AgentPublic/cnil huggingface dataset:
Délibération n° 2020-055 du 14 mai 2020 autorisant la société IMPLICITY à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur le développement et la validation d’algorithmes de prédiction des crises de décompensation cardiaque chez les patients porteurs d'implants cardiaques connectés, intitulée "HYDRO". (Rectificatif)
(Demande d’autorisation n° 920054)
La Commission nationale de l'informatique et des libertés,
Saisie par la société IMPLICITY d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur le développement et la validation d’algorithmes de prédiction des crises de décompensation cardiaque chez les patients porteurs d'implants cardiaques connectés, intitulée HYDRO ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu la loi n° 2017-1836 du 30 décembre 2017 de financement de la sécurité sociale, notamment son article 54 ;
Vu la loi n° 2019-774 du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé ;
Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé Système national des données de santé 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé ;
Vu l’arrêté du 11 octobre 2018 portant cahiers des charges des expérimentations relatives à la prise en charge par télésurveillance mises en œuvre sur le fondement de l’article 54 de la loi n°2017-1836 de financement de la sécurité sociale pour 2018 ;
Vu l’avis du Comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé du 27 novembre 2019 ;
Vu la délibération n° 2020-044 du 20 avril 2020 portant avis sur un projet d'arrêté complétant l’arrêté du 23 mars 2020 prescrivant les mesures d’organisation et de fonctionnement du système de santé nécessaires pour faire face à l’épidémie de covid-19 dans le cadre de l’état d’urgence sanitaire (demande d’avis n° 20006669) ;
Après avoir entendu Mme Valérie PEUGEOT, Commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La demande d’autorisation dont est saisie la Commission nécessite un accès aux données du SNIIRAM, du PMSI et du CépiDC, composantes du Système national des données de santé (ci-après SNDS ), au sein de la solution technique de la Plateforme des données de santé (Health Data Hub ou HDH) pour les années 2010 à 2023.
Le projet de traitement, qui constitue une recherche n’impliquant pas la personne humaine, a reçu un avis favorable du Comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé le 27 novembre 2019.
Un courrier de prolongation du délai a été adressé au responsable de traitement le 13 mars 2020.
Sur le responsable de traitement :
Créée en 2016, la société Implicity est une société par actions simplifiée spécialisée en e-santé qui a notamment développé une plateforme de télésuivi des patients porteurs de dispositifs médicaux connectés, appelée Implicity .
La Commission relève que la société Implicity est un industriel du secteur de la santé qui a pour objectif le développement et la commercialisation d’un algorithme de diagnostic et de prédiction des crises de décompensation cardiaque, considéré comme un dispositif médical de type logiciel. Elle observe ainsi que les dispositions du code de la santé publique (ci-après CSP ) relatives à l’accès aux données du SNDS et notamment les articles L. 1461-1 et L. 1461-3 du CSP s’appliquent en l’espèce au responsable de traitement.
Le dossier de demande mentionne que la Plateforme des données de santé intervient en qualité de partenaire de la société Implicity dans la mesure où elle fournit l'infrastructure technique pour l'hébergement de données de santé. La Commission en déduit que la Plateforme des données de santé intervient en qualité de sous-traitante en l’absence de responsabilités conjointes. La Commission rappelle à ce titre que le traitement des données par les sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article 28 du RGPD.
Cependant, cette analyse pourrait être remise en cause lors de la publication du décret modifiant le décret n°2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé Système national des données de santé . La Commission tient à préciser qu’en pareil cas, la convention conclue entre la société Implicity et la Plateforme des données de santé devra être modifiée en conséquence. Elle rappelle en outre qu’une telle modification constituera une modification substantielle nécessitant une modification de la présente autorisation.
Sur la base légale du traitement et l’exception permettant de traiter des données sensibles
Les traitements mis en œuvre par la société Implicity s’inscrivent dans le cadre de son activité commerciale. Ils sont nécessaires aux fins des intérêts légitimes poursuivis par le responsable de traitement, prenant en considération le caractère très indirectement identifiant des données et des garanties, notamment en termes de droits des personnes, prévues par les textes encadrant la mise à disposition des données du SNDS.
Ces traitements sont, à ce titre, licites au regard de l’article 6-1-f) du Règlement général sur la protection des données (ci-après RGPD ).
En outre, la Commission estime que ces traitements, nécessaires à des fins de recherche scientifique, remplissent la condition prévue à l’article 9-2-j) du RGPD permettant de traiter des données concernant la santé.
Sur la finalité et l’intérêt public du traitement :
L’objectif principal de cette étude est de développer et de valider un algorithme de diagnostic et de prédiction des crises de décompensation cardiaque.
