Décision DR-2024-153 du 28 juin 2024 autorisant l’INSTITUT CURIE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la prise en charge des patients atteints de tumeurs stromales gastro-intestinales sur le territoire national entre 2010 et 2020, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2005 à 2025, intitulée " REALIGIST ". (Demande d’autorisation n° 923136v1)
Type : Autorisation de recherche
Date : 2024-06-28
État juridique : VIGUEUR

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur les sous-traitants Le projet fait partie des lauréats de l’appel à manifestation d’intérêt UNIBASE ouvert en 2021 par la Plateforme des données de santé (PDS). Une convention conforme à l’article 28 du Règlement général sur la protection des données (RGPD), répartissant les rôles et responsabilités de chacune des parties sera conclue entre le responsable de traitement et la PDS, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes. Par ailleurs, la répartition des rôles et responsabilités entre le responsable de traitement et UNICANCER, concernant le contrôle qualité des données cliniques, sera formalisée par une convention entre les deux parties conformément à l’article 28 du RGPD. Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 8 septembre 2022. Points de non-conformité à la méthodologie de référence Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées. Réutilisation des données d’une base existante Sous réserve de l’exercice du droit d’opposition, les données réutilisées dans le cadre de cette étude proviendront : de la base nationale du réseau de référence sarcomes NETSARC+ mise en œuvre par le centre Léon Bérard (demande d’autorisation CNIL n°910390) ; des dossiers médicaux des patients pris en charge par six centres de lutte contre le cancer (CLCC) ; des serveurs d’imagerie pour une sous-partie de patients pris en charge par six centres de lutte contre le cancer (CLCC) ; des données du système national des données de santé (SNDS) ; Seules les données des personnes prises en charge dans un CLCC entre 2010 et 2020 et identifiées via la base nationale du réseau de référence sarcomes NETSARC+, seront traitées dans le cadre de cette étude. Cette étude concerne environ 2000 personnes. Catégories particulières de données traitées (autres que données de santé), incluant des données issues du SNDS historique Sous réserve qu’elles soient diffusables par la Caisse nationale de l’assurance maladie (CNAM), le responsable de traitement sollicite un accès aux données : du SNIIRAM et du PMSI des années 2005 à 2025 ; du CépiDc des années 2010 à 2025. Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement seront transmises par la CNAM. Les données issues des dossiers médicaux feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants. Les centres participants à l’étude devront transférer les NIR exclusivement à la CNAM. Information et droits des personnes Pour les patients dont le suivi est toujours en cours : Ces patients ont reçu depuis mi 2022, un amendement à la note d’information individuelle afin de prévoir un dispositif spécifique d’information auquel ils pourront se reporter préalablement à la mise en œuvre de chaque nouvelle étude nécessitant la réutilisation de leurs données. Une note d’information relative à la présente étude sera diffusée sur ce site web dédié. Pour les patients n’ayant pas reçu de note d’information individuelle amendée prévoyant la réutilisation de leurs données et le renvoi vers portail de transparence : En application de l'article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle pour ces personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une information relative au projet de recherche sur le site web : du responsable de traitement ; des associations de patients, nationale (Info Sarcomes) et spécifique aux GIST (AFPG Ensemble contre le GIST) ; du réseau de référence sarcome NETSARC+ ; de chacun des centres participant ; d’UNICANCER ; de la PDS. Sur la sécurité des données et leurs modalités d’hébergement A titre liminaire, la CNIL prend acte de ce que le dossier de demande justifie de la nécessité de recourir à la solution technique de la PDS, compte tenu des caractéristiques ainsi que des modalités spécifiques de mise en œuvre de cette étude. La sécurité des données de l’espace projet dédié au projet " REALIGIST " dépend essentiellement de la solution technique de la PDS, qui a fait l’objet d’une analyse globale des risques et d’impact sur la vie privée, suivie d’une homologation selon le référentiel de sécurité du SNDS. Plus spécifiquement, une analyse d’impact relative à la protection des données a été transmise à la CNIL concernant la solution technique de la PDS, qui correspond à une bulle sécurisée SNDS et qui hébergera le projet " REALIGIST ". Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet " REALIGIST " et intégrant les éléments fournis par la PDS pour sa solution technique. Une homologation de l’espace projet a ainsi été réalisée par le responsable de traitement le 22 décembre 2023, pour une durée de trois ans, sous réserve de la mise en œuvre du plan d’actions qu’il a défini. Cette décision d’homologation est valable jusqu’au 22 décembre 2026 et devra donc être renouvelée avant cette date si le projet est toujours en cours. Les mesures de sécurité mises en œuvre par le responsable de traitement apparaissent proportionnées aux risques présentés par le traitement. UNICANCER conservera les données cliniques en base active uniquement pour le contrôle qualité et jusqu’au transfert sur la PDS validé. Les données seront alors archivées pendant deux ans maximum. Ces archives devront faire l'objet de mesures spécifiques impliquant un cloisonnement dans un espace de stockage dédié, des habilitations limitées à un nombre restreint de personnes et des accès exceptionnels strictement justifiés. Transferts hors Union européenne L’article R. 1461-1 du CSP prévoit qu’aucun transfert de données à caractère personnel ne peut être réalisé en dehors de l'Union européenne, sauf dans le cas d'accès ponctuels aux données par des personnes situées en dehors de l'Union européenne, pour une finalité relevant du 1° du I de l'article L. 1461-3 du CSP. En l’espèce, le dossier de demande mentionne que, bien que le prestataire ne soit pas exclusivement soumis aux lois et juridictions de l’Union européenne, aucun transfert en dehors de l’Union européenne de données individuelles du SNDS n’est prévu, aucun membre de l’équipe de recherche n’étant situé en dehors de l’Union européenne. Durée d’accès / de conservation des données Les NIR, les dates de naissance complètes et le sexe seront détruits après l’appariement. Données du SNDS : trois ans à compter de la mise à disposition des données. Observations particulières Les bases de données pérennes comprenant des données de santé et constituées en vue de leur réutilisation à des fins de recherche dans le domaine de santé sont des entrepôts de données. Sauf en cas de recueil du consentement des personnes concernées, ces traitements relèvent du régime de formalités préalables prévu par les articles 66 et suivants de la loi " informatique et libertés " (déclaration de conformité au référentiel " entrepôt de données de santé " ou, en cas de non-conformité au référentiel, autorisation de la CNIL). AUTORISE l’INSTITUT CURIE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD