Responsable du traitement

La société Resilience.

Modifications du traitement de données

Les modifications portent sur :

• les finalités du traitement ;
• les catégories de personnes concernées ;
• les sources des données collectées ;
• la gouvernance de l’entrepôt ;
• les catégories de données traitées ;
• les modalités d’information.

Les autres conditions de mise en œuvre du traitement restent inchangées.

Points de non-conformité au référentiel concerné

Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception :

• de certaines finalités poursuivies ;
• de la base légale du traitement ;
• de la gouvernance de l’entrepôt ;
• des sources des données collectées ;
• des catégories de données concernées ;
• des durées de conservation ;
• des modalités d’information de certaines catégories de personnes concernées.

En dehors de ces exceptions, le traitement devra respecter le cadre prévu par le référentiel "entrepôt de données dans le domaine de la santé".

La finalité du traitement

Les modifications envisagées ont vocation à étendre les finalités poursuivies par « Resilience Data Warehouse ». Outre les finalités mentionnées dans la délibération n° 2022-049, le traitement permettra à Resilience de :

• développer et améliorer en continu un outil numérique d’informations et de bien-être des patients (par exemple proposer des programmes d’activités personnalisés par patient) ;
• réaliser des analyses sur le pilotage médical pour le déploiement de solutions dans les routines de soins ;
• réaliser des études sur les technologies de télésurveillance, leur déploiement, leur adoption et leur place dans le paysage des technologies de santé.

La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1- b) du RGPD.

Resilience s’engage à :

• ne pas traiter les données de l’entrepôt à des fins de promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé, ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d’un individu ou d’un groupe d’individus présentant un même risque ;
• communiquer un rapport annuel à la CNIL sur le fonctionnement de ce traitement et sur les recherches, études ou évaluations en cours ou finalisées.

Il y a lieu de faire application des dispositions des articles 44-3° et 66-III de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après, loi « informatique et libertés »), qui soumettent à des formalités préalables les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.

Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi « informatique et libertés » modifiée, qui imposent que chaque traitement soit justifié par l’intérêt public et fasse l’objet de formalités propres.

La base légale du traitement

Le traitement est nécessaire aux fins des intérêts légitimes poursuivis par Resilience. Ce traitement est, à ce titre, licite au sens de l’article 6-1-f) du RGPD. Le traitement de données sensibles est nécessaire aux fins de recherche scientifique (art. 9-2-j) du RGPD) et de garantie des normes élevées de qualité et de sécurité des dispositifs médicaux, sous réserve qu’il soit fondé sur une disposition nationale ou européenne (art. 9-2-i) du RGPD).

Sur les données traitées

« Resilience Data Warehouse » regroupera les données collectées dans le cadre de l’application « Resilience Care » et l’outil de télésurveillance « Solution Resilience PRO » (anciennement Oncolaxy), sous réserve de l’autorisation écrite et spécifique des établissements et professionnels de santé agissant en qualité de responsable de traitement de l’outil de télésurveillance.

S’agissant des données relatives aux patients :

Outre les catégories de données mentionnées dans la délibération n° 2022-049, les données suivantes seront traitées :

• données de santé : données relatives à la prise en charge, données relatives aux traitements, données concernant la pathologie ;
• données issues des questionnaires de télésurveillance ;
• données liées à la qualité de vie et les habitudes de vie ;
• données liées à l’histoire de la pathologie ;
• données d’utilisation de l’application mobile et de la « Solution Resilience PRO ».

S’agissant des données relatives aux professionnels de santé :

• données relatives à la vie professionnelle (dont la spécialité, l’établissement d’exercice et le service) ;
• données d’utilisation de la « Solution Resilience PRO ».

L’ensemble de ces données seront pseudonymisées avant leur intégration dans « Resilience Data Warehouse » et le NIR ne sera pas collecté.

Ces données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du RGPD.

Sur la gouvernance

Un dispositif de gouvernance de « Resilience Data Warehouse » sera mis en place afin de maîtriser l’exploitation qui sera faite des données, dans le respect des finalités déclarées et de l’intérêt public.

Ce dispositif est composé :

• d’un comité data (ou comité de pilotage) se réunissant tous les trois mois. Il déterminera les orientations stratégiques et scientifiques de l’entrepôt, définira les utilisations possibles des données conservées dans celui-ci et tiendra à jour une liste exhaustive des données qui y sont contenues en justifiant de leur nécessité ;
• d’un comité patient, composé de patients non-salariés de Resilience, se réunissant une fois par an. Il s’assure que les projets de Resilience permettent d’améliorer les soins des personnes ;
• d’un comité scientifique et éthique, composé de professionnels de santé spécialisés en cancérologie et en innovation non-salariés de Resilience. Il rendra, de manière systématique, un avis préalable et motivé sur les projets de recherche, étude ou évaluation nécessitant la réutilisation des données de l’entrepôt.

L’information et l’exercice des droits

Il est rappelé que, lorsque le responsable de traitement souhaite adopter une approche à plusieurs niveaux pour informer les personnes, la première modalité d’information devrait contenir, conformément aux lignes directrices sur la transparence au sens du RGPD du 29 novembre 2017 du groupe de travail "de l’Article 29" (G29), les informations relatives à la finalité du traitement, l’identité du responsable de traitement, une description des droits des personnes concernées, ainsi que toute information sur le traitement qui aurait une forte incidence sur la personne concernée. En l’espèce, l’ensemble des supports d’information devront indiquer que l’exercice des droits par les personnes, notamment leur droit d’opposition, n’aura pas de conséquence sur leur prise en charge médicale.

Par ailleurs, la note d’information publiée sur le site web de Resilience devra comporter l’ensemble des mentions prévues par l’article 14 du RGPD.

S’agissant de l’information des personnes déjà incluses dans l’entrepôt :

Ces personnes recevront un premier niveau d’information renvoyant au site web dédié aux modifications apportées à « Resilience Data Warehouse » lors de leur prochaine connexion à l’application « Resilience Care » et l’outil de télésurveillance « Solution Resilience PRO ».

S’agissant de l’information des nouveaux utilisateurs de l’application mobile et des nouveaux patients utilisant la « Solution Resilience PRO » :

Ces personnes recevront, après la consultation de trois articles pour les utilisateurs de l’application « Resilience Care » ou la transmission du troisième questionnaire de télésuivi pour les utilisations de la « Solution Resilience PRO », un premier niveau d’information renvoyant au site web dédié à « Resilience Data Warehouse ».

S’agissant de l’information des professionnels de santé utilisant la « Solution Resilience PRO » :

Ces personnes recevront une information individuelle après la création de leur compte sur la « Solution Resilience PRO » ou lors de leur prochaine connexion. Cette note d’information devra comporter l’ensemble des mentions prévues par le RGPD.

S’agissant de l’exercice des droits :

Les personnes concernées pourront exercer leurs droits directement auprès de Resilience par voie postale ou électronique.

Les accédants et les destinataires

Seuls les personnels habilités de Resilience pourront accéder aux données, dans la limite de leurs attributions respectives et de leurs besoins d’en connaître.

Sécurité des données et la traçabilité des actions

Les mesures de sécurité mises en place par le responsable de traitement visent à garantir la conformité de « Resilience Data Warehouse » aux exigences de sécurité mentionnées dans le référentiel "entrepôt de données dans le domaine de la santé". Aucune non-conformité à ce référentiel concernant les exigences de sécurité n’a été relevé par le responsable de traitement.

L’ensemble du plan d’action défini précédemment et mentionné dans la délibération n° 2022-049 a été mis en œuvre avec les précisions suivantes :

• l’anonymisation des exportations de données a été mise en place via des agrégations d’au moins 100 patients ;
• un audit trimestriel des traces, journaux techniques et volumes de données de l’entrepôt a été mis en place, qui évoluera à terme vers une surveillance continue.

Il est rappelé que la pseudonymisation des champs en texte brut doit être associée à un audit manuel de ces champs, par échantillonnage, afin de s’assurer de la qualité des algorithmes et modèles utilisés pour ce processus.

Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, répondront alors aux exigences prévues par les articles 5-1-f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.