Délibération n° 2024-002 du 11 janvier 2024 portant avis sur un projet de décret relatif à la mise en œuvre de traitements d'images au moyen de caméras embarquées dans les véhicules, embarcations et autres moyens de transport des forces de sécurité intérieure et des acteurs de la sécurité civile

Date de l’avis : 11 janvier 2024 N° de la délibération : 2024-002 N° de demande d’avis : 23013610 N° d’acte réglementaire unique : RU-80 Organisme(s) à l’origine de la saisine : ministère de l’intérieur et des outre-mer et ministère de l’économie, des finances et de la souveraineté industrielle et numérique Textes concernés : projet de décret relatif à la mise en œuvre de traitements d’images au moyen de caméras embarquées dans les véhicules, embarcations et autres moyens de transport des forces de sécurité intérieure et des acteurs de la sécurité civile Thématiques : caméras embarquées, forces de sécurité intérieure, acteurs de la sécurité civile Fondement de la saisine : article L. 243-5 du code de la sécurité intérieure L’essentiel : 1. La CNIL a été saisie d’un projet de décret d’application relatif aux dispositions du code de la sécurité intérieure autorisant les forces de l’ordre, les douanes et les acteurs de la sécurité civile à utiliser des caméras embarquées aux fin d’assurer la sécurité de leurs interventions. 2. Le projet de décret constitue un acte réglementaire unique. L’analyse d’impact relative à la protection des données (AIPD) cadre qui a été transmise à la CNIL ne lui permet pas de s’assurer des solutions et procédures mises en œuvre pour garantir la sécurité des traitements projetés. Elle considère que les AIPD complémentaires transmises par les responsables de traitement lors de l’envoi de l’engagement de conformité devront être complétées, notamment sur les modalités de transmission en temps réel des enregistrements et d’accès direct aux enregistrements par les personnels. 3. La CNIL rappelle que l’information des personnes doit comporter l’ensemble des mentions d’information exigées par la réglementation sur la protection des données. LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (" loi informatique et libertés "), notamment son article 31 et son titre III ; Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement, ADOPTE LA DÉLIBÉRATION SUIVANTE : I. La saisine A. Le contexte Les articles L. 243-1 à L. 243-5 du code de la sécurité intérieure (CSI) ont créé un cadre juridique autorisant la captation d’images au moyen de caméras embarquées dans les véhicules, embarcations et autres moyens de transport par : les agents de la police nationale ; les agents des douanes ; les militaires de la gendarmerie nationale ; les sapeurs-pompiers professionnels et volontaires des services d’incendie et de secours ; les personnels des services de l’État et les militaires des unités investis à titre permanent de missions de sécurité civile. Des traitements de données à caractère personnel provenant des caméras embarquées peuvent être mis en œuvre aux seules fins d’assurer la sécurité des interventions de ces personnels dans l’exercice des missions de prévention des atteintes à l’ordre public et de protection des personnes et des biens. Le CSI prévoit certaines garanties. Notamment : l’enregistrement n’est pas permanent et ne peut être déclenché que lorsque se produit ou est susceptible de se produire un incident, eu égard aux circonstances ou au comportement des personnes concernées ; un signal visuel ou sonore spécifique indique si un enregistrement est en cours ; les caméras embarquées ne peuvent pas comporter de traitements automatisés de reconnaissance faciale ; ces dispositifs ne peuvent procéder à aucun rapprochement, interconnexion ou mise en relation automatisée avec d’autres traitements de données à caractère personnel. Eu égard aux finalités poursuivies par les traitements, ces derniers relèvent, d’une part, du régime de la directive " police-justice " transposée au titre III de la loi " informatique et libertés " lorsqu’ils sont mis en œuvre par les services de police nationale, de la gendarmerie nationale et des douanes, et d’autre part, du régime du RGPD lorsqu’ils sont mis en œuvre par les acteurs de la sécurité civile. B. L’objet de la saisine La CNIL a été saisie par le ministère de l’intérieur pour avis sur un projet de décret précisant les modalités d’application des articles L. 243-1 à L. 243-5 du CSI, et d’utilisation des données collectées. Ce projet de décret constitue un acte réglementaire unique conformément au IV de l’article 31 de la loi " informatique et libertés ". La mise en œuvre des traitements est ainsi subordonnée à l’envoi préalable à la CNIL, par le responsable de traitement, d’un engagement de conformité aux dispositions du présent projet de décret, ainsi que d’une analyse d’impact relative à la protection des données à caractère personnel (AIPD) précisant les caractéristiques particulières de chacun des traitements mis en œuvre. Cette AIPD précisera les caractéristiques qui ne figurent pas dans l’AIPD cadre transmise par le ministère de l’intérieur et le ministère chargé des douanes à la CNIL. Le ministère de l’intérieur et le ministère chargé des douanes ont indiqué ne pas disposer à l’heure actuelle de caméras embarquées qui répondent à l’ensemble des conditions fixées par la loi (par exemple, l’exigence relative au processus d’authentification forte permettant d’assurer l’intégrité et la traçabilité des enregistrements). À la suite de la publication de ce projet de décret, les ministères réaliseront des " tests " de matériels dans le respect des dispositions législatives du CSI relatives aux caméras embarquées, afin d’identifier les dispositifs correspondant le mieux aux besoins opérationnels exprimés par les services (notamment sur la qualité vidéo et la durée des batteries). Le matériel retenu et utilisé par chaque service et ses caractéristiques techniques seront portés à la connaissance de la CNIL lors de l’envoi par ces derniers de l’engagement de conformité, accompagné d’une AIPD. II. L’avis de la CNIL A. Sur les modalités de fonctionnement des dispositifs Les types de véhicules sur lesquels pourront être déployées des caméras embarquées sont les véhicules terrestres, ainsi que les véhicules maritimes s’agissant des agents des douanes. Les véhicules aériens sont exclus dans la mesure où un cadre légal spécifique s’applique aux caméras installées sur des aéronefs (articles L. 242-1 à L. 242-8 du CSI). L’article L. 243-1 du CSI prévoit que les caméras embarquées filmeront " des lieux publics ". Ces caméras pourront dès lors filmer uniquement la voie publique et les lieux ouverts au public, à l’exclusion des lieux privés. L’article L. 243-4 du CSI précise à cet égard que lorsque l’emploi de ces caméras conduit à visualiser l’intérieur des domiciles ou leurs entrées, l’enregistrement est immédiatement interrompu. Toutefois, lorsqu’une telle interruption n’a pas pu avoir lieu en raison des circonstances de l’intervention, les images sont supprimées dans un délai de quarante-huit heures à compter de la fin du déploiement du dispositif, sauf lorsque les images sont transmises à l’autorité judiciaire dans ce délai, à l’occasion d’un signalement. Le ministère indique que l’emplacement des caméras sur les véhicules sera précisé dans les AIPD complémentaires réalisées par les services utilisateurs et envoyées à la CNIL lors des engagements de conformité. La CNIL rappelle que conformément à l’article L. 243-1 du CSI, et en l’état des précisions apportées à ce stade, les caméras seront positionnées de telle sorte à ne filmer que la voie publique. Les caméras embarquées ne seront pas associées à des logiciels permettant une analyse automatique de l’image (vidéo " augmentée "), ce qui constitue une garantie pour la protection des données à caractère personnel. La CNIL estime que ces précisions devront figurer dans l’AIPD cadre. L’article L. 243-1 du CSI prévoit que les agents concernés peuvent être autorisés à procéder, au moyen de caméras embarquées, à un enregistrement de leurs interventions " lorsque se produit ou est susceptible de se produire un incident, eu égard aux circonstances ou au comportement des personnes concernées ". La CNIL considère que les doctrines d’emploi devraient apporter des précisions sur les conditions d’utilisation des caméras embarquées et de déclenchement des enregistrements. Par ailleurs, la loi et le projet de décret prévoient que, dans certaines circonstances, les enregistrements peuvent faire l’objet, d’une part, d’une transmission en temps réel au poste de commandement du service concerné et aux personnels impliqués dans la conduite et l’exécution de l’intervention et, d’autre part, d’un accès direct par les personnels participant à l’intervention. L’AIPD cadre donne des exemples d’hypothèses où une transmission d’images en temps réel ou un accès direct aux enregistrements par les personnels est nécessaire. La CNIL prend acte de ce que les doctrines d’emploi expliciteront les critères justifiant la transmission en temps réel des enregistrements et leur accès direct par les personnels. Elle estime que les AIPD complémentaires transmises par les responsables de traitement lors de l’envoi de l’engagement de conformité devront être complétées sur les modalités techniques de transmission en temps réel avant leur mise en œuvre. B. Sur les droits des personnes S’agissant du droit à l’information, le projet d’article R. 243-7 du CSI précise qu’" une information générale du public sur l’emploi des caméras embarquées est délivrée sur les sites internet du ministère de l’intérieur et du ministère chargé des douanes ". L’article L. 243-2 du CSI prévoit que le public est informé, par une signalétique apposée sur le moyen de transport, que celui-ci est équipé d’une caméra. Toutefois, cette obligation ne s’applique pas " aux véhicules ne comportant pas d’équipements ou de dispositifs de signalisation spécifiques et affectés à des missions impliquant l’absence d’identification du service concerné ". La CNIL considère que, d’une part, l’AIPD cadre devrait apporter des précisions sur la signalétique à apposer et que, d’autre part, le décret pourrait préciser les exceptions dans lesquelles elle ne sera pas présente. Elle prend acte de ce que des exemples de cas d’usage à cette dérogation pourront être apportés dans les doctrines d’emploi (notamment le cas d’usage des véhicules banalisés). Pour les traitements relevant du régime du RGPD, dans la mesure où les données sont collectées directement après des personnes concernées, l’information doit se faire au moment de la collecte de données (c’est-à-dire au moment de l’enregistrement). L’information générale du public sur les sites web du ministère de l’intérieur et du ministère chargé des douanes ne satisfait pas à cette exigence. De plus, en l’état des informations dont dispose la CNIL, la signalétique spécifique apposée sur le moyen de transport ne comporte pas l’ensemble des mentions d’information exigées au titre de l’article 13 du RGPD et le signal visuel ou sonore spécifique émis au moment de l’enregistrement, du fait même de sa nature, ne saurait pallier cette absence. En l’espèce, telles qu’exposées, les modalités de mise en œuvre du dispositif ne permettent pas de fournir aux personnes filmées l’ensemble des mentions d’information exigées au titre de l’article 13 du RGPD au moment du déclenchement de l’enregistrement. Dans ces conditions, et sans remettre en cause le principe d’une information générale du public sur les sites web du ministère de l’intérieur et du ministère chargé des douanes, la CNIL prend acte de ce que le projet de décret sera modifié afin d’indiquer la limitation au droit à l’information prévue au c) du 1 de l’article 23 du RGPD (la sécurité publique). Pour les traitements relevant du régime de la directive " police-justice ", les articles 104 et 109 de la loi " informatique et libertés " imposent au responsable de traitement de " mettre à disposition " l’information auprès des personnes, " par tout moyen approprié, y compris par voie électronique et, de manière générale, sous la même forme que la demande ". La CNIL rappelle que, sauf à ce que des restrictions soient formellement prévues, l’information générale du public sur les sites web du ministère de l’intérieur et du ministère chargé des douanes devra comporter l’ensemble des mentions exigées par l’article 104 de la loi " informatique et libertés ". S’agissant du droit à l’effacement, pour les traitements relevant du régime du RGPD, le projet d’article R. 243-8 du CSI prévoit que ce droit est applicable. Cette mention semble erronée dans la mesure où l’article 17.3.b du RGPD prévoit que le droit à l’effacement n’est pas applicable pour les traitements fondés sur la base légale relative à la mission d’intérêt public, ce qui est le cas en l’espèce. La CNIL prend acte de ce que le projet de décret sera modifié sur ce point afin d’indiquer que ce droit n’est pas applicable. C. Sur les mesures de sécurité L’AIPD cadre ne permettant pas à la CNIL de s’assurer des solutions et procédures mises en œuvre pour garantir la sécurité des traitements projetés, la CNIL propose de remplacer le II du projet d’article R. 243-2 du CSI par la rédaction suivante : " Les caméras sont équipées de dispositifs techniques permettant de garantir la disponibilité, la confidentialité et l'intégrité des enregistrements". Une rédaction similaire a été utilisée à l’article R. 253-2 du CSI dans sa rédaction issue du décret n° 2023-1102 du 27 novembre 2023 relatif à la mise en œuvre des traitements de données à caractère personnel provenant de systèmes de vidéoprotection. La CNIL relève que les AIPD devront être complétées et mises à jour lorsque les dispositifs seront choisis et mis en place. Elle appelle le ministère et les futurs responsables de traitement à s’assurer de la complétude des AIPD sur les caractéristiques particulières de chacun des traitements (notamment les mesures techniques et organisationnelles pour la consultation des images, leur enregistrement et le déchargement des contenus vidéo) avant leur déploiement opérationnel. La Présidente M-L. Denis


Délibération n° 2023-115 du 9 novembre 2023 portant avis sur un projet de décret modifiant la liste des services autorisés à accéder aux traitements automatisés de données à caractère personnel prévus à l'article 230-6 du code de procédure pénale mentionnés à l'article R. 234-3 du code de la sécurité intérieure

Date de l’avis : 9 novembre 2023 N° de la délibération : 2023-115 N° de demande d’avis : 23010915 Texte concerné : projet de décret modifiant la liste des services autorisés à accéder aux traitements automatisés de données à caractère personnel prévus à l'article 230-6 du code de procédure pénale mentionnés à l’article R. 234-3 du code de la sécurité intérieure Thématiques : traitement d’antécédents judiciaires, intérêts fondamentaux de la Nation, services de renseignement Fondement de la saisine : article 8-I-4-a) de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés L’essentiel : La loi n° 2023-22 d’orientation et de programmation du ministère de l’intérieur a étendu les finalités pouvant donner lieu à la consultation, par les services de renseignement, des traitements d’antécédents judiciaires prévus par l’article 230-6 du code de procédure pénale. Le projet de décret fixe la liste des services pouvant y accéder pour les nouvelles finalités prévues par la loi. En outre, il étend le périmètre des services pouvant consulter les traitements pour les autres finalités. Ces évolutions découlent en grande partie de l’extension des finalités d’accès prévue par le législateur. La CNIL souligne que des mesures devront être mises en place pour garantir que : les accès sont accordés en fonction du besoin d'en connaître des agents des services concernés, au regard de leurs missions ; chaque consultation s’effectue dans le respect des finalités au titre desquelles ces agents disposent d’un accès. Un mécanisme automatique de contrôle des données de traçabilité permettrait d’améliorer la sécurité de ces opérations. LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, ADOPTE LA DÉLIBÉRATION SUIVANTE : I. La saisine A. Le contexte Le traitement d’antécédents judiciaires (ci-après " TAJ ") peut être consulté, par certains services, dans le cadre de missions de renseignement. En premier lieu, la loi n° 2015-912 du 24 juillet 2015 relative au renseignement a consacré la possibilité, pour ces services, de consulter les traitements d’antécédents judiciaires pour la protection des intérêts fondamentaux de la Nation mentionnés aux 1°, 4° et 5° de l'article L. 811-3 du code de la sécurité intérieure (CSI). Ces finalités correspondent à la protection de " l'indépendance nationale, l'intégrité du territoire et la défense nationale ", à la " prévention du terrorisme ", ainsi qu’à la prévention " des atteintes à la forme républicaine des institutions ", " des actions tendant au maintien ou à la reconstitution de groupements dissous ", et " des violences collectives de nature à porter gravement atteinte à la paix publique ". L’article R. 234-3 du CSI énumère les services de renseignement des premier et second cercles qui disposent d’un accès en consultation aux données du TAJ (à l’exclusion de celles relatives aux victimes) au titre de chacun de ces intérêts. Les services du premier cercle correspondent aux six services spécialisés de renseignement pouvant mettre en œuvre des techniques de renseignement pour la défense et la promotion des intérêts fondamentaux de la Nation. Les services du second cercle correspondent aux " services, autres que les services spécialisés de renseignement ", qui peuvent être autorisés à mettre en œuvre certaines techniques de renseignement pour des finalités s’inscrivant dans le cadre de leurs missions (v. les articles L. 811-2 et s. du CSI). La CNIL s’est plusieurs fois prononcée sur l’accès de ces services au TAJ (v. CNIL, SP, 7 mai 2015, avis sur projet de décret, TAJ, n° 2015-136, publié ; CNIL, SP, 10 décembre 2015, avis sur projet de décret, TAJ, n° 2015-429, publié ; CNIL, SP, 15 juin 2017, avis sur projet de décret, TAJ, n° 2017-180, publié). En second lieu, la loi n° 2023-22 du 24 janvier 2023 d'orientation et de programmation du ministère de l'intérieur (LOPMI) a étendu la liste des finalités pour lesquelles les traitements d’antécédents judiciaires peuvent être consultés. Les nouvelles finalités correspondent à la protection des intérêts énumérés aux 2°, 3° et 6° de l’article L. 811-1 du CSI (" les intérêts majeurs de la politique étrangère, l'exécution des engagements européens et internationaux de la France et la prévention de toute forme d'ingérence étrangère ", " les intérêts économiques, industriels et scientifiques majeurs de la France ", et " la prévention de la criminalité et de la délinquance organisées "). B. L’objet de la saisine Le ministère de l’intérieur a saisi la CNIL d’un projet de décret modifiant la liste des services autorisés à accéder aux traitements automatisés de données à caractère personnel prévus à l'article 230-6 du code de procédure pénale mentionnés à l’article R. 234-3 du code de la sécurité intérieure. Ce projet énumère les services concernés par la nouvelle possibilité de consultation au titre de la protection des intérêts fondamentaux de la Nation visés aux 2°, 3° et 6° de l’article L. 811-3 du CSI. En outre, il étend la liste des services pouvant consulter les traitements d’antécédents judiciaires pour la protection des intérêts mentionnés aux 1°, 4° et 5° du même article. II. L’avis de la CNIL S’il ne lui appartient pas de se prononcer sur les finalités fixées par le législateur, la CNIL considère que chaque nouvel accès doit être justifié au regard des missions des services concernés. Elle estime, par ailleurs, que l’élargissement du périmètre des services pouvant accéder au TAJ doit être assorti de garanties appropriées. A. Sur l’extension de la liste des services pouvant consulter les traitements pour la protection des intérêts fondamentaux de la Nation Les services concernés par la nouvelle possibilité de consultation (au titre de la protection des intérêts visés aux 2°, 3° et 6° de l’article L. 811-3 du CSI) comprennent des services de renseignement du premier cercle (pour toutes les nouvelles finalités) et du second cercle (pour les seuls besoins de la prévention de la criminalité et de la délinquance organisées). Par ailleurs, les nouveaux services accédant aux traitements pour les finalités mentionnées aux 1°, 4° et 5° de l'article L. 811-3 du CSI correspondent aux services du second cercle qui peuvent mettre en œuvre des techniques de renseignement au titre de ces mêmes finalités (v. l’article R. 811-2 du CSI). La CNIL prend acte de ce que ces nouvelles consultations s’inscriront dans le cadre des missions confiées aux différents services énumérés par le projet de décret, et permettront, dans ces conditions, de disposer d’informations complémentaires aux éléments directement recueillis par ces services (mise en œuvre de techniques de renseignement, consultation d’autres fichiers, etc.). Au regard des éléments communiqués par le ministère, le projet de décret n’appelle pas d’autre observation. B. Sur les garanties entourant cette consultation L’extension projetée entrainera une multiplication des cadres de consultation du TAJ, une augmentation du nombre d’accès au traitement, ainsi qu’un accroissement du volume des personnes concernées par le traitement de leurs données. Ainsi, des garanties particulières devront être mises en place pour limiter l’atteinte à la vie privée de ces personnes. En premier lieu, les opérations de consultation feront l’objet d’une journalisation, conformément à l’article R. 40-30 du CPP. La CNIL souligne que la mise en œuvre d’un mécanisme automatique de contrôle des données de traçabilité permettrait d’améliorer la sécurité du traitement par la génération d’alertes en temps réel. D’autres mesures devront être prises pour garantir que, dans chaque administration concernée, seuls les agents des services limitativement énumérés par l’article R. 234-4 du CSI peuvent consulter le TAJ, les accès sont accordés en fonction du besoin d'en connaître des agents concernés, au regard de leurs missions, chaque consultation s’effectue dans le respect des finalités au titre desquelles ces agents peuvent accéder au TAJ. En deuxième lieu, les accès au traitement se limitent à une consultation simple. Selon les précisions apportées, cette consultation n’entrainera aucune interconnexion avec d’autres traitements. En troisième lieu, la consultation de données inexactes serait de nature à nuire au bon exercice des missions des services disposant d’un accès. Les données ainsi consultées devront être traitées avec la plus grande prudence. Les agents des services de renseignement concernés devront être sensibilisés sur ce point. En dernier lieu, l’analyse d’impact relative à la protection des données du TAJ devra être mise à jour pour prendre en compte l’extension de la liste des services de renseignement disposant d’un accès. La Présidente M-L. Denis


Délibération n° 2024-015 du 7 mars 2024 portant élection du président de la formation restreinte de la Commission nationale de l'informatique et des libertés

La Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 9 ; Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 6 ; Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 16 ; Après avoir procédé au vote, Constate : Article 1 M. Philippe-Pierre CABOURDIN est élu président de la formation restreinte de la Commission. Article 2 La présente délibération sera publiée au Journal officiel de la République française. La présidente, M.-L. DENIS


Délibération n° 2024-016 du 7 mars 2024 portant élection de quatre membres de la formation restreinte de la Commission nationale de l'informatique et des libertés

La Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 9 ; Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 6 ; Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 16 ; Après avoir procédé au vote en présence de M. Damien MILIC, commissaire du Gouvernement, Constate : Article 1 M. Philippe-Pierre CABOURDIN, M. Alain DRU, Mme Laurence FRANCESCHINI et M. Vincent LESCLOUS sont élus membres de la formation restreinte de la Commission. Article 2 La présente délibération sera publiée au Journal officiel de la République française. La présidente, M.-L. Denis


Délibération n° 2023-149 du 21 décembre 2023 portant décision unique et autorisant la SOCIÉTÉ D’EXPLOITATION DE L’HEBDOMADAIRE LE POINT "SEBDO" à mettre en œuvre des traitements automatisés à des fins de recherche, d’étude et d’évaluation nécessitant un accès aux données nationales du programme de médicalisation des systèmes d’information (PMSI)
(Saisine n° 923282)

La Commission nationale de l'informatique et des libertés, Saisie le 15 novembre 2023 par la Société d’exploitation de l’hebdomadaire Le Point "SEBDO" d’une demande d’autorisation relative des traitements automatisés à des fins de recherche, d’étude et d’évaluation nécessitant un accès aux données nationales du programme de médicalisation des systèmes d’information (ci-après "PMSI") ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après "RGPD") ; Vu le code de la santé publique ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants (ci-après loi "informatique et libertés") ; Vu l’avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (ci-après le "CESREES") du 19 octobre 2023 ; Vu le dossier et ses compléments ; Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement ; Considérant ce qui suit : Afin d’établir son "palmarès annuel des hôpitaux et des cliniques", la Société d’exploitation de l’hebdomadaire Le Point (ci-après la société SEBDO) procède chaque année à l’analyse de données publiques, des réponses aux questionnaires qu’elle adresse aux établissements et des données contenues dans le PMSI. Le PMSI consiste en un recueil synthétique et standardisé d'informations administratives et médicales au sein des établissements de santé, publics ou privés, à but lucratif ou à but non lucratif, dont les objectifs principaux sont d'organiser les soins hospitaliers sur le territoire français (planification) et de financer les établissements en fonction de leur activité (tarification à l'activité). L’analyse de ces données, qui sont pseudonymisées, nécessite la mise en œuvre de traitements automatisés de données à caractère personnel, soumis au RGPD et à la loi "informatique et libertés". Ces traitements doivent être autorisés selon les procédures définies à la section 3 du chapitre III du titre II de la loi, et plus particulièrement les articles 66, 72 et suivants qui prévoient le régime juridique et les formalités préalables applicables aux recherches, études ou évaluations dans le domaine de la santé. Lorsque le traitement envisagé est mis en œuvre dans le cadre d’une étude, d’une évaluation ou d’une recherche n’impliquant pas la personne humaine et n’est pas conforme à une méthodologie de référence, il doit être autorisé par la CNIL après avis du CESREES. Saisie en juin 2022 par la société SEBDO d’une demande d’autorisation dans le cadre de l’établissement de ses palmarès des années 2022 à 2024, la CNIL a considéré, tout en tenant compte de la nature particulière du demandeur, que les traitements de données du PMSI ne pouvaient être autorisés en l’état. Cette décision de refus d’autorisation a fait l’objet d’un recours devant le Conseil d’Etat qui, par une décision du 30 juin 2023, a rejeté cette requête. La CNIL a été saisie le 15 novembre 2023 par la société SEBDO d’une demande d’autorisation dans le cadre de l’établissement de ses palmarès des années 2024 à 2026. Le dossier de demande présenté par la société SEBDO a fait l’objet, le 19 octobre 2023, d’un avis favorable de la part du CESREES comportant cinq recommandations portant notamment sur la pondération des différents indicateurs et sur l’information du public quant aux modalités d’établissement du classement. Un courrier de réponse à chacune de ces recommandations a été transmis à la CNIL lors du dépôt de la demande d’autorisation. Sur la licéité des traitements : Les traitements mis en œuvre par la société SEBDO s’inscrivent dans le cadre de son projet éditorial. Ils sont nécessaires aux fins des intérêts légitimes qu’elle poursuit, prenant en considération, d’une part, le caractère pseudonymisé des données issues du PMSI et, d’autre part, des garanties, notamment en termes de droits des personnes, prévues par les textes encadrant la mise à disposition des données du SNDS. Ces traitements sont, à ce titre, licites au regard de l’article 6,1,f) du RGPD. Sur la finalité des traitements et leur caractère d’intérêt public : Les traitements de données du PMSI aux fins d’établissement des classements hospitaliers de la société SEBDO répondent à l’une des finalités d’utilisation des données du SNDS prévue au 1° du III de l’article L. 1461-1 du CSP. Ces traitements participent à l’information sur la qualité de l’offre de soins, tout en s’inscrivant dans le cadre de la liberté d’information et de la liberté de la presse. Si cette finalité est susceptible, en elle-même, de répondre à un motif d’intérêt public, il convient de vérifier que les modalités de mise en œuvre de ces traitements ne viennent pas faire obstacle à l’atteinte de cet intérêt public. Pour ce faire, la CNIL tient notamment compte de la finalité de l’étude, de la rigueur de la méthodologie ainsi que des efforts de transparence et de publication des résultats vis-à-vis des destinataires et des personnes dont les données seront exploitées. En présence de traitements à des fins journalistiques, ainsi que l’a rappelé le Conseil d’Etat dans sa décision, il y a lieu de tenir compte de la qualité du demandeur pour apprécier l’intérêt public. Le fait que les choix méthodologiques ne soient pas étayés par la littérature scientifique ne constitue pas un obstacle à la reconnaissance d’un intérêt public dès lors que le responsable de traitement apporte des garanties méthodologiques et de transparence"propres à éviter que les lecteurs ne puissent être induits en erreur quant à la valeur et à la portée du classement". Il appartient donc à la CNIL, éclairée par l’avis du CESREES, d’apprécier si les caractéristiques du dossier de demande permettent de considérer que les traitements envisagés par la société SEBDO présentent désormais un caractère d’intérêt public. S’agissant de la méthodologie des traitements envisagés par la société SEBDO : Elle a fait l’objet de plusieurs ajustements concernant les indicateurs calculés à partir des données du PMSI et leurs pondérations. D’une part, la société SEBDO a modifié les modalités d’élaboration de certains indicateurs : fournie à titre informatif, la notoriété de l’établissement ne sera pas prise en compte pour l’établissement du classement ; le critère de la durée moyenne du séjour sera pondéré en fonction de la gravité des cas pris en charge ; le critère du taux d’intervention en ambulatoire ne sera pas pris en compte dans les spécialités où cette pratique n’est médicalement pas possible. Le dossier de demande mentionne que la détermination de certains des indicateurs ne relève plus de la seule liberté éditoriale du demandeur mais est justifiée par des publications officielles et de la littérature. La CNIL relève que ces modalités de calcul des indicateurs ont été examinées par le CESREES qui n’a émis aucune recommandation spécifique à ce sujet. D’autre part, la société SEBDO, tout en apportant des précisions concernant la pondération entre les différents indicateurs, considère que cette dernière résulte de ses "choix éditoriaux" et est susceptible de varier en fonction des pathologies, sans que les modalités de variation soient communiquées. Considérant qu’il s’agissait d’un "défaut méthodologique majeur", le CESREES a invité la société SEBDO à faire preuve de davantage de transparence sur le poids respectifs des différents critères. La CNIL reprend à son compte cette invitation. Elle estime toutefois que, eu égard au caractère journalistique de l’enquête envisagée, qui ne constitue pas une publication scientifique, le fait de ne pas avoir le détail de la pondération ne fait pas obstacle à ce que l’intérêt public du projet soit reconnu, sous réserve que la méthodologie retenue soit suffisamment transparente vis-à-vis des personnes concernées. S’agissant de la transparence de la