Décision DR-2024-228 du 23 septembre 2024 autorisant la société CLINITYX et les CENTRES HOSPITALIERS UNIVERSITAIRES DE POITIERS et de BORDEAUX à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la chirurgie cardiaque sous circulation extra-corporelle et l’identification des facteurs pré-opératoires prédictifs de mortalité́ à moyen-terme, nécessitant un accès à certaines données du Système national des données de santé (SNDS) contenues dans l’entrepôt de données de santé Magellan. (Demande d’autorisation n° 924193)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Responsables de traitement La société Clinityx et les Centres hospitaliers universitaires de Poitiers et Bordeaux déterminent conjointement les finalités et les moyens du traitement. Conformément à l'article 26 du Règlement général sur la protection des données (RGPD), elles doivent définir de manière transparente leurs obligations respectives. Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-008, à l'exception de la nature des données traitées. La CNIL relève également que la base légale n’est pas conforme aux dispositions de la méthodologie de référence, le traitement étant nécessaire à l’exécution d’une mission d’intérêt public, dont sont investis les centres hospitaliers universitaires, co-responsables de traitement En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante Les données réutilisées dans le cadre de cette étude proviendront exclusivement de l’entrepôt de données de santé dénommé "Magellan" autorisé par la CNIL (délibération n° 2022-009 du 27 janvier 2022). Utilisation de données issues du SNDS historique Les données traitées, décrites dans le dossier de demande, concerneront : la date de décès ; la ré-hospitalisation en service de cardiologie ou en chirurgie cardiaque ; la réintervention cardiologique (chirurgie cardiaque, cardiologie interventionnelle). Seule la société Clinityx traitera les données individuelles des personnes concernées dans le cadre de cette étude. L’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce, et notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code de la santé publique (CSP). Information et droits des personnes S’agissant des modalités d’information : Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par les responsables de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre par la société Clinityx afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d’information sera rendue publique sur le portail de transparence dédié à l’entrepôt "Magellan" (via l’outil Sémaphore ) mis en place par la société Clinityx, ainsi que sur le site web des centres hospitaliers universitaires de Poitiers et de Bordeaux. Elle devra comporter l’ensemble des mentions prévues par l’article 14 du RGPD. S’agissant des modalités d’exercice des droits : Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données de la société Clinityx. Mesures de sécurité L’infrastructure technique de la société Clinityx utilisée pour l’hébergement de systèmes fils du SNDS (notamment l’entrepôt "Magellan") a été analysée par la CNIL à diverses reprises, notamment dans le cadre de précédentes demandes d’autorisation. Une homologation de la bulle sécurisée a été réalisée par l’autorité d’homologation le 31 janvier 2023, conformément à l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS. Cette décision d’homologation n’est valable que jusqu’au 31 décembre 2024. Conformément aux dispositions de l’arrêté du 6 mai 2024, relatif au référentiel de sécurité applicable au SNDS et notamment son article 3, il appartiendra à la société Clinityx de s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement. Des mesures techniques et organisationnelles ont été prévues par la société Clinityx afin de cloisonner les différentes extractions de données du SNDS pouvant être stockées au sein de sa solution technique. Des environnements distincts, fondés sur des solutions de conteneurisation logicielle, sont notamment mis en œuvre afin d’empêcher toute fusion des données. L’outil de requêtage, les données manipulées par cet outil, ainsi que les espaces projet contenant les données servant à la production des indicateurs seront cloisonnés entre eux grâce à l’utilisation de ces solutions. L’accès à l’outil de requêtage et aux espaces projet de la présente étude ne sera possible que pour des personnes spécifiquement habilitées faisant partie du personnel de la société Clinityx, à l’exclusion de toute autre personne extérieure. Des mesures techniques et organisationnelles devront être mises en œuvre dans la solution technique afin de différencier les personnels pouvant accéder à la base de données de l’entrepôt "Magellan" contenant l’extraction des données du SNDS sur lequel repose l’outil de requêtage et ceux ne pouvant accéder qu’aux données minimisées contenues dans les espaces projets. L’exportation de données hors de l’entrepôt "Magellan" et des espaces projet associés consistera exclusivement en des rapports statistiques comprenant des indicateurs anonymes ne permettant aucune ré-identification des personnes, et qui seront transmis exclusivement aux responsables de traitement suite aux requêtes réalisées via l’outil "Magellan". A cette fin, un seuil minimal de onze individus sera retenu pour chaque agrégation. Pour se prévaloir de l’anonymat d’un jeu de données, les responsables de traitement devront réaliser une analyse permettant de démontrer que leurs processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut de remplir parfaitement ces trois critères, les responsables de traitement doivent démontrer, via une évaluation approfondie, que le risque d’identification d'une personne à l'aide de moyens raisonnablement susceptibles d'être utilisés, par eux-mêmes ou par toute autre personne, est négligeable. Les mesures de sécurité décrites répondent aux exigences prévues par les articles 5-1-f et 32 du RGPD, compte tenu des risques identifiés par les responsables de traitement. Il appartiendra à ces derniers de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Durées de conservation en base active et en archivage Base active : un an Archivage : deux ans. AUTORISE LA SOCIETE CLINITYX ET LES CENTRES HOSPITALIERS UNIVERSITAIRES DE POITIERS ET DE BORDEAUX à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-229 du 20 septembre 2024 autorisant l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE – ANRS – MALADIES INFECTIEUSES ÉMERGENTES à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation de l’efficacité d'un programme pilote d'activité physique sur les limitations fonctionnelles et le handicap associés au virus de l’immunodéficience humaine chez les patients âgés de cinquante ans et plus en Côte d'Ivoire, intitulée « VIRAGE+ ». (Demande d’autorisation n° 924235)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité national d’éthique des sciences de la vie et de la santé du Ministère de la santé, de l’hygiène publique et de la couverture maladie universelle de la République de Côte d’Ivoire du 12 juin 2024. Points de non-conformité à la méthodologie de référence concernée Les participants à la présente étude sont inclus en Côte d’Ivoire. Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception d’une part, de l’application des dispositions du code de la santé publique relatives aux recherches impliquant la personne humaine et des dispositions relatives au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal et, d’autre part, des destinataires des données directement identifiantes. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-001. Par ailleurs, il est pris acte de l’engagement du responsable de traitement de respecter les dispositions locales spécifiques, notamment celles applicables en matière de recherches dans le domaine de la santé et de secret professionnel. Catégories particulières de données traitées (autres que données de santé) S’agissant de la collecte des données nominatives et des coordonnées téléphoniques des participants : La collecte des données nominatives ainsi que des coordonnées téléphoniques est nécessaire pour assurer le suivi des patients qui en sont informés. S’agissant de la réalisation d’enregistrements vocaux : Des enregistrements vocaux d’un entretien entre un sociologue et les participants seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli. S’agissant de la collecte de données relatives à la vie sexuelle des participants : La collecte de données relatives à la vie sexuelle des participants a été scientifiquement justifiée dans le dossier de demande. Destinataires des données directement identifiantes Des enquêteurs et un sociologue intervenant sous la responsabilité du responsable de traitement auront accès aux données nominatives ainsi qu’aux coordonnées téléphoniques des participants aux fins d’assurer leur suivi. Les participants en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Une documentation tenue à jour indique la ou les personnes compétentes pour le responsable de traitement et ses sous-traitants pour délivrer l’habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations. Ces catégories de personnes sont soumises au secret professionnel. La qualification des personnes habilitées et leurs droits d’accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement et ses sous-traitants. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). Transferts hors Union européenne Prenant en considération l'arrêt C-311/18 rendu par la Cour de justice de l’Union européenne le 16 juillet 2020, la CNIL rappelle que tout transfert de données en dehors de l’Union européenne doit être réalisé selon les conditions prévues au Chapitre V du RGPD. S’agissant du transfert de données pseudonymisées vers les Etats-Unis : Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les modifications apportées par les États-Unis à leur législation nationale permettent d’assurer un niveau de protection adéquat des données à caractère personnel vers les organisations situées aux États-Unis lorsqu’ils font la démarche de respecter ce nouveau " cadre de protection des données " (" data privacy framework ", ci-après " DPF "). Dans cette hypothèse, un système d’auto-certification des entités étatsuniennes important les données est mis en place. Elles doivent ainsi : figurer sur la liste publiée par le ministère américain du commerce ; mettre à jour de manière effective leur politique de confidentialité ou toute documentation relative à la protection des données à caractère personnel, notamment avec les références nécessaires au DPF. A défaut de satisfaire ces exigences, le responsable de traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers les Etats-Unis que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de recours effectives. En l’espèce, l’organisme vers lequel les données pseudonymisées des participants à l’étude seront transférées ne figure pas sur liste publiée par le ministère américain du commerce. Les exigences du DPF n’étant pas satisfaites, le responsable de traitement envisage d’encadrer le transfert de données aux Etats-Unis par la conclusion de clauses contractuelles types telles que prévues par la décision 2021/914 de la Commission européenne du 4 juin 2021. Il devra, par ailleurs, évaluer pendant toute la durée de l’étude si le niveau de protection requis par le droit de l’Union européenne est respecté par les Etats-Unis afin que les garanties fournies par les clauses contractuelles types puissent être respectées. A cet égard, il pourra notamment s’appuyer sur l’analyse réalisée par la Commission européenne dans sa décision d’adéquation entrée en vigueur le 10 juillet 2023, ainsi que les examens périodiques prévus dans cette décision. S’agissant du transfert de données pseudonymisées en Côte d’Ivoire : Le responsable de traitement envisage d’encadrer ce transfert de données par la conclusion de clauses contractuelles type telles que prévues par la décision 2021/914 de la Commission du 4 juin 2021. La CNIL attire l’attention du responsable de traitement sur le fait qu'il lui incombe d'évaluer si le niveau de protection requis par le droit de l'UE est respecté en Côte d’Ivoire afin que les garanties fournies par les clauses contractuelles types puissent être respectées. Le cas échéant, ces clauses contractuelles ne pourront constituer des garanties appropriées au sens du chapitre V du RGPD qu’à la condition d’avoir été complétées par des mesures supplémentaires afin de garantir un niveau de protection essentiellement équivalent à celui prévu dans l'Espace économique européen. Le responsable de traitement est également tenu de s'assurer que la législation du pays tiers n'empiétera pas sur ces mesures supplémentaires de manière à les priver d'effectivité. Durées de conservation en base active et en archivage Les enregistrements audios seront conservés le temps de leur retranscription, pour une durée maximale d’un an, puis seront détruits. Les données nominatives ainsi que les coordonnées téléphoniques collectées par le sociologue et les enquêteurs seront détruites à l’issue des entretiens. Autres données : Base active : un an Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. AUTORISE l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE– ANRS – MALADIES INFECTIEUSES ÉMERGENTES à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-237 du 4 octobre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE CAEN à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’influence de la défavorisation socio-économique sur la mortalité des patients atteints de sclérose en plaques, intitulée « ECOVIMUS II ». (Demande d’autorisation n° 918448v2)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés au directeur de l’accompagnement juridique et au directeur adjoint de l’accompagnement juridique ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024. Modifications substantielles du traitement de données Les modifications envisagées portent sur : la finalité du traitement (ajout d’un objectif complémentaire) ; la collecte de nouvelles données et l’ajout de nouvelles sources de données ; l’ajout de nouveaux destinataires de données ; la prolongation de la durée de conservation des données. Catégories particulières de données traitées (autres que données de santé) Les données cliniques collectées dans le cadre de l’étude seront appariées avec les données publiques de mortalité disponibles sur le site internet de l’Institut national de la statistique et des études économiques (fichier des personnes décédées). Cet appariement sera réalisé par le centre coordinateur de l’étude à partir des données nominatives, de la date de naissance et de la commune de naissance des participants. La collecte des coordonnées postales est nécessaire pour calculer des variables socio-économiques, notamment l’indice écologique de défavorisation (EDI). Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Les personnes concernées devront être informées des modifications apportées au traitement selon les modalités prévues dans les autorisations précédentes. Durées de conservation Les données administratives d’identification (nom, prénom, date de naissance, commune de naissance) seront détruites à la fin du suivi des participants. Les adresses complètes des personnes concernées seront détruites après le calcul des variables socio-économiques. Autres données : Base active : six ans Archivage : dix ans. Observations complémentaires Le dossier de demande mentionne, d’une part, que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes et d’autre part que le responsable de traitement souhaite déroger à l’information individuelle des personnes concernées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE CAEN à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DR-2024-240 du 4 octobre 2024 autorisant la société ANGELINI PHARMA FRANCE à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur le parcours de soins et les coûts associés des patients atteints épileptiques en France, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2015 à 2023, intitulée « MAESTRO ». (Demande d’autorisation n° 923072v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024. Modification substantielle du traitement de données La modification envisagée porte sur la profondeur historique des données du SNDS dont le traitement est envisagé. Le traitement porte désormais sur les années 2015 à 2023. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE la société ANGELINI PHARMA FRANCE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DT-2024-021 du 30 septembre 2024 autorisant LES HOPITAUX UNIVERSITAIRES DE STRASBOURG à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé. (Demande d’autorisation n° 2227572).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception : des finalités poursuivies (enseignement) ; des modalités d’information des personnes concernées ; de certaines mesures de sécurité. Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé ayant pour finalités : la réalisation de recherches, études ou évaluations dans le domaine de la santé ; la réalisation de recherche interne ; la réalisation d’études de faisabilité ; la réalisation d’études médico-économiques ; l’enseignement (constitution de cas clinique et de simulations) ; la réalisation de modèles prédictifs pour l’intervention pharmaceutique (utilisation d’un algorithme permettant de mieux cibler les prescriptions devant faire l’objet d’une validation ciblée par un pharmacien) et de modèles prédictifs pour la veille sanitaire. Les finalités du traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 5-1-b) du RGPD. Sur les données traitées Les données à caractère personnel des patients sont issues de différentes bases des applications métiers du système d’information de l’établissement. Sur les données traitées à des fins d’enseignement : Seules des données pseudonymisées seront traitées à des fins d’enseignement. Conformément au référentiel, le NIR des patients sera, d’une part, conservé chiffré et, d’autre part, pseudonymisé de façon irréversible pour alimenter l’entrepôt. La profondeur historique des données intégrées dans l’entrepôt ne pourra excéder 20 ans. Sur l’information des personnes S’agissant des patients ayant effectués un séjour d’hospitalisation complète aux HUS dans le secteur médecine, chirurgie et obstétrique, finalisé dans les douze mois qui précèdent la date de début de mise en production de l’entrepôt et n’étant plus suivis : la note d’information sera envoyée sur la messagerie sécurisée de santé disponible sur l’espace numérique de santé "mon espace santé" ; pour les personnes ne disposant pas d’une telle messagerie ou ne relevant pas le message dans les 15 jours suivant l’envoi, un courriel leur sera envoyé comportant un lien vers la notice d’information. Ce lien sera sécurisé par l’envoi d’un code via SMS nécessaire à l’ouverture du message ; à défaut, une note d’information individuelle comportant l’ensemble des mentions prévues par le RGPD sera adressée aux patients par voie postale. S’agissant des autres participants pris en charge antérieurement à la constitution de l’entrepôt et n’étant plus suivis : En application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des patients pris en charge antérieurement à la constitution de l’entrepôt et n’étant plus suivis. Des mesures appropriées seront mises en œuvre, notamment : la publication de communiqués de presse via les médias régionaux, associations de patients, acteurs institutionnels (Caisse primaire d’assurance maladie du Bas Rhin, région Grand-Est, Eurométropole de Strasbourg, communauté européenne d’Alsace (hors conseil départemental de la Moselle) ; la diffusion d’une note d’information sur le site web du responsable de traitement ; la diffusion d’une note d’information par voie d’affichage au sein de l’établissement. Un portail de transparence sera mis en place par le responsable de traitement : il comportera une note d’information relative à la constitution de l’entrepôt ; il devra comporter une note d’information spécifique à chaque traitement mis en œuvre à partir des données de l’entrepôt, publiée préalablement à sa mise en œuvre. S’agissant des patients toujours suivis et des patients pris en charge postérieurement à la constitution de l’entrepôt : Une note d’information individuelle, comportant l’ensemble des mentions prévues par le RGPD sera remise aux patients et le cas échéant, à leurs représentants légaux, au moment de leur prise en charge (hospitalisation ou consultation). Une note d’information sera diffusée sur la chaine de télévision de l’établissement et via des écrans installés dans les salles d’attente. S’agissant des professionnels de santé dont les données ont été collectées antérieurement à la constitution de l’entrepôt : Les professionnels dont les données sont versées dans l’entrepôt recevront un courriel sur leur messagerie professionnelle, comportant une note d’information individuelle. S’agissant des professionnels de santé dont les données ont été collectées postérieurement à la constitution de l’entrepôt : Les professionnels dont les données sont versées dans l’entrepôt recevront, lors des procédures de recrutement, une note d’information individuelle. Ces notes seront également publiées sur l’intranet de l’établissement. S’agissant des utilisateurs de l’entrepôt : Une information détaillée devra être annexée au contrat conclu avec les responsables de traitement. Une information renvoyant vers une notice complète devra également être fournie avec le formulaire de demande d’accès. Les notes d’information devront comporter l’ensemble des mentions prévues par le RGPD. Sur la sécurité des données et la traçabilité des actions Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt. Les mesures de sécurité prévues par le responsable de traitement visent à garantir la conformité de l’entrepôt aux exigences de sécurité mentionnées dans le référentiel entrepôts de données dans le domaine de la santé" Les points de non-conformité vis-à-vis de ce référentiel relevés par le responsable de traitement sont les suivants : la présence de documents non-structurés contenant des données directement identifiantes ; le chiffrement des données génétiques ; l’exportation de données hors de l'entrepôt et hors des espaces de travail dont les modalités sont décrites ci-après. Conformément à l’exigence SEC-PSE-4 du référentiel "entrepôt de données dans le domaine de la santé", les documents non structurés ajoutés à l’entrepôt doivent faire l’objet d’une étape de suppression ou de masquage avant leur intégration dans l’entrepôt. Cette étape consiste à supprimer les données identifiantes des patients et des professionnels de santé ou à les remplacer par des termes génériques ou des données fictives. Les documents originaux devront être supprimés après la réalisation de cette étape. Les données génétiques collectées au sein de l’entrepôt seront des informations relatives à la caractérisation de la mutation du gène lié à la maladie, recueillies dans le cadre de la prise en charge. Ces informations ne présentant pas de sensibilité supplémentaire comparée aux autres données versées dans l’entrepôt, un cloisonnement spécifique n’est pas nécessaire. L’exigence SEC-EXP-1 du référentiel "entrepôts de données de santé" prévoit que seuls des jeux de données anonymes peuvent faire l'objet d'une exportation hors de l'entrepôt ou d'un espace de travail, à l’exception : des données relatives aux procédures de réidentification SEC-REI-1 à SEC-REI-3 qui permettent d’assurer respectivement l’exercice des droits, la participation à des recherches et l’urgence médicale ; des données relatives aux procédures de réidentification dans le cadre de l’enseignement ; à ce titre, le responsable de traitement doit mettre en place une procédure opérationnelle sécurisée afin de sélectionner les identifiants pseudonymes uniques correspondants aux patients d’intérêt pour l’enseignement, puis, en mobilisant la ou les tables de correspondance de l’entrepôt avec ces seuls pseudonymes, de sélectionner les données identifiantes correspondant à ces patients afin de les exporter pour cette seule finalité. Dans l’hypothèse où l’exportation de données hors de l’entrepôt ou d’un espace de travail de l’entrepôt serait envisagée dans le cadre d’un projet de recherche, d’étude ou d’évaluation dans le domaine de la santé, la nécessité de cette exportation de données pseudonymisées devra être étudiée