La Commission nationale de l'informatique et des libertés,
Saisie par le Centre hospitalier universitaire de Poitiers et par la société Clinityx d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’une étude portant sur le taux de réintervention pour complication et le taux de réintervention pour récidive après implantation de bandelettes sous-urétrales au cours d’une chirurgie de l’incontinence urinaire d’effort en distinguant les deux voies d’abord ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 17 novembre 2022 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Sur les responsables de traitement conjoints
Les deux responsables de traitement conjoints sont :
le Centre hospitalier universitaire (CHU) de Poitiers ;
la société Clinityx, un bureau d’études qui réalise des recherches dans le domaine de la santé, notamment à partir des données du Système national des données de santé (SNDS).
Conformément à l'article 26 du règlement général sur la protection des données (RGPD), les responsables conjoints du traitement doivent définir de manière transparente leurs obligations respectives.
Sur la finalité du traitement et son caractère d’intérêt public
Le traitement envisagé a pour finalité la mise en œuvre d’une étude intitulée "Magellan Mesh" destinée à :
quantifier, à moyen terme, le taux de réintervention pour complication et le taux de réintervention pour récidive après implantation de bandelettes sous-urétrales (BSU) au cours d’une chirurgie de l’incontinence urinaire d’effort en distinguant les deux voies d’abord ;
décrire les réinterventions selon leur nature et selon le délai dans lesquelles elles surviennent ;
évaluer la prévalence des douleurs consécutives à l’implantation de ces bandelettes ;
réévaluer l’ensemble des objectifs selon différents sous-groupes (voie d’accès ou selon le fait que la BSU est utilisée seule ou est associée à un autre geste chirurgical) ;
évaluer la représentativité des patients du registre "VIGI-MESH" du CHU de Poitiers.
La finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5.1.b du RGPD, et ce traitement présente une finalité d’intérêt public, conformément à l’article 66. I de la loi n° 78-17 du 6 janvier 1978 modifiée (loi "informatique et libertés").
Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé
Le traitement mis en œuvre conjointement par le CHU de Poitiers et par la société Clinityx est nécessaire aux fins des intérêts légitimes qu’ils poursuivent.
Ce traitement est, à ce titre, licite au regard de l’article 6.1.f du RGPD
recherche scientifique, remplit également la condition prévue à l’article 9.2.j du RGPD permettant de traiter des données concernant la santé.
Ce projet de recherche est soumis aux dispositions des articles 44.3°, 66.III et 72 et suivants de la loi du 6 janvier 1978 modifiée, qui prévoient, en l’absence de conformité à une méthodologie de référence, que les traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ne peuvent être mis en œuvre qu’après autorisation de la Commission.
Sur la réutilisation des données d’une base existante
Les données réutilisées dans le cadre de cette étude proviendront de l’entrepôt de données de santé dénommé "Magellan" autorisé par la CNIL (délibération n° 2022-009 du 27 janvier 2022).
Cet entrepôt est alimenté par un nombre déterminé et limité de variables du SNDS, sur une profondeur de données de cinq années glissantes. Lors de chaque mise à jour des données, les données les plus anciennes sont anonymisées ou supprimées.
Les données de cet entrepôt de données de santé alimentent l’outil "Magellan" destiné à calculer de façon automatisée des indicateurs prédéterminés de santé publique portant sur des populations de patients, le recours aux soins et l’utilisation des produits de santé.
Sur l’application des dispositions liées au SNDS
La Commission rappelle que l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce, et notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code de la santé publique (CSP).
Sur les catégories particulières de données traitées
Les données traitées, qui proviendront exclusivement de l’entrepôt "Magellan" composé exclusivement de données du SNDS, sont décrites dans le dossier de demande et concerneront :
les patientes (prise d’antalgiques, affection de longue durée, statut vital, indice de désavantage social, âge, antécédent d’hystérectomie, région de résidence, antécédent de diabète, antécédent de chirurgie du prolapsus ou de l’incontinence urinaire), leurs hospitalisations (date, durée, diagnostic principal et associé, actes effectués, type d’établissement) et leurs parcours de soins (consommations médicamenteuses, dispositifs médicaux) ;
la chirurgie effectuée (date, type de chirurgie et code CCAM correspondants, voie opératoire, dispositif implanté) ;
le centre (activité annuelle et localisation géographique, indicateurs issus du PMSI) ;
la complication (date de reprise chirurgicale, passage en réanimation ou décès, type de réintervention).
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5.1.c du RGPD.
Sur l’information et les droits des personnes
S’agissant des modalités d’information :
Les dispositions de l’article 69 de la loi "informatique et libertés" sont applicables à tous les traitements réalisés à partir de données du SNDS. Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par les responsables de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre par les responsables conjoints de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé.
Une note d’information sera rendue publique sur le site web du CHU de Poitiers et sur le portail de transparence dédié à l’entrepôt "Magellan" (via l’outil "Semaphore") mis en place par la société Clinityx. Elle devra comporter l’ensemble des mentions prévues par l’article 14 du RGPD.
S’agissant des modalités d’exercice des droits :
Les personnes concernées pourront exercer leurs droits concernant l’étude "Magellan-Mesh" auprès du délégué à la protection des données de la société Clinityx pendant toute la durée de l’étude.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi "informatique et libertés".
Sur les accédants et destinataires
Seule la société Clinityx et les personnes habilitées par elle ont accès aux données dans le cadre de la mise en œuvre de ce traitement. La société Clinityx tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par la société Clinityx.
Sur la sécurité des données et la traçabilité des actions
L’infrastructure technique de la société Clinityx en charge de la mise en œuvre de l’entrepôt "Magellan", utilisée pour l’hébergement de systèmes fils du SNDS a été analysée par la Commission à diverses reprises, notamment dans le cadre de précédentes demandes d’autorisation.
La société Clinityx a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à l’entrepôt "Magellan" et aux différents espaces projets contenant les études liées à cet outil de production d’indicateurs, ainsi qu’une analyse de risques sur la sécurité des systèmes d’information.
Une homologation de la bulle sécurisée a été réalisée par l’autorité d’homologation le 31 janvier 2023, conformément à l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS. Cette décision d’homologation n’est valable que jusqu’au 31 décembre 2024 et devra donc être renouvelée avant cette date si le projet est toujours en cours.
Des mesures techniques et organisationnelles ont été prévues par la société Clinityx afin de cloisonner les différentes extractions de données du SNDS pouvant être stockées au sein de sa solution technique. Des environnements distincts, fondés sur des solutions de conteneurisation logicielle, sont notamment mis en œuvre afin d’empêcher toute fusion des données. L’outil de requêtage, les données manipulées par cet outil, ainsi que les espaces projet contenant les données servant à la production des indicateurs seront cloisonnés entre eux grâce à l’utilisation de ces solutions.
La Commission prend acte de ce que l’accès à l’outil de requêtage et aux espaces projet de la présente étude ne sera possible que pour des personnes spécifiquement habilitées faisant partie du personnel de la société Clinityx, à l’exclusion de toute autre personne extérieure. La Commission rappelle que des mesures techniques et organisationnelles devront être mises en œuvre dans la solution technique afin de différencier les personnels pouvant accéder à la base de données de l’entrepôt "Magellan" contenant l’extraction des données du SNDS sur lequel repose l’outil de requêtage et ceux ne pouvant accéder qu’aux données minimisées contenues dans les espaces projets.
L’exportation de données hors de l’entrepôt "Magellan" et des espaces projet associés consistera exclusivement en des rapports statistiques comprenant des indicateurs anonymes ne permettant aucune ré-identification des personnes, et qui seront transmis exclusivement aux responsables de traitement suite aux requêtes réalisées via l’outil Magellan. Á cette fin, un seuil minimal de onze individus sera retenu pour chaque agrégation. La Commission rappelle que les responsables de traitement doivent réaliser une analyse permettant de démontrer que leurs processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. Si ces trois critères ne peuvent être réunis, une analyse approfondie des risques d’identification doit être menée afin de démontrer que ces derniers, avec des moyens raisonnables, sont inexistants.
Les mesures de sécurité décrites répondent aux exigences prévues par les articles 5-1-f et 32 du RGPD, compte tenu des risques identifiés par les responsables de traitement. Il appartiendra à ces derniers de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Sur les transferts de données en dehors de l’Union européenne
Aucun transfert de données en dehors de l’Union européenne ne sera réalisé dans le cadre de cette étude.
Sur la durée de conservation des données
Les données nécessaires à la réalisation des requêtes seront conservées dans l’espace de travail pendant la durée nécessaire à la production des indicateurs et supprimées dans un délai maximal d’un mois. Les analyses seront réalisées annuellement pendant cinq ans, via l’outil de requêtage, dans l’espace projet de la présente étude.
La Commission considère que cette durée de conservation des données n’excède pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Autorise, conformément à la présente délibération, le Centre hospitalier universitaire de Poitiers et la société Clinityx à mettre en œuvre le traitement susmentionné.
La Présidente
Marie-Laure DENIS