Décision DT-2024-029 du 31 décembre 2024 autorisant la FONDATION D’ENTREPRISE MGEN POUR LA SANTE PUBLIQUE à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé. (Demande d’autorisation n° 2235299)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé" à l’exception : de la base légale du traitement ; de la nature des données traitées (professionnels de santé) ; des modalités d’information des personnes concernées (professionnels de santé). La CNIL relève également que la nature des données des assurés dont le traitement est envisagé n’est pas conforme au référentiel. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel. Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé. Les données de cet entrepôt seront utilisées dans le cadre de la mise en œuvre d’études, recherches et évaluations portant sur le parcours de santé des assurés et les mesures d’accompagnement dont ils peuvent bénéficier, afin d’identifier des leviers pour améliorer la prévention et la prise en charge en santé des populations. Les données contenues dans cet entrepôt ne devront être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. Le traitement envisagé par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi "informatique et libertés". Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi "informatique et libertés", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres. Sur les données traitées Les données collectées dans le cadre de l’EDS sont les suivantes : les données individuelles médico-administratives fournies par MGEN, sous réserve qu’elles aient été légalement collectées dans le cadre de la liquidation des prestations de santé et de l’exécution des contrats de prévoyance ; les données individuelles appariées en amont de leur versement dans l’EDS issues de projets de recherches, études et évaluations dans le domaine de la santé précédemment réalisés et dont la durée de conservation n’a pas expiré fournies par des demandeurs internes ou externes ; des données non personnelles fournies par des entités externes, pour la plupart en accès libre sur internet. Les données collectées dans le cadre de l’EDS concerneront les assurés de la MGEN dans le cadre du régime obligatoire et/ou complémentaire disposant d’un contrat en cours d’exécution dans le mois précédent leur versement et qui n’auront pas exercé leur droit d’opposition. Chaque mois, de nouvelles données viendront s’ajouter aux données déjà présentes dans l’entrepôt. De nouveaux assurés régime obligatoire et/ou complémentaire pourront être inclus au moment du versement mensuel des données dans l’entrepôt. Les données seront pseudonymisées avant leur intégration dans l’entrepôt. Les professionnels de santé concernés seront identifiés via un numéro pseudonyme propre au binôme assuré-professionnel de santé . Les données collectées les concernant seront limitées à leur fonction (catégorie et spécialité), leurs coordonnées professionnelles généralisées au département ainsi que leur secteur de conventionnement. La CNIL relève en outre que le traitement du code IRIS, issu des coordonnées géographiques des assurés, n’est pas conforme aux dispositions du référentiel. Le traitement de ces données a été justifié par le responsable de traitement dans le dossier de demande. Aucune donnée ne pourra être collectée uniquement afin d’alimenter l’entrepôt. Sur les durées de conservation La profondeur historique des données versées dans l’entrepôt lors de sa constitution correspondra aux cinq années calendaires passées. Les données seront ensuite conservées pendant dix ans à compter de leur versement dans l’entrepôt puis supprimées. Sur les modalités d’information des personnes concernées S’agissant des assurés : Ils seront individuellement informés du traitement des données les concernant. S’agissant des professionnels de santé salariés des centres de santé MGEN : Ils devront être informés individuellement du traitement de leurs données dans le cadre de la constitution et de la mise en œuvre de l’EDS. S’agissant des autres professionnels de santé : En application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des professionnels de santé au regard de la nature peu identifiante des données collectées les concernant. Des mesures appropriées seront mises en œuvre notamment via une notice d’information sur le site du responsable de traitement, des magazines spécialisés ainsi que sur ses réseaux sociaux. S’agissant des utilisateurs de l’EDS : Les utilisateurs seront informés individuellement avant toute ouverture des droits d’accès, lors de la signature de la charte d’utilisation détaillant les conditions générales d’utilisation (CGU), incluant les conditions de traitement de leurs données ainsi que les modalités d’exercice de leurs droits sur leurs données personnelles. L’adhésion des utilisateurs aux CGU sera rappelée lors de chaque connexion à leur espace de travail sécurisé. En cas de modification de la charte, cette dernière leur sera adressée par messagerie électronique et ils devront la retourner signée. Sur la sécurité des données et la traçabilité des actions Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt, ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel "entrepôt de données dans le domaine de la santé". Aucun écart avec les exigences de sécurité du référentiel n’a été relevé par le responsable de traitement. Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5,1, f) et 32 du règlement général sur la protection des données compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. AUTORISE la FONDATION D’ENTREPRISE MGEN POUR LA SANTE PUBLIQUE à mettre en œuvre le traitement décrit ci-dessus pendant une durée de trois ans . Le Directeur adjoint de l’accompagnement juridique Paul HEBERT


Délibération n° 2024-053 du 27 juin 2024 portant avis sur un projet de décret portant autorisation de mise en œuvre d'un traitement automatisé de données à caractère personnel dénommé « Données opérationnelles de cyberdéfense »

N° de demande d’avis : 24007115 Thématiques : sécurité des systèmes d’information - cybersécurité Organisme(s) à l’origine de la saisine : Secrétariat général de la défense et de la sécurité nationale (SGDSN) Fondement de la saisine : Article 31-II de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés L’essentiel : 1. La CNIL a été saisie d’un projet de décret visant à autoriser l’Agence nationale de la sécurité des systèmes d’information (ANSSI) à mettre en œuvre un traitement de données à caractère personnel dénommé " Données opérationnelles de cyberdéfense " dans le cadre de ses missions prévues par les articles L. 2321-1 et suivants du code de la défense et le décret n° 2009-834 du 7 juillet 2009 modifié portant création d’un service à compétence nationale dénommé " Agence nationale de la sécurité des systèmes d’information ". 2. Elle estime que les finalités poursuivies par ce traitement sont légitimes. Le traitement mis en œuvre relève d’un régime mixte (RGPD et titre IV de la loi " Informatique et libertés "), mais elle considère que le SGDSN devrait clarifier tant la détermination du régime juridique applicable en fonction du statut des bénéficiaires que la notion de fichiers soumis dans le cadre de services opérés par l’ANSSI. 