La Commission nationale de l'informatique et des libertés,
Saisie par le Centre hospitalier universitaire de Nîmes et la société AI-STROKE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur le développement clinique d’un outil d’aide à l’auto-diagnostic et l’hétéro-diagnostic optimisé d’un accident vasculaire cérébral par l’intelligence artificielle, intitulée "PREDISTROKE";
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants (loi "informatique et libertés") ;
Vu les avis favorables du Comité de protection des personnes Nord-Ouest IV du 15 septembre 2022 et du 17 février 2023 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Sur les responsables de traitement
Le Centre hospitalier universitaire de Nîmes (CHU de Nîmes) et la société AI-STROKE déterminent conjointement les finalités et les moyens du traitement. Ils doivent définir de manière transparente leurs obligations respectives, conformément à l'article 26 du RGPD.
Sur les sous-traitants
Plusieurs sous-traitants interviendront dans la mise en œuvre de cette étude.
Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique, conformément à l’article 28 du RGPD.
Sur la finalité du traitement et son caractère d’intérêt public
Le traitement envisagé a pour finalité la mise en œuvre d’une étude portant sur le développement clinique d’un outil d’aide à l’auto-diagnostic et l’hétéro-diagnostic optimisé d’un accident vasculaire cérébral par l’intelligence artificielle intitulée "PREDISTROKE".
Des données, comprenant des enregistrements vidéo, seront collectées en conditions de vie réelles de patients pris en charge pour une suspicion d’accident vasculaire cérébral (AVC) ou d’accident ischémique transitoire (AIT) afin :
de permettre l’apprentissage d’un outil d’intelligence artificielle (IA) pour la détection de signes cliniques de ces pathologies ;
d’évaluer la faisabilité de la réalisation d’un autotest filmé par un patient en phase aiguë d’AVC ;
d’évaluer l’acceptabilité de l’autotest auprès des patients hospitalisés pour un AVC en phase aiguë et à trois mois ;
de décrire la population de l’étude et l’évaluation de l’évolution des scores diagnostiques et de gravité des AVC.
Cette étude portera sur des personnes majeures prises en charge par les services du CHU de Nîmes, aux urgences ou dans le cadre d’une hospitalisation, pour une suspicion d’AVC ou d’AIT.
La finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5.1.b du RGPD, et ce traitement présente une finalité d’intérêt public, conformément à l’article 66. I de la loi "informatique et libertés".
Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé
Ce traitement, réalisé à des fins de recherche scientifique, est nécessaire à l’exécution d’une mission d’intérêt public dont est investi le CHU de Nîmes et aux fins des intérêts légitimes poursuivis par la société AI-STROKE.
Ce traitement est, à ce titre, licite au regard des articles 6.1.e et 6.1.f du RGPD. En outre, ce traitement, nécessaire à des fins de recherche scientifique, remplit également la condition prévue à l’article 9.2.j du RGPD permettant de traiter des données concernant la santé.
Ce projet de recherche est soumis aux dispositions des articles 44.3°, 66.III et 72 et suivants de la loi "informatique et libertés", dont il résulte qu’en l’absence de conformité à une méthodologie de référence, les traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ne peuvent être mis en œuvre qu’après autorisation de la Commission.
Sur le point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données.
En dehors de cette exception, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-001.
Sur les catégories particulières de données traitées
Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Ce traitement est notamment nécessaire afin de constituer la collection de données nécessaires à l’apprentissage de l’outil d’IA. Les participants en sont informés et consentent à la captation et à l’utilisation de leurs images et de leur voix.
Tant que les personnes concernées ne seront pas en état de donner leur consentement, les enregistrements (dont la réalisation ne peut être différée) ne seront accessibles qu’à l’équipe de soins. Dans l’hypothèse où le consentement ne pourrait recueilli par la suite, les enregistrements seront détruits.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte.
Sur l’information et les droits des personnes
S’agissant des participants en état d’exprimer leur consentement :
Les participants en état d’exprimer leur consentement recevront une note d’information individuelle qui devra comporter l’ensemble des mentions prévues par le RGPD. Elle leur sera transmise à l’occasion de la visite d’inclusion.
S’agissant des autres participants

Ils recevront une note d’information individuelle adaptée à leur capacité de compréhension.
Une information sera délivrée avant l’inclusion dans la recherche à la personne de confiance au sens de l’article L. 1111-6 du CSP ou, à défaut, à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits.
Ces modalités d’information sont satisfaisantes au regard des dispositions du RGPD et de la loi "informatique et libertés".
S’agissant des modalités d’exercice des droits :
Tous les participants pourront exercer leurs droits, par voie postale ou électronique, auprès du délégué à la protection des données du CHU de Nîmes ou de celui de la société AI-STROKE pendant toute la durée de la recherche.
Ces modalités d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi "informatique et libertés".
Sur les accédants et les destinataires
Les personnels habilités du CHU de Nîmes et de la société AI-STROKE ont accès aux enregistrements vidéo des personnes se prêtant à l’étude dans les conditions mentionnées ci-dessus.
Seul le personnel désigné et habilité du CHU de Nîmes a accès aux autres données collectées dans le cadre de cette étude.
En tout état de cause, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Sur les mesures de sécurité
Les données cliniques collectées seront référencées par un numéro de pseudonymisation identifiant le patient. Ce pseudonyme est généré spécifiquement pour l’étude PREDISTROKE (numéro d'inclusion).
Un autre pseudonyme sera également généré automatiquement par l’outil de capture vidéo (tablette et application fournies par AI-STROKE) et attribué à chaque patient lors de l’acquisition de la vidéo. Un numéro dédié non signifiant devra être généré aléatoirement. Lors de la transmission des vidéos à la société AI-STROKE, celle-ci n’aura accès qu’à ce deuxième pseudonyme. La table de correspondance entre l’identité du patient et ses pseudonymes est conservée de manière sécurisée sous format papier au sein du CHU de Nîmes.
S’agissant de l’échange des données collectées (vidéos comprises) entre le CHU de Nîmes et AI-STROKE, le mécanisme prévu dans le cadre de cette étude consiste à permettre l’accès à AI-STROKE au dossier informatique hébergé par le CHU de Nîmes et créé spécifiquement pour l’étude. Les employés habilités de la société AI-STROKE recevront un lien de téléchargement sécurisé (https) afin de récupérer les données. Cette transmission devra faire l’objet de mesures de sécurité adéquates, en particulier :
configurer les autorisations de partage appropriées pour le dossier afin de restreindre l’accès aux seules personnes habilitées au sein d’AI-STROKE ;
authentifier les utilisateurs et imposer l’utilisation d’un mot de passe robuste, conformément à la délibération de la CNIL n°2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe ;
limiter la durée de validité du lien de téléchargement ;
éviter l’utilisation d’URL prédictibles.
Les autres mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5.1.f et 32 du RGPD. À cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le CHU de Nîmes et la société AI-STROKE demeurent pleinement responsables du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables leur imposent d’être en mesure de justifier de sa conformité à tout moment.
Sur les transferts de données en dehors de l’Union européenne
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne (UE) vers un pays ne présentant pas un niveau de protection adéquat.
Le recours à un sous-traitant étatsunien par la société AI-STROKE permet le stockage de données uniquement à des fins de sauvegarde, ne nécessitant pas un accès par le sous-traitant aux données en clair, sur des serveurs du sous-traitant localisés au sein de l’UE. Ces données sont chiffrées avant leur stockage sur les serveurs du sous-traitant, sans lui transmettre la clé de déchiffrement, conformément aux conditions identifiées dans le cas d’usage n°1 dans les recommandations 01/2020 du Comité européen de la protection des données (CEPD) sur les mesures qui complètent les instruments de transfert destinés à garantir le respect du niveau de protection des données à caractère personnel de l’UE.
Sur les durées de conservation
Les enregistrements vidéo seront conservés pendant vingt mois maximum pour les besoins de l’étude, puis détruits.
Les autres données sont conservées pendant trois ans en base active, puis quinze ans en archivage.
Ces durées de conservation des données n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5.1.e du RGPD.
Sur la réutilisation des données de l’étude
Les enregistrements vidéo, ainsi que certaines données de santé pseudonymisées (âge, sexe, type d’AVC, décision thérapeutique) collectés dans le cadre de la présente étude seront transmises à la société AI-STROKE préalablement au terme de la recherche. Ces enregistrements seront réutilisés par la société AI-STROKE à des fins de développement de l’application AI-Stroke Paramedics "neurologue numérique" (demande d’autorisation n°922294v1).
Toute autre étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL.
Autorise, conformément à la présente délibération, le Centre hospitalier universitaire de Nîmes et la société AI-STROKE à mettre en œuvre le traitement susmentionné.
La Présidente
Marie-Laure DENIS