AgentPublic/cnil huggingface dataset:
Le traitement des données du Système national des données de santé et de ses composantes devra s’effectuer en conformité avec les dispositions des articles L. 1461-1 à L. 1461-7 du code de la santé publique, notamment s’agissant de l’interdiction d’utiliser ces données pour les finalités interdites.
La Commission relève que la société Astra Zeneca, en tant que personne produisant ou commercialisant des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique , est tenue, conformément au II de l’article L. 1461-3 du code de la santé publique :
soit de démontrer que les modalités de mise en œuvre du traitement rendent impossible toute utilisation des données pour l'une des finalités mentionnées au V de l'article L. 1461-1 ;
soit de recourir à un laboratoire de recherche ou à un bureau d'études, publics ou privés, pour réaliser le traitement.
En l’espèce, elle relève que, conformément à la délibération n°2019-082, seule l’INCa aura accès aux données issues de la Plateforme des données en cancérologie. Ainsi, la société AstraZeneca ne disposera à aucun moment d’un accès aux données issues du SNDS. La Commission relève également que seules des données agrégées et anonymes lui seront transmises et que cette condition est formalisée au sein de la convention conclue entre l’INCa et la société AstraZeneca.
La Commission considère que ces garanties sont de nature à démontrer que les modalités de mise en œuvre du traitement rendent impossible toute utilisation des données pour l’une des finalités interdites mentionnées à l’article L. 1461-1 du CSP et notamment en l’espèce à des fins de promotion des produits mentionnés au II de l’article L. 5311-1 en direction des professionnels de santé et des établissements de santé.
Sur la licéité du traitement
Ce traitement, réalisé à des fins de recherche scientifique, est nécessaire à l’exécution d’une mission d’intérêt public dont est investi l’INCa et aux fins des intérêts légitimes poursuivis par la société Astra Zeneca.
Le traitement est donc licite au regard des articles 6 paragraphe 1 point f) et 9 paragraphe 2 point j) du RGPD.
Sur la finalité et l’intérêt public du traitement
La Commission relève que cette étude est conduite dans le cadre du contrat stratégique de la filière des industries de santé signé entre les industries de santé et l’État le 4 février 2019. Ce contrat acte la réalisation d’un projet pilote mené par l’Alliance pour la recherche et l’innovation des industries de santé (ARIIS) et l’INCa afin de valoriser les données publiques par l’ajout de données privées pour des projets répondant à un intérêt public dans le domaine de la cancérologie. La présente étude est une des preuves de concept du projet pilote.
Le traitement a pour finalité la mise en œuvre d’une étude portant sur le suivi longitudinal, à l’aide de la Plateforme des données en cancérologie, des patients atteints d’un cancer du poumon non à petites cellules (CPNPC) de stade III inopérable traités par durvalumab après une chimio radiothérapie dans le cadre d’une autorisation temporaire d’utilisation (ATU) et vise notamment à contribuer à :
valider les capacités d’appariement de données collectées dans le cadre d’une ATU par le laboratoire, à des données médico-administratives et établir les spécificités propres à chaque source ;
l’optimisation du recueil de données lors d’ATU ;
l’amélioration des connaissances sur le parcours des personnes atteintes de ce cancer et sur les soins qui leurs sont proposés ;
la définition d’un jeu de données standardisé qui pourra être appliqué dans les prochaines études portant sur des ATU en lien avec la cancérologie.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5,1, b) du RGPD.
Elle estime, par ailleurs, que ce traitement présente une finalité d’intérêt public, conformément à l’article 66-I de la loi informatique et libertés .
Sur la nature des données traitées
Les données de la Plateforme de données en cancérologie de l’INCA (demande d’autorisation n° 918314) seront réutilisées dans le cadre de la présente étude et seront appariées à certaines données issues des traitements suivants, ayant fait l’objet des formalités appropriées :
les données de l’étude PACIFIC R , dont le responsable de traitement est la société Astra Zeneca (345 patients provenant de 63 centres différents) ;
les données de l’ATU de cohorte, dont le responsable de traitement est la société Astra Zeneca (246 patients dans 170 centres).
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du RGPD.
Sur l’information, les droits des personnes, la transparence et la publication des résultats
Sur l’information des personnes
S’agissant des données de l’étude PACIFIC R : 
Les responsables des centres d’investigation, qui disposent des coordonnées des personnes concernées ont indiqué aux responsables de traitement ne pas être en mesure, dans le cadre de la crise sanitaire actuelle, de procéder à leur information individuelle.
La Commission relève toutefois que la note d’information individuelle adressée aux personnes incluses dans l’étude PACIFIC R mentionnait la possibilité de réutilisation des données de l’étude à des fins de recherches ultérieures ainsi qu’un éventuel appariement de ces données au SNDS.
La Commission demande cependant que les personnes soient individuellement informées de l’étude lorsque le contexte sanitaire le permettra.
S’agissant des données de l’ATU de cohorte :
La Commission relève que l’information individuelle des personnes concernées initialement prévue ne pourra être réalisée auprès des patients qui ne sont plus suivis en raison de la crise sanitaire. Elle demande cependant que les personnes en cours de suivi soient individuellement informées de l’étude.
Sur les mesures appropriées
En application de l'article 14-5-b du RGPD et de l'article 69 de la loi informatique et libertés modifiée, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions dans l'hypothèse où la fourniture d'une telle information se révèle impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement.
En pareils cas, conformément au Règlement général sur la protection des données, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
La Commission prend acte que des mesures appropriées seront mises en œuvre, notamment par :
la diffusion sur le site web des deux responsables de traitement d’une information relative au projet de recherche comportant l’ensemble des mentions prévues par l’article 14 du Règlement général sur la protection des données ;
l’affichage d’une information spécifique à l’étude dans l’ensemble des centres participants.
Sur la transparence des résultats
La Commission relève que le responsable de traitement envisage de rendre publics les méthodes d’appariement et d’exploitation des données ainsi que les algorithmes décisionnels qui seront développées. Elle relève également l’engagement des responsables de traitement à ce que les résultats des travaux soient systématiquement publiés.
Elle rappelle que, lorsque le résultat du traitement de données est rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 68 de la loi informatique et libertés .
Sur les mesures de sécurité et la traçabilité des actions
La Commission rappelle que les mesures de sécurité doivent répondre aux exigences prévues par les articles 5-1-f) et 32 du règlement général sur la protection des données. Elles doivent également être conformes au référentiel de sécurité applicable au SNDS fixé par l’arrêté du 22 mars 2017.
La Commission prend acte qu’un appariement probabiliste entre les données issues de la plateforme des données en cancérologie et les données issues des études d’Astra Zeneca, sera réalisé par l’INCa à partir de variables préalablement déterminées.
Pour ce faire, elle relève que les données seront transmises par la société Astra Zeneca à l’INCa sous forme de fichiers chiffrés avec des algorithmes et procédures de gestion de clés conformes à l’annexe B1 du référentiel général de sécurité.
La Commission note qu’une table de correspondance est conservée par la société Astra Zeneca et rappelle que ses modalités de sa conservation devront faire l’objet de mesures techniques et organisationnelles appropriées.
La Commission relève que l’appariement ainsi que l’analyse des données seront réalisés sur la Plateforme de données en cancérologie de l’INCa et prend acte de la décision d’homologation de cette Plateforme prononcée le 27 avril 2020 pour une durée de deux ans, incluant l’analyse d’impact sur la protection des données (AIPD), les risques résiduels et le plan d’action identifiés et acceptés par le responsable de traitement.
La Commission souligne que, suite aux recommandations émises dans sa délibération n° 2019-083 du 20 juin 2019, des traces complètes et sauvegardées ont été mises en place, associées à un système d’authentification forte, de bastion et de bureau virtuel. Elle relève également que les accès externes sur la plateforme ont fait l’objet d’un audit de sécurité et de mesures correctives.
En outre, la Commission prend acte qu’un projet de déploiement d’un outil de certification des traces et de gestion des événements de sécurité (SIEM) a été lancé, en vue de sa mise en œuvre dans les deux ans. Elle relève que, dans l’attente de cette échéance, les traces système font l’objet d’une analyse manuelle hebdomadaire et que les exports de données agrégées sont surveillés mensuellement par un opérateur avec un système de détection de mots clés. A cet égard, elle recommande de formaliser une procédure de remontée des alertes et de gestion des incidents.
La Commission rappelle par ailleurs que ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Conformément au référentiel de sécurité du SNDS, seules des données anonymes pourront être exportées hors d’un environnement homologué. A cet égard, la Commission rappelle que le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014. A défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification devra être menée.
Sur la durée de conservation des données
Les données seront conservées pendant cinq ans.
 
Cette durée n’excède pas celle nécessaire aux finalités pour lesquelles les données sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
La Commission rappelle qu’une intégration des données de l’étude au sein de la Plateforme des données en cancérologie nécessitera, sous réserve que la Commission l’autorise, une modification de l’autorisation délivrée à l’INCa (délibération n° 2019-082).
Autorise, L’INSTITUT NATIONAL DU CANCER (INCA) ET LA SOCIETE ASTRA ZENECA conformément à la présente délibération, à mettre en œuvre conjointement le traitement susmentionné.
La Présidente
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le Centre hospitalier universitaire (CHU) de Nantes d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur la fréquence, les conséquences et les déterminants des soins suboptimaux dans la prise en charge initiale de la maltraitance physique de l’enfant âgé de moins de six ans dans la région Ouest ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable avec du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 2 avril 2020 ;
Vu le dossier et ses compléments ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement
Le responsable de traitement est le CHU de Nantes.
Sur la finalité du traitement
Le CHU de Nantes envisage la réalisation d’une recherche n’impliquant pas la personne humaine portant sur la fréquence, les conséquences et les déterminants des soins suboptimaux dans la prise en charge initiale de la maltraitance physique de l’enfant de moins de six ans, c’est-à-dire avant le premier diagnostic médical ayant conduit à une alerte des autorités administratives ou judiciaires. Cette étude, qui nécessite l’inclusion de 250 enfants, sera mise en œuvre au sein de 17 centres situés en Bretagne et en région nantaise). La population cible est l’ensemble des enfants de moins de six ans présumés victimes de maltraitance physique grave décédés en milieu pré-hospitalier ou ayant nécessité un recours hospitalier dans un des services participant à l’étude et ayant fait l’objet d’une information préoccupante ou d’un signalement. Pour des raisons de faisabilité, les enfants seront inclus à l’occasion d’une admission ponctuelle en pédiatrie, aux urgences, en réanimation ou à l’occasion d’une consultation dans une unité spécialisée d'accueil d'enfant en danger.
 