par le comité de pilotage de l’entrepôt, qui devra donner son accord exprès et spécifique à cette fin. Le comité scientifique et éthique s’assure ensuite pour chaque projet de recherche que celui-ci ne pourra pas être réalisé sur un espace projet de l’entrepôt et que les principes de minimisation et de proportionnalité seront respectés quant aux données qui font l’objet de l’exportation. Il appartient également au responsable de traitement d’encadrer contractuellement toute mise à disposition de données afin de s’assurer que l’exportation est entreprise vers un environnement dont les mesures de sécurité sont adaptées au niveau de risque et permettra uniquement la réutilisation des données aux fins approuvées par le comité scientifique et éthique et pour le traitement ayant fait l’objet des formalités requises auprès de la CNIL. La CNIL rappelle que le plan d’actions communiqué dans le dossier de demande devra être mis en œuvre avant que l’accès à l’entrepôt ne soit ouvert à des partenaires extérieurs. Les mesures de sécurité doivent répondre aux exigences prévues par les articles 5,1, f) et 32 du règlement général sur la protection des données compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. AUTORISE, dans ces conditions, LES HOPITAUX UNIVERSITAIRES DE STRASBOURG à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DT-2024-020 du 13 septembre 2024 autorisant la société GERS SAS à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé " THIN ". (Demande d’autorisation n° 2234363)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé déjà mis en œuvre ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement a pour finalité la constitution d’un entrepôt de données à caractère personnel, dénommé THIN , qui met à disposition des données de vie réelle de suivi des patients, collectées chez les médecins libéraux de ville, à des fins de recherche et d’études non interventionnelle portant notamment sur : l’analyse de l’usage du traitement, des indicateurs d’observance et de persistance, de la prise en charge et des schémas thérapeutiques, des changements de traitements et des parcours des patients ; la réduction de l’errance de diagnostic par analyse prédictive de survenue des maladies ; l’évaluation de la bonne utilisation des médicaments (interactions médicamenteuses, effets secondaires, posologies prescrites respectant les recommandations de la Haute autorité de santé, etc. ) ; l’évaluation de la consommation de soins et de coûts de prise en charge des patients à des fins d’études médico-économiques ; les calculs de prévalence, d’incidence et évaluant le fardeau de la pathologie ; le suivi des campagnes de vaccination et de dépistage au cabinet médical ; le suivi de crises épidémiques. La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du RGPD. Les données contenues dans cet entrepôt ne devront pas être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. Le traitement mis en œuvre par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi informatique et libertés modifiée. Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé , à l’exception de la base légale du traitement et de la nature des données traitées. La CNIL relève néanmoins que certaines mesures de sécurité ne sont pas conformes au référentiel. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel. Sur les sous-traitants Plusieurs sous-traitants interviennent dans la mise en œuvre de cet entrepôt. Le traitement des données par chacun de ces sous-traitants doit être régi par un contrat ou un acte juridique, conformément à l’article 28 du RGPD. Sur la gouvernance de l’entrepôt Le responsable de traitement a mis en place un dispositif de gouvernance de l’entrepôt afin de maîtriser l’exploitation qui en est faite dans le respect des finalités déclarées et de l’intérêt public. Le dossier de demande mentionne que cette gouvernance est conforme au référentiel entrepôt de données de santé . Sur les données traitées et leur profondeur historique Les différentes données conservées dans l’entrepôt sont listées dans le dossier de demande. Les données relatives à l’historique des remboursements de santé effectués par l’assurance maladie ne seront pas conservées au sein de l’entrepôt. S’agissant des données relatives aux patients : Sous réserve de l’exercice du droit d’opposition des patients suivis par un médecin partenaire, les données suivantes seront conservées au sein de l’entrepôt : données administratives : code patient pseudonymisé non signifiant ; année de naissance et sexe du patient ; le cas échéant, mois et année de décès ; nombre de mois au moment de l’évènement médical pour les patients de trois ans et moins ; nombre d’enfants si le patient est une femme âgée de 18 ans ou plus ; visites (date et type) ; diagnostics/pathologies (antécédents médicaux et date, type de diagnostic et date, facteurs de risque, allergies, effets secondaires, échelles et scores de sévérité des maladies, affection de longue durée) ; traitement (produit prescrit et délivré, date de prescription, diagnostic associé, posologie prescrite, risque associé à la délivrance…) ; examens (date, mesure biologique, résultat…) ; actes médicaux (prescription d’examens complémentaires, acte médical, date de l’acte…) ; arrêts de travail (date, durée…) ; hospitalisation (date, durée, label…) ; autres données (prescription de vaccins, adressage aux spécialistes, prescriptions de soins paramédicaux, transports médicaux). S’agissant des patients dont la dernière consultation est antérieure à 2018 : Eu égard à l’ancienneté de la date de la dernière consultation, le dossier de demande mentionne que leurs données ne seront pas conservées au sein de l’entrepôt. S’agissant des patients dont la ou les dernières consultations ont eu lieu entre 2018 et la présente autorisation : Le dossier de demande distingue plusieurs hypothèses. Premièrement, les patients ayant eu une seule consultation avec un médecin cardiologue, dermatologue, gastro-entérologue, neurologue ou pneumologue dont le contrat de partenariat relatif à l’alimentation de l’entrepôt THIN a pris fin : le suivi de ces patients étant impossible suite à la rupture du contrat avec le médecin et les consultations uniques pour ces spécialités étant fréquentes, leurs données seront conservées pendant une durée de trois mois à compter de la présente autorisation aux seules fins de calcul d’indicateurs agrégés anonymes puis supprimées. Elles seront marquées avec un indicateur spécifique. Deuxièmement, les patients ayant eu une seule consultation avec un médecin généraliste, un endocrinologue, un gynécologue, un pédiatre, un psychiatre, un rhumatologue dont le contrat de partenariat relatif à l’alimentation de l’entrepôt THIN a pris fin : leurs données ne seront pas conservées dans l’entrepôt. Troisièmement, les patients ayant eu plusieurs consultations avec un médecin généraliste ou spécialiste dont le contrat de partenariat relatif à l’alimentation de l’entrepôt THIN a pris fin ou est toujours en cours : leurs données, correspondant à une profondeur historique maximale de dix ans à compter de la dernière consultation, seront conservées au sein de l’entrepôt afin de pouvoir assurer la qualité du suivi longitudinal des patients. Par ailleurs, certaines données collectées (date d’enregistrement du diagnostic, le libellé du diagnostic enregistré et les antécédents médicaux personnels) durant les cinq années précédant cette profondeur historique seront conservées pendant trois mois aux seules fins de calcul d’indicateurs clés liés au parcours diagnostic des patients puis supprimées. Elles seront marquées avec un indicateur spécifique. La conservation des indicateurs calculée à partir de ces données devra être scientifiquement justifiée et être autorisée par la CNIL. Les autres données ne seront pas conservées au sein de l’entrepôt. S’agissant des patients ayant une consultation à partir de septembre 2024 (en cours de suivi ou nouvellement inclus) : Dans la limite d’une profondeur historique de quinze ans à compter de la dernière consultation, leurs données pourront être conservées au sein de l’entrepôt. S’agissant des professionnels de santé : Seront conservés au sein de l’entrepôt : le code médecin pseudonymisé, la spécialité médicale, le département du lieu d’exercice, l’année de naissance, le sexe et l’année d’obtention du diplôme du médecin. Sur l’information des personnes La société GERS SAS, en sa qualité de responsable de traitement de l’entrepôt, doit assurer l’information des personnes dont les données sont traitées, conformément au RGPD et à l’article 69 de la loi informatique et libertés . Tous les documents d’information (individuelle ou collective) devront : comporter l’ensemble des mentions prévues par le RGPD ; préciser la profondeur historique des données traitées afin d’assurer la transparence du traitement vis-à-vis des personnes concernées. S’agissant des modalités d’information collective à destination de l’ensemble des personnes concernées par ce traitement : Le dossier de demande d’autorisation mentionne : d’une part, qu’une communication de grande ampleur sera déployée sur les réseaux sociaux, et via un communiqué de presse à l’échelle régionale et nationale et qui sera relayé auprès de deux cents médias et via les associations de patients ; d’autre part, que des notes d’information collective seront affichées dans le cabinet de chaque professionnel de santé partenaire, ainsi que sur le site web du responsable de traitement. S’agissant plus spécifiquement des modalités d’information des patients : Le dossier de demande mentionne : d’une part, que les médecins partenaires ont l’obligation contractuelle d’informer le patient de sa participation à l’entrepôt THIN et de leur transmettre la notice d’information mise à leur disposition via le logiciel ; d’autre part, que le responsable de traitement entend faire application de l’article 14,5,b) du RGPD afin de déroger au principe d’information individuelle pour les patients dont la dernière consultation est antérieure à la présente autorisation. La CNIL relève que l’information délivrée jusqu’alors aux patients était incomplète au regard des exigences de la loi informatique et libertés en vigueur et du RGPD. Il appartient à la société GERS SAS de remédier à l’absence de conformité des modalités d’information des patients dont les données ont été collectées selon les modalités suivantes. S’agissant des patients dont la ou les dernières consultations ont eu lieu entre 2018 et la présente autorisation : En application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés eu égard aux caractéristiques du traitement et notamment de sa finalité, à savoir la mise à disposition de données de vie réelle de suivi des patients collectées chez les médecins libéraux de ville, à des fins de recherches et d’études non interventionnelles. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il peut être fait exception au principe d'information individuelle des personnes et les mesures appropriées décrites dans le dossier de demande devront être mises en œuvre par le responsable de traitement. S’agissant des patients qui consulteront un professionnel de santé partenaire à compter la présente autorisation : Ils recevront une note d’information individuelle. En tant que responsable de traitement, la société GERS SAS devra transmettre aux professionnels de santé partenaires une note d’information à destination des patients, de leurs représentants légaux, conforme aux dispositions du RGPD, et s’assurer que cette information leur sera remise. Les professionnels de santé partenaires sont contractuellement chargés d’informer leurs patients du traitement de données les concernant. S’agissant des professionnels de santé partenaires : Une note d’information devra leur être transmise par la société Gers SAS. Sur les droits des personnes Les patients pourront exercer leurs droits directement auprès des professionnels de santé partenaires. Les professionnels de santé devront pouvoir exercer leurs droits conformément au RGPD. Sur les accédants et les destinataires des données Pourront accéder aux données, les personnels salariés de la société GERS SAS et les acteurs externes (universités ; centres et équipes de recherche hospitaliers ; instituts de recherche médicale…) et spécifiquement habilités, soumis au secret professionnel, dans les strictes limites de leur besoin d’en connaître, pour l’exercice de leurs missions s’inscrivant dans les finalités de l’entrepôt. Des documents tenus à jour indiquent la ou les personnes compétentes pour délivrer l'habilitation d’accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations. La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement. Ces accès seront réalisés dans des espaces projets hébergés auprès de l’entrepôt. Seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, peuvent faire l’objet d’une extraction. Pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement devra réaliser une analyse permettant de démontrer que leurs processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut de remplir parfaitement ces trois critères, le responsable de traitement doit démontrer, via une évaluation approfondie, que le risque d’identification d'une personne à l'aide de moyens raisonnablement susceptibles d'être utilisés, par lui-même ou par toute autre personne, est négligeable. Sur la sécurité des données et la traçabilité des actions La plupart des mesures de sécurité du traitement mises en œuvre sont conformes à celles prévues par le référentiel entrepôt de données dans le domaine de la santé . Un des points de non-conformité est la conservation du sexe et de l’année de naissance des patients dans la base de données principale de l’entrepôt. Cette absence de cloisonnement apparaît conforme eu égard aux caractéristiques du traitement. Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt, ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . Certaines des mesures nécessaires à la pleine couverture des risques de sécurité sont en cours de déploiement et d’amélioration dans le cadre d’un plan d’actions formalisé. Ce plan d’actions devra être complété afin d’intégrer l’amélioration des mesures liées au respect des finalités interdites, et en particulier : lors de la création du projet, l’obligation pour le responsable de projet de s’engager sur la non-poursuite des finalités interdites ; lors de l’extraction de données, l’obligation pour le data-analyste ou data-scientiste de s’engager à utiliser les données uniquement dans le cadre du projet ; un contrôle manuel supplémentaire afin de vérifier qu’aucun résultat n’est restitué au niveau d’un agrégat si celui-ci concerne moins de dix professionnels de santé. Le responsable de traitement devra mettre en œuvre l’ensemble des mesures décrites dans son plan d’actions dans les meilleurs délais et, au plus tard, à la fin du premier trimestre 2025. La CNIL, au vu de la sensibilité et du volume des données, estime nécessaire d’évaluer dans un délai d’un an à compter de l’autorisation la réalité des mesures de sécurité mises en œuvre par la société GERS SAS. Les mesures de sécurité, renforcées par ce plan d’actions, sont ainsi de nature à répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Le responsable de traitement doit procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Sur la conservation des données Les données faisant l’objet d’un marquage spécifique seront conservées pendant trois mois pour les seules finalités décrites dans la présente autorisation puis détruites. Dans l’hypothèse où la présente autorisation serait renouvelée : les données des patients ayant eu plusieurs consultations avec un médecin généraliste ou spécialiste entre 2018 et la date de la présente autorisation et dont le contrat a pris fin seront conservées dix ans ; les données des patients ayant eu plusieurs consultations avec un médecin généraliste ou spécialiste entre 2018 et la présente autorisation dont le contrat n’a pas pris fin seront conservées dix ans dans l’hypothèse où ils ne pourraient pas être informés individuellement, faute de nouvelle consultation chez ce médecin ; les autres données ne pourront être conservées que pour une durée maximale de quinze ans à compter de leur collecte auprès des professionnels de santé partenaires. Sur la réutilisation des données de l’entrepôt Les données conservées dans l’entrepôt sont susceptibles d’être utilisées à des fins de recherches, d’études ou d’évaluations dans le domaine de la santé. Ces traitements devront se conformer aux dispositions des articles 66 et 72 et suivants de la loi informatique et libertés , qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ils devront faire l’objet de formalités propres par leur(s) responsable(s) de traitement. Les personnes concernées devront être informées de chacun de ces traitements conformément au RGPD et à la loi informatique et libertés . Observations complémentaires Dans l’hypothèse où la société GERS SAS souhaiterait continuer à mettre en œuvre ce traitement à l’issue de la période d’un an, le dossier de renouvellement de demande d’autorisation devra notamment comporter : les modalités de réalisation du plan d’actions ; les modalités d’information déployées afin d’informer collectivement et individuellement l’ensemble des personnes concernées par ce traitement ; la description des indicateurs calculés à partir des données ayant fait l’objet d’un marquage spécifique ; la démonstration du caractère anonyme au regard des critères susmentionnés des indicateurs calculés à partir des données des patients ayant eu une seule consultation avec un médecin cardiologue, dermatologue, gastro-entérologue, neurologue ou pneumologue dont le contrat de partenariat relatif à l’alimentation de l’entrepôt THIN a pris fin. Il appartiendra à la société GERS SAS de documenter l’effectivité de la suppression des données conformément aux termes de la présente décision. AUTORISE, dans ces conditions, la SOCIETE GERS SAS à mettre en œuvre le traitement décrit ci-dessus, pendant une durée d’un an. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DT-2024-019 du 30 août 2024 autorisant la société GERS SAS à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé " SOG HEALTH ". (Demande d’autorisation n° 2234230)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé déjà mis en œuvre ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement a pour finalité la mise en œuvre d’un entrepôt de données à caractère personnel. Cet entrepôt, dénommé " Sog Health ", a pour finalité la mise à disposition de données de vie réelle de ventes et de délivrances de produits aux clients des pharmacies à des fins de recherche et d’études non interventionnelles portant sur : l’analyse de l’efficacité d’un traitement (durée du traitement, indicateurs d’observance et de persistance, charge thérapeutique, schémas thérapeutiques, changements de traitements, effets secondaires, etc.) ; l’évaluation de la bonne utilisation des médicaments et l’analyse des interactions médicamenteuses ; l’étude de ressources consommées (consommation de soin) et de coûts de prises en charge des patients intégrables dans des études médico-économiques ; les outils de régulation sur l’automédication et les traitements alternatifs ; le suivi des campagnes de vaccination et de dépistage en officine ; le suivi des ruptures des produits de santé et l’évaluation des alternatives thérapeutiques ; le suivi de crises épidémiques. La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du RGPD. Les données contenues dans cet entrepôt ne pourront, par analogie avec les finalités " interdites " d’utilisation du Système national des données de santé (SNDS), être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. Le traitement mis en œuvre par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi " informatique et libertés " modifiée. Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement mis en œuvre est conforme aux dispositions du référentiel " entrepôt de données dans le domaine de la santé ", à l’exception de la base légale du traitement. La CNIL relève néanmoins que la nature des données traitées ainsi que certaines mesures de sécurité ne sont pas conformes au référentiel. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel. Sur les sous-traitants Plusieurs sous-traitants interviennent dans la mise en œuvre de cet entrepôt. Le traitement des données par chacun de ces sous-traitants doit être régi par un contrat ou un acte juridique, conformément à l’article 28 du RGPD. Sur la gouvernance de l’entrepôt Le responsable de traitement a mis en place un dispositif de gouvernance de l’entrepôt afin de maîtriser l’exploitation qui en est faite dans le respect des finalités déclarées et de l’intérêt public. Le dossier de demande mentionne que cette gouvernance est conforme au référentiel " entrepôt de données de santé ". Sur les données traitées Les données à caractère personnel conservées dans l’entrepôt sont : les données des clients de la pharmacie partenaire (code client de la pharmacie pseudonymisé ; année de naissance du client ; sexe du client) ; les données relatives aux factures et produits délivrés/vendus (identifiant facture pseudonymisé ; date de facture ; nature de l’acte : délivrance, vaccination, préparation magistrale, location de matériel, etc. ; nature de la vente : sur ordonnance, vente conseil ; origine de prescription : ville ou hôpital ; codes et libellés des produits ; remboursable/non remboursable ; quantités délivrées et prescrites ; prix et taux de TVA) ; les données du professionnel de santé prescripteur : code prescripteur pseudonymisé ; la spécialité médicale ; l’unité géographique d’analyse du lieu de prescription ; honoraires de dispensation ; le code point de vente de la pharmacie. La profondeur historique des données conservées au sein de l’entrepôt ne pourra excéder dix ans à compter de la date du passage en pharmacie. Sur l’information des personnes concernées La société GERS SAS, en sa qualité de responsable de traitement de l’entrepôt, doit assurer l’information des personnes dont les données sont traitées, conformément au RGPD et à l’article 69 de la loi " informatique et libertés ". Tous les documents d’information (individuelle ou collective) devront : comporter l’ensemble des mentions prévues par le RGPD ; préciser la profondeur historique des données traitées afin d’assurer la transparence du traitement vis-à-vis des personnes concernées. S’agissant des modalités d’information collective à destination de l’ensemble des personnes concernées par ce traitement : Le dossier de demande d’autorisation mentionne : d’une part, qu’une communication de grande ampleur sera déployée sur les réseaux sociaux, et via un communiqué de presse à l’échelle régionale et nationale et qui sera relayé auprès de deux cents médias et via les associations de patients ; d’autre part, que des notes d’information collective seront affichées dans chaque pharmacie partenaire. Le responsable de traitement devra compléter les mesures d’information collective prévues par d’autres canaux d’information visant les prescripteurs, par exemple en diffusant une information via les bulletins des ordres professionnels. S’agissant plus spécifiquement des modalités d’information des clients des officines : La société GERS SAS ne leur a fourni aucune information avant 2021 et, entre 2021 et 2024, l’information collective délivrée est incomplète au regard des exigences du RGPD. Il appartient à la société GERS SAS de remédier à l’absence d’information individuelle d’une partie conséquente des personnes dont les données ont été collectées selon les modalités suivantes. S’agissant des clients dont le dernier passage en pharmacie est antérieur à l’année 2021 (absence totale d’information) : Le dossier de demande mentionne que les données contenues dans l’entrepôt seront gelées et ne pourront être utilisées qu’à compter de la délivrance d’une information individuelle, qui devra intervenir au plus tard dans les deux ans suivant la date de délivrance de la présente autorisation. Ce délai a été justifié par le fait, qu’en moyenne, 70% des clients reviennent à la même pharmacie dans un délai de deux ans. S’agissant des clients dont le dernier passage en pharmacie a eu lieu entre janvier 2021 et août 2024 (information collective incomplète) : La société GERS SAS souhaite pouvoir conserver au sein de l’entrepôt : les données collectées entre 2021et 2024 ; les données collectées durant les quatre ans précédant le premier passage en pharmacie du client durant cette période afin de pouvoir assurer la qualité des résultats des analyses et mettre en œuvre certaines études longitudinales. Pour ces clients, en application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés eu égard aux caractéristiques du traitement et notamment de sa finalité, à savoir la mise à disposition de données de vie réelle de ventes et de délivrances de produits aux clients des pharmacies à des fins de recherche et d’études non interventionnelles. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il peut être fait exception au principe d'information individuelle des personnes et les mesures appropriées décrites dans le dossier de demande devront être mises en œuvre par le responsable de traitement. Les autres données collectées (dans la limite de la profondeur historique maximale de dix ans) seront gelées par la société GERS SAS et ne pourront être utilisées qu’à compter de la délivrance d’une information individuelle, qui devra intervenir au plus tard dans les deux ans suivant la date de délivrance de la présente autorisation. S’agissant des clients qui passeront dans une pharmacie partenaire à compter de septembre 2024 : Ils recevront une note d’information individuelle. En tant que responsable de traitement, la société GERS SAS devra transmettre aux pharmacies partenaires une note d’information à destination des clients, de leurs représentants légaux, conforme aux dispositions du RGPD, et s’assurer que cette information leur sera remise. Les pharmaciens partenaires sont contractuellement chargés d’informer leurs clients du traitement de données les concernant. S’agissant des pharmaciens partenaires : Une note d’information individuelle est remise au pharmacien lors de la conclusion du contrat de partenariat avec la société GERS SAS. S’agissant des prescripteurs : En application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement. Sur les droits des personnes Les clients pourront exercer leurs droits d’opposition et d’effacement directement auprès des pharmacies partenaires. Les autres droits (accès, rectification et limitation) pourront être exercés auprès du responsable de traitement. S’agissant du droit à la limitation, toutes les factures du patient issues de la pharmacie où il a exercé son droit seront marquées avec un indicateur spécifique et ne seront plus visibles par l’outil d’extraction alimentant l’entrepôt de la société GERS SAS. Les autres personnes concernées par ce traitement devront pouvoir exercer leurs droits conformément au RGPD. Sur les accédants et les destinataires des données Pourront accéder aux données uniquement les personnels salariés de la société GERS SAS et spécifiquement habilités, soumis au secret professionnel, dans les strictes limites de leur besoin d’en connaître, pour l’exercice de leurs missions s’inscrivant dans les finalités de l’entrepôt. Des documents tenus à jour indiquent la ou les personnes compétentes pour délivrer l'habilitation d’accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations. La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement. En dehors des personnes visées ci-dessus, les organismes à l’initiative des études et des analyses ne pourront être destinataires que de rapports contenant des données agrégées et anonymisées. Sur la sécurité des données et la traçabilité des actions La plupart des mesures de sécurité du traitement mises en œuvre sont conformes à celles prévues par le référentiel " entrepôt de données dans le domaine de la santé ". Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt, ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel " entrepôt de données dans le domaine de la santé ". Certaines des mesures nécessaires à la pleine couverture des risques de sécurité sont en cours de déploiement et d’amélioration dans le cadre d’un plan d’actions formalisé. Ce plan d’actions devra être complété afin d’améliorer les mesures liées au respect des finalités interdites, et en particulier : intégrer la dimension " finalités interdites " dans les mesures d’exploitations des traces, pour la surveillance et l’audit des projets ; élargir la surveillance et la gestion des conflits d’intérêts jusqu’à la composition des équipes de recherche. Le responsable de traitement devra mettre en œuvre l’ensemble des mesures décrites dans son plan d’actions dans les meilleurs délais et, au plus tard, dans un délai d’un an. La CNIL, au vu de la sensibilité et du volume des données, estime nécessaire d’évaluer à l’issue de ce délai la réalité des mesures de sécurité mises en œuvre par la société GERS SAS. Les mesures de sécurité, renforcées par ce plan d’actions, sont ainsi de nature à répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Le responsable de traitement doit procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Sur la conservation des données Dans l’hypothèse où la présente autorisation serait renouvelée : les données ne pourront être conservées que pour une durée maximale de dix ans à compter de leur collecte au sein des officines ; les données gelées seront conservées dans la même limite de profondeur historique et devront être détruites à l’issue d’un délai de deux ans à compter de la présente autorisation si aucune information individuelle n’a pu être délivrée aux clients concernés durant cette période. Sur la réutilisation des données de l’entrepôt Les données conservées dans l’entrepôt sont susceptibles d’être utilisées à des fins de recherches, d’études ou d’évaluations dans le domaine de la santé. Ces traitements devront se conformer aux dispositions des articles 66 et 72 et suivants de la loi " informatique et libertés ", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ils devront faire l’objet de formalités propres par leur(s) responsable(s) de traitement. Les personnes concernées devront être informées de chacun de ces traitements conformément au RGPD et à la loi " informatique et libertés ". S’agissant des conditions spécifiques liées à la réutilisation des données de l’entrepôt : Après échanges avec les représentants de la société GERS SAS, et comme indiqué dans le dossier de demande : les données gelées ne pourront être réutilisées en l’absence d’information individuelle des personnes concernées ; les données non gelées conservées dans l’entrepôt qui concerneraient des clients informés collectivement ne seront utilisées que par la société GERS. Ces données seront identifiées et filtrées au sein de l’entrepôt via des indicateurs spécifiques. Observations complémentaires Dans l’hypothèse où la société GERS SAS souhaiterait continuer à mettre en œuvre ce traitement à l’issue de la période d’un an, le dossier de renouvellement de demande d’autorisation devra notamment comporter : les modalités de réalisation du plan d’actions et la résolution d’incidents éventuels ; les modalités d’information déployées afin d’informer collectivement et individuellement l’ensemble des personnes concernées par ce traitement. AUTORISE, dans ces conditions, la SOCIETE GERS SAS à mettre en œuvre le traitement décrit ci-dessus pendant une durée d’un an. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DR-2024-183 du 23 septembre 2024 AUTORISANT LA SOCIETE CLINITYX ET LA SOCIETE BOEHRINGER INGELHEIM FRANCE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la persistance aux traitements anti-fibrosant en vie réelle, nécessitant un accès à certaines données du Système national des données de santé (SNDS) contenues dans l’entrepôt de données de santé Magellan, intitulée « REPEAT ». (Demande d’autorisation n° 924199)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Responsables de traitement La société Clinityx et la société Boehringer Ingelheim France déterminent conjointement les finalités et les moyens du traitement. Conformément à l'article 26 du Règlement général sur la protection des données (RGPD), elles doivent définir de manière transparente leurs obligations respectives. Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-008, à l'exception de la nature des données traitées. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante Les données réutilisées dans le cadre de cette étude proviendront exclusivement de l’entrepôt de données de santé dénommé Magellan autorisé par la CNIL (délibération n° 2022-009 du 27 janvier 2022). Utilisation de données issues du SNDS historique Les données traitées, décrites dans le dossier de demande, concerneront : la durée d’exposition aux traitements anti-fibrosants ; la fin d’exposition ; la persistance aux anti-fibrosants ; l’observance aux anti-fibrosants ; l’analyse par indication ; les facteurs associés à une non-persistance. Seule la société Clinityx traitera les données individuelles des personnes concernées dans le cadre de cette étude. L’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce, et notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code de la santé publique (CSP). Information et droits des personnes S’agissant des modalités d’information : Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par les responsables de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre par la société Clinityx afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. Une note d’information sera rendue publique sur le portail de transparence dédié à l’entrepôt Magellan (via l’outil Sémaphore ) mis en place par la société Clinityx ainsi que sur le site web de la société Boehringer Ingelheim France. Elle devra comporter l’ensemble des mentions prévues par l’article 14 du RGPD. S’agissant des modalités d’exercice des droits : Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données de la société Clinityx. Mesures de sécurité L’infrastructure technique de la société Clinityx utilisée pour l’hébergement de systèmes fils du SNDS (notamment l’entrepôt Magellan ) a été analysée par la CNIL à diverses reprises, notamment dans le cadre de précédentes demandes d’autorisation. Une homologation de la bulle sécurisée a été réalisée par l’autorité d’homologation le 31 janvier 2023, conformément à l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS. Cette décision d’homologation n’est valable que jusqu’au 31 décembre 2024. Conformément aux dispositions de l’arrêté du 6 mai 2024, relatif au référentiel de sécurité applicable au SNDS et notamment son article 3, il appartiendra à la société Clinityx de s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement. Des mesures techniques et organisationnelles ont été prévues par la société Clinityx afin de cloisonner les différentes extractions de données du SNDS pouvant être stockées au sein de sa solution technique. Des environnements distincts, fondés sur des solutions de conteneurisation logicielle, sont notamment mis en œuvre afin d’empêcher toute fusion des données. L’outil de requêtage, les données manipulées par cet outil, ainsi que les espaces projet contenant les données servant à la production des indicateurs seront cloisonnés entre eux grâce à l’utilisation de ces solutions. L’accès à l’outil de requêtage et aux espaces projet de la présente étude ne sera possible que pour des personnes spécifiquement habilitées faisant partie du personnel de la société Clinityx, à l’exclusion de toute autre personne extérieure. Des mesures techniques et organisationnelles devront être mises en œuvre dans la solution technique afin de différencier les personnels pouvant accéder à la base de données de l’entrepôt Magellan contenant l’extraction des données du SNDS sur lequel repose l’outil de requêtage et ceux ne pouvant accéder qu’aux données minimisées contenues dans les espaces projets. L’exportation de données hors de l’entrepôt Magellan et des espaces projet associés consistera exclusivement en des rapports statistiques comprenant des indicateurs anonymes ne permettant aucune ré-identification des personnes, et qui seront transmis exclusivement aux responsables de traitement suite aux requêtes réalisées via l’outil Magellan. Á cette fin, un seuil minimal de onze individus sera retenu pour chaque agrégation. Pour se prévaloir de l’anonymat d’un jeu de données, les responsables de traitement devront réaliser une analyse permettant de démontrer que leurs processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut de remplir parfaitement ces trois critères, les responsables de traitement doivent démontrer, via une évaluation approfondie, que le risque d’identification d'une personne à l'aide de moyens raisonnablement susceptibles d'être utilisés, par eux-mêmes ou par toute autre personne, est négligeable. Les mesures de sécurité décrites répondent aux exigences prévues par les articles 5-1-f et 32 du RGPD, compte tenu des risques identifiés par les responsables de traitement. Il appartiendra à ces derniers de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Durées de conservation en base active et en archivage Base active : un an Archivage : deux ans. AUTORISE LA SOCIETE CLINITYX ET LA SOCIETE BOEHRINGER INGELHEIM FRANCE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-182 du 18 septembre 2024 autorisant l’ASSOCIATION DE RECHERCHE CLINIQUE ET D'ENSEIGNEMENT EN NEUROCHIRURGIE ONCOLOGIQUE ET RACHIDIENNE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la survie des patients, de la récidive tumorale et des facteurs de risque associés, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDC, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2022. (Demande d’autorisation n° 923193v2)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juillet 2023. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernés. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante Les données du recensement national histologique des tumeurs primitives du système nerveux central (RnhTPSNC) (demande d’autorisation n° 911013) seront réutilisées dans le cadre de la présente étude et chaînées avec celles du Système national des données de santé (SNDS) de façon probabiliste. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc Années concernées : 2006 à 2022, sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail de la CNAM. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique. Information et droits des personnes Les dispositions de l’article 69 de la loi informatique et libertés sont applicables à tous les traitements réalisés à partir de données du SNDS. Conformément aux dispositions de l’article 14 du Règlement général sur la protection des données (RGPD), dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Une note d’information sera également rendue publique sur le site web du responsable de traitement, de l’Institut National du Cancer, du réseau français des registres des cancers, de la société française de neurochirurgie et du registre des tumeurs de l’Hérault. Elle devra comporter l’ensemble des mentions prévues par l’article 14 du RGPD. Observations particulières La CNIL rappelle ses exigences en matière de formalités préalables à la constitution de bases de données pérennes en vue de leur réutilisation à des fins de recherche. De telles bases ne constituent pas des études, recherches ou évaluations dans le domaine de la santé. Le traitement réalisé dans le cadre du recensement national histologique des tumeurs primitives du système nerveux central relève donc désormais, sauf en cas de recueil du consentement conformément aux dispositions du Règlement général sur la protection des données, du régime de formalités préalables prévu par les dispositions de la sous-section 1 de la section 3 du chapitre III du titre 2 de la loi informatique et libertés (déclaration de conformité au référentiel "entrepôt de données de santé" ou dépôt d’une demande d’autorisation). Par conséquent, le recensement national histologique des tumeurs primitives du système nerveux central devra faire l’objet d’une nouvelle formalité auprès de la CNIL. Durée d’accès Cinq ans à compter de la mise à disposition des données. Transparence du traitement Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé. AUTORISE L’ASSOCIATION DE RECHERCHE CLINIQUE ET D'ENSEIGNEMENT EN NEUROCHIRURGIE ONCOLOGIQUE ET RACHIDIENNE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT