Décision DR-2024-174 du 10 juillet 2024 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les patients présentant des anomalies de développement et/ou un trouble du développement intellectuel, intitulée « GAnDI ». (Demande d’autorisation n° 924167)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 25 avril 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées. Information et droits des personnes S’agissant des patients dont le dernier suivi est antérieur au 1er janvier 2022 : En application de l'article 14 du Règlement général sur la protection des données (RGPD), l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion par voie d’affichage au sein des centres participants et sur le site web du responsable de traitement de l’étude d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD. S’agissant des autres patients : Les patients majeurs ne faisant pas l’objet d’une mesure de protection recevront une note d’information individuelle. S’ils sont mineurs, les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle. Dans l’hypothèse où le patient ferait l’objet d’une mesure de tutelle, son représentant légal sera également informé. Les notes d’information seront transmises par voie postale. Durée de conservation en base active et en archivage Base active : douze ans Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui sera mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-175 du 15 juillet 2024 autorisant le GROUPEMENT DES HOPITAUX DE L'INSTITUT CATHOLIQUE DE LILLE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les profils allergologiques des enfants atteints d’œsophagite à éosinophiles. (Demande d’autorisation n° 924120)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 11 janvier 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées. Catégorie particulière de données traitées (autres que données de santé) La collecte de l’adresse postale connue au moment du diagnostic a été scientifiquement justifiée dans le dossier de demande. Ces données devront être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder à ces données. Information et droits des personnes S’agissant des modalités d’information : Les titulaires de l’exercice de l’autorité parentale recevront par voie postale une note d’information individuelle en vue du traitement des données de leur enfant mineur. Les mineurs participant à l’étude recevront une note d’information individuelle. S’agissant des personnes pour lesquelles la note d’information ne pourrait être délivrée par voie postale (mention NPAI ), en application de l'article 14 du règlement général sur la protection des données (RGPD), le responsable de traitement prendra des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. A ce titre, une note d’information relative à la présente étude devra être rendue publique sur le site web du responsable de traitement. Ces documents comporteront l’ensemble des mentions prévues par le RGPD. Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durées de conservation en base active et en archivage Base active : deux ans. Archivage : cinq ans. AUTORISE le GROUPEMENT DES HOPITAUX DE L'INSTITUT CATHOLIQUE DE LILLE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-176 du 12 juillet 2024 autorisant la FONDATION ADOLPHE DE ROTHSCHILD à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’efficacité du glenzocimab pour les accidents vasculaires cérébraux ischémiques étendus éligibles à un traitement endovasculaire, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS) pour les années 2024 à 2030, intitulée « GALICE » (Demande d’autorisation n° 924164)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ile de France VII du 13 mars 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées (appariement probabiliste des données cliniques avec les données du Système national des données de santé), des destinataires des données directement identifiantes et des modalités d’information des personnes concernées. Catégories particulières de données traitées (autres que données de santé) La collecte des nom, prénom et des coordonnées téléphoniques, est nécessaire pour assurer le suivi des patients qui en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI et CépiDc Années concernées : 2024 à 2030, sous réserve qu’elles soient diffusables par la CNAM Modalités de consultation : portail de la CNAM Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance au sens de l’article L. 1111-6 du code de la santé publique ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits. Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre, de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche, en application des dispositions de l’article L. 1122-1-3 du code de la santé publique. Durée d’accès/ Durées de conservation en base active et en archivage Les données nominatives et les coordonnées téléphoniques du patient seront détruites à la fin du suivi des patients. Données du SNDS : trois ans à compter de la dernière mise à disposition des données. Autres données : Base active : quatre ans Archivage : vingt-cinq ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE la FONDATION ADOLPHE DE ROTHSCHILD à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-179 du 26 juillet 2024 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS, à mettre en œuvre un traitement de données ayant pour finalité une étude du génome entier de patients ayant une amylose héréditaire à transthyrétine, intitulée « GWAS-AHTTR ». (Demande d’autorisation n° 924192)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud-Ouest et Outre-Mer 1 du 29 mai 2024. Conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées. Réutilisation des données d’une base existante Les échantillons et les données cliniques associées recueillis dans le cadre de la prise en charge habituelle des patients pris en charge au sein du Centre hospitalier universitaire de Bicêtre seront réutilisés dans le cadre de cette étude. Catégorie particulière de données traitées (autres que données de santé) Le responsable de traitement souhaite réaliser, dans le cadre de ce projet, un examen des caractéristiques génétiques des patients à des fins de recherche scientifique à partir de reliquats d’échantillons biologiques issus de précédentes recherches conformément aux dispositions de l’article L. 1130-5 du code de la santé publique. Information des personnes A l’exception de ceux qui sont décédés, tous les patients recevront par voie postale une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). Durées de conservation en base active et en archivage Les échantillons biologiques seront conservés pendant vingt ans puis détruits. Autres données : Base active : cinq ans Archivage : quinze ans. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. Observations particulières La constitution de bases de données pérennes en vue de leur réutilisation à des fins de recherche relève, sauf en cas de recueil du consentement conformément aux dispositions du RGPD, du régime de formalités préalables prévu par les dispositions de la sous-section 1 de la section 3 du chapitre III du titre 2 de la loi informatique et libertés (déclaration de conformité au référentiel entrepôt de données de santé ou dépôt d’une demande d’autorisation). Toute nouvelle étude qui serait mise en œuvre à partir des échantillons biologiques et/ou des données cliniques associées devra faire l’objet de formalités auprès de la CNIL. AUTORISE l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-180 du 12 juillet 2024 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur les ondes lentes pendant le sommeil et l'éveil, intitulée « MemoAge ». (Demande d’autorisation n° 924190)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du comité de protection des personnes Ouest V du 17 juin 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées Catégories particulières de données traitées Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Ce traitement est nécessaire au suivi des participants qui en sont informés. Leur consentement en vue de la réalisation des enregistrements sera recueilli. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durée de conservation en base active et en archivage Base active : cinq ans Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui sera mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-151 du 19 juin 2024 autorisant la société LFB-BIOTECHNOLOGIES à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la polyneuropathie inflammatoire démyélinisante chronique en France, nécessitant un accès aux données du SNIIRAM, du PMSI, du CepiDC et de l’échantillon des données du SNDS (ESND), composantes du Système national des données de santé (SNDS), pour les années 2008 à 2023 (Demande d’autorisation n° 924112)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 8 février 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées. Réutilisation des données d’une base existante (étude précédente ou entrepôt de données de santé) Les données de la Base de données nationale maladies rares (BNDMR) (demande d’autorisation n°2211418) seront réutilisées dans le cadre de la présente étude. Catégories particulières de données traitées (autres que données de santé) Les données de la BNDMR feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR). Le NIR sera transmis à la CNAM qui effectuera le rapprochement avec les données du SNDS. Les données seront transmises sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité. Des mesures de sécurité renforcées devront être mises en place pour les tables de correspondance. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI, PMSI et ESND Années concernées : 2008 à 2023, sous réserve qu’elles soient diffusables par la CNAM Modalités de consultation : portail de la CNAM Recours à un laboratoire de recherche ou à un bureau d’études ayant fait réaliser un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui Le responsable de traitement n’aura pas accès aux données individuelles du SNDS. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes En application de l'article 14 du règlement général sur la protection des données, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de la BNDMR d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD. Durée d’accès Données du SNDS : trois ans à compter de la dernière mise à disposition des données. Les NIR des participants ne seront pas conservés après l’appariement. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE, dans ces conditions, la société LFB-BIOTECHNOLOGIES à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DT-2024-007 du 18 mars 2024 autorisant conjointement LES LABORATOIRES E BIOLOGIE MEDICALE DU RESEAU CERBALLIANCE à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé. (Demande d’autorisation n° 2231450).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur la responsabilité conjointe de traitement Plusieurs organismes interviennent en qualité de responsables conjoints de traitement dans le cadre de la constitution de l’entrepôt : Cerballiance Alpes Durance Cerballiance Aquitaine Nord Cerballiance Aquitaine Sud Cerballiance Artois Cerballiance Auvergne-Rhône-Alpes Cerballiance Bourgogne Cerballiance Charentes Cerballiance Gascogne Cerballiance Hauts-de-France Cerballiance IDF Ouest Cerballiance IDF Sud Cerballiance Languedoc Cerballiance Médoc Cerballiance Normandie Est Cerballiance Normandie Ouest Cerballiance Normandie Sud Cerballiance Occitanie Cerballiance Oise Cerballiance Paris et IDF Est Cerballiance Provence Azur Cerballiance Pyrénées Cerballiance Réunion Cerballiance Somme Cerballiance Centre Val de Loire Ces sociétés, réunies en consortium ne disposant pas de la personnalité juridique, définissent conjointement la finalité et les moyens du traitement mis en œuvre dans le cadre de la constitution de l’entrepôt, en qualité de responsables conjoints, au sens de l’article 26 du Règlement européen sur la protection des données (RGPD). A ce titre, elles devront définir de manière transparente leurs obligations respectives dans le cadre du contrat qui les lie concernant la mise en œuvre du traitement. La modification de la composition du consortium constituera une modification substantielle du traitement de données et nécessitera une modification de la présente autorisation. Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme à l’ensemble des dispositions du référentiel entrepôt de données dans le domaine de la santé . Les responsables conjoints de traitement considèrent que le traitement est nécessaire aux fins des missions d’intérêt public dont sont investis les laboratoires de biologie médicale (LBM) en application des dispositions de l’article L. 6212-3 du Code de la santé publique (CSP), ceux-ci pouvant être appelés à participer à des programmes d’enseignement et de recherche . Toutefois, les éléments du dossier de demande ne permettent pas de démontrer que la mise en œuvre du traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relève de l’exercice de l’autorité public dont serait investis conjointement les responsables du traitement. Néanmoins, les co-responsables de traitement poursuivent des intérêts légitimes pouvant justifier la mise en œuvre du traitement conformément à l’article 6.1.f) du RGPD. Sur la finalité du traitement Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé. Ce dernier a pour finalités : la réutilisation des données à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ; la réalisation d’études de faisabilité à des fins de recherche ; la production d’indicateurs et le pilotage stratégique de l’activité des responsables de traitement. Les données contenues dans cet entrepôt ne pourront, par analogie avec les finalités interdites d’utilisation du Système national des données de santé (SNDS), être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés , qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres. Sur les données traitées Les données à caractère personnel des patients pris en charge postérieurement au 1er janvier 2023 par les LBM du réseau CERBALLIANCE et les prescripteurs des analyses médicales provenant des dossiers des patients versées dans l’entrepôt sont : données administratives /d’identification des patients : nom, nom de naissance, prénom(s), sexe, date de naissance complète, statut vital, numéro d’identifiant du patient et numéros de dossier, coordonnées électroniques, téléphoniques et postales ; données de santé des patients : données cliniques : poids, taille, traitements médicamenteux, maladie ponctuelle, maladie chronique, symptômes, allergies, prescriptions, résultats issus d’analyses d’échantillons et compte rendu, état physiologique spécifique, antécédents familiaux, régime alimentaire spécifique ; données associées à des échantillons biologiques : code barre d’échantillon, volume prélevé, unité de volume prélevé données des prescripteurs : données directement identifiantes et administratives (nom, prénom, identifiant du prescripteur, code RPPS, numéro ADELI, coordonnées postales et électroniques professionnelles. Lorsque le patient a exprimé son opposition, seules les informations suivantes sont conservées dans l’entrepôt : le numéro d’identifiant du patient dans le système de gestion des LBM (SGL) ; statut opposition ; date de la demande d’opposition. Les données administratives/d’identification des patients seront conservées au sein de l’entrepôt de manière cloisonnée par rapport aux données de santé. Le NIR des personnes concernées ne sera pas traité. Sur la conservation des données S’agissant des données de l’entrepôt : Les données versées dans l’entrepôt sont conservées dans l’entrepôt dix ans à compter de leur collecte puis supprimées. S’agissant de la conservation des traces : Les traces fonctionnelles et techniques sont conservées six mois. Sur l’information des personnes Il appartient aux responsables conjoints de traitement, de transmettre aux LBM concernés, une note d’information à destination des patients, de leurs représentants légaux et des professionnels de santé, conforme aux dispositions du RGPD et de s’assurer que cette information leur sera remise. Les supports d’information devront, mentionner explicitement, que l’exercice des droits par les personnes, notamment leur droit d’opposition, n’aura pas de conséquence sur leur prise en charge médicale. S’agissant des patients pris en charge antérieurement à la constitution de l’entrepôt : Une note d’information individuelle, comportant l’ensemble des mentions prévues par le RGPD, sera adressée par voie électronique aux patients ayant communiqué une adresse électronique En complément, une notification comportant l’ensemble des mentions prévues par le RGPD sera également présente dans l’espace patient En application de l’article 69 de la loi et de l’article 14-5-b) du RGPD, l’obligation d’information individuelle de la personne concernée peut faire l’objet d’exceptions, notamment dans l’hypothèse où la fourniture d’une telle information se révèlerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l’espèce, il sera fait exception au principe d’information individuelle des patients n’étant plus suivis et n’ayant founi que leurs coordonnées postales, ou aucune coordonnées (électroniques ou postales) au laboratoire de biologie médicale les ayant pris en charge. Des mesures appropriées seront mises en œuvre : communiqués auprès de différents médias, affichage dans les LBM, diffusion sur le site web des responsables conjoints de traitement et sur le site du réseau Cerballiance, d’une information comportant l’ensemble des mentions prévues par le RGPD. Un message d’information sera également délivré sur l’espace Doctolib des LBM. S’agissant des patients pris en charge postérieurement à la constitution de l’entrepôt : Une note d’information individuelle, comportant l’ensemble des mentions prévues par le RGPD, sera remise aux patients et le cas échéant, à leurs représentant légaux, au moment de leur prise en charge. S’agissant des prescripteurs dont les données sont collectées dans le cadre de l’entrepôt de données de santé : Les professionnels dont les données seront versées dans l’entrepôt recevront une note d’information individuelle, comportant l’ensemble des mentions prévues par le RGPD. Cette notre leur sera adressée par voie électronique. Mesures de sécurité Les mesures de sécurité doivent répondre aux exigences prévues par les articles 5,1,f) et 32 du RGPD. A cet égard, ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, les responsables de traitement restent pleinement responsables du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment. AUTORISE LES LABORATOIRES DE BIOLOGIE MEDICALE DU RESEAU CERBALLIANCE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DT-2024-011 du 13 mai 2024 autorisant la SOCIETE ABBVIE à mettre en œuvre un traitement de données ayant pour finalité la gestion d’un cadre de prescription compassionnelle concernant les spécialités BOTOX 50 UNITES ALLERGAN, BOTOX 100 UNITES ALLERGAN, BOTOX 200 UNITES ALLERGAN dans l’indication « Traitement de la douleur neuropathique périphérique chronique (depuis au moins 6 mois) bien localisée (surface ≤ 240 cm²) en tant que traitement adjuvant chez les patients adultes insuffisamment soulagés ou réfractaires aux autres traitements ». (Demande d’autorisation n°2231701v1).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Remarque liminaire La présente demande concerne la mise en œuvre d’un traitement de données à caractère personnel dans un cadre de prescription compassionnelle. Elle a fait l’objet d’une décision de l’Agence nationale de sécurité du médicalement du 25 avril 2024 établissant un cadre de prescription compassionnelle pour l’indication Traitement de la douleur neuropathique périphérique chronique (depuis au moins 6 mois) bien localisée (surface ≤ 240 cm²) en tant que traitement adjuvant chez les patients adultes insuffisamment soulagés ou réfractaires aux autres traitements des spécialités : BOTOX 50 UNITES ALLERGAN ; BOTOX 100 UNITES ALLERGAN ; BOTOX 200 UNITES ALLERGAN. Points de non-conformité au référentiel concerné Le traitement envisagé est conforme aux dispositions du référentiel RS-004 (accès compassionnel), à l'exception de la finalité poursuivie (cadre de prescription compassionnelle). Finalité du traitement Le traitement est mis en œuvre à des fins de : collecte, enregistrement, analyse, suivi, documentation, transmission et de conservation des données relatives à l'accès, à l'initiation, au suivi et à l'arrêt des prescriptions d’un médicament dans le cadre défini par l'article L. 5121-12-1. III du code de la santé publique ; gestion des contacts avec les professionnels de santé intervenant dans le cadre du suivi des patients bénéficiant d’un médicament sous cadre de prescription compassionnelle et les personnels agissant sous leur responsabilité ou autorité. Information des personnes Toutes les personnes concernées (patients et professionnels de santé) recevront une note d’information individuelle, au plus tard lors de la consultation d’initiation de la thérapie. Cette note d’information devra comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). AUTORISE la société ABBVIE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DT-2024-008 du 6 avril 2024 autorisant L’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE à mettre en œuvre un traitement de données ayant pour finalité la constitution d’un entrepôt de données de santé sur les maladies rares de l’œil, dénommé « FREDD ». (Demande d’autorisation n°2229636v1).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sous-traitants Plusieurs sous-traitants interviendront dans la mise en œuvre de cet entrepôt. Le traitement des données par chacun des sous-traitants devra être régi par un contrat ou acte juridique, conformément à l’article 28 du Règlement générale sur la protection des données (RGPD). Point de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé , à l’exception des mesures de sécurité. Finalité du traitement Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé et des données génétiques. Ce traitement s’inscrit dans le cadre du troisième plan national des maladies rares. Cet entrepôt permettra notamment de : réaliser des études épidémiologiques ; réaliser des projets de recherche en génétique utilisant notamment l’intelligence artificielle ; réaliser des études de faisabilité (pré-screening) ; réaliser des études cliniques ; suivre des cohortes de patients et d’améliorer leur parcours de soins et de la prise en charge des patients atteints d’une maladie rare de l’œil ; développer des outils d’aide au diagnostic médical ou à la prise en charge. Cet entrepôt ne sera pas utilisé dans le cadre du suivi médical des personnes concernées. Les données contenues dans cet entrepôt ne pourront, par analogie avec les finalités interdites d’utilisation du Système national des données de santé (SNDS), être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés modifiée, qui imposent que chaque traitement soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres. Données traitées Les données à caractère personnel traitées et versées dans l’entrepôt seront issues des dossiers médicaux des établissements de santé (fournisseurs des données) suivants, sous réserve de leur accord écrit et spécifique : le centre de référence pour les maladies rares en génétiques ophtalmiques (CARGO) du Centre hospitalier universitaire de Strasbourg ; le centre hospitalier national d’ophtalmologie des Quinze-vingt ; le centre hospitalier universitaire de Nantes ; le centre hospitalier universitaire de Lille ; le centre hospitalier universitaire de Montpellier. Les personnes concernées seront : les patients atteints d’une maladie rare de l’œil ; les proches des patients dès lors qu’ils ont été suivis en consultation dans un centre de maladie rare et s’ils ont un lien génétique étroit avec le patient (père/mère, frère/sœur, fils/fils, oncle/tante, grand-mère/grand père, cousin/cousine au 1er degré) ; les professionnels de santé ayant pris en charge la personne et saisissant les données dans l’entrepôt. S’agissant des personnes atteintes d’une maladie rare de l’œil : données d’identification : prénoms, noms, date de naissance complète, sexe, informations sur le lieu de naissance (pays ou département et ville) ; données relatives aux origines ethniques ; données génétiques ; données relatives au mode de vie (type d’hébergement, occupation) ; données relatives au handicap ; données relatives à la santé dont l’histoire de la maladie, les traitements en cours, l’historique médical de la personne, des imageries médicales ainsi que des informations issues du diagnostic clinique, du diagnostic génétique, de l’examen d’acuité visuelle, de l’examen du champ visuel, du parcours de soins de la personne ; données relatives au statut vital de la personne. S’agissant des proches : sexe, mois et année de naissance ; données relatives au mode de vie ; données relatives aux origines ethniques ; données relatives au statut vital ; données de santé dont des données relatives à l’historique médical, des imageries médicales ainsi que des informations issues des investigations cliniques réalisées, du parcours de soins. S’agissant des professionnels de santé : données d’identification (prénoms, noms) ; coordonnées électroniques et téléphoniques ; données de connexion (adresse IP et journaux d’évènements). Le NIR des personnes concernées ne sera pas collecté. Information et les droits des personnes S’agissant des patients atteints d’une maladie rare de l’œil et des proches : Une note d’information individuelle leur sera remise et, le cas échéant, à leurs représentants légaux, lors d’une consultation de suivi. S’agissant des professionnels de santé : Une note d’information individuelle leur sera transmise lors de la création de leur compte utilisateur. En considération des lignes directrices relatives à la transparence du G29 adoptée le 11 avril 2018, la note d’information relative à la constitution de cet entrepôt de données de santé devra être clairement distinguée des conditions générales d’utilisation (CGU) de l’outil leur permettant de créer un compte. S’agissant des autres mesures de transparence : Une note d’information relative à la constitution de l’entrepôt FREDD ainsi que chaque recherche, étude ou évaluation dans le domaine de la santé réutilisant les données de l’entrepôt seront publiées sur le site web du responsable de traitement. Par ailleurs, le responsable de traitement s’engage à : préciser sur son site web les catégories de données disponibles au sein de l’entrepôt FREDD ainsi que leur source ; renvoyer vers les sites web des établissements fournisseurs de données. Ces documents d’information devront comporter l’ensemble des mentions prévues par le RGPD. S’agissant de l’exercice des droits : Les personnes concernées pourront exercer leurs droits auprès du médecin l’ayant pris en charge ou directement auprès du responsable de traitement par voie postale ou électronique. Sur la sécurité des données Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l'entrepôt FREDD. Les mesures de sécurité planifiées ou mises en place dans FREDD ont été comparées avec les exigences de sécurité mentionnées dans le référentiel entrepôts de données de santé par le responsable de traitement. Des écarts avec les exigences de sécurité de ce référentiel ont été relevés concernant : le chiffrement des données au repos et des sauvegardes ; le cloisonnement et chiffrement spécifique des données de génétique ; le contrôle régulier des traces ; l’extraction de jeux données non-anonymisés. Le chiffrement des données dans l’environnement France Cohortes est prévu pour avril 2024. Sans mesure de chiffrement complémentaire, les données ne pourront rejoindre cet espace qu’une fois le système de chiffrement prévu opérationnel. Les données génétiques collectées au sein de l’entrepôt seront des informations relatives à la caractérisation de la mutation du gène lié à la maladie, recueillies dans le cadre de la prise en charge. Ces informations ne présentant pas de sensibilité supplémentaire comparée aux autres données versées dans l’entrepôt, un cloisonnement spécifique n’est pas nécessaire. Conformément à la mesure SEC-JOU-3 du référentiel entrepôts de données de santé , un contrôle des traces doit être réalisé régulièrement et a minima bimestriellement, ainsi qu’à la fin de chaque période d’habilitation liée à un projet de recherche. Ce contrôle doit être réalisé par : une solution réalisant une surveillance automatique avec une remontée d’alertes traitées manuellement par un opérateur habilité ; ou par un contrôle semi-automatique via exécution de programmes permettant une sélection des traces anormales, suivi d’une relecture manuelle par un opérateur habilité. Les fichiers temporaires, entre autres ceux permettant l’import de données depuis BaMaRa ainsi que les images médicales non pseudonymisées, seront supprimés à bref délai après traitement. Les répertoires de travail devront être purgés régulièrement. La politique de mot de passe devra être conforme à la délibération n° 2022-100 du 21 juillet 2022 de la CNIL sur le sujet. Les mesures de sécurité doivent répondre aux exigences prévues par les articles 5,1, f) et 32 du règlement général sur la protection des données compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Sur les exportations : L’exigence SEC-EXP-1 du référentiel entrepôts de données de santé prévoit que seuls des jeux de données anonymes peuvent faire l'objet d'une exportation hors de l'entrepôt ou d'un espace de travail, à l’exception des données relatives aux procédures de réidentification SEC-REI-1 à SEC-REI-3. Dans l’hypothèse où l’exportation de données hors de l’entrepôt ou d’un espace de travail de l’entrepôt serait envisagée dans le cadre d’un projet de recherche, d’étude ou d’évaluation dans le domaine de la santé, la nécessité de cette exportation de données pseudonymisées devra être étudiée par le comité de pilotage de l’entrepôt, qui devra donner son accord exprès et spécifique à cette fin. Le comité scientifique et éthique s’assurera ensuite pour chaque projet de recherche que celui-ci ne pourra pas être réalisé sur un espace projet de l’entrepôt et que les principes de minimisation et de proportionnalité seront respectés quant aux données qui font l’objet de l’exportation. Il appartient également au responsable de traitement d’encadrer contractuellement toute mise à disposition de données afin de s’assurer que l’exportation est entreprise vers un environnement dont les mesures de sécurité sont adaptées au niveau de risque, conformément aux articles 5.1.f) et 32 du RGPD, et permettra uniquement la réutilisation des données aux fins approuvées par le comité scientifique et éthique et pour le traitement ayant fait l’objet des formalités requises auprès de la CNIL. AUTORISE, l’Institut national de la santé et de la recherche médicale à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DT-2024-009 du 9 avril 2024 autorisant la SOCIETE TAKEDA FRANCE à mettre en œuvre un traitement de données ayant pour finalité la gestion d’un cadre de prescription compassionnelle concernant la spécialité ADCETRIS 50mg, poudre pour solution à diluer pour perfusion (Brentuximab Vedotin) dans l’indication « traitement du Lymphome de Hodgkin en seconde ligne avant greffe autologue de cellules souches, en association à la chimiothérapie standard chez les enfants, les adolescents et les adultes ». (Demande d’autorisation n°2231642v1).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Remarque liminaire La présente demande concerne la mise en œuvre d’un traitement de données à caractère personnel dans un cadre de prescription compassionnelle. Elle a fait l’objet d’une décision de l’Agence nationale de sécurité du médicalement du 2 avril 2024 établissant un cadre de prescription compassionnelle de la spécialité ADCETRIS 50mg, poudre pour solution à diluer pour perfusion (Brentuximab Vedotin) dans l’indication Traitement du Lymphome de Hodgkin en seconde ligne avant greffe autologue de cellules souches, en association à la chimiothérapie standard chez les enfants, les adolescents et les adultes . Points de non-conformité au référentiel concerné Le traitement envisagé est conforme aux dispositions du référentiel RS-004 (accès compassionnel), à l'exception de la finalité poursuivie (cadre de prescription compassionnelle). Finalité du traitement Le traitement est mis en œuvre à des fins de : collecte, enregistrement, analyse, suivi, documentation, transmission et de conservation des données relatives à l'accès, à l'initiation, au suivi et à l'arrêt des prescriptions d’un médicament dans le cadre défini par l'article L. 5121-12-1. III du code de la santé publique ; gestion des contacts avec les professionnels de santé intervenant dans le cadre du suivi des patients bénéficiant d’un médicament sous cadre de prescription compassionnelle et les personnels agissant sous leur responsabilité ou autorité. Information des personnes Toutes les personnes concernées (patients et professionnels de santé) recevront une note d’information individuelle, au plus tard lors de la consultation d’initiation de la thérapie. Cette note d’information devra comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). Il est rappelé que chacun des titulaires de l’exercice de l’autorité parentale devra recevoir une note d’information individuelle en vue du traitement des données à caractère personnel d’un patient mineur. AUTORISE la société TAKEDA FRANCE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur adjoint de l’accompagnement juridique Paul HEBERT


Décision DT-2024-010 du 15 avril 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE GUADELOUPE à mettre en œuvre la modification d’un traitement de données ayant pour finalité un entrepôt des maladies neurodégénérative dénommé « REG MND » (Demande d’autorisation n°2219058v2).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Modifications substantielles du traitement de données La modification envisagée porte sur la prolongation de la durée de conservation des données dans l’entrepôt REG MND de trois ans à dix ans. Les autres conditions de mise en œuvre du traitement restent inchangées. AUTORISE, le CENTRE HOSPITALIER UNIVERSITAIRE DE GUADELOUPE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DT-2024-001 du 18 janvier 2024 autorisant le CENTRE HOSPITALIER DE CAYENNE à mettre en œuvre un traitement de données ayant pour finalité la constitution d’un entrepôt de données de santé regroupant les données de personnes résidant dans le département de la Guyane et atteintes de cancer, dénommé « RCAN GUYANE ». (Demande d’autorisation n° 2230952)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés au directeur de l’accompagnement juridique et au directeur adjoint de l’accompagnement juridique ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur le point de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé à l’exception de la durée de conservation des données. Sur la finalité du traitement Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé RCAN GUYANE . Cet entrepôt est constitué à des fins de surveillance épidémiologique et de recherche dans le domaine du cancer. Sur la conservation des données Les données versées dans l’entrepôt seront conservées trente ans à compter de leur collecte puis anonymisées. La conservation des données pour une telle durée a été scientifiquement justifiée dans le dossier de demande, au regard de la pathologie étudiée et des recherches envisagées ultérieurement. Cette durée n’excède pas celle nécessaire au regard des finalités pour lesquelles les données seront collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD. AUTORISE le CENTRE HOSPITALIER DE CAYENNE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DT-2024-002 du 21 mars 2024 autorisant l’INSTITUT CURIE à mettre en œuvre un traitement de données ayant pour finalité la constitution d’un entrepôt de données de santé dénommé « EDS CURIE ». (Demande d’autorisation n° 2230458).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur le point de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé à l’exception : des durées de conservation des données ; de certaines mesures de sécurité. Sur la conservation des données Les données versées dans l’entrepôt sont conservées vingt ans à compter de la dernière mise à jour du dossier médical, puis supprimées ou anonymisées. Cette durée a été scientifiquement justifiée dans le dossier de demande, au regard de la pathologie étudiée et des recherches envisagées ultérieurement. Les données des professionnels utilisateurs de l’entrepôt seront conservées un an après leur dernière connexion puis supprimées. Les traces fonctionnelles et techniques sont conservées pendant un an glissant à partir de leur date de production. Sur les accédants et les destinataires des données Pourront accéder aux données uniquement : les personnels spécifiquement habilités, soumis au secret professionnel, dans les strictes limites de leur besoin d’en connaître, pour l’exercice de leurs missions s’inscrivant dans les finalités de l’entrepôt EDS CURIE ; les porteurs de projet d’étude, d’évaluation ou de recherche dans le domaine de la santé ayant réalisé les formalités nécessaires auprès de la CNIL. Des documents tenus à jour indiquent la ou les personnes compétentes pour délivrer l’habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations. La qualification des personnes habilitées et leurs droits d’accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement. En dehors des personnes visées ci-dessus, les demandeurs ne pourront être destinataires que des rapports contenant des données agrégées et anomymisées. Sur les droits des personnes Les droits des personnes s’exerceront auprès du délégué à la protection des données de l’Institut Curie. En cas d’exercice du droit d’opposition, les données de la personne concernée n’alimenteront pas l’entrepôt ou en seront, le cas échant, supprimées. Conformément aux principes de transparence et de loyauté de l’article 5 du RGPD et comme précisé dans les lignes directrices sur la transparence adoptées par le groupe de travail de l’article 29 (G29) le 29 novembre 2017, le responsable de traitement doit informer les personnes concernées de toute restriction spécifique applicable à ces droits afin de s’assurer que leurs attentes raisonnables n’ont pas été trompées. Si les personnes concernées fournissent des informations complémentaires permettant leur réidentification, un tel exercice devra être rendu possible conformément à l’article 11 du RGPD. Cette information devra être fournie concernant l’entrepôt de données de santé et pour chaque projet de recherche ultérieur. Sur la sécurité des données et la traçabilité des actions Les mesures de sécurité mises en place par le responsable de traitement visent à garantir la conformité de l’entrepôt EDS CURIE aux exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . Les points de non-conformité vis-à-vis de ce référentiel relevés par le responsable de traitement sont les suivants : l’inclusion du sexe, du genre, du mois de naissance, de l’années de naissance et de la date et du lieu de décès dans la base de données principale de l’entrepôt et les données de géocodage (IRIS INSEE) ; certaines mesures de sécurité qui seront implémentées avant la mise en œuvre de l’entrepôt dans le cadre d’un plan d’action ; les exportations de données hors de l’entrepôt et hors des espaces de travail, dont les modalités sont décrites ci-après. Les non-confomités relatives à l’inclusion des données susvisées dans la base principale de l’entrepôt ont été justifiées par le responsable de traitement comme étant nécessaires à la réalisation des études au sein des espaces de travail de l’entrepôt. Certaines mesures de sécurité techniques et organisationnelles prévues afin d’améliorer la conformité au référentiel entrepôt de données dans le domaine de la santé sont actuellement en cours d’implémentation, notamment : la génération des identifiants patients avec des fonctions de hachage cryptographique à l’état de l’art ; la gestion des identités et des accès, comprenant la mise en place d’une authentification unique pour les utilisateurs ; les procédures de pseudonymisation et de minimisation des données lors de l’alimentation de l’entrepôt et de la transmission des données, des espaces de travail et des données génétiques ; la gestion des traces techniques concernant les actions des utilisateurs et administrateurs ; la connexion aux espaces de travail via un bastion. L’hébergement des données sera réalisé sur des serveurs non externalisés propres à l’institut Curie. L’alimentation de l’entrepôt EDS Curie s’effectue depuis une zone d’alimentation située au sein du Système d’Information Hospitalier de l’Institut Curie, dont les administrateurs sont rattachés à une direction différente de celle de l’entrepôt. L’alimentation de l’entrepôt depuis cette zone repose sur l’exécution automatisée de programmes informatiques à une fréquence déterminée, sans aucune intervention manuelle. Néanmoins la direction responsable de la zone d’alimentation peut octroyer des droits d’accès temporaires pour les personnels chargés de l’administration de l’entrepôt qui sont alors identifiés et habilités spécifiquement. Il est rappelé que ces habilitations doivent être limitées à la maintenance ou à la correction des programmes informatiques d’alimentation et pour la durée strictement nécessaire à ces missions. La mise en œuvre de l’intégralité des mesures de sécurité devra intervenir dans les meilleurs délais. Ces mesures, qui devront être opérationnelles lors de la mise en œuvre du traitement, répondront alors aux exigences prévues par les articles 5-1-f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. L’exigence SEC-EXP-1 du référentiel entrepôts de données de santé prévoit que seuls des jeux de données anonymes peuvent faire l’objet d’une exportation hors de l’entrepôt ou d’un espace de travail, à l’exception des données relatives aux procédures de ré-identification SEC-REI-1 à SEC-REI-3. Dans l’hypothèse où l’exportation de données hors de l’entrepôt ou d’un espace de travail de l’entrepôt serait envisagé dans le cadre d’un projet de recherche, d’étude ou d’évaluation dans le domaine de la santé, la nécessité de cette exportation de données pseudonymisées devra être étudiée par le comité de pilotage de l’entrepôt, qui devra donner son accord exprès et spécifique à cette fin. Le comité scientifique et éthique s’assure ensuite pour chaque projet de recherche que celui-ci ne pourra pas être réalisé sur une espace projet de l’entrepôt et que les principes de minimisation et de proportionnalité seront respectés quant aux données qui font l’objet de l’exportation. Il appartient également au responsable de traitement d’encadrer contractuellement toute mise à disposition de données afin de s’assurer que l’exportation : est entreprise vers un environnement dont les mesures de sécurité sont adaptées au niveau de risque, conformément aux article 5.1.f) et 32 du RGPD ; permettra uniquement la réutilisation des données aux fins approuvées par le comité scientifique et éthique et pour le traitement ayant fait l’objet de formalités requises auprès de la CNIL. AUTORISE l’INSTITUT CURIE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DT-2024-003 du 21 mars 2024 autorisant l’INSTITUT GUSTAVE ROUSSY à mettre en œuvre un traitement de données ayant pour finalité la constitution d’un entrepôt de données de santé, intitulé « BOOST DATAS ». (Demande d’autorisation n° 2230692).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur le point de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé à l’exception des mesures de sécurité. Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalité la constitution d’un entrepôt de données de santé à caractère personnel comprenant notamment des données de santé, dénommé BOOST DATAS . Cet entrepôt vise à optimiser la recherche médicale sur l’ostéosarcome grâce à la découverte de nouvelles stratégies thérapeutiques. Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés modifiée, qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres. Sur les mesures de sécurité Les mesures de sécurité prévues par le responsable de traitement visent à garantir la conformité de l’entrepôt BOOST DATAS aux exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . Les points de non-conformité vis-à-vis de ce référentiel relevés par le responsable de traitement sont les suivants : l’inclusion du sexe, du genre, du mois de naissance, de l’années de naissance dans la base de données principale de l’entrepôt ; le chiffrement au repos des données de génétique somatique ; les exportations de données hors de l’entrepôt et hors des espaces de travail, dont les modalités sont décrites ci-après. Les non-confomités relatives à l’inclusion des données dans la base principale de l’entrepôt ont été justifiées par le responsable de traitement comme étant nécessaires pour permettre la réalisation de recherches ultérieures au sein des espaces de travail de l’entrepôt. Aucune donnée de génétique constitutionnelle ne sera collectée au sein de BOOST DATAS . Les données de génétique somatique seront chiffrées au repos et accessibles via des profils d’accès spécifique conformément à l’exigence SEC-LOG-5 du référentiel entrepôt de données dans le domaine de la santé . Ces données ne seront pas chiffrées au repos avec une clé différente des autres données de santé en raison des spécificités techniques des outils de recherche et des autres données de santé collectées dans l’entrepôt. Certaines mesures de sécurité techniques et organisationnelles prévues afin d’améliorer la conformité au référentiel entrepôt de données dans le domaine de la santé sont en cours d’implémentation, notamment : la génération des identifiants patient avec des fonctions de hachage cryptographique à l’état de l’art ; l’authentification multifacteur des utilisateurs et administrateurs ; le chiffrement en transit des données. L’hébergement des données sera réalisé par un hébergeur certifié pour l’hébergement des données de santé et soumis exclusivement aux lois et juridictions de l’Union européenne. La mise en œuvre de l’intégralité des mesures de sécurité devra intervenir dans les meilleurs délais. Ces mesures, qui devront être opérationnelles lors de la mise en œuvre du traitement, répondront alors aux exigences prévues par les articles 5-1-f) et 32 du RGPD compte tenu des risques identifiées par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. L’exigence SEC-EXP-1 du référentiel entrepôts de données de santé prévoit que seuls des jeux de données anonymes peuvent faire l’objet d’une exportation hors de l’entrepôt ou d’un espace de travail, à l’exception des données relatives aux procédures de ré-identification SEC-REI-1 à SEC-REI-3. Dans l’hypothèse où l’exportation de données hors de l’entrepôt ou d’un espace de travail de l’entrepôt serait envisagé dans le cadre d’un projet de recherche, d’étude ou d’évaluation dans le domaine de la santé, la nécessité de cette exportation de données pseudonymisées devra être étudiée par le comité de pilotage de l’entrepôt, qui devra donner son accord exprès et spécifique à cette fin. Le comité scientifique et éthique s’assure ensuite pour chaque projet de recherche que celui-ci ne pourra pas être réalisé sur une espace projet de l’entrepôt et que les principes de minimisation et de proportionnalité seront respectés quant aux données qui font l’objet de l’exportation. Il appartient également au responsable de traitement d’encadrer contractuellement toute mise à disposition de données afin de s’assurer que l’exportation : est entreprise vers un environnement dont les mesures de sécurité sont adaptées au niveau de risque, conformément aux article 5.1.f) et 32 du RGPD ; permettra uniquement la réutilisation des données aux fins approuvées par le comité scientifique et éthique et pour le traitement ayant fait l’objet de formalités requises auprès de la CNIL. AUTORISE l’INSTITUT GUSTAVE ROUSSY à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DT-2024-004 du 9 février 2024 autorisant la société FRANCE TISSUE BANK à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé. (Demande d’autorisation n° 2231429).