Décision DR-2024-236 du 18 octobre 2024 autorisant l’INSTITUT DE RECHERCHES INTERNATIONALES SERVIER à mettre en œuvre un traitement de données ayant pour finalité une étude visant à évaluer l'ivosidenib chez des participants majeurs présentant un chondrosarcome conventionnel localement avancé ou métastatique avec une mutation du gène IDH1, n'ayant jamais été traité ou ayant déjà été traité par un schéma thérapeutique systémique, intitulée « CHONQUER ». (Demande d’autorisation n° 924148) 
Type : Autorisation de recherche
Date : 2024-10-18
État juridique : VIGUEUR

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorables du : Metro South Research du 11 avril 2024 ; Osaka International Cancer Institute’s Institutional review board, du 18 avril 2024 ; Kyushu University hospital’s Institutional review board, du 19 avril 2024 ; Comissão nacional de ética em pesquisa du 2 mai 2024 ; MD Anderson Cancer center’s Institutional Review Board du 9 mai 2024 ; University Health Network’s Institutional Review Board du 8 août 2024 . Point de non-conformité à la méthodologie de référence concernée Les participants seront inclus en Australie, au Japon, au Brésil, aux Etats-Unis, ainsi qu’au Canada. Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes, de l’application des dispositions du code de la santé publique relatives aux recherches impliquant la personne humaine et des dispositions relatives au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal (recours à une solution de consentement électronique ; inclusion de patients exclusivement à l’étranger). En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. La CNIL prend acte de l’engagement du responsable de traitement de respecter les dispositions locales spécifiques, notamment celles applicables en matière de recherches dans le domaine de la santé et de secret professionnel. Catégories particulières de données traitées (autres que données de santé) S’agissant de l’examen des caractéristiques génétiques : Le consentement éclairé et exprès des personnes concernées sera recueilli par écrit préalablement au traitement. S’agissant de la collecte de l’origine ethnique des participants : La collecte de l’origine ethnique des participants a été scientifiquement justifiée dans le dossier de demande. Destinataires des données directement identifiantes Le sous-traitant sera destinataire de certaines données administratives d’identification des participants (nom, prénom et coordonnées électroniques), ainsi que du contenu de la note d’information et du formulaire de consentement mentionnant leur pathologie, le responsable de traitement prévoyant l’utilisation d’une solution de consentement électronique pour la participation à l’étude. Mesures de sécurité La solution de consentement électronique pour la participation à l’étude sera hébergée par un sous-traitant états-unien spécialisé dans l’hébergement de solutions dédiées aux études cliniques aux Etats-Unis et en Europe. Les connexions à la solution seront soumises à une authentification multifacteur comprenant au moins deux facteurs d’authentification différents. La signature électronique du formulaire de consentement sera disponible pour les participants après connexion authentifiée à la plateforme. La signature nécessitera une action explicite de l’utilisateur, notamment la saisie de son mot de passe. Il appartient au responsable de traitement de s’assurer que le recueil du consentement sera réalisé conformément aux dispositions applicables en matière de signature électronique et d’essais cliniques de médicaments, dans l’ensemble des Etats dans lesquels l’étude sera conduite. Les solutions de télévisite et de suivi patient via des questionnaires proposées par le même sous-traitant ne contiendront que des données pseudonymisées sans identifiant direct et seront séparées logiquement de la solution de consentement électronique. Les permissions de ces solutions sont conçues de manière à interdire l'accès par un même utilisateur aux identifiants directs et aux données de l'étude. Les données stockées et échangées seront chiffrées au repos et en transit par des protocoles et algorithmes à l’état de l’art. Un service tiers de séquestre des clés de chiffrement est utilisé dans les solutions européennes et états-uniennes, afin d'empêcher le sous-traitant et les autorités gouvernementales d'accéder aux clés de chiffrement. Il est rappelé que les sous-traitants traitant des identifiants directs et des données pseudonymisées doivent appliquer des mesures techniques et organisationnelles strictes pour éviter la combinaison de ces données et prévenir les risques d'inversion de la pseudonymisation. Ces mesures strictes incluent notamment : le contrôle de l'accès aux sites, systèmes et bases de données contenant des données directement identifiantes pour éviter leur exposition à du personnel non autorisé ; la restriction du personnel traitant des données identifiantes de participer à des services utilisant des données pseudonymes et vice-versa ; la limitation du nombre de membres du personnel traitant les données d'identification directe et des mesures afin que ce personnel ne soit pas impliqué dans la supervision de l'étude clinique ; la gestion de la communication avec les patients qui devra être effectuée principalement via le site investigateur et sinon en minimisant la collecte de données et en utilisant des identifiants pseudonymes dans la mesure du possible ; des dispositions spécifiques incluses dans les accords de confidentialité du personnel pour préciser les divulgations autorisées ; la fourniture au promoteur d’informations détaillées sur les méthodes de traitement des données, lui permettant de s'assurer que les participants à l'étude sont pleinement informés des conditions de traitement des données directement identifiantes et des données pseudonymisées. Tous les mots de passe utilisés devront être conformes à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés. Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard, ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable conjoint de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de leur conformité à tout moment. Transferts hors Union européenne Le responsable de traitement prévoit de transférer des données pseudonymisées des participants à l’étude. Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les modifications apportées par les États-Unis à leur législation nationale permettent d’assurer un niveau de protection adéquat des données à caractère personnel vers les organisations situées aux États-Unis lorsqu’ils font la démarche de respecter ce nouveau cadre de protection des données ( data privacy framework , ci-après DPF ). En l’espèce, les exigences du DPF n’étant pas satisfaites, le responsable de traitement envisage d’encadrer le transfert de données aux Etats-Unis par la conclusion de clauses contractuelles types telles que prévues par la décision 2021/914 de la Commission européenne du 4 juin 2021. Il devra évaluer pendant toute la durée de l’étude si le niveau de protection requis par le droit de l’Union européenne est respecté par les Etats-Unis afin que les garanties fournies par les clauses contractuelles types puissent être respectées. A cet égard, il pourra notamment s’appuyer sur l’analyse réalisée par la Commission européenne dans sa décision d’adéquation entrée en vigueur le 10 juillet 2023, ainsi que les examens périodiques prévus dans cette décision. Durées de conservation en base active et en archivage Les échantillons biologiques seront détruits après analyse ou conservés pendant vingt-cinq ans dans le cadre d’une collection d’échantillons biologiques, si la personne concernée y consent. Autres données : Base active : cinq ans Archivage : vingt-cinq ans. Conservation et réutilisation des données et des échantillons biologiques Toute nouvelle étude qui serait mise en œuvre à partir des échantillons biologiques et des données cliniques associées devra faire l’objet de formalités auprès de la CNIL. En effet, la constitution d’une base de données associée à une collection d’échantillons biologiques relève, sauf en cas de recueil du consentement exprès conformément aux dispositions du RGPD, du régime de formalités préalables prévu par les dispositions générales de la section 3 du chapitre III du titre 2 de la loi informatique et libertés pour les traitements de données à caractère personnel dans le domaine de la santé (déclaration de conformité au référentiel entrepôt de données de santé ou autorisation). Conformément à la délibération n° 2018-327 du 11 octobre 2018 relative aux analyses d’impact sur la protection des données, les traitements des données de santé nécessaires à la constitution d’une base de données pérenne associée à une collection d’échantillons biologiques nécessitent la réalisation préalable d’une telle analyse. Toute nouvelle étude qui sera mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE l’INSTITUT DE RECHERCHES INTERNATIONALES SERVIER à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT