La Commission nationale de l'informatique et des libertés,
Saisie le 12 avril 2023 par le Centre hospitalier universitaire de Bordeaux d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur le développement et la validation d’indicateurs de qualité de parcours des patients victimes d’accident vasculaire cérébral et de syndrome coronarien chronique, intitulée "DELIQUA-CNV" ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la Santé du 8 septembre 2022 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement
Le responsable de traitement de cette étude est le Centre hospitalier universitaire de Bordeaux (ci-après, le "CHU de Bordeaux").
Sur les sous-traitants
La Plateforme de données de santé (PDS) et l’Université de Bordeaux interviendront dans la mise en œuvre de cette étude.
Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article 28 du règlement général sur la protection des données (RGPD).
La répartition des rôles et responsabilités entre le responsable de traitement et la PDS, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes, devra être formalisée dans cette convention.
Sur la finalité du traitement et son caractère d’intérêt public
Le traitement envisagé a pour finalité la mise en œuvre d’une étude portant sur le développement et la validation d’indicateurs de qualité de parcours des patients victimes d’accident vasculaire cérébral (AVC) et de syndrome coronarien chronique (SCC), intitulée "DELIQUA-CNV".
D’après le dossier de demande, cette étude s’inscrit dans le thème "définition et mise en œuvre d’indicateurs de qualité et de sécurité des soins" de l’appel à manifestation d’intérêt
"Coopération ATIH – Universités – Organismes de recherche"
Sous réserve de l’exercice du droit d’opposition, trois cohortes seront constituées dans le cadre de cette étude, à partir des registres cardio-neurovasculaires (registres CNV) et qui seront appariées aux données du système national de données de santé (SNDS) :
une première cohorte comprenant les patients inclus dans le registre aquitain de cardiologie interventionnelle (registre ACIRA), souffrant d’un syndrome coronarien chronique et pris en charge en phase aigüe dans un centre de cardiologie interventionnelle d’Aquitaine entre janvier 2017 et décembre 2021, composée de 17 500 patients environ ;
une deuxième cohorte, constituée à partir des données de l’observatoire des accidents vasculaires cérébraux en Nouvelle-Aquitaine (registre ObA2) pris en charge en phase aigüe pour un accident vasculaire cérébral entre janvier 2019 et décembre 2021 dans un établissement de santé de Nouvelle-Aquitaine, et composée de 15 000 patients environ ;
une troisième cohorte, constituée à partir des données du registre ObA2, comprenant les patients inclus dans ObA2 et ayant bénéficié d’une première consultation post-accident vasculaire cérébral entre juillet 2022 et décembre 2023 dans un établissement de santé de Nouvelle-Aquitaine, composée de 3 750 patients environ.
La finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5.1.b du RGPD, et ce traitement présente une finalité d’intérêt public, conformément à l’article 66. I de la loi n° 78-17 du 6 janvier 1978 modifiée (loi "informatique et libertés").
Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé
Le traitement mis en œuvre par le CHU de Bordeaux est nécessaire à l’exécution de la mission d’intérêt public dont il est investi.
Ce traitement est, à ce titre, licite au regard de l’article 6.1.e du RGPD. En outre, ce traitement, nécessaire à des fins de recherche scientifique, remplit la condition prévue à l’article 9.2.j du RGPD permettant de traiter des données concernant la santé.
Ce projet de recherche est soumis aux dispositions des articles 44.3°, 66.III et 72 et suivants de la loi "informatique et libertés", qui prévoient, en l’absence de conformité à une méthodologie de référence, que les traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ne peuvent être mis en œuvre qu’après autorisation de la Commission.
Sur les points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (appariement probabiliste des données cliniques avec les données du Système national des données de santé – SNDS) et des modalités d’information des personnes concernées.
En dehors de ces exceptions, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-004.
Sur la réutilisation des données de bases existantes
Les données des registres ACIRA et ObA2 regroupés au sein des registres CNV du Centre hospitalier universitaire de Bordeaux (demande d’autorisation n° 2216283), seront réutilisées dans le cadre de cette étude.
Sur les catégories particulières de données traitées (autres que données de santé), incluant des données issues du SNDS historique
Le responsable de traitement sollicite un accès aux données du SNIIRAM et du PMSI des années 2017 à 2023, sous réserve qu’elles soient diffusables par la CNAM.
Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement sont transmises par la CNAM ; à cet égard, les filtrages et les appariements de données seront réalisés en amont de cette transmission par la CNAM.
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment :
l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ;
le respect du référentiel de sécurité applicable au SNDS prévu par l'arrêté du 22 mars 2017.
Sur l’information et les droits des personnes
S’agissant des patients ayant reçu une note d’information individuelle lors de leur inclusion au sein des registres CNV prévoyant un portail de transparence auquel ils peuvent se reporter préalablement à la mise en œuvre de chaque nouvelle étude réalisée à partir de leurs données :
Une note d’information relative à la présente étude sera diffusée sur le site web des registres CNV. Elle devra comporter l’ensemble des mentions prévues par le RGPD.
S’agissant des patients n’ayant pas reçu une note d’information individuelle renvoyant vers un tel dispositif spécifique d’information :
En application de l'article 69 de la loi "informatique et libertés" et de l’article 14-5-b du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle de ces personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une note d’information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD sur le site web des registres CNV.
S’agissant des modalités d’exercice des droits
Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données du responsable de traitement, pendant toute la durée de l’étude.
Ces modalités d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi "informatique et libertés".
Sur les accédants et destinataires
Seul le responsable du traitement et les personnes habilitées par lui ont accès aux données dans le cadre de la présente autorisation. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur la sécurité des données et la traçabilité des actions
À titre liminaire, la Commission prend acte de ce que le dossier de demande justifie de la nécessité de recourir à la solution technique de la PDS, compte tenu des caractéristiques ainsi que des modalités spécifiques de mise en œuvre de cette étude, notamment le recours à un ensemble de logiciels et solutions techniques mis à disposition par la PDS.
La sécurité des données de l’espace projet dédié au projet "DELIQUA-CNV" dépend essentiellement de la solution technique de la PDS, qui a fait l’objet d’une analyse globale des risques et d’impact sur la vie privée, suivie d’une homologation selon le référentiel de sécurité du SNDS.
Plus spécifiquement, une analyse d’impact relative à la protection des données a été transmise à la CNIL concernant la solution technique de la PDS, qui correspond à une bulle sécurisée SNDS et qui hébergera le projet "DELIQUA-CNV".
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet "DELIQUA-CNV" et intégrant les éléments fournis par la PDS pour sa solution technique.
Une homologation de l’espace projet a ainsi été réalisée par le responsable de traitement le 20 mars 2023, pour une durée de trois ans, sous réserve de la mise en œuvre du plan d’actions qu’il a défini.
Cette décision d’homologation n’est valable que jusqu’au 20 mars 2026 et devra donc être renouvelée avant cette date si le projet est toujours en cours.
Les mesures de sécurité mises en œuvre par le responsable de traitement apparaissent proportionnées aux risques présentés par le traitement.
Transferts hors Union européenne
Les dispositions de l’article R. 1461-1 du CSP prévoient qu’aucun transfert de données à caractère personnel ne peut être réalisé en dehors de l'Union européenne, sauf dans le cas d'accès ponctuels aux données par des personnes situées en dehors de l'Union européenne, pour une finalité relevant du 1° du I de l'article L. 1461-3 du CSP. En l’espèce, le dossier de demande mentionne que, bien que le prestataire ne soit pas exclusivement soumis aux lois et juridictions de l’Union européenne, aucun transfert en dehors de l’Union européenne de données individuelles du SNDS n’est prévu, aucun membre de l’équipe de recherche n’étant situé en dehors de l’Union européenne.
Sur la durée d’accès aux données
Cinq ans à compter de la mise à disposition des données.
Sur la transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
Autorise, conformément à la présente délibération, le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en œuvre le traitement susmentionné.
La Présidente
Marie-Laure DENIS