Décision DR-2026-041 du 3 mars 2026 autorisant la société NOVARTIS PHARMA SAS à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur l'épidémiologie des patients et la prise en charge de la maladie de Sjögren, intitulée "SJÖ-TIME ".
Nature: Autorisation de recherche

(Demande d'autorisation n°9-475)
 
La Commission nationale de l'informatique et des libertés, 
Saisie d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel dans le domaine de la santé ; 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;  
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés) ; 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l'informatique et des libertés ; 
Vu l'avis favorable avec recommandations du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 4 décembre 2025 ;
Considérant que ce traitement, dont la finalité présente un caractère d'intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : 
Sur les points de non-conformité au référentiel concerné : 
Le dossier de demande d'autorisation mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-008, à l'exception de la nature des données traitées (étude menée à partir des données de l'entrepôt de données de santé "FREiA" comportant exclusivement des données du SNDS). 
En dehors de ce point, qui fait l'objet d'un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. 
 
Sur la nature des données traitées : 
  
Seront réutilisées dans le cadre de cette étude, les données à caractère personnel de l'entrepôt de données de santé "FREiA" dont la constitution a été autorisée par la CNIL (délibérations n°2024-087 et n°2026-002).
Les données de l'entrepôt "FREiA" susceptibles d'être traitées portent sur des données issues du SNIIRAM et du PMSI collectées entre le 1er janvier 2015 et le 31 décembre 2024.
   
Sur l'information et les droits des personnes : 
 
Afin de se conformer à la méthodologie de référence MR-008, la note d'information devra être mise à jour avant le début de l'étude afin de comporter l'ensemble des mentions prévues par le RGPD. Elle devra être publiée pendant toute la durée du traitement.  
Sur les accédants et les destinataires des données : 
Dans le cadre de cette étude, seul le bureau d'études HEVA, agissant en sa qualité de sous-traitant, aura accès aux données individuelles de l'entrepôt "FREiA".
 
Sur la durée de conservation des données : 
Les données du projet seront traitées en base active pendant deux ans à compter du début du traitement. A l'issue du projet, les données seront archivées pendant un mois après la mise à disposition par la société HEVA du rapport de l'étude au porteur de projet.
 
AUTORISE la société NOVARTIS PHARMA SAS à mettre en œuvre le traitement décrit ci-dessus. 
 
La Cheffe du service de la santé 
Hélène GUIMIOT