Article R1461-9 of the French Public Health Code

I.-In accordance with 2° of Article L. 1462-1, makes the following information available on its website:

1° The identity and contact details of the data controllers of the national health data system as well as information relating to the databases that feed it;

2° The procedures for exercising the rights provided for in II and III of this article;

3° The list and characteristics of projects involving data from the national health data system, in particular those mentioned in Article R. 1461-17 ;

4° The information provided for in II of Article L. 1461-3.

The Caisse nationale de l’assurance maladie provides individual information, on paper or electronically, relating to the implementation of the national health data system, enabling the main features of this system to be brought directly to the attention of individuals. It makes this information available on its website, which links to the Plateforme des données de santé website.

The bodies responsible for the databases inform the data subjects that their data is being fed into the national health data system.

II – The rights of access and rectification are exercised under the conditions defined in Articles 15 and 16 of Regulation (EU) 2016/679 of 27 April 2016.

The right to object, provided for by Article 21 of Regulation (EU) 2016/679 of 27 April 2016 and Article 74 of Law No. 78-17 of 6 January 1978, applies to data from the processing operations mentioned in 1° of I of Article L. 1461-3. It does not apply:

1° In the context of the creation of the national health data system, to data in the main database mentioned in I of Article R. 1461-2;

2° In the context of making data available, to processing implemented by State services, establishments and organisations listed in Article R. 1461-12 as part of their permanent access.

Where their data comes from databases listed in the catalogue, data subjects may exercise a right to erasure, under the conditions set out in Article 17 of Regulation (EU) 2016/679 of 27 April 2016.

III -To exercise the rights mentioned in II, the data subject must send their request, providing proof of identity by any means, to the director of the Platform or the director of the compulsory health insurance body to which they are affiliated.

IV – Joint data controllers shall ensure that requests made by data subjects who exercise their rights in accordance with II are dealt with consistently for all data in the national health data system, regardless of which joint data controller makes them available.

They shall set up a circuit in accordance with the provisions of Article R. 1461-7 and in accordance with a procedure guaranteeing that no-one can have both the identity of individuals, in particular their registration number in the National Register for the Identification of Natural Persons, and the pseudonym provided for in I of the same article.

Within the strict limits of what is necessary for the exercise of the rights mentioned in II and in accordance with appropriate technical and organisational protection measures, the Health Data Platform or its processor is authorised to process appropriate and relevant personal data, including the registration number of individuals in the National Register for the Identification of Natural Persons. These provisions are without prejudice to the powers of the Caisse nationale de l’assurance maladie to ensure the pseudonymisation of the data of the person concerned.

Original in French 🇫🇷

Article R1461-9

I.-La Plateforme des données de santé, conformément au 2° de l’article L. 1462-1, met à disposition sur son site internet les informations suivantes :

1° L’identité et les coordonnées des responsables de traitement du système national des données de santé ainsi que les informations relatives aux bases de données qui l’alimentent ;

2° Les modalités d’exercice des droits prévus au II et au III du présent article ;

3° La liste et les caractéristiques des projets portant sur des données du système national des données de santé, notamment ceux mentionnés à l’article R. 1461-17 ;

4° Les informations prévues au II de l’article L. 1461-3.

La Caisse nationale de l’assurance maladie réalise une information individuelle, par voie papier ou électronique, relative à la mise en œuvre du système national des données de santé permettant de porter directement à la connaissance des personnes les principales caractéristiques de ce dispositif. Elle met à disposition ces informations sur son site qui renvoie à celui de la Plateforme des données de santé.

Les personnes concernées sont informées par les organismes responsables des bases de données que leurs données alimentent le système national des données de santé.

II.-Les droits d’accès et de rectification s’exercent dans les conditions définies aux articles 15 et 16 du règlement (UE) 2016/679 du 27 avril 2016.

Le droit d’opposition, prévu par l’article 21 du règlement (UE) 2016/679 du 27 avril 2016 et l’article 74 de la loi n° 78-17 du 6 janvier 1978, porte sur les données des traitements mentionnés au 1° du I de l’article L. 1461-3. Il ne s’applique pas :

1° Dans le cadre de la constitution du système national des données de santé, aux données de la base principale mentionnée au I de l’article R. 1461-2 ;

2° Dans le cadre de la mise à disposition des données, aux traitements mis en œuvre par les services de l’Etat, les établissements et les organismes dont la liste figure à l’article R. 1461-12 dans le cadre de leur accès permanent.

Lorsque leurs données relèvent de bases inscrites au catalogue, les personnes concernées peuvent exercer un droit d’effacement, dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016.

III.-Pour l’exercice des droits mentionnés au II, la personne concernée adresse sa demande, en justifiant de son identité par tout moyen, au directeur de la Plateforme ou au directeur de l’organisme gestionnaire d’assurance maladie obligatoire dont elle relève.

IV.-Les responsables conjoints de traitement s’assurent de donner suite aux demandes adressées par les personnes concernées qui exercent leurs droits, conformément au II, de manière cohérente pour toutes les données du système national des données de santé, quel que soit le responsable conjoint qui les met à disposition.

Ils mettent en place un circuit conforme aux dispositions de l’article R. 1461-7 et selon une procédure garantissant que nul ne puisse disposer à la fois de l’identité des personnes, notamment de leur numéro d’inscription au Répertoire national d’identification des personnes physiques et du pseudonyme prévu au I du même article.

Dans la stricte limite de ce qui est nécessaire pour l’exercice des droits mentionnés au II et selon des mesures de protection techniques et organisationnelles adaptées, la Plateforme des données de santé ou son sous-traitant est autorisée à traiter les données à caractère personnel adéquates et pertinentes, parmi lesquelles le numéro d’inscription des personnes au Répertoire national d’identification des personnes physiques. Ces dispositions ne préjudicient pas aux attributions de la Caisse nationale de l’assurance maladie pour assurer la pseudonymisation des données de la personne concernée.