Source: https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000037187571&dateTexte=&oldAction=rechJO&categorieLien=id&idJO=JORFCONT000037186583
Timestamp: 2018-11-19 06:18:15+00:00

Document:
Délibération n° 2018-257 du 7 juin 2018 portant homologation d'une méthodologie de référence relative aux traitements de données nécessitant l'accès pour le compte des personnes produisant ou commercialisant des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique aux données du PMSI centralisées et mises à disposition par l'ATIH par l'intermédiaire d'une solution sécurisée (MR 006) | Legifrance
Vous êtes dans : Accueil> Rechercher un numéro du JO depuis 1990> Délibération n° 2018-257 du 7 juin 2018 portant homologation d'une méthodologie de référence relative aux traitements de données nécessitant l'accès pour le compte des personnes produisant ou commercialisant des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique aux données du PMSI centralisées et mises à disposition par l'ATIH par l'intermédiaire d'une solution sécurisée (MR 006)
NOR: CNIL1818711X
Vu l'arrêté du 17 juillet 2017 relatif au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études ;
Le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après le RGPD), et notamment son article 5, point 2, prévoit que le responsable de traitement doit être en mesure de démontrer que les principes du règlement sont respectés.
L'article 9, paragraphe 4, du RGPD précise que les Etats membres peuvent maintenir ou introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques ou des données concernant la santé.
Ainsi, en application de la loi du 6 janvier 1978 modifiée (ci-après « loi informatique et libertés »), les traitements de données à caractère personnel à des fins de recherche, étude ou évaluation dans le domaine de la santé sont autorisés par la Commission nationale de l'informatique et des libertés (ci-après « la Commission »).
La Commission peut homologuer et publier des méthodologies de référence, au titre des référentiels mentionnés au II de l'article 54 de la loi informatique et libertés, établies en concertation avec l'Institut national des données de santé (ci-après l'« INDS »), ainsi qu'avec les organismes publics et privés représentatifs des acteurs concernés.
Parmi les traitements les plus usuels figurent les traitements réalisés par les personnes produisant ou commercialisant des produits mentionnés au II de l'article L. 5311-1 (ci-après « produits de santé ») du code de la santé publique (ci-après « CSP ») à partir des données centralisées par l'Agence technique de l'information sur l'hospitalisation (ci-après « ATIH »), c'est-à-dire les données du programme de médicalisation des systèmes d'information (ci-après « PMSI »).
Le PMSI consiste en un recueil synthétique et standardisé d'informations administratives et médicales au sein des établissements de santé, publics ou privés, à but lucratif ou à but non lucratif, dont les objectifs principaux sont d'organiser les soins hospitaliers sur le territoire français (planification) et de financer les établissements en fonction de leur activité (tarification à l'activité).
Régi par les articles L. 6113-7 et L. 6113-8 du CSP, le PMSI a été généralisé dans les années 1990 et est désormais appliqué quel que soit le secteur d'hospitalisation mais avec des modes de recueil différents selon les catégories de prise en charge. Il comporte des données concernant les activités suivantes :
Ces traitements permettent notamment de préparer les dossiers de discussions avec les autorités et les comités compétents principalement dans le domaine des médicaments et des dispositifs médicaux (mise sur le marché, discussions tarifaires, marquage CE, etc.) et la réalisation d'études en conditions réelles d'utilisation.
Au regard de ces besoins, la Commission a estimé que le cadre d'une méthodologie de référence était approprié pour faciliter et encadrer les nombreux traitements de données réalisés par les personnes produisant ou commercialisant des produits mentionnés au II de l'article L. 5311-1 du CSP à partir des données du PMSI.
- responsable de traitement : la personne physique ou morale qui, seule ou conjointement avec d'autres, est responsable d'une recherche, étude ou évaluation n'impliquant pas la personne humaine, en assure la gestion, vérifie que son financement est prévu et qui détermine les finalités et les moyens des traitements nécessaires à celle-ci. Il s'agit des personnes produisant ou commercialisant des produits mentionnés au II de l'article L. 5311-1 du CSP ;
- laboratoire de recherche/bureau d'études : responsable de la mise en œuvre du traitement de données et chargé de leur analyse, ayant réalisé un engagement de conformité auprès de la Commission à l'arrêté du 17 juillet 2017 relatif au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études. Il s'agit d'un sous-traitant au sens du RGPD qui, dans le cadre de la présente méthodologie de référence, est seul à pouvoir accéder aux données du PMSI ;
- personnes chargées de la réalisation de l'étude : la ou les personnes physiques qui travaillent sur les données individuelles du PMSI ;
- étude : recherche n'impliquant pas la personne humaine, étude ou évaluation dans le domaine de la santé ; une étude peut nécessiter la réalisation de plusieurs requêtes dans la base de données mise à disposition par l'ATIH par l'intermédiaire d'une solution sécurisée ;
- protocole : document indiquant notamment la méthodologie de l'étude, l'objectif du traitement des données à caractère personnel, les catégories de personnes concernées par le traitement, l'origine, la nature et la liste des données à caractère personnel utilisées et la liste des justifications de recours à celles-ci, la durée et les modalités d'organisation de l'étude, la méthode d'analyse des données, ainsi que, lorsque les caractéristiques de l'étude l'exigent, la justification du nombre de personnes et la méthode d'observation retenue.
Seuls peuvent réaliser un engagement de conformité à la présente méthodologie de référence les personnes produisant ou commercialisant des produits mentionnés au II de l'article L. 5311-1 du CSP.
- les traitements de données ne peuvent être réalisés que par l'intermédiaire d'un laboratoire de recherche ou d'un bureau d'études, public ou privé, ayant réalisé un engagement de conformité auprès de la Commission à l'arrêté du 17 juillet 2017 relatif au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études ; le responsable de traitement signe une convention d'accès aux données avec l'ATIH et lui transmet la liste, actualisable, des laboratoires de recherche ou bureaux d'études auxquels il a recours ; les données sont mises à disposition du laboratoire de recherche ou du bureau d'études par l'ATIH par l'intermédiaire d'une solution sécurisée ; aucun export de données à caractère personnel n'est possible en dehors de la solution sécurisée utilisée. Seuls des résultats anonymes peuvent être exportés ;
- le responsable de traitement désigne un délégué à la protection des données et tient un registre des activités de traitement. Un protocole doit être validé par le responsable de traitement avant le début de la mise en œuvre du traitement des données ;
- le responsable de traitement s'engage à ne pas poursuivre l'une des finalités interdites, en particulier la promotion des produits mentionnés au II de l'article L. 5311-1 du CSP en direction des professionnels de santé ou des établissements de santé ; le responsable de traitement réalise un audit externe indépendant sur le respect des finalités dans un délai de trois ans à compter de l'engagement de conformité à la présente méthodologie de référence puis tous les trois ans après le premier audit réalisé ;
- le responsable de traitement enregistre tous les traitements réalisés dans le cadre de la méthodologie de référence auprès d'un répertoire public tenu par l'INDS ; la méthode et les résultats obtenus sont publiés par l'INDS à la fin du traitement, selon les modalités prévues au paragraphe 6.2 « Principe de transparence ».
- nécessitant un export des données à caractère personnel en dehors de la solution sécurisée utilisée ;
L'accès aux données à caractère personnel du système national des données de santé (ci-après « SNDS ») et de ses composantes, dont font partie les données issues des systèmes d'information mentionnés à l'article L. 6113-7 du CSP, peut être autorisé pour permettre des traitements à des fins d'étude répondant à un motif d'intérêt public.
Au-delà de l'interdiction de réidentification des patients, deux finalités interdites sont rappelées :
Les traitements de données à caractère personnel des personnes concernées ne doivent pas avoir pour objectif principal ou secondaire, ou pour effet de permettre la réalisation d'une ou des finalités interdites, décrites à l'article L. 1461-1 V du CSP.
Le motif d'intérêt public est justifié par le responsable de traitement dans le protocole et auprès de l'INDS conformément au paragraphe 6.2 « Principe de transparence » de la présente méthodologie de référence.
En tout état de cause, les traitements de données d'études répondant aux finalités suivantes peuvent être réalisés dans le cadre de la méthodologie de référence :
- préparation des dossiers de discussions et réunions avec les autorités et comités compétents (exemple : réunions annuelles du comité de prospective des innovations médicamenteuses (CPIM), comité économique des produits de santé (CEPS), etc.) ;
- réalisation d'études en conditions réelles d'utilisation à destination ou à la demande des autorités ;
- ciblage des centres et/ou réalisation d'études de faisabilité dans le cadre d'une recherche impliquant ou n'impliquant pas la personne humaine ;
- réalisation d'études dans le cadre de la vigilance et de la surveillance après commercialisation.
Les données doivent provenir exclusivement des bases de données constituées par l'ATIH au titre du PMSI.
Les catégories de données à caractère personnel pouvant faire l'objet du traitement sont les données centralisées et mises à disposition par l'Agence technique de l'information sur l'hospitalisation (ATIH), sur l'ensemble des fichiers dans les champs :
Les traitements inclus dans le cadre de la présente méthodologie de référence portent sur les données nationales du PMSI dont la profondeur historique maximale est de neuf ans plus l'année en cours.
Les données de l'ATIH sont mises à disposition du laboratoire de recherche ou bureau d'études par l'intermédiaire d'une solution sécurisée. Aucune exportation de données à caractère personnel ne peut être réalisée en dehors de la solution sécurisée utilisée dans le cadre de la présente méthodologie de référence.
Seul le personnel du laboratoire de recherche et du bureau d'études peut accéder aux données, dans le respect des dispositions prévues par l'article 3 du référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, par le laboratoire de recherche ou bureau d'études conformément aux modalités décrites dans la procédure d'habilitation qu'il a établie.
Conformément aux dispositions de la loi informatique et libertés, la présentation des résultats du traitement de données ne peut en aucun cas permettre l'identification directe ou indirecte des personnes concernées.
L'information des personnes concernées, quant à la réutilisation possible de leurs données et aux modalités d'exercice de leurs droits, est assurée par une mention figurant sur le site internet des responsables de traitement, des laboratoires de recherche et bureaux d'études, des établissements de santé, des organismes d'assurance maladie et sur des supports permettant de la porter à la connaissance des personnes, notamment des affiches dans les locaux ouverts au public ou des documents qui leur sont remis.
Les données à caractère personnel du PMSI ne peuvent faire l'objet d'une conservation en dehors de la solution sécurisée auquel le laboratoire de recherche ou le bureau d'études a recours. Seuls des résultats anonymes peuvent être exportés.
La durée d'accès aux données dans la solution sécurisée doit être limitée à celle nécessaire à la mise en œuvre du traitement. Lorsque le responsable de traitement en justifie, l'accès aux données peut être maintenu à l'issue de l'étude, dans la limite de deux ans à compter de la dernière publication relative aux résultats.
Lorsque la solution sécurisée est détenue par le laboratoire de recherche ou le bureau d'études, la durée d'accès aux données et la durée de conservation dans la solution sécurisée doivent être limitées à la durée nécessaire à la mise en œuvre du traitement. Lorsque le responsable de traitement en justifie, l'accès aux données et leur conservation peuvent être maintenus à l'issue de l'étude, dans la limite de deux ans à compter de la dernière publication relative aux résultats.
Les traitements de données des personnes chargées de la réalisation de l'étude doivent avoir pour seule finalité la mise en œuvre de l'étude et le respect des obligations légales du responsable de traitement ou du bureau d'études/laboratoire de recherche.
En particulier, les données traitées ont pour finalité la gestion des déclarations d'intérêts, leur transmission à l'INDS le cas échéant et la gestion des procédures d'habilitation internes du bureau d'études ou laboratoire de recherche.
L'information des personnes concernées ainsi que les modalités d'exercice de leurs droits sont conformes au principe de transparence prévu au chapitre III du règlement général sur la protection des données.
Les données à caractère personnel des personnes concernées chargées de la réalisation de l'étude ne peuvent être conservées au-delà d'un délai de cinq ans après la fin de l'étude ou selon une durée conforme à la réglementation en vigueur.
La mise en œuvre de traitements de données à caractère personnel intervenant dans le cadre de l'étude s'effectue sous la responsabilité du responsable de traitement, et du laboratoire de recherche ou bureau d'études agissant pour son compte, dans le respect des dispositions des articles 24, 25, 28, 32 à 35 du RGPD, ainsi que de l'arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS et de l'arrêté du 17 juillet 2017 relatif au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études.