La Commission relève que cet algorithme vise à permettre l’adaptation de la prise en charge médicale afin de prévenir d’une hospitalisation des patients insuffisants cardiaques porteurs de prothèse rythmique, sur l’ensemble du territoire national et quelle que soit la marque du dispositif implanté. L’objectif est également de réduire les coûts liés à leur prise en charge médicale.
Cette étude s’inscrit par ailleurs dans le cadre du développement technologique pour répondre aux futures prises en charge de télémédecine dans le monde, telles que prévues par le cahier des charges portant sur les expérimentations de télémédecine pour l’amélioration des parcours en santé (ETAPES) prévu par l’arrêté du 11 octobre 2018 portant cahiers des charges des expérimentations relatives à la prise en charge par télésurveillance mises en œuvre sur le fondement de l’article 54 de la loi n°2017-1836 de financement de la sécurité sociale pour 2018.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5-1-b) du RGPD. Elle estime, par ailleurs, que ce traitement présente une finalité d’intérêt public, conformément à l’article 66-I de la loi informatique et libertés .
Sur la nature des données traitées :
Les catégories de données dont le traitement est envisagé dans cette étude sont :
Les données du SNIIRAM, du PMSI et du CépiDC, composantes du SNDS, pour les années 2010 à 2023 concernant l’ensemble des personnes présentant une insuffisance cardiaque et/ou porteur d’une prothèse cardiaque rythmique implantée :
	
données d’identification : mois et année de naissance, sexe ;
données de santé : acte et date d’implantation, type de dispositif implanté, traitements médicamenteux, séjours médicaux, comorbidités, actes médicaux réalisés, dispositifs médicaux, liste des examens réalisés, comorbidités et décès.
Les données de la plateforme de télésuivi IMPLICITY concernant les personnes porteuses d’un dispositif médical connecté sur les dix dernières années et celles des nouveaux patients :
	
données d’identification : mois et année de naissance, sexe ;
données de santé : acte et date d’implantation, type de dispositif implanté, données cliniques, données issues des dispositifs médicaux et déterminant l’état de santé du patient et données issues d’algorithmes ou de capteurs comparables ;
données collectées par la solution technique du responsable de traitement dans le cadre de l’étude DAI-PP , réalisée par l’Institut national de la santé et de la recherche médicale (INSERM) et qui a fait l’objet d’une déclaration de conformité à la méthodologie de référence MR003 (n°2118761).
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
La Commission relève par ailleurs qu’il est envisagé que des données de l’étude soient mises à disposition de la Plateforme des données de santé dans un catalogue de données de télécardiologie . A ce titre, la Commission rappelle que si ces données ont vocation à intégrer une base pérenne, à des fins de réutilisation pour des traitements ultérieurs, la constitution d’une telle base de données relève, sauf en cas de recueil du consentement exprès de la personne concernée, du régime d’autorisation prévu par les dispositions générales de la section 3 du chapitre III du titre 2 de la loi informatique et libertés applicable aux traitements de données à caractère personnel dans le domaine de la santé. Toute nouvelle étude qui serait mise en œuvre à partir de ces données devra en outre faire l’objet de formalités auprès de la Commission.
Sur l’accès direct aux données du SNDS par un industriel de santé :
Afin de pouvoir accéder aux données du SNDS, le responsable de traitement est tenu, conformément aux dispositions de l’article L.1461-3 du Code de la santé publique :
soit de démontrer que les modalités de mise en œuvre du traitement rendent impossible toute utilisation des données pour l'une des finalités mentionnées au V de l'article L. 1461-1 ;
soit de recourir à un laboratoire de recherche ou à un bureau d'études, public ou privé, pour réaliser le traitement.
En l’espèce, le responsable de traitement ne souhaite pas recourir à un laboratoire de recherche ou à un bureau d’études. Il lui appartient donc de démontrer que les modalités de mise en œuvre du traitement rendent impossible toute utilisation des données pour l'une des finalités interdites, en particulier pour la promotion de certains produits de santé en direction des professionnels de santé ou d'établissements de santé.
A ce titre, le responsable de traitement a présenté un argumentaire détaillé incluant la mise en œuvre d’un ensemble de mesures techniques et organisationnelles spécifiques.
En premier lieu, la Commission relève que le responsable de traitement s’engage à ce que seuls les personnels spécifiquement identifiés au sein de l’équipe de recherche et développement puissent être habilités à accéder à l’espace projet. Une séparation stricte des rôles entre le personnel de recherche et développement et le personnel en charge du développement commercial des produits de la société est mise en place. La Commission note en ce sens la démarche active de certification ISO 27001 et la réalisation d’audits annuels.
En second lieu, la Commission relève que les personnels concernés seront sensibilisés aux risques et obligations qui leur incombent lors de leur habilitation par le responsable de traitement à accéder à l’espace projet. Ces personnels devront obligatoirement participer à des actions de sensibilisation animées par la Plateforme des données de santé, qui porteront notamment sur les finalités interdites. Au préalable, chaque utilisateur habilité devra s’engager formellement et individuellement à ne pas utiliser les données et les résultats du projet pour la réalisation des finalités interdites.
La Commission prend également acte de ce que le président de la société Implicity s’est engagé à ce que ni lui, ni les supérieurs hiérarchiques des utilisateurs habilités n’incitent ces derniers à utiliser les données du projet HYDRO pour la réalisation de finalités interdites. De même, le directeur de la recherche, responsable des validations d’exports de données, s’est engagé à ce que les données et les résultats du projet HYDRO ne soient pas utilisés pour la réalisation des finalités interdites.
En troisième lieu, et surtout, s’agissant du risque de ré-identification des établissements ou des professionnels de santé à des fins de promotion de produits de santé, la Commission prend acte que les données du projet ne contiendront aucun code identifiant les établissements ou professionnels de santé ni aucune indication géographique les concernant. La Commission prend également acte de ce que l’analyse des risques de ré-identification des établissements, des professionnels de santé et des patients qui a été menée a conduit à prévoir des efforts particulier pour flouter autant que possible les caractéristiques des cas atypiques de patients ayant des particularités rares pouvant mener à une ré-identification.
Concernant le risque de ré-identification indirecte après export des données, la Commission rappelle que seules des données anonymes peuvent être exportées hors d’un environnement homologué conformément à l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé. La Commission relève à cet égard que des procédures dédiées seront mises en place à la fois par le responsable de traitement et par la Plateforme. Ainsi, toute demande d’export fera l’objet d’une validation interne préalable par un représentant identifié au sein de l’organisme responsable de traitement. Un audit systématique et préalable sera également réalisé par la Plateforme sur la base de critères tendant à attester de l’anonymat effectif de l’export souhaité. A cet égard, il est prévu qu’aucun export ne puisse porter sur un nombre de personnes concernées strictement inférieur à dix. La Commission prend acte que le responsable de traitement s’engage à réaliser une liste des exports autorisés avec la Plateforme des données de santé. Toute mise à jour de cette liste et toute exception seront examinées conjointement par les parties.
La Commission rappelle toutefois que les critères et procédures prévues nécessitent d’être revues régulièrement au vu des évolutions des techniques d’anonymisation et de ré-identification.
Au regard de l’ensemble de ces éléments, la Commission estime qu’ils paraissent de nature à démontrer que les modalités de mise en œuvre du traitement rendent impossible toute utilisation des données pour l’une des finalités interdites mentionnées à l’article L. 1461-1 du CSP et notamment en l’espèce à des fins de promotion des produits mentionnés au II de l’article L. 5311-1 en direction des professionnels de santé et des établissements de santé.
Sur la durée de conservation des données :
Les données de l’étude seront mises à disposition sur l’espace projet de la Plateforme des données de santé pour une durée de cinq ans à compter de l’accès effectif à celles-ci et seront détruites à l’issue de ce délai.
Cette durée n’excède pas celle nécessaire aux finalités pour lesquelles les données sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du Règlement général sur la protection des données.
Sur l'information et les droits des personnes :
S’agissant des personnes dont les données proviennent exclusivement du SDNS
S'agissant de données provenant exclusivement du SNDS, les personnes concernées sont informées de la réutilisation possible de leurs données de santé à caractère personnel selon des modalités définies par l'article R.1461-9 du CSP.
S’agissant des personnes ayant participé au projet DAI-PP
La Commission prend note que les patients de l’étude DAI-PP ont été préalablement et individuellement informés de la réutilisation de leurs données dans le cadre du projet HYDRO. Dans la mesure où des transferts en dehors de l’Union européenne sont envisagés dans le cadre du fonctionnement courant de la Plateforme, la Commission rappelle que le support d’information devra être complété sur ce point afin d’être conforme aux dispositions de l’article 14 du RGPD.
S’agissant des personnes en cours de suivi 
Une information individuelle des personnes concernées sera dispensée dans le cadre de leur télésurveillance. Cette information sera délivrée par le professionnel de santé en charge de leur suivi lors d’une consultation. Elle portera d’une part sur la collecte des données dans le cadre du télésuivi et d’autre part sur la réutilisation de ces données à des fins de recherche et plus précisément dans le cadre du projet Hydro, la conception par la société Implicity d’algorithmes de calcul de risques d’évènements cardiovasculaires chez des patients atteints d’insuffisance cardiaque ou d’arythmies . Est également précisé que ces données pourront être appariées aux données du SNDS.
Cette note d’information renvoie à un dispositif spécifique d’information auquel les personnes concernées pourront se reporter préalablement à la mise en œuvre de chaque nouveau traitement de données à des fins de recherche mené par le responsable de traitement. Celui-ci se matérialise par la création d’une page Recherches sur le site web du responsable de traitement dont une page est spécifiquement dédiée au projet HYDRO.
Dans la mesure où des transferts en dehors de l’Union européenne sont envisagés dans le cadre du fonctionnement courant de la Plateforme, la Commission rappelle que le support d’information devra être complété sur ce point afin d’être conforme aux dispositions de l’article 14 du RGPD.
Un consentement exprès portant sur la réutilisation des données à des fins de recherche et matérialisé par une case à cocher spécifique est prévu afin de s’assurer de la bonne compréhension par la personne concernée de l’éventuelle réutilisation de ses données de télésurveillance à des fins de recherche. Ce consentement porte sur la réutilisation à des fins de recherche de manière générale et n’est pas spécifique au projet Hydro. La personne concernée peut ainsi dès délivrance de l’information individuelle, refuser que ses données soient utilisées dans le cadre de recherches ultérieures sans que cela emporte de conséquence sur son suivi médical par télésurveillance. Il lui est également rappelé qu’elle dispose d’un droit d’opposition à l’utilisation de ses données à des fins de recherche pouvant s’exercer à tout moment pour chacun des projets qui seraient menées et notamment le projet Hydro.
S’agissant des personnes ne faisant plus l’objet d’un suivi dans le cadre de la télésurveillance
En application de l'article 14-5-b du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions dans l'hypothèse où la fourniture d'une telle information se révèle impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, conformément au Règlement général sur la protection des données, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, la Commission prend acte qu'il sera fait exception au principe d'information individuelle des personnes qui ne font plus l’objet d’un suivi dans le cadre de la télésurveillance et que des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement d’une information relative au projet de recherche comportant l’ensemble des mentions prévues par l’article 14 du Règlement général sur la protection des données.
Le dossier mentionne que l’exercice des droits d’accès, de rectification, de limitation du traitement, d’opposition et d’effacement pourront être exercés à tout moment par les personnes concernées auprès du responsable de traitement.
La Commission relève que les droits de rectification, de limitation du traitement, d’opposition et d’effacement pourront être exercés sur l’ensemble des données du projet jusqu’à la date de destruction des secrets de pseudonymisation, prévue le 30 juin 2021. A cet égard, le dossier prévoit qu’en cas d’exercice du droit d’opposition avant cette date, les données seront supprimées de l’espace projet et qu’aucune nouvelle donnée concernant la personne ne sera incluse dans la base projet.
Par ailleurs, le dossier prévoit qu’à compter de la date de destruction des secrets de pseudonymisation, l’exercice de ces droits ne pourra être effectué directement que pour les données incluses postérieurement dans l’espace projet. Les personnes participant à la recherche sont informées des modalités d’exercice de ces droits avant et après la destruction des secrets de pseudonymisation.
La Commission rappelle que conformément aux principes de transparence et de loyauté de l’article 5 du RGPD et comme précisé dans les lignes directrices sur la transparence adoptées par le groupe de travail Article 29 le 29 novembre 2017, le responsable de traitement doit informer les personnes concernées de toute restriction spécifique applicable à ces droits afin de s’assurer que leurs attentes raisonnables n’ont pas été trompées. La Commission rappelle également que si les personnes concernées fournissent des informations complémentaires permettant leur ré-identification, un tel exercice devra être rendu possible conformément à l’article 11 du RGPD.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes au regard des dispositions du RGPD et de la loi Informatique et libertés .
Sur la sécurité des données et l’évaluation des risques
En préambule, la Commission rappelle que le traitement des données du SNDS et ses composantes doit s’effectuer en conformité avec les dispositions des articles L. 1461-1 à L. 1461-7 du code de la santé publique. En particulier, les mesures de sécurité doivent être conformes au référentiel de sécurité prévu par l'arrêté du 22 mars 2017.
Des pseudonymes seront calculés de manière déterministe en utilisant des fonctions de hachage et des secrets cryptographiques, pour la transmission par le responsable de traitement à la CNAM aux fins d’appariement et lors de la mise à disposition par la Plateforme des données de santé. La Commission prend note qu’aucune table de correspondance ne sera stockée et que seuls les secrets cryptographiques seront conservés par le responsable de traitement et par la Plateforme des données de santé, sur des supports chiffrés et protégés physiquement, dont les accès nécessiteront l’intervention de deux personnes distinctes, au sein de chaque entité.
Sur l’appariement : Cette étude nécessite l’appariement de deux types de données sur la solution technique de la Plateforme : celles provenant de la plateforme de télésurveillance du responsable de traitement et celles présentes dans le SNDS pour les personnes visées par l’étude. Seules les données de patients implantés seront appariées. Cet appariement se fera de façon probabiliste grâce aux données relatives à l’acte d’implantation du dispositif et aux données d’identification partielle du patient.