Avis du comité

Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024.

Modifications substantielles

Les modifications envisagées portent sur :

• la transmission des questionnaires dans le cadre de la deuxième et la troisième vague du volet « HILOS » au moyen de la base de sondage constituée, la réception et le traitement des questionnaires ainsi que l’élaboration par la CNAV des tables de correspondance nécessaire aux autres opérations de traitement mises en œuvre dans le cadre de la présente autorisation ;
• la mise en œuvre du volet « FOCUS » par une enquête sur un échantillon de personnes ayant accepté d’être recontactées lors du volet « HILOS » (questionnaires et entretiens au domicile des enquêtés ou par téléphone) ;
• l’enrichissement du traitement avec d’autres sources de données issues de la statistique publique ;
• la mise à disposition des données auprès des autres membres du consortium pour répondre aux objectifs de l’étude.

Sous-traitants

Plusieurs sous-traitants interviendront dans la mise en œuvre de cette étude. En particulier, le groupement d’intérêt public « Plateforme de données de santé » (GIP PDS) procèdera à l’appariement des données, à leur mise à disposition et à leur hébergement au sein de sa solution technique.

Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article 28 du RGPD.

Nature des données et réutilisation d’une base existante

Sous réserve de l’exercice du droit d’opposition, les données concernant les personnes répondant aux questionnaires seront appariées aux données sources suivantes dans le cadre de la présente étude :

• les montants de pension de retraite des enquêtés et les montants de l’allocation de solidarité aux personnes âgées issues du SNSP mis en œuvre par la CNAV ;
• les informations relatives à la carrière professionnelle issues du système national de gestion des carrières (SNGC) mis en œuvre par la CNAV ;
• les données de la statistique publique au niveau individuel :
  • les données relatives aux prestations de la CNAF ;
  • les remontées individuelles sur les prestations de prise en charge de la perte d’autonomie (RI Autonomie) pour les données sur les allocations personnalisées d’autonomie (APA) et sur les prestations de compensation du handicap (PCH) de la DRESS ;
  • les données fiscales (revenus des répondants) de l’INSEE.

Circuit d’appariement et destinataire des données directement identifiantes

S’agissant de la transmission du NIR à la DREES :

Le pôle Production Statistique Nationale de la CNAV (CNAV-PSN) transmettra le NIR et l’identifiant « Hilauseniors » des répondants à la DREES afin qu’elle sollicite auprès de l’INSEE la transmission du code statistique non signifiant (CSNS) correspondant.

La DREES extraira les données de la statistique publique individuelle au moyen du CSNS et transmettra les résultats de l’appariement à la PDS avec l’identifiant « Hilauseniors ».

L’identifiant Hilauseniors sera pseudonymisé pour créer un identifiant dédié à la conservation des données mises à disposition par la PDS.

S’agissant de la collecte des coordonnées des personnes participant à l’étude :

La collecte des nom, prénom ainsi que des coordonnées postales, téléphoniques et électroniques est nécessaire pour assurer le suivi des participants par la CNAV. Ils en sont informés.

Un sous-traitant pourra avoir accès à ces informations présentes sur le questionnaire uniquement lors du scan des réponses pour envoi à la CNAV.

Les données directement identifiantes devront être traitées dans une base de données distincte des données de santé. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.

S’agissant de l’appariement des données des volets HILOS et FOCUS :

L’Unité de Recherche sur le Vieillissement de la CNAV (CNAV-URV) transmettra les données des volets HILOS à la PDS avec l’identifiant « Hilauseniors ».

Chaque chercheur-enquêteur transmettra à la Direction de l’Informatique Etablissement de la CNAV (CNAV-DIE) les données du volet FOCUS avec l’identifiant « FOCUS ».

La table de correspondance entre les identifiants « Hilauseniors » et « Focus » est transmise par la CNAV-PSN à la PDS afin que celle-ci apparie les données issues du volet HILOS avec les données issues du volet FOCUS et les conserve indexées avec l’identifiant dédié (identifiant pseudonymisé pour mise à disposition).

La table de correspondance entre les identifiants « Hilauseniors » et « FOCUS » n’est pas conservée par la PDS après l’appariement.

Durée d’accès aux données

Durée de conservation des données

Durée d’accès aux données de l’étude par les responsables conjoints de traitement : dix ans au sein de la solution technique de la PDS.

Durée de conservation des données du volet HILOS par la CNAV aux fins du suivi de mortalité : quinze ans.

Mise à disposition des données agrégées à l’expiration des durées de conservation :

Le responsable de traitement souhaite mettre à la disposition d’autres chercheurs un ensemble de données « anonymisées » collectées dans le cadre de cette étude à l’issue des durées de conservation.

Seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, pourront faire l’objet d’une mise à disposition en dehors de toute formalité préalable.

Pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement devra réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014.

Si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification doit avoir été menée afin de démontrer que les risques de ré-identification sont nuls et ainsi conclure à l’anonymat des données. Les responsables de traitement devront également tenir compte des évolutions de l’état de l’art et des futures lignes directrices du CEPD en la matière.

Mesures de sécurité

Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données (AIPD) spécifique à l’étude.

S’agissant de la conservation des données traitées dans le cadre de l’étude sur la solution technique de la PDS

La CNIL relève que la sécurité des données de l’espace projet utilisé pour le traitement des données dépend essentiellement de la solution technique du GIP PDS, qui a fait l’objet d’une analyse globale des risques et de l’impact sur la vie privée, suivie d’une homologation selon le référentiel de sécurité applicable au SNDS.

Cette homologation, qui inclut les espaces projets mis à disposition du responsable de traitement, a été réalisée par le GIP PDS le 22 juillet 2024, pour une durée de trois ans, sous réserve de la mise en œuvre du plan d’actions qu’elle a défini.

Le responsable de traitement devra s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement.

S’agissant de la conservation par la CNAV issues des volets « HILOS » aux fins du suivi de la mortalité :

Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.

Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment.

Observations complémentaires

Le dossier de demande mentionne que le traitement envisagé demeure conforme aux dispositions de la méthodologie de référence MR-004, à l’exception des destinataires des données directement identifiantes, de la nature des données traitées (traitement du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) en vue d’un appariement ultérieur avec les données d’enquêtes de la statistique publique) et des modalités d’information des personnes concernées faisant l’objet d’une mesure de protection.

En dehors de ces points, qui font l’objet d’un examen spécifique dans la cadre de l’instruction de la demande, ce traitement devra respecter le cadre prévu par ce référentiel.

Les autres conditions de mise en œuvre de l’étude restent inchangées.