La Commission nationale de l'informatique et des libertés,
Saisie par la Société française de cardiologie d’une demande de modification de l’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé dénommé "

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 44-3° et 66-III ;
Vu la délibération n


Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Société française de cardiologie (SFC).
Responsable de la mise en œuvre
La société Clinityx.
Modification du traitement de données
Les modifications portent sur :
les bases de données existantes rassemblées au sein de l’entrepôt "

les catégories de données traitées (suppression de certaines données précédemment collectées dans l’entrepôt "

les mesures de sécurité.
Sur les données traitées
Outre les données du registre
Mitragister
Mitragister

du registre intitulé

du registre intitulé
France TAVI
du registre intitulé
Fresh SNDS
du registre intitulé
MyocarditIRM SNDS
de l’entrepôt de données de santé intitulé
ANGOR – France REDUCER
du SNDS pour les personnes incluses dans

France TAVI
Fresh SNDS
MyocarditIRM SNDS
ANGOR – France REDUCER
Les données issues de

France TAVI
Fresh SNDS
MyocarditIRM SNDS
ANGOR – France REDUCER
critères d’inclusion dans les traitements précités ;
date de naissance (mois et année), sexe, poids, taille ;
données de mode de vie (célibataire, isolé, activités professionnelles) ;
antécédents médicaux et facteurs de risques cardiaques ;
caractéristiques cliniques de la cardiopathie étudiée ;
comorbidités ;
données d’imagerie cardiaque, de qualité de vie et biologiques ;
données de prise en charge, de suivi hospitalier et de sortie.
Les données de

France TAVI
Fresh SNDS
MyocarditIRM SNDS
ANGOR – France REDUCER
du Système national d'information interrégimes de l'assurance maladie (SNIIRAM), s’agissant notamment des consultations des médecins généralistes et des cardiologues ainsi que des traitements médicaux ;
du Programme de médicalisation des systèmes d'information (PMSI), s’agissant des évènements, des hospitalisations et des ré-interventions pendant le suivi ;
du CépiDc, s’agissant du statut vital des participants et, le cas échéant, des causes de décès.
La Commission relève que les données du SNIIRAM, du PMSI et du CépiDc des années 2010 à 2033 alimenteront l’entrepôt "

Préalablement à la demande d’extraction des données du SNDS adressée à la Caisse nationale d’assurance maladie (CNAM), la SFC génèrera aléatoirement un identifiant spécifique projet (ISP).
Les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du règlement général sur la protection des données (RGPD).
Sur l’information et les droits des personnes concernées
S’agissant des personnes dont les données sont issues des registres



ainsi que de celui de l’entrepôt de données de santé
ANGOR – France REDUCER
, qui ont vocation à intégrer l’entrepôt de données de santé

Les personnes concernées seront individuellement informées du traitement des données les concernant dans le cadre de

Un portail de transparence sur lequel la note d’information relative à l’entrepôt, ainsi que les différentes notes d’information relatives aux futures recherches menées sur l’entrepôt, sera disponible sur le site web de la SFC. La SFC devra communiquer aux établissements incluant des personnes dans

France TAVI
Fresh SNDS
MyocarditIRM SNDS
ANGOR – France REDUCER
Les personnes concernées pourront exercer leurs droits selon les modalités prévues antérieurement.
S’agissant des personnes ayant déjà reçu une note d’information individuelle lors la constitution de l’entrepôt de données de santé "
" prévoyant un portail de transparence :
Elles seront informées, sur ce portail de transparence, de l’ajout de nouvelles bases de données dans "

Toutes les notes d’information devront comporter l’ensemble des mentions prévues par le RGPD.
La Commission considère que ces modalités sont conformes au principe de transparence et aux exigences d’information prévues par les articles 12 et suivants du RGPD.
Sur la sécurité des données et la traçabilité des actions
Quant aux données pseudonymisées provenant de sources externes devant être importées dans "

L’appariement des données de ces sources et du SNDS sera indirect : Clinityx produira pour chaque source devant être appariée au sein de


France TAVI
Fresh SNDS
MyocarditIRM SNDS
ANGOR – France REDUCER
Les identifiants patient pseudonymisés selon les exigences du référentiel "
entrepôts de données de santé
L’exportation de données hors de l’entrepôt "

Les mesures de sécurité décrites répondent aux exigences prévues par les articles 5-1-f) et 32 du RGPD, compte tenu des risques identifiés par le responsable de traitement. Il appartiendra à ce dernier de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Sur la durée de conservation des données
Les données de santé des patients issues des différentes sources seront conservées en base active pendant une durée de 15 ans à compter de l’inclusion de la personne concernée dans le traitement initial.
Au-delà, les données seront anonymisées ou supprimées. Cette opération fera l’objet d’une automatisation.
Ces durées de conservation des données n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD.
Observations complémentaires
Les autres conditions de mise en œuvre de l’entrepôt de données de santé "

Autorise, conformément à la présente délibération, la Société française de cardiologie à mettre en œuvre le traitement mentionné ci-dessus.
La Présidente
Marie-Laure DENIS