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur la responsabilité de traitement La société FRANCE TISSUE BANK (FTB) est une société par actions simplifiée dont l’objet est principalement de faciliter l’accès aux échantillons biologiques humains pour les équipes de recherche. Créée en 2019, elle collabore avec différents partenaires industriels, dont principalement le laboratoire d’analyses médicales MEDIPATH ou des équipes de recherche, afin de leur permettre de mener à bien des projets dans le cadre du développement de tests compagnons, de tests basés sur l’intelligence artificielle, du développement de molécules ou de biomarqueurs, etc. La société FRANCE TISSUE BANK appartient à la société MDP LIFE SCIENCE, elle-même détenue par des médecins et le Directeur général de la société MEDIPATH. La société FTB interviennent en qualité de responsable de traitement dans le cadre de la constitution de l’entrepôt de données de santé. Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé , à l’exception : de la base légale du traitement ; de certaines mesures de sécurité. Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé. L’entrepôt constitué par la société FRANCE TISSUE BANK a pour objectifs : la réalisation de recherches, d’études ou d’évaluations dans le domaine de la santé et principalement dans le domaine de la cancérologie. la constitution d’un index de données à caractère personnel pseudonymisées permettant de cartographier les données disponibles auprès des apporteurs de données ; le croisement de données multimodales (données d’anatomopathologie, de biologie, de radiologie ou cliniques) ; la réalisation d’études de faisabilité de projets de recherche pouvant être menés à partir de l’entrepôt. Les données contenues dans cet entrepôt ne pourront, par analogie avec les finalités interdites d’utilisation du Système national des données de santé (SNDS), être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. Le traitement mis en œuvre par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit, est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi informatique et libertés modifiée. Sur les données traitées Les données à caractère personnel des patients sont issues des logiciels de gestion de laboratoire en anatomo-pathologie et biologie médicale des sociétés MEDIPATH et BIOESTEREL. Le numéro d'inscription au répertoire national d’identification des personnes physiques (NIR) ne sera pas collecté. Aucune donnée relative aux professionnels de santé ne sera collectée. L’ajout de toute nouvelle source de données à l’entrepôt devra faire l’objet d’une demande de modification substantielle auprès de la CNIL. Sur les conditions de mise à disposition des jeux de données traitées Le dossier de demande d’autorisation indique que les données mises à disposition par l’entrepôt seront : soit des données pseudonymisées auxquelles le porteur de projet accédera au sein d’un espace de travail spécifique de l’entrepôt de données de santé ; soit des données anonymisées transmises en dehors de l’entrepôt de données de santé. L’utilisation des espaces de travail spécifiques de l’entrepôt sera la priorité d’usage : les exportations de données anonymisées ne seront utilisées qu’en l’absence de possibilité d’utiliser ces espaces de travail. Le dossier déposé ne matérialise pas le fait que les données exportées peuvent être qualifiées d’anonymes en toutes circonstances : les données soumises au processus d’anonymisation lors d’une exportation sont des données structurées de biologie médicale et d’anatomo-pathologie, ainsi que la classe d’âge et le sexe de la personne. Les mécanismes décrits dans le dossier consistent à inclure uniquement des données concernant la pathologie nécessaire à l’étude, à généraliser certains attributs, comme l’âge, le résultat d’une analyse ou la date de prélèvement, ainsi qu’à supprimer certains attributs si ceux-ci ne sont pas nécessaires à une étude. La granularité des données exportées porterait au niveau individuel et un identifiant non significatif serait ajouté pour chaque exportation. Au vu de ces éléments, le caractère anonyme ou non des données transmises à l’issue du procédé décrit dans le dossier ne peut pas être déterminé a priori/de manière universelle. En effet, il n’est pas démontré que les données de biologie médicale et d'anatomo-pathologie traitées par FRANCE TISSUE BANK peuvent être rendues anonymes dans le cas général et sans autre hypothèse sur l’extrait de la base considéré ou les données accessibles par ailleurs au destinataire. Pour se prévaloir de l’anonymat d’un jeu de données exportées, FRANCE TISSUE BANK devra réaliser en coopération avec le porteur de projet une analyse pour chaque exportation permettant de démontrer que les personnes auxquelles les données se rapportent ne sont pas ou plus identifiables, soit en utilisant les critères définis dans l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014, soit, à défaut de respecter ces critères, de mener une étude des risques de réidentification afin de démontrer que ces risques sont négligeables. L’exportation ne pourra être effectuée que s’il est établi et documenté que le risque est négligeable. L’analyse du caractère anonyme du jeu de données mis à disposition devra être contextuelle au projet et prendre en compte notamment : la nature des données faisant l’objet d’une demande d’exportation ; la quantité de données répondant à un projet ; la résolution des données répondant à un projet ; le nombre de personnes concernées auxquelles les données destinées à être anonymisées se rapportent ; les moyens raisonnablement susceptibles d’être utilisés pour identifier une personne par le responsable de traitement ou par toute autre personne ; les moyens raisonnablement susceptibles d’être utilisés pour identifier une personne par le destinataire qui sollicite le jeu de données, notamment : les informations auxiliaires, c’est-à-dire qui permettraient l'identification, dont ce destinataire dispose ou pourrait disposer, y compris des jeux de données présumément anonymes issus de la même base ; les moyens (puissance de calcul, en particulier) dont il dispose ou pourrait disposer ; les différents accès qu’il a pu avoir aux données pseudonymisées originales dans un espace de travail spécifique de l’entrepôt. Concernant les méthodes d’anonymisation, il est rappelé que l’identifiant non signifiant devra être unique pour chaque exportation. Le fait que les données exportées contiennent des enregistrements individuels, c’est-à-dire attachés à un individu déterminé, distingué par cet identifiant, est un élément qui peut grandement influer sur la possibilité d’identification d’une personne. L’utilisation de méthodes comme la randomisation, l’ajout de bruit ou l’agrégation des données de plusieurs individus en combinaison des méthodes de généralisation déjà prévues par FRANCE TISSUE BANK contribuerait en outre à réduire les risques de réidentification. En complément de cette analyse, il est souhaitable que le responsable de traitement mette en œuvre des mesures contractuelles avec un destinataire/porteur de projet imposant notamment : la destruction des données exportées après une certaine période dont le point de départ est la fin d’un projet ; l’interdiction pour les destinataires de tenter une réidentification des personnes ; l’interdiction de toute diffusion des données mises à disposition par FRANCE TISSUE BANK ; l’interdiction de toute utilisation des données mises à disposition pour une finalité autre que celle prévue par le contrat ; des mesures de sécurité encadrant l’accès aux données exportées au sein des systèmes des destinataires, permettant ainsi d’assurer une confidentialité des données (chiffrement des données, contrôles d’accès ne permettant qu’à un nombre restreint de personnes d’avoir accès aux données). Sur l’information des personnes Il appartient à FRANCE TISSUE BANK, en sa qualité de responsable de traitement de l’entrepôt, de transmettre aux apporteurs de données MEDIPATH et BIOESTEREL, une note d’information à destination des patients et de leurs représentants légaux, conforme aux dispositions du RGPD et de s’assurer que cette information leur sera remise. Les supports d’information devront, en tout état de cause, mentionner explicitement, que l’exercice des droits par les personnes, notamment leur droit d’opposition, n’aura pas de conséquence sur leur prise en charge médicale. S’agissant des patients dont les données ont été collectées antérieurement à la constitution