Sur le point de non-conformité au référentiel concerné

Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé à l’exception des mesures de sécurité.

Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé

Le traitement envisagé a pour finalité la constitution d’un entrepôt de données de santé à caractère personnel comprenant notamment des données de santé, dénommé BOOST DATAS .

Cet entrepôt vise à optimiser la recherche médicale sur l’ostéosarcome grâce à la découverte de nouvelles stratégies thérapeutiques.

Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés modifiée, qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres.

Sur les mesures de sécurité

Les mesures de sécurité prévues par le responsable de traitement visent à garantir la conformité de l’entrepôt BOOST DATAS aux exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . Les points de non-conformité vis-à-vis de ce référentiel relevés par le responsable de traitement sont les suivants :

• l’inclusion du sexe, du genre, du mois de naissance, de l’années de naissance dans la base de données principale de l’entrepôt ;
• le chiffrement au repos des données de génétique somatique ;
• les exportations de données hors de l’entrepôt et hors des espaces de travail, dont les modalités sont décrites ci-après.

Les non-confomités relatives à l’inclusion des données dans la base principale de l’entrepôt ont été justifiées par le responsable de traitement comme étant nécessaires pour permettre la réalisation de recherches ultérieures au sein des espaces de travail de l’entrepôt.

Aucune donnée de génétique constitutionnelle ne sera collectée au sein de BOOST DATAS .

Les données de génétique somatique seront chiffrées au repos et accessibles via des profils d’accès spécifique conformément à l’exigence SEC-LOG-5 du référentiel entrepôt de données dans le domaine de la santé .

Ces données ne seront pas chiffrées au repos avec une clé différente des autres données de santé en raison des spécificités techniques des outils de recherche et des autres données de santé collectées dans l’entrepôt.

Certaines mesures de sécurité techniques et organisationnelles prévues afin d’améliorer la conformité au référentiel entrepôt de données dans le domaine de la santé sont en cours d’implémentation, notamment :

• la génération des identifiants patient avec des fonctions de hachage cryptographique à l’état de l’art ;
• l’authentification multifacteur des utilisateurs et administrateurs ;
• le chiffrement en transit des données.

L’hébergement des données sera réalisé par un hébergeur certifié pour l’hébergement des données de santé et soumis exclusivement aux lois et juridictions de l’Union européenne.

La mise en œuvre de l’intégralité des mesures de sécurité devra intervenir dans les meilleurs délais. Ces mesures, qui devront être opérationnelles lors de la mise en œuvre du traitement, répondront alors aux exigences prévues par les articles 5-1-f) et 32 du RGPD compte tenu des risques identifiées par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.

L’exigence SEC-EXP-1 du référentiel entrepôts de données de santé prévoit que seuls des jeux de données anonymes peuvent faire l’objet d’une exportation hors de l’entrepôt ou d’un espace de travail, à l’exception des données relatives aux procédures de ré-identification SEC-REI-1 à SEC-REI-3.

Dans l’hypothèse où l’exportation de données hors de l’entrepôt ou d’un espace de travail de l’entrepôt serait envisagé dans le cadre d’un projet de recherche, d’étude ou d’évaluation dans le domaine de la santé, la nécessité de cette exportation de données pseudonymisées devra être étudiée par le comité de pilotage de l’entrepôt, qui devra donner son accord exprès et spécifique à cette fin.

Le comité scientifique et éthique s’assure ensuite pour chaque projet de recherche que celui-ci ne pourra pas être réalisé sur une espace projet de l’entrepôt et que les principes de minimisation et de proportionnalité seront respectés quant aux données qui font l’objet de l’exportation.

Il appartient également au responsable de traitement d’encadrer contractuellement toute mise à disposition de données afin de s’assurer que l’exportation :

• est entreprise vers un environnement dont les mesures de sécurité sont adaptées au niveau de risque, conformément aux article 5.1.f) et 32 du RGPD ;
• permettra uniquement la réutilisation des données aux fins approuvées par le comité scientifique et éthique et pour le traitement ayant fait l’objet de formalités requises auprès de la CNIL.