Décision DR-2024-278 du 12 novembre 2024 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE BREST à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la réévaluation des performances métrologiques d’un algorithme d’identification des accidents vasculaires cérébraux hospitalisés, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2017 à 2020, intitulée « ALIA ». (Demande d’autorisation n° 924212)
Type : Autorisation de recherche
Date : 2024-11-12
État juridique : VIGUEUR

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi "informatique et libertés") ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 7 avril 2022. Sur le rôle du groupement d’intérêt public "Plateforme des données de santé" Le groupement d’intérêt public "Plateforme de données de santé" (GIP PDS) interviendra dans le cadre de l’extraction des données du Système national des données de santé (SNDS) sur le portail de la Caisse nationale de l’assurance maladie (CNAM) en sa qualité de responsable conjoint du SNDS. Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement seront ciblées puis extraites sur le portail de la CNAM par le GIP PDS. Tous les filtrages et les appariements de données seront réalisés en amont de la transmission des données vers la solution technique du GIP PDS. La vérification de la concordance entre les données nécessaires au projet et les données extraites sera effectuée en lien avec la CNAM. Par ailleurs, s’agissant des autres opérations de traitement dont l’hébergement des données de l’étude, la CNIL estime que le GIP PDS interviendra en qualité de sous-traitant. A ce titre, la répartition des rôles et responsabilités entre le CHU de Brest et le GIP PDS, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes, devra être formalisée par une convention entre les deux parties conformément à l’article 28 du RGPD. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (appariement des données cliniques avec les données du Système national des données de santé (SNDS) au moyen d’un appariement probabiliste) et des modalités d’information des personnes concernées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par cette méthodologie de référence. Réutilisation des données d’une base existante Les données portant sur les années 2018 à 2019 du registre des accidents vasculaires cérébraux du pays de Brest (demande d’autorisation n° 908085) seront réutilisées dans le cadre de la présente étude. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM et PMSI Années concernées : 2017 à 2020, sous réserve qu’elles soient diffusables par la CNAM. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes En application de l'article 69 de la loi "informatique et libertés" et du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une note d’information sur : le site web du responsable de traitement de l’étude ; les sites web des centres participants au registre. Cette note d’information devra comporter l’ensemble des mentions prévues par le RGPD. Ce traitement devra être enregistré dans le répertoire public mis à disposition par le GIP PDS. Mesures de sécurité et modalités d’hébergement La sécurité des données de l’espace projet dédié au projet "ALIA" dépend essentiellement de la solution technique du GIP PDS, qui a fait l’objet d’une analyse globale des risques et des impacts sur la vie privée, suivie d’une homologation selon le référentiel de sécurité du SNDS. Plus spécifiquement, une analyse d’impact relative à la protection des données a été transmise à la CNIL concernant la solution technique du GIP PDS, qui correspond à une bulle sécurisée SNDS et qui hébergera le projet "ALIA". Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet "ALIA" et intégrant les éléments fournis par le GIP PDS pour sa solution technique. Une homologation de l’espace projet a ainsi été réalisée par le responsable de traitement le 15 avril 2023, pour une durée de trois ans sous réserve de la mise en œuvre du plan d’actions qu’il a défini. Cette décision d’homologation devra donc être renouvelée avant l’expiration de ce délai si le projet est toujours en cours. Conformément aux dispositions de l’arrêté du 6 mai 2024, relatif au référentiel de sécurité applicable au SNDS et notamment son article 3, il appartiendra au CHU de Brest de s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement Les mesures de sécurité mises en œuvre par le responsable de traitement apparaissent proportionnées aux risques présentés par le traitement. Transferts hors Union européenne Les dispositions de l’article R. 1461-1 du CSP prévoient qu’aucun transfert de données à caractère personnel ne peut être réalisé en dehors de l'Union européenne, sauf dans le cas d'accès ponctuels aux données par des personnes situées en dehors de l'Union européenne, pour une finalité relevant du 1° du I de l'article L. 1461-3 du CSP. En l’espèce, le dossier de demande mentionne que, bien que le prestataire ne soit pas exclusivement soumis aux lois et juridictions de l’Union européenne, aucun transfert en dehors de l’Union européenne de données individuelles du SNDS n’est prévu, aucun membre de l’équipe de recherche n’étant situé en dehors de l’Union européenne. Durées de conservation Un an à compter de la mise à disposition des données. Observations particulières La constitution de bases de données pérennes en vue de leur réutilisation à des fins de recherche ne constituent pas des études, recherches ou évaluations dans le domaine de la santé. Le traitement réalisé dans le cadre du registre des accidents vasculaires cérébraux du pays de Brest relève donc désormais, sauf en cas de recueil du consentement conformément aux dispositions du RGPD, du régime de formalités préalables prévu par les dispositions de la sous-section 1 de la section 3 du chapitre III du titre 2 de la loi "informatique et libertés" (déclaration de conformité au référentiel "entrepôt de données de santé" ou demande d’autorisation). Par conséquent, le registre des accidents vasculaires cérébraux du pays de Brest devra faire l’objet d’une nouvelle formalité auprès de la Commission. AUTORISE le centre hospitalier universitaire de brest à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU