Décision DT-2024-007 du 18 mars 2024 autorisant conjointement LES LABORATOIRES E BIOLOGIE MEDICALE DU RESEAU CERBALLIANCE à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé. (Demande d’autorisation n° 2231450).
Type : Autre autorisation
Date : 2024-03-18
État juridique : VIGUEUR

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur la responsabilité conjointe de traitement Plusieurs organismes interviennent en qualité de responsables conjoints de traitement dans le cadre de la constitution de l’entrepôt : Cerballiance Alpes Durance Cerballiance Aquitaine Nord Cerballiance Aquitaine Sud Cerballiance Artois Cerballiance Auvergne-Rhône-Alpes Cerballiance Bourgogne Cerballiance Charentes Cerballiance Gascogne Cerballiance Hauts-de-France Cerballiance IDF Ouest Cerballiance IDF Sud Cerballiance Languedoc Cerballiance Médoc Cerballiance Normandie Est Cerballiance Normandie Ouest Cerballiance Normandie Sud Cerballiance Occitanie Cerballiance Oise Cerballiance Paris et IDF Est Cerballiance Provence Azur Cerballiance Pyrénées Cerballiance Réunion Cerballiance Somme Cerballiance Centre Val de Loire Ces sociétés, réunies en consortium ne disposant pas de la personnalité juridique, définissent conjointement la finalité et les moyens du traitement mis en œuvre dans le cadre de la constitution de l’entrepôt, en qualité de responsables conjoints, au sens de l’article 26 du Règlement européen sur la protection des données (RGPD). A ce titre, elles devront définir de manière transparente leurs obligations respectives dans le cadre du contrat qui les lie concernant la mise en œuvre du traitement. La modification de la composition du consortium constituera une modification substantielle du traitement de données et nécessitera une modification de la présente autorisation. Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme à l’ensemble des dispositions du référentiel entrepôt de données dans le domaine de la santé . Les responsables conjoints de traitement considèrent que le traitement est nécessaire aux fins des missions d’intérêt public dont sont investis les laboratoires de biologie médicale (LBM) en application des dispositions de l’article L. 6212-3 du Code de la santé publique (CSP), ceux-ci pouvant être appelés à participer à des programmes d’enseignement et de recherche . Toutefois, les éléments du dossier de demande ne permettent pas de démontrer que la mise en œuvre du traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relève de l’exercice de l’autorité public dont serait investis conjointement les responsables du traitement. Néanmoins, les co-responsables de traitement poursuivent des intérêts légitimes pouvant justifier la mise en œuvre du traitement conformément à l’article 6.1.f) du RGPD. Sur la finalité du traitement Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé. Ce dernier a pour finalités : la réutilisation des données à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ; la réalisation d’études de faisabilité à des fins de recherche ; la production d’indicateurs et le pilotage stratégique de l’activité des responsables de traitement. Les données contenues dans cet entrepôt ne pourront, par analogie avec les finalités interdites d’utilisation du Système national des données de santé (SNDS), être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés , qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres. Sur les données traitées Les données à caractère personnel des patients pris en charge postérieurement au 1er janvier 2023 par les LBM du réseau CERBALLIANCE et les prescripteurs des analyses médicales provenant des dossiers des patients versées dans l’entrepôt sont : données administratives /d’identification des patients : nom, nom de naissance, prénom(s), sexe, date de naissance complète, statut vital, numéro d’identifiant du patient et numéros de dossier, coordonnées électroniques, téléphoniques et postales ; données de santé des patients : données cliniques : poids, taille, traitements médicamenteux, maladie ponctuelle, maladie chronique, symptômes, allergies, prescriptions, résultats issus d’analyses d’échantillons et compte rendu, état physiologique spécifique, antécédents familiaux, régime alimentaire spécifique ; données associées à des échantillons biologiques : code barre d’échantillon, volume prélevé, unité de volume prélevé données des prescripteurs : données directement identifiantes et administratives (nom, prénom, identifiant du prescripteur, code RPPS, numéro ADELI, coordonnées postales et électroniques professionnelles. Lorsque le patient a exprimé son opposition, seules les informations suivantes sont conservées dans l’entrepôt : le numéro d’identifiant du patient dans le système de gestion des LBM (SGL) ; statut opposition ; date de la demande d’opposition. Les données administratives/d’identification des patients seront conservées au sein de l’entrepôt de manière cloisonnée par rapport aux données de santé. Le NIR des personnes concernées ne sera pas traité. Sur la conservation des données S’agissant des données de l’entrepôt : Les données versées dans l’entrepôt sont conservées dans l’entrepôt dix ans à compter de leur collecte puis supprimées. S’agissant de la conservation des traces : Les traces fonctionnelles et techniques sont conservées six mois. Sur l’information des personnes Il appartient aux responsables conjoints de traitement, de transmettre aux LBM concernés, une note d’information à destination des patients, de leurs représentants légaux et des professionnels de santé, conforme aux dispositions du RGPD et de s’assurer que cette information leur sera remise. Les supports d’information devront, mentionner explicitement, que l’exercice des droits par les personnes, notamment leur droit d’opposition, n’aura pas de conséquence sur leur prise en charge médicale. S’agissant des patients pris en charge antérieurement à la constitution de l’entrepôt : Une note d’information individuelle, comportant l’ensemble des mentions prévues par le RGPD, sera adressée par voie électronique aux patients ayant communiqué une adresse électronique En complément, une notification comportant l’ensemble des mentions prévues par le RGPD sera également présente dans l’espace patient En application de l’article 69 de la loi et de l’article 14-5-b) du RGPD, l’obligation d’information individuelle de la personne concernée peut faire l’objet d’exceptions, notamment dans l’hypothèse où la fourniture d’une telle information se révèlerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l’espèce, il sera fait exception au principe d’information individuelle des patients n’étant plus suivis et n’ayant founi que leurs coordonnées postales, ou aucune coordonnées (électroniques ou postales) au laboratoire de biologie médicale les ayant pris en charge. Des mesures appropriées seront mises en œuvre : communiqués auprès de différents médias, affichage dans les LBM, diffusion sur le site web des responsables conjoints de traitement et sur le site du réseau Cerballiance, d’une information comportant l’ensemble des mentions prévues par le RGPD. Un message d’information sera également délivré sur l’espace Doctolib des LBM. S’agissant des patients pris en charge postérieurement à la constitution de l’entrepôt : Une note d’information individuelle, comportant l’ensemble des mentions prévues par le RGPD, sera remise aux patients et le cas échéant, à leurs représentant légaux, au moment de leur prise en charge. S’agissant des prescripteurs dont les données sont collectées dans le cadre de l’entrepôt de données de santé : Les professionnels dont les données seront versées dans l’entrepôt recevront une note d’information individuelle, comportant l’ensemble des mentions prévues par le RGPD. Cette notre leur sera adressée par voie électronique. Mesures de sécurité Les mesures de sécurité doivent répondre aux exigences prévues par les articles 5,1,f) et 32 du RGPD. A cet égard, ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, les responsables de traitement restent pleinement responsables du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment. AUTORISE LES LABORATOIRES DE BIOLOGIE MEDICALE DU RESEAU CERBALLIANCE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU