Décision DR-2024-229 du 20 septembre 2024 autorisant l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE – ANRS – MALADIES INFECTIEUSES ÉMERGENTES à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation de l’efficacité d'un programme pilote d'activité physique sur les limitations fonctionnelles et le handicap associés au virus de l’immunodéficience humaine chez les patients âgés de cinquante ans et plus en Côte d'Ivoire, intitulée « VIRAGE+ ». (Demande d’autorisation n° 924235)
Type : Autorisation de recherche
Date : 2024-09-20
État juridique : VIGUEUR

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité national d’éthique des sciences de la vie et de la santé du Ministère de la santé, de l’hygiène publique et de la couverture maladie universelle de la République de Côte d’Ivoire du 12 juin 2024. Points de non-conformité à la méthodologie de référence concernée Les participants à la présente étude sont inclus en Côte d’Ivoire. Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception d’une part, de l’application des dispositions du code de la santé publique relatives aux recherches impliquant la personne humaine et des dispositions relatives au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal et, d’autre part, des destinataires des données directement identifiantes. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-001. Par ailleurs, il est pris acte de l’engagement du responsable de traitement de respecter les dispositions locales spécifiques, notamment celles applicables en matière de recherches dans le domaine de la santé et de secret professionnel. Catégories particulières de données traitées (autres que données de santé) S’agissant de la collecte des données nominatives et des coordonnées téléphoniques des participants : La collecte des données nominatives ainsi que des coordonnées téléphoniques est nécessaire pour assurer le suivi des patients qui en sont informés. S’agissant de la réalisation d’enregistrements vocaux : Des enregistrements vocaux d’un entretien entre un sociologue et les participants seront réalisés dans le cadre de cette étude. Le consentement des participants pour la réalisation des enregistrements sera recueilli. S’agissant de la collecte de données relatives à la vie sexuelle des participants : La collecte de données relatives à la vie sexuelle des participants a été scientifiquement justifiée dans le dossier de demande. Destinataires des données directement identifiantes Des enquêteurs et un sociologue intervenant sous la responsabilité du responsable de traitement auront accès aux données nominatives ainsi qu’aux coordonnées téléphoniques des participants aux fins d’assurer leur suivi. Les participants en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Une documentation tenue à jour indique la ou les personnes compétentes pour le responsable de traitement et ses sous-traitants pour délivrer l’habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations. Ces catégories de personnes sont soumises au secret professionnel. La qualification des personnes habilitées et leurs droits d’accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement et ses sous-traitants. Information et droits des personnes Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). Transferts hors Union européenne Prenant en considération l'arrêt C-311/18 rendu par la Cour de justice de l’Union européenne le 16 juillet 2020, la CNIL rappelle que tout transfert de données en dehors de l’Union européenne doit être réalisé selon les conditions prévues au Chapitre V du RGPD. S’agissant du transfert de données pseudonymisées vers les Etats-Unis : Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les modifications apportées par les États-Unis à leur législation nationale permettent d’assurer un niveau de protection adéquat des données à caractère personnel vers les organisations situées aux États-Unis lorsqu’ils font la démarche de respecter ce nouveau " cadre de protection des données " (" data privacy framework ", ci-après " DPF "). Dans cette hypothèse, un système d’auto-certification des entités étatsuniennes important les données est mis en place. Elles doivent ainsi : figurer sur la liste publiée par le ministère américain du commerce ; mettre à jour de manière effective leur politique de confidentialité ou toute documentation relative à la protection des données à caractère personnel, notamment avec les références nécessaires au DPF. A défaut de satisfaire ces exigences, le responsable de traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers les Etats-Unis que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de recours effectives. En l’espèce, l’organisme vers lequel les données pseudonymisées des participants à l’étude seront transférées ne figure pas sur liste publiée par le ministère américain du commerce. Les exigences du DPF n’étant pas satisfaites, le responsable de traitement envisage d’encadrer le transfert de données aux Etats-Unis par la conclusion de clauses contractuelles types telles que prévues par la décision 2021/914 de la Commission européenne du 4 juin 2021. Il devra, par ailleurs, évaluer pendant toute la durée de l’étude si le niveau de protection requis par le droit de l’Union européenne est respecté par les Etats-Unis afin que les garanties fournies par les clauses contractuelles types puissent être respectées. A cet égard, il pourra notamment s’appuyer sur l’analyse réalisée par la Commission européenne dans sa décision d’adéquation entrée en vigueur le 10 juillet 2023, ainsi que les examens périodiques prévus dans cette décision. S’agissant du transfert de données pseudonymisées en Côte d’Ivoire : Le responsable de traitement envisage d’encadrer ce transfert de données par la conclusion de clauses contractuelles type telles que prévues par la décision 2021/914 de la Commission du 4 juin 2021. La CNIL attire l’attention du responsable de traitement sur le fait qu'il lui incombe d'évaluer si le niveau de protection requis par le droit de l'UE est respecté en Côte d’Ivoire afin que les garanties fournies par les clauses contractuelles types puissent être respectées. Le cas échéant, ces clauses contractuelles ne pourront constituer des garanties appropriées au sens du chapitre V du RGPD qu’à la condition d’avoir été complétées par des mesures supplémentaires afin de garantir un niveau de protection essentiellement équivalent à celui prévu dans l'Espace économique européen. Le responsable de traitement est également tenu de s'assurer que la législation du pays tiers n'empiétera pas sur ces mesures supplémentaires de manière à les priver d'effectivité. Durées de conservation en base active et en archivage Les enregistrements audios seront conservés le temps de leur retranscription, pour une durée maximale d’un an, puis seront détruits. Les données nominatives ainsi que les coordonnées téléphoniques collectées par le sociologue et les enquêteurs seront détruites à l’issue des entretiens. Autres données : Base active : un an Archivage : quinze ans. Réutilisation des données Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission. AUTORISE l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE– ANRS – MALADIES INFECTIEUSES ÉMERGENTES à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT