Délibération n°2022-049 du 21 avril 2022 autorisant RESILIENCE SAS à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité un entrepôt de données dans le domaine de la santé, dénommé « Resilience Data Warehouse » (Demande d’autorisation n° 2224863)

Nature: Autre autorisation

La Commission nationale de l'informatique et des libertés,
Saisie par RESILIENCE SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un entrepôt de données dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 44-3° et 66-III ;
Vu la délibération n° 2021-118 du 7 octobre 2021 portant adoption d’un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de création d’entrepôts de données dans le domaine de la santé ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société RESILIENCE, société par actions simplifiées (RESILIENCE)
Sur les points de non-conformité au référentiel concerné
La Commission prend acte de ce que le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé , à l’exception :
des finalités poursuivies ;
de la base légale du traitement ;
de la gouvernance de l’entrepôt ;
des sources des données collectées ;
des mesures de sécurité.
En dehors de ces exceptions, ce traitement devra en conséquence respecter le cadre prévu par le référentiel entrepôt de données dans le domaine de la santé .
Sur la finalité et la base légale du traitement
Le traitement envisagé a pour finalité de constituer un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé Resilience Data Warehouse .
Ce dernier vise à :
réaliser des analyses sur le pilotage médical pour l’optimisation de l’organisation des soins ;
développer, faire fonctionner et améliorer en continu un dispositif médical d’aide à la décision et à la prise en charge médicale ;
réaliser des études de faisabilité (pré-screening) ;
réaliser des recherches, études ou évaluations n’impliquant pas la personne humaine en oncologie ;
réaliser l’évaluation clinique du dispositif médical d’aide à la décision et à la prise en charge médicale conformément au règlement (UE) n° 2017-745 du 5 avril 2017 relatif aux dispositifs médicaux.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b du RGPD.
La Commission prend acte de ce que RESILIENCE SAS s’engage à :
ne pas traiter les données de l’entrepôt à des fins de promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé, ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d'un individu ou d'un groupe d'individus présentant un même risque ;
communiquer un rapport annuel à la Commission sur le fonctionnement de ce traitement et sur les recherches, études ou évaluations en cours ou finalisées.
La Commission estime qu’il y a lieu de faire application des dispositions de l’article 44-3° et 66-III de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après, loi informatique et libertés modifiée), qui soumettent à son autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Enfin, la Commission rappelle que les utilisations futures des données contenues dans cet entrepôt s’inscrivant dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés modifiée, qui imposent que chaque traitement soit justifié par l’intérêt public et fasse l’objet de formalités propres.
Sur la base légale du traitement
Le traitement envisagé a pour base légale l’intérêt légitime, au sens de l’article 6-1-f du RGPD.
Le traitement de données sensibles est nécessaire aux fins de recherche scientifique (art. 9.2.j du RGPD) et de garantie des normes élevées de qualité et de sécurité des dispositifs médicaux, sous réserve qu’il soit fondé sur une disposition nationale ou européenne (art. 9-2-i du RGPD).
Sur la gouvernance
La Commission relève que le responsable de traitement a mis en place un dispositif de gouvernance de l’entrepôt Resilience Data Warehouse afin de maîtriser l’exploitation qui en sera faite dans le respect des finalités déclarées et de l’intérêt public. Ce dispositif est composé des trois comités suivants :
le comité data (ou comité de pilotage), chargé de définir les utilisations possibles des données collectées dans l'entrepôt ;
le comité patient, chargé avec le comité scientifique et éthique de valider la feuille de route de Resilience sur le choix des fonctionnalités produit , les aires thérapeutiques à couvrir et la validité médicale des résultats issus des futurs algorithmes ;
le comité scientifique et éthique, chargé avec le comité patient de valider la feuille de route de Resilience sur le choix des fonctionnalités produit , les aires thérapeutiques à couvrir et la validité médicale des résultats issus des futurs algorithmes. Le comité scientifique et éthique est en outre préalablement consulté sur la pertinence de chaque recherche menée dans le cadre de l'entrepôt de données de santé.
Sur les données traitées
L’entrepôt regroupera les données produites à travers l’usage de l’application Resilience Care et de l’outil de télésurveillance Oncolaxy.
Les données relatives aux patients :
données d’identification : âge et genre ;
données de santé : type de cancer, date des premier et dernier diagnostics, symptômes, données sur les traitements des dernières années et en cours, effets secondaires, stade du traitement, statut d’activité (arrêt maladie, mi-temps thérapeutique, en activité), statut ménopausiques ;
données relatives à la vie personnelle : poids, taille, vie sexuelle.
Ces données seront pseudonymisées avant leur intégration dans l’entrepôt et le NIR ne sera pas collecté.
Les données relatives aux professionnels de santé ne seront pas collectées.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur les destinataires
Seuls les membres du personnel de RESILIENCE auront accès aux données de l’entrepôt.
Sur les mesures de sécurité
La Commission prend acte de ce que les mesures de sécurité planifiées ou mises en place par le responsable de traitement visent à garantir la conformité de Resilience Data Warehouse aux exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . Elle relève que les mesures planifiées font l’objet d’un plan d’action concernant notamment :
la finalisation de la génération des identifiants patient ;
l’implémentation des mécanismes d’anonymisation des exportations via des procédés de confidentialité différentielle et une agrégation d’au moins 100 patients ;
la mise en place d’une analyse proactive des traces techniques.
La Commission rappelle que le traitement ne pourra pas être mis en œuvre avant la finalisation du plan d’action.
Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, répondront alors aux exigences prévues par les articles 5,1, f) et 32 du règlement général sur la protection des données compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Sur les transferts de données
La mise en œuvre de cet entrepôt n’entraîne pas le transfert de données à caractère personnel hors de l’Union européenne.
Sur la durée de conservation
Les données à caractère personnel seront conservées pendant 15 ans à compter de leur collecte dans le Resilience Data Warehouse .
Les traces et journaux techniques seront conservés pendant sept jours.
Une procédure d’alerte automatisée en cas de dépassement de la durée de conservation sera mise en place.
A l’issue de ce délai les données sont supprimées.
La Commission considère que ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Autorise, conformément à la présente délibération, la société RESILIENCE SAS à mettre en œuvre, dans ces conditions et conformément à son plan d'action, un traitement de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé dénommé Resilience Data Warehouse pour une durée de quinze ans.
La Présidente
Marie-Laure DENIS