Décision DT-2024-002 du 21 mars 2024 autorisant l’INSTITUT CURIE à mettre en œuvre un traitement de données ayant pour finalité la constitution d’un entrepôt de données de santé dénommé « EDS CURIE ». (Demande d’autorisation n° 2230458).
Type : Autre autorisation
Date : 2024-03-21
État juridique : VIGUEUR

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Sur le point de non-conformité au référentiel concerné Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé à l’exception : des durées de conservation des données ; de certaines mesures de sécurité. Sur la conservation des données Les données versées dans l’entrepôt sont conservées vingt ans à compter de la dernière mise à jour du dossier médical, puis supprimées ou anonymisées. Cette durée a été scientifiquement justifiée dans le dossier de demande, au regard de la pathologie étudiée et des recherches envisagées ultérieurement. Les données des professionnels utilisateurs de l’entrepôt seront conservées un an après leur dernière connexion puis supprimées. Les traces fonctionnelles et techniques sont conservées pendant un an glissant à partir de leur date de production. Sur les accédants et les destinataires des données Pourront accéder aux données uniquement : les personnels spécifiquement habilités, soumis au secret professionnel, dans les strictes limites de leur besoin d’en connaître, pour l’exercice de leurs missions s’inscrivant dans les finalités de l’entrepôt EDS CURIE ; les porteurs de projet d’étude, d’évaluation ou de recherche dans le domaine de la santé ayant réalisé les formalités nécessaires auprès de la CNIL. Des documents tenus à jour indiquent la ou les personnes compétentes pour délivrer l’habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations. La qualification des personnes habilitées et leurs droits d’accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement. En dehors des personnes visées ci-dessus, les demandeurs ne pourront être destinataires que des rapports contenant des données agrégées et anomymisées. Sur les droits des personnes Les droits des personnes s’exerceront auprès du délégué à la protection des données de l’Institut Curie. En cas d’exercice du droit d’opposition, les données de la personne concernée n’alimenteront pas l’entrepôt ou en seront, le cas échant, supprimées. Conformément aux principes de transparence et de loyauté de l’article 5 du RGPD et comme précisé dans les lignes directrices sur la transparence adoptées par le groupe de travail de l’article 29 (G29) le 29 novembre 2017, le responsable de traitement doit informer les personnes concernées de toute restriction spécifique applicable à ces droits afin de s’assurer que leurs attentes raisonnables n’ont pas été trompées. Si les personnes concernées fournissent des informations complémentaires permettant leur réidentification, un tel exercice devra être rendu possible conformément à l’article 11 du RGPD. Cette information devra être fournie concernant l’entrepôt de données de santé et pour chaque projet de recherche ultérieur. Sur la sécurité des données et la traçabilité des actions Les mesures de sécurité mises en place par le responsable de traitement visent à garantir la conformité de l’entrepôt EDS CURIE aux exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . Les points de non-conformité vis-à-vis de ce référentiel relevés par le responsable de traitement sont les suivants : l’inclusion du sexe, du genre, du mois de naissance, de l’années de naissance et de la date et du lieu de décès dans la base de données principale de l’entrepôt et les données de géocodage (IRIS INSEE) ; certaines mesures de sécurité qui seront implémentées avant la mise en œuvre de l’entrepôt dans le cadre d’un plan d’action ; les exportations de données hors de l’entrepôt et hors des espaces de travail, dont les modalités sont décrites ci-après. Les non-confomités relatives à l’inclusion des données susvisées dans la base principale de l’entrepôt ont été justifiées par le responsable de traitement comme étant nécessaires à la réalisation des études au sein des espaces de travail de l’entrepôt. Certaines mesures de sécurité techniques et organisationnelles prévues afin d’améliorer la conformité au référentiel entrepôt de données dans le domaine de la santé sont actuellement en cours d’implémentation, notamment : la génération des identifiants patients avec des fonctions de hachage cryptographique à l’état de l’art ; la gestion des identités et des accès, comprenant la mise en place d’une authentification unique pour les utilisateurs ; les procédures de pseudonymisation et de minimisation des données lors de l’alimentation de l’entrepôt et de la transmission des données, des espaces de travail et des données génétiques ; la gestion des traces techniques concernant les actions des utilisateurs et administrateurs ; la connexion aux espaces de travail via un bastion. L’hébergement des données sera réalisé sur des serveurs non externalisés propres à l’institut Curie. L’alimentation de l’entrepôt EDS Curie s’effectue depuis une zone d’alimentation située au sein du Système d’Information Hospitalier de l’Institut Curie, dont les administrateurs sont rattachés à une direction différente de celle de l’entrepôt. L’alimentation de l’entrepôt depuis cette zone repose sur l’exécution automatisée de programmes informatiques à une fréquence déterminée, sans aucune intervention manuelle. Néanmoins la direction responsable de la zone d’alimentation peut octroyer des droits d’accès temporaires pour les personnels chargés de l’administration de l’entrepôt qui sont alors identifiés et habilités spécifiquement. Il est rappelé que ces habilitations doivent être limitées à la maintenance ou à la correction des programmes informatiques d’alimentation et pour la durée strictement nécessaire à ces missions. La mise en œuvre de l’intégralité des mesures de sécurité devra intervenir dans les meilleurs délais. Ces mesures, qui devront être opérationnelles lors de la mise en œuvre du traitement, répondront alors aux exigences prévues par les articles 5-1-f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. L’exigence SEC-EXP-1 du référentiel entrepôts de données de santé prévoit que seuls des jeux de données anonymes peuvent faire l’objet d’une exportation hors de l’entrepôt ou d’un espace de travail, à l’exception des données relatives aux procédures de ré-identification SEC-REI-1 à SEC-REI-3. Dans l’hypothèse où l’exportation de données hors de l’entrepôt ou d’un espace de travail de l’entrepôt serait envisagé dans le cadre d’un projet de recherche, d’étude ou d’évaluation dans le domaine de la santé, la nécessité de cette exportation de données pseudonymisées devra être étudiée par le comité de pilotage de l’entrepôt, qui devra donner son accord exprès et spécifique à cette fin. Le comité scientifique et éthique s’assure ensuite pour chaque projet de recherche que celui-ci ne pourra pas être réalisé sur une espace projet de l’entrepôt et que les principes de minimisation et de proportionnalité seront respectés quant aux données qui font l’objet de l’exportation. Il appartient également au responsable de traitement d’encadrer contractuellement toute mise à disposition de données afin de s’assurer que l’exportation : est entreprise vers un environnement dont les mesures de sécurité sont adaptées au niveau de risque, conformément aux article 5.1.f) et 32 du RGPD ; permettra uniquement la réutilisation des données aux fins approuvées par le comité scientifique et éthique et pour le traitement ayant fait l’objet de formalités requises auprès de la CNIL. AUTORISE l’INSTITUT CURIE à mettre en œuvre le traitement décrit ci-dessus. Le Directeur de l’accompagnement juridique Thomas DAUTIEU