(demande d’autorisation n° 1756761)
La Commission nationale de l'informatique et des libertés,
Saisie par le Cancéropôle Grand Sud-Ouest d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre du projet « CLIPP-GSO » d’aide au développement des essais cliniques de phase précoce ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1110-4-1 et L. 1111-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le Plan Cancer 2014-2019, notamment ses actions 5.2 et 15.10 ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Les cancéropôles sont des structures interrégionales et pluridisciplinaires qui associent des équipes de recherche, des services de soins orientés vers l'innovation et des plateformes technologiques. Les cancéropôles ont pour vocation de coordonner les efforts des différents acteurs impliqués dans la recherche clinique en cancérologie afin de la dynamiser, depuis la recherche en amont jusqu'à l'innovation.
Il existe sept cancéropôles en France parmi lesquels le Cancéropôle Grand Sud-Ouest (ou « cancéropôle GSO ») fédère près de 500 équipes de recherche scientifique et médicale de Bordeaux, Limoges, Montpellier, Nîmes et Toulouse.
Afin de favoriser le développement des essais cliniques dits « de phase précoce », le cancéropôle GSO souhaite mettre en œuvre une base de données commune aux trois centres labellisés de phase précoce (« CLIPP ») dans le Grand Sud-Ouest que sont les centres de lutte contre le cancer de Toulouse (Institut Claudius Regaud), de Bordeaux (Institut Bergonié) et de Montpellier (Institut régional du cancer de Montpellier). Ce projet intitulé « CLIPP-GSO » permettrait d’augmenter les capacités de sélection et d’inclusion de patients dans les essais de phase de précoce et ainsi de favoriser l’accès aux molécules innovantes à tous les patients du Grand Sud-Ouest.
Le cancéropôle GSO a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative aux traitements automatisés nécessaires à la mise en œuvre de ce projet « CLIPP-GSO ».
Sur la finalité du traitement :
La finalité du traitement est de constituer une base de données commune aux trois CLIPP du Grand Sud-Ouest qui contiendrait des caractéristiques médicales de patients majeurs atteints de cancer en vue de leur possible inclusion dans un essai clinique de phase précoce.
La base de données ainsi constituée ne serait pas utilisée dans le cadre des soins ni dans le cadre des essais de phase précoce. Le projet CLIPP-GSO vise à faciliter et à accélérer la sélection et l’inclusion de patients, en amont de la recherche, en faisant apparaître pour chacun la liste des essais auxquels ils sont susceptibles de répondre aux critères d’inclusion.
La Commission relève que le projet CLIPP-GSO vise à répondre aux actions 5.2 et 15.10 du Plan Cancer 2014-2019 qui ambitionnent respectivement de doubler le nombre annuel de patients inclus dans des essais thérapeutiques et de renforcer les liens entre les différents acteurs de la recherche par la mutualisation des ressources et des moyens.
La Commission considère la finalité poursuivie comme déterminée, explicite et légitime au sens de l’article 6-2° de la loi Informatique et Libertés.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi Informatique et Libertés, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
La Commission rappelle que les traitements de données de santé à caractère personnel qui seront mis en œuvre postérieurement à la sélection des patients, à des fins d’études/recherches dans le domaine de la santé, sont des traitements distincts qui doivent faire l’objet de formalités propres au titre du chapitre IX de la loi du 6 janvier 1978 modifiée (loi « Informatique et Libertés »).
Sur la nature des données traitées :
La base de données constituée dans le cadre du projet CLIPP-GSO ne contient pas les noms et prénoms des patients. Ces derniers sont identifiés par un numéro (composé de 12 chiffres aléatoires et 3 lettres correspondant au CLIPP référent du patient) qui permet de remonter à leur identité grâce à une table de correspondance qui est conservée dans le CLIPP où ils sont suivis.
Afin de vérifier l’éligibilité des patients à des essais de phase précoce, les données suivantes seront traitées :

mois et année de naissance,
description de la pathologie,
traitements suivis,
participations passées ou en cours à des essais de phase précoce.
La Commission rappelle que la date de naissance complète des patients est une donnée particulièrement identifiante qui est habituellement remplacée par les mois et année de naissance en matière de recherche dans le domaine de la santé.
Elle prend acte de ce que, en l’espèce, l’information relative à la naissance dans la base de données constituée dans le cadre du projet CLIPP-GSO est limitée aux mois et année de naissance.
Par ailleurs, le nom du CLIPP où le patient est suivi, ainsi que les noms, prénoms et coordonnées professionnelles de l’oncologue en charge du patient et de l’investigateur référent du CLIPP concerné sont également collectés. Ces informations permettront de proposer aux professionnels de santé d’inclure leurs patients dans un essai clinique.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi Informatique et Libertés.
Sur la durée de conservation des données :
Les données traitées sont conservées en base active jusqu’à la sortie de la personne du dispositif CLIPP-GSO, qui peut intervenir :
à tout moment, par la manifestation par la personne de sa volonté de voir son dossier fermé ;
au terme de la prise en charge du patient par les CLIPP concernés.
A l’issue de cette période, les données seront archivées pendant une durée de 10 ans et pourront être conservées, sous une forme anonymisée, à des fins statistiques.
La Commission estime que de telles durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 6-5° de la loi Informatique et Libertés.
Sur les destinataires des données :
Les catégories de personnes suivantes ont accès aux données :
médecins, investigateurs et attachés de recherche clinique dûment habilités dans chacun des trois CLIPP participant au projet ;
l’équipe de coordination du projet au sein du Cancéropôle GSO.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l'information et les droits des personnes :
Les patients sont informés et consentent au traitement de leurs données préalablement à leur inclusion dans la base de données.
A cet effet, le médecin qui prend en charge le patient lui remet un document d’information et de recueil du consentement dans des conditions conformes aux dispositions de l’article 32 de la loi Informatique et Libertés. En particulier, les droits qui lui sont reconnus par la loi précitée et les modalités d’exercice de ceux-ci sont rappelés.
Le patient a la possibilité de demander la suppression de ses données à tout moment, sans conséquence sur la qualité des soins qui lui sont dispensés, et en est clairement informé sur le support d’information précité.
En outre, le document d’information rappelle que l’inscription dans la base de données n’implique pas d’obligation de participer à un essai clinique.
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur la sécurité des données et la traçabilité des actions :
Les données sont conservées chez un hébergeur agréé par la ministre de la santé pour héberger des données de santé, dans les conditions prévues par l’article L. 1111-8 du code de la santé publique.
La gestion des habilitations d’accès aux données sont définies par les responsables des CLIPP pour les personnels placés sous leur autorité.
Le contrôle des accès repose sur la carte de professionnel de santé ou sur un couple identifiant / mot de passe de 8 caractères, composés de trois types de caractères, parmi les minuscules, majuscules, chiffres ou caractères spéciaux.
La Commission rappelle que l’échange et le partage des données doivent s’opérer dans des conditions conformes aux dispositions des articles L. 1110-4 et L. 1110-4-1 du code de la santé publique.
L’ensemble des accès en création, modification, mise à jour et suppression sont tracés et conservés.
Sous réserve des observations précédentes, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi Informatique et Libertés.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise le Cancéropôle Grand Sud-Ouest à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en œuvre du projet « CLIPP-GSO » d’aide au développement des essais cliniques de phase précoce.
La Présidente
Isabelle FALQUE-PIERROTIN