3. Elle observe que les dispositions projetées ne permettent pas de rattacher de manière certaine les données concernées à la finalité pour laquelle elles sont traitées. Elle considère que la mise en œuvre de marqueurs spécifiques, ou d'un dispositif équivalent, devrait permettre de déterminer les données considérées comme intéressant la sûreté de l'Etat, sur la base de critères précis. Une telle identification est de nature à permettre au responsable de traitement, saisi d'une demande d'exercice des droits sur le fondement du RGPD, de n'exclure de sa réponse que les données identifiées par avance, et sur la base de critères précis, comme relevant du régime du titre IV. ___________________ La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (" loi informatique et libertés "), notamment son titre IV ; Après avoir entendu le rapport de Mme Isabelle Latournarie-Willems, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante : I. La saisine A. Le contexte 1. Créée par le décret n° 2009-834 du 7 juillet 2009 portant création d’un service à compétence nationale dénommé " Agence nationale de la sécurité des systèmes d’information ", l’ANSSI est l’autorité nationale de défense des systèmes d’information ainsi que l’autorité nationale en matière de sécurité des systèmes d’information. A ce titre, elle a notamment pour missions de : mener des inspections des systèmes d'information des services de l'Etat et d'opérateurs publics ou privés ; mettre en œuvre des dispositifs de détection des événements susceptibles d'affecter la sécurité des systèmes d'information de l'Etat, des autorités publiques et d'opérateurs publics et privés et de coordonner la réaction à ces événements ; recueillir les informations techniques relatives aux incidents affectant les systèmes d'information des personnes mentionnées à l'alinéa précédent. Elle peut apporter son concours pour répondre à ces incidents. Son intervention se situe soit dans le cadre du code de la défense lorsque sont en cause la stratégie de sécurité nationale et la politique de défense, soit dans le cadre plus général fixé par le décret du 7 juillet 2009 susmentionné. 2. La loi n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense (LPM) a complété les instruments juridiques à la disposition de l’ANSSI pour préserver la sécurité des systèmes d’information. Ces instruments juridiques visent à lutter contre les atteintes à la sécurité des systèmes d’information des autorités publiques, des opérateurs d’importance vitale (OIV), et des opérateurs de services essentiels (OSE) ainsi que d’autres opérateurs publics et privés. 3. Le décret n° 2024-421 du 10 mai 2024 pris pour l’application des articles L. 2321-2-1 à L. 2321-4-1 du code de la défense et des articles L. 33-14 et L. 36-14 du code des postes et des communications électroniques, dont la CNIL a été saisie pour avis (CNIL, SP, 7 mars 2024, n° 2024-025, publiée), a d’ores et déjà mis en œuvre certaines dispositions du code de la défense issues de la récente LPM. B. L’objet de la saisine 4. Le projet de décret vise à autoriser l’ANSSI à mettre en œuvre un traitement de données à caractère personnel dénommé " Données opérationnelles de cyberdéfense " dans le cadre de : ses missions d’autorité nationale de défense et de sécurité des systèmes d’information, mentionnées à l’article L. 2321-1 du code de la défense et à l’article 3 du décret du 7 juillet 2009 (à savoir, ceux de l’Etat, des autorités publiques et d’opérateurs publics et privés) ; sa mission de centre national de réponse aux incidents de sécurité informatique. Ainsi, il se fonde à la fois sur les dispositions du code de la défense et sur les dispositions plus générales du décret du 7 juillet 2009. II. L’avis de la CNIL A. Sur les finalités et le régime juridique applicable 5. Le traitement " Données opérationnelles de cyberdéfense " a pour finalités : l’évaluation et l’amélioration du niveau de sécurité des systèmes d’information ainsi que son suivi dans le temps ; la supervision et l’analyse des évènements affectant ou susceptibles d’affecter la sécurité des systèmes d’information ainsi que leur suivi dans le temps ; la qualification, le traitement, l’analyse et le suivi dans le temps des incidents affectant les systèmes d’information ; la prévention et l’analyse des activités malveillantes affectant ou susceptibles d’affecter la sécurité des systèmes d’information. 6. Les échanges avec le SGDSN ont permis de préciser que la quatrième finalité se distingue nettement des trois autres, en ce qu’elle est centrée sur les activités malveillantes lorsqu’une menace susceptible de porter atteinte aux systèmes d’information des entités concernées est avérée. 7. Le traitement projeté est un traitement mixte : le III de l’article 1er énonce que les données traitées au titre des trois premières finalités " relèvent du régime [du RGPD], au titre de la sécurité nationale et publique, à l’exception de celles qui ont pour finalité la sûreté de l’Etat et la défense qui relèvent du titre IV de la loi du 6 janvier 1978 susvisée ". En revanche, les données traitées dans le cadre de la dernière finalité relèvent du titre IV de la loi du 6 janvier 1978 susvisée. 8. S’agissant de la détermination du régime juridique applicable pour les trois premières finalités, d’après les précisions apportées par l’ANSSI, celui-ci sera déterminé en fonction du statut du bénéficiaire. 9. Elle regrette néanmoins que le projet de décret et l’analyse d’impact relative à la protection des données (AIPD) transmis n’apportent pas davantage de précisions sur la détermination du régime juridique applicable. Elle considère que le SGDSN devrait clarifier notamment le régime juridique applicable aux données relatives aux autorités publiques qui n’entreraient pas dans le champ de la Directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'information dans l'Union (directive " NIS ") ou de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union (directive dite " NIS 2 ") lorsqu’elle aura été transposée. 10. En outre, le e) du 4° du I de l’article 2 du projet de décret prévoit de soumettre au titre IV de la loi du 6 janvier 1978 susvisée les " fichiers soumis dans le cadre de services opérés par l’ANSSI ". Elle invite le SGDSN à clarifier les notions de " fichiers soumis " et de " services opérés ". A cet égard, elle prend acte de ce qu’il s’agit de services tels que " Jecliqueoupas ", mais que tous les fichiers concernés par ces services n’ont pas vocation à être enregistrés dans le traitement " Données opérationnelles de cyberdéfense ". Seuls les fichiers infectés dont les données à caractère personnel intéressent la sûreté de l’Etat et la défense seront concernés. 11. Elle accueille favorablement le fait que le projet de texte ne prévoie pas d’exclure le contrôle a posteriori du traitement par la CNIL, pour autant qu’il relève du titre IV de la loi " informatique et libertés ". En outre, le SGDSN prévoit, nonobstant la possibilité de dispense de publication prévue au III de l’article 31 de la loi informatique et libertés, que le décret fera l’objet d’une publication. B. Sur les données collectées 12. L’article 2 du projet de décret énumère les données à caractère personnel susceptibles d’être enregistrées en fonction des différentes finalités poursuivies par le traitement. 13. La CNIL prend acte de ce que ces données pourront être collectées lors des audits menés par les agents de l’ANSSI ou en ligne sur internet, mais qu’il n’y aura pas d’autres mises en relation que celle prévue avec le traitement " Base relative à l’alerte de victimes ", créé par un projet d’arrêté dont la CNIL est également saisie. 14. S’agissant de cette mise en relation, la CNIL prend acte de ce qu’il ne s’agira pas d’une mise en relation automatisée et que le traitement " Base relative à l’alerte de victimes " a vocation à n’être utilisé que s’il n’a pas été possible d’identifier autrement la victime d’activités malveillantes affectant ou susceptible d’affecter la sécurité des systèmes d’information. Elle prend acte de ce que cette mise en relation ne concernera que les cas qui apparaissent comme relevant du titre IV de la loi du 6 janvier 1978 susvisée. 15. De manière incidente, l’ANSSI pourra être amenée à collecter des données sensibles au sens de l’article 9 du RGPD et de l’article 6 de la loi du 6 janvier 1978 susvisée (par exemple, des données de santé si l’organisme au bénéfice duquel l’ANSSI intervient est un établissement de santé, ou encore des données relatives à l’appartenance syndicale, dans l’hypothèse où les données d’une section syndicale seraient incluses dans le système d’information affecté par la menace). Cependant, l’ANSSI n’a pas vocation à conserver les données qui ne sont pas nécessaires à la réalisation de ses missions. Dès lors, l’article 5 du projet de décret prévoit que les données à caractère personnel collectées sur le fondement de l’articles L. 2321-2-1 du code de la défense que l’ANSSI ne qualifie pas comme étant " directement utiles à la prévention et à la caractérisation des menaces " sont détruites dans un délai de vingt-quatre heures à compter de cette qualification. Il en est de même pour les données à caractère personnel collectées sur le fondement de l’article L. 2321-2-3 qui ne sont pas qualifiées comme étant " directement utiles à la caractérisation des menaces ". 16. Sous réserve, en particulier lorsqu’il s’agit des données sensibles, que l’ANSSI qualifie de manière très rigoureuse les données directement utiles à la prévention et à la caractérisation des menaces, la CNIL considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément au 3° de l'article 4 de la loi du 6 janvier 1978 susvisée. 17. De manière complémentaire, la CNIL relève que, conformément à l’article L. 2321-5 du code de la défense, l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (Arcep) est chargée de veiller au respect par l’ANSSI des conditions d’application des dispositifs introduits par la LPM et notamment de contrôler que les données techniques recueillies soient strictement nécessaires à l’analyse des évènements et que ces données ne puissent être exploitées qu’aux seules fins de caractériser la menace affectant la sécurité de ces systèmes. C. Sur les durées de conservation 18. L’article 5 du projet de décret prévoit que peuvent être conservées dix ans à compter de leur collecte par l’ANSSI, les données traitées pour les trois premières finalités – soit : l’évaluation et l’amélioration du niveau de sécurité des systèmes d’information ainsi que son suivi dans le temps ; la supervision et l’analyse des évènements affectant ou susceptibles d’affecter la sécurité des systèmes d’information ainsi que son suivi dans le temps ; la qualification, le traitement, l’analyse et le suivi dans le temps d’un incident affectant les systèmes d’information. 19. La CNIL prend acte de ce que la détermination d’une telle durée vise à permettre de préserver les capacités d’anticipation, de détection et de réponse de l’ANSSI. En effet, le suivi du niveau de sécurité des systèmes d’information nécessite de pouvoir apprécier les évolutions mises en place et la prise en compte des recommandations de l’ANSSI par les entités qui bénéficient de son appui. Ces données sont utiles lors d’un incident chez une entité auditée ou ayant bénéficié d’un service automatisé de l’ANSSI afin, dans le cadre de " recherche d’antécédents ", de détecter les premières traces de la présence d’un attaquant, d’évaluer les actions ayant pu être effectuées par celui-ci sur les systèmes ou d’autres systèmes, ou encore de mesurer l’impact de ces actions. La continuité de l’historique des données sur plusieurs années permet en effet de reconstituer a posteriori le déroulement d’une attaque. 20. Au regard de ces précisions, la CNIL s’interroge sur la nécessité de conserver pendant dix ans l’ensemble de ces données (par exemple, les données relatives à l’identité ou à la fonction des personnes physiques interrogées dans le cadre des audits). Elle considère que seules les données nécessaires à la " recherche d’antécédents " devraient être conservées pour une telle durée ; l’article 5 du projet de décret devrait donc être complété afin de prévoir des durées de conservation adaptées pour les données qui ne sont pas nécessaires à la " recherche d’antécédents ". 21. La durée de conservation des données relatives à la finalité de prévention et d’analyse des activités malveillantes affectant ou susceptibles d’affecter la sécurité des systèmes d’information, mentionnée au 4° du II de l’article 1er du projet de décret, est fixée de la façon suivante par le projet de décret : deux ans à compter de la qualification par l’ANSSI comme étant directement utiles à la prévention et à la caractérisation des menaces et celles permettant d’identifier les victimes, pour les données à caractère personnel collectées sur le fondement de l’article L. 2321-2-1 du code de la défense relatif aux dispositifs exploitant des marqueurs techniques et permettant le recueil de données ; cinq ans à compter de cette même qualification pour les données à caractère personnel collectées sur le fondement de l’article L. 2321-2-3 du code de la défense relatif aux dispositifs permettant le blocage, l’enregistrement, la suspension, le transfert et la redirection de nom de domaine ; vingt-quatre heures à compter de leur qualification pour les données qui ne sont pas qualifiées comme étant directement utiles à la prévention et à la caractérisation des menaces ; cinq ans à compter de leur collecte par l’ANSSI pour les données collectées sur le fondement du deuxième alinéa de l’article L. 2321-3 du code de la défense relatif à la transmission à l’ANSSI, par les opérateurs, de l’identité et des coordonnées des utilisateurs ou détenteurs de systèmes d’information vulnérables, menacés ou attaqués, afin de les alerter sur la vulnérabilité ou l’atteinte de leur système. 22. Sur ce point, le projet de décret reprend les durées de conservation fixées par les articles L. 2321-2-1 et L. 2321-2-3 du code de la défense. A cet égard, la CNIL s’interroge toutefois sur le point de départ du délai de conservation retenu au regard des dispositions du code de la défense. En effet, les articles R. 2321-1-5 et R. 2321-1-10 de ce code font débuter la durée de conservation des données à compter de leur recueil, alors que le projet de décret retient la qualification par l’ANSSI de la donnée comme directement liée à la menace comme point de départ de la durée de conservation des données. Elle invite ainsi le SGDSN à mettre en cohérence le projet de décret avec le code de la défense sur ce point. 23. Par ailleurs, pour les " fichiers soumis dans le cadre de services opérés par l’ANSSI " mentionnés au e) du 4° du I de l’article 2 du projet, la durée de conservation de dix ans vise, selon le SGDSN, à permettre d’assurer que les capacités d’anticipation, de détection et de réponse de l’ANSSI soient préservées. La CNIL relève que cette durée de conservation ne résulte que du projet de décret qui lui est soumis, et diffère notablement de celle définie pour les autres données correspondant à la quatrième finalité qui relèvent des dispositions de la LPM. Il va de soi que cette durée de conservation de dix ans ne pourra s’appliquer que pour autant que les données en cause n’entreront pas dans le champ d’application de dispositions législatives du code de la défense qui prévoiraient une durée différente. 24. Sous ces réserves, la Commission considère que les données sont conservées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément au 5° de l'article 4 de la loi du 6 janvier 1978 susvisée. D. Sur les accédants et les destinataires 25. L’article 4 du projet de décret liste les accédants (les agents de l’ANSSI) ainsi que les destinataires des données à caractère personnel et informations pouvant être enregistrées dans le traitement, en fonction des finalités : les commanditaires des audits, au titre de l’évaluation et l’amélioration du niveau de sécurité des systèmes d’information ; les agents de l’Etat, de l’autorité publique, le personnel de l’OIV ou celui de l’opérateur de services essentiels, les personnels de leurs prestataires ou sous-traitants qui sont les interlocuteurs du service de supervision de l’ANSSI dans la chaîne de traitement des incidents, au titre de la prévention, la supervision et l’analyse des évènements affectant ou susceptibles d’affecter la sécurité des systèmes d’information ; les entités contribuant au traitement de l’incident de sécurité si le bénéficiaire a donné son accord, au titre de la qualification, du traitement et de l’analyse d’un incident de sécurité affectant les systèmes d’information ; les partenaires de l’ANSSI pour certaines données limitativement énumérées. 26. La CNIL prend acte de ce que les échanges avec les partenaires de l’ANSSI (nationaux, européens ou internationaux) visent notamment à communiquer les données relatives aux victimes potentielles à ces partenaires (adresses IP, url ou identifiants, adresses de courrier électronique ou identités (nom, prénom)), notamment lorsqu’ils concernent des entités relevant de la compétence d’autres Etats. Elle prend aussi acte de ce que ces échanges pourront concerner des " marqueurs d’attaque ". Elle relève que, si tel est le cas, le SGDSN devrait modifier le V de l’article 4 du projet de décret afin d’ajouter cette donnée à la liste. 27. Sans remettre en cause ces échanges de données avec les partenaires de l’ANSSI, la CNIL considère que le projet de décret pourrait préciser, de manière cohérente avec les conditions concernant la conservation des données, qu’ils se limitent aux données " directement utiles " à la prévention et à la caractérisation des menaces pour celles collectées sur le fondement de l’article L. 2321-2-1 du code de la défense, et à la caractérisation des menaces seulement pour celles collectées sur le fondement de l’article L. 2321-2-3 de ce code. E. Sur les droits des personnes 28. L’article 8 du projet de décret détaille les modalités d’exercice des droits, en fonction du régime juridique applicable. En outre, l’article 2 du projet de décret prévoit que les données à caractère personnel intéressant la sûreté de l’Etat et la défense, de façon isolée ou groupée, font l’objet d’une identification dans le traitement. 29. Pour les données relevant du RGPD, il est prévu que les droits d’information et d’opposition ne s’appliquent pas, conformément à l’article 23 de ce règlement. Les droits d’accès, de rectification et d’effacement s’exercent directement auprès de l’ANSSI. 30. Pour les données relevant du titre IV de la loi du 6 janvier 1978 susvisée, les droits d’information et d’opposition ne s’appliquent pas, conformément aux articles 116 et 117 de cette loi. Les droits d’accès, de rectification et d’effacement s’exercent de manière indirecte auprès de la CNIL, dans les conditions prévues à l’article 118 de la même loi. 31. Le caractère de fichier mixte, relevant concurremment du RGPD et du titre IV de la loi " informatique et libertés ", entraîne une complexité particulière des modalités d'exercice des droits. Or, la CNIL rappelle que l'exercice des droits des personnes, et notamment la possibilité de demander à accéder aux données les concernant, constitue une garantie importante en vue de prévenir des atteintes à leur vie privée. 32. Compte tenu des finalités poursuivies par le traitement, les restrictions prévues aux droits des personnes n’appellent pas d’observation particulière. 33. En revanche, la CNIL observe que les dispositions projetées ne permettent pas de rattacher de manière certaine les données concernées à la finalité pour laquelle elles sont traitées. Elle considère que la mise en œuvre de marqueurs spécifiques, ou d'un dispositif équivalent, devrait permettre de déterminer les données considérées comme intéressant la sûreté de l'Etat, sur la base de critères précis. Une telle identification est de nature à permettre au responsable de traitement, saisi d'une demande d'exercice des droits sur le fondement du RGPD, de n'exclure de sa réponse que les données identifiées par avance, et sur la base de critères précis, comme relevant du régime du titre IV. F. Sur les mesures de sécurité 34. L’analyse d’impact relative à la protection des données montre que le système d’information sur lequel repose le traitement dispose de fonctionnalités de cloisonnement appropriées au regard de la nature des données traitées et de leur classification. 35. La CNIL prend acte de ce que la journalisation des accès a pour seule finalité la détection et la prévention d'opérations illégitimes sur les données du traitement. Elle prend également acte de la supervision en continu des accès qui, couplée à un système de détection des anomalies, permet d’exploiter ces données et contribue à la sécurité du traitement. 36. La CNIL prend aussi acte de ce que l’ANSSI réalise une revue trimestrielle des privilèges afin de réaligner les habilitations sur les fonctions de chaque agent dans le cadre des habilitations spécifiques, et limite ainsi les risques que des personnes non autorisées accèdent aux données alors qu’elles n’auraient pas le besoin d’en connaître. 