La Commission nationale de l'informatique et des libertés,
Saisie par RESILIENCE SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un entrepôt de données dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 44-3° et 66-III ;
Vu la délibération n° 2021-118 du 7 octobre 2021 portant adoption d’un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de création d’entrepôts de données dans le domaine de la santé ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société RESILIENCE, société par actions simplifiées (RESILIENCE)
Sur les points de non-conformité au référentiel concerné
La Commission prend acte de ce que le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé , à l’exception :
des finalités poursuivies ;
de la base légale du traitement ;
de la gouvernance de l’entrepôt ;
des sources des données collectées ;
des mesures de sécurité.
En dehors de ces exceptions, ce traitement devra en conséquence respecter le cadre prévu par le référentiel entrepôt de données dans le domaine de la santé .
Sur la finalité et la base légale du traitement
Le traitement envisagé a pour finalité de constituer un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé
Resilience Data Warehouse
Ce dernier vise à :
réaliser des analyses sur le pilotage médical pour l’optimisation de l’organisation des soins ;
développer, faire fonctionner et améliorer en continu un dispositif médical d’aide à la décision et à la prise en charge médicale ;
réaliser des études de faisabilité (
pré-screening
réaliser des recherches, études ou évaluations n’impliquant pas la personne humaine en oncologie ;
réaliser l’évaluation clinique du dispositif médical d’aide à la décision et à la prise en charge médicale conformément au règlement (UE) n° 2017-745 du 5 avril 2017 relatif aux dispositifs médicaux.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b du RGPD.
La Commission prend acte de ce que RESILIENCE SAS s’engage à :
ne pas traiter les données de l’entrepôt à des fins de promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé, ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d'un individu ou d'un groupe d'individus présentant un même risque ;
communiquer un rapport annuel à la Commission sur le fonctionnement de ce traitement et sur les recherches, études ou évaluations en cours ou finalisées.
La Commission estime qu’il y a lieu de faire application des dispositions de l’article 44-3° et 66-III de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après, loi informatique et libertés modifiée), qui soumettent à son autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Enfin, la Commission rappelle que les utilisations futures des données contenues dans cet entrepôt s’inscrivant dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés modifiée, qui imposent que chaque traitement soit justifié par l’intérêt public et fasse l’objet de formalités propres.
Sur la base légale du traitement
Le traitement envisagé a pour base légale l’intérêt légitime, au sens de l’article 6-1-f du RGPD.
Le traitement de données sensibles est nécessaire aux fins de recherche scientifique (art. 9.2.j du RGPD) et de garantie des normes élevées de qualité et de sécurité des dispositifs médicaux, sous réserve qu’il soit fondé sur une disposition nationale ou européenne (art. 9-2-i du RGPD).
Sur la gouvernance
La Commission relève que le responsable de traitement a mis en place un dispositif de gouvernance de l’entrepôt
Resilience Data Warehouse
le comité data (ou comité de pilotage), chargé de définir les utilisations possibles des données collectées dans l'entrepôt ;
le comité patient, chargé avec le comité scientifique et éthique de valider la feuille de route de
Resilience
fonctionnalités produit
le comité scientifique et éthique, chargé avec le comité patient de valider la feuille de route de
Resilience
fonctionnalités produit
Sur les données traitées
L’entrepôt regroupera les données produites à travers l’usage de l’application
Resilience Care

Les données relatives aux patients :
données d’identification : âge et genre ;
données de santé : type de cancer, date des premier et dernier diagnostics, symptômes, données sur les traitements des dernières années et en cours, effets secondaires, stade du traitement, statut d’activité (arrêt maladie, mi-temps thérapeutique, en activité), statut ménopausiques ;
données relatives à la vie personnelle : poids, taille, vie sexuelle.
Ces données seront pseudonymisées avant leur intégration dans l’entrepôt et le NIR ne sera pas collecté.
Les données relatives aux professionnels de santé ne seront pas collectées.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur les destinataires
Seuls les membres du personnel de RESILIENCE auront accès aux données de l’entrepôt.
Sur les mesures de sécurité
La Commission prend acte de ce que les mesures de sécurité planifiées ou mises en place par le responsable de traitement visent à garantir la conformité de
Resilience Data Warehouse
entrepôt de données dans le domaine de la santé
la finalisation de la génération des identifiants patient ;
l’implémentation des mécanismes d’anonymisation des exportations

la mise en place d’une analyse proactive des traces techniques.
La Commission rappelle que le traitement ne pourra pas être mis en œuvre avant la finalisation du plan d’action.
Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, répondront alors aux exigences prévues par les articles 5,1, f) et 32 du règlement général sur la protection des données compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Sur les transferts de données
La mise en œuvre de cet entrepôt n’entraîne pas le transfert de données à caractère personnel hors de l’Union européenne.
Sur la durée de conservation
Les données à caractère personnel seront conservées pendant 15 ans à compter de leur collecte dans le
Resilience Data Warehouse
Les traces et journaux techniques seront conservés pendant sept jours.
Une procédure d’alerte automatisée en cas de dépassement de la durée de conservation sera mise en place.
A l’issue de ce délai les données sont supprimées.
La Commission considère que ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Autorise, conformément à la présente délibération, la société RESILIENCE SAS à mettre en œuvre, dans ces conditions et conformément à son plan d'action, un traitement de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé dénommé
Resilience Data Warehouse
La Présidente
Marie-Laure DENIS