Sur les points de non-conformité au référentiel concerné

Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel « entrepôt de données dans le domaine de la santé », à l’exception :

• des durées de conservation des données ;
• des mesures de sécurité.

En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel « entrepôt de données dans le domaine de la santé ».

Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé

Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé « UroCCR ».

La constitution de cet entrepôt multicentrique spécifique au cancer du rein aura pour finalités :

• de favoriser les recherches, études ou évaluations en structurant les ressources et capacités nationales ;
• de créer une base de données associée à une collection d’échantillons biologiques annotée multicentrique.

Sont concernés par cet entrepôt de données de santé tous les patients présentant une tumeur du rein et consultant ou ayant consulté dans un centre participant à UroCCR, à l’exception des majeurs protégés et des mineurs.

La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du RGPD.

Le traitement mis en œuvre par le responsable de traitement est nécessaire à l’exécution d’une mission d’intérêt public dont il est investi. Ce traitement est licite au regard de l’article 6-1-e) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’article 9-2-j) du RGPD et 44-3° de la loi « informatique et libertés » modifiée.

Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi « informatique et libertés », qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres.

Sur la conservation des données

Les données versées dans l’entrepôt sont conservées vingt ans à compter du dernier suivi du patient puis supprimées ou anonymisées.

Sur les transferts de données

La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne, vers un pays ne présentant pas un niveau de protection adéquat.

Sur la sécurité des données et la traçabilité des actions

La plupart des mesures de sécurité du traitement mises en œuvre sont conformes à celles prévues par le référentiel « entrepôt de données dans le domaine de la santé ».

Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt, ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . L’entrepôt comporte le point de non-conformité suivant vis-à-vis des mesures de sécurité : l’inclusion du mois de naissance, de l’année de naissance, de l’année et du sexe dans la base de données principale de l’entrepôt.

Certaines des mesures nécessaires à la pleine couverture des risques de sécurité sont en cours de déploiement et d’amélioration dans le cadre d’un plan d’actions formalisé. Ce plan d’actions devra être complété afin d’améliorer les mesures relatives à certaines exigences du référentiel « entrepôt de données dans le domaine de la santé », et en particulier :

• le cloisonnement des données directement identifiantes par rapport aux données de santé contenues dans l’entrepôt ;
• la génération d’un identifiant pseudonyme unique par une fonction de hachage cryptographique résistante aux attaques par force brute ou un générateur de nombres pseudo-aléatoires cryptographiquement sûr ;
• l’hébergement des données chez un hébergeur certifié HDS en cas d’externalisation de l’hébergement.

Le responsable de traitement devra mettre en œuvre l’ensemble des mesures décrites dans son plan d’actions dans les meilleurs délais et, au plus tard, dans un délai d’un an. Au vu de la sensibilité et du volume des données, la CNIL estime nécessaire d’évaluer à l’issue de ce délai la réalité des mesures de sécurité mises en œuvre par le responsable de traitement et qu’un bilan lui soit transmis à cette fin.

Les mesures de sécurité, renforcées par ce plan d’actions, sont de nature à répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Le responsable de traitement doit néanmoins procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.