Sur les points de non-conformité au référentiel concerné

Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel « entrepôt de données dans le domaine de la santé » à l’exception :

• de la base légale du traitement ;
• de la nature des données traitées (professionnels de santé) ;
• des modalités d’information des personnes concernées (professionnels de santé).

La CNIL relève également que la nature des données des assurés dont le traitement est envisagé n’est pas conforme au référentiel.

En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel.

Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé

Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé. Les données de cet entrepôt seront utilisées dans le cadre de la mise en œuvre d’études, recherches et évaluations portant sur le parcours de santé des assurés et les mesures d’accompagnement dont ils peuvent bénéficier, afin d’identifier des leviers pour améliorer la prévention et la prise en charge en santé des populations.

Les données contenues dans cet entrepôt ne devront être exploitées ni à des fins de promotion des produits mentionnés au II de l’article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d’exclusion de garanties des contrats d’assurance, ni de modification de cotisations ou de primes d’assurance d’un individu ou d’un groupe d’individus présentant un même risque.

Le traitement envisagé par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi « informatique et libertés ».

Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi « informatique et libertés », qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres.

Sur les données traitées

Les données collectées dans le cadre de l’EDS sont les suivantes :

• les données individuelles médico-administratives fournies par MGEN, sous réserve qu’elles aient été légalement collectées dans le cadre de la liquidation des prestations de santé et de l’exécution des contrats de prévoyance ;
• les données individuelles appariées en amont de leur versement dans l’EDS issues de projets de recherches, études et évaluations dans le domaine de la santé précédemment réalisés et dont la durée de conservation n’a pas expiré fournies par des demandeurs internes ou externes ;
• des données non personnelles fournies par des entités externes, pour la plupart en accès libre sur internet.

Les données collectées dans le cadre de l’EDS concerneront les assurés de la MGEN dans le cadre du régime obligatoire et/ou complémentaire disposant d’un contrat en cours d’exécution dans le mois précédent leur versement et qui n’auront pas exercé leur droit d’opposition.

Chaque mois, de nouvelles données viendront s’ajouter aux données déjà présentes dans l’entrepôt. De nouveaux assurés régime obligatoire et/ou complémentaire pourront être inclus au moment du versement mensuel des données dans l’entrepôt.

Les données seront pseudonymisées avant leur intégration dans l’entrepôt.

Les professionnels de santé concernés seront identifiés via un numéro pseudonyme propre au binôme assuré-professionnel de santé . Les données collectées les concernant seront limitées à leur fonction (catégorie et spécialité), leurs coordonnées professionnelles généralisées au département ainsi que leur secteur de conventionnement.

La CNIL relève en outre que le traitement du code IRIS, issu des coordonnées géographiques des assurés, n’est pas conforme aux dispositions du référentiel.

Le traitement de ces données a été justifié par le responsable de traitement dans le dossier de demande.

Aucune donnée ne pourra être collectée uniquement afin d’alimenter l’entrepôt.

Sur les durées de conservation

La profondeur historique des données versées dans l’entrepôt lors de sa constitution correspondra aux cinq années calendaires passées.

Les données seront ensuite conservées pendant dix ans à compter de leur versement dans l’entrepôt puis supprimées.

Sur les modalités d’information des personnes concernées

S’agissant des assurés :

Ils seront individuellement informés du traitement des données les concernant.

S’agissant des professionnels de santé salariés des centres de santé MGEN :

Ils devront être informés individuellement du traitement de leurs données dans le cadre de la constitution et de la mise en œuvre de l’EDS.

S’agissant des autres professionnels de santé :

En application de l’article 69 de la loi et de l’article 14-5-b) du RGPD, l’obligation d’information individuelle de la personne concernée peut faire l’objet d’exceptions, notamment dans l’hypothèse où la fourniture d’une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.

En l’espèce, il sera fait exception au principe d’information individuelle des professionnels de santé au regard de la nature peu identifiante des données collectées les concernant. Des mesures appropriées seront mises en œuvre notamment via une notice d’information sur le site du responsable de traitement, des magazines spécialisés ainsi que sur ses réseaux sociaux.

S’agissant des utilisateurs de l’EDS :

Les utilisateurs seront informés individuellement avant toute ouverture des droits d’accès, lors de la signature de la charte d’utilisation détaillant les conditions générales d’utilisation (CGU), incluant les conditions de traitement de leurs données ainsi que les modalités d’exercice de leurs droits sur leurs données personnelles. L’adhésion des utilisateurs aux CGU sera rappelée lors de chaque connexion à leur espace de travail sécurisé. En cas de modification de la charte, cette dernière leur sera adressée par messagerie électronique et ils devront la retourner signée.

Sur la sécurité des données et la traçabilité des actions

Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt, ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel « entrepôt de données dans le domaine de la santé ». Aucun écart avec les exigences de sécurité du référentiel n’a été relevé par le responsable de traitement.

Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5,1, f) et 32 du règlement général sur la protection des données compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.