Sur les points de non-conformité au référentiel concerné

Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel « entrepôt de données dans le domaine de la santé », à l’exception :

• de la nature des données traitées ;
• des accédants aux données ;
• de certaines mesures de sécurité.

La CNIL relève également que la base légale admissible du traitement n’est pas celle permise dans le référentiel.

En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel, notamment les conditions d’information des personnes concernées.

Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé

Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé « Platform for Primary Care (P4DP) ».

Ce dernier a pour finalités :

• la réalisation de recherches, études et évaluations dans le domaine de la santé par des porteurs de projet ;
• la production d’indicateurs visant à aider les médecins à évaluer et améliorer la qualité des soins ;
• la production d’indicateurs pour la veille sanitaire et épidémiologique ;
• la description de l’activité des médecins généralistes et l’adaptation des politiques publiques ;
• la réalisation d’études de faisabilité (pré-screening).

L’entrepôt a vocation à constituer la plateforme nationale de données de vie réelle de la médecine de ville et de surveillance épidémiologique pour optimiser les pratiques, les parcours de soin et les politiques de santé publique.

La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du Règlement général sur la protection des données (RGPD).

Les données contenues dans cet entrepôt ne devront être exploitées ni à des fins de promotion des produits mentionnés au II de l’article L. 5311-1 du code de la santé publique (CSP) en direction de professionnels de santé ou d’établissements de santé, ni à des fins d’exclusion de garanties des contrats d’assurance, ni de modification de cotisations ou de primes d’assurance d’un individu ou d’un groupe d’individus présentant un même risque.

La base légale du traitement repose sur l’intérêt légitime de son responsable au sens de l’article 6.1.f) plutôt que sur l’article 6.1.e) du RGPD.

Le traitement remplit les conditions permettant la collecte de données concernant la santé au regard des dispositions des articles 9-2-j) du RGPD et 44-3° de la loi « informatique et libertés » modifiée.

Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi « informatique et libertés », qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres.

Sur les données traitées

Les données collectées dans le cadre de l’entrepôt sont issues uniquement des dossiers médicaux des patients pris en charge par les professionnels de santé ayant conclu une convention de partenariat pour leur participation au projet P4DP.

Les données dont le traitement n’est pas prévu par le référentiel « entrepôt de données dans le domaine de la santé » sont les suivantes :

• données des professionnels de santé :
  • l’âge et l’année de thèse ;
  • maître de stage ou non ;
  • statut du professionnel (libéral, salarié, remplaçant) et type de lieu d’exercice (exercice individuel, cabinet de groupe, maison de santé pluriprofessionnelle) ;
  • nom et FINESS de la structure de soins et de la communauté professionnelle territoriale de santé ;
  • département et région ;
  • logiciel de consultation.
• données des personnes concernées :
  • NIR de l’ouvrant droit.

Le dossier de demande prévoit également la collecte du NIR du bénéficiaire (ayant droit) et du numéro d’identifiant permanent du patient (IPP).

La collecte de ces données a été justifiée dans le dossier de demande :

• d’une part, par le caractère progressif du déploiement de l’identifiant national de santé (INS) au sein des logiciels des professionnels de santé partenaires ;
• et d’autre part, compte tenu du projet d’appariement ultérieur des données de l’entrepôt « P4DP » aux données du SNDS (qui fera l’objet d’une demande de modification substantielle).

La CNIL estime que le responsable de traitement ne devra collecter le NIR des ouvrants droits que dans l’hypothèse où il ne serait pas en mesure de collecter le NIR des ayants droits.

La donnée relative à l’IPP n’apparait pas, en l’état actuel du dossier, pertinente dans le cadre de la finalité de l’entrepôt.

Sous ces conditions, ces données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du RGPD.

Sur les accédants aux données

Le dossier de demande mentionne que les accès aux informations contenues dans l’entrepôt sont effectués conformément aux exigences prévues par le référentiel « entrepôts de données de santé », à l’exception de ceux permis aux médecins de l’information médicale des universités.

Ces derniers accèderont aux données de l’entrepôt au titre des missions suivantes :

• administration de la chaîne d’intégration des données au sein de l’entrepôt ;
• création et administration des jeux de données et des espaces projets des équipes de recherche ;
• génération de rapports d’analyses ;
• revue des données de l’entrepôt une fois par an et lors des demandes des porteurs de projet ;
• exercice des droits des patients.

Ces modalités d’accès sont satisfaisantes.

Sur la sécurité des données et la traçabilité des actions

Le dossier de demande mentionne que le traitement envisagé est conforme à la plupart des mesures de sécurité prévues dans le référentiel « entrepôt de données dans le domaine de la santé », à l’exception de certaines d’entre elles, précisément identifiées. Pour ces dernières, la non-conformité a été dûment justifiée et compensée par la mise en œuvre de mesures techniques et organisationnelles à l’état de l’art.

Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt.

Les accès des médecins de l’information médicale seront sécurisés avec l’ensemble des mesures portées par le référentiel, en particulier la gestion des habilitations, l’authentification multifacteur et la traçabilité des opérations effectuées.

Par exception au référentiel « entrepôt de données dans le domaine de la santé », les données brutes extraites des dossiers informatiques des médecins participants seront directement transmises dans une « zone de prétraitement » de l’entrepôt, dédiée aux opérations de pseudonymisation. La transmission sera réalisée sur un canal chiffré par une clé spécifique à chaque envoi, avec une authentification mutuelle par certificats.

La zone de prétraitement sera instanciée dans une boîte noire en mémoire ; elle hébergera un processus assurant la pseudonymisation des données dès leur réception, puis leur versement dans l’entrepôt. La mémoire sera automatiquement vidée en fin de processus et la zone sera soumise à des règles d’accès, de non archivage et de gestion spécifique. Les données détaillées des professionnels de santé devront faire l’objet de mesures de cloisonnement par rapport aux données des patients versées dans l’entrepôt.