Un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de création d’entrepôts de données dans le domaine de la santé est paru le 24 octobre 2021 au Journal officiel.

Ce référentiel vise les responsables de traitements qui, dans le cadre de leurs missions d’intérêt public, réunissent des données en vue de leur réutilisation.

Ne sont donc pas concernés par ce référentiel :

• les entrepôts mis en œuvre par les sociétés privées sur la base légale de l’intérêt légitime ;
• les traitements de données à caractère personnel mis en œuvre uniquement aux fins de la médecine préventive, des diagnostics médicaux, de l’administration de soins ou de traitements, ou de la gestion de services de santé et mis en œuvre par les professionnels de santé et les systèmes ou service de soins de santé ;
• les traitements de données à caractère personnel mis en œuvre sur la base du consentement explicite de la personne concernée ;
• les entrepôts appariés avec la base du système national des données de santé (SNDS).

Le référentiel ne s’adresse qu’aux entrepôts de données de santé constitués dans le cadre de l’exercice d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique. Le caractère d’intérêt public est différent de l’exigence d’intérêt public imposée pour les finalités des traitements mis en œuvre dans le domaine de la santé au sens de la Loi informatique et libertés (LIL). Ainsi, au sens de la LIL « la garantie de normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux constitue une finalité d’intérêt public ».

Le référentiel rappelle que les données contenues dans l’entrepôt ne peuvent pas être traitées à des fins de promotions des produits de santé auprès des professionnels de santé ou d’établissements de santé, à des fins d’exclusion de garanties des contrats d’assurance, ou encore de modification de cotisations ou de prime d’assurance d’un individu ou d’un groupe d’individus présentant un même risque.

Les données ne peuvent pas être collectées dans le seul but d’alimenter l’entrepôt. Chaque donnée versée doit être justifiée scientifiquement par la prise en charge sanitaire ou médico-sociale ou par la réalisation d’un projet de recherche, d’étude ou d’évaluation spécifique et prévue par un protocole.

Les traitements de données de santé mis en œuvre à des fins de recherche, d’étude ou d’évaluation font l’objet de formalités spécifiques auprès de la CNIL : un engagement de conformité pour les traitements conformes à une méthodologie de référence ou, dans le cas contraire, une demande d’autorisation auprès de la CNIL.

En outre, les personnes concernées devront être informées de chacune des réutilisations de données les concernant à ces fins précises, hormis les cas où les responsables de traitement sont dans l’impossibilité de réaliser l’information ou que celle-ci exigerait des efforts disproportionnés.