La Commission nationale de l'informatique et des libertés,
Saisie par la société Clinityx d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur la consommation en France de princeps et biosimilaires anti-TNF alpha, intitulée "Magellan Anti-TNF alpha" ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 12 janvier 2023 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La société Clinityx est un bureau d’études qui réalise des recherches dans le domaine de la santé, notamment à partir des données du Système national des données de santé (SNDS). Elle développe des outils afin de permettre l’exploitation des données de santé.
Sur la finalité du traitement et son caractère d’intérêt public
Le traitement envisagé a pour finalité la réalisation d’une étude intitulée "Magellan Anti-TNF alpha" destinée à :
décrire la consommation en France de princeps et biosimilaires anti-TNF alpha ;
décrire la consommation de biosimilaires anti-TNF alpha par indication ;
décrire les caractéristiques démographiques des patients traités par anti-TNF alpha et biosimilaires ;
quantifier les conversions entre les princeps et biosimilaires et entre les différents biosimilaires ;
mesurer la part d’initiation d’un biosimilaire et de conversion princeps vers biosimilaire suivant la consultation d’un praticien spécialiste.
La finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5.1.b du règlement général sur la protection des données (RGPD), et ce traitement présente une finalité d’intérêt public, conformément à l’article 66. I de la loi n° 78-17 du 6 janvier 1978 modifiée (loi "informatique et libertés").
Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé
Le traitement mis en œuvre par la société Clinityx est nécessaire aux fins des intérêts légitimes qu’elle poursuit.

traitement est, à ce titre, licite au regard de l’article 6.1.f du RGPD. En outre, ce traitement, nécessaire à des fins de recherche scientifique, remplit également la condition prévue à l’article 9.2.j du RGPD
Ce projet de recherche est soumis aux dispositions des articles 44.3°, 66.III et 72 et suivants de la loi du 6 janvier 1978 modifiée, qui prévoient, en l’absence de conformité à une méthodologie de référence, que les traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ne peuvent être mis en œuvre qu’après autorisation de la Commission.
Sur la réutilisation des données d’une base existante
Les données réutilisées dans le cadre de cette étude proviendront de l’entrepôt de données de santé dénommé "Magellan" (délibération n° 2022-009 du 27 janvier 2022).
Cet entrepôt est alimenté par un nombre déterminé et limité de variables du SNDS, sur une profondeur de données de cinq années glissantes. Lors de chaque mise à jour des données, les données les plus anciennes sont anonymisées ou supprimées.
Les données de cet entrepôt de données de santé alimentent l’outil "Magellan" destiné à calculer de façon automatisée des indicateurs prédéterminés de santé publique portant sur des populations de patients, le recours aux soins et l’utilisation des produits de santé.
Sur l’application des dispositions liées au SNDS
La Commission rappelle que l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce, et notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code de la santé publique (CSP).
Sur les catégories particulières de données traitées
Les données traitées, qui proviendront exclusivement de l’entrepôt "Magellan" composé exclusivement de données du SNDS, sont décrites dans le dossier de demande et concerneront :
les patients (affection de longue durée, âge et sexe) ;
leurs hospitalisations (diagnostic principal et associé, actes effectués, type d’établissement) ;
leurs parcours de soins (consommations médicamenteuses en ville, consultations auprès d’un professionnel de santé, actes remboursés en ville).
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5.1.c du RGPD.
Sur l’information et les droits des personnes
S’agissant des modalités d’information :
La Commission rappelle que les dispositions de l’article 69 de la loi "informatique et libertés" sont applicables à tous les traitements réalisés à partir de données du SNDS. Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé.
Une note d’information sera également rendue publique au sein du portail de transparence dédié à l’entrepôt "Magellan" (via l’outil "Semaphore") mis en place par le responsable de traitement. Elle devra comporter l’ensemble des mentions prévues par l’article 14 du RGPD.
S’agissant des modalités d’exercice des droits :
Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données de la société Clinityx pendant toute la durée de l’étude.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi "informatique et libertés".
Sur les accédants et destinataires
Seule la société Clinityx, responsable du traitement et les personnes habilitées par elle, ont accès aux données dans le cadre de la mise en œuvre de ce traitement. La société Clinityx tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur les mesures de sécurité et la traçabilité des actions
L’infrastructure technique de la société Clinityx en charge de la mise en œuvre de l’entrepôt "Magellan", utilisée pour l’hébergement de systèmes fils du SNDS, a été analysée par la Commission à diverses reprises, notamment dans le cadre de précédentes demandes d’autorisation.
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à l’entrepôt "Magellan" et aux différents espaces projet contenant les études liées à cet outil de production d’indicateurs, ainsi qu’une analyse de risques sur la sécurité des systèmes d’information.
Une homologation de la bulle sécurisée a été réalisée par l’autorité d’homologation le 31 janvier 2023, conformément à l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS. Cette décision d’homologation n’est valable que jusqu’au 31 décembre 2024 et devra donc être renouvelée avant cette date si le projet est toujours en cours.
Des mesures techniques et organisationnelles ont été prévues par le responsable de traitement afin de cloisonner les différentes extractions de données du SNDS pouvant être stockées au sein de sa solution technique. Des environnements distincts, fondés sur des solutions de conteneurisation logicielle, sont notamment mis en œuvre afin d’empêcher toute fusion des données. L’outil de requêtage, les données manipulées par cet outil, ainsi que les espaces projets contenant les données servant à la production des indicateurs seront cloisonnés entre eux grâce à l’utilisation de ces solutions.
La Commission prend acte de ce que l’accès à l’outil de requêtage et aux espaces projet de la présente étude ne sera possible que pour des personnes spécifiquement habilitées faisant partie du personnel de la société Clinityx, à l’exclusion de toute autre personne extérieure. La Commission rappelle que des mesures techniques et organisationnelles devront être mises en œuvre dans la solution technique afin de différencier les personnels pouvant accéder à la base de données de l’entrepôt "Magellan" contenant l’extraction de données du SNDS sur laquelle repose l’outil de requêtage et ceux ne pouvant accéder qu’aux données minimisées contenues dans les espaces projets.
L’exportation de données hors de l’entrepôt "Magellan" et des espaces projets associés consistera exclusivement en des rapports statistiques comprenant des indicateurs anonymes ne permettant aucune ré-identification des personnes, et qui seront transmis exclusivement aux responsables de traitement suite aux requêtes réalisées

Les mesures de sécurité décrites répondent aux exigences prévues par les articles 5-1-f et 32 du RGPD, compte tenu des risques identifiés par le responsable de traitement. Il appartiendra à ce dernier de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Sur les transferts de données en dehors de l’Union européenne
Aucun transfert de données en dehors de l’Union européenne ne sera réalisé dans le cadre de cette étude.
Sur la durée de conservation des données
Les données nécessaires à la réalisation des requêtes seront conservées dans l’espace de travail pendant la durée nécessaire à la production des indicateurs et supprimées dans un délai maximal d’un mois. Les analyses seront réalisées annuellement pendant dix ans, via l’outil de requêtage, dans l’espace projet de la présente étude.
La Commission considère que cette durée de conservation des données n’excède pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Autorise, conformément à la présente délibération, la société Clinityx à mettre en œuvre le traitement susmentionné.
La Présidente
Marie-Laure DENIS