AgentPublic/cnil huggingface dataset:
Des documents tenus à jour indiquent la ou les personnes compétentes pour chaque responsable de traitement pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par les responsables de traitement.
Sur l’information des personnes
En ce qui concerne les patients inclus dans l’étude Vigi-Mesh dont le suivi est achevé et dont les coordonnées sont erronées :
En application de l'article 69 de la loi et de l’article 14-5-b du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude Vigi-Mesh d’une information comportant l’ensemble des mentions prévues par le règlement général sur la protection des données.
Une note d’information collective sera diffusée par voie d’affichage dans les différents lieux de consultation et d’inclusion des patients dans l’étude Vigi-Mesh .
En ce qui concerne les autres patients inclus dans l’étude Vigi-Mesh dont le suivi est achevé, les patients dont le suivi est toujours en cours et ceux nouvellement inclus :
Ils recevront une note d’information individuelle à l’occasion d’une visite de suivi.
Par ailleurs, la Commission relève qu’un portail de transparence dédié à l’entrepôt DATA-MESH (via l’outil Semaphore ) sera mis en place, afin de diffuser les notes d’information relatives à sa constitution, et aux recherches réalisées à partir des données qu’il contient.
En ce qui concerne les professionnels réalisant les interventions chirurgicales :
Le dossier de demande mentionne que les professionnels de santé seront informés par courriel lors de leur manifestation de volonté de participer à l’entrepôt et préalablement à la fourniture de leurs identifiants de connexion.
Tous les documents d’information devront être conformes aux dispositions du RGPD.
En ce qui concerne la transparence des traitements :
L’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à la Plateforme des données de santé (PDS) de plusieurs éléments par les responsables de traitement, avant et après la réalisation des études.
Les projets de recherche, d’étude ou d’évaluation réalisés à partir des données de l’entrepôt DATA-MESH devront être enregistrés au sein du répertoire public de la PDS.
La Commission prend par ailleurs acte de l’engagement de la société Clinityx d’inscrire l’entrepôt au sein du répertoire public de la PDS.
Elle demande enfin que lui soit communiqué tous les trois ans un rapport sur le fonctionnement de l’entrepôt et sur les recherches réalisées à partir des données qu’il contient.
Ces modalités d’information sont conformes au principe de transparence et aux exigences d’information prévues par les articles 12 et suivants du RGPD.
Sur les droits des personnes concernées
Les droits s’exercent auprès de l’équipe de Vigi-Mesh ou auprès du délégué à la protection des données du CHU de Poitiers.
En cas d’exercice du droit d’opposition, les données de la personne concernée n’alimenteront pas l’entrepôt et seront, le cas échéant, supprimées.
Toutefois, les données utilisées dans le cadre de recherches déjà en cours ne pourront être supprimées si la personne ne s’est pas manifestée dans un délai de trois mois après la publication de la note d’information sur le portail de transparence. En outre, un délai d’un mois sera respecté entre l’envoi de la note d’information par voie postale ou sa remise lors d’une visite de suivi, et la mise en œuvre de recherches ultérieures, afin de permettre aux personnes concernées d’exercer leur droit d’opposition préalablement au traitement de leurs données.
Conformément aux principes de transparence et de loyauté de l’article 5 du RGPD et comme précisé dans les lignes directrices sur la transparence adoptées par le groupe de travail de l’Article 29 (G29) le 29 novembre 2017, les responsables de traitement doivent informer les personnes concernées de toute restriction spécifique applicable à ces droits afin de s’assurer que leurs attentes raisonnables n’ont pas été trompées. Si les personnes concernées fournissent des informations complémentaires permettant leur ré-identification, un tel exercice devra être rendu possible conformément à l’article 11 du RGPD.
Cette information devra être fournie concernant l’entrepôt de données de santé et pour chaque projet de recherche ultérieur.
Sur les transferts de données
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat.
Sur la sécurité des données et la traçabilité des actions
À titre liminaire, la Commission prend acte de ce que le dossier de demande mentionne que le traitement envisagé est conforme à la plupart des mesures de sécurité prévues dans le référentiel entrepôt de données dans le domaine de la santé , à l’exception de certaines d’entre elles qui ont été précisément identifiées. Pour ces dernières, la non-conformité a été dûment justifiée et compensée par la mise en œuvre de mesures techniques et organisationnelles à l’état de l’art.
L’infrastructure technique de la société Clinityx, utilisée pour l’hébergement de systèmes fils du SNDS, a été analysée par la Commission à diverses reprises.
Les responsables conjoints de traitement ont réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt DATA MESH , ainsi qu’une analyse de risque sur la sécurité des systèmes d’information. Une homologation de la bulle sécurisée a de même été réalisée par l’autorité d’homologation le 20 décembre 2021, conformément à l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS.
Cette décision d’homologation n’est valable que jusqu’au 31 janvier 2023, sous réserve de la mise en œuvre du plan d’action que l’autorité d’homologation a défini. Elle devra donc être renouvelée avant cette date, le traitement devant se poursuivre au-delà de cette échéance.
Des mesures techniques et organisationnelles ont été prévues par les responsables de traitement afin de cloisonner les différentes extractions du SNDS pouvant être stockées au sein de sa bulle sécurisée. Des environnements distincts fondés sur des solutions de conteneurisation logicielle sont notamment mis en œuvre afin d’empêcher toute fusion des données.
Aucune donnée administrative ne sera hébergée au sein de cet entrepôt de données de santé. La mise en place de cet entrepôt n’entraîne pas le transfert de données à caractère personnel, directement ou indirectement identifiantes des patients, hors de l’Union européenne.
Les données de santé seront chiffrées au repos par des algorithmes à l’état de l’art au sein d’un hébergeur certifié pour l’hébergement de données de santé, localisé en France, et exclusivement soumis aux lois et aux juridictions de l’Union européenne. Ces données seront également chiffrées en transit. Les sauvegardes seront chiffrées au repos. Des espaces de projets distincts les uns des autres et de l’entrepôt lui-même, seront mis en place grâce à l’utilisation de solutions de conteneurisation logicielle et de systèmes de fichiers chiffrés pour les données de chaque étude. Des numéros pseudonymes uniques spécifiques à chaque espace de projet et à chaque patient, reposant sur un générateur de nombres pseudo-aléatoires cryptographiquement sûr, devront être mis en œuvre afin de réduire les risques de ré-identification des personnes concernées. En fin d'étude, l'espace de projet dédié sera clos et les données en seront supprimées.
L’exportation de données hors de l’entrepôt DATA-MESH consistera exclusivement en des rapports statistiques ne permettant aucune ré-identification des personnes et fondés sur des agrégations de données. Ces rapports seront transmis exclusivement aux responsables de traitement pour la réalisation de recherches ultérieures. Un seuil minimal de onze personnes devra être défini pour chaque agrégation afin d’empêcher toute ré-identification des personnes.
La Commission rappelle que les responsables de traitement doivent réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adoptées par le G29 le 10 avril 2014.
À défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification doit être menée.
L’importation des données de santé en provenance de la plateforme initiale sera effectuée de façon chiffrée et sécurisée grâce à une authentification multi-facteurs comportant un mot de passe conforme à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe, ou à la version ultérieure la plus récente de cette recommandation. Les mots de passe utilisés seront renouvelés après chaque importation. L’accès aux données et à l’administration de DATA-MESH repose sur l’utilisation de réseaux privés virtuels chiffrés à l’état de l’art distincts ainsi que sur des mécanismes d’authentification multi-facteurs similaires.
Les données minimisées issues du SNDS seront transmises par la CNAM via un support amovible chiffré dont les algorithmes et modalités de gestion de clés sont conformes aux annexes B1 et B2 du référentiel général de sécurité (RGS).
Les traces techniques et fonctionnelles seront conservées pendant une durée conforme aux préconisations de la Commission et adossées à un mécanisme proactif de contrôle régulier. Des bastions d’administration permettront une traçabilité des connexions.
Enfin, un audit de sécurité, qui comprend un test d’intrusion, sera effectué annuellement par une société tierce. Les préconisations de cet audit seront intégrées au plan d’action.
Les mesures de sécurité décrites répondent aux exigences prévues par les articles 5-1-f et 32 du RGPD compte tenu des risques identifiés par les responsables de traitement. Il appartiendra à ces derniers de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Autorise, conformément à la présente délibération, le CENTRE HOSPITALIER UNIVERSITAIRE DE POITIERS et la société CLINITYX à mettre en œuvre, dans ces conditions et conformément à son plan d’actions, un traitement de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé dénommé DATA-MESH pour une durée de dix ans.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la société la société IQVIA Operations France d’une demande de modification de l’autorisation concernant des traitements automatisés à des fins de recherche, d’étude et d’évaluation nécessitant un accès aux données nationales du programme de médicalisation des systèmes d’information ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 12 mai 2022 ;
Vu la délibération n° 2019-022 du 28 février 2019 portant décision unique et autorisant la société IQVIA Operations France à mettre en œuvre des traitements automatisés à des fins de recherche, d’étude et d’évaluation nécessitant un accès aux données nationales du programme de médicalisation des systèmes d’information (PMSI) ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Responsable de traitement
En tant qu’ organisation de recherche sous contrat ( contract research organisation ), la société IQVIA Operations France est sollicitée par des laboratoires pharmaceutiques, des établissements hospitaliers ou hospitalo-universitaires et des autorités de santé afin de superviser et de planifier la conduite d’essais cliniques. Cette supervision nécessite notamment de sélectionner les pays puis les établissements dans lesquels se dérouleront les recherches. Afin de poursuivre et d’affiner sa stratégie de ciblage des établissements de soins français les plus à mêmes d’accueillir certains essais cliniques, la société IQVIA souhaite mettre en œuvre plusieurs traitements de données à partir des données du programme de médicalisation des systèmes d’information (PMSI).
Sur l’opportunité du renouvellement de la décision unique précédemment délivrée par la Commission
Le 28 février 2019, la société IQVIA a été autorisée par la Commission à mettre en œuvre pendant trois ans des traitements de données à caractère personnel automatisés à des fins de recherche, d’étude et d’évaluation à partir des données du PMSI.
Dans le cadre de cette précédente autorisation unique, entre mars 2019 et mars 2022, la société IQVIA a procédé à 609 traitements de données du PMSI. Ces traitements lui ont permis de mettre en œuvre 291 essais cliniques. Un bilan comportant la liste des traitements mis en œuvre et la méthodologie a été transmis à la Commission par la société IQVIA.
La société IQVIA sollicite un renouvellement de l’autorisation précédemment délivrée, afin d’accéder aux données du PMSI, pour continuer, pendant trois ans à mettre en œuvre des traitements de données à caractère personnel automatisés à des fins de recherche, d’étude et d’évaluation. Dans ce cadre, environ 200 traitements sont susceptibles d’être mis en œuvre annuellement par la société IQVIA.
Ces traitements répondent à une même finalité – en l’espèce le ciblage d’établissements de soins et la capacité de ces établissements à pouvoir accueillir différentes études cliniques –portent sur des catégories de données identiques – en l’espèce les données du PMSI – et dont les catégories de destinataires sont identiques – les personnes habilitées par le responsable de traitement (les analystes IQVIA).
Les traitements décrits relevant du régime prévu par les dispositions des articles 66 et 72 et suivants de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après la loi informatique et libertés ), la Commission estime opportun, au vu des éléments présentés dans le dossier de demande, de faire application des dispositions de l’article 66 IV, qui lui permettent, par décision unique, de délivrer à un même demandeur une autorisation pour des traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques.
Sur l’application des dispositions liées au SNDS
Les données du PMSI étant issues de composantes du Système national des données de santé (SNDS), l’ensemble des dispositions législatives et réglementaires relatives au SNDS sont applicables en l’espèce, et notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code de la santé publique (CSP).
Sur la licéité des traitements
Les traitements mis en œuvre par la société IQVIA s’inscrivent dans le cadre de ses activités, lesquelles consistent notamment en la supervision d’études cliniques.
Ces traitements, réalisés à des fins de recherche scientifique, sont donc nécessaires aux fins des intérêts légitimes poursuivis par le responsable de traitement, prenant en considération le caractère très indirectement identifiant des données et les garanties, notamment en termes de droits des personnes, prévues par les textes encadrant la mise à disposition des données du SNDS.
Ces traitements sont, à ce titre, licites au regard des articles 6-1-f et 9-2-j du règlement général sur la protection des données (ci-après RGPD ).
Sur la finalité des traitements et leur caractère d’intérêt public
Les traitements nécessitant un accès aux données du PMSI ont pour finalité la réalisation d’études de faisabilité, afin d’estimer le potentiel des établissements de santé français à accueillir un ou plusieurs essai(s) clinique(s) initié(s), déployé(s) et coordonné(s) par IQVIA, à la demande d’un promoteur.
La finalité des traitements est déterminée, explicite et légitime, conformément à l’article 5-1-b) du RGPD et présente un intérêt public, conformément à l’article 66 I de la loi informatique et libertés 
Sur les catégories de données traitées
Le responsable de traitement ne doit traiter, pour chacun des traitements mis en œuvre dans le cadre de la présente décision unique, que les données strictement nécessaires et pertinentes au regard des objectifs des traitements.
Les données du PMSI concernant les activités suivantes sont nécessaires à la réalisation de ces études :
médecine, chirurgie, obstétrique et odontologie (MCO) ;
soins de suite et de réadaptation (SSR) ;
recueil d'information médicalisée en psychiatrie (RIM-P) ;
hospitalisation à domicile (HAD).
La Commission relève que :
pour la mise en œuvre de la plupart des traitements, une profondeur historique d’un an (correspondant aux données du PMSI recueillies durant l’année précédente) sera suffisante ;
par exception, notamment lorsque les études portent sur une maladie rare, l’identification de cas incidents ou l’évaluation de la prescription moyenne sur plusieurs années, les données portant sur une profondeur historique maximale de cinq ans pourront être traitées.
La présente décision unique étant délivrée pour une durée de trois ans, seules les données nationales du PMSI des années 2015 à 2023 pourront être mises à disposition de la société IQVIA en fenêtre roulante. A ce titre, seules les données strictement nécessaires et pertinentes devront être mises à disposition annuellement auprès du responsable de traitement.
Conformément à l'article 30 du RGPD, le responsable de traitement devra tenir à jour, au sein de son registre des activités de traitement, la liste des traitements mis en œuvre dans le cadre de la présente décision unique.
Par ailleurs, le caractère adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités pour lesquelles les données sont traitées, la zone géographique concernée et la profondeur historique des données consultées devront être justifiés dans ce registre pour chaque traitement mis en œuvre dans le cadre cette décision unique.
Sur la durée de conservation des données
La durée d’accès aux données via le Centre d’accès sécurisé aux données (CASD) doit être limitée à la durée nécessaire à la mise en œuvre des traitements, qui ne saurait être supérieure à trois ans, à compter de la date d’accès effectif aux données.
Cette durée de conservation des données n’excède pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Sur la publication des résultats
Lorsque le résultat du traitement de données est rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 68 de la loi informatique et libertés .
Les résultats des études réalisées dans le cadre de la présente décision unique pourront être adressés aux analystes d’IQVIA ainsi qu’aux investigateurs participants.
Sur les accédants et les catégories de destinataires des données
Seul le responsable du traitement et les personnes habilitées par lui ont accès aux données dans le cadre de la présente décision unique. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur l’information et les droits des personnes
Les personnes concernées sont informées de la mise en œuvre du SNDS et de la réutilisation possible des données de santé à caractère personnel les concernant selon des modalités définies par l'article R. 1461-9 du CSP.
Les dispositions de l’article 69 de la loi informatique et libertés sont applicables à tous les traitements réalisés à partir de données du SNDS.
Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront prises par le responsable de traitement afin de rendre l’information publiquement disponible concernant la mise en œuvre de ces traitements.
Un portail de transparence sera mis en place par le responsable de traitement. Il comportera :
une note d’information générale sur les traitements mis en œuvre dans le cadre de cette décision unique ;
une note d’information spécifique à chaque traitement. Cette dernière devra être publiée avant la mise en œuvre de chaque traitement.
La Commission prend également acte de ce que :
 dans un premier temps (d’ici la fin du mois de septembre 2022) :
le portail de transparence figurant actuellement sur le site web pharmastat.iqvia sera complété afin d’intégrer une rubrique dédiée aux traitements de données du SNDS comportant la note d’information générale sur les traitements mis en œuvre dans le cadre de cette décision unique ;
un renvoi vers ce portail sera fait sur la page d’accueil du site web de la société IQVIA France ;
dans un second temps (d’ici au 15 octobre 2022), ce portail de transparence figurera également sur le site web de la société IQVIA France.
La Commission rappelle que conformément au principe de transparence prévu par l’article 12 du RGPD, le responsable de traitement doit prendre des mesures appropriées pour fournir à la personne concernée toute information en ce qui concerne le traitement de ses données d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples. Elle prend donc acte de l’engagement de la société IQVIA de procéder aux modifications nécessaires sur son portail de transparence afin de se conformer à l’article 12 du RGPD.
Ces documents d’information devront comporter l’ensemble des mentions prévues par l’article 14 du RGPD.
Sur la sécurité des données et la traçabilité des actions