Sur les points de non-conformité au référentiel concerné

Le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé à l’exception :

• de la base légale du traitement ;
• de la nature des données traitées (appariement de plusieurs bases de données avec les données du Système national des données de santé (SNDS))
• de certaines mesures de sécurité.

Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé

Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé HARMONIE .

Il vise à favoriser la réalisation d’études en vie réelle permettant de mieux comprendre la prise en charge globale des patients et le fardeau médico-économique des patients atteints de cancers du poumon, du sein et de l’ovaire en France, ainsi que d’améliorer leur prise en charge.

Le traitement envisagé par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi informatique et libertés .

Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés , qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public et fassent l’objet de formalités propres.

Sur la gouvernance de l’entrepôt

Le responsable de traitement a mis en place un dispositif de gouvernance de l’entrepôt HARMONIE (comité de pilotage et comité scientifique et éthique).

Ces comités de gouvernance seront notamment composés :

• de membres qualifiés en matière de traitements de données du SNDS ;
• de représentants des comités de gouvernance des trois bases de données sources .

Sur les données traitées

Sur l’appariement des trois bases de données et des données du SNDS dans le cadre de l’entrepôt HARMONIE :

L’appariement sera réalisé à l’aide de variables communes (mois et année de naissance, commune de résidence, dates d’hospitalisation, date de décès si disponible).

Seules les variables communes d’appariement seront transmises à la CNAM en vue de l’extraction des données du SNDS. Les données traitées à des fins d’appariement avec le SNDS sont conservées de manière cloisonnée des données pseudonymisées de santé. Aucune donnée relative aux professionnels de santé ne sera versée dans l’entrepôt.

Sur les durées de conservation des données

Profondeur historique des données versées dans HARMONIE :

• données de CANTO à partir de 2012 ;
• données d’ ESMÉ à partir de 2008 ;
• données d’ OncoDataHub à partir de 2022 ;
• données du SNDS à partir de 2008.

Les données seront conservées avec une profondeur historique de dix-neuf ans plus l’année en cours. A partir de 2008, les données avec une profondeur historique supérieure à vingt ans ne seront pas versées dans l’entrepôt. A compter de la mise en œuvre de l’entrepôt, une extraction annuelle des différentes bases de données sera réalisée. Ces extractions seront conservées un an puis archivées un an. A l’issue de ces durées, les données seront supprimées manuellement.

Une procédure relative à cette suppression devra être formalisée par le responsable de traitement et une suppression automatique de ces données devra être mise en place.

Les traces fonctionnelles et techniques seront conservées entre six mois et un an et ne doivent pas contenir de données de santé.

Sur les accédants et les destinataires des données

Seules les équipes de recherche d’Unicancer habilitées, soumises au secret professionnel, pourront accéder aux données, dans les strictes limites de leur besoin d’en connaître, pour l’exercice de leurs missions s’inscrivant dans les finalités de l’entrepôt HARMONIE .

Pourront être destinataires des données, selon leur besoin d’en connaître :

• les autorités compétentes commanditaires d’une analyse ou à des fins d’évaluation de la santé publique ;
• les revues scientifiques, aux fins de reproductibilité des résultats, en cas de publication sur la base des données de l’étude ;
• les porteurs de projets académiques ou industriels à des fins de réutilisation des données pour leur projet scientifique.

Sur l’information des personnes

S’agissant des participants pris en charge antérieurement à la constitution de l’entrepôt et n’ayant pas fait l’objet d’une prise en charge dans les dix-huit mois préalablement à la constitution :

En application de l’article 69 de la loi et de l’article 14-5-b) du RGPD, l’obligation d’information individuelle de la personne concernée peut faire l’objet d’exceptions. En l’espèce, il sera fait exception au principe d’information individuelle des participants pris en charge antérieurement à la constitution de l’entrepôt et n’ayant pas été suivis dans les dix-huit mois préalablement à la constitution de l’entrepôt. Des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement et via un communiqué de presse et sur les réseaux sociaux, d’une information comportant l’ensemble des mentions prévues par le RGPD.

S’agissant des patients pris en charge dans les dix-huit mois préalablement à la constitution de l’entrepôt :

Une note d’information individuelle leur sera envoyée via courrier postal ou courriel.

S’agissant des patients en cours de suivi ou pris en charge postérieurement à la constitution de l’entrepôt :

Une note d’information individuelle sera remise aux patients et le cas échéant, leurs représentants légaux, à l’occasion d’une visite de suivi. En cas l’absence de visite de suivi avant les premières extractions de données par la CNAM, un courrier postal ou courriel leur sera adressé préalablement au versement de leurs données dans l’entrepôt.

Le responsable de traitement devra également prévoir des supports d’information spécifiques destinés aux personnes majeures faisant l’objet d’une mesure de protection.

Le responsable de traitement ne pourra envoyer l’information par voie électronique que lorsque les établissements fournisseurs de données disposent d’un portail patient et/ ou d’un système de messagerie sécurisée permettant de communiquer directement avec les patients.

S’agissant des utilisateurs de l’entrepôt :

Les utilisateurs de l’entrepôt sont informés de la collecte de leurs données au moment de leur connexion et préalablement à l’envoi de l’identifiant et du mot de passe.

En ce qui concerne la transparence des traitements :

L’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à la Plateforme des données de santé (PDS) de plusieurs éléments par les responsables de traitement, avant et après la réalisation des études. L’entrepôt sera inscrit au sein du répertoire public de la PDS.

La CNIL demande que lui soit communiqué tous les trois ans un rapport sur le fonctionnement de l’entrepôt et sur les recherches réalisées à partir des données qu’il contient.

L’information relative à la constitution de la base de données ne peut se substituer à l’information individuelle préalable prévue par les dispositions du RGPD et de la loi informatique et libertés , qui devra être réalisée pour chaque traitement de données réalisé à partir des données de la base.

Sur la sécurité des données et la traçabilité des actions

Les mesures de sécurité mises en place par le responsable de traitement visent à garantir la conformité de l’entrepôt HARMONIE aux exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . Les points de non-conformité relevés par le responsable de traitement sont les suivants :

• l’inclusion du mois de naissance, de l’année de naissance et de la date de décès dans la base de données principale de l’entrepôt ;
• l’inclusion du nom de la commune de résidence dans la base de données principale de l’entrepôt ;
• certaines mesures de sécurité en cours d’implémentation, décrites ci-après et régularisées avant la mise en œuvre de l’entrepôt dans le cadre d’un plan d’action.

Les non-conformités relatives à l’inclusion des données susvisées dans la base principale de l’entrepôt ont été justifiées par le responsable de traitement comme étant nécessaires à la réalisation des études au sein des espaces de travail de l’entrepôt.

Une homologation de la bulle sécurisée a été réalisée par l’autorité d’homologation le 15 mai 2023, conformément à l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS. Cette décision d’homologation n’est valable que jusqu’au 15 mai 2026 et devra donc être renouvelée avant cette date, si le traitement devait se poursuivre au-delà de cette échéance.

L’hébergement des données sera réalisé par un hébergeur certifié pour l’hébergement de données de santé et soumis exclusivement aux lois et juridictions de l’Union européenne.

Certaines mesures de sécurité prévues afin d’améliorer la conformité au référentiel entrepôt de données dans le domaine de la santé sont actuellement en cours d’implémentation, notamment :

• la génération des identifiants patients avec des fonctions de hachage cryptographique à l’état de l’art ;
• le cloisonnement des tables de correspondance, ne contenant pas de données directement identifiantes, au sein du même hébergeur, mais sur un système dédié et isolé de la base principale de l’entrepôt et des espaces projet, ne permettant qu’un accès limité à ces tables. Les tables de correspondance seront régénérées chaque année à chaque nouvelle extraction. ;
• le cloisonnement des données génétiques selon les exigences du référentiel entrepôt (chiffrement des données avec une clé différente des autres données de santé et un accès aux données via des profils différents de ceux dédiés aux autres données de santé) ;
• la durée de conservation des traces fonctionnelles et techniques ;
• la journalisation des traces concernant les actions des utilisateurs et administrateurs sur la plateforme technique et sur les données de l’entrepôt à l’aide d’un bastion ;
• la sécurisation de l’accès à la bulle sécurisée via une authentification multifacteur couplée à un bastion.

La mise en œuvre de l’intégralité des mesures de sécurité devra intervenir dans les meilleurs délais. Ces mesures, qui devront être opérationnelles lors de la mise en œuvre du traitement, répondront alors aux exigences prévues par les articles 5-1-f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.