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b du RGPD.
 
Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé
Le traitement mis en œuvre par le CHU de Nantes a vocation à améliorer la prise en charge initiale de la maltraitance physique de l’enfant et est nécessaire à l’exécution d’une mission d’intérêt public dont est investi le responsable de traitement.
 
Le traitement envisagé est donc licite au sens de l’article 6-1-e) du RGPD. En outre, la Commission estime que ce traitement, nécessaire à des fins de recherche scientifique, remplit la condition prévue à l’article 9-2-j) du RGPD permettant de traiter des données concernant la santé.
La Commission estime qu’il y a lieu de faire application des dispositions des articles 44-3°, 66-III et 72 et suivants de la loi du 6 janvier 1978 modifiée, qui soumettent à son autorisation les traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé et justifiés, comme en l’espèce, par l’intérêt public.
 
Sur la nature des données traitées
 
Les données dont le traitement est envisagé sont celles habituellement recueilles au cours de l'évaluation clinique d'un enfant présumé victime de maltraitance par l’équipe prenant en charge le patient et de son suivi à 12 mois, effectué par les médecins généralistes, les pédiatres libéraux, les services de protection maternelle et infantile, ainsi que de médecine scolaire.
Seront recueillies les catégories de données suivantes, détaillées dans le protocole de l’étude :
données administratives (âge, code postal du domicile, lieu de vie, mode de garde, scolarisation) ;
données concernant l’environnement familial de l’enfant ;
données relatives aux antécédents de l’enfant ;
données concernant la ou les lésions ayant motivé l’inclusion ;
données de suivi à douze mois.
La Commission relève que la collecte de données directement identifiantes (nom, prénom et date de naissance complète) est envisagée, afin de permettre le recueil des données de suivi des patients à un an. Elle rappelle que les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé, être enregistrées dans une base de données distincte et ne pas être conservées une fois le recueil des données de suivi à un an effectué. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourront accéder aux données directement identifiantes.
 
Elle rappelle enfin que la minimisation de la collecte des données nécessite, dans une logique de protection des données dès la conception ( privacy by design ), certaines mesures fonctionnelles dans le paramétrage du traitement. Elle appelle notamment à exclure les zones de commentaires ou de blocs notes susceptibles de contenir des données non pertinentes. Lorsqu’un choix multiple est nécessaire, il doit être proposé au moyen de menus déroulants proposant des informations et appréciations objectives.
Sous réserve du respect de ces préconisations, la Commission considère que les données traitées sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du RGPD.
 
Sur les destinataires des données
 
Pourront accéder aux données, dans la stricte limite de leur besoin d’en connaitre pour l’exercice de leurs missions :
 
les biostatisticiens (membre du personnel du CHU de Nantes) désignés pour l’
analyse statistiques
 ;
l’investigateur coordonnateur (membre du personnel du CHU de Nantes) pour l’
interprétation des données, la rédaction des articles
 ;
un pédiatre expérimenté dans l’accompagnement des enfants victimes de maltraitance physiques et un médecin généraliste
 expertisant les dossiers pseudonymisés et repérant les éléments de suboptimalité dans le parcours de soins (personnel 
externe au CHU de Nantes) pour l’exploitation et l’analyse des données ; si nécessaire, l’avis du médecin référent de protection de l'enfance du département de Loire-Atlantique pourra également être sollicité ;
des techniciens d’études cliniques (TECs) et investigateurs de chaque centre (une à trois personnes par centre)
 pour la 
saisie des données dans le cahier d’observation électronique (eCRF) et l’accès aux données de leur centre ;
l’équipe de coordination du centre d’investigation clinique femme-enfant-adolescent (CIC FEA) du CHU de Nantes (une coordinatrice, une puéricultrice de recherche et un TEC) pour l’assurance qualité des données ;
l’équipe de coordination du CIC FEA du CHU de Nantes (une coordinatrice, une puéricultrice de recherche et un TEC) pour la surveillance de l’étude ;
le médecin coordonnateur, deux épidémiologistes, l’investigateur pour les analyses biostatistiques ;
un gestionnaire technique des données ( data manager ) désigné de la direction de la recherche et de l’innovation du CHU de Nantes pour la gestion des données ;
le comité logistique, composé de l’équipe de coordination du Centre d’investigation clinique Femme-enfant-adolescent (CIC FEA) du CHU de Nantes (une coordinatrice, une puéricultrice de recherche et un TEC), qui seul aura connaissance de l’identité des patients afin de faire le lien avec les différents centres et les responsables du traitement.
La Commission demande que le responsable de traitement tienne à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations. Seules les personnes ainsi habilitées par le responsable de traitement peuvent avoir accès aux données. La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués.
 
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
 
Sur l'information des personnes
 
S’agissant des personnes incluses dans l’étude :
 
Conformément à l’article 69 de la loi, les personnes auprès desquelles sont recueillies des données à caractère personnel ou à propos desquelles de telles données sont transmises doivent être destinataires d’une information individuelle.
 
En outre, s’agissant de la participation de mineurs à une étude, l’article 70 de la loi précise que les titulaires de l’exercice de l’autorité parentale sont destinataires de l’information et exercent les droits de la personne concernée par le traitement.
Toutefois, en application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
 
En l’espèce, le responsable de traitement précise que la délivrance d’une information individuelle à chacun des titulaires de l’autorité parentale aurait très vraisemblablement pour conséquence de fragiliser le lien de confiance entre les soignants et les parents, indispensable pour garantir la qualité de la prise en charge du patient, au risque d’en causer la rupture.
Aussi, au regard des éléments développés par le responsable de traitement et prenant en considération la finalité du traitement envisagé, dont l’objectif est d’améliorer la prise en charge des maltraitances, il sera fait exception au principe d'information individuelle des personnes. Des mesures appropriées seront cependant mises en œuvre, notamment par la diffusion d’une note d’information relative au projet de recherche par voie d’affichage dans les salles d'attentes de tous les sites concernés et sur le site web du CHU de Nantes. Cette note d’information devra comporter l’ensemble des mentions prévues par le RGPD.
 
S’agissant des professionnels impliqués :
Une information relative au traitement des données leur sera délivrée lors d’une réunion de lancement de l’étude.
 
La Commission estime que ces modalités d’information sont satisfaisantes au regard des dispositions du RGPD et de la loi informatique et libertés .
 
Sur les droits des personnes
 
Les personnes concernées pourront exercer leurs droits auprès du service ayant réalisé la prise en charge médicale ou auprès du représentant de l’établissement.
 
Les professionnels impliqués dans le projet de recherche pourront exercer leurs droits auprès du délégué à la protection des données du CHU de Nantes ou auprès du médecin coordonnateur de l’étude.
 
La Commission estime que ces modalités d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi informatique et libertés .