journalisation des opérations de consultation, création et modification des données est mise en place. La Commission recommande que les interventions de maintenance fassent l’objet de mesures de traçabilité (enregistrement dans une main courante, par exemple).
Des sauvegardes régulières sont réalisées. Elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité. La Commission rappelle que celles-ci doivent être testées régulièrement afin de vérifier leur intégrité.
L’accès aux locaux hébergeant le traitement est restreint au moyen de portes verrouillées contrôlées par un moyen d’authentification personnel.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la durée de conservation des données
Les données seront conservées par l’ARS Auvergne-Rhône-Alpes pendant dix ans.
La commission considère que cette durée de conservation des données n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Autorise l’ARS Auvergne-Rhône-Alpes, conformément à la présente délibération, à mettre en œuvre le traitement susmentionné.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS