Sur le(s) point(s) de non-conformité au référentiel concerné

Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel « entrepôt de données dans le domaine de la santé », à l’exception de certaines mesures de sécurité.

En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel « entrepôt de données dans le domaine de la santé ».

Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé

Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé « DATASTAN ».

Ce dernier a pour finalités :

• la réalisation d’études de faisabilité et repérage (pré-screening) de patients éligibles à des études ;
• la réalisation de projets de recherche, étude, évaluation dans le domaine de la santé (Recherches impliquant la personne humaine et recherches n’impliquant pas la personne humaine)
• la production d’indicateurs et appui au pilotage de l’activité : analyse des filières et trajectoires de santé, études médico-économiques ;
• l’évaluation de la qualité, de la sécurité et de la pertinence des prises en charge ainsi que l’amélioration des pratiques professionnelles et des organisations ;
• l’adaptation des stratégies de prise en charge et de prévention, en utilisant des outils d’aide au diagnostic et à la prise en charge ;
• l’amélioration de la qualité de l’information médicale et optimisation du codage de l’information médicale.

Mesures de sécurité

Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt.

Le dossier de demande mentionne que le traitement envisagé est conforme à la plupart des mesures de sécurité prévues dans le référentiel entrepôt de données dans le domaine de la santé, à l’exception de certaines d’entre elles qui ont été précisément identifiées. Pour ces dernières, la non-conformité a été dûment justifiée et compensée par la mise en œuvre de mesures techniques et organisationnelles à l’état de l’art.

Conformément à l’exigence SEC-EXP-1 du référentiel, seuls des jeux de données anonymes pourront faire l’objet d’une exportation hors de l’entrepôt ou d’un espace de travail, à l’exception des données relatives aux procédures de réidentification SEC-REI-1 à SEC-REI-3 qui permettent d’assurer respectivement l’exercice des droits, la participation à des recherches et l’urgence médicale.

Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.