Décision DR-2024-185 du 19 juillet 2024 autorisant la société ABBVIE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la sécurité et l’efficacité de l’upadacitinib dans le traitement du vitiligo non segmentaire. (Demande d’autorisation n° 924126)
Type : Autorisation de recherche
Date : 2024-07-19
État juridique : VIGUEUR

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ouest V du 28 mars 2024 Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement mis en œuvre pour les besoins de cette étude est conforme à la méthodologie de référence MR-001, à l'exception de la nature des données collectées et des destinataires des données directement identifiantes. Catégories particulières de données traitées (autres que données de santé) Les données directement identifiantes devront être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel devra pouvoir accéder aux données directement identifiantes. S’agissant de la réalisation d’image en 3D du visage des participants : Des images en 3D directement identifiantes du visage des participants à la recherche seront réalisées dans le cadre de cette étude. Ce traitement a été scientifiquement justifié dans le dossier de demande et le consentement éclairé et exprès des participants sera recueilli par écrit en vue de la réalisation de ces images. Certains membres du personnel du responsable de traitement spécialement habilités ainsi que l’un de ses prestataires auront accès aux images en 3D du visage des participants pour certaines finalités mentionnées dans le dossier de demande. S’agissant de la collecte des données nominatives et des coordonnées postales, électroniques et téléphoniques : La collecte des données nominatives, ainsi que des coordonnées postales, téléphoniques, électroniques est nécessaire pour assurer le suivi des participants qui en sont informés. S’agissant de la collecte de l’origine ethnique des participants : Elle a été scientifiquement justifiée dans le dossier de demande. S’agissant de l’examen des caractéristiques génétiques des participants : Le consentement éclairé et exprès des personnes concernées sera recueilli par écrit préalablement au traitement, conformément aux dispositions de l’article 75 de la loi du 6 janvier 1978 modifiée et de l’article 114 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi informatique et libertés . Information et droits des personnes S’agissant des participants majeurs : Ils recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le RGPD. S’agissant des participants mineurs : Les deux titulaires de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude. Les mineurs participant à l’étude recevront une note d’information individuelle spécifique. Les participants devenant majeurs pendant l’étude recevront à cette occasion une note d’information et un formulaire de consentement spécifiques en vue de la poursuite de leur participation à l’étude. Transferts hors Union européenne Le responsable de traitement prévoit de transférer aux Etats-Unis des données pseudonymisées et des données directement identifiantes des participants à l’étude. Prenant en considération la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les modifications apportées par les États-Unis à leur législation nationale permettent d’assurer un niveau de protection adéquat des données à caractère personnel vers les organisations situées aux États-Unis lorsqu’ils font la démarche de respecter ce nouveau cadre de protection des données (data privacy framework ou DPF). Dans cette hypothèse, un système d’auto-certification des entités étatsuniennes important les données est mis en place. Elles doivent ainsi : figurer sur la liste publiée par le ministère étatsunien du commerce ; mettre à jour de manière effective leur politique de confidentialité ou toute documentation relative à la protection des données à caractère personnel, notamment avec les références nécessaires au DPF. A défaut de satisfaire ces exigences, le responsable de traitement ne peut transférer des données à caractère personnel vers les Etats-Unis que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de recours effectives ou si l’une des dérogations prévues à l’article 49 du RGPD s’applique. En l’espèce, les Etats-Unis n’offrant pas un niveau de protection adéquat et en l’absence de garanties appropriées encadrant ce transfert, le responsable de traitement envisage de recueillir le consentement explicite des personnes concernées en application des dispositions de l’article 49.1.a) du RGPD. La CNIL rappelle que cette dérogation implique que les personnes concernées aient été informées des risques qu’un tel transfert pourrait comporter pour elles en l’absence de décision d’adéquation et de garanties appropriées. Elle rappelle également que le recueil du consentement devra être conformeaux dispositions spécifiques prévues par le RGPD, éclairée par les lignes directrices 2/2018 relatives aux dérogations prévues à l’article 49 du règlement (UE) 2016/679 du Comité européen de la protection des données. En application de ces dispositions, ce consentement devra notamment être explicite, spécifique aux transferts, éclairé par une note d’information et pourra être retiré à tout moment. Le responsable de traitement prévoit par ailleurs de transférer certaines données pseudonymisées en Suisse, pays dont la législation a été reconnue comme offrant un niveau de protection adéquat, conformément aux dispositions de l’article 45 du RGPD. Durées de conservation en base active et en archivage Les données nominatives des participants ainsi que leurs coordonnées téléphoniques, électroniques et postales seront détruites à la fin du suivi. Les images en 3D du visage des participants seront conservées cinq ans en base active puis archivées pendant vingt ans. Les échantillons biologiques seront conservés pendant vingt ans puis seront détruits. Autres données : Base active : cinq ans. Archivage : vingt-cinq ans. Réutilisation des données La constitution d’une base de données pérenne ayant vocation à permettre la réalisation de recherches, études ou évaluations ultérieurs relève, sauf en cas de recueil du consentement exprès de la personne concernée, du régime de formalités préalables prévu par les dispositions générales de la section 3 du chapitre III du titre 2 de la loi informatique et libertés applicable aux traitements de données à caractère personnel dans le domaine de la santé. Par ailleurs, dans l’hypothèse où une nouvelle étude serait réalisée à partir de données à caractère personnel issues du traitement, celle-ci devra être autorisée par la CNIL ou être mise en œuvre dans le cadre d’une déclaration de conformité à une méthodologie de référence, et accompagnée des garanties appropriées. En dehors de cette hypothèse, seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, pourront faire l’objet d’une mise à disposition en dehors de toute formalité préalable. Pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement devra réaliser une analyse permettant de démontrer que le processus d’anonymisation mis en œuvre respecte les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut de remplir parfaitement ces trois critères, le responsable de traitement doit démontrer, via une évaluation approfondie, que le risque d’identification d'une personne à l'aide de moyens raisonnablement susceptibles d'être utilisés, par lui-même ou par toute autre personne, est négligeable. AUTORISE la société ABBVIE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT