Décision DR-2024-300 du 4 décembre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE TOULOUSE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’impact d’une stratégie de prise en charge de la détresse respiratoire aiguë chez le sujet âgé basée sur l’utilisation de l’échographie cardiopulmonaire, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2024 à 2027, intitulée « LUC REED ». (Demande d’autorisation n° 924228)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Est IV du 11 juillet 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées (chaînage des données cliniques avec celles du Système national des données de santé (SNDS)) et des modalités d’information des personnes concernées (inclusion de personnes se trouvant en situation d’urgence ou d’urgence vitale immédiate). En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que données de santé) Les données de l’étude feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants. Le dossier de demande mentionne que le circuit d’appariement sera conforme à la fiche pratique "multi-centres / eCRF sans NIR" publiée par la CNIL. A cet égard, les données identifiantes seront transmises, via un tiers de confiance qui a pour rôle de centraliser les données nécessaires à l’appariement, à la CNAM qui effectuera le rapprochement avec les données du SNDS. Ces données devront être chiffrées au sein des centres et être transmises au tiers sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité. Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. À cet égard, les équipements mobiles doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc. Années concernées : 2024 à 2027, sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail de la CNAM. Information et droits des personnes Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance au sens de l’article L. 1111-6 du code de la santé publique ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits. Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre, de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche, en application des dispositions de l’article L. 1122-1-3 du code de la santé publique. Les notes d’information devront comporter l’ensemble des mentions prévues par le RGPD. Durée d’accès et de conservation en base active et en archivage Les NIR et les dates de naissance complètes des participants ne seront pas conservés après l’appariement. Données du SNDS : trois ans à compter de la mise à disposition des données. Autres données : Base active : cinq ans Archivage : quinze ans. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE TOULOUSE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-301 du 4 décembre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE TOULOUSE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur une stratégie de décroissance des inhibiteurs de JAK dans la polyarthrite rhumatoïde en bas niveau d’activité, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du système national des données de santé (SNDS), pour les années 2024 à 2029, intitulée « JAK-TAP ». (Demande d’autorisation n° 924159)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes du 14 mai 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées (chaînage des données cliniques avec celles du Système national des données de santé (SNDS)). En dehors de ce point, qui fera l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que des données de santé) Les données de l’étude feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants. Le dossier de demande mentionne que le circuit d’appariement sera conforme à la fiche pratique multi-centres / eCRF sans NIR publiée par la CNIL. A cet égard, les données identifiantes seront transmises, via un tiers de confiance qui a pour rôle de centraliser les données nécessaires à l’appariement, à la CNAM qui effectuera le rapprochement avec les données du SNDS. Ces données devront être chiffrées au sein des centres et être transmises au tiers sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité. Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. À cet égard, les équipements mobiles doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM et PMSI. Années concernées : 2024 à 2029, sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail de la CNAM. Information et droits des personnes Tous les participants recevront une note d’information individuelle qui devra être complétée avant le début de l’étude afin de comporter l’ensemble des mentions prévues par le RGPD. Durées d’accès et de conservation des données Les NIR et les dates de naissance complètes des patients ne seront pas conservés après l’appariement. Données du SNDS : trois ans à compter de la mise à disposition des données. Autres données : Base active : dix ans. Archivage : vingt-cinq ans. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE TOULOUSE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-277 du 8 novembre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE CAEN NORMANDIE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation des effets de la littératie en santé des patients dialysés à la consultation d’inscription sur liste d’attente et sur les résultats de la greffe. (Demande d’autorisation n° 924266)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 5 septembre 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante (étude précédente ou entrepôt de données de santé) Les données issues de la base du Réseau Épidémiologique et Information en Néphrologie (demande d’autorisation n° 903188) et du registre CRISTAL (délibération n°96-025 du 19 mars 1996) mises en œuvre par l’Agence de la biomédecine seront réutilisées dans le cadre de cette étude. Catégories particulières de données traitées (autres que données de santé) La collecte de l’adresse complète des personnes concernées a été scientifiquement justifiée dans le dossier de demande afin de calculer les "Ilots Regroupés pour l'Information Statistique" (IRIS). L’adresse devra être traitée et transmise de façon séparée des données de santé et être enregistrée dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel devra pouvoir y accéder. Par ailleurs, la collecte du pays de naissance des participants ainsi que le fait qu’ils disposent ou non de la nationalité française a été scientifiquement justifiée dans le dossier de demande. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données. Durées de conservation en base active et en archivage Les adresses complètes des personnes concernées seront détruites après le calcul de l’IRIS, qui interviendra dans un délai maximal d’un an. Autres données : Base active : un an. Archivage : deux ans. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE CAEN NORMANDIE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-294 du 30 novembre 2024 autorisant les HOSPICES CIVILS DE LYON à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation de l’impact de la kinésithérapie respiratoire intensive, instrumentale et précoce sur le débit expiratoire de pointe chez les patients sous ventilation mécanique avec neuromyopathie acquise en réanimation, intitulée « PHYSIOWEAN ». (Demande d’autorisation n° 924278)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ile-de-France I du 10 septembre 2024 Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d’information des personnes concernées (inclusion de personnes se trouvant en situation d’urgence ou d’urgence vitale immédiate). En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence. Information et droits des personnes Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance au sens de l’article L. 1111-6 du code de la santé publique ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits. Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre, de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche, en application des dispositions de l’article L. 1122-1-3 du code de la santé publique. L’ensemble de ces notes d’information devra comporter les mentions prévues par le RGPD. Durées de conservation en base active et en archivage Base active : cinq ans Archivage : quinze ans. AUTORISE les hospices civils de Lyon à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-295 du 30 novembre 2024 autorisant l’AGENCE DE LA BIOMEDECINE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la situation professionnelle et le niveau de vie après une greffe d’organes, intitulée « GREFFEMPLOI ». (Demande d’autorisation n° 924337)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 23 mai 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence. Nature des données traitées Les données de l’échantillon démographique permanent Santé EDP-Santé (demande d’autorisation n° 918335) collectées entre 2008 et 2022 et mis en œuvre par la direction de la recherche, des études, de l'évaluation et des statistiques (DREES) seront réutilisées dans le cadre de cette étude. Elles seront mises à disposition par le Centre d’accès sécurisé aux données (CASD). Information et droits des personnes En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre à travers la diffusion d’une note d’information sur le site web du responsable de traitement de l’étude et sur celui de la DREES. Elle devra être complétée afin de comporter l’ensemble des mentions prévues par le RGPD. Durée d’accès Les données seront accessibles pendant cinq ans. AUTORISE l’AGENCE DE LA BIOMEDECINE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-298 du 4 décembre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE TOURS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la faisabilité et l’efficacité d’une thérapie cognitivo-comportementale pour les patients présentant une comorbidité entre le trouble de déficit de l’attention et les addictions comportementales, intitulée « ADHDDICT ». (Demande d’autorisation n° 924333)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Est II du 15 juillet 2024 Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Destinataires des données directement identifiantes. La collecte des nom, prénom ainsi que des coordonnées (téléphoniques et électroniques) est nécessaire pour assurer le suivi centralisé des participants par un psychologique agissant en qualité de sous-traitant du promoteur. Les participants sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Tous les participants recevront une note d’information individuelle qui devra être complétée afin de comporter l’ensemble des mentions prévues par le RGPD. Durées de conservation en base active et en archivage Les données administratives d’identification (nom, prénom) ainsi que les coordonnées téléphoniques et électroniques seront détruites à la fin du suivi des participants. Autres données : Base active : cinq ans. Archivage : quinze ans. AUTORISE le centre hospitalier universitaire de tours à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-296 du 30 novembre 2024 autorisant l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les performances diagnostiques d’une combinaison de marqueurs de surface cellulaire des leucocytes pour prédire le risque d’infection bactérienne sévère chez les enfants de moins de trois mois fébriles aux urgences, intitulée « CYTOFEB ». (Demande d’autorisation n° 924268)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Nord-Ouest I du 4 septembre 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception des modalités d’information des personnes concernées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Information et droits des personnes Une dérogation à l'obligation d'information des deux titulaires de l’exercice de l’autorité parentale est envisagée, dans les conditions prévues à l’article 70 de la loi informatique et libertés en cas d’impossibilité d’informer le second titulaire de l’exercice de l’autorité parentale ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche. Dans cette hypothèse, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale sera systématiquement transmise au parent contacté en vue de l’inclusion et il sera invité à la lui transmettre. Durées de conservation en base active et en archivage Les échantillons biologiques seront conservés pendant dix ans après la fin de la recherche. Autres données : Base active : quatre ans Archivage : quinze ans. AUTORISE l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-297 du 30 novembre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE GRENOBLE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’inactivité physique et la sédentarité, intitulée « IPSéDI ». (Demande d’autorisation n° 924286)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Nord-Ouest III du 7 septembre 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Destinataires des données directement identifiantes La collecte des nom, prénom ainsi que des coordonnées téléphoniques est nécessaire pour assurer le suivi des patients qui en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Tous les participants recevront une note d’information individuelle qui devra comporter l’ensemble des mentions prévues par le RGPD. Durées de conservation en base active et en archivage Les données nominatives et les coordonnées seront détruites à la fin du suivi. Autres données : Base active : trois ans Archivage : quinze ans. AUTORISE le Centre hospitalier universitaire de grenoble à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Délibération n° 2023-150 du 14 décembre 2023 portant avis sur un projet d'arrêté modifiant l'arrêté du 21 février 2014 portant création par la direction générale des finances publiques d'un traitement automatisé de lutte contre la fraude dénommé « ciblage de la fraude et valorisation des requêtes »

Date de l'avis : 14 décembre 2023. N° de la délibération : n° 2023-150. N° de demande d'avis : DA 1726052.V9. Organisme(s) à l'origine de la saisine : ministère de l'économie, des finances et de la souveraineté industrielle et numérique. Textes concernés : projet d'arrêté modifiant l'arrêté du 21 février 2014 portant création par la direction générale des finances publiques d'un traitement automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes . Thématiques : recouvrement de l'impôt, lutte contre la fraude, collecte de données sur les plateformes et les réseaux sociaux. Fondement de la saisine : article 31, I, 2°, de la loi du 6 janvier 1978 modifiée. L'essentiel : La CNIL a été saisie par le ministère de l'économie, des finances et de la souveraineté industrielle et numérique pour avis d'un projet d'arrêté visant, en particulier, à préciser les finalités du traitement ciblage de la fraude et valorisation des requêtes (CFVR), à modifier les destinataires des données et, enfin, à prévoir l'alimentation par les résultats du traitement de plusieurs outils métiers de la Direction générale des finances publiques (DGFiP). La CNIL considère que les modifications envisagées sont légitimes. A la lumière des récentes jurisprudences française et européenne s'agissant du régime juridique applicable aux traitements de l'administration fiscale, elle estime que le traitement CFVR relève du RGPD. Elle rappelle la nécessité de respecter les principes de protection des données par conception et par défaut dans le développement des outils métiers à destination des agents de son administration. En particulier, les destinataires des résultats du traitement devront être limités à ceux qui ont besoin d'en connaître, eu égard à leurs missions respectives. Il revient au ministère de faire preuve d'une grande prudence dans la conception et l'utilisation de ce type de traitements algorithmiques, compte tenu des risques qu'ils présentent et des biais dont ils peuvent souffrir. La CNIL recommande en particulier la mise en place de formations spécifiques permettant aux agents en charge de la programmation et des contrôles de maîtriser les principes des algorithmes utilisés. La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment ses articles 4, 31, 47 et 52 ; Après avoir entendu le rapport de M. Philippe-Pierre CABOURDIN, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte La lutte contre la fraude fiscale est un objectif de valeur constitutionnelle qui légitime certaines actions du Gouvernement et de l'administration en faveur d'une détection efficiente des manquements et des infractions prévus au code des impôts. Ces actions s'inscrivent dans la feuille de route gouvernementale de lutte contre toutes les fraudes aux finances publiques, présentée en juin 2023. Dans le but d'améliorer la programmation des contrôles fiscaux, le ministère de l'économie, des finances et de la souveraineté industrielle et numérique met en œuvre depuis 2014 le dispositif de ciblage de la fraude et de valorisation des requêtes (CFVR) faisant appel à des techniques de fouille de données ( datamining ). Ce traitement, qui n'a pas pour but de remplacer l'analyse des agents, vise un meilleur ciblage du contrôle des particuliers et des professionnels qui pourraient se trouver en situation de manquement ou de fraude. Pour ce faire, le traitement CFVR fait appel, d'une part, à l'agrégation de plusieurs bases de données internes à la direction générale des finances publiques (DGFiP), comme les fichiers des comptes bancaires (traitement FICOBA ) et des contrats de capitalisation et d'assurance-vie (traitement FICOVIE ), et externes, telles que certaines données des unions de recouvrement des cotisations de sécurité sociale et d'allocations familiales (URSSAF), et, d'autre part, à des modèles statistiques probabilistes reposant sur la recherche d'atypies ou d'incohérences, sur l'expérience acquise par la DGFiP ainsi que sur l'analyse de réseaux afin de faire apparaître de possibles liens entre des personnes physiques ou morales. Le bureau en charge de la programmation des contrôles et de l'analyse des données au sein de la DGFiP (SJCF-1D) mène ces travaux visant à mieux caractériser une personne ou une entreprise potentiellement frauduleuse. Initialement mis en œuvre en 2014 à titre expérimental, dans le cadre de la recherche de fraudes commises par les contribuables professionnels, le traitement CFVR a été pérennisé en 2015 pour ces contribuables et étendu concomitamment, à titre d'expérimentation, aux personnes physiques impliquées dans le fonctionnement des entités professionnelles. Cette extension a elle-même été pérennisée en 2016, puis ce traitement a été élargi une nouvelle fois en 2017 aux particuliers à titre expérimental jusqu'en août 2019. Parallèlement, les finalités de ce traitement ont été étendues afin de permettre la détection anticipée des entreprises en difficulté ainsi que l'envoi automatique de demandes de compléments d'informations aux contribuables. Enfin, à titre expérimental, la loi a autorisé l'administration fiscale, à des fins de recherche d'infractions limitativement énumérées, à collecter et à exploiter les contenus librement accessibles et manifestement rendus publics par les utilisateurs sur les plateformes et les réseaux sociaux (article 154 de la loi n° 2019-1479 du 28 décembre 2019 de finances pour 2020). Chacune de ces modifications a fait l'objet d'un avis de la CNIL. B. - L'objet de la saisine La CNIL a été saisie pour avis, sur le fondement du 2° du I de l'article 31 de la loi n° 78-17 du 6 janvier 1978 modifiée, par le ministère de l'économie, des finances et de la souveraineté industrielle et numérique, d'un projet d'arrêté modifiant l'arrêté du 21 février 2014 portant création par la direction générale des finances publiques d'un traitement automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes . Le projet d'arrêté : - précise les finalités du traitement et modifie le régime juridique qui lui est applicable ; - complète la liste des données à caractère personnel traitées ; - reformule la présentation des destinataires des données à caractère personnel et précise les applications métiers qui seront alimentées par les résultats du traitement ; - modifie les bases légales sur lesquelles reposent les droits des personnes concernées en cohérence avec le régime juridique choisi ; - écarte l'objectif de mise en œuvre d'un dispositif de journalisation pour ce traitement, dont la date butoir était le 6 mai 2023. Dans la mesure où le traitement CFVR est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, le ministère a réalisé une analyse d'impact relative à la protection des données à caractère personnel (AIPD) qui a été adressée à la CNIL avec la demande d'avis. II. - L'avis de la CNIL A titre liminaire : - la CNIL rappelle l'engagement du ministère, tel que formalisé par la délibération du 12 septembre 2019 portant sur ce même traitement, de lui communiquer régulièrement des bilans sur les conditions d'utilisation et d'exploitation [du] traitement [CFVR] et sur les coûts afférents (CNIL, SP, 12 septembre 2019, traitement CFVR , n° 2019-115, publié). Il était précisé qu'une telle transmission pouvait être annuelle. Bien que le ministère se soit engagé au cours de l'instruction à adresser ce bilan au plus tard au deuxième trimestre 2023, la CNIL constate l'absence de transmission des rapports de fonctionnement réguliers de ce traitement, et ce, d'autant plus que celui-ci est d'une complexité et d'une ampleur significatives ; - dans la délibération n° 2018-346 du 8 novembre 2018, le ministère s'était engagé à édicter un acte réglementaire dédié au traitement relatif à la détection anticipée des entreprises en difficulté (CNIL, SP, 8 novembre 2018, traitement CFVR , n° 2018-346). La CNIL constate, là encore, l'absence d'un tel acte. Compte tenu de la multiplicité des finalités du traitement CFVR, ce texte apparait nécessaire afin, d'une part, de rendre intelligibles les objectifs des traitements respectifs de CFVR et, d'autre part, de distinguer clairement les régimes juridiques applicables. A. - Sur les finalités du traitement et le régime juridique applicable L'article 1er du projet d'arrêté modifie les finalités du traitement qui viserait dorénavant à modéliser et [à] visualiser les anomalies fiscales afin de programmer des opérations de recherche, de constatation ou de poursuite de manquements fiscaux et d'amélioration du respect des obligations fiscales des usagers. . Cette finalité ne fait plus référence aux actions de prévention, de recherche, de constatation ou de poursuites d'infractions pénales , telles que l'article 2 de l'arrêté du 21 février 2014 le prévoit dans sa version actuelle. Le ministère précise que cette modification n'est pas un changement de nature du traitement CFVR mais permet de mieux rendre compte de ses finalités. Cette clarification, ainsi que sa lecture des jurisprudences française et européenne, conduisent le ministère à substituer le régime du RGPD au titre III de la loi du 6 janvier 1978 modifiée, qui transpose la directive 2016/680 du 27 avril 2016 (dite Police-Justice ), jusqu'alors applicable à ce traitement. Plusieurs jurisprudences européennes précisent le régime juridique applicable aux traitements mis en œuvre par l'administration fiscale au titre de ses missions : - la Cour de justice de l'Union européenne (CJUE) indique que les exceptions au champ d'application du RGPD, telles que prévues au 2 de l'article 2 de ce dernier, doivent recevoir une interprétation stricte (CJUE, grande chambre, 16 juillet 2020, Facebook Ireland et Schrems, C-311/18, EU:C:2020:559, point 84) ; - dans sa décision Puškár du 27 septembre 2017, la CJUE a estimé que lorsque des données sont collectées et utilisées aux fins de la perception de l'impôt et de la lutte contre la fraude fiscale , ces traitements relèvent de la directive 95/46/CE du 24 octobre 1995, texte de référence en termes de protection des données à caractère personnel jusqu'à l'entrée en vigueur du RGPD. Elle juge également que même s'il n'apparaît pas exclu que lesdites données puissent être utilisées dans le cadre de poursuites pénales qui pourraient être exercées, en cas d'infraction dans le domaine fiscal, contre certaines personnes dont les noms figurent sur la liste litigieuse, les données en cause au principal n'apparaissent pas avoir été collectées dans l'objectif spécifique de l'exercice de telles poursuites pénales ou dans le cadre des activités de l'Etat relatives à des domaines du droit pénal (CJUE, deuxième chambre, 27 septembre 2017, Puškár, C-73/16, EU:C:2017:725, points 40-44) ; - la CJUE a confirmé cette jurisprudence, après l'entrée en vigueur du RGPD, dans sa décision Valsts ieņēmumu dienests du 24 février 2022. Elle a ajouté que la notion d' autorité compétente , telle que précisée aux considérants 10 et 11 de la nouvelle directive Police-Justice, doit être comprise en lien avec la protection des données à caractère personnel dans le domaine de la coopération judiciaire en matière pénale et de la coopération policière, compte tenu des aménagements qui peuvent s'avérer nécessaires, à cet égard, en raison de la nature spécifique de ces domaines (CJUE, cinquième chambre, 24 février 2022, Valsts ieņēmumu dienests, C-175/20 ; EU:C:2022:124, point 43). Au niveau national, la Cour de cassation a, le 1er juin 2023, appliqué la jurisprudence européenne en indiquant qu'un traitement de données mis en œuvre par l'administration fiscale aux fins d'obtenir l'autorisation de procéder à des opérations de visite et saisies sur le fondement de l'article L. 16 B du livre des procédures fiscales, qui a pour finalité d'obtenir le droit de procéder à une mesure d'enquête pouvant donner lieu à la constatation d'une infraction ou d'un manquement à la législation fiscale, dans le but de percevoir l'impôt et de lutter contre la fraude fiscale, entre dans le champ d'application matériel du RGPD. (Cour de cassation, chambre commerciale, financière et économique, 1er juin 2023, pourvoi n° F 21-18.558, point 10). Selon les éléments fournis par le ministère, le traitement CFVR n'a qu'à titre accessoire pour objet de détecter des manquements fiscaux susceptibles de donner lieu à une transmission au parquet en vue d'une poursuite pénale. Selon le ministère, moins de 700 infractions liées à la fraude fiscale seraient constatées par le juge chaque année, soit moins de 1 % des contrôles réalisés. La finalité principale du traitement est la constatation des manquements fiscaux dans le cadre de la lutte contre la fraude fiscale opérée par l'administration. En outre, le ministère souligne que l'extension régulière du champ du traitement CFVR, dans une période de facilitation de la correction des erreurs commises par les contribuables de bonne foi ouverte par la loi du 10 août 2018 pour un Etat au service d'une société de confiance (dite loi ESSOC ), le conduit également à considérer que la régularisation de la situation fiscale des redevables est une finalité importante du traitement. Au regard de la jurisprudence européenne mentionnée ci-dessus, d'une part, l'administration fiscale ne semble pas constituer en l'espèce une autorité compétente , au sens de la directive Police-Justice, lorsqu'elle agit au titre de ses missions de contrôle fiscal ; d'autre part, les finalités de régularisation ou de lutte contre la fraude fiscale relèvent d'après la CJUE du RGPD, sans qu'y fasse obstacle le fait que, dans certains cas, il y ait transmission au parquet. Au vu de ces éléments, et plus particulièrement de l'évolution de la jurisprudence en la matière, la CNIL estime que le traitement CFVR est soumis au RGPD. Elle souligne qu'il en résulte que les droits des personnes ne doivent pas faire l'objet des restrictions prévues par la directive Police-justice et ne peuvent être aménagé que lorsque cela pourrait nuire à l'objectif de lutte contre la fraude fiscale, en application des dispositions permettant des dérogations ou dans le cadre restreint de l'article 23 du RGPD. La CNIL sera attentive au respect des droits des personnes s'agissant notamment du recours à ces dérogations. Dès lors que le traitement peut donner lieu à la saisine du parquet, et que cette transmission ne s'effectue pas dans des conditions de droit commun mais en fonction d'un choix propre de l'administration fiscale en application de l'article L. 228 du livre des procédures fiscales, la CNIL recommande, à titre de mesure de transparence, que cette finalité accessoire demeure mentionnée dans l'arrêté et invite le ministère à reformuler les finalités du traitement rédigées à l'article 1er du projet d'arrêté. Enfin, la CNIL relève que, dans la mesure où le traitement CFVR comporte un objet pénal au sens du 2° du I de l'article 31 de la loi du 6 janvier 1978 modifiée, elle continuera d'être saisie par le ministère des futures modifications de ce traitement. La CNIL considère également que la transmission, à l'occasion de ces saisines, de l'AIPD afférente à ce traitement est une bonne pratique à laquelle elle est favorable. B. - Sur les catégories d'accédants et de destinataires L'article 3 du projet d'arrêté précise que seuls les agents territorialement compétents chargés de la gestion, de la programmation et du contrôle des dossiers des professionnels et des particuliers seront rendus destinataires des données personnelles strictement utiles à leur mission . En premier lieu, la CNIL remarque que l'AIPD fournie par le ministère procède à une distinction stricte du régime d'accès suivant, d'une part, la phase de développement des modèles algorithmiques et, d'autre part, la phase d'exploitation des résultats du traitement. Afin de garantir une plus grande lisibilité des principes régissant l'accès aux données du traitement CFVR, la CNIL considère que cette distinction, qu'elle accueille favorablement depuis le début de la mise en œuvre du traitement, pourrait expressément apparaître dans le projet d'arrêté. En second lieu, elle remarque que, en y incluant la gestion des dossiers des particuliers, le ministère élargit significativement le nombre de services accédant aux dossiers ayant été ciblés par le traitement CFVR. Le ministère précise, dans la documentation fournie, qu'il s'agit notamment de prévoir l'accès des agents en charge du recouvrement et de ceux en charge du contentieux à certains éléments de ces dossiers. Le ministère indique également que les agents en charge du recouvrement et du contentieux n'auront pas accès à aux fiches produites par le service SJCF-1D, accompagnant les dossiers ciblés par le traitement CFVR. Elle constate que les finalités du traitement, selon la nouvelle formulation du projet de texte, sont la modélisation et la visualisation des anomalies fiscales afin de programmer des opérations de recherche, de constatation ou de poursuite de manquements fiscaux et l'amélioration du respect des obligations fiscales des usagers. . Compte tenu de ces finalités, la CNIL estime que seuls les agents en charge de la programmation et du contrôle devraient pouvoir avoir accès aux fiches afférentes au traitement CFVR produites par le service SJCF-1D. En conséquence, elle demande au ministère de modifier le projet d'arrêté afin de détailler les services pouvant avoir accès : aux différentes bases de données dans le cadre du développement des traitements algorithmiques de CFVR ; aux fiches produites par le service SJCF-1D ; ou seulement à certains éléments des dossiers ciblés par ce traitement, voire au dossier dans son ensemble. C. - Sur les mises en relation L'article 3 du projet d'arrêté prévoit également, dans le cadre du projet pilotage et analyse du contrôle (PILAT) visant à moderniser et à simplifier le travail des agents de l'administration fiscale par le développement de nouveaux outils métiers, l'alimentation de deux nouvelles applications grâce aux résultats du traitement CFVR : - l'application GALAXIE , ayant déjà fait l'objet d'un avis de la CNIL (CNIL, SP, 17 février 2022, traitement GALAXIE , n° 2022-025, publié), permettant de connaître les liens d'associés, d'actionnaires et de dirigeants entre, d'une part, des personnes physiques ou morales et, d'autre part, des sociétés (v. arrêté du 11 mars 2022 portant autorisation par la direction générale des finances publiques du traitement de données à caractère personnel dénommé GALAXIE). Le ministère précise que les liens identifiés entre des personnes morales ou physiques, par l'application CFVR, seront transmis à l'application GALAXIE afin d'être consultables par les agents chargés des opérations de validation et de contrôle ; - l'application PILOT CF ayant pour objet le suivi de l'ensemble du processus de contrôle fiscal, le pilotage des services et le suivi d'activité pour les agents concernés et, enfin, le suivi statistique du contrôle. Le ministère précise que le bureau SJCF-1D intégrera, trimestriellement ou mensuellement, des listes de dossiers de contribuables professionnels et particuliers présentant des risques fiscaux détectés par le traitement CFVR. Le ministère précise que la nouvelle application métier VUE 360 sera également alimentée par les résultats du traitement CFVR. Cette dernière application permet aux agents chargés du contrôle, afin d'appréhender les situations fiscales dans leur globalité, d'accéder à une vue d'ensemble des bases de données de la DGFiP dans lesquelles l'entreprise ou la personne physique en cause est présente. Le ministère précise que des limitations, quant aux données visualisables et aux agents ayant accès à ces données, seront étudiées lors du développement de cet outil. Dans la mesure où cette application a, en l'état, pour seule fonctionnalité la visualisation des informations contenues dans les bases de données y étant adossées, sans stockage ni modification de ces informations, la CNIL constate qu'aucun traitement distinct n'est mis en œuvre. En premier lieu, le traitement CFVR contient un grand nombre de données à caractère personnel. Dans le cadre de la refonte des applications métiers du ministère, la CNIL rappelle l'importance de la protection de la vie privée dès la conception et par défaut qui devra guider le développement de ces nouveaux outils. Elle accueille favorablement les mécanismes d'habilitation stricts mis en œuvre dans l'application PILOT CF , permettant de dissocier les envois des listes de programmation en fonction des missions des agents, et appelle le ministère à mettre en place des méthodes équivalentes pour les autres applications métiers. En deuxième lieu, concernant les formalités relatives aux outils métiers développés par le ministère, la CNIL prend acte de ce qu'une AIPD est en cours de rédaction concernant l'application PILOT CF . En application du 2° du I de l'article 31 de la loi du 6 janvier 1978 modifiée, il revient également au ministère de prendre l'arrêté d'autorisation de ce traitement de données à caractère personnel après avis motivé et publié de la CNIL. En dernier lieu, le ministère précise que les dossiers des personnes physiques ou morales présentant des risques fiscaux identifiés par le traitement CFVR seront, eu égard aux enjeux et aux seuils préalablement fixés, intégrés dans l'outil PILOT CF par le bureau SJCF-1D. La CNIL appelle à une grande prudence dans la conception et l'utilisation de ce type d'algorithmes, eu égard aux risques qu'ils comportent et aux biais qu'ils peuvent présenter (v. CNIL, SP, 16 novembre 2023, traitement dispositif ressources mensuelles , n° 2023-120). L'exemple du traitement algorithmique déployé aux Pays-Bas pour détecter des situations de fraude à certaines prestations sociales a montré que la confiance accordée par une administration à un traitement algorithmique de détection de la fraude, sans précautions et contrôles humains suffisants, pouvait avoir des conséquences graves pour les personnes. Ces risques, notamment de discriminations, sont régulièrement rappelés par le Défenseur des droits (v. notamment le rapport Algorithmes : prévenir l'automatisation des discriminations , 31 mai 2020). Elle rappelle, qu'en application des articles 22 du RGPD et 47 de la loi du 6 janvier 1978 modifiée, aucune décision produisant des effets juridiques à l'égard d'une personne ou l'affectant de manière significative ne peut être prise sur le seul fondement d'un traitement automatisé de données à caractère personnel, y compris le profilage. La CNIL estime que le déploiement de tels algorithmes devrait s'accompagner : - d'une part, de formations spécifiques permettant aux agents en charge de la programmation et des contrôles de maîtriser les principes des algorithmes utilisés ; - d'autre part, d'une documentation couvrant également le risque de biais algorithmiques prohibés pouvant entraîner des discriminations. Pour ce faire, il revient au ministère de mettre en place un ensemble de mesures et de tests afin d'avoir un suivi continu des performances et des évolutions des algorithmes à des fins d'analyse proactive permettant de mettre à jour l'émergence de tels biais. En outre, la CNIL estime que les dossiers considérés comme à risque par le traitement CFVR, mais par la suite écartés par les services de la programmation et des contrôles : - ne devraient plus apparaitre, pour les mêmes raisons, dans les applications de ciblage de la fraude. Il revient à l'administration d'améliorer en continue les performances des traitements algorithmes de détection de la fraude afin de réduire le risque de faux positifs ; - ne doivent pas comporter une mention selon laquelle ces dossiers ont déjà fait l'objet, par le passé, d'un ciblage par les algorithmes du traitement CFVR. D'une manière générale, le fait de déjà avoir été ciblé à tort par les algorithmes ne devrait pas constituer un indice augmentant la probabilité d'être une nouvelle fois considéré comme un dossier à risque par le traitement CFVR. D. - Sur les droits des personnes concernées L'article 4 du projet d'arrêté prévoit de modifier le fondement légal sur lesquels reposent les droits des personnes concernées, et ce, afin de prendre en compte le changement de régime juridique souhaité par le ministère. En premier lieu, la CNIL remarque que, dans la mesure où le ministère n'est pas une juridiction financière, il ne peut se fonder sur le dernier alinéa de l'article 52 de la loi du 6 janvier 1978 modifiée pour restreindre les droits d'accès et de rectification. Elle prend acte de l'intention du ministère de corriger la base légale sur laquelle il se fonde pour restreindre les droits d'accès et de rectification. En second lieu, la CNIL constate que l'arrêté ne contient aucune dérogation ou aménagement au droit à l'information. Si le ministère met en œuvre une politique d'information sur son site web, elle rappelle, qu'en application des articles 12 et suivants du RGPD, ces informations doivent être aisément accessibles pour toute personne, rédigées de manière intelligible, pédagogique et spécifique au traitement concerné. En conséquence, et compte tenu des enjeux importants du traitement CFVR en termes de protection des données à caractère personnel, la CNIL estime que la politique d'information du ministère pour ce traitement devra être complétée et être plus facilement accessible au grand public. S'agissant de la finalité spécifique de la lutte contre la fraude, la CNIL rappelle qu'elle admet que l'information de la personne dont les données sont traitées puisse, dans certains cas, nuire aux finalités de détection et de redressement des cas de fraude. Elle estime cependant nécessaire de conjuguer l'information des personnes et l'efficacité de la lutte contre la fraude. A cette fin, elle recommande que la politique d'information soit mise en œuvre, a minima, en deux temps distincts : - dans un premier temps, une information générale de l'ensemble des personnes concernées sur la possibilité d'utilisation de leurs données à des fins de lutte contre la fraude ; - dans un second temps, une information spécifique des personnes effectivement contrôlées dès lors que cette information n'est plus susceptible de nuire à l'efficacité du contrôle, c'est-à-dire au plus tard lorsqu'en application des droits de la défense, il est procédé à un échange contradictoire avec la personne soupçonnée de fraude. Elle invite donc le ministère à compléter le projet d'arrêté en ce sens. E. - Sur la sécurité et la tenue d'un journal des opérations En premier lieu, la CNIL prend acte de la mise en place d'une journalisation. Elle rappelle que le traitement de ces données a pour seule finalité la détection et la prévention d'opérations illégitimes sur les données du traitement. Si la mise en place de ces journaux et leur conservation sur trois années peuvent constituer des garanties fortes contre le détournement de finalités pour les personnes concernées par le traitement, la mise en œuvre d'un mécanisme proactif de contrôle automatique des données de journalisation, incluant la génération automatique d'alertes, est indispensable pour atteindre ce but. En second lieu, la CNIL prend note que les modalités d'alimentation des applications GALAXIE et PILOT-CF sont satisfaisantes, les données étant mises à disposition sous forme de fichiers chiffrés avec des algorithmes et des procédures de gestion de clés, conformes à l'annexe B1 du référentiel général de sécurité (RGS), étant mises en œuvre. La présidente, M.-L. Denis


Délibération n° 2024-087 du 28 novembre 2024 autorisant la société HEVA à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé « FREiA ».
(Demande d’autorisation n° 2235345)

La Commission nationale de l'informatique et des libertés, Saisie le 2 août 2024 par la société HEVA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé "FREiA" ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ; Vu le dossier et ses compléments ; Sur la proposition de Mme Marie Zins, commissaire, et après avoir entendu les observations de Mme Céline Boyer, adjointe au commissaire du Gouvernement, Formule les observations suivantes : Responsable du traitement Créée en 2005, la société Heva est un bureau d’études qui réalise des recherches dans le domaine de la santé notamment à partir des données du Système national des données de santé (SNDS), pour son propre compte ou celui de ses clients. Sur les sous-traitants L’entrepôt "FREiA" sera hébergé par la société Docaposte, qui agira comme sous-traitant, en reprenant l’architecture ainsi que les processus d’exploitation et d’administration développés pour l’entrepôt "Plateforme AGORiA santé" (délibération n° 2022-063). Le traitement des données par Docaposte devra être régi par un contrat ou un acte juridique, conformément à l’article 28 du RGPD. Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception : de la base légale du traitement ; de la nature des données traitées (données du système national des données de santé – SNDS – exclusivement) ; de la gouvernance de l’entrepôt ; des modalités d’information des personnes concernées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel "entrepôt de données dans le domaine de la santé". Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel, dénommé "FREiA". Les recherches, études et évaluations dans le domaine de la santé susceptibles d’être mises en œuvre à partir des données de cet entrepôt devront : d’une part, être uniquement diligentées par une entreprise produisant ou commercialisant des produits de santé, industriel de santé, tels que mentionnés au II de l'article L. 5311-1 du code de santé publique dans le cadre de la constitution d’un dossier à destination d’une autorité de santé (Haute autorité de santé (HAS), Agence nationale de sécurité du médicament et des produits de santé (ANSM), Agence européenne du médicament (EMA)) ; d’autre part, poursuivre l’une des finalités suivantes : décrire, lorsque cela est pertinent à partir des données du SNDS, la population cible, l’incidence et la prévalence des patients susceptibles de recevoir un traitement médicamenteux ou un dispositif médical ; décrire les conditions d’utilisation des produits de santé en pratique courante dans le cadre du parcours de soins ; mesurer l’efficacité et les risques liés à l’utilisation d’une thérapeutique (médicament, dispositif médical, solution digitale, etc.). L’entrepôt "FREiA" entend permettre la réalisation de ces études dans des délais compatibles avec les calendriers de mise sur le marché des médicaments. Les données contenues dans cet entrepôt ne sauront, conformément aux dispositions de l’article L. 1461-1 du code de la santé publique (CSP), être exploitées à des fins de promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé, ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d’un individu ou d’un groupe d’individus présentant un même risque. De même, la CNIL rappelle l’interdiction de constituer et d’utiliser à des fins de prospection ou de promotion commerciales des fichiers composés à partir des données issues directement ou indirectement des prescriptions médicales, dès lors que ces fichiers permettent d’identifier directement ou indirectement le prescripteur (article L. 4113-7 du CSP). Sur la gouvernance de l’entrepôt A titre liminaire, la CNIL rappelle que la société Heva bénéficie notamment d’une autorisation, sous la forme d’une décision unique, lui permettant de mettre en œuvre des traitements automatisés à des fins de recherches, d’études et d’évaluations à partir des données de l’échantillon du Système national des données de santé (ESND) (délibération n° 2024-005). En tant que bureau d’études, elle est également susceptible de traiter des données du programme de médicalisation des systèmes d’information (PMSI) pour le compte de ses clients dans le cadre d’une déclaration de conformité à la MR-006 effectuée par ces derniers. Une gouvernance globale est mise en place par la société Heva afin d’analyser, pour chaque projet, l’opportunité de recourir aux données de l’ESND, du PMSI ou bien à celles contenues dans l’entrepôt "FREiA". Sur la gouvernance de l’entrepôt : La société HEVA mettra en place un dispositif de gouvernance de l’entrepôt "FREiA" afin de maîtriser l’exploitation qui en sera faite dans le respect des finalités déclarées et de l’intérêt public. Ce dispositif est composé d’un comité de pilotage divisé en deux sections distinctes. Il sera notamment composé de membres qualifiés en matière de traitements de données du SNDS. La section stratégique du comité de pilotage se réunira : a minima tous les mois (et à la demande si besoin) pour : vérifier la conformité des objectifs de chaque projet aux finalités de l’entrepôt ; valider les termes contractuels avec les porteurs des études sur les finalités, la mise à disposition des résultats auprès des autorités et l’engagement de publication des résultats ; le cas échéant, assister le porteur de projet dans la rédaction du protocole et la validation des objectifs scientifiques du projet ; une fois par trimestre pour : tenir une liste exhaustive des études réalisées sur la plateforme ; superviser le respect des niveaux de sécurité nécessaire à la constitution d’un système fils ; superviser le respect des processus mis en place sur les différents niveaux d’habilitation pour le personnel de la société Heva à travailler sur le système fils ; valider toutes les évolutions significatives de l’infrastructure et du périmètre de données de l’entrepôt "FREiA" avant, le cas échéant, la saisine de la CNIL en cas de modification substantielle apportée au traitement ; tenir une liste exhaustive de toutes les habilitations associées à l’entrepôt pour le personnel de la société Heva ; produire un rapport annuel de l’activité de l’entrepôt, qui sera remis à la CNIL. Par ailleurs, la section stratégique pourra être saisie en cas de doute sur la nécessité de recourir à l’entrepôt pour la réalisation d’un projet, plutôt qu’aux seules données de l’ESND ou du PMSI. La section éthique et scientifique du comité de pilotage aura pour mission : d’émettre un avis sur les orientations scientifiques de l’entrepôt ; d’émettre un avis sur l’intérêt scientifique et l’intérêt public de faire évoluer le périmètre des données contenues dans "FREiA" ; de se saisir de tout sujet de nature scientifique ou éthique qui pourrait concerner l’entrepôt et les études qu’il mène ; de produire des avis sur les orientations scientifiques, éthiques et techniques décidées par le comité de pilotage à se demande, en particulier sur l’impact en matière de respect de la protection des données personnelles. Chaque projet de réutilisation des données contenues dans l’entrepôt fera l’objet d’une saisine de la section éthique et scientifique. Par ailleurs, le dossier de demande mentionne que chaque projet de recherche ne pourra être mis en œuvre qu’après avoir obtenu l’autorisation préalable de la CNIL, après avis du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES). Sur les données traitées Cet entrepôt sera alimenté par des données du SNDS provenant : du système national d’information inter-régimes de l’Assurance maladie (SNIIRAM), s’agissant notamment des variables techniques, des variables socio-démographiques, du référentiel médicalisé et des parcours de soins ; du programme de médicalisation des systèmes d’information – Médecine/Chirurgie/Obstétrique (PMSI-MCO), s’agissant notamment des variables techniques, des variables socio-démographiques, des hospitalisations, des activités externes et dispositifs médicaux. Les données du SNDS pouvant être traitées dans le cadre de la présente décision portent sur des données dont la profondeur historique maximale est de neuf ans plus l’année en cours. Cette profondeur historique a été scientifiquement justifiée dans le dossier de demande. Les données du SNIIRAM et du PMSI des années 2014 à 2023 alimenteront, dans un premier temps, l’entrepôt "FREiA", sous réserve qu’elles soient diffusables par la Caisse nationale de l’assurance maladie (CNAM). Dans un second temps, l’entrepôt sera alimenté par des données plus récentes en fenêtre roulante, dans la limite de la durée de validité de la présente autorisation. Les données de l’année la plus ancienne seront supprimées annuellement à l’occasion de la mise à jour des données concernées du SNDS. 252 variables (soit environ 8% de l’ensemble des variables présentes au sein du SNDS), dont la liste est précisée dans une expression de besoins figurant dans le dossier de demande, seront mises à disposition par la CNAM. Après un travail de mise en qualité et de minimisation des données réalisé par Heva, l’entrepôt contiendra moins de 100 variables, représentant moins de 40% des variables initialement mises à disposition par la CNAM. Le responsable de traitement réalisera plusieurs opérations à la réception des données issues du SNDS pour assurer leur contrôle et leur mise en qualité et leur analyse : un contrôle qualité des données issues du SNDS (présence de toutes les tables demandées, conformité de structure des tables reçues, respect des contraintes d’intégrité propres aux données issues du SNDS, cohérence du volume d’activité au cours du temps, évolution du nombre de bénéficiaires par mois de soins) ; une transformation des données issues du SNDS (optimisation des correspondances ou "jointures" entre les tables, mise en œuvre de filtres et corrections sur les données, bonne gestion des référentiels) ; un contrôle qualité de chaque datamart (validation de la complétude et de la cohérence de l’extraction par rapport aux besoins du projet). S’agissant des données relatives aux professionnels de santé : Seules les données suivantes seront collectées : la nature d'activité, la spécialité, le statut juridique ou mode d’exercice du professionnel exécutant ; la nature d'activité, la spécialité, le statut juridique ou mode d’exercice du professionnel prescripteur. Ces données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions du c) du 1 de l’article 5 du RGPD. Sur la conservation des données Les données du SNDS seront conservées deux ans à compter de leur mise à disposition. La mise à jour des données sera effectuée une fois par an, à la date de mise à disposition des données actualisées du SNDS. Au-delà de ce délai, les données du projet seront supprimées de l’espace projet. A l’issue de chaque projet, les données seront archivées dans un délai d’un mois après la mise à disposition par le responsable de traitement du rapport de l’étude au porteur de projet. Ces durées de conservation des données n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions du e) du 1 de l’article 5 du RGPD. Sur les accédants et les destinataires des données Seuls les membres du personnel habilités de Heva, dans les strictes limites de leur besoin d’en connaître pour l’exercice de leurs missions s’inscrivant dans les finalités de l’entrepôt, pourront accéder aux données. Des documents tenus à jour indiquent la ou les personnes compétentes pour chaque responsable de traitement pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations. La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement. En dehors des personnes visées ci-dessus, les clients ne pourront être destinataires que de rapports contenant des données agrégées et anonymisées. Il pourra s’agir de moyenne, médiane, écart type sur une population de plus de dix patients. Sur l’information des personnes En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement à travers : la diffusion de la note d’information relative à la constitution de l’entrepôt "FREiA" sur le portail de transparence de la société Heva, comprenant toutes les mentions prévues par le RGPD ; l’inscription du traitement au sein du répertoire public de la Plateforme des données de santé (PDS) ; la publication d’un résumé, ainsi que d’une note d’information, pour chaque projet, sur le site web de Heva, préalablement à la mobilisation des données pour l’étude. Ces modalités d’information sont conformes au principe de transparence et aux exigences d’information prévues par les articles 12 et suivants du RGPD. Sur les droits des personnes Les droits d'accès, de rectification, d’effacement, de limitation du traitement et d'opposition s'exerceront auprès de la société HEVA. Pour prendre en compte les demandes d’effacement, de limitation du traitement et d’opposition sur les données du SNDS, la société Heva prévoit de recevoir annuellement, lors de la mise à jour de l’entrepôt, l’ensemble des identifiants pseudonymisés des personnes ayant fait une demande. L’ensemble des données les concernant seront alors supprimées. Ces modalités d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi "informatique et libertés". Sur la sécurité des données et la traçabilité des actions La sécurité de l’entrepôt, ainsi que sa conformité technique au référentiel "entrepôt de données dans le domaine de la santé" et son homologation au nouveau référentiel de sécurité du SNDS, sont déléguées à Docaposte, qui assure déjà celles de la plateforme AGORiA. Pour autant, les deux entrepôts resteront totalement disjoints : les comptes d’accès administrateurs et utilisateurs seront différents, les différents espaces d’administration, de préparation des données et les espaces projets seront strictement cloisonnés par entrepôt. Un plan d’actions a été défini, comme prévu par l’arrêté du 7 mai 2024 pour un système SNDS déjà existant, avec des échéances jusqu’à la fin de l’année 2024. La société Heva devra s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement. Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt "FREiA". Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Observations complémentaires Dans l’hypothèse où la société Heva souhaiterait continuer à mettre en œuvre ce traitement à l’issue de la période de deux ans, le dossier de renouvellement de demande d’autorisation devra notamment comporter un bilan comprenant : l’adéquation des objectifs de chaque étude aux finalités de l’entrepôt "FREiA" (et le cas échéant l’indication du nombre d’études réalisées plutôt à partir de la MR-006 ou de l’ESND) ; le fonctionnement du comité de pilotage (la liste à jour des membres du comité de pilotage) ; la liste exhaustive de toutes les habilitations associées à l’entrepôt FREiA pour le personnel d’Heva ; la liste des projets réalisées ou en cours de réalisation en décrivant pour chaque projet : le contexte, les objectifs du projet et le cadre de mise à disposition des données aux autorités ; le délai entre la demande d’accès et la création du datamart projet ; le délai entre la création du datamart projet et la mise à disposition du rapport d’études ; les éléments décrivant le datamart projet : la taille, le nombre de patients, le recours aux variables sensibles, et les tables et variables utilisées ; les publications réalisées. Autorise, conformément à la présente délibération, la société HEVA à mettre en œuvre le traitement susmentionné pendant une durée de deux ans à compter de la mise à disposition des données. La Présidente Marie-Laure DENIS