Décision DT-2024-008 du 6 avril 2024 autorisant L’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE à mettre en œuvre un traitement de données ayant pour finalité la constitution d’un entrepôt de données de santé sur les maladies rares de l’œil, dénommé « FREDD ». (Demande d’autorisation n°2229636v1). 
Type : Autre autorisation
Date : 2024-04-06
État juridique : VIGUEUR

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sous-traitants Plusieurs sous-traitants interviendront dans la mise en œuvre de cet entrepôt. Le traitement des données par chacun des sous-traitants devra être régi par un contrat ou acte juridique, conformément à l’article 28 du Règlement générale sur la protection des données (RGPD). Point de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé , à l’exception des mesures de sécurité. Finalité du traitement Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé et des données génétiques. Ce traitement s’inscrit dans le cadre du troisième plan national des maladies rares. Cet entrepôt permettra notamment de : réaliser des études épidémiologiques ; réaliser des projets de recherche en génétique utilisant notamment l’intelligence artificielle ; réaliser des études de faisabilité (pré-screening) ; réaliser des études cliniques ; suivre des cohortes de patients et d’améliorer leur parcours de soins et de la prise en charge des patients atteints d’une maladie rare de l’œil ; développer des outils d’aide au diagnostic médical ou à la prise en charge. Cet entrepôt ne sera pas utilisé dans le cadre du suivi médical des personnes concernées. Les données contenues dans cet entrepôt ne pourront, par analogie avec les finalités interdites d’utilisation du Système national des données de santé (SNDS), être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés modifiée, qui imposent que chaque traitement soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres. Données traitées Les données à caractère personnel traitées et versées dans l’entrepôt seront issues des dossiers médicaux des établissements de santé (fournisseurs des données) suivants, sous réserve de leur accord écrit et spécifique : le centre de référence pour les maladies rares en génétiques ophtalmiques (CARGO) du Centre hospitalier universitaire de Strasbourg ; le centre hospitalier national d’ophtalmologie des Quinze-vingt ; le centre hospitalier universitaire de Nantes ; le centre hospitalier universitaire de Lille ; le centre hospitalier universitaire de Montpellier. Les personnes concernées seront : les patients atteints d’une maladie rare de l’œil ; les proches des patients dès lors qu’ils ont été suivis en consultation dans un centre de maladie rare et s’ils ont un lien génétique étroit avec le patient (père/mère, frère/sœur, fils/fils, oncle/tante, grand-mère/grand père, cousin/cousine au 1er degré) ; les professionnels de santé ayant pris en charge la personne et saisissant les données dans l’entrepôt. S’agissant des personnes atteintes d’une maladie rare de l’œil : données d’identification : prénoms, noms, date de naissance complète, sexe, informations sur le lieu de naissance (pays ou département et ville) ; données relatives aux origines ethniques ; données génétiques ; données relatives au mode de vie (type d’hébergement, occupation) ; données relatives au handicap ; données relatives à la santé dont l’histoire de la maladie, les traitements en cours, l’historique médical de la personne, des imageries médicales ainsi que des informations issues du diagnostic clinique, du diagnostic génétique, de l’examen d’acuité visuelle, de l’examen du champ visuel, du parcours de soins de la personne ; données relatives au statut vital de la personne. S’agissant des proches : sexe, mois et année de naissance ; données relatives au mode de vie ; données relatives aux origines ethniques ; données relatives au statut vital ; données de santé dont des données relatives à l’historique médical, des imageries médicales ainsi que des informations issues des investigations cliniques réalisées, du parcours de soins. S’agissant des professionnels de santé : données d’identification (prénoms, noms) ; coordonnées électroniques et téléphoniques ; données de connexion (adresse IP et journaux d’évènements). Le NIR des personnes concernées ne sera pas collecté. Information et les droits des personnes S’agissant des patients atteints d’une maladie rare de l’œil et des proches : Une note d’information individuelle leur sera remise et, le cas échéant, à leurs représentants légaux, lors d’une consultation de suivi. S’agissant des professionnels de santé : Une note d’information individuelle leur sera transmise lors de la création de leur compte utilisateur. En considération des lignes directrices relatives à la transparence du G29 adoptée le 11 avril 2018, la note d’information relative à la constitution de cet entrepôt de données de santé devra être clairement distinguée des conditions générales d’utilisation (CGU) de l’outil leur permettant de créer un compte. S’agissant des autres mesures de transparence : Une note d’information relative à la constitution de l’entrepôt FREDD ainsi que chaque recherche, étude ou évaluation dans le domaine de la santé réutilisant les données de l’entrepôt seront publiées sur le site web du responsable de traitement. Par ailleurs, le responsable de traitement s’engage à : préciser sur son site web les catégories de données disponibles au sein de l’entrepôt FREDD ainsi que leur source ; renvoyer vers les sites web des établissements fournisseurs de données. Ces documents d’information devront comporter l’ensemble des mentions prévues par le RGPD. S’agissant de l’exercice des droits : Les personnes concernées pourront exercer leurs droits auprès du médecin l’ayant pris en charge ou directement auprès du responsable de traitement par voie postale ou électronique. Sur la sécurité des données Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l'entrepôt FREDD. Les mesures de sécurité planifiées ou mises en place dans FREDD ont été comparées avec les exigences de sécurité mentionnées dans le référentiel entrepôts de données de santé par le responsable de traitement. Des écarts avec les exigences de sécurité de ce référentiel ont été relevés concernant : le chiffrement des données au repos et des sauvegardes ; le cloisonnement et chiffrement spécifique des données de génétique ; le contrôle régulier des traces ; l’extraction de jeux données non-anonymisés. Le chiffrement des données dans l’environnement France Cohortes est prévu pour avril 2024. Sans mesure de chiffrement complémentaire, les données ne pourront rejoindre cet espace qu’une fois le système de chiffrement prévu opérationnel. Les données génétiques collectées au sein de l’entrepôt seront des informations relatives à la caractérisation de la mutation du gène lié à la maladie, recueillies dans le cadre de la prise en charge. Ces informations ne présentant pas de sensibilité supplémentaire comparée aux autres données versées dans l’entrepôt, un cloisonnement spécifique n’est pas nécessaire. Conformément à la mesure SEC-JOU-3 du référentiel entrepôts de données de santé , un contrôle des traces doit être réalisé régulièrement et a minima bimestriellement, ainsi qu’à la fin de chaque période d’habilitation liée à un projet de recherche. Ce contrôle doit être réalisé par : une solution réalisant une surveillance automatique avec une remontée d’alertes traitées manuellement par un opérateur habilité ; ou par un contrôle semi-automatique via exécution de programmes permettant une sélection des traces anormales, suivi d’une relecture manuelle par un opérateur habilité. Les fichiers temporaires, entre autres ceux permettant l’import de données depuis BaMaRa ainsi que les images médicales non pseudonymisées, seront supprimés à bref délai après traitement. Les répertoires de travail devront être purgés régulièrement. La politique de mot de passe devra être conforme à la délibération n° 2022-100 du 21 juillet 2022 de la CNIL sur le sujet. Les mesures de sécurité doivent répondre aux exigences prévues par les articles 5,1, f) et 32 du règlement général sur la protection des données compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Sur les exportations : L’exigence SEC-EXP-1 du référentiel entrepôts de données de santé prévoit que seuls des jeux de données anonymes peuvent faire l'objet d'une exportation hors de l'entrepôt ou d'un espace de travail, à l’exception des données relatives aux procédures de réidentification SEC-REI-1 à SEC-REI-3. Dans l’hypothèse où l’exportation de données hors de l’entrepôt ou d’un espace de travail de l’entrepôt serait envisagée dans le cadre d’un projet de recherche, d’étude ou d’évaluation dans le domaine de la santé, la nécessité de cette exportation de données pseudonymisées devra être étudiée par le comité de pilotage de l’entrepôt, qui devra donner son accord exprès et spécifique à cette fin. Le comité scientifique et éthique s’assurera ensuite pour chaque projet de recherche que celui-ci ne pourra pas être réalisé sur un espace projet de l’entrepôt et que les principes de minimisation et de proportionnalité seront respectés quant aux données qui font l’objet de l’exportation. Il appartient également au responsable de traitement d’encadrer contractuellement toute mise à disposition de données afin de s’assurer que l’exportation est entreprise vers un environnement dont les mesures de sécurité sont adaptées au niveau de risque, conformément aux articles 5.1.f) et 32 du RGPD, et permettra uniquement la réutilisation des données aux fins approuvées par le comité scientifique et éthique et pour le traitement ayant fait l’objet des formalités requises auprès de la CNIL. AUTORISE, l’Institut national de la santé et de la recherche médicale à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU