La Commission nationale de l'informatique et des libertés,
Saisie par la société " Clinityx" d’une demande d’autorisation de traitements automatisés ayant pour finalité la réalisation d’études de faisabilité dans le domaine de la santé, nécessitant un accès aux données de l’entrepôt "Magellan" ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 16 février 2023 ;
Vu la délibération n° 2022-009 du 27 janvier 2022 autorisant la société Clinityx à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé "Magellan" ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire en son rapport, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés (CNIL) a été saisie par la société Clinityx, agissant en qualité de responsable de traitement, d’une demande d’autorisation de traitements fondée sur l’article 66 IV de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après loi "informatique et libertés").
Sur le responsable de traitement :
La société Clinityx, est une entreprise spécialisée dans la recherche dans le domaine de la santé. La société Clinityx souhaite réaliser des études de faisabilité dans la perspective d’éventuelles recherches dans le domaine de la santé.
Sur l’opportunité du recours à la décision unique :
La société Clinityx a été autorisée à mettre en œuvre pendant dix ans un entrepôt de données de santé dénommé "Magellan" (délibération n° 2022-009 du 27 janvier 2022).
La société Clinityx, sollicite l’autorisation de traiter les données de l’entrepôt "Magellan" afin de réaliser des études de faisabilité dans le cadre de recherches dans le domaine de la santé, pendant une durée de trois ans. Les destinataires des données seront les personnes habilitées par la société Clinityx. Elle envisage de mettre en œuvre, dans ce cadre, une centaine de traitements annuellement.
Les traitements décrits relevant du régime prévu par les dispositions des articles 66 et 72 et suivants de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après loi "informatique et libertés"), la CNIL estime opportun, au vu des éléments présentés dans le dossier de demande, de faire application des dispositions de l’article 66 IV, qui lui permettent, par décision unique, de délivrer à un même demandeur une autorisation pour des traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques.
Conformément à l'article 30 du RGPD, le responsable de traitement devra tenir à jour, au sein de son registre des activités de traitement, la liste des traitements mis en œuvre dans le cadre de la présente décision unique.
Sur l’application des dispositions liées au Système national des données de santé (SNDS) :
Les traitements nécessitent un accès aux données de l’entrepôt "Magellan", composé exclusivement de certaines données du SNDS.
La CNIL rappelle que l’ensemble des dispositions législatives et réglementaires relatives au SNDS sont applicables en l’espèce, et notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code de la santé publique (CSP).
Sur la licéité des traitements :
Les traitements mis en œuvre par la société Clinityx sont réalisés à des fins de recherche scientifique. Ils sont nécessaires aux fins des intérêts légitimes poursuivis par le responsable de traitement, prenant en considération le caractère très indirectement identifiant des données et les garanties, notamment en termes de droits des personnes, prévues par les textes encadrant la mise à disposition des données du SNDS.
Ces traitements sont, à ce titre, licites au regard des articles 6.1.f et 9.2.j du Règlement général sur la protection des données (ci-après "RGPD").
Sur la finalité des traitements et leur caractère d’intérêt public :
Les traitements nécessitant un accès aux données de l’entrepôt "Magellan", ont pour finalité la réalisation d’études de faisabilité, afin d’estimer la pertinence de la réalisation de recherches dans le domaine de la santé. Les études seront exclusivement réalisées à l’initiative de la société Clinityx et indépendamment de toute demande d’un client.
S’il ressort de ces études de faisabilité que la réalisation de recherches dans le domaine de la santé est pertinente, ces traitements devront être mis en œuvre conformément aux dispositions des articles 66, 72 et suivants de la loi du 6 janvier 1978 modifiée.
La finalité des traitements est déterminée, explicite et légitime, conformément à l’article 5.1.b) du RGPD et présente un intérêt public, conformément à l’article 66 I de la loi "informatique et libertés".
Sur les catégories de données traitées :
Le responsable de traitement ne doit traiter, pour chacun des traitements mis en œuvre dans le cadre de la présente décision unique, que les données strictement nécessaires et pertinentes au regard des objectifs des traitements.
Les traitements inclus dans le cadre de la décision unique portent sur les données contenues dans l’outil Magellan, correspondant à 90 variables du SNDS, portant sur une profondeur historique de cinq années d’antériorité en fenêtre roulante.
Par ailleurs, le caractère adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités pour lesquelles les données sont traitées, la zone géographique concernée et la profondeur historique des données consultées, devront être justifiés dans le registre pour chaque traitement mis en œuvre dans le cadre cette décision unique.
La CNIL considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5.1.c) du RGPD.
Sur la durée de conservation des données :
Les données à caractère personnel contenues dans l’outil "Magellan" ne peuvent faire l’objet d’une conservation par le responsable de traitement en dehors de cette plateforme, leur exportation est interdite.
Les données nécessaires à la réalisation des requêtes seront conservées dans l’espace de travail pendant la durée nécessaire à la production des indicateurs et supprimées dans un délai maximal d’un mois. Les analyses seront réalisées annuellement pendant trois ans, via l’outil de requêtage, dans l’espace projet de chaque étude.
La CNIL considère que cette durée de conservation des données n’excède pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5.1.e du RGPD.
Sur la publication des résultats :
Lorsque le résultat du traitement de données est rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 68 de la loi "informatique et libertés".
Un rapport standard de faisabilité, contenant des indicateurs agrégés, sera disponible dans l’interface utilisateur, à destination exclusive des membres de l’équipe Clinityx.
Un rapport semestriel des usages de l’outil sera publié sur le portail de transparence "Sémaphore" dédié à l’entrepôt "Magellan", et transmis au Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES) et à la CNIL.
Sur les catégories de destinataires des données :
Seules la société Clinityx, responsable du traitement, et les personnes habilitées par elle ont accès aux données dans le cadre de la présente décision unique. La société Clinityx tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur l’information et les droits des personnes :
S’agissant des modalités d’information :
Les personnes concernées sont informées de la mise en œuvre du SNDS et de la réutilisation possible des données de santé à caractère personnel les concernant selon des modalités définies par l'article R. 1461-9 du CSP.
Les dispositions de l’article 69 de la loi "informatique et libertés" sont applicables à tous les traitements réalisés à partir de données du SNDS.
Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il est fait exception au principe d'information individuelle des personnes et des mesures appropriées sont prises par le responsable de traitement afin de rendre l’information publiquement disponible concernant la mise en œuvre de ces traitements.
Un portail de transparence (via l’outil "Semaphore") est mis en place par le responsable de traitement. Il comportera :
une note d’information générale sur les traitements mis en œuvre dans le cadre de la présente décision unique ;
une note d’information spécifique à chaque traitement.
Cette dernière devra être publiée avant la mise en œuvre de chaque traitement.
L’ensemble des documents d’information devront comporter les mentions prévues par l’article 14 du RGPD.
S’agissant des modalités d’exercice des droits :
Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données de la société Clinityx pendant toute la durée des traitements.
La CNIL estime que ces modalités d’information et d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi "informatique et libertés".
Sur la sécurité des données et la traçabilité des actions :
L’infrastructure technique du responsable de la mise en œuvre de l’entrepôt "Magellan", utilisée pour l’hébergement de systèmes fils du SNDS a été analysée par la CNIL à diverses reprises, notamment dans le cadre de précédentes demandes d’autorisation.
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à l’entrepôt "Magellan" et aux différents espaces projet contenant les études liées à cet outil de production d’indicateurs, ainsi qu’une analyse de risques sur la sécurité des systèmes d’information.
Une homologation de la bulle sécurisée a été réalisée par l’autorité d’homologation le 31 janvier 2023, conformément à l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS. Cette décision d’homologation n’est valable que jusqu’au 31 décembre 2024 et devra donc être renouvelée avant cette date si le projet est toujours en cours.
Des mesures techniques et organisationnelles ont été prévues par la société Clinityx afin de cloisonner les différentes extractions de données du SNDS pouvant être stockées au sein de sa solution technique. Des environnements distincts, fondés sur des solutions de conteneurisation logicielle, sont notamment mis en œuvre afin d’empêcher toute fusion des données. L’outil de requêtage, les données sur lesquels reposent cet outil, ainsi que les espaces projet contenant les données servant à la production des indicateurs seront de même cloisonnés entre eux grâce à l’utilisation de ces solutions.
La CNIL prend acte de ce que l’accès à l’outil de requêtage et aux espaces projet ne sera possible que pour des personnes spécifiquement habilitées faisant partie du personnel interne de la société Clinityx, à l’exclusion de toute autre personne extérieure. Des mesures techniques et organisationnelles seront mises en œuvre dans la solution technique afin de différencier les accès des personnels pouvant accéder à la base de données de l’entrepôt "Magellan" contenant l’extraction des données du SNDS sur lequel repose l’outil de requêtage et les accès des personnels ne pouvant accéder qu’aux données minimisées contenues dans les espaces projets.
Les études de faisabilité ne pourront être réalisées que pour des populations d’au moins 150 patients après sélection des différents critères d’inclusion et d’exclusion. L’exportation de données hors de l’entrepôt "Magellan" et des espaces projet associés consistera exclusivement en des rapports statistiques comprenant des indicateurs anonymes ne permettant aucune ré-identification des personnes, et qui seront transmis exclusivement aux responsables de traitement suite aux requêtes réalisées via l’outil Magellan. A cette fin, un seuil minimal de onze individus sera retenu pour chaque agrégation et le nombre de patients nécessaires afin de calculer un indicateur sera bruité d’un nombre aléatoire compris entre un et dix. La CNIL rappelle que les responsables de traitement doivent réaliser une analyse permettant de démontrer que leurs processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. Si ces trois critères ne peuvent être réunis, une analyse approfondie des risques d’identification doit être menée afin de démontrer que ces derniers, avec des moyens raisonnables, sont inexistants.
Les mesures de sécurité décrites répondent aux exigences prévues par les articles 5.1.f et 32 du RGPD, compte tenu des risques identifiés par les responsables de traitement. Il appartiendra à ces derniers de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Sur les transferts de données en dehors de l’Union européenne :
Aucun transfert de données en dehors de l’Union européenne ne sera réalisé dans le cadre de ces études.
Sur le principe de transparence :
L’encadrement de la mise à disposition des données du SNDS et de ses composantes est conçue de façon à permettre de rendre compte de leur utilisation au public. A cette fin, l’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à la Plateforme des données de santé (PDS) de plusieurs éléments par le responsable de traitement, avant et après les études.
Ainsi, la société Clinityx s’engage à enregistrer auprès du répertoire public tenu par la PDS l’ensemble des études réalisées dans le cadre de cette décision unique. Cet enregistrement, à effectuer par le responsable de traitement ou la personne agissant pour son compte avant le début des traitements, s’accompagne de la transmission à la PDS d’un dossier comportant :
le protocole, incluant la justification de l’intérêt public, ainsi qu’un résumé, selon le modèle mis à disposition par la PDS ;
la déclaration d’intérêts du responsable de traitement, en rapport avec l'objet des traitements.
La CNIL rappelle qu’à la fin des études, la méthode et les résultats obtenus devront être communiqués à la PDS en vue de leur publication. L’enregistrement des traitements et la transmission des résultats sont effectués conformément aux modalités définies par la PDS.
A l’issue du délai de trois ans, un bilan contenant notamment la liste des analyses réalisées dans le cadre de la décision unique ainsi que la méthodologie suivie dans le cadre des analyses devra être adressé à la CNIL.
Autorise, conformément à la présente délibération, la société Clinityx à mettre en œuvre les traitements décrits ci-dessus pendant une durée de trois ans, avec obligation de remise d’un bilan à la CNIL à l’issue de ce délai.
La Présidente
Marie-Laure DENIS