Les systèmes mettant à disposition les données du PMSI doivent ainsi être conformes au référentiel de sécurité applicable au SNDS précité ; deux modalités de mise à disposition sont incluses dans le cadre de cette méthodologie de référence :
- les données sont mises à disposition du laboratoire de recherche ou bureau d'études par l'intermédiaire du prestataire d'accès sécurisé désigné par l'ATIH ;
- les données sont exportées vers un laboratoire de recherche ou un bureau d'études disposant d'une solution sécurisée et ayant conclu une convention avec l'ATIH.
La Commission rappelle qu'il appartient au responsable de traitement, conformément au référentiel fixé par l'arrêté du 17 juillet 2017 précité, de s'assurer que le contrat conclu avec le laboratoire de recherche ou bureau d'études précise les mesures et les conditions de sécurité attestant de la conformité à l'arrêté du 22 mars 2017 précité.
Dans le cadre de cette méthodologie de référence, le responsable de traitement n'accède jamais aux données du PMSI et doit recourir, pour tous les traitements, à un laboratoire de recherche ou un bureau d'études indépendant, sous-traitant, s'étant déclaré conforme auprès de la Commission au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études, fixé par arrêté du 17 juillet 2017. Conformément à cet arrêté et à l'article 28 du RGPD, les engagements respectifs du responsable de traitement et du laboratoire de recherche ou bureau d'études sont formalisés dans un contrat dont le contenu est défini par ces textes.
En particulier, le contrat doit prévoir que ce sous-traitant :
- informe immédiatement le responsable de traitement en cas d'instruction qui, selon lui, constitue une violation du RGPD ou de la loi informatique et libertés.
En outre, ce sous-traitant :
Le responsable du traitement s'engage à :
- ne pas avoir de liens d'intérêt avec le laboratoire de recherche ou le bureau d'études et l'objet du traitement de nature à constituer un conflit d'intérêts ;
- ne pas chercher à accéder aux données à caractère personnel mises à disposition du laboratoire de recherche ou du bureau d'études ;
- ne pas utiliser les résultats fournis pour l'une des finalités interdites.
Chaque responsable de traitement désigne un délégué à la protection des données, en application de l'article 37 du RGPD. Ce délégué à la protection des données aura notamment pour mission de contrôler le respect de la conformité des traitements mis en œuvre selon la présente méthodologie.
Les responsables de traitement adressent à la Commission un seul engagement de conformité à la présente méthodologie pour l'ensemble des traitements qu'ils mettent en œuvre dès lors qu'ils sont réalisés en conformité avec l'ensemble des dispositions de la méthodologie. Une demande d'avis auprès du comité d'expertise pour les études dans le domaine de la santé (CEREES) n'est pas requise.
La mise à disposition des données du SNDS et de ses composantes est conçue de façon à rendre compte de leur utilisation à la société civile. A cette fin, l'article L. 1461-3 du CSP subordonne l'accès aux données du SNDS et de ses composantes à la communication à l'INDS de plusieurs éléments par le responsable de traitement, avant et après l'étude.
Ainsi, le responsable du traitement s'engage à enregistrer auprès du répertoire public tenu par l'INDS chaque étude réalisée dans le cadre de cette méthodologie de référence. Cet enregistrement, à effectuer par le responsable de traitement ou la personne agissant pour son compte, avant le début de chaque étude, s'accompagne de la transmission à l'INDS d'un dossier comportant :
- en rapport avec l'objet de l'étude, la déclaration d'intérêts du responsable du traitement et celle du laboratoire de recherche ou du bureau d'études, telle que prévue par l'article 5 de l'arrêté du 17 juillet 2017 précité.
A la fin de l'étude, la méthode et les résultats obtenus devront être communiqués à l'INDS en vue de leur publication dans le respect du secret des affaires et de la propriété intellectuelle.
6.3. Audits externes
Le responsable de traitement s'engage à faire réaliser en son sein tous les trois ans un audit externe indépendant à compter de l'engagement de conformité à la présente méthodologie de référence puis tous les trois ans après le premier audit réalisé, en vue de s'assurer du respect des principes portés par la loi, en particulier le respect des finalités interdites. L'audit porte sur les finalités poursuivies et sur l'utilisation par le responsable de traitement des résultats des études réalisées.
Le rapport d'audit est transmis au président du comité d'audit du SNDS prévu par la loi informatique et libertés.

References: L'article 9
 l'article 54
 l'article 3
 l'article 28
 l'article 37
 l'article 5