La Commission nationale de l'informatique et des libertés,
Saisie le 30 novembre 2022 par l’Assistance publique – Hôpitaux de Paris d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur l’épidémiologie et les parcours de soins des enfants présentant des variations du développement génital, intitulée "VarGen" ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 12 mai 2022 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire adjoint du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement
Le responsable de traitement de cette étude est l’Assistance publique – Hôpitaux de Paris (AP-HP).
Sur les sous-traitants
La Plateforme de données de santé (PDS) interviendra dans la mise en œuvre de cette étude.
La répartition des rôles et responsabilités entre le responsable de traitement et la PDS, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes, devra être formalisée par une convention entre les deux parties conformément à l’article 28 du règlement général sur la protection des données (RGPD).
Sur la finalité du traitement et son caractère d’intérêt public
Le traitement envisagé a pour finalité la mise en œuvre d’une étude portant sur l’épidémiologie et les parcours de soins des enfants présentant des variations du développement génital, intitulée "VarGen".
La Commission relève que la mise en œuvre de cette étude vise à rassembler les éléments nécessaires à la constitution du rapport prévu par l’article 30 de la loi n° 2021-1017 du 2 août 2021 relative à la bioéthique. En application de ces dispositions, le Gouvernement doit remettre au Parlement un rapport relatif à l’activité et au fonctionnement des centres de référence des maladies rares compétents concernant la prise en charge des personnes présentant des variations du développement génital en France, au nombre d'actes médicaux réalisés en lien avec ces variations, ainsi qu'au respect des recommandations internationales en matière de protocole de soins. Elle relève également que ce rapport devra être transmis dans un délai de dix-huit mois suivant la publication de l’arrêté du 15 novembre 2022 fixant les règles de bonnes pratiques de prise en charge des enfants présentant des variations du développement génital et être accompagné d'éléments chiffrés quant au nombre de personnes concernées ainsi qu’à la nature des actes médicaux réalisés chaque année.
Sous réserve de l’exercice du droit d’opposition, deux cohortes seront constituées dans le cadre de cette étude :
une première cohorte comprenant l’ensemble des enfants nés entre 2015 et 2023 suivis dans le réseau expert maladies rares ayant un diagnostic "orphanet" de variation de développement génital (la cohorte "BNDMR-VDG", composée de 3 000 personnes environ) ;
une seconde cohorte constituée à partir des données du Système national des données de santé (SNDS) comprenant les enfants nés entre 2012 et 2023 ayant un code diagnostique, un acte ou un traitement témoignant d’une variation de développement génital (la cohorte "SNDS-VDG", composée de 20 000 personnes environ).
La finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5.1.b du RGPD, et ce traitement présente une finalité d’intérêt public, conformément à l’article 66. I de la loi n° 78-17 du 6 janvier 1978 modifiée (loi "informatique et libertés").
Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé
Le traitement mis en œuvre par l’AP-HP de Paris est nécessaire à l’exécution de la mission d’intérêt public dont elle est investie.
Ce traitement est, à ce titre, licite au regard de l’article 6.1.e du RGPD. En outre, ce traitement, nécessaire à des fins de recherche scientifique, remplit également la condition prévue à l’article 9.2.j du RGPD permettant de traiter des données concernant la santé.
Ce projet de recherche est soumis aux dispositions des articles 44.3°, 66.III et 72 et suivants de la loi "informatique et libertés", dont il résulte qu’en l’absence de conformité à une méthodologie de référence, les traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ne peuvent être mis en œuvre qu’après autorisation de la Commission.
Sur les points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées.
En dehors de ces exceptions, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-004.
Sur la réutilisation des données de bases existantes
Les données de la Banque nationale de données maladies rares (BNDMR) autorisée par la CNIL (délibération n° 2019-113 du 5 septembre 2019 ; demande d’autorisation n° 2211418) seront réutilisées dans le cadre de la présente étude. Ces données seront appariées aux données du SNDS.
La Commission relève que les données de la BNDMR ont vocation à intégrer la base du catalogue du SNDS en application de l’article 3 de l’arrêté du 12 mai 2022 relatif aux données alimentant la base principale et aux bases de données du catalogue du SNDS.
Seules les données des enfants nés entre 2015 et 2023 suivis dans le réseau expert maladies rares ayant un code "orphanet" de variation de développement génital seront traitées.
Sur les catégories particulières de données traitées
S’agissant du traitement de données du SNDS
Sous réserve qu’elles soient diffusables par la Caisse nationale de l’assurance maladie (CNAM), le responsable de traitement sollicite un accès aux données du système national d'information inter-régimes de l'assurance maladie (SNIIRAM), du programme de médicalisation des systèmes d'information (PMSI) et des causes médicales de décès (CépiDc) des années 2012 à 2025.
Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement seront transmises par la CNAM ; à cet égard, les filtrages et les appariements de données seront réalisés en amont de cette transmission par la CNAM.
Les données du SNIIRAM, du PMSI et du CépiDc étant issues de bases composant le SNDS, l’ensemble des dispositions législatives (articles L. 1461-1 à L. 1461-7 du code de la santé publique – CSP) et réglementaires relatives au SNDS sont applicables en l’espèce, notamment :
l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ;
le respect du référentiel de sécurité applicable au SNDS prévu par l'arrêté du 22 mars 2017.
S’agissant des modalités d’appariement des données de la BNDMR avec les données du SNDS :
Plusieurs modalités d’appariement des données de la BNDMR avec les données du SNDS sont prévues dans le dossier de demande :
dans un premier temps, l’appariement sera réalisé de façon déterministe grâce au numéro d’inscription au répertoire national d’identification des personnes physiques (NIR)des patients recueillis dans l’application BaMaRa (application web qui permet aux professionnels des centres de référence et de compétences maladies rares de collecter et d’exploiter eux-mêmes leurs données de maladies rares). Les NIR seront envoyés à la CNAM directement depuis la base BaMaRa, par l’équipe en charge de cette base, qui est distincte de celle en charge de la BNDMR ;
pour les patients dont les données n’auront pas été appariées grâce au NIR faute de disponibilité de ce dernier, un appariement probabiliste sera réalisé grâce à la date et au lieu de prise en charge du patient dans le réseau expert, à sa date de naissance (mois et année), à son lieu de résidence (commune et département), à son sexe et au diagnostic ;
enfin, pour les patients dont les données n’auraient pas pu être appariées au moyen des deux méthodes précédentes faute de disponibilité du NIR et en raison du faible nombre de variables communes entre les deux bases de données, les données de la BNDMR pourront être appariées avec les données du SNDS grâce à la reconstitution du NIR par la Caisse nationale de l’assurance vieillesse (CNAV) : les données nominatives, le sexe, la date de naissance complète ainsi que le lieu de naissance des participants seront extraits des bases BaMaRa aux fins de reconstitution du NIR par la CNAV.
En ce qui concerne la première modalité d’appariement (recueil du NIR à partir de l’application BaMaRa), la Commission attire l’attention du responsable de traitement sur :
la nécessaire effectivité du cloisonnement entre les deux équipes intervenant sur la BNDMR et sur BaMaRa, dont il doit s’assurer par des mesures organisationnelles et techniques adaptées aux risques et par des vérifications régulières ;
la nécessité que le pôle "Opérations", qui exploite BaMaRa et réalisera l’extraction des NIR, supprime la table de correspondance [IDMR – IDacc] qui lui est transmise comme paramètre du programme d’extraction ; cette suppression devra intervenir dès la fin de la procédure d’extraction, la table n’étant conservée que par l’équipe de la BNDMR ;
la nécessité que chaque demande d’extraction utilise une série de numéros d’accrochage (IDacc) différente, pour limiter les risques de réidentification croisée.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5.1.c du RGPD.
Sur l’information et les droits des personnes
S’agissant des titulaires de l’exercice de l’autorité parentale des enfants participant à la cohorte "BNDMR-VDG" ayant reçu une note d’information individuelle lors de la constitution de la BNDMR prévoyant un dispositif spécifique d’information auquel ils pourront se reporter préalablement à la mise en œuvre de chaque nouvelle étude réalisée à partir des données de l’entrepôt :
Une note d’information relative à la présente étude sera diffusée avant le début de l’étude sur le site web dédié à la BNDMR.
S’agissant des autres participants à la cohorte "BNDMR-VDG" et de ceux inclus dans la cohorte "SNDS-VDG" :
En vertu de l'article 69 de la loi "informatique et libertés" et de l’article 14.5.b du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre par la diffusion d’une information collective sur le site web du responsable de traitement.
Cette information sera portée à la connaissance des associations des personnes intersexuées / avec variation du développement génital et diffusée dans la revue OrphaNews.
Ce traitement sera également enregistré au sein du portail de transparence de la PDS.
Ces modalités d’information sont satisfaisantes au regard des dispositions du RGPD et de la loi "informatique et libertés".
S’agissant des modalités d’exercice des droits
Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données du responsable de traitement pendant toute la durée de l’étude.
Ces modalités d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi "informatique et libertés".
Sur les accédants et destinataires
Seuls le responsable du traitement et les personnes habilitées par lui ont accès aux données dans le cadre de la présente autorisation. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur la sécurité des données et leurs modalités d’hébergement
A titre liminaire, la Commission prend acte de ce que le dossier de demande justifie de la nécessité de recourir à la solution technique de la PDS, compte tenu des caractéristiques ainsi que des modalités spécifiques de mise en œuvre de cette étude et notamment de :
l’urgence attachée à sa réalisation ;
la mutualisation du processus de pré-traitement des données avec celui déjà utilisé dans le cadre d’un autre projet de recherche de l’AP-HP nécessitant un traitement des données de la BNDMR et hébergé par la PDS (le projet "Dromos" déjà autorisé par la CNIL).
La sécurité des données de l’espace projet dédié au projet "VarGen" dépend essentiellement de la solution technique de la PDS, qui a fait l’objet d’une analyse globale des risques et d’impact sur la vie privée, suivie d’une homologation selon le référentiel de sécurité du SNDS.
Plus spécifiquement, une analyse d’impact relative à la protection des données a été transmise à la CNIL concernant la solution technique de la PDS, qui correspond à une bulle sécurisée SNDS et qui hébergera le projet "VarGen".
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet "VarGen" et intégrant les éléments fournis par la PDS pour sa solution technique.
Une homologation de l’espace projet a ainsi été réalisée par le responsable de traitement le 27 octobre 2022, pour une durée de trois ans, sous réserve de la mise en œuvre du plan d’actions qu’il a défini.
Cette décision d’homologation n’est valable que jusqu’au 27 octobre 2025 et devra donc être renouvelée avant cette date si le projet est toujours en cours.
Les mesures de sécurité mises en œuvre par le responsable de traitement apparaissent proportionnées aux risques présentés par le traitement.
Sur les transferts de données en dehors de l’Union européenne
Les dispositions de l’article R. 1461-1 du CSP prévoient qu’aucun transfert de données à caractère personnel ne peut être réalisé en dehors de l'Union européenne, sauf dans le cas d'accès ponctuels aux données par des personnes situées en dehors de l'Union européenne, pour une finalité relevant du 1° du I de l'article L. 1461-3 du CSP. En l’espèce, le dossier de demande mentionne que, bien que le prestataire ne soit pas exclusivement soumis aux lois et juridictions de l’Union européenne, aucun transfert en dehors de l’Union européenne de données individuelles du SNDS n’est prévu, aucun membre de l’équipe de recherche n’étant situé en dehors de l’Union européenne.
Sur la durée de conservation des données
Les données nécessaires à la réalisation de l’appariement déterministe (le NIR ou les informations permettant de le reconstituer) ne seront pas conservées après l’appariement.
Les données des cohortes "SNDS-VDG" et "BNDMR-VDG" seront mises à disposition pendant cinq ans.
Ces durées de conservation des données n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5.1.e du RGPD.
Autorise, conformément à la présente délibération, l’Assistance publique – Hôpitaux de Paris à mettre en œuvre le traitement susmentionné.
La Présidente
Marie -Laure DENIS