Sur le responsable de traitement

Le responsable de traitement de cette étude est l’Agence nationale de santé publique (ANSP).

Sur les sous-traitants

La société IPSOS interviendra dans la mise en œuvre de cette étude en tant que sous-traitant.

Le traitement des données par ce sous-traitant devra être régi par un contrat ou un acte juridique conformément à l’article 28 du RGPD.

Sur les catégories de personnes concernées par l’étude

Sous réserve de l’exercice du droit d’opposition, seront incluses dans la présente étude les personnes allocataires des caisses d’allocations familiales, ayant au moins un enfant de moins de deux ans et résidant habituellement en France métropolitaine.

Sur la finalité du traitement et son caractère d’intérêt public

Le traitement envisagé a pour finalité la mise en œuvre d’une étude portant sur les déterminants du vécu et des pratiques parentales des parents d’enfants de moins de deux ans, intitulée « EVANE ».

Plus précisément, cette étude est destinée à :

• décrire et analyser les déterminants du vécu et des pratiques parentales des mères et des pères d’enfants de moins de deux ans en France métropolitaine ;
• analyser le vécu et les pratiques des parents auprès de populations en situation de vulnérabilité socio-économique.

La finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5.1.b) du RGPD et ce traitement présente une finalité d’intérêt public, conformément à l’article 66.I de la loi n° 78-17 du 6 janvier 1978 (loi « informatique et libertés »).

Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé

Le traitement mis en œuvre par l’ANSP est nécessaire à l’exécution de la mission d’intérêt public dont elle est investie.

Ce traitement est, à ce titre, licite au regard de l’article 6.1.e) du RGPD. En outre, ce traitement, nécessaire à des fins de recherche scientifique, remplit également la condition prévue à l’article 9.2.j) du RGPD permettant de traiter des données concernant la santé.

Ce projet de recherche est soumis aux dispositions des articles 44.3°, 66.III et 72 et suivants de la loi « informatique et libertés », qui prévoient, en l’absence de conformité à une méthodologie de référence, que les traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ne peuvent être mis en œuvre qu’après autorisation de la Commission.

Sur les points de non-conformité à la méthodologie de référence concernée

Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l’exception des modalités d’information des personnes concernées et des destinataires des données directement identifiantes.

En dehors de ces exceptions, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-004.

Réutilisation des données de bases existantes

Les données réutilisées dans le cadre de cette étude proviendront de la Caisse nationale d’allocations familiales (CNAF).

Le tirage au sort sera réalisé par la CNAF à partir de sa base de données « études, évaluations, statistiques, simulations et recherches ».

Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement devront être transmises par la CNAF à la société IPSOS afin que cette dernière contacte les personnes tirées au sort pour leur proposer de participer à l’étude. Cette base de données ne contiendra aucune donnée relative à la santé des bénéficiaires. À cet égard, les filtrages seront réalisés en amont de cette transmission par les organismes.

Cette base de données sera chiffrée et envoyée par la CNAF au responsable de traitement, qui transmettra les données chiffrées à la société IPSOS. Seule la société IPSOS sera destinataire de la clé permettant de déchiffrer les données, qu’elle recevra directement de la CNAF.

Sur les catégories particulières de données traitées

S’agissant de la collecte des données nominatives et des coordonnées postales, électroniques et téléphoniques :

La collecte des nom, prénoms, ainsi que des coordonnées (postales, électroniques et téléphoniques) des personnes est nécessaire pour :

• réaliser l’information des participants ;
• assurer le suivi des participants au cours de l’étude ;
• calculer les « Îlots Regroupés pour l’Information Statistique » (IRIS).

Les participants en sont informés.

Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourront accéder aux données directement identifiantes.

Les courriers électroniques adressés aux participants ne devront révéler aucune information sur l’état de santé réel ou supposé du participant.

S’agissant des autres données collectées :

La collecte de l’orientation sexuelle des participants a été scientifiquement justifiée dans le dossier de demande.

Sur l’information et les droits des personnes

S’agissant des modalités d’information :

S’agissant des personnes susceptibles d’être tirées au sort :

En application de l’article 69 de la loi « informatique et libertés » et de l’article 14.5.b) du RGPD, l’obligation d’information individuelle de la personne concernée peut faire l’objet d’exceptions, notamment dans l’hypothèse où la fourniture d’une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.

En l’espèce, il sera fait exception au principe d’information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une information relative au projet de recherche :

• sur le site web du responsable de traitement de l’étude et ses réseaux sociaux ;
• sur le site web de la CNAF et ses réseaux sociaux ;
• par un dépliant et une affiche numérique à destination des pédiatres et des services départementaux de protection maternelle et infantile.

Ces modalités d’information seront mises en œuvre avant la constitution des bases de données par la CNAF permettant la réalisation du tirage au sort.

S’agissant des personnes tirées au sort :

Elles recevront une note d’information individuelle par voie postale.

S’agissant des participants mineurs :

Une dérogation à l’obligation d’information des deux titulaires de l’exercice de l’autorité parentale est envisagée, dans les conditions prévues à l’article 70 de la loi « informatique et libertés », en cas d’impossibilité d’informer le second titulaire de l’exercice de l’autorité parentale ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche.

Dans cette hypothèse, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale sera systématiquement transmise au parent contacté en vue de l’inclusion et il sera invité à la lui transmettre.

Toutes les notes d’information devront comporter l’ensemble des mentions prévues par l’article 13 du RGPD. En outre, le terme de « données anonymisées » qui est inapproprié, devra être remplacé par les termes de « données codées » ou « pseudonymisées », en précisant que les noms et prénoms des personnes ne seront pas recueillis.

Ces modalités d’information sont satisfaisantes au regard des dispositions du RGPD et de la loi « informatique et libertés ».

S’agissant des modalités d’exercice des droits :

Conformément aux dispositions de l’article 74 de la loi « informatique et libertés », les personnes disposent du droit de s’opposer au traitement de leurs données à des fins de recherche.

Afin de corriger les effets de sélection induits par la non-participation de certaines personnes tirées au sort, le responsable de traitement souhaite mettre en œuvre des méthodes statistiques de traitement des biais de sélection. Pour ce faire, il souhaite traiter les données de l’ensemble des personnes tirées au sort parmi les allocataires de la CNAF. En cas d’exercice du droit d’opposition à des fins de redressement, les données des personnes concernées ne pourront être traitées.

Par ailleurs, les personnes ayant refusé de participer à l’étude suite à la campagne d’information réalisée en amont du tirage au sort ne devront pas être recontactées, tout comme celles refusant de continuer à participer à l’étude.

Ces modalités d’exercice du droit d’opposition devront être clarifiées dans la note d’information collective publiée sur le site web du responsable de traitement ainsi que dans les notes d’information individuelles qui seront adressées aux personnes tirées au sort.

Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données du responsable de traitement pendant toute la durée de l’étude.

Ces modalités d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la « loi informatique et libertés ».

Sur les accédants et destinataires

Dans le cadre de la mise en œuvre de l’étude :

• les membres du personnel de l’ANSP auront accès aux données de santé pseudonymisées des participants afin de réaliser l’analyse des données pour les besoins de l’étude ;
• les employés de la société IPSOS auront accès aux données nominatives et de santé des participants pour assurer le suivi des inclusions et le recueil des données à travers la passation des questionnaires.

Le responsable de traitement a indiqué que les données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) des participants acceptant d’être recontactés pour des études ancillaires seront collectées afin de leur proposer de participer à des études ultérieures. Aux fins de confidentialité, ces données devront être conservées uniquement par la société IPSOS.

Des documents tenus à jour indiquent la ou les personnes compétentes pour le responsable de traitement et le sous-traitant permettant de délivrer l’habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations.

Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.

La qualification des personne habilitées et leurs droits d’accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement et ses sous-traitants.

Sur la sécurité des données et la traçabilité des actions

À titre liminaire, le dossier de demande mentionne que le traitement envisagé est conforme aux mesures de sécurité prévues dans la MR-004.

Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au traitement envisagé. Celle-ci devra être mise à jour pour tenir compte des différentes phases de l’étude (et notamment le redressement des données), préciser les mesures techniques et organisationnelles ainsi que le plan d’action retenu.

La Commission prend acte de ce que le responsable de traitement s’engage à ce que les serveurs internes utilisés soient conformes à l’état de l’art, notamment à des mesures de sécurité équivalentes aux exigences mentionnées dans le référentiel « entrepôt de données dans le domaine de la santé », pour mener l’étude.

Des espaces projets devront être prévus pour toute mise à disposition des données. Seules des données anonymes pourront faire l’objet d’export hors de ces espaces.

Si ces conditions ne sont pas réunies, aucune donnée de l’étude ne pourra être hébergée sur les serveurs internes du responsable de traitement. Les données seront consolidées, analysées et mises à disposition sur la plateforme du Centre d’accès sécurisé aux données (CASD).

Le responsable de traitement devra s’assurer du respect des exigences de sécurité à toutes les étapes du traitement opérées par les différents organismes participants, y compris pour les fiches papier.

Des pseudonymes aléatoires sont attribués aux participants. Ceux-ci seront dédiés à chaque typologie d’acteurs et distincts pour les différents flux de données. Toute table de correspondance devra être supprimée dans les meilleurs délais après consolidation de la base et génération de nouveaux pseudonymes aléatoires pour celle-ci. Pour toute mise à disposition, des pseudonymes dédiés à chaque espace projet devront être générés.

Les échanges de données seront réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. Les algorithmes de chiffrement utilisés et les procédures de gestion des clés devront être conformes à l’annexe B1 du référentiel général de sécurité.

Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5.1.f) et 32 du RGPD, compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.

Le responsable de traitement devra s’assurer que son prestataire IPSOS mette en œuvre les mesures de sécurité nécessaires pour protéger la base de données nominatives transmises par la CNAF.

Transferts hors Union européenne

La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat.

Sur la durée de conservation des données

S’agissant des personnes refusant de participer à l’étude :

Leurs données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) seront détruites au moment de leur refus.

S’agissant des données des personnes participant à l’étude et refusant d’être de nouveau contactées pour une étude ancillaire :

Leurs données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) seront détruites dans un délai de six mois après la passation des questionnaires.

S’agissant des données des personnes participant à l’étude et acceptant d’être de nouveau contactées pour une étude ancillaire :

Leurs données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) devront être détruites par la société IPSOS dans un délai de trois ans après la passation des questionnaires.

Les autres données de l’étude seront conservées en base active pour une durée de dix ans.

À l’issue de ce délai, les données seront supprimées ou versées aux Archives nationales, conformément aux dispositions du code du patrimoine.

Ces durées de conservation des données n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5.1.e) du RGPD.

Transparence du traitement

Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.