Délibération n° 2017-303 du 07 décembre 2017 autorisant la mise en œuvre par l’Agence nationale de santé publique  d’un traitement automatisé de données à caractère personnel ayant pour finalité un système de surveillance épidémiologique des accidents de la vie courante(Demande d’autorisation n° 914195
Nature: Autre autorisation

La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence nationale de santé publique (ANSP) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un système de surveillance épidémiologique des accidents de la vie courante ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M Alexandre LINDEN et après avoir entendu les observations de M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement ; 
Formule les observations suivantes :
Sur le responsable du traitement
Etablissement public administratif placé sous la tutelle du ministre chargé de la santé, l’Agence nationale de santé publique (ANSP) a, en application de l’article L. 1413-1 du code la santé publique, pour missions :
l'observation épidémiologique et la surveillance de l'état de santé des populations ;
la veille sur les risques sanitaires menaçant les populations ;
la promotion de la santé et la réduction des risques pour la santé ; 
le développement de la prévention et de l'éducation pour la santé ;
la préparation et la réponse aux menaces, alertes et crises sanitaires ;
le lancement de l'alerte sanitaire.
Sur la finalité
L’Enquête Permanente sur les Accidents de la vie Courante (EPAC) a été initiée en France en 1986 par le ministère chargé de la santé (direction générale de la santé) sous le nom de « European Home and Leisure Accident Surveillance System » (EHLASS) comme la partie française du système européen de surveillance « Injury data base » (IDB). 
Le recueil EHLASS a été transféré à l’Institut de veille sanitaire (InVS) en 2000. Il a été sensiblement remanié entre 2001 et 2003, portant désormais la dénomination d’EPAC. Il a fait l’objet d’une déclaration au Conseil national de l’informationstatistique (CNIS). Une évaluation scientifique d’EPAC, pilotée par la direction scientifique et la qualité de l’InVs, a été réalisée en 2012. Elle a reconnu la qualité, la pertinence et la spécificité du système de surveillance, auquel des moyens supplémentaires ont été alloués. L’ANSP poursuit à ce jour la mise en œuvre du système de surveillance EPAC. 
Les objectifs du système de surveillance EPAC sont les suivants :
disposer de résultats descriptifs détaillés, fiables et à jour sur le nombre et les caractéristiques des accidents de la vie courante (ACVC) survenant en France et donnant lieu à recours aux soins d’urgence en milieu hospitalier ;
estimer l’incidence de survenue des ACVC, leur évolution dans le temps et dans l’espace, leurs caractéristiques et celles des populations accidentées ;
définir des actions de prévention et de règlementation pour éviter les ACVC.
EPAC inclut tous les cas d’accidents de la vie courante pris en charge dans les services d’urgence des hôpitaux participants (une quinzaine dont dix sont situés en France métropolitaine). Le dispositif concerne les urgences adultes et/ou les urgences pédiatriques.
Sont concernés par le système de surveillance EPAC :
les traumatismes non intentionnels, par opposition aux traumatismes intentionnels tels que suicides et tentatives de suicide, agressions, violences, faits de guerre ;
les accidents de la vie courante, par opposition aux accidents du travail et accidents de la circulation. 
Sont inclus dans le système EPAC, bien qu’étant intentionnels, les bagarres entre enfants de moins de dix ans. Sont inclus également, bien qu’étant des accidents de la  circulation, les accidents de véhicule à roues sans moteurs (vélo, trottinette, roller). 
Ce traitement est justifié par un intérêt public au sens de l’article 8 IV de la loi et doit être autorisé par la CNIL en application de son article 25 I 1°.
La Commission considère que ces finalités sont déterminées, explicites et légitimes au sens de l’article 6 2° de la loi.
Sur les données traitées
Le principe du recueil EPAC repose sur l’enregistrement des recours aux urgences pour ACVC dans les hôpitaux participants, et la transmission à l’ANSP de données concernant la personne accidentée (âge, sexe, résidence, profil social), sa prise en charge (date et heure d’arrivée aux urgences, traitement, hospitalisation éventuelle), les caractéristiques immédiates de l’accident (mécanisme, lieu, activité, type de lésion, partie du corps lésée), les produits (agents, éléments) ayant causé ou étant impliqués dans l’accident.
Chaque ACVC est décliné en quarante-cinq items. 
Certains items sont renseignés à l’aide d’un code numérique et associés à une nomenclature : par exemple, le sexe du patient est un code numérique composé d’un chiffre entre 1 et 3 en référence à la nomenclature suivante : 1 = homme ; 2 = femme, 3 = inconnu.    
D’autres items sont renseignés « directement » :
date de naissance du patient (huit caractères correspondant au jour, au mois et à l’année) ;
code postal du lieu de résidence (cinq caractères) ;
date de l’accident (huit caractères) ;
heure de l’accident (deux caractères correspondant à l’heure) ;
code postal du lieu de l’accident (cinq caractères) ;
date d’accueil aux urgences (huit caractères) ;
heure d’accueil aux urgences (deux caractères) ;
date de sortie de l’hôpital.
Il est proposé au patient, dans certains hôpitaux, de remplir une fiche qu’il remet à l’urgentiste, décrivant les circonstances de survenue de l’accident.
L’ANSP, à partir des informations transmises, consolide annuellement sa base de données en plusieurs étapes : 
génération d’un numéro d’ordre (correspondant au nombre des enregistrements de l’année pour l’ensemble des hôpitaux) ;
extraction d’un « fichier outil » contenant le numéro d’ordre, le code de l’hôpital, le numéro de cas (propre à chaque hôpital) et la date de naissance ;  
ces « fichiers outil » (un par année) sont conservés et archivés à l’ANSP, dans des conditions d’accès strictes, en prévision d’études ancillaires futures sur le devenir des patients accidentés, à long terme. Ces études feront, le cas échéant, l’objet de demandes d’autorisation spécifiques auprès de la Commission ;
suppression de l’item correspondant au numéro de cas, suppression du jour et mois de naissance pour les patients de plus de deux ans, suppression du jour de naissance pour les patients de moins de deux ans.
Sur les destinataires
L’ensemble des données est accessible à un nombre limité de personnes spécialement habilitées au sein de l’ANSP.
L’accès à la base de données consolidée pourra être accordé à des équipes scientifiques, sur demande à l’ANSP, qui jugera de la validité du projet scientifique. La Commission rappelle que les traitements de données de santé à caractère personnel qui seront mis en œuvre, à des fins de recherche dans le domaine de la santé, à partir des données extraites du système de surveillance EPAC, sont des traitements distincts qui devront faire l’objet de formalités propres au titre du chapitre IX de la loi.
Sur l’information et les droits des personnes
Les modalités d’information des personnes sont les suivantes :
affichage dans les services d’urgence indiquant que l’hôpital contribue au système de surveillance EPAC ;
remise d’une note d’information aux patients qui se présentent à l’accueil des urgences pour accident de la vie courante. Cette note explicite les objectifs de la surveillance et mentionne les modalités d’exercice des droits prévus par la loi ;
lors de la prise en charge, le patient est informé par l’urgentiste de la participation de l’hôpital au recueil des données dans le cadre du système de surveillance EPAC et des modalités d’exercice de ses droits. Si le patient n’est pas en mesure de recevoir l’information, l’urgentiste s’adressera à un proche du patient.
Les droits s’exercent auprès de l’ANSP.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission note qu’afin de permettre la collecte des informations, un logiciel de saisie, développé sous la responsabilité de l’ANSP, est fourni gratuitement aux hôpitaux du réseau sur demande. 
Ce logiciel doit être installé sur un ordinateur sécurisé dans l’hôpital accessible par mot de passe uniquement aux seules personnes habilitées dans le cadre de leur travail de collecte des données EPAC.
La Commission prend acte de ce que les hôpitaux peuvent aussi, s’ils le souhaitent, développer leur propre logiciel dont les caractéristiques doivent être identiques.
La Commission rappelle, s’agissant des mots de passe, qu’elle a élaboré, dans sa délibération n° 2017-012 du 19 janvier 2017, plusieurs recommandations relatives à ces derniers. Elle invite dès lors le responsable de traitement à en prendre connaissance afin que sa politique de gestion des mots de passe soit en conformité avec ces recommandations.
La Commission note ensuite que les données ainsi collectées sont vérifiées, complétées et consolidées localement avant transmission sécurisée à l’ANSP. La Commission relève ainsi que le logiciel effectue un chiffrement des données avant ladite transmission. Par ailleurs, les hôpitaux ont la faculté de transmettre ces données à l’ANSP par tout autre moyen de leur choix à condition que cette transmission soit sécurisée.
La Commission prend acte du chiffrement des données et rappelle que les données doivent être chiffrées avec des algorithmes et des procédures de gestion de clés conformes à l'annexe B1 du référentiel général de sécurité.
La Commission note qu’à la réception le fichier chiffré arrive sur une plateforme de réception propre à l’ANSP où il est déchiffré puis transmis aux seules personnes de l’ANSP habilitées à y avoir accès. La Commission prend bonne note des moyens de sauvegardes mis en œuvre par l’ANSP, des outils de sécurité ainsi que de sa politique de sécurité interne.
Sur la durée de conservation des données
Les données sont conservées pendant vingt ans afin de permettre la réalisation d’analyses de l’évolution des ACVC, sur le long terme.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’Agence nationale de santé publique à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président Délégué
Marie-France MAZARS