CNIL, 11 mai 2023, 2023-046

La Commission nationale de l'informatique et des libertés,

Saisie par

l'Agence nationale de santé publique d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur la santé de la population riveraine du bassin industriel de Lacq ;

Vu

le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ; Vu l'avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la Santé du 15 décembre 2022 ; Vu le dossier et ses compléments ; Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,

Formule les observations suivantes

: Sur le responsable de traitement Le responsable de traitement de cette étude est l'Agence nationale de santé publique (ANSP). Sur les sous-traitants La société IPSOS interviendra dans la mise en œuvre de cette étude en tant que sous-traitant. Le traitement des données par ce sous-traitant devra être régi par un contrat ou un acte juridique conformément à l'article 28 du règlement général sur la protection des données (RGPD). Sur les catégories de personnes concernées par l'étude Sous réserve de l'exercice du droit d'opposition, seront incluses dans la présente étude les personnes affiliées au régime d'assurance maladie général ou agricole, résidant habituellement depuis au moins six mois dans la zone d'étude. Sur la finalité du traitement et son caractère d'intérêt public Le traitement envisagé a pour finalité la mise en œuvre d'une étude portant sur la santé de la population riveraine du bassin industriel de Lacq. Plus précisément, cette étude est destinée à : décrire les indicateurs de santé perçue et qualité de vie et d'anxiété généralisée ; décrire la prévalence des symptômes et des maladies chroniques rapportés par les personnes interrogées ; décrire les expositions perçues aux pollutions du bassin industriel ainsi que les gênes qu'elles provoquent chez les riverains ; étudier la relation entre les indicateurs de santé et les expositions perçues aux pollutions du bassin industriel. La finalité du traitement est déterminée, explicite et légitime, conformément à l'article 5.1.b du RGPD et ce traitement présente une finalité d'intérêt public, conformément à l'article 66.I de la loi n° 78-17 du 6 janvier 1978 (loi "informatique et libertés"). Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé Le traitement mis en œuvre par l'ANSP est nécessaire à l'exécution de la mission d'intérêt public dont elle est investie. Ce traitement est, à ce titre, licite au regard de l'article 6.1.e du RGPD. En outre, ce traitement, nécessaire à des fins de recherche scientifique, remplit également la condition prévue à l'article 9.2.j du RGPD permettant de traiter des données concernant la santé. Ce projet de recherche est soumis aux dispositions des articles 44.3°, 66.III et 72 et suivants de la loi "informatique et libertés", qui prévoient, en l'absence de conformité à une méthodologie de référence, que les traitements à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ne peuvent être mis en œuvre qu'après autorisation de la Commission. Sur les points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes. En dehors de ces exceptions, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-004. Réutilisation des données de bases existantes Les données réutilisées dans le cadre de cette étude proviendront de : la Caisse primaire d'assurance maladie de Pau-Pyrénées (CPAM) ; de la mutualité sociale agricole Sud Aquitaine (MSA). Le tirage au sort sera réalisé par la CPAM et la MSA à partir de leurs bases de données. Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement devront être transmises par la CPAM et la MSA : à l'ANSP pour la fusion des deux bases de la CPAM et de la MSA et le contrôle des données collectées. Cette base de données ne contiendra ni de données directement identifiantes, ni de données relatives à la santé des bénéficiaires ; à la société IPSOS afin qu'elle puisse contacter les personnes tirées au sort afin de participer à la présente étude. Cette base de données ne contiendra aucune donnée relative à la santé des bénéficiaires À cet égard, les filtrages seront réalisés en amont de cette transmission par les organismes. Sur les catégories particulières de données traitées S'agissant de la collecte des données nominatives et des coordonnées postales, électroniques et téléphoniques : La collecte des nom, prénoms, ainsi que des coordonnées (postales, électroniques et téléphoniques) des personnes est nécessaire pour : réaliser l'information des participants ; assurer le suivi des participants au cours de l'étude ; adresser à ces derniers les résultats les concernant à la fin de l'étude, s'agissant de leur imprégnation aux pollutions liées au bassin industriel de Lacq. Les participants en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourront accéder aux données directement identifiantes. Les courriers électroniques adressés aux participants ne devront révéler aucune information sur l'état de santé réel ou supposé du participant. S'agissant des zones de commentaires libres : Les données contenues dans des zones "commentaires" doivent, comme toute donnée à caractère personnel enregistrée dans un traitement et appelée à y être conservée, être pertinentes, adéquates et non excessives au regard de la finalité du traitement. Les données contenues dans ces zones de texte libre doivent être communiquées aux personnes exerçant leur droit d'accès. Sur l'information et les droits des personnes S'agissant des modalités d'information : À titre liminaire, les nom, prénoms, et les coordonnées (postales, électroniques et téléphoniques) seront collectées et traitées à l'issue d'un tirage au sort pour la participation à l'étude à partir des données issues de la CPAM et de la MSA. S'agissant des personnes susceptibles d'être tirées au sort : En application de l'article 69 de la loi "informatique et libertés" et de l'article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre. Afin de tenir compte des spécificités locales, une communication autour de l'enquête, sera mise en œuvre au moyen d'un communiqué de presse auprès des journaux locaux. Par ailleurs, une note d'information collective sera publiée sur le site web du responsable de traitement, comportant l'ensemble des mentions prévues par le RGPD. Ces modalités d'information seront réalisées avant la constitution des bases de données par la CPAM et la MSA permettant la réalisation du tirage au sort. S'agissant des personnes tirées au sort : À l'issue du tirage au sort, tous les participants recevront une note d'information individuelle par voie postale. S'agissant des participants mineurs : Une dérogation à l'obligation d'information des deux titulaires de l'exercice de l'autorité parentale est envisagée, dans les conditions prévues à l'article 70 de la loi "informatique et libertés" en cas d'impossibilité d'informer le second titulaire de l'exercice de l'autorité parentale ou s'il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche. Dans cette hypothèse, une note d'information destinée à l'autre titulaire de l'exercice de l'autorité parentale sera systématiquement transmise au parent contacté en vue de l'inclusion et il sera invité à la lui transmettre. Les mineurs participant à l'étude recevront également une note d'information individuelle. Toutes les notes d'information devront comporter l'ensemble des mentions prévues par l'article 13 du RGPD. Ces modalités d'information sont satisfaisantes au regard des dispositions du RGPD et de la loi "informatique et libertés". S'agissant des modalités d'exercice des droits : Conformément aux dispositions de l'article 74 de la loi "informatique et libertés", les personnes disposent du droit de s'opposer au traitement de leurs données à des fins de recherche. La Commission relève qu'afin de corriger les effets de sélection induits par la non-participation de certaines personnes tirées au sort, le responsable de traitement souhaite mettre en œuvre des méthodes statistiques de traitement des biais de sélection. Pour ce faire, il souhaite traiter les données de l'ensemble des personnes tirées au sort parmi les bénéficiaires du régime d'assurance maladie générale ou agricole. Les personnes ayant refusé de participer à l'étude suite à la campagne d'information réalisée en amont du tirage au sort ne devront pas être contactées. Par ailleurs, en cas d'exercice du droit d'opposition à des fins de redressement, les données des personnes concernées ne pourront être traitées. Enfin, la Commission relève que les personnes auxquelles il est proposé de participer à l'étude mais n'ayant pas répondu suite à l'envoi de la note d'information individuelle sont susceptibles d'être relancées. Les personnes ayant exercé leur droit d'opposition en refusant de participer à l'étude ne devront pas être recontactées. Ces modalités d'exercice du droit d'opposition devront être clarifiées dans la note d'information collective publiée sur le site web du responsable de traitement ainsi que dans les notes d'information individuelles qui sont adressées aux personnes tirées au sort. Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données du responsable de traitement pendant toute la durée de l'étude. Ces modalités d'exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la "loi informatique et libertés". Sur les accédants et destinataires Dans le cadre de la mise en œuvre de l'étude : les membres du personnel de l'ANSP auront accès : aux données pseudonymisées de l'ensemble des bénéficiaires de la branche maladie de la CPAM et de a MSA afin de réaliser le tirage au sort des participants ; aux données de santé pseudonymisées des participants afin de réaliser l'analyse des données pour les besoins de l'étude ; les employés de la société IPSOS auront accès aux données nominatives et de santé des participants pour assurer le suivi des inclusions et le recueil des données à travers la passation des questionnaires. Le responsable de traitement a indiqué que les données nominatives des participants doivent être collectées et traitées afin de leur adresser les résultats les concernant à la fin de l'étude. Aux fins de confidentialité, ces résultats devront être envoyés par la société IPSOS. Des documents tenus à jour indiquent la ou les personnes compétentes pour le responsable de traitement et le sous-traitant permettant de délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations. Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal. La qualification des personne habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d'habilitation établie par le responsable de traitement et ses sous-traitants. Sur la sécurité des données et la traçabilité des actions À titre liminaire, le dossier de demande mentionne que le traitement envisagé est conforme aux mesures de sécurité prévues dans la MR-004. Le responsable de traitement a réalisé et transmis à l'appui de la demande d'autorisation une analyse d'impact relative à la protection des données spécifique au traitement envisagé. Celle-ci devra être mise à jour pour tenir compte des différentes phases de l'étude (et notamment le redressement des données), préciser les mesures techniques et organisationnelles ainsi que le plan d'actions retenu. La Commission prend acte de ce que le responsable de traitement s'engage à ce que les serveurs internes utilisés soient conformes à l'état de l'art, notamment à des mesures de sécurité équivalentes aux exigences mentionnées dans le référentiel "entrepôt de données dans le domaine de la santé" pour mener l'étude. Des espaces projets devront alors être prévus pour toute mise à disposition. Seules des données anonymes pourront faire l'objet d'export hors de ces espaces. Si ces conditions ne sont pas réunies, aucune donnée de l'étude ne pourra être hébergée sur les serveurs internes du responsable de traitement. Les données seront consolidées, analysées et mises à disposition sur la plateforme du Centre d'accès sécurisé aux données (CASD). Le responsable de traitement devra s'assurer du respect des exigences de sécurité à toutes les étapes du traitement opérées par les différents organismes participants, y compris pour les fiches papiers. Des pseudonymes aléatoires sont attribués aux participants. Ceux-ci seront dédiés à chaque typologie d'acteurs et distincts pour les différents flux de données. Toute table de correspondance devra être supprimée dans les meilleurs délais après consolidation de la base et génération de nouveaux pseudonymes aléatoires pour celle-ci. Pour toute mise à disposition, des pseudonymes dédiés à chaque espace projet devront être générés. Les échanges de données seront réalisés via des canaux de communication chiffrés et assurant l'authentification de la source et du destinataire. Les algorithmes de chiffrement utilisés et les procédures de gestion des clés devront être conformes à l'annexe B1 du référentiel général de sécurité. Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5.1.f et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l'Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Sur la durée de conservation des données S'agissant des personnes refusant de participer à l'étude : Leurs données administratives d'identification (nom, prénom, coordonnées téléphonique, électronique et postale) seront détruites au moment de leur refus. S'agissant des données des personnes participant à l'étude : Les données administratives d'identification (nom, prénom, coordonnées téléphoniques et postales) seront détruites dans un délai de six mois après la réalisation des entretiens. Les coordonnées électroniques seront détruites après la transmission des derniers résultats aux participants. Les autres données de l'étude seront conservées en base active pour une durée de sept ans. À l'issue de ce délai, les données seront supprimées ou versées aux archives nationales, conformément aux dispositions du code du patrimoine. Ces durées de conservation des données n'excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l'article 5.1.e du RGPD. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.

Autorise, conformément à la présente délibération

, l'Agence nationale de santé publique à mettre en œuvre le traitement susmentionné. La Présidente Marie -Laure DENIS