méthodologie : La notice consacrée à la méthodologie d’élaboration du palmarès sera librement accessible au public sur le site web du journal Le Point, ce que la CNIL accueille favorablement. Sur ce point, le CESREES a estimé que "l’intérêt public ne peut être préservé que si une information appropriée du public est assurée"et a recommandé à la société SEBDO que "les modalités complètes et précises d’établissement des classements dans chaque domaine ou spécialité soient mis à la disposition du public, et notamment l’utilisation d’une pondération qui peut varier en fonction de choix éditoriaux de la revue". La CNIL rejoint cette analyse, considérant que ces efforts de transparence supplémentaires ne pourront être pris en compte dans l’appréciation de l’intérêt public des traitements envisagés par la société SEBDO qu’à la condition que l’information relative à la méthodologie employée soit suffisamment détaillée afin de permettre aux personnes concernées par ce traitement et aux lecteurs du palmarès d’en apprécier la qualité ou les biais. Suite à l’avis du CESREES , la société SEBDO a apporté davantage de précisions sur le contenu de cette notice méthodologique. Cette dernière comportera : des précisions sur la prise en compte des sources de données autres que celles du PMSI dans l’élaboration du classement (enjeux liés à l’administration des questionnaires aux établissements et leurs modalités de prise en compte, rôle dévolu aux centres de référence, etc.) ; des explications sur la construction et les modalités de prise en compte des différents indicateurs calculés à partir des données du PMSI ainsi que les motifs de variation des pondérations ; des avertissements relatifs aux limites des différents indicateurs et aux limites globales du classement. Cette notice n’ayant pas été transmise dans le dossier, la CNIL demande à la société SEBDO de la lui transmettre au moment de sa publication. Dans ces conditions , eu égard à la qualité du demandeur, la CNIL estime que la société SEBDO a apporté des garanties méthodologiques et de transparence destinées à éviter que le public puisse être induit en erreur quant à la valeur et à la portée de ce classement. La CNIL considère donc que la finalité des traitements est déterminée, explicite et légitime, conformément à l’article 5,1,b) du RGPD et que ces traitements présentent une finalité d’intérêt public conformément à l’article 66.I de la loi. Sur le traitement de données issues du Système national des données de santé (SNDS) : La société SEBDO ne doit traiter, pour chacun des traitements mis en œuvre dans le cadre de la présente décision unique, que les données strictement nécessaires et pertinentes au regard des objectifs des traitements. Outre le fichier spécifique permettant de relier toutes les données du PMSI concernant un même patient (fichier "ANO"), les données concernant les activités suivantes sont nécessaires à la réalisation de ces études : médecine, chirurgie, obstétrique et odontologie (MCO) ; recueil d'information médicalisée en psychiatrie (RIM-P). Les traitements inclus dans le cadre de la décision unique portent sur les données du PMSI des années 2022 à 2024, sous réserve qu’elles soient diffusables par l’ATIH. Conformément à l'article 30 du RGPD, la société SEBDO devra tenir à jour, au sein du registre des activités de traitement, la liste de ceux mis en œuvre dans le cadre de la présente décision unique. Par ailleurs, le caractère adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités pour lesquelles les données sont traitées, la zone géographique concernée et la profondeur historique des données consultées devront être justifiés dans ce registre pour chaque traitement mis en œuvre dans le cadre cette décision unique. Enfin, les données du PMSI étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce, et notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique. Sur les catégories d’accédants et de destinataires des données : Seuls le responsable du traitement et les personnes habilitées par lui auront accès aux données dans le cadre de la présente décision unique. Le responsable de traitement tiendra à jour des documents indiquant quelles sont les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations. Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal. La qualification des personnes habilitées et leurs droits d'accès devront être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement. Sur l’information et les droits des personnes : Les dispositions de l’article 69 de la loi "informatique et libertés" sont applicables à tous les traitements réalisés à partir de données du SNDS. Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. La CNIL demande qu’une information relative aux traitements mis en œuvre soit rendue publique sur le site web du journal "Le Point". Elle devra comporter l’ensemble des mentions prévues par l’article 14 du RGPD. Cette information pourrait par exemple être jointe à la notice méthodologique qui sera publiée sur le site du journal, à condition d’être clairement identifiée en son sein. Les personnes concernées pourront exercer leurs droits d'accès, de rectification, d'effacement, de limitation du traitement et d'opposition concernant directement auprès du délégué à la protection des données de la société SEBDO. Sous ces conditions, ces modalités d’information et d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi "informatique et libertés". Sur la sécurité des données et la traçabilité des actions : La mise en œuvre de traitements de données à caractère personnel intervenant dans le cadre de l’étude s'effectuera sous la responsabilité du responsable de traitement, y compris chez des tiers agissant pour son compte, dans le respect des dispositions des articles 24, 25, 28, 32 à 35 du RGPD ainsi que de l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS. Les données seront mises à disposition auprès du responsable de traitement par l’intermédiaire du prestataire d’accès sécurisé désigné par l’ATIH, à savoir le Centre d’accès sécurisé aux données (ci-après "CASD"). Seules des données issues de processus d’anonymisation, rendant impossible l’identification, directe ou indirecte, des personnes, pourront faire l’objet d’une extraction en dehors de la plateforme sécurisée du CASD. Pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut, si ces trois critères ne peuvent être réunis, une étude des risques de réidentification doit être menée. Sur la durée d’accès aux données sur la plateforme sécurisée du CASD : Les données individuelles du PMSI utilisées pour l’étude seront chacune mises à disposition pendant un an, à compter de l’accès effectif aux données. Cette durée de conservation des données n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD. Sur le principe de transparence et la publication des résultats : La mise à disposition des données du SNDS et de ses composantes est conçue de façon à rendre compte de leur utilisation au public. À cette fin, l’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à la plateforme des données de santé (PDS) de plusieurs éléments par le responsable de traitement, avant et après les études. Lorsque le résultat des traitements de données sera rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 68 de la loi. Sur l’opportunité du recours à la décision unique : L’activité de la société SEBDO impliquant la mise en œuvre annuelle d’un traitement répondant à une même finalité, portant sur des catégories de données identiques, en l’espèce les données du PMSI et dont les catégories de destinataires sont identiques, la CNIL estime opportun d’autoriser la mise en œuvre de ces traitements dans le cadre d’une décision unique. Autorise la SOCIÉTÉ D’EXPLOITATION DE L’HEBDOMADAIRE LE POINT "SEBDO"à mettre en œuvre les traitements décrits ci-dessus pendant une durée de trois ans. La vice-présidente déléguée Sophie LAMBREMON


Délibération n° 2023-146 du 21 décembre 2023 autorisant le groupement d’intérêt public " Plateforme des données de santé " à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données dans le domaine de la santé, dénommé " EMC2 ".
(demande d’autorisation n° 2229962v1)

La Commission nationale de l'informatique et des libertés, Saisie par le groupement d’intérêt public " Plateforme des données de santé " (GIP PDS) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données dans le domaine de la santé, dénommé " EMC2 " ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 44-3° et 66-III (loi " informatique et libertés ") ; Vu le code de la santé publique (CSP) ; Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement, Formule les observations suivantes : Sur le responsable de traitement Le groupement d’intérêt public dénommé " Plateforme des données de santé " (GIP PDS), dont les missions sont précisées à l’article L. 1462-1 du CSP, est le responsable de traitement. Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données de santé (délibération n° 2021-118 du 7 octobre 2021 portant adoption d'un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de création d'entrepôts de données dans le domaine de la santé), à l’exception : des sources des données collectées ; des catégories de données concernées ; des sous-traitants ; des mesures de sécurité relatives au cloisonnement de certaines données. Sur la finalité du traitement et sa base légale : S’agissant de la finalité du traitement : Le GIP PDS souhaite constituer un entrepôt de données de santé afin de permettre la réalisation de recherches, d’études et d’évaluations dans le domaine de la santé, dénommé " EMC2 ". Ces recherches, études et évaluations seront destinées à : observer et évaluer la prise en charge des patients ; caractériser des populations de patients ; évaluer l'utilisation et/ou les pratiques, l’efficacité et la sécurité en vie réelle des produits de santé, en particulier les médicaments et les dispositifs médicaux inscrits au remboursement ou en accès précoce ; mener des évaluations médico-économiques des produits de santé administrés ou utilisés en vie réelle ; développer et évaluer des actions de prévention pour les pathologies d’intérêt ; concevoir et valider des outils d’aide à l’interprétation des signaux, d’aide au diagnostic ou d’aide à la prise en charge préventive ou curative. Ce traitement s’inscrit dans le cadre d’un appel d’offres de l’Agence européenne des médicaments (EMA) pour la constitution d’une base de données afin de conduire des études en pharmaco-épidémiologie. Le GIP PDS a été attributaire du lot 3 de cet appel d’offres et une convention de prestation de service a été conclue le 13 décembre 2021 avec l’EMA. Les données rassemblées au sein de EMC2 seront mises au format OMOP-CDM (" Observational Medical Outcome Partnership – Common Data Model ") favorisant l’interopérabilité et la mise en œuvre d’apprentissage fédéré à l’échelle européenne, voire internationale. La constitution de l’entrepôt nécessite un appariement entre les données de la base principale du système national des données de santé (SNDS) et les dossiers médicaux fournis par les établissements de santé partenaires. La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du RGPD. Il y a lieu de faire application des dispositions des articles 44-3° et 66-III de la loi " informatique et libertés ", qui soumettent à des formalités préalables les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public. Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi " informatique et libertés ", qui imposent que chaque traitement soit justifié par l’intérêt public et fasse l’objet de formalités propres. Le GIP PDS s’est engagé à communiquer tous les trois ans à la CNIL un rapport sur le fonctionnement de ce traitement et sur les recherches, études ou évaluations réalisées à partir des données de l’entrepôt. S’agissant de la base légale du traitement et de l’exception pour le traitement des données sensibles : Le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le GIP PDS. Ce traitement est, à ce titre, licite au sens de l’article 6-1-e) du RGPD. Le traitement de données sensibles est nécessaire au projet autorisé par la présente décision, pour l’application des articles 9-2-j) du RGPD et 44-3° de la loi " informatique et libertés ". Sur les sous-traitants : Plusieurs organismes interviendront en qualité de sous-traitants dans la mise en œuvre de ce traitement. Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article 28 du RGPD. En application de l’article 28 du RGPD, le GIP PDS est tenu de s’assurer que l’ensemble de ses sous-traitants présente des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles permettant de garantir la conformité du traitement à l’ensemble de la règlementation relative à la protection des données à caractère personnel. Sur les sources et la nature des données traitées : S’agissant des sources des données : L’entrepôt regroupera les données issues : des dossiers médicaux issus des Hospices civils de Lyon (HCL), du centre Léon Bérard (CLB), du centre hospitalier universitaire de Nancy (CHU de Nancy) et de la Fondation hôpital Saint-Joseph (FHSJ), ci-après " les établissements partenaires " ; des composantes de la base principale du SNDS. Concernant les données issues des dossiers médicaux : seuls les patients, à l’exception de ceux faisant l’objet d’une mesure de protection juridique, ayant été hospitalisés en médecine, chirurgie ou obstétrique (MCO) à partir de 2022 dans l’un des établissements partenaires seront concernés par l’entrepôt. Les données collectées depuis 2018 concernant ces patients seront rassemblées au sein de l’entrepôt, qui sera ensuite mis à jour une fois par an. Concernant les données, les points de non-conformité vis-à-vis du référentiel sont les suivants : l’inclusion du sexe du patient, du mois de naissance, de l’année de naissance et de la date de décès dans la base de données principale de l’entrepôt ; l’inclusion du nom de la commune de résidence dans la base de données principale de l’entrepôt. Ces non-conformités ont été justifiées par le responsable de traitement comme étant nécessaires à la réalisation des études au sein des espaces de travail de l’entrepôt. Concernant les données issues du SNDS : les données transmises par les établissements partenaires seront appariées avec les données de la base principale du SNDS, et plus précisément : le système national d’information inter-régimes de l’assurance maladie (SNIIRAM) ; le programme de médicalisation des systèmes d’information (PMSI) ; les données sur les causes de décès du Centre d’épidémiologie sur les causes médicales de décès (CépiDC) ; les données médico-sociales du système d’information des maisons départementales des personnes handicapées ; les données issues la base de données relative au dépistage des cas de covid-19, dénommée " SI-DEP " ; les données issues de la base de données relative aux vaccinations contre la covid-19, dénommée " Vaccin Covid ". L’entrepôt comportera également des données provenant exclusivement du SNDS, afin de : constituer une population témoin ; d’identifier et de récupérer les données relatives aux enfants des femmes prises en charge dans l’un des établissements partenaires ayant accouché depuis 2015. Pour cette population témoin, les enfants des femmes ayant accouché depuis 2015, ainsi que les données appariées avec celles des établissements partenaires, les données précitées de la base principale du SNDS collectées à partir de l’année 2015 seront mises à disposition par la Caisse nationale d’assurance maladie (CNAM), sous réserve de leur disponibilité. Elles seront mises à jour une fois par an afin de permettre un suivi rétrospectif et prospectif des personnes concernées. S’agissant de la nature des données traitées : Outre les catégories de données visées par le référentiel entrepôt de données de santé, l’entrepôt contiendra les données des professionnels de santé (spécialité, mode d’exercice, sexe, âge et département d’implantation). Seules des données pseudonymisées et structurées seront rassemblées au sein de l’entrepôt. Le GIP PDS n’aura accès ni aux données directement identifiantes de personnes ni aux documents bruts produits à l’occasion de leur prise en charge sanitaire. Les opérations de pseudonymisation et de structuration des données seront mises en œuvre par les établissements partenaires avant la transmission des données. S’agissant des modalités d’appariement des données : L’appariement sera réalisé de manière déterministe grâce au numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), du sexe et de la date de naissance complète des personnes concernées. Ces données identifiantes seront issues des dossiers médicaux des établissements partenaires et transmises directement par ceux-ci à la CNAM. Ces données identifiantes seront accompagnées d’un " numéro d’accrochage " non signifiant et aléatoire, qui sera ensuite transmis par la CNAM avec les données extraites du SNDS. Ce numéro d’accrochage sera le seul identifiant transmis avec les données de l’étude issues des dossiers médicaux des établissements de santé partenaires. Pour permettre le dédoublonnage a posteriori des patients ayant été sélectionnés dans plusieurs centres, la CNAM génèrera également, pour chaque numéro d’accrochage, un identifiant unique dérivé du NIR correspondant, à travers les fonctions de pseudonymisation du SNDS. Afin de réduire les risques de réidentification des patients à partir de cet identifiant SNDS, ainsi que les risques d’appariement non autorisé avec d’autres données extraites du SNDS, cet identifiant SNDS sera strictement spécifique à l’entrepôt. La table de correspondance avec les numéros d’accrochage devra être transmise par la CNAM séparément des données extraites du SNDS, via un canal sécurisé dédié. Enfin, cet identifiant SNDS sera remplacé par un nouvel identifiant lors de l’étape de dédoublonnage et de versement des données dans l’entrepôt. Des mesures de sécurité renforcées seront mises en place par les différents acteurs pour la conservation des tables de correspondance nécessaires à la mise à jour régulière des données de l’entrepôt. Les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du RGPD. Sur la durée de conservation des données : Le NIR et les dates de naissance complètes des patients ne seront pas conservés après l’appariement. Les données issues des dossiers médicaux appariées avec les données du SNDS sont conservées pour une durée de vingt ans à compter de leur collecte dans le cadre du soin. Les données exclusivement issues du SNDS sont conservées pour une durée de vingt ans. Ces durées de conservation n’excèdent pas les durées nécessaires aux finalités pour lesquelles les données sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD. Sur les accédants et les destinataires des données : Seul le personnel désigné et habilité du GIP PDS peut accéder aux données. Sont destinataires des données : le personnel désigné et habilité des sous-traitants ; les porteurs de projets de recherche, d’étude ou d’évaluation dans le domaine de la santé (par exemple, des établissements de santé, des autorités et institutions publiques nationales, des associations de patients ou des agences européennes). Conformément à l’article L. 1461-1.IV.2° du CSP, ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal. Sur l’information des personnes : Le GIP PDS s’est engagé à : mettre en œuvre, pendant au moins un mois, une campagne d’information relative à la constitution d’EMC2 (diffusion sur les réseaux sociaux, communication via des médias d’envergure nationale, diffusion d’une actualité sur son site web) ; respecter un délai d’un mois entre la remise de la note d’information individuelle ou la diffusion de la note d’information collective et le versement des données dans EMC2. L’information relative à la mise en œuvre de EMC2 devra également être accessible sur les sites web des établissements de santé partenaires. Il appartient au GIP PDS, en sa qualité de responsable de traitement de l’entrepôt, de transmettre aux établissements de santé partenaires une note d’information individuelle à destination des patients, de leurs représentants légaux et des professionnels de santé conforme aux dispositions du RGPD et de s’assurer que cette information leur sera remise. Lorsque l’information individuelle est impossible ou disproportionnée, l’information devra être diffusée de façon collective. Les différents cas d’information individuelle ou collective sont détaillés ci-après. Les supports d’information devront par ailleurs comporter l’ensemble des mentions prévues par l’article 14 du RGPD. Les courriers électroniques adressés aux personnes concernées ou leurs représentants légaux ne devront révéler aucune information sur l’état de santé réel ou supposé du patient. Par ailleurs, les coordonnées électroniques utilisées ne devront pas correspondre à des coordonnées électroniques communes à plusieurs personnes. Lorsque le responsable de traitement souhaite adopter une approche à plusieurs niveaux pour informer les personnes, la première modalité d’information devrait contenir, conformément aux lignes directrices sur la transparence au sens du RGPD du 29 novembre 2017 du groupe de travail " de l’Article 29 " (G29), les informations relatives à la finalité du traitement, l’identité du responsable de traitement, une description des droits des personnes concernées, ainsi que toute information sur le traitement qui aurait une forte incidence sur la personne concernée. La CNIL demande que ce premier niveau d’information mentionne également : que l’exercice du droit d’opposition n’aura aucune incidence sur la prise en charge sanitaire des personnes ; l’identité de l’hébergeur et la localisation des serveurs d’hébergement de l’entrepôt. S’agissant des personnes dont les données sont exclusivement issues du SNDS : En vertu de l'article 69 de la loi " informatique et libertés " et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il est fait exception au principe d'information individuelle et des mesures appropriées seront mises en œuvre, notamment par : la diffusion sur le site web du GIP PDS d’une note d’information relative à l’entrepôt ; la mise en œuvre d’une campagne d’information générale, telle que décrite ci-dessus. S’agissant des personnes hospitalisées dans l’un des établissements de santé partenaires avant la constitution de l’entrepôt : Ces personnes ou, le cas échéant, leurs représentants légaux, seront individuellement informées selon les modalités suivantes : pour les HCL et la FHSJ : la note d’information sera envoyée par voie électronique avec accusé de réception ; pour le CHU de Nancy : la note d’information sera envoyée par voie électronique avec accusé de réception ou par voie postale ; pour le CLB, les personnes recevront soit : un premier niveau d’information via l’outil Myclb ; la note d’information complète par voie électronique. Un accusé de réception devra être prévu, à l’instar de ce qui est envisagé dans les autres établissements de santé partenaires. S’agissant des personnes hospitalisées dans l’un des établissements de santé partenaires après la constitution de l’entrepôt : Ces personnes ou, le cas échéant, leurs représentants légaux, seront individuellement informées selon les modalités suivantes : pour les HCL : la note d’information sera remise lors d’une visite de suivi ou envoyée par voie postale ; pour le CHU de Nancy et le CLB : un premier niveau d’information sera intégré au livret d’accueil. Ce premier niveau d’information devra spécifiquement concerner la constitution de EMC2 ; pour la FHSJ : la note d’information complète sera remise lors d’une visite de suivi ou envoyée par voie électronique avec accusé de réception. S’agissant des professionnels de santé exerçant dans l’un des établissements de santé partenaires : Les professionnels seront individuellement informés selon les modalités suivantes : pour les HCL : un premier niveau d’information sera joint au bulletin de paie ou au contrat d’embauche ; pour le CHU de Nancy et le CLB : un premier niveau d’information sera joint au bulletin de paie, diffusé sur l’intranet de l’établissement et affiché dans les lieux de repos du personnel ; pour la FHSJ : un premier niveau d’information sera diffusé via la newsletter de l’établissement et déposée dans le coffre-fort numérique de chaque professionnel. Une notification sera adressée par voie électronique. Ces modalités d’information sont satisfaisantes au regard des dispositions du RGPD et de la loi " informatique et libertés ". Sur les droits des personnes concernées : Les personnes pourront exercer leurs droits (accès, rectification, opposition ou effacement) en contactant : le délégué à la protection des données du GIP PDS par voie postale ou électronique ; l’un des établissements de santé partenaires qui a collecté les données. Pour des raisons tenant à la sécurité de l’architecture technique de la plateforme, il ne sera fait suite aux demandes d’effacement des données de manière généralisée qu’une fois par an. Les personnes devront en être spécifiquement informées. Dans l’attente de l’effacement effectif des données, celles-ci ne pourront pas être réutilisées. Ces modalités d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi " informatique et libertés ". Sur la sécurité et la traçabilité des actions : La sécurité des données de l’entrepôt dépend essentiellement de la solution technique du GIP PDS, qui a fait l’objet d’une analyse globale des risques et d’impact sur la vie privée, suivie d’une homologation selon le référentiel de sécurité du SNDS. Cette solution technique assure un haut niveau de sécurité. Une analyse d’impact relative à la protection des données (AIPD) a été transmise à la CNIL concernant la constitution de l’entrepôt et intégrant les éléments fournis par le GIP PDS pour sa solution technique. Les mesures de sécurité mises en place par le GIP PDS visent également à garantir la conformité de l’entrepôt aux exigences de sécurité mentionnées dans le référentiel entrepôt de données de santé. La solution technique du GIP PDS prévoit des mesures techniques et organisationnelles d’isolation des espaces de travail contenant des données issues du SNDS et utilisées pour d’autres projets de recherche. Ces mesures sont également mises en œuvre afin d’isoler entre eux et avec les autres espaces les espaces projets dédiées aux études portant sur des données de l’entrepôt, ainsi que les espaces de stockage ou de préparation des données. Seuls des jeux de données anonymes peuvent faire l’objet d’une exportation hors de l’entrepôt ou d’un espace de travail. Le processus d’anonymisation mis en œuvre doit produire un jeu de données pour lequel il est démontré et documenté que le risque de réidentification des personnes est négligeable. Les mesures de sécurité mises en œuvre par le responsable de traitement apparaissent proportionnées aux risques présentés par le traitement. Sur le recours à la société Microsoft en tant qu’hébergeur : Le GIP PDS a fait le choix de recourir à la société Microsoft Ireland Operations Ltd (Microsoft) en qualité d’hébergeur des données. Les données de l’entrepôt seront conservées dans les centres de données de Microsoft situés en France. S’agissant des transferts de données liés à l’administration de la plateforme : Il résulte des informations communiquées que, compte tenu du contrat passé avec Microsoft et du fonctionnement des opérations d’administration de la plateforme technique, il est possible que des données techniques d’usage de la plateforme (qui ne révèlent aucune information de santé) soient transférées vers des administrateurs situés aux États-Unis. Ces transferts de données vers les États-Unis sont encadrés par les clauses contractuelles types de la Commission européenne. Les personnes devront être spécifiquement informées de ces transferts. Sur les risques d’accès par les autorités étasuniennes : L’hébergeur retenu par le GIP PDS appartient à un groupe dont la société mère est située aux États-Unis et soumise au droit de cet État. De ce fait, en application de cette législation, les autorités états-uniennes sont susceptibles d’adresser à Microsoft des injonctions de communication des données qu’il héberge. La législation des États-Unis, qui prévoit ces injonctions de communication de données, a été révisée récemment, à la suite de l’arrêt de la Cour de justice de l’Union européenne du 16 juillet 2020 (C-311/18) dit " Schrems II ", pour mieux les encadrer et prévoir des voies de recours plus effectives. Cette législation a été jugée conforme aux standards de protection européens, ce qui a permis l’adoption par la Commission européenne d’une nouvelle décision d’adéquation le 10 juillet 2023, reconnaissant que le nouveau cadre de transferts de données à caractère personnel entre les États-Unis et l’Union européenne, le Data Privacy Framework, assure un niveau de protection adéquat. Il n’en reste pas moins que les données stockées par un hébergeur soumis à un droit extra-européen peuvent être exposées à un risque de communication à des puissances étrangères. Si ce risque est le plus souvent acceptable, notamment s’agissant de pays adéquats, la CNIL recommande depuis longtemps, pour les bases de données les plus sensibles, d’assurer une protection contre les possibilités de divulgation à des autorités publiques de pays tiers. Cette protection implique que, d’une part, sauf exception ponctuelle (par exemple dans le cadre d’un projet de recherche international), les données hébergées dans l’Union européenne ne soient pas transférées en dehors de celle-ci et, d’autre part, de recourir à un prestataire exclusivement soumis au droit européen et offrant le niveau de protection adéquate, tel que prévu par le référentiel SecNumCloud de l’Agence nationale de la sécurité des systèmes d’information (ANSSI). En particulier, pour les entrepôts de données de santé appariées avec le SNDS, et malgré le fait que ces données soient pseudonymisées, la CNIL a toujours demandé aux porteurs de projet, publics et privés, de s’assurer que l’hébergeur des données n’est pas soumis à une législation extra-européenne. Cette préconisation avait, toujours, jusqu’ici été acceptée. Cette politique apparaît en cohérence avec la doctrine " Cloud au centre " de l’État, matérialisée par la circulaire de la Première ministre du 31 mai 2023 (n° 6404/SG), qui demande, dans sa règle n° 9, aux autorités publiques de s’assurer que les données " d’une sensibilité particulière " hébergées dans le cloud ne soient pas soumises à des lois extra-européennes pouvant impliquer des injonctions de communication. Le GIP PDS, acteur public chargé par la loi de recueillir les bases de données de santé les plus importantes du pays, a fait le choix d’héberger son premier entrepôt auprès d’un hébergeur qui ne bénéficie pas de la certification SecNumCloud et, ainsi, peut faire l’objet d’injonction de communication des données par les autorités des États-Unis. Ce choix apparaît en très nette contradiction avec les éléments rappelés ci-dessus. À la suite des interrogations de la CNIL et de son souhait que tout soit fait pour permettre que cet entrepôt, apparié au SNDS, soit protégé de tout risque de communication des données à des États étrangers, les pouvoirs publics ont mis en place une mission d’expertise pilotée par la délégation du numérique en santé (DNS), la direction interministérielle du numérique (DINUM) et l’Agence du numérique en santé, aux fins de déterminer si le projet EMC2 pouvait, sans compromettre le projet vis-à-vis des conditions fixées par l’EMA, être mis en œuvre via un prestataire soumis uniquement aux lois de l’Union européenne. La CNIL salue le travail mené par cette mission, dans un délai très contraint. Dans son rapport communiqué à la CNIL le 13 décembre 2023, cette mission d’expertise conclut : qu’aucun prestataire potentiel ne propose d’offres d’hébergement répondant aux exigences techniques et fonctionnelles du GIP PDS pour la mise en œuvre du projet EMC2 dans un délai compatible avec les impératifs ce dernier ; que le développement d’un démonstrateur " cloud de confiance ", respectant les conditions de la circulaire précitée et permettant à terme d’héberger des projets de cette nature, et notamment la plateforme du GIP PDS, devrait se poursuivre sur les prochaines années ; que la construction d’une plateforme d’hébergement spécifique pour le projet EMC2 pourrait retarder la migration de la solution d’hébergement du GIP PDS pour l’ensemble de ses missions ; qu’en attendant cette migration, le projet EMC2 soit mené sur la solution technique actuelle du GIP PDS. À la lumière de ces conclusions, la CNIL déplore qu’aucun prestataire susceptible de répondre actuellement aux besoins exprimés par le GIP PDS ne protège les données contre l’application de lois extraterritoriales de pays tiers. De manière générale, elle regrette que la stratégie mise en place pour favoriser l’accès des chercheurs aux données de santé n’ait pas fourni l’occasion de stimuler une offre européenne à même de répondre à ce besoin. Le choix initial du GIP PDS, dès sa fondation, de recourir au cloud a conduit à privilégier des offres d’acteurs étasuniens dont il apparaît désormais difficile de se détacher à court terme malgré l’émergence progressive de fournisseurs souverains. Le projet EMC2 aurait pu être retenu par le GIP PDS pour préfigurer la solution souveraine vers laquelle il doit migrer. La CNIL constate pour autant qu’il est nécessaire que les engagements pris vis-à-vis de l’EMA puissent être honorés. Dans ces conditions, elle autorise la constitution de l’entrepôt EMC2 pour la durée de trois ans, qui correspond à la réalisation du projet de migration de la plateforme de la PDS, projet confirmé par le gouvernement. DÉCIDE : Le groupement d’intérêt public " Plateforme des données de santé " est autorisé, pour une durée de trois ans, à constituer l’entrepôt EMC2, dans les conditions décrites dans le dossier de demande et par la présente décision. La Présidente Marie-Laure DENIS