Sur les sous-traitants

Plusieurs sous-traitants interviendront dans la mise en œuvre de cet entrepôt. Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique, conformément à l’article 28 du RGPD.

Sur les points de non-conformité au référentiel concerné

Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé , à l’exception de la base légale du traitement et de la nature des données traitées.

Sur la base légale du traitement

Le traitement mis en œuvre par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi informatique et libertés modifiée.

Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés , qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres.

Sur la finalité du traitement

Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé en vue de la réutilisation des données à des fins de recherches, d’étude ou d’évaluation dans le domaine de la santé (infection au virus de l’immunodéficience humaine (VIH) et autres infections sexuellement transmissibles).

Les données contenues dans cet entrepôt ne pourront, par analogie avec les finalités interdites d’utilisation du Système national des données de santé (SNDS), être exploitées ni à des fins de promotion des produits mentionnés au II de l’article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d’exclusion de garanties des contrats d’assurance, ni de modification de cotisations ou de primes d’assurance d’un individu ou d’un groupe d’individus présentant un même risque.

Sur les données traitées

Les données à caractère personnel des patients issues du dossier médical informatisé Nadis et versées dans l’entrepôt sont :

• données d’identification et démographiques des patients : Numéro de pseudonymisation (numéro de centre hospitalier et numéro d’inclusion), mois, année et pays de naissance, sexe, année d’arrivée en France et nationalité ;
• données de santé des patients : Pathologies, antécédents médicaux et familiaux, traitements, données relatives au soin, données de suivi des infections VIH et autres infections sexuellement transmissibles, poids, taille, résultats d’examens, résultats issus d’analyse d’échantillons biologiques, données relatives aux effets et événements indésirables, prescriptions ;
• données de vie personnelle : Habitudes de vie (consommation de tabac, alcool, drogues, pratique d’une activité physique), situation familiale, statut matrimonial ;
• données de vie professionnelle : Situation professionnelle (en activité ou non), catégorie INSEE socioprofessionnelle, niveau d’études ;
• données de vie sexuelle : Mode de contamination du VIH, VHC, VHB, et autres infections sexuellement transmissibles, caractéristiques de l’accident d’exposition viral, dates et lieux de dépistages, sexualité, moyens de prévention, situation ou comportement à risque ;
• données de vie sociale : Bénéficiaire d’une couverture sociale et Affection Longue Durée (ALD) ;
• données biologiques : Données de sérologies VIH, VHB, VHC et autres infections sexuellement transmissibles
• décès des patients : Statut vital, mois, année et cause de décès
• données d’activité hospitalière : Type de recours (consultation, hospitalisation de jour, hospitalisation classique).

Ces données seront pseudonymisées avant leur intégration dans l’entrepôt.

Sur l’information des personnes

S’agissant des patients pris en charge antérieurement à la constitution de l’entrepôt :

Une note d’information individuelle qui devra comporter l’ensemble des mentions prévues par le RGPD, sera remise en main propre par le médecin au moment de leur prise en charge.

En application de l’article 14 du RGPD, l’obligation d’information individuelle de la personne concernée peut faire l’objet d’exceptions, notamment dans l’hypothèse où la fourniture d’une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.

En l’espèce, il sera fait exception au principe d’information individuelle des patients pris en charge antérieurement à la constitution de l’entrepôt et n’étant plus suivis. Des mesures appropriées seront mises en œuvre, notamment par voie d’affichage dans les établissements centres participants ainsi que par la diffusion sur le site web du responsable de traitement et celui de chaque centre participant, d’une information comportant l’ensemble des mentions prévues par le RGPD.

S’agissant des patients pris en charge postérieurement à la constitution de l’entrepôt :

Une note d’information individuelle sera remise aux patients et, le cas échéant, à leurs représentants légaux par le médecin au moment de leur prise en charge.

Une note d’information spécifique est également prévue pour les majeurs faisant l’objet d’une mesure de protection ainsi que pour leurs représentants légaux.

S’agissant des utilisateurs de l’entrepôt :

Les utilisateurs de l’entrepôt sont informés de la collecte de leurs données au moment de leur connexion.

Enfin, le responsable de traitement diffusera sur son site web une information relative à la base de données ainsi que des informations sur les projets de recherches, études et évaluations dans le domaine de la santé menés à partir des données qu’elle contient. Ces documents d’information devront comporter l’ensemble des mentions prévues par le RGPD.

Sur la conservation des données

Les données versées dans l’entrepôt sont conservées dans l’entrepôt 20 ans à compter de la collecte dans l’entrepôt puis supprimées manuellement.

Une procédure relative à cette suppression devra être formalisée par le responsable de traitement et une suppression automatique de ces données devra être mise en place.

Sur la sécurité des données et la traçabilité des actions

Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt DAT’AIDS , ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . Le point de non-conformité vis-à-vis de ces mesures de sécurité est le suivant : l’inclusion du sexe, du mois de naissance, de l’année de naissance, de l’année d’arrivée en France et de la nationalité dans la base de données principale de l’entrepôt.

Certaines mesures de sécurité techniques et organisationnelles prévues afin d’améliorer la conformité au référentiel entrepôt de données dans le domaine de la santé sont actuellement en cours d’implémentation, notamment :

• la génération des identifiants patients avec des fonctions de hachage cryptographique à l’état de l’art ;
• la mise en place d’espaces de travail conformément aux exigences SEC-ESP du référentiel, afin que les données nécessaires aux études soient traitées dans des espaces internes cloisonnés sans exportation de données pseudonymisées hors de l’entrepôt ;
• le chiffrement au repos des données de l’entrepôt ;
• la mise en place d’une authentification multifacteur des utilisateurs et administrateurs auprès de l’intégralité des sous-traitants hébergeant des données de santé pour le compte du responsable de traitement.

Il est rappelé que l’hébergeur fournissant les prestations de stockage des sauvegardes doit également être certifié pour l’hébergement de données de santé.

Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5,1, f) et 32 du règlement général sur la protection des données compte tenu des risques identifiés par le responsable de traitement. Le responsable de traitement devra être en mesure de démontrer la mise en œuvre des mesures de sécurité avant la mise en service de l’entrepôt. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.