Décision DT-2024-020 du 13 septembre 2024 autorisant la société GERS SAS à mettre en œuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé " THIN ". (Demande d’autorisation n° 2234363)
Type : Autre autorisation
Date : 2024-09-13
État juridique : VIGUEUR

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé déjà mis en œuvre ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé Le traitement a pour finalité la constitution d’un entrepôt de données à caractère personnel, dénommé THIN , qui met à disposition des données de vie réelle de suivi des patients, collectées chez les médecins libéraux de ville, à des fins de recherche et d’études non interventionnelle portant notamment sur : l’analyse de l’usage du traitement, des indicateurs d’observance et de persistance, de la prise en charge et des schémas thérapeutiques, des changements de traitements et des parcours des patients ; la réduction de l’errance de diagnostic par analyse prédictive de survenue des maladies ; l’évaluation de la bonne utilisation des médicaments (interactions médicamenteuses, effets secondaires, posologies prescrites respectant les recommandations de la Haute autorité de santé, etc. ) ; l’évaluation de la consommation de soins et de coûts de prise en charge des patients à des fins d’études médico-économiques ; les calculs de prévalence, d’incidence et évaluant le fardeau de la pathologie ; le suivi des campagnes de vaccination et de dépistage au cabinet médical ; le suivi de crises épidémiques. La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du RGPD. Les données contenues dans cet entrepôt ne devront pas être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. Le traitement mis en œuvre par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi informatique et libertés modifiée. Sur les points de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé , à l’exception de la base légale du traitement et de la nature des données traitées. La CNIL relève néanmoins que certaines mesures de sécurité ne sont pas conformes au référentiel. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel. Sur les sous-traitants Plusieurs sous-traitants interviennent dans la mise en œuvre de cet entrepôt. Le traitement des données par chacun de ces sous-traitants doit être régi par un contrat ou un acte juridique, conformément à l’article 28 du RGPD. Sur la gouvernance de l’entrepôt Le responsable de traitement a mis en place un dispositif de gouvernance de l’entrepôt afin de maîtriser l’exploitation qui en est faite dans le respect des finalités déclarées et de l’intérêt public. Le dossier de demande mentionne que cette gouvernance est conforme au référentiel entrepôt de données de santé . Sur les données traitées et leur profondeur historique Les différentes données conservées dans l’entrepôt sont listées dans le dossier de demande. Les données relatives à l’historique des remboursements de santé effectués par l’assurance maladie ne seront pas conservées au sein de l’entrepôt. S’agissant des données relatives aux patients : Sous réserve de l’exercice du droit d’opposition des patients suivis par un médecin partenaire, les données suivantes seront conservées au sein de l’entrepôt : données administratives : code patient pseudonymisé non signifiant ; année de naissance et sexe du patient ; le cas échéant, mois et année de décès ; nombre de mois au moment de l’évènement médical pour les patients de trois ans et moins ; nombre d’enfants si le patient est une femme âgée de 18 ans ou plus ; visites (date et type) ; diagnostics/pathologies (antécédents médicaux et date, type de diagnostic et date, facteurs de risque, allergies, effets secondaires, échelles et scores de sévérité des maladies, affection de longue durée) ; traitement (produit prescrit et délivré, date de prescription, diagnostic associé, posologie prescrite, risque associé à la délivrance…) ; examens (date, mesure biologique, résultat…) ; actes médicaux (prescription d’examens complémentaires, acte médical, date de l’acte…) ; arrêts de travail (date, durée…) ; hospitalisation (date, durée, label…) ; autres données (prescription de vaccins, adressage aux spécialistes, prescriptions de soins paramédicaux, transports médicaux). S’agissant des patients dont la dernière consultation est antérieure à 2018 : Eu égard à l’ancienneté de la date de la dernière consultation, le dossier de demande mentionne que leurs données ne seront pas conservées au sein de l’entrepôt. S’agissant des patients dont la ou les dernières consultations ont eu lieu entre 2018 et la présente autorisation : Le dossier de demande distingue plusieurs hypothèses. Premièrement, les patients ayant eu une seule consultation avec un médecin cardiologue, dermatologue, gastro-entérologue, neurologue ou pneumologue dont le contrat de partenariat relatif à l’alimentation de l’entrepôt THIN a pris fin : le suivi de ces patients étant impossible suite à la rupture du contrat avec le médecin et les consultations uniques pour ces spécialités étant fréquentes, leurs données seront conservées pendant une durée de trois mois à compter de la présente autorisation aux seules fins de calcul d’indicateurs agrégés anonymes puis supprimées. Elles seront marquées avec un indicateur spécifique. Deuxièmement, les patients ayant eu une seule consultation avec un médecin généraliste, un endocrinologue, un gynécologue, un pédiatre, un psychiatre, un rhumatologue dont le contrat de partenariat relatif à l’alimentation de l’entrepôt THIN a pris fin : leurs données ne seront pas conservées dans l’entrepôt. Troisièmement, les patients ayant eu plusieurs consultations avec un médecin généraliste ou spécialiste dont le contrat de partenariat relatif à l’alimentation de l’entrepôt THIN a pris fin ou est toujours en cours : leurs données, correspondant à une profondeur historique maximale de dix ans à compter de la dernière consultation, seront conservées au sein de l’entrepôt afin de pouvoir assurer la qualité du suivi longitudinal des patients. Par ailleurs, certaines données collectées (date d’enregistrement du diagnostic, le libellé du diagnostic enregistré et les antécédents médicaux personnels) durant les cinq années précédant cette profondeur historique seront conservées pendant trois mois aux seules fins de calcul d’indicateurs clés liés au parcours diagnostic des patients puis supprimées. Elles seront marquées avec un indicateur spécifique. La conservation des indicateurs calculée à partir de ces données devra être scientifiquement justifiée et être autorisée par la CNIL. Les autres données ne seront pas conservées au sein de l’entrepôt. S’agissant des patients ayant une consultation à partir de septembre 2024 (en cours de suivi ou nouvellement inclus) : Dans la limite d’une profondeur historique de quinze ans à compter de la dernière consultation, leurs données pourront être conservées au sein de l’entrepôt. S’agissant des professionnels de santé : Seront conservés au sein de l’entrepôt : le code médecin pseudonymisé, la spécialité médicale, le département du lieu d’exercice, l’année de naissance, le sexe et l’année d’obtention du diplôme du médecin. Sur l’information des personnes La société GERS SAS, en sa qualité de responsable de traitement de l’entrepôt, doit assurer l’information des personnes dont les données sont traitées, conformément au RGPD et à l’article 69 de la loi informatique et libertés . Tous les documents d’information (individuelle ou collective) devront : comporter l’ensemble des mentions prévues par le RGPD ; préciser la profondeur historique des données traitées afin d’assurer la transparence du traitement vis-à-vis des personnes concernées. S’agissant des modalités d’information collective à destination de l’ensemble des personnes concernées par ce traitement : Le dossier de demande d’autorisation mentionne : d’une part, qu’une communication de grande ampleur sera déployée sur les réseaux sociaux, et via un communiqué de presse à l’échelle régionale et nationale et qui sera relayé auprès de deux cents médias et via les associations de patients ; d’autre part, que des notes d’information collective seront affichées dans le cabinet de chaque professionnel de santé partenaire, ainsi que sur le site web du responsable de traitement. S’agissant plus spécifiquement des modalités d’information des patients : Le dossier de demande mentionne : d’une part, que les médecins partenaires ont l’obligation contractuelle d’informer le patient de sa participation à l’entrepôt THIN et de leur transmettre la notice d’information mise à leur disposition via le logiciel ; d’autre part, que le responsable de traitement entend faire application de l’article 14,5,b) du RGPD afin de déroger au principe d’information individuelle pour les patients dont la dernière consultation est antérieure à la présente autorisation. La CNIL relève que l’information délivrée jusqu’alors aux patients était incomplète au regard des exigences de la loi informatique et libertés en vigueur et du RGPD. Il appartient à la société GERS SAS de remédier à l’absence de conformité des modalités d’information des patients dont les données ont été collectées selon les modalités suivantes. S’agissant des patients dont la ou les dernières consultations ont eu lieu entre 2018 et la présente autorisation : En application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés eu égard aux caractéristiques du traitement et notamment de sa finalité, à savoir la mise à disposition de données de vie réelle de suivi des patients collectées chez les médecins libéraux de ville, à des fins de recherches et d’études non interventionnelles. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il peut être fait exception au principe d'information individuelle des personnes et les mesures appropriées décrites dans le dossier de demande devront être mises en œuvre par le responsable de traitement. S’agissant des patients qui consulteront un professionnel de santé partenaire à compter la présente autorisation : Ils recevront une note d’information individuelle. En tant que responsable de traitement, la société GERS SAS devra transmettre aux professionnels de santé partenaires une note d’information à destination des patients, de leurs représentants légaux, conforme aux dispositions du RGPD, et s’assurer que cette information leur sera remise. Les professionnels de santé partenaires sont contractuellement chargés d’informer leurs patients du traitement de données les concernant. S’agissant des professionnels de santé partenaires : Une note d’information devra leur être transmise par la société Gers SAS. Sur les droits des personnes Les patients pourront exercer leurs droits directement auprès des professionnels de santé partenaires. Les professionnels de santé devront pouvoir exercer leurs droits conformément au RGPD. Sur les accédants et les destinataires des données Pourront accéder aux données, les personnels salariés de la société GERS SAS et les acteurs externes (universités ; centres et équipes de recherche hospitaliers ; instituts de recherche médicale…) et spécifiquement habilités, soumis au secret professionnel, dans les strictes limites de leur besoin d’en connaître, pour l’exercice de leurs missions s’inscrivant dans les finalités de l’entrepôt. Des documents tenus à jour indiquent la ou les personnes compétentes pour délivrer l'habilitation d’accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations. La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement. Ces accès seront réalisés dans des espaces projets hébergés auprès de l’entrepôt. Seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, peuvent faire l’objet d’une extraction. Pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement devra réaliser une analyse permettant de démontrer que leurs processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut de remplir parfaitement ces trois critères, le responsable de traitement doit démontrer, via une évaluation approfondie, que le risque d’identification d'une personne à l'aide de moyens raisonnablement susceptibles d'être utilisés, par lui-même ou par toute autre personne, est négligeable. Sur la sécurité des données et la traçabilité des actions La plupart des mesures de sécurité du traitement mises en œuvre sont conformes à celles prévues par le référentiel entrepôt de données dans le domaine de la santé . Un des points de non-conformité est la conservation du sexe et de l’année de naissance des patients dans la base de données principale de l’entrepôt. Cette absence de cloisonnement apparaît conforme eu égard aux caractéristiques du traitement. Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt, ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . Certaines des mesures nécessaires à la pleine couverture des risques de sécurité sont en cours de déploiement et d’amélioration dans le cadre d’un plan d’actions formalisé. Ce plan d’actions devra être complété afin d’intégrer l’amélioration des mesures liées au respect des finalités interdites, et en particulier : lors de la création du projet, l’obligation pour le responsable de projet de s’engager sur la non-poursuite des finalités interdites ; lors de l’extraction de données, l’obligation pour le data-analyste ou data-scientiste de s’engager à utiliser les données uniquement dans le cadre du projet ; un contrôle manuel supplémentaire afin de vérifier qu’aucun résultat n’est restitué au niveau d’un agrégat si celui-ci concerne moins de dix professionnels de santé. Le responsable de traitement devra mettre en œuvre l’ensemble des mesures décrites dans son plan d’actions dans les meilleurs délais et, au plus tard, à la fin du premier trimestre 2025. La CNIL, au vu de la sensibilité et du volume des données, estime nécessaire d’évaluer dans un délai d’un an à compter de l’autorisation la réalité des mesures de sécurité mises en œuvre par la société GERS SAS. Les mesures de sécurité, renforcées par ce plan d’actions, sont ainsi de nature à répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Le responsable de traitement doit procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Sur la conservation des données Les données faisant l’objet d’un marquage spécifique seront conservées pendant trois mois pour les seules finalités décrites dans la présente autorisation puis détruites. Dans l’hypothèse où la présente autorisation serait renouvelée : les données des patients ayant eu plusieurs consultations avec un médecin généraliste ou spécialiste entre 2018 et la date de la présente autorisation et dont le contrat a pris fin seront conservées dix ans ; les données des patients ayant eu plusieurs consultations avec un médecin généraliste ou spécialiste entre 2018 et la présente autorisation dont le contrat n’a pas pris fin seront conservées dix ans dans l’hypothèse où ils ne pourraient pas être informés individuellement, faute de nouvelle consultation chez ce médecin ; les autres données ne pourront être conservées que pour une durée maximale de quinze ans à compter de leur collecte auprès des professionnels de santé partenaires. Sur la réutilisation des données de l’entrepôt Les données conservées dans l’entrepôt sont susceptibles d’être utilisées à des fins de recherches, d’études ou d’évaluations dans le domaine de la santé. Ces traitements devront se conformer aux dispositions des articles 66 et 72 et suivants de la loi informatique et libertés , qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ils devront faire l’objet de formalités propres par leur(s) responsable(s) de traitement. Les personnes concernées devront être informées de chacun de ces traitements conformément au RGPD et à la loi informatique et libertés . Observations complémentaires Dans l’hypothèse où la société GERS SAS souhaiterait continuer à mettre en œuvre ce traitement à l’issue de la période d’un an, le dossier de renouvellement de demande d’autorisation devra notamment comporter : les modalités de réalisation du plan d’actions ; les modalités d’information déployées afin d’informer collectivement et individuellement l’ensemble des personnes concernées par ce traitement ; la description des indicateurs calculés à partir des données ayant fait l’objet d’un marquage spécifique ; la démonstration du caractère anonyme au regard des critères susmentionnés des indicateurs calculés à partir des données des patients ayant eu une seule consultation avec un médecin cardiologue, dermatologue, gastro-entérologue, neurologue ou pneumologue dont le contrat de partenariat relatif à l’alimentation de l’entrepôt THIN a pris fin. Il appartiendra à la société GERS SAS de documenter l’effectivité de la suppression des données conformément aux termes de la présente décision. AUTORISE, dans ces conditions, la SOCIETE GERS SAS à mettre en œuvre le traitement décrit ci-dessus, pendant une durée d’un an. Le Directeur de l’accompagnement juridique Thomas DAUTIEU