disposition par la CNAMTS d une extraction spécifique de données du SNIIRAM pour la réalisation d une étude ou d une recherche approuvée par l IDS

xxxxxxxxxxx Convention de cession de données dans le cadre de la mise à disposition d une extraction spécifique de données du SNIIRAM Convention de cession de données dans le cadre de la mise à disposition par la CNAMTS d une extraction spécifique de données du SNIIRAM pour la réalisation d une étude ou d une recherche approuvée par l IDS xxxxxxxxxxxxxxxx AJOUTER LOGO DEMANDEUR Les passages surlignés en jaune sont à modifier en tant que de besoins lors de la réalisation de chaque convention. Convention de cession de données v 1.0 - Modèle de convention version juin 2015 Page 1

Sommaire ARTICLE 1er - OBJET DE LA CONVENTION... 5 ARTICLE 2 - DOCUMENTS CONVENTIONNELS... 5 ARTICLE 3 -CONDITIONS FINANCIERES... 6 ARTICLE 4- MODALITÉS DE MISE EN ŒUVRE DE LA COLLABORATION... 6 4.1 Recueil et transmission des données :... 6 4.2 Type de données transmises :... 6 4.3 Personnel habilité :... 6 ARTICLE 5 -CONFIDENTIALITE DES DONNEES... 6 ARTICLE 6 - SECURITE DES ECHANGES, MODALITES ET PREUVE DE LA TRANSMISSION ET DE LA RECEPTION DES DONNEES, RECETTE FONCTIONNELLE... 7 6.1 Sécurité des échanges... 7 6.2 Modalité de la transmission des données... 8 6.3 Preuve de la réception des données... 8 6.4 Recette fonctionnelle... 9 ARTICLE 7 - TRAITEMENT DES DONNEES A CARACTERE PERSONNEL... 9 ARTICLE 8- PROPRIÉTÉ DES DONNÉES - DES RÉSULTATS... 10 8.1 Les données... 10 8.2 Les résultats... 10 ARTICLE 9- DURÉE ET RENOUVELLEMENT... 10 ARTICLE 10 -DESTRUCTION DES DONNEES... 11 ARTICLE 11 - FORMALITÉS CNIL... 11 ARTICLE 12 - FORCE MAJEURE... 11 ARTICLE 13 - DISPOSITIONS GENERALES... 11 13.1 Modifications du contrat... 11 13.2 Renonciation... 11 13.3 Résiliation... 11 13.4 Règlement des litiges... 12 ANNEXES... 13 Annexe 1. La fiche d exploitation pour l étude «xxxxx» menée par «le demandeur»... 13 Annexe 2. La licence GnuPG... 14 Convention de cession de données v 1.0 - Modèle de convention version juin 2015 Page 2

Annexe 3. L approbation de l IDS dans le cadre de l étude «xxxxxxxxx» menée par le demandeur... 27 Annexe 4. L autorisation de la CNIL pour la réalisation de l étude «xxxxxxxxx» menée par «le demandeur»... 28 Annexe 5. La liste des personnes habilitées à utiliser les données du SNIIRAM transmises par la CNAMTS dans le cadre de l étude «xxxxxxx» menée par «le demandeur»... 29 Convention de cession de données v 1.0 - Modèle de convention version juin 2015 Page 3

ENTRE LES PARTIES : «Le demandeur» «Adresse du demandeur» Représenté par son «titre du représentant», «Nom du représentant» La Caisse Nationale d Assurance Maladie des Travailleurs Salariés (CNAMTS) 26-50 Avenue du professeur André Lemierre - 75986 Paris Cedex 20, Représentée par son Directeur Général, Monsieur Nicolas Revel Désignée ci-après sous la dénomination «la CNAMTS» Premièrement, Deuxièmement, «Le demandeur» et la CNAMTS étant désignés collectivement par «parties» et individuellement par «partie» Les parties s étant rapprochées ont convenu de ce qui suit : Convention de cession de données v 1.0 - Modèle de convention version juin 2015 Page 4

PRÉAMBULE «Résumé de l étude réalisée par le demandeur (20taine de lignes)» Cette étude s inscrit dans le cadre de l article 3 de l arrêté du 19 juillet 2013 modifié relatif à la mise en œuvre du Système National d Information Inter Régimes de l Assurance Maladie (SNIIRAM). Le Système National d Information Inter Régimes de l Assurance Maladie (SNIIRAM) est un système national à vocation décisionnelle qui contient des informations médico économiques, opposables, préservant l'anonymat des personnes ayant bénéficié des prestations de soins et qui grâce à un processus d habilitation des utilisateurs permet d assurer un meilleur pilotage de la gestion du risque maladie en fonction des responsabilités de chacun. La gestion technique du Système National d Information Inter-Régimes de l Assurance Maladie (SNIIRAM) est confiée à la CNAMTS. Seules les personnes physiques ou morales peuvent, à raison de leurs fonctions et selon des règles d habilitation détaillées être destinataires des informations contenues dans le Système National Inter Régime de l Assurance Maladie. Ainsi, conformément à l article 3 de l arrêté du 19 juillet 2013 modifié et mentionné à l article L 161.28.1 du CSS, le Président de l Assemblée Générale ou par délégation expresse de ce dernier, le Directeur de l IDS, en tant qu autorité d habilitation, a nommément désigné «le demandeur» afin qu il soit autorisé à accéder aux informations du SNIIRAM dans le cadre de l étude «xxxxxxxx». La Caisse Nationale d Assurance Maladie des Travailleurs Salariés en tant que gestionnaire du SNIIRAM participe à la réalisation de cette étude, les parties ont convenu d établir la présente convention afin d assurer la protection des données transmises par la CNAMTS «au demandeur». ARTICLE 1er - OBJET DE LA CONVENTION La présente convention a pour objet de déterminer entre les parties les modalités de mise à disposition des données issues du Système National d Information Inter Régimes de l Assurance Maladie (SNIIRAM) dans le cadre de l étude «xxxxxxxxxxx» menée par «le demandeur». ARTICLE 2 - DOCUMENTS CONVENTIONNELS Les parties s engagent sur les documents suivants : La présente convention L annexe 1 : La fiche d exploitation L annexe 2 : La licence GNUPG L annexe 3 : L approbation de l IDS L annexe 4 : L autorisation de la CNIL Convention de cession de données v 1.0 - Modèle de convention version juin 2015 Page 5

L annexe 5 : La liste des personnes habilitées à utiliser les données du SNIIRAM transmises par la CNAMTS dans le cadre de l étude «xxxxxxxxxx» menée par «le demandeur». Les annexes font partie intégrante de la présente convention. ARTICLE 3 -CONDITIONS FINANCIERES L utilisation des données du SNIIRAM dans le cadre de l étude «xxxxxxxxxx» menée par «le demandeur» est faite à titre gracieux. ARTICLE 4- MODALITÉS DE MISE EN ŒUVRE DE LA COLLABORATION 4.1 Recueil et transmission des données : «Le demandeur» utilise les informations du SNIIRAM, définies dans sa demande pour laquelle l IDS a donné son approbation (annexe 3), et qui sont conformes à l arrêté mentionné à l article L 161.28.1 du CSS. 4.2 Type de données transmises : Les données à transmettre par la CNAMTS sont précisées dans la liste figurant en annexe 1, après autorisation de la CNIL (annexe 4). 4.3 Personnel habilité : Seules les personnes nommément désignées et mentionnées à l annexe 5 sont autorisées à utiliser les données du SNIIRAM transmises par la CNAMTS dans le cadre de l étude «xxxxxxxxxxxx» menée par «le demandeur». Parmi ces personnes, le référent de l étude doit être nommément identifié (annexe 5). ARTICLE 5 -CONFIDENTIALITE DES DONNEES Les données du SNIIRAM qu utilise «le demandeur» sont des données confidentielles. Elles ne doivent pas être divulguées ou retransmises à des personnes physiques ou morales non autorisées ou habilitées. Les informations contenues dans les échanges de données ne pourront être utilisées à d autres fins que celles prévues par les parties au titre de leurs relations contractuelles, et dans le respect des textes législatifs et réglementaires relatifs notamment à la mise en place du SNIIRAM, à la protection des données à caractère personnel et au secret professionnel tel que défini par les articles 226-13 et 226-14 du code pénal. Convention de cession de données v 1.0 - Modèle de convention version juin 2015 Page 6

Ces règles de confidentialité s appliquent notamment : - A tout le personnel intervenant dans les travaux de collaboration, au personnel de la CNAMTS et au personnel habilité «du demandeur» (annexe 5); - A l organisation des locaux qui doit permettre le respect de ces règles. - Aux publications. «Le demandeur» s engage à informer l IDS dans le plus bref délai du départ d un salarié autorisé à utiliser les données du SNIIRAM. Si, pour l exécution de la présente convention, «le demandeur» a recours à des prestataires de service, ceux-ci doivent présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité. Chaque prestataire s engage à faire respecter les règles de sécurité et de confidentialité des données à toute personne susceptible d intervenir sur les travaux de collaboration. Dans tous les cas et du fait de la responsabilité engagée par l autorité d habilitation, les contrats de sous-traitance, ou à minima les paragraphes relatifs à la sécurité et à la confidentialité, lui seront transmis. Le contrat de sous-traitance doit comporter l indication des obligations incombant au soustraitant en matière de protection de la sécurité et de la confidentialité des données. A défaut un engagement spécifique doit être signé avec lesdits prestataires mettant à la charge de ces derniers les contraintes en question. ARTICLE 6 - SECURITE DES ECHANGES, MODALITES ET PREUVE DE LA TRANSMISSION ET DE LA RECEPTION DES DONNEES, RECETTE FONCTIONNELLE 6.1 Sécurité des échanges Afin d assurer la sécurité de l ensemble des transmissions de données, les données échangées entre les parties seront sécurisées par la CNAMTS au moyen du logiciel GnuPG. Le logiciel GnuPG est une version libre de l applicatif GPG mettant en œuvre un mécanisme decryptographie afin de chiffrer les fichiers échangés entre les parties. «Le demandeur» enverra sa clé publique à la CNAMTS préalablement par courriel, via des adresses nominatives, correspondant au référent projet du «demandeur» et au correspondant projet de la CNAMTS. Les parties reconnaissent que l utilisation de la version libre du logiciel GnuPG est soumise au respect des termes de la licence créée par l auteur de l outil et dont le contenu figure à l annexe 2 de la présente convention. Les parties s engagent à respecter les termes de cette licence libre. Convention de cession de données v 1.0 - Modèle de convention version juin 2015 Page 7

6.2 Modalité de la transmission des données Procédure standard Les données cryptées sont transmises, via la plate-forme sécurisée PETRA de la CNAMTS, par envoi d'un lien sécurisé (https) et temporaire, à l'adresse mèl du seul référent de l'étude. Ce lien permet le téléchargement des données après communication du mot de passe au seul référent projet de l'étude, par le correspondant projet de la CNAMTS. Procédure de remplacement En cas d'impossibilité de transmission via la plate-forme de transfert, la fourniture des données citées dans l article 4 de la présente convention est effectuée par la remise d un support de stockage en main propre, contre décharge, au seul référent de l étude visé à l article 4 ou par le biais d un envoi par lettre recommandée avec accusé de réception au seul référent de l étude, tel que visé au paragraphe ci-après. Mode opératoire pour la remise des données : Les données individuelles avec l anonymat spécifique à l étude seront transmises au référent de l étude, par le correspondant projet de la CNAMTS au moyen d un support de stockage. Les données seront compressées avec accès par un mot de passe. La procédure est la suivante : 1) Une personne physique «du demandeur» aura été préalablement identifiée comme le référent de l étude (cf. article 4) ; 2) Le support de stockage est envoyé par voie postale avec accusé de réception au référent de l étude. Un bordereau d envoi est joint à ce courrier ; celui-ci précise nominativement le référent de l étude qui doit contacter la CNAMTS afin de connaître le mot de passe ; 3) Le référent de l étude contacte le correspondant projet de la CNAMTS qui lui communique le mot de passe ; 4) Le référent de l étude, et lui seul, déverrouille le support de stockage et procède au décryptage des données. 6.3 Preuve de la réception des données Procédure standard Un courriel est envoyé automatiquement au correspondant projet de la CNAMTS, par la plateforme PETRA, lui notifiant que le référent de l'étude a téléchargé les données mises à disposition. Le référent de l'étude doit vérifier qu'il est en mesure de lire les données téléchargées et que celles-ci correspondent bien à celles décrites dans le présent contrat. Convention de cession de données v 1.0 - Modèle de convention version juin 2015 Page 8

La CNAMTS s'engage à transmettre à nouveau les données, à partir de la plateforme PETRA selon la procédure standard décrite, si le référent de l'étude n'a pas reçu les données convenues, ou s'il n'est pas en mesure de lire le contenu des fichiers téléchargés. Procédure de remplacement Le référent de l étude s engage à envoyer par lettre recommandée avec accusé de réception au correspondant projet de la CNAMTS un accusé de réception et d acceptation dans les 7 jours au maximum à compter de la date de la décharge. L accusé de réception et d acceptation du référent de l étude signifie que : Le référent de l étude a reçu effectivement le support de stockage de la part du correspondant projet de la CNAMTS ; Le référent de l étude est en mesure de lire les données figurant sur le support de stockage ; Le référent de l étude a vérifié que les données figurant sur le support de stockage correspondent à celles décrites dans le présent contrat. La CNAMTS s engage à transmettre de nouveau les données sur support de stockage selon la procédure décrite si le référent de l étude n a pas reçu les données convenues ou s il n est pas en mesure de lire le contenu du support de stockage remis. 6.4 Recette fonctionnelle Le référent de l étude doit vérifier la qualité des données transmises par la CNAMTS dans un délai de 3 mois à compter de la date de la réception et d acceptation de ces données. Pendant ce délai de 3 mois, la CNAMTS s engage à transmettre des données corrigées et/ou complémentaires selon les modalités de livraison prévues aux articles 6.1 à 6.3. Aucune livraison corrective ou complémentaire ne pourra être effectuée au-delà de ce délai. ARTICLE 7 - TRAITEMENT DES DONNEES A CARACTERE PERSONNEL Dans le cadre de la mise en œuvre de l étude «xxxxxxxxxx», les parties s engagent à respecter les obligations imposées par la législation sur la protection des données à caractère personnel, notamment celles relatives à l informatique, aux fichiers et aux libertés. Il est entendu que les transmissions de données sur support de stockage ne contiendront que des données anonymes du bénéficiaire, chacun de ces bénéficiaires étant identifié par un numéro d étude unique et spécifique à l étude. Ces données seront sécurisées au moyen de l outil GnuPG. Convention de cession de données v 1.0 - Modèle de convention version juin 2015 Page 9

8.1 Les données ARTICLE 8- PROPRIÉTÉ DES DONNÉES - DES RÉSULTATS Les données sont précisées dans l annexe 1. La CNAMTS est titulaire des droits de propriété intellectuelle sur la base de données du SNIIRAM en application des dispositions du code de Propriété Intellectuelle et reste propriétaire des données extraites de ladite base. 8.2 Les résultats «Le demandeur» pourra publier et communiquer les résultats de leurs travaux (statistiques, analyses, études réalisées à des fins de gestion du risque maladie ou de santé publique) obtenus à partir des données du SNIIRAM, pendant la durée d utilisation prévue à l article 9, et ce conformément à la charte de déontologie de l IDS. Par publication et communication il faut entendre au sens du présent contrat : le droit pour «le demandeur» de reproduire, représenter et publier les résultats de ses travaux sous toutes formes et notamment par publications, journaux, imprimés, dépliants, communications sur tous supports dans des congrès et symposiums qu il organise ou auquel il participe, ou encore par voies électroniques (Internet, Intranet, CD-Rom, DVD), les supports de publication pouvant être soit distribués gracieusement, soit le cas échéant faire l objet de ventes, prêts ou locations. Toute publication devra faire référence au SNIIRAM et à la CNAMTS, dépositaire et gestionnaire des données du SNIIRAM à partir desquelles la publication sera faite. Au cas par cas, l IDS, dans le cadre de son approbation, peut demander «au demandeur» de présenter ses résultats avant publication, conformément à la charte de déontologie de l Institut qu il a signée. «Le demandeur» est le seul propriétaire des résultats issus de l étude. ARTICLE 9- DURÉE ET RENOUVELLEMENT La présente convention prend effet à compter de la date de mise à disposition des données et pour une durée de x ans, (le cas échéant) telle qu indiqué dans l autorisation de la CNIL n xxx. A l issue de cette période, elle pourra éventuellement être renouvelée, pour une période limitée, sur demande justifiée «du demandeur» après approbation de l IDS et autorisation de la CNIL. Elle pourra faire l objet d actualisations après accord des parties sur les termes et conditions de celle-ci par avenant. La présente convention pourra être dénoncée par l une ou l autre des parties sous réserve d un préavis de deux mois sous forme de lettre recommandée avec accusé de réception, le point de Convention de cession de données v 1.0 - Modèle de convention version juin 2015 Page 10

départ du préavis courant à partir de la date de l accusé de réception. Une copie de ce courrier devra être adressée au Directeur de l IDS pour information. La convention cesse de produire ses effets à la date de l accusé de réception. ARTICLE 10 -DESTRUCTION DES DONNEES «Le demandeur» s engage à détruire les données transmises par la CNAMTS à l issue de la durée autorisée par la CNIL dans le cadre de la notification d autorisation n xxxx pour cette étude. Dans l hypothèse où la durée n est pas précisée, les données devront être détruites par «le demandeur» dans un délai d un an à compter de la fin de la convention. Le cocontractant devra en informer la CNAMTS par lettre recommandée avec accusé de réception. La CNAMTS se réserve le droit de contrôler par tous les moyens que les données ont bien été détruites. ARTICLE 11 - FORMALITÉS CNIL S agissant de données à caractère personnel, les parties s engagent à respecter l ensemble des dispositions législatives et réglementaires inhérentes à la loi Informatique et Libertés conformément à la notification d autorisation n xxxxxxx. ARTICLE 12 - FORCE MAJEURE Aucune des parties ne pourra engager la responsabilité de l autre si l exécution du contrat est retardée ou empêchée en raison d un cas de force majeure, d un cas fortuit ou d une cause extérieure, tels que, notamment : catastrophe naturelle, grèves, conflits sociaux, mauvais fonctionnement ou interruption du réseau électrique ou de télécommunication. 13.1 Modifications du contrat ARTICLE 13 - DISPOSITIONS GENERALES Toute modification de la présente convention ou de ses annexes ne pourra être prise en compte qu après la signature d un avenant écrit et signé par le représentant, dûment qualifié, de chacune des parties. 13.2 Renonciation Sauf dispositions contraires spécifiées dans cette convention, le fait que l une des parties n ait pas exigé l application d une clause quelconque de la présente convention ne pourra en aucun cas être considéré comme une renonciation aux droits de cette partie découlant de ladite clause. 13.3 Résiliation Convention de cession de données v 1.0 - Modèle de convention version juin 2015 Page 11

En cas d'inexécution totale ou partielle ou de mauvaise exécution par l'une des Parties de l'une de ses obligations, la présente convention pourra, de plein droit, être résiliée par la Partie la plus diligente. La résiliation ne pourra cependant intervenir que trente (30) jours après l'envoi d'une mise en demeure adressée, par la Partie la plus diligente, par courrier en recommandé avec accusé de réception ou par acte d'huissier à la partie défaillante, à moins que, dans ce délai, la Partie défaillante: - n'ait satisfait à ses obligations - n'ait apporté la preuve d'un empêchement consécutif à un cas de force majeur, ou, - n'ait proposé une solution de remplacement la plus proche possible de l'objectif recherché. Cette solution devra être expressément acceptée par l'autre Partie. L'exercice de cette faculté de résiliation ne dispense pas la Partie concernée de remplir les obligations contractées en vertu des présentes jusqu'à la date de prise en effet de la résiliation. 13.4 Règlement des litiges Pour toute contestation qui s'élèverait entre les Parties, relativement à l'interprétation ou à l'exécution de la présente convention, celles-ci s'engagent à soumettre leur différend, préalablement à toute instance judiciaire, à des conciliateurs désignés par chacune d'elles, à moins qu'elles ne s entendent sur la désignation d'un conciliateur unique. La désignation devra intervenir dans un délai de 30 jours à compter de la notification de la contestation à l'autre Partie. Le ou les conciliateurs s'efforceront de régler leurs difficultés et de faire accepter par les Parties une solution amiable dans un délai de soixante (60) jours à compter de la date de désignation du ou des conciliateurs. A défaut de conciliation, la contestation sera portée devant le tribunal administratif compétent. Fait à Paris, en deux exemplaires originaux, le «Le représentant du demandeur» Le Directeur Général de la CNAMTS «Nom du représentant» Monsieur Nicolas Revel Convention de cession de données v 1.0 - Modèle de convention version juin 2015 Page 12

ANNEXES Annexe 1. La fiche d exploitation pour l étude «xxxxx» menée par «le demandeur» Convention de cession de données v 1.0 - Modèle de convention version juin 2015 Page 13

Annexe 2. La licence GnuPG Convention de cession de données v 1.0 - Modèle de convention version juin 2015 Page 14

Convention de cession de données v 1.0 - Modèle de convention version juin 2015 Page 15

Annexe 3. L approbation de l IDS dans le cadre de l étude «xxxxxxxxx» menée par le demandeur Convention de cession de données v 1.0 - Modèle de convention version juin 2015 Page 27

Annexe 4. L autorisation de la CNIL pour la réalisation de l étude «xxxxxxxxx» menée par «le demandeur» Convention de cession de données v 1.0 - Modèle de convention version juin 2015 Page 28

Annexe 5. La liste des personnes habilitées à utiliser les données du SNIIRAM transmises par la CNAMTS dans le cadre de l étude «xxxxxxx» menée par «le demandeur» Référent de l étude : Nom Prénom Fonction Convention de cession de données v 1.0 - Modèle de convention version juin 2015 Page 29