La Commission nationale de l'informatique et des libertés,
Saisie par le Centre hospitalier universitaire de Rennes d’une demande d’autorisation concernant un entrepôt de données de santé dénommé eHop Rennes ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 44-3° et 66-III ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments, et notamment l’analyse d’impact relative à la protection des données ;
Sur la proposition de Mme Valérie Peugeot, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le Centre hospitalier universitaire de Rennes (le CHU)
Sur la base légale et la finalité
Le CHU souhaite constituer un entrepôt de données de santé dénommé eHop Rennes .
Cet entrepôt regroupera les données produites lors de la prise en charge des patients par le CHU à des fins de recherche en santé,
d’amélioration de la prise en charge des patients dans l’établissement, de pilotage de l’établissement et d’enseignement.
Le dossier précise que les
traitements réalisés ne seront pas effectués à visée commerciale
La Commission précise qu’à l’instar du système national des données de santé (SNDS), les données issues du CHU ne devront pas être exploitées à des fins de promotion des produits de santé pour les professionnels de santé ou d’établissements de santé ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d’un individu ou d’un groupe d’individus présentant un même risque.
La Commission relève qu’une gouvernance spécifique est mise en œuvre pour l’entrepôt. Elle est confiée au centre de données cliniques (CDC) et organisée autour d’un comité de pilotage, en charge de valider les orientations stratégiques et scientifiques et d’un comité scientifique et éthique en charge d’examiner les projets de recherche effectués depuis les données de l’entrepôt.
Le traitement a pour base légale l’exercice d’une mission d’intérêt public, au sens de l’article 6-1-e du Règlement européen sur la protection des données (ci-après le RGPD ).
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b du RGPD.
Elle estime qu’il y a lieu de faire application des dispositions des articles 44 3° et 66 III de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
La Commission rappelle que les traitements de données de santé à caractère personnel qui seront mis en œuvre, à des fins de recherche dans le domaine de la santé, à partir des données contenues dans l’entrepôt sont des traitements distincts qui doivent faire l’objet de formalités propres au titre des articles 66 et 72 et suivants de la loi informatique et libertés .
Sur les données traitées
L’entrepôt regroupera les données produites dans le cadre de la prise en charge des patients issues du système d’information hospitalier du CHU.
Plus précisément, s’agissant des patients, les données suivantes sont recueillies :
des données d’identification et coordonnées : numéro identifiant du patient dans l’établissement, nom, prénoms, date de naissance (transformée en mois et année de naissance), sexe, coordonnées téléphoniques et électroniques, coordonnées géographiques (génération des latitude et longitude depuis l’adresse postale des patients), pays et code postal de naissance ;
des données relatives à la situation professionnelle (catégorie socio-professionnelle) ;
des données de santé et des données d’analyses génétiques ;
des données médico-administratives issues du PMSI local.
S’agissant du personnel du CHU, des données d’identification et coordonnées sont recueillies : titre, nom, prénom, fonction, service et unité d’exercice, adresse électronique et numéro de téléphone professionnels.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur les destinataires
Les destinataires des données de l’entrepôt sont des professionnels de santé du CHU, des membres des équipes de recherche internes ou extérieures à l’établissement dans le cas de projets de recherche en santé multicentriques.
La Commission rappelle que les destinataires n’appartenant pas à l’équipe de soins ne sont autorisés à accéder aux données de l’entrepôt que dans la limite des données strictement nécessaires et pertinentes au regard des objectifs du projet de recherche, de leurs fonctions et du mandat donné par le responsable du traitement mis en œuvre dans le cadre du projet.
La Commission rappelle en outre que ces accès devront s’effectuer dans le strict respect de la confidentialité des données.
Le dossier indique que la transmission de données nominatives à une équipe extérieure au CHU ne peut se faire que dans le cadre d’un traitement de données autorisé par la CNIL. La Commission en prend acte.
Sous ces réserves, la Commission considère que les catégories de destinataires n’appellent pas d’observation.
Sur l’information et les droits des personnes
S’agissant de l’information des personnes
S’agissant des patients admis antérieurement à la constitution de l’entrepôt :
La Commission relève que compte tenu du nombre de personnes concernées (environ 1 million de patients), du faible nombre d’adresses électroniques exploitables dont dispose le CHU (le dossier indique que les courriels de 47 000 patients ont été collectés pour les besoins d’une enquête de satisfaction, mais sans être en mesure d’évaluer la pertinence de ces adresses), le CHU estime qu’informer individuellement l’ensemble des personnes concernées exigerait un effort disproportionné.
Conformément à l’article 14-5-b du RGPD, le responsable de traitement s’engage à prendre les mesures suivantes pour protéger les droits et libertés ainsi que les intérêts légitimes des personnes concernées :
diffusion sur son site web d’une information collective relative à l’entrepôt ;
relayer cette information collective via les réseaux sociaux, les médias régionaux et communiqué de presse ;
solliciter des associations de patients pour relayer cette information.
S’agissant des patients admis (ou réadmis) postérieurement
à la constitution de l’entrepôt :
La Commission relève qu’ils seront informés individuellement de la façon suivante, en fonction du mode de prise en charge du patient :
par la remise d’une note d’information aux patients lors de leur admission ou de leur enregistrement en consultation par les agents du bureau des entrées ou les secrétariats médicaux ;
par la remise d’une note d’information aux patients lors leur pré-admission par les secrétariats médicaux ou les infirmières de programmation.
Le CHU de Rennes prévoit en outre une information collective

S’agissant du personnel du CHU :
Le personnel sera informé individuellement au moyen d’un courrier du CHU joint au bulletin de paie.
L’information sera également diffusée en Commission Médicale d’Etablissement et sur le site intranet de l’établissement.
Les droits des personnes concernées s’exercent, pour les patients auprès du délégué à la protection des données, pour le personnel du CHU auprès du centre de données cliniques.
La Commission rappelle que les supports d’information devront contenir l’ensemble des mentions prévues par les articles 13 et 14 du RGPD.
Sous réserve de la prise en compte de ces observations, la Commission considère que ces modalités d’information et d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi informatique et libertés .
Sur les mesures de sécurité
En premier lieu, la Commission relève que le responsable de traitement a réalisé une analyse d'impact relative à la protection des données afin de démontrer la conformité de l’entrepôt de données de santé ; elle prend acte du plan d’action qui l’accompagne.
Les données sont stockées sur un serveur sécurisé du CHU, pour lequel une démarche de certification HDS est en cours.
La Commission relève que des mesures sont prévues pour assurer le cloisonnement du traitement. Le réseau fait l’objet de mesures de filtrage ayant pour but de restreindre l’émission et la réception des flux réseau aux machines identifiées et autorisées. L’entrepôt est accessible uniquement sur le réseau interne du CHU de Rennes à partir d’une interface prévue à cet effet. L’accès est sécurisé au moyen du protocole HTTPS, qui permet de garantir la confidentialité des données échangées ainsi que l’authentification de la source et du destinataire. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible. Enfin, la Commission prend acte de l’engagement du responsable de traitement de mettre en place un bastion d’administration.
La Commission relève également que les données directement identifiantes sont séparées logiquement des données pseudonymisées et que le plan d’action prévoit, à terme, une séparation physique de ces données.
La Commission prend acte que les noms d’usage sont remplacés par un numéro pseudonyme unique résultant de l’application d’une fonction de hachage au numéro IPP et que la date de naissance est remplacée par l’âge.
Elle rappelle que le recours à la pseudonymisation doit assurer que les données manipulées ne peuvent plus être attribuées à une personne précise sans avoir recours à des informations supplémentaires, ces informations supplémentaires devant être conservées séparément et soumises à des mesures techniques et organisationnelles adéquates.
En outre, la Commission souligne que les documents ajoutés à l’entrepôt font l’objet d’un processus spécifique de déidentification dès leur intégration dans la base : les informations directement identifiantes telles que nom, prénom, code postal, ville et numéro de téléphonique sont alors remplacées par un terme générique ( NOM DE NAISSANCE , PRENOM , CP , VILLE , TEL ).
La Commission relève que différents profils d’habilitation sont prévus afin de gérer les accès aux données en tant que besoin (utilisateurs, experts, et administrateurs). La Commission recommande au responsable de traitement de mettre en place des mesures techniques et organisationnelles permettant de s’assurer que ces droits et profils sont exclusifs :
* Pour les utilisateurs et les experts qui accèdent à la partie datamart (ensemble de données associées à une étude) de l’entrepôt, trois droits indépendants sont définis :
- accès aux données agrégées ;
- accès aux données individuelles déidentifiées ;
- accès direct aux données individuelles nominatives.
* Pour les experts, des droits spécifiques sont définis pour leur permettre la création de jeux de données ou l’extraction de fichiers d’études à partir de la partie pseudonymisée de l’entrepôt. Les données seront ensuite mises à disposition des équipes de recherche à travers les interfaces de l’entrepôt. A cet égard, la Commission relève que les exports sont restreints à un espace de travail contrôlé et que des mesures de traçabilité spécifiques sont mises en œuvre : les exports atypiques font l’objet d’une remontée d’alerte automatisée et sont soumis à validation d’un responsable. En outre, la transmission de données nominatives à une équipe extérieure au CHU de Rennes ne peut se faire que dans le cadre d’un traitement de données autorisé par la CNIL.
* Enfin, les responsabilités d’administration sont séparées en différents rôles : administrateur des études, administrateur des données, administrateur des traces et administrateurs des bases.
Pour chaque étude ultérieure, correspondra un accès spécifique aux données. Les autorisations d’accès concernant une étude seront accordées pour une durée et un périmètre limités correspondant aux besoins de l’étude. Les permissions d'accès seront supprimées pour tout utilisateur n'étant plus habilité. Une revue globale sera réalisée annuellement. Chaque utilisateur disposera d’un compte d’utilisation unique, individuel et nominatif.
En outre, la Commission relève qu’un module d’analyse de données permettra la réalisation de statistiques agrégées sur les données pseudonymisées de l’entrepôt, qui seront ensuite accessibles à l’ensemble des utilisateurs. La Commission rappelle qu'un tel outil ne doit permettre que des restitutions parfaitement anonymes. A défaut, des mesures complémentaires doivent être mises en œuvre afin de limiter les risques de réidentification des personnes, notamment en limitant les interrogations ciblées et le niveau de détail des données fournies.
Concernant les mécanismes d’authentification des professionnels de santé, la Commission relève que le responsable de traitement recommande l’usage de la carte CPX pour l’accès à l’entrepôt, sans pour autant la rendre obligatoire.
La Commission rappelle à cet égard que l’accès aux données de santé par des professionnels de santé doit s’effectuer conformément aux référentiels d'interopérabilité et de sécurité, en application de l’article L. 1110-4-1 du CSP.
S’agissant de l’accès aux données par les administrateurs, les chercheurs et membres des équipes des chercheurs, la Commission prend acte que le responsable de traitement s’est engagé à mettre en place un mécanisme d’authentification forte.
De façon générale, la Commission recommande la mise en place d’une politique d’authentification forte à l’état de l’art pour l’ensemble des accès aux données pseudonymisées d’un entrepôt de données de santé.
La Commission relève que les actions des utilisateurs accédant à l’entrepôt font l’objet de mesures de journalisation. En particulier, les connexions à l’entrepôt (identifiants, date et heure), les requêtes et opérations réalisées sont tracées, et certaines actions sensibles font l’objet d’une traçabilité renforcée (notamment l’affectation des droits à un utilisateur, un accès aux données nominatives, la levée de l’opposition d’un patient, la suppression d’un lot de données, l’import d’un fichier d’appariement).
Un contrôle des traces sera réalisé à la fin de chaque période d’habilitation liée à un projet de recherche. La Commission recommande en outre de mettre en place un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et de lever des alertes le cas échéant.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5-1-f et 32 du RGPD.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité et de l’analyse d’impact relative à la protection des données au regard de la réévaluation régulière des risques.
Sur la durée de conservation des données
Les données sont conservées dans l’entrepôt pendant 20 ans à compter du dernier séjour du patient et seront supprimées au moyen d’une requête programmée annuellement.
La Commission considère que cette durée de conservation des données n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Autorise le Centre hospitalier universitaire de Rennes, conformément à la présente délibération, à mettre en œuvre le traitement mentionné.
La Présidente
Marie-Laure DENIS
