La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut national du cancer d’une demande de modification de l’autorisation relative à un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d'un entrepôt de données de santé visant à étudier les trajectoires des personnes atteintes d'un cancer ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 44-3° et 66-III ;
Vu la délibération n° 2019-082 du 20 juin 2019 autorisant l’Institut national du cancer (INCa) à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé visant à étudier les trajectoires des personnes atteintes d’un cancer, intitulé : "Plateforme de données en cancérologie" ;
Vu la délibération n° 2021-118 du 7 octobre 2021 portant adoption d’un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de création d’entrepôts de données dans le domaine de la santé ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement.
Formule les observations suivantes :
Responsable du traitement
L’Institut national du cancer (INCa).
Modifications du traitement de données
Les modifications portent sur :
les finalités du traitement ;
les catégories de personnes concernées par le traitement ;
les bases de données existantes rassemblées au sein de la PDC (source des données) ;
les catégories de données traitées ;
les catégories de destinataires ;
les modalités d’information des personnes ;
les mesures de sécurité.
Points de non-conformité au référentiel concerné
La Commission prend acte de ce que le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception :
de certaines finalités poursuivies ;
des sources des données collectées ;
des catégories de données concernées ;
des durées de conservation ;
des modalités d’information des personnes ;
des droits des personnes ;
des mesures de sécurité.
En dehors de ces exceptions, le traitement devra respecter le cadre prévu par le référentiel "entrepôt de données dans le domaine de la santé".
Sur la finalité et la base légale du traitement
Les modifications envisagées ont vocation à étendre les finalités poursuivies par la Plateforme de cancérologie (PDC). Outre les finalités mentionnées dans la délibération n° 2019-082, le traitement permettra à l’INCa de :
définir et suivre le stratégie décennale de lutte contre les cancers ;
réaliser des statistiques publiques en lien avec cette stratégie ;
réaliser des expertises à la demande des ministères, de la Cour des comptes et du Parlement sur les questions relatives à la cancérologie ;
mettre à disposition les données de la PDC à des tiers pour la réalisation de recherches, études ou évaluations dans le domaine de la cancérologie et pour répondre à la stratégie nationale des filières "industries et technologies de santé".
Les finalités du traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 5.1.b du RGPD.
La Commission prend acte de ce que l’INCa s’engage à :
ne pas traiter ou mettre à disposition les données de l’entrepôt à des fins de promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé, ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d'un individu ou d'un groupe d'individus présentant un même risque ;
ne pas permettre la réutilisation des données de la PDC dans le cadre de recherche impliquant la personne humaine telles que définies aux articles L. 1121-1 à L. 1128-12 du code de la santé publique (CSP) ;
publier les résultats des études conduites à partir de la PDC.
La Commission estime qu’il y a lieu de faire application des dispositions de l’article 44-3° et 66-III de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après loi "informatique et libertés" modifiée), qui soumettent à son autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi "informatique et libertés" modifiée, qui imposent que chaque traitement soit justifié par l’intérêt public et fasse l’objet de formalités propres.
Sur la base légale du traitement
Le traitement a pour base légale l’exécution d’une mission d’intérêt public dont est investi le responsable de traitement, au sens de l’article 6.1.e du RGPD.
Le traitement de données sensibles est nécessaire :
aux fins de recherche scientifique, s’agissant notamment de la mise à disposition des données de la PDC à des tiers pour la réalisation de recherches, études ou évaluations dans le domaine de la cancérologie (art. 9.2.j du RGPD) ;
pour un motif d’intérêt public important pour les autres objectifs poursuivis par la PDC, sous réserve que les traitements ultérieurs soient réalisés sous la responsabilité de l’INCa (art. 9.2.i du RGPD).
Sur les données traitées
L’entrepôt regroupera les données issues :
des composantes de la base principale du système national des données de santé (SNDS), dans la limite de l’accès permanent dont dispose l’INCa en application des articles R. 1461-11 et suivants du CSP et sous réserve de leur disponibilité ;
des registres des cancers ;
d’études pour lesquelles l’INCa est responsable ou responsable conjoint de traitement ;
des résumés de passage aux urgences (base Oscour) ;
de recherches, études ou évaluations réalisées par les industriels de santé dans le cadre du projet de la filière intelligence artificielle et cancer ;
des dossiers médicaux composant le dossier communicant de cancérologie ;
des centres régionaux de coordination des dépistages des cancers.
La profondeur historique des données traitées sera de dix-neuf ans, en plus de l’année en cours.
Les données relatives aux patients :
Seules les données des personnes étant ou ayant été atteintes d’un cancer, des personnes rentrant dans un dispositif de prévention, de dépistage ou des personnes suspectées d’être atteintes d’un cancer seront rassemblées au sein de la PDC. Les personnes suspectées d’être atteintes d’un cancer sont des personnes présentant des risques élevés, soit en raison d’un test de dépistage positif soit parce qu’elles présentent une prédisposition génétique.
Les données suivantes seront traitées dans la PDC :
données d’identification : prénom, nom, coordonnées (téléphoniques, électroniques, postales), numéro d’identifiant permanent du patient (IPP), numéro d’identifiant de l’épisode de soin (IEP), identifiant national de santé (INS), date de naissance complète, sexe et genre ;
données de santé : informations médicales, médicosociales et médico-économiques relatives au parcours de santé, informations médico-sociales relatives à la situation des personnes en situation de handicap, informations relatives aux arrêts de travail et aux prestations en espèce, informations relatives au statut vital et aux causes de décès ;
données relatives à la vie personnelle : informations relatives au lieu de vie, aux habitudes de vie, à la vie professionnelle, à la défavorisation sociale ;
données relatives aux organismes d’assurance maladie obligatoire et aux organismes d’assurance maladie complémentaire, limitées à celles contenues dans la base principale du SNDS.
Les données d’identification (prénom, nom, IEP, EPP, INS), les coordonnées (postales, électroniques, téléphoniques) et la date de naissance complète proviendront exclusivement des dossiers médicaux composant le dossier communicant en cancérologie. Les données d’identification et les coordonnées des personnes seront supprimées dès la pseudonymisation à bref délai effectuée dans la PDC.
La Commission prend acte de ce que l’INS fera l’objet d’une opération de pseudonymisation à bref délai dès le versement des données des dossiers communicant en cancérologie dans la PDC.
Les données relatives aux professionnels de santé :
données d’identification : nom, prénoms, numéro ADELI, numéro du répertoire partagé des professionnels de santé (RPPS) ;
données relatives à la vie professionnelle : fonction, lieu et mode d’exercice.
Les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5.1.c du RGPD.
Sur les accédants et les destinataires
Seul le personnel désigné et habilité de l’INCa peut accéder aux données dans le cadre de la présente autorisation.
Sont destinataires des données :
le personnel désigné et habilité des sous-traitants intervenant pour le compte de l’INCa ;
le personnel des partenaires de l’INCa qui conduisent un projet de recherche, d’étude ou d’évaluation dans le domaine la cancérologie, sous réserve qu’un contrat de responsabilité conjointe, au sens de l’article 26 du RGPD, ou de sous-traitance, au sens de l’article 28 du RGPD, ait été conclu avec l’INCa.
La Commission prend acte de ce que les catégories de destinataires et d’accédants sont soumis au secret professionnel régi par les dispositions des articles 226-13 et 226-14 du code pénal.
Information des personnes
La Commission prend acte des engagements de l’INCa selon lesquels :
une liste des bases de données existantes rassemblées au sein de la PDC sera publiée sur le site web de l’INCa. Cette liste devra être mise à jour régulièrement dès la conclusion ou la fin d’un contrat de mise à disposition de données afin de fournir une information transparente aux personnes concernant les bases de données rassemblées au sein de la PDC ;
un renvoi vers les supports d’information des responsables de traitement des bases de données rassemblées au sein de la PDC (fournisseurs de données) sera réalisé depuis le site web de l’INCa ;
une ligne téléphonique dédiée sera mise en œuvre par l’INCa pour informer les personnes concernant la PDC.
La Commission demande que :
l’information relative à la mise en œuvre de la PDC soit accessible sur les sites web des responsables de traitement des bases de données rassemblées au sein de la plateforme ;
un délai d’un mois soit respecté entre la délivrance de l’information aux personnes concernées ou leurs représentants légaux ou la mise à jour de la liste des bases de données diffusées sur le site web de l’INCa et le versement effectif des données dans la PDC ;
il lui soit communiqué tous les trois ans un rapport sur le fonctionnement de la PDC et sur les recherches réalisées à partir des données qu’il contient.
La Commission rappelle qu’il appartient à l’INCa, en sa qualité de responsable de traitement de la PDC, de transmettre aux responsables de traitement des bases de données rassemblées au sein de la plateforme une note d’information à destination des patients, de leurs représentants légaux et des professionnels de santé conforme aux dispositions du RGPD et de s’assurer que cette information leur sera remise. Les supports d’information devront comporter l’ensemble des mentions prévues par l’article 14 du RGPD.
La Commission rappelle également que, lorsque le responsable de traitement souhaite adopter une approche à plusieurs niveaux pour informer les personnes, la première modalité d’information devrait contenir, conformément aux lignes directrices sur la transparence au sens du RGPD du 29 novembre 2017 du groupe de travail "de l’Article 29" (G29), les informations relatives à la finalité du traitement, l’identité du responsable de traitement, une description des droits des personnes concernées, ainsi que toute information sur le traitement qui aurait une forte incidence sur la personne concernée. En l’espèce la Commission demande que l’ensemble des supports d’information indique que l’exercice des droits par les personnes, notamment leur droit d’opposition, n’aura pas de conséquence sur leur prise en charge médicale et mentionne un renvoi vers la page web dédiée à l’information relative à la PDC.
Il est rappelé que l’information relative à la constitution et aux modifications de la PDC ne se substitue pas à :
l’information incombant aux fournisseurs de données au titre des traitements de données à caractère personnel qu’ils mettent en œuvre en leur qualité de responsable de traitement, notamment s’agissant du traitement relatif à la tenue et la gestion des dossiers médicaux, des traitements relatif à la constitution d’une base de données pseudonymisées en vue de leur réutilisation à des fins de recherche, d’étude ou d’évaluation et des traitements mis en œuvre à des fins de recherche, d’étude ou d’évaluation ;
l’information incombant à tout responsable de traitement qui procède à la réutilisation des données à caractère personnel de la PDC notamment à des fins de recherche, d’étude ou d’évaluation.
L’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à la Plateforme des données de santé (PDS) de plusieurs éléments par les responsables de traitement, avant et après les études. Les projets de recherche, d’étude ou d’évaluation réalisés à partir des données de la PDC devront être enregistrés au sein du répertoire public de la PDS. La Commission recommande que la PDC soit également inscrite au répertoire public de la PDS.
S’agissant des personnes dont les données sont exclusivement issues du SNDS et des personnes déjà incluses dans la PDC dont le suivi médical n’est plus en cours :
En application de l'article 69 de la loi "informatique et libertés" et de l’article 14.5.b du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il est fait exception au principe d'information individuelle et des mesures appropriées seront mises en œuvre, notamment par :
la diffusion sur le site web de l’INCa d’une note d’information relative à la PDC ;
la diffusion sur les pages des réseaux sociaux de l’INCa d’une note d’information relative à la PDC ;
l’insertion dans les guides pratiques "guides patients", disponibles sur le site web de l’INCa, d’une note d’information dédiée à la PDC ;
la diffusion via les lettres d’informations (newsletter) des associations de patients ou l’affichage au sein de ces associations d’une note d’information dédiée à la PDC.
S’agissant des personnes dont les données sont issues des centres régionaux de coordination des dépistages des cancers :
Ces personnes recevront un premier niveau d’information renvoyant au site web de la PDC, intégré au courrier d’invitation au dépistage organisé du cancer du sein, du cancer colorectal et du cancer du col de l’utérus.
S’agissant des personnes dont les données sont issues d’un registre des cancers :
Ces personnes recevront un premier niveau d’information renvoyant au site web de la PDC, intégré à la note d’information relative au registre du cancer concerné.
S’agissant des personnes dont les données sont issues du dossier communicant en cancérologie :
Ces personnes recevront un premier niveau d’information renvoyant au site web de la PDC, qui sera intégré :
au livret d’accueil mentionné à l’article L. 1112-2 du CSP ;
aux documents remis à la personne lors de l’annonce d’un diagnostic ("mallette patient").
La Commission rappelle que chacun de ces premiers niveaux d’information devra comporter les informations mentionnées par le G29 dans ses lignes directrices sur la transparence.
Sous les réserves susmentionnées, ces modalités sont conformes au principe de transparence et aux exigences d’information prévues par les articles 12 et suivants du RGPD.
Droits des personnes
La Commission relève que, les finalités poursuivies par la PDC ne nécessitant pas le traitement de données directement identifiantes, les données de la PDC seront pseudonymisées par les responsables de traitements des bases de données rassemblées au sein de la PDC ou, s’agissant des données issues des dossiers médicaux composant le dossier communicant en cancérologie, dès leur versement.
Les personnes pourront exercer leurs droits (accès, rectification, opposition ou effacement) en contactant directement les responsables de traitement des organismes à l’origine de la collecte des données concernées. L’INCa s’est engagé à faciliter l’exercice de ces droits en renvoyant vers ces différentes structures. Les personnes pourront contacter l’INCa par voie électronique ou postale.
La Commission rappelle que si les personnes concernées fournissent des informations complémentaires permettant leur ré-identification, l’exercice de leurs droits devra être rendu possible directement auprès de l’INCa, conformément à l’article 11 du RGPD.
Mesures de sécurité
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la PDC. Une homologation de cet entrepôt a également été réalisée par l’autorité d’homologation le 5 octobre 2022 conformément à l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS, pour une durée d’un an, sous réserve de la mise en œuvre du plan d’action qu’elle a défini. Cette décision d’homologation n’est valable que jusqu’au 5 octobre 2023 et devra donc être renouvelée avant cette date.
Les mesures de sécurité planifiées ou mises en place dans la PDC ont été comparées avec les exigences de sécurité mentionnées dans le référentiel "entrepôt de données dans le domaine de la santé" par le responsable de traitement. Des écarts avec les exigences de sécurité de ce référentiel ont été relevés concernant :
la pseudonymisation des données de santé ;
les identifiants patient pseudonymisés qui pourront être fournis par la CNAM pour les données relatives au SNDS ou générés par la PDC.
Au regard de la volumétrie et de la sensibilité des données traitées, la pseudonymisation des données de santé devra s’effectuer au sein de la PDC dans un environnement d’intégration comprenant des mesures de sécurité techniques et organisationnelles renforcées, notamment afin de garantir un cloisonnement réseau, cryptographique et système spécifique à l’environnement d’intégration, par rapport au reste de l’entrepôt de données de santé. Cette pseudonymisation devra s’effectuer à bref délai et les données directement identifiantes et les coordonnées devront être supprimées dès la pseudonymisation des données et des documents réalisée.
La Commission rappelle que les différents identifiants pseudonymisés relatifs à chacune des différentes bases hébergées, l’identifiant pseudonymisé dérivé de l’INS, ainsi que l’identifiant principal, devront être générés conformément aux exigences du référentiel précité par une fonction de hachage cryptographique résistante aux attaques par force brute ou un générateur de nombres pseudo-aléatoires cryptographiquement sûr.
La table de liaison dont le but est de stocker les différents identifiants pseudonymisés des bases hébergées ainsi que l’identifiant principal devra être cloisonnée du reste de l’entrepôt avec un chiffrement dédié à cette seule table. Des profils d’accès spécifiques devront être mis en œuvre afin de garantir une traçabilité renforcée lors de l’accès à ces données.
Les données pseudonymisées seront chiffrées au repos par des algorithmes à l’état de l’art au sein d’un hébergeur certifié pour l’hébergement de données de santé, localisé en France et non soumis à des règlementations extra européennes.
Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5.1.f et 32 du RGPD, compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Transferts de données
La présente autorisation ne vaut pas autorisation de transfert en dehors de l’Union européenne.
Sur la durée de conservation
Les données d’identification et les coordonnées des personnes provenant des dossiers médicaux composant le dossier communicant en cancérologie seront supprimées dès leur versement dans la PDC. L’INS des personnes sera supprimé dès l’opération de pseudonymisation à bref délai réalisée.
Les données à caractère personnel issues du SNDS sont conservées pour une durée conforme aux dispositions de l’article R. 1461-13. I. 1° du CSP.
Les données à caractère personnel autres que celles issues du SNDS seront conservées pendant vingt ans à compter de la dernière inclusion de données concernant la personne dans l’entrepôt.
La Commission considère que ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5.1.e du RGPD.
Observations complémentaires
Les autres conditions de mise en œuvre de la PDC restent inchangées.
AUTORISE l’Institut national du cancer
La Présidente
Marie-Laure DENIS