37. Enfin, la CNIL prend également acte de l’absence de recours à la sous-traitance, de sorte que seuls les agents de la sous-direction des opérations de l’ANSSI auront accès aux données du traitement, y compris pour les opérations d’administration du système d’information. L’ANSSI indique que l’Arcep vérifie, notamment, l’adéquation entre les notes de nomination et les droits d’accès réels ouverts aux agents, dans le cadre de sa mission de contrôle définie dans l’article L. 2321-5 du code de la défense. 38. De manière complémentaire, la CNIL relève que l’Arcep est chargée du contrôle des dispositifs liés à la LPM. Elle exerce ce contrôle de manière régulière notamment sur " le fonctionnement précis des mécanismes de traçabilité des actions réalisées au sein des différents réseaux et outils de l’ANSSI impliqués dans la supervision et la caractérisation des menaces " (rapport d’activité de 2023). L’Arcep indique aussi que, suite à ses contrôles, l’ANSSI conduit des travaux visant, entre autres, à améliorer ces mécanismes de traçabilité ; la CNIL estime que ces améliorations de mesures de sécurité contribuent à une logique d’amélioration continue. 39. Les autres dispositions du projet de décret n’appellent pas d’observations de la part de la CNIL. La présidente, M.-L. Denis


Décision DR-2024-238 du 18 octobre 2024 autorisant l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l'évolution des paramètres du vieillissement artériel, intitulée « EPP3-2 ». (Demande d’autorisation n° 924198)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ile de France IV du 15 mai 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires de données directement identifiantes. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante Les données de l’étude "EPP3-1" (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001) seront réutilisées dans le cadre de la présente étude. Catégories particulières de données traitées (autres que données de santé) La collecte de l’origine ethnique des participants a été scientifiquement justifiée dans le dossier de demande. Destinataires des données directement identifiantes Le secrétariat de médical du centre des investigations pré cliniques de Paris sera destinataire des données nominatives ainsi que des coordonnées postales, téléphoniques et électroniques des participants aux fins de leur adresser les notes d’information ainsi que les formulaires de participation et d’organiser les rendez-vous d’inclusion. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). Durées de conservation en base active et en archivage Les échantillons biologiques seront conservés pendant quinze ans au sein d’une collection d’échantillons biologiques puis détruits. Sauf opposition des participants dûment informés, leurs données administratives d’identification seront archivées durant quinze ans à l’issue de leur suivi. Les données administratives d’identification des participants détenues par le secrétariat médical du centre des investigations pré cliniques de Paris seront conservées trois ans, correspondant au délai nécessaire à la réalisation du recrutement des participants à l’étude, puis seront détruites. Autres données : Base active : sept ans. Archivage : quinze ans. Réutilisation des données et des échantillons biologiques La constitution d’une base de données associée à une collection d’échantillons biologiques relève, sauf en cas de recueil du consentement exprès conformément aux dispositions du RGPD, du régime de formalités préalables prévu par les dispositions générales de la section 3 du chapitre III du titre 2 de la loi "informatique et libertés" pour les traitements de données à caractère personnel dans le domaine de la santé (déclaration de conformité au référentiel "entrepôt de données de santé" ou autorisation). Toute nouvelle étude qui serait mise en œuvre à partir des échantillons biologiques et des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-239 du 18 octobre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE LA REUNION à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les caractéristiques sociodémographiques, clinico-biologiques et socio-anthropologiques des gliomes diffus à la Réunion, intitulée « GLIORUN ». (Demande d’autorisation n° 924168)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud-Ouest et Outre-Mer II du 29 février 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la nature des données traitées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Sur la réutilisation des données d’une base existante Sous réserve de l’exercice du droit d’opposition, les données de l’ensemble des patients diagnostiqués de gliome diffus depuis le 1er janvier 2018 au sein du CHU de la Réunion, collectées dans le cadre de leur suivi médical seront réutilisées dans le cadre de cette étude. Catégories particulières de données traitées (autres que données de santé) Les coordonnées postales des participants, le jour du diagnostic de leur pathologie ainsi que durant les vingt dernières années, seront collectées afin de calculer les Ilots Regroupés pour l'Information Statistique (IRIS). Durées de conservation en base active et en archivage Les adresses complètes des personnes concernées seront conservées le temps nécessaire au calcul de l’IRIS puis seront supprimées. Autres données : Base active : sept ans Archivage : quinze ans AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE LA REUNION à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-254 du 28 octobre 2024 autorisant le Ministère du travail, de la santé et des solidarités (DIRECTION DE LA RECHERCHE, DES ETUDES, DE L’EVALUATION ET DES STATISTIQUES - DREES) à mettre en œuvre un traitement de données ayant pour finalité une enquête portant sur l’autonomie en établissements d’hébergement de la protection de l’enfance, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2019 à 2029, intitulée « Autonomie protection de l’enfance ». (Demande d’autorisation n° 924163).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sous-traitants Plusieurs sous-traitants interviendront dans la mise en œuvre de cette enquête. Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article 28 du RGPD. Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 23 mai 2024. Finalité et contexte de l’étude Le traitement a pour finalité la mise en œuvre d’une enquête portant sur l’autonomie en établissements d’hébergement de la protection de l’enfance. Elle poursuivra les objectifs suivants : estimer la part des enfants en situation de handicap dans les établissements d’hébergement de la protection de l’enfance ; comparer, parmi les enfants placés, les différences d’accès à la scolarité, aux loisirs ou dans les relations avec leurs parents, selon que les enfants sont en situation de handicap ou non. Afin d’atteindre cet objectif, cette enquête portera sur des personnes âgées de 5 à 20 ans hébergées en établissement de protection de l’enfance depuis au moins un mois, ainsi que sur certains membres du personnel de ces établissements. Cette enquête fait partie du dispositif des enquêtes " Autonomie ". Elle a été désignée comme " enquête d’initiative nationale obligatoire " par l’arrêté du 26 septembre 2024 complétant l'arrêté du 7 novembre 2023 portant approbation du programme d'enquêtes statistiques d'initiative nationale ou régionale des services publics pour 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (notamment traitement du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) aux fins d’appariement des données cliniques avec les données du Système national des données de santé (SNDS)), des destinataires des données directement identifiantes, des modalités d’information des personnes concernées et des durées de conservation. En dehors de ces exceptions, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-004. Méthodologie de la recherche Dans un premier temps (volet " établissement "), plusieurs établissements d’hébergement de la protection de l’enfance seront tirés au sort. Ces établissements rempliront un questionnaire permettant notamment de tirer au sort : quinze personnes pour le volet " vie quotidienne et santé " ; parmi ces quinze personnes, six personnes seront également concernées par le volet " Individus ". Dans un deuxième temps (volet " vie quotidienne et santé "), un questionnaire concernant la personne tirée au sort sera rempli par un membre du personnel de l’établissement d’hébergement. Dans un troisième temps (volet " individus "), les personnes tirées au sort dans le cadre du volet " établissement " rempliront un questionnaire. Un questionnaire sera également rempli par un membre du personnel de l’établissement d’hébergement, concernant les personnes tirées au sort pour participer au volet " Individus ". Réutilisation des données d’une base existante (étude précédente ou entrepôt de données de santé) Seront réutilisées des données à caractère personnel issues : des dossiers administratifs mis en œuvre par les établissements d’hébergement de la protection de l’enfance ; les données issues des déclarations sociales nominatives visées à l’article L. 133-5-3 du code de la sécurité sociale dont le traitement est mis en œuvre par le ministère du travail, de la santé et des solidarités (Direction de l’animation de la recherche, des études et des statistiques - DARES) ; les données issues du traitement intitulé " remontées individuelles sur l’Autonomie " mis en œuvre par le ministère du travail, de la santé et des solidarités (DREES) . Ce traitement est visé à l’article L. 232-21-1 du code de l’action sociale et des familles (CASF) ; les données issues du traitement intitulé " Observation longitudinale, individuelle et nationale en protection de l’enfance " (Olinpe) mise en œuvre par le ministère du travail, de la santé et des solidarités (Direction de la recherche, des études, de l’évaluation et des statistiques). Ce traitement est visé à l’article L 2226-3-3 du CASF. Catégories particulières de données traitées (autres que données de santé) Les données directement identifiantes (données nominatives et coordonnées), les données de santé et le NIR des personnes doivent être traités et transmis de façon séparée. Ces données seront enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Le responsable de traitement et les personnes agissant sous son autorité n’auront accès qu’aux données des personnes tirées au sort. S’agissant des personnes tirées au sort lors du volet " établissement " : Les données à caractère personnel dont le traitement est envisagé sont les suivantes : deux premières lettres du nom et le prénom ; mois et année de naissance ; date d’entrée dans la structure ; la reconnaissance administrative d’un handicap ; numéro d’inclusion dans l’enquête. S’agissant des personnes tirées au sort concernées par le volet " Individus " : Les données à caractère personnel dont le traitement est envisagé sont les suivantes : prénom, nom, sexe, NIR. Dans l’hypothèse où le NIR ne serait pas transmis par le responsable de l’établissement d’hébergement, la commune de naissance sera traitée à des fins de reconstitution du NIR ; date de naissance complète et lieu de naissance (en France ou à l’étranger) ; la reconnaissance administrative d’un handicap ; des informations concernant les titulaires de l’autorité parentale (tranche d’âge, statut vital, nationalité, lieu de naissance (en France ou à l’étranger), lieu de vie, situation professionnelle). Collecte des données nominatives, de la date de naissance complète et du sexe : Les données seront traitées aux fins de reconstitution du CSNS par l’Institut national de la statistique et des études économiques en France (INSEE) pour effectuer un rapprochement avec les données issues du traitement " Olinpe ", du traitement " remontées individuelles sur l’Autonomie " et des déclarations sociales nominatives par l’utilisation du code statistique non signifiant (CSNS). Collecte du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) : Les données de l’étude feront l'objet d'un rapprochement avec les données issues du Système national des données de santé (SNDS) par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants. Collecte de la commune de naissance : La collecte de la commune de naissance sera réalisée uniquement si le NIR n’est pas renseigné par les établissements d’hébergement de la protection de l’enfance. Dans cette hypothèse, les données nominatives, le sexe, la date de naissance complète ainsi que le lieu de naissance des personnes tirées au sort seront traitées aux fins de reconstitution du NIR par l’INSEE. S’agissant des personnes tirées au sort concernées par le volet " vie quotidienne et santé " : Les données à caractère personnel dont le traitement est envisagé sont les suivantes : prénom, date de naissance complète, sexe ; la reconnaissance administrative d’un handicap ; la date d’entrée dans l’établissement d’hébergement, le type de mesure, le type de prise en charge, parcours à l’aide sociale de l’enfance. S’agissant de la collecte des données nominatives et des coordonnées postales des titulaires de l’autorité parentale : La collecte des nom, prénom, ainsi que des coordonnées postales est nécessaire pour leur adresser la note d’information. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM et PMSI. Années concernées : 2019 à 2029, sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : Centre d’accès sécurisé aux données. Information et droits des personnes En amont du tirage au sort réalisé dans le volet " établissement ", une note d’information relative au projet de recherche sera : diffusée sur le site web du responsable de traitement de l’étude ; affichée au sein des établissement d’hébergement participant. Ces mesures de transparence permettront d’informer collectivement les membres du personnel, les personnes hébergées au sein de l’établissement ainsi que les familles dès le commencement de l’enquête. S’agissant des personnes tirées au sort pour le volet " individus " : Si la personne hébergée dans l’établissement et tirée au sort est majeure, elle recevra une note d’information individuelle. Si la personne hébergée dans l’établissement et tirée au sort est mineure, les titulaires de l’exercice de l’autorité parentale recevront, dès le tirage au sort effectué, une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude. la personne tirée au sort recevra une note d’information lors d’un entretien de suivi. Le membre du personnel de l’établissement d’hébergement participant au volet " individu " sera informé individuellement préalablement à la réalisation de l’entretien de suivi. S’agissant des personnes tirées au sort concernées par le volet " vie quotidienne et santé " : La personne hébergée dans l’établissement et tirée au sort ainsi que, le cas échéant, ses représentants légaux seront informés individuellement par l’établissement d’hébergement. Conformément au a) du 3 de l’article 14 du RGPD, la personne devra être informée dans un délai raisonnable, ne dépassant pas un mois. L’ensemble de ces notes d’information devront comporter l’ensemble des mentions prévues par le RPGD. Les notes d’informations qui seront remise aux personnes mineures devront être adaptées à leurs capacités de compréhension. Mesures de sécurité Le responsable de traitement a réalisé et transmis à l’appui de sa demande d’autorisation une analyse d’impact relative à la protection des données. Celle-ci devra être complétée pour prendre en compte les étapes d’appariement. Différents identifiants pseudonymes séquentiels ou aléatoires, selon les étapes du traitement, sont attribués aux participants. Il est recommandé d’utiliser uniquement des identifiants pseudo-aléatoires. Les données seront consolidées, analysées et mises à disposition sur la plateforme du Centre d’accès sécurisé aux données (CASD). Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par le f) du 1 de l’article 5 et l’article 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment. Durées de conservation en base active et en archivage Les données des personnes concernées par le tirage au sort mais non sélectionnées ne seront pas conservées dans le cadre de l’étude. Le prénom et la date de naissance complète des personnes tirées au sort pour le volet " vie quotidienne et santé " seront conservées pendant douze mois après la fin de la collecte, uniquement afin de vérifier la conformité des fichiers reçus, puis supprimées. Les données nominatives, la date de naissance complète, le lieu de naissance des personnes tirées au sort pour le volet " Individus " ne seront pas conservés après l’appariement. Les données nominatives et les coordonnées postales des titulaires de l’autorité parentale seront supprimées après l’envoi de la note d’information. Autres données : 20 ans dans le respect de l’article L. 1461-1 du code de la santé publique. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE le MINISTERE DE LA SANTE ET DE LA PREVENTION (DIRECTION DE LA RECHERCHE, DES ETUDES, DE L’EVALUATION ET DES STATISTIQUES) à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l’accompagnement juridique Paul HEBERT


Décision DT-2024-024 du 25 octobre 2024 autorisant le COLLEGE NATIONAL DES GENERALISTES ENSEIGNANTS à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé "Platform for Data in Primary Care (P4DP)". (Demande d’autorisation n° 2234538v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel " entrepôt de données dans le domaine de la santé ", à l’exception : de la nature des données traitées ; des accédants aux données ; de certaines mesures de sécurité. La CNIL relève également que la base légale admissible du traitement n’est pas celle permise dans le référentiel. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel, notamment les conditions d’information des personnes concernées. Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé " Platform for Data in Primary Care (P4DP) ". Ce dernier a pour finalités : la réalisation de recherches, études et évaluations dans le domaine de la santé par des porteurs de projet ; la production d’indicateurs visant à aider les médecins à évaluer et améliorer la qualité des soins ; la production d’indicateurs pour la veille sanitaire et épidémiologique ; la description de l’activité des médecins généralistes et l’adaptation des politiques publiques ; la réalisation d’études de faisabilité (pré-screening). L’entrepôt a vocation à constituer la plateforme nationale de données de vie réelle de la médecine de ville et de surveillance épidémiologique pour optimiser les pratiques, les parcours de soin et les politiques de santé publique. La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du Règlement général sur la protection des données (RGPD). Les données contenues dans cet entrepôt ne devront être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique (CSP) en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. La base légale du traitement repose sur l’intérêt légitime de son responsable au sens de l’article 6.1.f) plutôt que sur l’article 6.1.e) du RGPD. Le traitement remplit les conditions permettant la collecte de données concernant la santé au regard des dispositions des articles 9-2-j) du RGPD et 44-3° de la loi " informatique et libertés " modifiée. Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi " informatique et libertés ", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres Sur les données traitées Les données collectées dans le cadre de l’entrepôt sont issues uniquement des dossiers médicaux des patients pris en charge par les professionnels de santé ayant conclu une convention de partenariat pour leur participation au projet P4DP. Les données dont le traitement n’est pas prévu par le référentiel " entrepôt de données dans le domaine de la santé " sont les suivantes : données des professionnels de santé : l’âge et l’année de thèse ; maître de stage ou non ; statut du professionnel (libéral, salarié, remplaçant) et type de lieu d’exercice (exercice individuel, cabinet de groupe, maison de santé pluriprofessionnelle) ; nom et FINESS de la structure de soins et de la communauté professionnelle territoriale de santé ; département et région ; logiciel de consultation. données des personnes concernées : NIR de l’ouvrant droit. Le dossier de demande prévoit également la collecte du NIR du bénéficiaire (ayant droit) et du numéro d’identifiant permanent du patient (IPP). La collecte de ces données a été justifiée dans le dossier de demande : - d’une part, par le caractère progressif du déploiement de l’identifiant national de santé (INS) au sein des logiciels des professionnels de santé partenaires ; - d’autre part, compte tenu du projet d’appariement ultérieur des données de l’entrepôt " P4DP " aux données du SNDS (qui fera l’objet d’une demande de modification substantielle). La CNIL estime que le responsable de traitement ne devra collecter le NIR des ouvrants droits que dans l’hypothèse où il ne serait pas en mesure de collecter le NIR des ayants droits. La donnée relative à l’IPP n’apparait pas, en l’état actuel du dossier, pertinente dans le cadre de la finalité de l’entrepôt. Sous ces conditions, ces données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du RGPD Sur les accédants aux données Le dossier de demande mentionne que les accès aux informations contenues dans l’entrepôt sont effectués conformément aux exigences prévues par le référentiel " entrepôts de données de santé ", à l’exception de ceux permis aux médecins de l’information médicale des universités. Ces derniers accèderont aux données de l’entrepôt au titre des missions suivantes : administration de la chaîne d’intégration des données au sein de l’entrepôt ; création et administration des jeux de données et des espaces projets des équipes de recherche ; génération de rapports d'analyses ; revue des données de l’entrepôt une fois par an et lors des demandes des porteurs de projet ; exercice des droits des patients. Ces modalités d’accès sont satisfaisantes. Sur la sécurité des données et la traçabilité des actions Le dossier de demande mentionne que le traitement envisagé est conforme à la plupart des mesures de sécurité prévues dans le référentiel " entrepôt de données dans le domaine de la santé ", à l’exception de certaines d’entre elles, précisément identifiées. Pour ces dernières, la non-conformité a été dûment justifiée et compensée par la mise en œuvre de mesures techniques et organisationnelles à l’état de l’art. Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt. Les accès des médecins de l’information médicale seront sécurisés avec l’ensemble des mesures portées par le référentiel, en particulier la gestion des habilitations, l’authentification multifacteur et la traçabilité des opérations effectuées. Par exception au référentiel " entrepôt de données dans le domaine de la santé ", les données brutes extraites des dossiers informatiques des médecins participants seront directement transmises dans une " zone de prétraitement " de l’entrepôt, dédiée aux opérations de pseudonymisation. La transmission sera réalisée sur un canal chiffré par une clé spécifique à chaque envoi, avec une authentification mutuelle par certificats. La zone de prétraitement sera instanciée dans une boîte noire en mémoire ; elle hébergera un processus assurant la pseudonymisation des données dès leur réception, puis leur versement dans l’entrepôt. La mémoire sera automatiquement vidée en fin de processus et la zone sera soumise à des règles d’accès, de non archivage et de gestion spécifique. Les données détaillées des professionnels de santé devront faire l’objet de mesures de cloisonnement par rapport aux données des patients versées dans l’entrepôt. AUTORISE, dans ces conditions, le COLLEGE NATIONAL DES GENERALISTES ENSEIGNANTS à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DR-2024-156 du 18 octobre 2024 autorisant l’OBSERVATOIRE REGIONAL DE LA SANTE AUVERGNE-RHÔNE-ALPES à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évolution de la consommation de soins suite à la réalisation de travaux de réhabilitation de logements, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2021 à 2028. (Demande d’autorisation n° 921305v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 19 octobre 2023. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées. La CNIL relève également que les modalités d’information des personnes concernées ne sont pas conformes à la MR-004. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que données de santé) La collecte des nom, prénom, date de naissance (jour, mois et année) ainsi que des coordonnées (postales, téléphoniques électroniques) est nécessaire pour assurer le suivi des patients qui en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Les données de l’étude feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR). Le NIR sera transmis à la CNAM qui effectuera le rapprochement avec les données du système national des données de santé (SNDS). Les données seront transmises sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité. Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM et PMSI Années concernées : 2021 à 2028 Modalités de consultation : portail de la CNAM Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes Tous les participants majeurs recevront une note d’information individuelle qui devra comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). S’agissant des mineurs, une dérogation à l'obligation d'information des deux titulaires de l’exercice de l’autorité parentale est envisagée, dans les conditions prévues à l’article 70 de la loi informatique et libertés en cas d’impossibilité d’informer le second titulaire de l’exercice de l’autorité parentale ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche. Dans cette hypothèse, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale sera systématiquement transmise au parent contacté en vue de l’inclusion et il sera invité à la lui transmettre. Une note d’information adaptée aux participants mineurs et comportant l’ensemble des mentions prévues par le RGPD devra leur être remise. Durée d’accès et de conservation des données Les nom, prénom, coordonnées postales, téléphoniques et électroniques seront détruites à la fin du suivi des participants Les NIR et les dates de naissance seront conservés pendant cinq ans (dernier appariement au SNDS), puis détruites. Données du SNDS : cinq ans à compter de la mise à disposition des données. Autres données : Base active : sept ans Archivage : quinze ans Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE, l’OBSERVATOIRE REGIONAL DE LA SANTE AUVERGNE-RHÔNE-ALPES à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Délibération de la formation restreinte n°SAN-2023-007 du 11 mai 2023 relative à l’injonction prononcée à l’encontre de la société x par la délibération no SAN-2022-023 du 19 décembre 2022

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Christine MAUGÜÉ, MM. Alain DRU et Bertrand du MARAIS, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la délibération n° SAN-2022-023 du 19 décembre 2022 adoptée par la formation restreinte à l’encontre de la société […] ; Vu les éléments transmis par la société […] le 10 mars 2023 ; Après en avoir délibéré lors de la séance du 11 mai 2023, a adopté la décision suivante : FAITS ET PROCÉDURE La décision no SAN-2022-023 du 19 décembre 2022, notifiée le 20 décembre 2022, a enjoint à la société […] de : recueillir le consentement des utilisateurs lors de leur arrivée sur le site web […] avant toute opération de lecture et écriture d’informations sur le terminal des utilisateurs résidant en France ayant pour finalité la lutte contre la fraude publicitaire . Cette injonction était assortie d’une astreinte de soixante mille euros (60 000) euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai. Le 10 mars 2023, la société a adressé un courrier au président de la formation restreinte, répondant à l’injonction. MOTIFS DE LA DECISION La formation restreinte relève qu’il ressort des éléments de réponse fournis par la société le 10 mars 2023 qu’elle a apporté des modifications techniques afin de s’assurer que les cookies déposés sur les terminaux des utilisateurs du site web […] en France ne sont pas utilisés pour la finalité de lutte contre la fraude publicitaire en l’absence de consentement. La formation restreinte relève que la société indique avoir mis en place ces modifications depuis le 24 février 2023. Il résulte de ce qui précède que la société a satisfait à l’injonction dans le délai imparti. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide : de dire n’y avoir lieu à liquidation de l’astreinte ; de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, le point de départ étant la publication de la délibération n° SAN-2022-023 du 19 décembre 2022. Le président Alexandre LINDEN