de l’entrepôt et n’étant plus suivis : Lorsque les coordonnées sont connues, une note d’information individuelle, comportant l’ensemble des mentions prévues par le RGPD, sera adressée aux patients, par ordre de préférence : soit par l’envoi d’un courrier électronique ; soit par l’envoi d’un SMS sur le téléphone portable de la personne concernée ; soit par l’envoi d’un courrier postal. Cette information pourra être réalisée via le logiciel de gestion dynamique de l’information des personnes utilisé par la société MEDIPATH, dans le cadre de son activité. Les courriers électroniques et SMS adressés aux personnes concernées ne devront révéler aucune information sur leur état de santé réel ou supposé. Toutefois, en application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, lorsque les coordonnées ne sont pas disponibles, il sera fait exception au principe d'information individuelle des patients pris en charge antérieurement à la constitution de l’entrepôt et n’étant plus suivis. Des mesures appropriées seront mises en œuvre, notamment par l’affichage dans les établissements concernés, ainsi que par la diffusion sur les sites web du responsable de traitement et des apporteurs de données d’une information comportant l’ensemble des mentions prévues par le RGPD. S’agissant des patients pris en charge postérieurement à la constitution de l’entrepôt : Une note d’information individuelle, comportant l’ensemble des mentions prévues par le RGPD, est remise aux patients, au moment de leur prise en charge. Par ailleurs : une note d’information sera diffusée par voie d’affichage dans la salle d’accueil/d’attente ou sur le site web des apporteurs de données MEDIPATH et BIOESTEREL ; une note d’information spécifique est prévue pour les mineurs et majeurs faisant l’objet d’une mesure de protection ; une note d’information comportant l’ensemble des mentions prévues par le RGPD devra être remise aux représentants légaux des personnes concernées. S’agissant des utilisateurs de l’entrepôt : Ils devront être informés de la collecte de leurs données le cas échéant, au moment de leur connexion et préalablement à l’envoi du login et du mot de passe. Le responsable de traitement diffusera sur son site web une information relative à la base de données ainsi que des informations sur les projets de recherches, études et évaluations dans le domaine de la santé menés à partir des données qu’elle contient (portail de transparence). Ces documents d’information devront comporter l’ensemble des mentions prévues par le RGPD. L’information relative à la constitution de la base de données ne peut se substituer à l’information individuelle préalable prévue par les dispositions du RGPD et de la loi informatique et libertés , qui devra être réalisée pour chaque traitement de données réalisé à partir des données de la base. Sur la sécurité des données et la traçabilité des actions Les mesures de sécurité mises en place par le responsable de traitement visent à garantir la conformité de l’entrepôt aux exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . Le point de non-conformité vis-à-vis de ce référentiel relevé par le responsable de traitement est le suivant : l’inclusion du sexe dans la base de données principale de l’entrepôt. La non-conformité relative à l’inclusion des données dans la base principale de l’entrepôt a été justifiée par le responsable de traitement comme étant nécessaires pour permettre la réalisation de recherches ultérieures. En outre, le responsable de traitement indique qu’il souhaite utiliser le numéro pseudonyme unique du cœur de l’entrepôt en tant qu’identifiant dans les espaces de travail. Il est rappelé que l’exigence de sécurité SEC-ESP-2 impose qu’ un numéro pseudonyme unique spécifique à chaque espace de travail devra être généré dans les mêmes conditions qu’à l’exigence SEC-PSE-1 . En l’absence de contraintes techniques ou opérationnelles justifiant cet écart, un nouvel identifiant devra être généré dans les espaces de travail afin de se conformer à cette exigence. Certaines mesures de sécurité techniques et organisationnelles prévues afin d’améliorer la conformité au référentiel entrepôt de données dans le domaine de la santé sont en cours d’implémentation, notamment : l’interconnexion sécurisée via des réseaux virtuels privés entre les apporteurs de données et l’entrepôt ; le déploiement et l’alimentation des trois répertoires de l’entrepôt de données de santé (résultat, génomique et table de correspondance) ; la création des espaces de travail ; la mise à disposition des données dans les espaces de travail spécifiques avec calcul d’un identifiant unique. La mise en œuvre de l’intégralité des mesures de sécurité devra intervenir dans les meilleurs délais. Ces mesures, qui devront être opérationnelles lors de la mise en œuvre du traitement, répondront alors aux exigences prévues par les articles 5-1-f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. AUTORISE, dans ces conditions, la société FRANCE TISSUE BANK à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU


Décision DT-2024-005 du 15 février 2024 autorisant les LABORATOIRES SERVIER à mettre en œuvre un traitement de données ayant pour finalité la gestion d’un cadre de prescription compassionnelle concernant la spécialité TIBSOVO (IVOSIDENIB) 250mg, comprimé pelliculé dans l’indication « traitement en monothérapie des patients adultes atteints d’un gliome de bas grade IDH1 muté, inopérables, non répondeur ou en progression ». (Demande d’autorisation n°2231571v1).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Remarque liminaire La présente demande concerne la mise en œuvre d’un traitement de données à caractère personnel dans un cadre de prescription compassionnelle. Elle a fait l’objet d’une décision de l’Agence nationale de sécurité du médicalement du 13 février 2024 établissant un cadre de prescription compassionnelle de la spécialité TIBSOVO (IVOSIDENIB) 250mg, comprimé pelliculé dans l’indication traitement en monothérapie des patients adultes atteints d’un gliome de bas grade IDH1 muté, inopérables, non répondeur ou en progression après : un traitement par radiothérapie ou y étant inéligible, et au moins une ligne de chimiothérapie à base de témozolomide ou y étant non éligible . Points de non-conformité au référentiel concerné Le traitement envisagé est conforme aux dispositions du référentiel RS-004 (accès compassionnel), à l'exception de la finalité poursuivie. Finalité du traitement Le traitement est mis en œuvre à des fins de : collecte, enregistrement, analyse, suivi, documentation, transmission et de conservation des données relatives à l'accès, à l'initiation, au suivi et à l'arrêt des prescriptions d’un médicament dans le cadre défini par l'article L. 5121-12-1. III du code de la santé publique ; gestion des contacts avec les professionnels de santé intervenant dans le cadre du suivi des patients bénéficiant d’un médicament sous cadre de prescription compassionnelle et les personnels agissant sous leur responsabilité ou autorité. Nature des données traitées La collecte de données génétiques et de données relatives à la vie sexuelle des patients a été scientifiquement justifiée dans le dossier de demande. Information des personnes Toutes les personnes concernées (patients et professionnels de santé) recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). Transferts hors de l’Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durées de conservation Les données traitées sont conservées en base active dans la limite de deux ans suivant l'approbation par l'ANSM du résumé du dernier rapport de synthèse. Les données sont ensuite archivées en base intermédiaire pendant la durée de l'autorisation du cadre de prescription compassionnel et ne peuvent pas être conservées, en fonction du médicament concerné, de l'indication thérapeutique visée et des dispositions législatives et règlementaires en vigueur, au-delà d'une période de soixante-dix ans à compter de la date d'expiration du cadre de prescription compassionnel. AUTORISE les laboratoires servier à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU