La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence nationale de santé publique (ANSP) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un système de surveillance de l’activité des CeGIDD;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n°2015-796 du 1er juillet 2015 relatif aux CeGIDD des infections par les virus de l'immunodéficience humaine et des hépatites virales et des infections sexuellement transmissibles;
Vu l’arrêté du 1er juillet 2015 relatif aux CeGIDD des infections par les virus de l'immunodéficience humaine et des hépatites virales et des infections sexuellement transmissibles ;
Vu l’arrêté du 23 novembre 2016 fixant le modèle de rapport d'activité et de performance devant être fourni au directeur général de l'agence régionale de santé et à l'Agence nationale de santé publique par les CeGIDD des infections par les virus de l'immunodéficience humaine et des hépatites virales et des infections sexuellement transmissibles ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Etablissement public administratif placé sous la tutelle du ministre chargé de la santé, l’Agence nationale de santé publique (ANSP) a, en application de l’article L. 1413-1 du code la santé publique, pour missions :
l'observation épidémiologique et la surveillance de l'état de santé des populations ;
la veille sur les risques sanitaires menaçant les populations ;
la promotion de la santé et la réduction des risques pour la santé ;
le développement de la prévention et de l'éducation pour la santé ;
la préparation et la réponse aux menaces, alertes et crises sanitaires ;
le lancement de l'alerte sanitaire.
Sur la finalité
Créés par la loi de finances de la sécurité sociale de 2015, les CeGIDD résultent de la fusion des consultations de dépistage anonyme et gratuit (CDAG) et des Centres d’information de dépistage et de diagnostic des infections sexuellement transmissibles (CIDDIST). Les missions des CeGIDD ont été élargies. En plus du dépistage du VIH, des hépatites virales et des infections sexuellement transmissibles (IST), elles doivent offrir une approche globale de santé sexuelle et mieux cibler les publics les plus éloignés du dispositif de santé. Les CeGIDD ont été mis en place au 1er janvier 2016, sous la responsabilité des agences régionales de santé (ARS). Les 320 CeGIDD sont répartis sur l’ensemble du territoire français, départements français d’outre-mer inclus.
La création des CeGIDD contribue à la réalisation des missions de surveillance de l’ANSP et de promotion de la santé sexuelle.
Les objectifs de cette surveillance sont les suivants :
décrire les populations ayant recours aux CeGIDD en termes de caractéristiques socio-démographiques, de réalisation de dépistages pour les hépatites virales B et C, le VIH ou les IST ;
analyser les résultats de ces dépistages, les facteurs de risque, les traitements proposés et l’orientation des patients ;
évaluer les tendances sur plusieurs années.
Ce traitement est justifié par un intérêt public au sens de l’article 8 IV de la loi et doit être autorisé par la CNIL en application de son article 25 I 1°.
La Commission considère que ces finalités sont déterminées, explicites et légitimes au sens de l’article 6 2° de la loi.
Sur les données traitées
Le décret n°2015-796 du 1er juillet 2015 relatif aux CeGIDD prévoit que ceux-ci fournissent annuellement année aux ARS et à l’ANSP un rapport d'activité et de performance portant sur l'année précédente et conforme à un modèle fixé par arrêté du ministre chargé de la santé. L’arrêté du 1er juillet 2015 précise qu’un « suivi de l’activité est assuré par un outil informatique permettant le suivi des consultations et l’extraction des données nécessaires au suivi d’activité et épidémiologique ». L’arrêté du 23 novembre 2016 fixe le modèle de rapport d'activité et de performance devant être transmis à l'ARS et à l’ANSP par les CGIDD. Cet arrêté définit la liste des données individuelles recueillies et traitées. Les données sont recueillies et informatisées par les médecins ou infirmières des CeGIDD lors des consultations :
données sociodémographiques : année de naissance ou âge, sexe, département de domicile, catégorie socio-professionnelle, activité professionnelle, pays de naissance, temps écoulé depuis l’arrivée en France (moins de 3 mois, entre 3 mois et 1 an, entre 1 à 5 ans, entre 6 et 10 ans, 10 ans et plus, ne souhaite pas répondre), couverture maladie ;
données relatives à la consultation initiale (date de consultation exprimée en mois-année, motif de consultation) ;
antécédents (réalisation de tests antérieurs pour le VIH et résultats, antécédents d’hépatite B chronique ou d’hépatite C, d’IST, données de vaccination) ;
expositions à risque telles que les expositions sexuelles, les expositions sanguines ou les autres risques ;
signes cliniques ;
activités de dépistage du VIH, des hépatites B ou C et des IST et des résultats de ces tests et leur rendu auprès des patients ;
prescriptions et orientation du patient le cas échéant ;
numéro d’identification du consultant : une personne pouvant consulter à plusieurs reprises au cours d’une année dans un même CeGIDD, le numéro identifiant permettra d’identifier les doublons. Il sera attribué par le CeGIDD selon une classification qui lui est propre et Santé publique France ne disposera pas de table de correspondance entre ce numéro et l’identité de la personne ;
numéro du CeGIDD et date d’envoi des données par le CeGIDD.
Sur les destinataires
L’ensemble des données est accessible à un nombre limité de personnes spécialement habilitées au sein de la Direction des maladies infectieuses (DMI) de l’ANSP.
Les fichiers transmis annuellement à l’ANSP seront transmis à un prestataire extérieur France en vue d’un nettoyage des bases.
Les conditions de transmission et de conservation des données seront définies par Santé publique France dans le cadre d’un marché public.
Les données pourront être réutilisées, par des organismes extérieurs, dans le cadre de projets de recherche. Tout projet devra être soumis à Santé publique France pour accord avant la transmission des données demandées. Les organismes devront également justifier de l’accomplissement des formalités applicables, conformément aux dispositions du chapitre IX de la loi Informatique et Libertés.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et les droits des personnes
L’information s’agissant de l’enregistrement des données individuelles dans les logiciels de suivi des consultations est délivrée par chaque CeGGID aux personnes concernées au moyen d’un affichage.
Cette information précise que l’ANSP est destinataire d’une partie de ces données, dans le cadre de l’exercice de ses missions.
L’exercice des droits est effectué auprès de l’ANSP.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission prend acte de ce que la transmission de données entre le CeGIDD et l’ANSP s’effectuera à l’aide de fichiers de format .csv ou .xls par le biais d’un protocole sécurisé, prévoyant au besoin un chiffrement GPG préalable des données et le recours à une plateforme de transmission sécurisée Linkshare.
Les étapes sont les suivantes :
envoi des données des CeGGID vers l’ANSP, sous un format csv ou xls ;dépôt du fichier de données sur un serveur de Santé publique France sécurisé à travers le protocole HTTPS avec identifiant et mot de passe spécifique à l’expéditeur ;
mise à disposition des fichiers de données auprès du service de la DMI dans un répertoire sécurisé et envoi d’un mail pour prévenir de l'arrivée des données.
En cas de sollicitation d’un prestataire extérieur pour le nettoyage des bases, les échanges de fichiers avec le prestataire extérieur suivra la même procédure.
La Commission prend acte de ce protocole et rappelle que les échanges de données à caractère personnel doivent systématiquement faire l'objet de mesures visant à en garantir la confidentialité.
A ce titre, elle encourage fortement le responsable de traitement à recourir au chiffrement PGP tel qu’envisagé et rappelle qu’il est nécessaire de mettre en œuvre une procédure de gestion de clé adéquate et conforme à l’annexe B1 du référentiel général de sécurité.
La Commission prend également acte de ce que l’accès au serveur de Santé publique France s’effectue en utilisant le protocole HTTPS, qui permet de garantir la confidentialité des données échangées ainsi que l'authentification du serveur. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible.
S’agissant de la gestion de l’authentification sur ce serveur, la Commission note que l’expéditeur dispose d’un identifiant et mot de passe spécifique. Sur ce point, la Commission a élaboré, dans sa délibération n° 2017-012 du 19 janvier 2017, plusieurs recommandations relatives aux mots de passe. Elle invite dès lors le responsable de traitement à en prendre connaissance et à procéder aux éventuelles modifications nécessaires afin de mettre sa politique des mots de passe en conformité avec ces recommandations.
Par ailleurs, la Commission recommande que les permissions d'accès soient attribuées pour une durée déterminée, après validation, qu’elles soient supprimées pour tout utilisateur n'étant plus habilité et qu’une revue globale des habilitations soit opérée régulièrement.
Sur la durée de conservation des données
Les données seront conservées pendant vingt ans.
Le numéro d’identifiant sera supprimé de la base une fois le travail de dé- doublonnage réalisé et donc au plus tard à l’issue d’une année.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’Agence nationale de santé publique à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS