1.1. Définitions

Au sens de la présente méthodologie, les termes suivants sont ainsi définis :
Bilan : synthèse, transmise à la CNIL tous les trois ans par le responsable de traitement, faisant état des usages de la méthodologie de référence observés durant cette période.
Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES) : comité qui émet un avis motivé sur la méthodologie de la recherche, la nécessité du recours à des données de santé à caractère personnel, la pertinence de celles-ci par rapport à la finalité du traitement et, s'il y a lieu, sur la pertinence scientifique et éthique du projet ainsi que sur le caractère d'intérêt public que présente la recherche, l'étude ou l'évaluation ;
Donnée à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée ») ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale (v. art. 4 du RGPD). A ce titre, les données du SNDS, bien que pseudonymisées, constituent des données à caractère personnel ;
Environnement maîtrisé : ensemble de ressources (matériel, logiciels, personnel, données) sur lesquelles le gestionnaire d'un système du Système national des données de santé (SNDS) applique les exigences du référentiel de sécurité du SNDS ;
Espace projet : espace de travail dédié à une étude, sécurisé et maîtrisé par le gestionnaire du système mettant à disposition des données du SNDS ;
Etude : recherche ou étude dans le domaine de la santé ne répondant pas à la définition des recherches impliquant la personne humaine telles que définies à l'article L. 1121-1 du code de la santé publique (CSP). Il peut également s'agir d'une évaluation ou d'une analyse des pratiques ou des activités de soins ou de prévention, au sens de l'article 72 de la loi « informatique et libertés ». Ce traitement doit présenter un caractère d'intérêt public au sens de l'article 66 de cette même loi. Une étude peut nécessiter la réalisation de plusieurs requêtes à partir des données du SNDS ;
Expression de besoins : document indiquant les composantes de la base principale du SNDS concernées par la demande d'accès, la population ciblée, la période de ciblage, les données ou catégories de données nécessaires, la profondeur historique des données et la durée d'accès demandées, dont un modèle élaboré en collaboration avec la PDS et la Caisse nationale d'assurance maladie (CNAM) est mis à disposition ;
Laboratoire de recherche/bureau d'études : organisme responsable, le cas échéant, de la mise en œuvre du traitement de données et chargé de leur analyse, ayant réalisé un engagement de conformité auprès de la CNIL à l'arrêté du 17 juillet 2017 relatif au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études. Il s'agit d'un sous-traitant au sens du RGPD qui, dans le cadre de la présente méthodologie de référence, accède aux données du SNDS pour le compte du responsable de traitement ;
Plateforme des données de santé (PDS) : groupement d'intérêt public constitué entre l'Etat, des organismes assurant une représentation des malades et des usagers du système de santé, des producteurs de données de santé et des utilisateurs publics et privés de données de santé, y compris des organismes de recherche en santé, chargé de mettre en œuvre les grandes orientations stratégiques relatives au SNDS et ainsi de faciliter le partage des données de santé issues de sources variées afin de favoriser la recherche ;
Profondeur historique des données : années de production des données nécessaires à la réalisation de l'étude ;
Protocole : document rédigé par le responsable de traitement ou sous sa responsabilité, indiquant notamment :

- la méthodologie de l'étude ;
- l'objectif du traitement des données à caractère personnel ;
- les catégories de personnes concernées par le traitement ;
- l'origine, la nature et la liste des données à caractère personnel utilisées et la liste des justifications de recours à celles-ci ;
- la durée et les modalités d'organisation de l'étude ;
- la méthode d'analyse des données ;
- la justification du nombre de personnes et la méthode d'observation retenue ;

Responsable de la mise en œuvre du traitement : organisme, ayant accès aux données par convention, chargé d'effectuer les analyses pour le compte du responsable de traitement. Il peut s'agir d'un laboratoire de recherche ou d'un bureau d'études ;
Responsable de traitement : personne physique ou morale qui, seule ou conjointement avec d'autres, est responsable d'une recherche, étude ou évaluation n'impliquant pas la personne humaine, en assure la gestion, vérifie que son financement est prévu et détermine les finalités et les moyens des traitements nécessaires à celle-ci ;
Sous-traitant : personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ;
Système national des données de santé : base de données de santé comprenant une base principale, couvrant l'ensemble de la population, ainsi que d'autres bases de données intégrées dans un « catalogue » ;
Traitement : toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ;
Utilisateur : personne physique qui accède aux données individuelles du SNDS mises à disposition dans un espace projet.

1.2. Responsables de traitement concernés

1.2.1. Seuls peuvent réaliser une déclaration attestant de la conformité à la présente méthodologie de référence le ou les responsables de traitements pour lesquels la mise en œuvre de la recherche, étude ou évaluation dans le domaine de la santé est nécessaire à l'exécution d'une mission d'intérêt public ou relève de l'exercice de l'autorité publique dont il est investi au sens de l'article 6.1.e du RGPD et répondant aux finalités mentionnées ci-dessous. A ce titre, il s'agira le plus souvent d'organismes publics.
1.2.2. Dans le cas d'une responsabilité conjointe de traitement, les responsables doivent définir de manière transparente leurs obligations respectives conformément à l'article 26 du RGPD.

1.3. Traitement de données à caractère personnel inclus dans le champ d'application de la présente méthodologie

1.3.1. Seuls peuvent faire l'objet d'une déclaration de conformité à la présente méthodologie de référence les traitements de données à caractère personnel ayant pour finalité la réalisation de recherches, études ou évaluations dans le domaine de la santé, présentant un caractère d'intérêt public au sens de l'article 66 de la loi « informatique et libertés » et respectant les conditions de sécurité, d'organisation et de transparence suivantes :

- un protocole, ainsi qu'une expression de besoins, doivent être élaborés par le responsable de traitement avant le début de la mise en œuvre du traitement des données. Ces documents doivent être soumis au CESREES ;
- les traitements visés par la présente méthodologie de référence doivent obtenir un avis expressément favorable du CESREES préalablement à leur mise en œuvre. Lorsque cet avis est accompagné de recommandations, le responsable de traitement s'engage à les prendre en compte et à modifier son dossier en conséquence, préalablement à la mise en œuvre du traitement ;
- les données traitées doivent provenir exclusivement de la CNAM, seule compétente, dans le cadre de la présente méthodologie, pour extraire et transmettre les données du SNDS, dans le strict respect de l'expression de besoins ;
- les données traitées doivent également provenir directement de la CNAM. Aucune réutilisation des données n'est permise dans le cadre de cette méthodologie de référence ;
- les données sont mises à disposition du responsable de traitement ou du responsable de la mise en œuvre du traitement dans un environnement maîtrisé, tel que défini au point 1.1 (Définitions) et remplissant les conditions cumulatives suivantes :
- a fait l'objet d'une homologation conformément au référentiel de sécurité applicable au SNDS. Cette homologation, qui ne doit pas avoir expiré, doit faire l'objet d'un suivi régulier et est régulièrement renouvelée dans les délais prévus par la décision d'homologation ;
- a été expertisé par la CNIL dans le cadre d'un traitement de données ayant fait l'objet d'une autorisation expresse par la CNIL. Cette autorisation doit dater de moins de trois ans ;
- est conforme au titre V de la présente délibération concernant les modalités d'hébergement des données et l'absence de transferts en dehors de l'Union européenne ;
- le responsable de traitement s'engage à ne pas poursuivre l'une des finalités interdites décrites à l'article L. 1461-1 V du code la santé publique ;
- le responsable de traitement et le cas échéant, le responsable de la mise en œuvre du traitement, doivent signer préalablement une convention d'accès aux données avec le gestionnaire de l'environnement maîtrisé mettant à disposition les données du SNDS. Ils doivent également faire signer à chaque utilisateur habilité un engagement individuel à respecter les conditions d'utilisation définies par l'environnement maîtrisé. Le responsable de traitement doit enfin transmettre au gestionnaire de l'environnement maîtrisé la liste, actualisable, des laboratoires de recherche ou bureaux d'études auxquels il a recours ;
- le responsable de traitement s'engage à transmettre tous les trois ans à la CNIL ainsi qu'au CESREES, un bilan synthétisant les usages de la méthodologie de référence, observés durant cette période. S'ils le jugent pertinent, la CNIL ou le CESREES peuvent partager ce bilan avec la CNAM et/ou la PDS ;
- le responsable de traitement doit enregistrer chaque étude réalisée dans le cadre de la méthodologie de référence auprès du répertoire public tenu par la PDS. La méthode et les résultats obtenus seront publiés par la PDS à la fin du traitement, selon les modalités prévues au paragraphe 6.3 « Principe de transparence ».

1.3.2. La présente méthodologie de référence n'est ainsi notamment pas applicable aux traitements :

- hébergés en dehors d'un environnement maîtrisé répondant aux conditions cumulatives mentionnées ci-dessus ;
- nécessitant un appariement des données du SNDS avec des données à caractère personnel issues d'autres sources (par exemple : dossiers médicaux) ;
- nécessitant une réutilisation de données mises à disposition dans le cadre d'une précédente étude ou provenant d'un entrepôt de données de santé comportant des données du SNDS.

1.3.3. Les traitements mentionnés au paragraphe 1.3.2 ne pourront être mis en œuvre qu'après autorisation de la CNIL.

1.4. Intérêt public et finalités interdites

1.2.1. Les traitements réalisés dans le cadre de cette méthodologie de référence doivent :

- présenter un caractère d'intérêt public, justifié par le responsable de traitement dans le protocole, qui sera transmis à la PDS lors de l'enregistrement dans le répertoire public ;
- respecter l'ensemble des dispositions législatives et réglementaires relatives au SNDS (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment l'interdiction d'utiliser ces données pour poursuivre les finalités décrites à l'article L. 1461-1 V du code la santé publique :

1. la promotion des produits mentionnés au II de l'article L. 5311-1 en direction des professionnels de santé ou d'établissements de santé ;
2. l'exclusion de garanties des contrats d'assurance et la modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque.