AgentPublic/cnil huggingface dataset:
Vu la délibération n° 2024-023 du 14 mars 2024 autorisant le consortium AGORIA SANTE composé des sociétés Docaposte, AstraZeneca, Impact Healthcare et Takeda à modifier un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé "Plateforme Agoria santé" ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie ZINS, commissaire et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
 
Formule les observations suivantes :
 
Modification substantielle du traitement de données
La société BPO-Bioépine, laboratoire de biologie médicale du réseau BIOGROUP représente les intérêts de vingt-huit laboratoires appartenant au groupe BIOGROUP, constitués en sociétés d'exercice libéral par actions simplifiée (SELAS). En cette qualité, elle centralisera des données pour le compte de chaque SELAS en vue de les verser dans l’entrepôt dénommé "Plateforme AGORIA SANTE". La société BPO-Bioépine alimentera l’entrepôt par des données à caractère personnel issues des dossiers médicaux informatisés des laboratoires de biologie médicale, puis les détruira après versement. Ces données seront appariées avec celles du Système national des données de santé (SNDS).
Conformément à la délibération n° 2022-063 du 23 mai 2022, l’identifiant patient présent dans les données sources devra être remplacé par un nouvel identifiant généré selon les recommandations de la CNIL lors de leur intégration dans l’entrepôt.
S’agissant des données provenant des dossiers médicaux des patients pris en charge dans un laboratoire de la société BIOGROUP :
La "Plateforme AGORIA SANTE" sera enrichie des données à caractère personnel provenant des dossiers médicaux des patients pris en charge dans un laboratoire du réseau BIOGROUP, regroupées en neuf programmes de recherche portant sur :
les maladies et risques cardio-vasculaires ;
la fibrose hépatique ;
le diabète ;
l’oncologie ;
la fertilité ;
les infections sexuellement transmissibles ;
les virus respiratoires grippe/covid/virus respiratoire syncitial ;
la dysthyroïdie.
Le Comité éthique et scientifique intégré à la gouvernance de l’entrepôt a émis un avis, le 17 décembre 2024, sur la constitution de "programmes de recherche" et plus spécifiquement sur certains d’entre eux, en vue de leur versement dans l’entrepôt.
S’agissant des données provenant des dossiers médicaux de biologie médicale :
Certaines données à caractère personnel recueillies dans le cadre du soin alimenteront la plateforme AGORIA :
données administratives d’identification : numéro d’identifiant patient interne à BIOGROUP (code numérique) ;
données de localisation : code postal de résidence (4 premiers chiffres) ;
données de santé :
données démographiques : mois et année de naissance, sexe ;
date de prescription du soin ;
date d’enregistrement du dossier prélèvement ;
données de résultats d’analyse de biologie médicale ;
données recueillies pour une à trois prescription(s) par patient (données relatives aux prises en charge effectuées entre le 1er janvier 2021 et le 31 décembre 2025) :
					
lieu de soin (FINESS du laboratoire dans lequel le patient a été pris en charge) ;
consommation de soin : liste des actes facturés sous forme de codes de Nomenclature des Actes de Biologie Médicale (NABM).
S’agissant des traitements de données du SNDS :
Les données du SNIIRAM et du PMSI des années 2016 à 2027 alimenteront la "Plateforme AGORIA SANTE" aux fins de mise en œuvre du suivi passif des personnes concernées.
Elles seront mises à disposition par la Caisse nationale de l’assurance maladie (CNAM). 
Les responsables conjoints de traitement ont transmis, à l’appui de leur demande, plusieurs expressions de besoins précisant, pour chaque base de données, les données du SNDS ayant vocation à alimenter "Plateforme AGORIA SANTE".
L’appariement sera réalisé de manière probabiliste et itérative à l’aide de variables communes (par exemple l’année de naissance, le sexe, la date de soins, le code FINESS du lieu de prise en charge). Afin de réduire les risques au regard des finalités interdites du SNDS, les codes FINESS seront conservés :
de manière cloisonnée par rapport aux données de l’entrepôt ;
aux seules fins d’appariement avec le SNDS.
Seules les variables communes d’appariement des bases sources seront transmises à la CNAM en vue de l’extraction des données du SNDS. Un nouveau numéro d’identification pseudonymisé sera généré par la CNAM pour chaque personne dont les données sont extraites du SNDS. Afin d’assurer la cohérence des extractions récurrentes, une table de correspondance avec les bases sources sera créée et conservée par la CNAM.
Le code FINESS identifiant les laboratoires sera masqué dès réception sur la plateforme AGORIA à l’aide d’une fonction cryptographique de hachage à clé secrète, récente et résistante aux attaques par force brute. 
Le masquage sera effectué dans la zone de pseudonymisation, cloisonnée du reste de l’entrepôt ; les FINESS non masqués devront être supprimés à bref délai, dès le contrôle qualité effectué.
Sur l’information des personnes 
S’agissant des personnes prises en charge postérieurement au versement des données dans l’entrepôt ou toujours suivies :
La note d’information individuelle qu’elles recevront mentionnera le versement de leurs données dans l’entrepôt, sauf opposition de leur part. Une note d’information spécifique à l’entrepôt leur sera également communiquée lors de l’envoi des comptes rendus d’analyse.
S’agissant des personnes prises en charge antérieurement au versement des données dans l’entrepôt et n’étant plus suivies :
Lorsque le laboratoire dispose toujours des coordonnées de la personne, une note d’information individuelle sera transmise dès notification de la présente autorisation. Par ailleurs, des campagnes d’information automatiques seront réalisées par BIOGROUP par courrier électronique tous les trois ans.
En application de l'article 69 de la loi "informatique et libertés" et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des patients pour lesquels le laboratoire ne dispose plus de coordonnées et n’étant plus suivis.
Des mesures appropriées seront mises en œuvre, notamment par la diffusion sur les sites web de la société BIOGROUP et des responsables de traitement, ainsi que par voie d’affichage dans les salles d’attente des laboratoires participants, d’une information qui devra comporter l’ensemble des mentions prévues par le RGPD. Par ailleurs, un renvoi vers le site web dédié à la "Plateforme AGORIA SANTE" sera opéré sur le site web de la société BIOGROUP.
Observations complémentaires
En raison de l’ajout du traitement de variables géographiques pour les patients et de codes identifiants pour les établissements, le consortium AGORIA SANTE devra renforcer ses mesures de prévention contre la poursuite des finalités interdites du SNDS, dont notamment :
exclusion par principe de catégories de personnels qui ne pourront pas faire partie d’équipes de recherche (services commerciaux, développement de dispositifs médicaux, etc.) ;
exclusion des personnels ayant un lien à caractère promotionnel avec des acteurs de santé ou un conflit d’intérêt par rapport à une étude ;
vigilance particulière concernant l’utilisation de critères géographiques de filtrage et/ou de restitution dans les études réalisées (par ex. département d’exercice du prescripteur et de l’établissement de soin, commune de résidence du patient) ;
formation et sensibilisation des personnels ;
gestion des risques, surveillance des incidents et gestion des violations de données en lien avec un détournement de finalité (en particulier : minimisation et granularité des données, risques de réidentification).
Les autres conditions de mise en œuvre de la "Plateforme AGORIA SANTE" restent inchangées.
Autorise, conformément à la présente délibération, le consortium AGORIA SANTE composé des sociétés Docaposte, AstraZeneca, Impact Healthcare et Takeda à mettre en œuvre le traitement mentionné ci-dessus.
La Présidente
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie le 20 février 2025 par la société PFIZER d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé dénommé "Pfizer France DataHub" ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66 et suivants ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie Zins, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
 
 
Formule les observations suivantes :
 
Sur le responsable de traitement
La société PFIZER est une entreprise biopharmaceutique états-unienne qui développe et produit des médicaments et des vaccins (immunologie, oncologie, cardiologie, endocrinologie, neurologie).
Sur le responsable de la mise en œuvre 
La société Clinityx est chargée de la mise en œuvre technique de l’entrepôt et de la gestion des données après leur collecte. 
 
Elle intervient en qualité de sous-traitant de la société PFIZER.
Sur la finalité du traitement
Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé "Pfizer France DataHub".
 
Ce dernier a pour finalité la réalisation d’études n’impliquant pas la personne humaine justifiées par l’intérêt public.
 
 
Il s’agit plus particulièrement : 
 
d’études épidémiologiques observationnelles ;
d’étude de sécurité et d’efficacité du médicament ;
d’évaluation des stratégies thérapeutiques et des traitements ;
d’études médico-économiques ;
d’études des parcours de soins ;
d’étude de la qualité de vie des patients ; 
d’étude sur l’impact socio-professionnel ;
de développement ou validation de méthodes, solutions ou algorithmes d’intelligence artificielle en santé.
 
La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du RGPD.
Les données contenues dans cet entrepôt ne sauraient, conformément aux dispositions de l’article L. 1461-1 du code de la santé publique (CSP), être exploitées à des fins de promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé, ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d’un individu ou d’un groupe d’individus présentant un même risque. De même, la CNIL rappelle l’interdiction de constituer et d’utiliser à des fins de prospection ou de promotion commerciales des fichiers composés à partir des données issues directement ou indirectement des prescriptions médicales, dès lors que ces fichiers permettent d’identifier directement ou indirectement le prescripteur (article L. 4113-7 du CSP).
 
Le traitement mis en œuvre par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi "informatique et libertés" modifiée.
Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi "informatique et libertés", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres.
Sur les points de non-conformité au référentiel concerné
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception :
de la base légale du traitement ;
de la nature des données traitées (appariement des données cliniques avec les données du SNDS).
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel.
Sur les données traitées et les modalités d’appariement 
L’entrepôt sera alimenté par des données à caractère personnel issues :
de l’étude "LOREA" dont le responsable de traitement est PFIZER (déclaration de conformité MR-003) ;
de l’étude "AMBRELA" dont le responsable de traitement est PFIZER (déclaration de conformité MR- 003) ;
du SNDS, pour les personnes incluses dans les études "LOREA" et "AMBRELA".
 
Les données des études "LOREA" et "AMBRELA" seront appariées avec certaines données du SNDS provenant :
du Système national d’information inter-régimes de l’Assurance maladie (SNIIRAM) ;
du Programme de médicalisation des systèmes d’information (PMSI) ;
du Centre d’épidémiologie sur les causes médicales de décès (CépiDC). 
 
Les données du SNDS des années 2019 à 2036 alimenteront l’entrepôt "Pfizer France DataHub" sous réserve qu’elles soient diffusables par la Caisse nationale de l’assurance maladie (CNAM).
 
Sur l’appariement des données des études "LOREA" et AMBRELA et des données du SNDS dans le cadre de l’entrepôt "Pfizer France DataHub" :
L’appariement sera réalisé de manière probabiliste à l’aide de variables communes (sexe, mois et année de naissance, FINESS de l’établissement prenant en charge les patients, commune de résidence, dates d’hospitalisation, date de décès). 
Seules les variables communes d’appariement seront transmises à la CNAM en vue de l’extraction des données du SNDS.
Les données traitées à des fins d’appariement avec le SNDS sont conservées de manière cloisonnée des données pseudonymisées de santé.
Les données traitées étant issues du SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le référentiel de sécurité "SNDS".
 
Seule la société Clinityx accèdera aux données du SNDS, dans le respect des missions qui lui sont confiées.
 
Aucune donnée relative aux professionnels de santé ne sera collectée.
Ces données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du RGPD.
Sur la durée de conservation des données
Les données seront conservées au sein du "Pfizer France DataHub" pour une durée de quinze ans. 
 
Cette durée de conservation des données n’excède celle nécessaire au regard des finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5.1.e) du RGPD.
Sur l’information et le droit d’accès 
Une note d’information individuelle, comportant l’ensemble des mentions prévues par le RGPD, a été remise aux patients et le cas échéant, à leurs représentants légaux, au moment de leur participation aux études "source", intitulées "LOREA" et "AMBRELA".
 
Les patients ont été informés du versement de leurs données au sein de l’entrepôt "Pfizer France DataHub" et de l’appariement avec le SNDS. 
 
La société PFIZER mettra en place sur son site web, une page d’information à laquelle les patients pourront se référer pour recevoir d’éventuels compléments d’informations qui devront comporter l’ensemble des mentions prévues par le RGPD.
 
Ces modalités d’information sont conformes au principe de transparence et aux exigences d’information prévues par les articles 12 et suivants du RGPD.
 
Les droits des personnes s’exerceront auprès du délégué à la protection des données de PFIZER.
L’information relative à la constitution de l’entrepôt ne peut se substituer à l’information individuelle prévue par le RGPD et la loi "informatique et libertés" pour la mise en œuvre de recherches, études et évaluations ultérieures. 
Sur la transparence du traitement
L’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à la Plateforme des données de santé (PDS) de plusieurs éléments par les responsables de traitement, avant et après la réalisation des études.
Les projets de recherche, d’étude ou d’évaluation réalisés à partir des données de l’entrepôt "Pfizer France DataHub" devront être enregistrés au sein du répertoire public de la PDS.
 
La CNIL prend par ailleurs acte de l’engagement de la société PFIZER d’inscrire l’entrepôt au sein du répertoire public de la PDS.
Elle demande enfin que lui soit communiqué tous les trois ans un rapport sur le fonctionnement de l’entrepôt et sur les recherches réalisées à partir des données qu’il contient.
Sur les mesures de sécurité
Le responsable de traitement a réalisé et transmis à l’appui de la présente demande d’autorisation une analyse d’impact relative à la protection des données spécifique à l’entrepôt "Pfizer France DataHub", ainsi qu’une analyse de risque sur la sécurité des systèmes d’information.
Une homologation de la bulle sécurisée du prestataire en charge de l’hébergement des données a été réalisée par l’autorité d’homologation le 7 janvier 2025, conformément au référentiel de sécurité applicable au SNDS prévu par l'arrêté du 6 mai 2024. Cette décision d’homologation n’est valable que jusqu’au 31 décembre 2025 et devra donc être renouvelée avant cette date, si le traitement devait se poursuivre au-delà de cette échéance.
 
Les mesures de sécurité planifiées ou mises en place dans l’entrepôt "Pfizer France DataHub" ont été comparées avec les exigences de sécurité mentionnées dans le référentiel "entrepôts de données de santé" par le responsable de traitement. Aucun écart avec les exigences de sécurité de ce référentiel n’a été relevé.
 
Les mesures de sécurité décrites répondent aux exigences prévues par les articles 5.1.f) et 32 du RGPD, compte tenu des risques identifiés par le responsable de traitement. Il appartiendra à ce dernier de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
 
 
Autorise, conformément à la présente délibération, la société PFIZER à mettre en œuvre le traitement susmentionné pendant 15 ans.
 
 
 
La présidente,
 
M.-L. Denis
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable du Comité de protection des personnes Ile-de-France I du 4 mars 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement mis en œuvre pour les besoins de cette étude a débuté dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001 et que, suite à une modification apportée au traitement, l’étude demeure conforme à ce référentiel, à l'exception des destinataires des données directement identifiantes.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Destinataires des données directement identifiantes
Le responsable de traitement prévoit l’utilisation d’une solution de surveillance à distance des consentements des participants à l’étude. Le sous-traitant et l’attaché de recherche clinique du responsable de traitement seront destinataires de certaines données administratives d’identification des participants (nom, prénom, date de naissance) ainsi que du contenu du formulaire de consentement mentionnant leur pathologie.
Information des personnes
Tous les participants recevront une note d’information individuelle. 
Mesures de sécurité
Les consentements des participants à la recherche seront recueillis au format papier et feront l’objet d’un contrôle qualité réalisé à distance. La solution technique permettant ce contrôle des consentements consiste en une plateforme sécurisée permettant aux centres investigateurs de transmettre les documents (format PDF) nécessaires au contrôle qualité des consentements à distance par les attachés de recherche clinique du promoteur.
Le responsable de traitement a précisé se conformer aux bonnes pratiques émises par la CNIL pour le contrôle qualité à distance des essais cliniques, notamment aux conditions de sécurité communes aux différentes solutions pouvant être utilisées, ainsi qu’aux conditions de sécurité spécifiques à l’"envoi de données par les centres à l’ attaché de recherche clinique du promoteur via une plateforme sécurisée". La solution de contrôle qualité à distance sera hébergée en France par un sous-traitant certifié pour l’hébergement de données de santé.
Le dépôt des documents de consentement numérisés sur la plateforme sera réalisé par les centres investigateurs. Une procédure devra être mise en place afin d’assurer l’authenticité des copies numérisées par rapport aux documents manuscrits d’origine, en s’appuyant sur le règlement eIDAS.
Les connexions à la solution nécessitant un accès à des données administratives d’identification ou de santé seront soumises à une authentification multifacteur (mot de passe et code à usage unique). Tous les mots de passe utilisés devront être conformes à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés.
Les connexions à cette plateforme sécurisée s’effectueront depuis des postes de travail maitrisés du responsable de traitement et des centres investigateurs. Il est recommandé que des mesures de filtrage soient mises en place afin de restreindre les accès à cette plateforme à ces seuls postes de travail autorisés.
Les données stockées et échangées seront chiffrées au repos et en transit par des protocoles et algorithmes à l’état de l’art. Les documents de consentement seront uniquement consultables en ligne, la solution mettra en œuvre un outil de visualisation web permettant d’éviter le chargement du document dans le navigateur ou sur le poste de l’attaché de recherche clinique.
Les journaux et traces techniques seront conservés conformément aux recommandations de sa délibération n° 2021-122 du 14 octobre 2021 portant adoption d'une recommandation relative à la journalisation.