La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence nationale de santé publique (ANSP) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un système de surveillance active des cas graves de grippe ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment son article L. 1413-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 19 juillet 2013 relatif à la mise en œuvre du Système national d'information inter-régimes de l'assurance maladie ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Etablissement public administratif sous tutelle du ministre chargé de la santé, l’Agence nationale de santé publique (ANSP) a, en application de l’article L. 1413-1 du code la santé publique, en charge :
l'observation épidémiologique et la surveillance de l'état de santé des populations ;
la veille sur les risques sanitaires menaçant les populations ;
la promotion de la santé et la réduction des risques pour la santé ;
le développement de la prévention et de l'éducation pour la santé ;
la préparation et la réponse aux menaces, alertes et crises sanitaires ;
le lancement de l'alerte sanitaire.
Sur la finalité
Lors de l’épidémie de grippe A (H1N1) survenue en 2009, l’Institut national de veille sanitaire  a mis en œuvre un traitement destiné à surveiller les cas de grippe (autorisation n°341194 «Identifier la source et maitriser une épidémie »). Cette surveillance a été reconduite à chaque saison, puis étendue pour la saison grippale 2010-2011 aux cas graves de grippe A, puis en 2012-2013 aux cas graves de grippe.
Au vu du caractère pérenne de la surveillance des cas graves de grippe et des évolutions apportées en vue d’améliorer la qualité du dispositif, une demande d’autorisation spécifique pour cette surveillance est demandée par l’ANSP.
Le traitement poursuit les objectifs suivants :
décrire les caractéristiques épidémiologiques des cas graves de grippe en France métropolitaine et dans les territoires d’outre-mer pour adapter le cas échéant les mesures de contrôle ;
suivre le nombre hebdomadaire de cas graves pour anticiper un éventuel engorgement des structures et mesurer le poids de l’épidémie ;
contrôler la complétude du recueil en croisant les données recueillies dans les services de réanimation avec celles fournies par les laboratoires hospitaliers et en évaluant l’exhaustivité de la surveillance ;
mesurer l’exhaustivité du système de surveillance en croisant les données des cas graves de grippe avec celles du Système national d’information inter-régimes de l’assurance maladie (SNIIRAM).
Ce traitement est justifié par un intérêt public au sens de l’article 8 IV de la loi et doit être autorisé par la CNIL en application de son article 25 I 1°.
La Commission considère que ces finalités sont déterminées, explicites et légitimes au sens de l’article 6 2° de la loi.
Sur les données traitées
Les données traitées et échangées sont les suivantes :
le nom de l’hôpital et du service, le type de service, le numéro de téléphone du service, le nom du médecin déclarant ;
les nom et prénom du patient, sa date de naissance, son âge exact, sa date d’admission ;
les facteurs de risque, les éléments de gravité, l’évolution du patient, son statut vaccinal et les résultats virologiques.
L’ensemble des services de réanimation adulte et de réanimation pédiatrique de toutes les régions françaises sont invités à participer à cette surveillance sur la base du volontariat.
Une fiche de notification au format papier est envoyée par le médecin le plus rapidement possible à la cellule interrégionale d’épidémiologie (CIRE) compétente afin que le cas soit enregistré au plus tôt et activer le système de surveillance.  Sur cette fiche est inscrit le nom, le prénom du patient, sa date de naissance et sa date d’admission, le  nom de l’hôpital et du service, le type de service ainsi que le nom du médecin déclarant.
A la réception de cette fiche, la CIRE attribue un numéro séquentiel au cas qu’elle reporte sur la fiche de notification papier et dans le fichier informatique. Ce fichier informatique ne comporte, quant à lui, aucune donnée directement identifiante (exclusion du nom, du prénom et  de la date de naissance ainsi que du nom du médecin déclarant et du numéro de téléphone du service).
Le système de surveillance vise à recenser les cas de façon exhaustive. Pour ce faire, sont réalisés :
un contact hebdomadaire (téléphone) de la CIRE avec le service est afin de s’assurer de la mise à jour des données des signalements antérieurs le cas échéant (données virologiques et décès essentiellement) ;
un contact de la CIRE avec chaque service au moins une fois par mois (relance par courrier électronique ou téléphone) en cas d’absence de données afin de s’assurer qu’il n’y a pas eu d’admission de cas graves et qu’il ne s’agit  pas d’un oubli de signalement ;
dans les régions où les CIRE sont en lien avec les laboratoires virologiques hospitaliers, un contact régulier  entre les CIRE et les laboratoires hospitaliers virologiques afin de croiser les données, identifier des cas graves non signalés et mettre à jour les données virologiques des patients déjà signalés.
La mesure d’exhaustivité sera réalisée si possible chaque année par la CIRE en fin de saison pour redresser le nombre de cas, le cas échéant.
Elle se fait par la méthode capture-recapture en croisant les données des cas graves avec celles du SNIIRAM sur les variables suivantes : nom d’établissement et de service permettant de déduire son numéro dans le  fichier national des établissements sanitaires et sociaux (FINESS) et le type de service, date d’admission, âge et sexe du patient.
L’ANSP est autorisée à accéder aux données du SNIIRAM par l’arrêté du 19 juillet 2013 relatif à la mise en œuvre du système national d’information inter-régimes de l’assurance maladie.
Sur les destinataires
Les CIRE, chargées de la déclination des missions de santé publique France en région, ont accès aux données concernant leur territoire de compétence.
L’ensemble des données est accessible à un nombre limité de personnes spécialement habilitées au sein de Santé publique France.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et les droits des patients
La plupart des patients concernés sont hospitalisés en réanimation et ne sont pas en mesure d’être informés individuellement. Le responsable de traitement a indiqué qu’une information individuelle se révèle impossible et qu’une information a posteriori se révèle incompatible avec l’activité d’un service de réanimation en période épidémique et exigerait des efforts disproportionnés par rapport à l’intérêt de la démarche.
Une information générale est mise en œuvre sur le site internet de Santé publique France, ainsi que dans les centres hospitaliers participant au dispositif de surveillance par voie d’affichage.
Les droits s’exercent auprès du département des maladies infectieuses de l’ANSP.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Les données sont hébergées sur un serveur interne et sécurisé de l’ANSP.
Les habilitations d’accès au système d’information sont définies en fonction des attributions et des besoins des destinataires dans les strictes limites de l’exercice de leurs missions respectives.
La Commission recommande que les permissions d'accès soient attribuées pour une durée déterminée, après validation hiérarchique, qu’elles soient supprimées pour tout utilisateur n'étant plus habilité et qu’une revue globale des habilitations soit opérée régulièrement.
Chaque CIRE accède aux données concernant son territoire au moyen d’un login et d’un mot de passe.
La Commission rappelle que, conformément à sa délibération n°2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe, elle demande que ces derniers fassent une longueur minimale de douze caractères et soient composés de lettres majuscules, minuscules, chiffres et symboles ou qu’ils fassent entre huit et onze caractères, soient composés de trois des quatre possibilités précitées et associés à une restriction d’accès en cas d’erreurs successives (blocage temporaire de compte, possibilité de nouvelles tentatives après une durée d’attente incrémentielle, etc.).
Ils doivent en outre être définis, ou modifiés dès la première connexion,  par l’utilisateur, puis régulièrement renouvelés et ne doivent pas être stockés en clair.
La Commission relève que seuls les accès à l’application sont journalisés et recommande que les opérations des utilisateurs touchant des données personnelles soient également tracées (consultation, création, modification et suppression). Elle rappelle en outre que la durée de conservation des traces des utilisateurs ne doit pas excéder six mois.
Les fiches de notification sont transmises par les services de réanimation aux CIRE par fax. Des mesures de sécurité propres aux documents papier sont mises en œuvre : le télécopieur est situé dans un local dédié et les fiches sont conservées dans une armoire sécurisée.
La Commission recommande que l’accès à ces emplacements physiques soit restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel.
Les échanges entre la CIRE et les laboratoires hospitaliers sont effectués par téléphone ou par envoi de courriel avec en pièces jointes des tableaux chiffrés par GPG.
La Commission rappelle que l’accès à une clé de chiffrement privée doit être protégé par une phrase secrète forte. Il est également nécessaire que l’authenticité d'une clé publique soit vérifiée : un contact téléphonique doit permettre de contrôler que l’empreinte de la clé publique récupérée correspond bien à l’empreinte de la clé publique du correspondant.
Concernant le croisement de données avec le SNIIRAM aux fins d’évaluation de l’exhaustivité des données recueillies, les extractions seront transmises aux CIRE de manière chiffrée par des entités habilitées à accéder au SNIIRAM au sein de l’ANSP. Les données de croisement seront conservées sur un espace sécurisé accessible uniquement aux personnes de la CIRE en charge du traitement.
Sur la durée de conservation des données
Les fiches de recueil papier sont conservées au sein de chaque CIRE puis détruites à la clôture du dossier c'est-à-dire 41 jours en moyenne et au plus tard jusqu’en septembre de l’année en cours.
Les courriers électroniques et les tableaux d’échanges avec les laboratoires sont également détruits dans ces délais.
Les données contenues dans le fichier informatique sont conservées cinq ans. Passé ce délai le nom de l’hôpital et le type de service seront supprimés. Le fichier « dégradé » sera conservé sur une longue période estimée à vingt ans afin d’effectuer un suivi des tendances et de permettre la constitution de séries chronologiques.
La Commission demande que l’outil de requête sur cette base d’historique intègre une limitation des risques de réidentification de personnes en limitant les interrogations ciblées et le niveau de détail des rapports.
Les résultats obtenus à l’issu du croisement avec les données du SNIIRAM seront conservés pendant une durée de cinq ans après la fin de la saison concernée et les fichiers de croisement seront détruits.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’Agence nationale de santé publique à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
