Décision DR-2024-211 du 9 août 2024 autorisant l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la désescalade thérapeutique associée à l’utilisation des modulateurs du gène CFTR dans la mucoviscidose, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2024, intitulée « RELIEF CF ». (Demande d’autorisation n° 924118)
Type : Autorisation de recherche
Date : 2024-08-09
État juridique : VIGUEUR

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024. Points de non-conformité à la méthodologie de référence concernée Le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante (étude précédente ou entrepôt de données de santé) Seront réutilisées les données issues : du registre français de la mucoviscidose (demande d’autorisation n°1202233) ; de l’étude KAFTRIO (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-004) ; de l’étude MODUL-CF (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-004). Ces traitements sont mis en œuvre par l’association Vaincre la mucoviscidose . Les données du registre français de la mucoviscidose collectées entre 2006 et 2024 seront réutilisées dans le cadre de la présente étude. Les données collectées entre 2006 et 2017 seront traitées uniquement à des fins d’appariement avec les données du Système national des données de santé (SNDS). Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM et PMSI Années concernées : 2006 à 2024 sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail de la CNAM Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes S’agissant des patients déjà inclus dans le registre et/ou les études et dont le suivi est achevé : En application de l'article 69 de la loi informatique et libertés et de l’article 14-5-b) du règlement général sur la protection des données (RGPD), l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une information relative au projet de recherche : sur le site web de l’association Vaincre la mucoviscidose ; sur le site web de l’équipe RESHAPE ; par affichage au sein des centres participants. Cette information devra comporter l’ensemble des mentions prévues par le RGPD. Elle devra être diffusée et affichée avant le début de l’étude. S’agissant des patients déjà inclus dans le registre et/ou les études dont le suivi est toujours en cours ainsi que des patients nouvellement inclus dans le registre et/ou les études : Les participants majeurs seront destinataires d’une note d’information individuelle remise à l’occasion d’une visite de suivi. Par ailleurs, les deux titulaires de l’autorité parentale ainsi que les mineurs devront recevoir une note d’information individuelle à l’occasion d’une visite de suivi. Ces documents devront comporter l’ensemble des mentions prévues par le RGPD. Durée d’accès/ Durées de conservation en base active et en archivage Les données issues du registre français de la mucoviscidose nécessaires à l’appariement ne seront pas conservées après la réalisation de celui-ci. Données du SNDS : trois ans à compter de la mise à disposition des données. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. Observations particulières La constitution de bases de données pérennes en vue de leur réutilisation à des fins de recherche ne constituent pas des études, recherches ou évaluations dans le domaine de la santé. Le traitement réalisé dans le cadre du registre du registre français de la mucoviscidose relève donc désormais, sauf en cas de recueil du consentement conformément aux dispositions du Règlement général sur la protection des données, du régime de formalités préalables prévu par les dispositions de la sous-section 1 de la section 3 du chapitre III du titre 2 de la loi informatique et libertés (déclaration de conformité au référentiel entrepôt de données de santé ou dépôt d’une demande d’autorisation). Par conséquent, ce registre devra faire l’objet d’une nouvelle formalité auprès de la Commission. Par ailleurs, dès lors que le traitement remplit au moins deux des neuf critères issus des lignes directrices du Comité européen sur la protection des données sur l’analyse d’impact relative à la protection des données (parmi lesquels la collecte de données sensibles ou de données à caractère hautement personnel, le traitement de données de personnes vulnérables, le traitement de données à grande échelle ou encore le croisement d’ensembles de données), une telle analyse devra être menée préalablement à la mise en œuvre du traitement. AUTORISE l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU