Sur le point de non-conformité au référentiel concerné

Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception de la base légale du traitement.

En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel "entrepôt de données dans le domaine de la santé".

Sur le régime juridique

La constitution de cet entrepôt implique notamment un traitement des données visées au 6° du I de l’article L. 1461-1 du code de la santé publique (CSP), à savoir des données recueillies à l’occasion d’activités de prévention, de diagnostic, de soins donnant lieu à une prise en charge des frais par la sécurité sociale. Ces données seront réutilisées et mises à disposition pour l’une des finalités visées au III de l’article L. 1461-1 du CSP, notamment à des fins de recherches, d’études ou d’évaluations dans le domaine de la santé.

De plus, le dossier de demande indique que le responsable de traitement souhaite procéder à l’inscription de l’entrepôt au catalogue des bases du Système national des données de santé (SNDS) visé à l’article R. 1461-2 du CSP.

Par conséquent, les dispositions des articles L. 1461-1 et suivants du CSP sont applicables en l’espèce dont :

• le référentiel de sécurité visé au 3° du IV de cet article ;
• l’interdiction de poursuite des finalités visées à l’article V de cet article (finalités interdites d’utilisation du SNDS).

En application du IV de l’article 3 du l’arrêté du 6 mai 2024 relatif au référentiel de sécurité applicable au SNDS, l’entrepôt devra être mis en conformité avec ce dernier dès sa mise en œuvre.

Sur la base légale du traitement et les conditions permettant de traiter des données concernant la santé

Le traitement est fondé sur l’intérêt légitime responsable du traitement. Il est licite au regard du f) du 1 de l’article 6 du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions du j) du 2 de l’article 9 du RGPD et du 3° de l’article 44 de la loi « informatique et libertés ».

Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi « informatique et libertés », qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres.

Sur les données traitées

Cet entrepôt sera alimenté par des données issues :

• de l’observatoire de cardiologie interventionnelle (demande d’autorisation n°913543 puis déclaration de conformité à la MR-003). Ce traitement initialement mis en œuvre par le Club des angioplasticiens de la région Centre est désormais sous la responsabilité de l’association France PCI. Les personnes concernées devront être informées de l’identité du nouveau responsable de traitement ainsi que de toutes modifications substantielles mises en œuvre ;
• des dossiers médicaux des établissements de santé autorisés à pratiquer des actes de coronarographies et d’angioplasties coronaires (centres participants).

Seules seront versées au sein de l’entrepôt, les données pseudonymisées de patients :

• majeurs ne faisant pas l’objet d’une mesure de protection juridique ;
• et pris en charge pour un acte de cardiologie interventionnelle.

Sur l’information et les droits des personnes

L’ensemble des notes d’information devront comporter les mentions prévues à l’article 14 du RGPD.

S’agissant des personnes déjà incluses dans l’observatoire et dont le suivi est terminé :

En application de l’article 69 de la loi « informatique et libertés » et du b) du 5 de l’article 14 du RGPD, l’obligation d’information individuelle de la personne concernée peut faire l’objet d’exception, notamment dans l’hypothèse où la fourniture d’une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.

En l’espèce, il sera fait exception au principe d’information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par :

• la diffusion sur le site web du responsable de traitement de l’entrepôt d’une information relative à la constitution de l’entrepôt ;
• par voie d’affichage au sein des centres participants de la note d’information précitée.

Par ailleurs, la note d’information précitée sera remise aux personnes prises en charge par l’un des centres participant postérieurement à la constitution de l’entrepôt.

Concernant les personnes déjà incluses dans l’observatoire et dont le suivi est en cours (patients ayant été pris en charge pour un acte de cardiologie interventionnelle en lien avec un syndrome coronaire aigu) :

Le dossier de demande précise que ce suivi est réalisé par voie téléphonique. A l’occasion de ce suivi, les personnes seront individuellement informées de la constitution de l’entrepôt.

Conformément aux lignes directrices sur la transparence au sens du RGPD du 29 novembre 2017 du groupe de travail "de l’Article 29" (G29), il est rappelé les éléments suivants :

• lorsque l’information est délivrée oralement, le responsable de traitement est tenu de conserver une trace écrite de sa délivrance et de transmettre aux personnes les informations leur permettant de consulter ultérieurement la note d’information comportant l’ensemble des mentions prévues par le RGPD ;
• lorsque le responsable de traitement souhaite adopter une approche à plusieurs niveaux pour informer les personnes, la première modalité d’information devrait contenir les informations relatives à la finalité du traitement, l’identité du responsable de traitement, une description des droits des personnes concernées, ainsi que toute information sur le traitement qui aurait une forte incidence sur la personne concernée. En l’espèce, l’information orale devra préciser que l’exercice des droits par les personnes, notamment leur droit d’opposition, n’aura pas de conséquence sur leur prise en charge médicale et leur participation à l’observatoire.

Concernant les personnes prises en charge postérieurement à la constitution de l’entrepôt :

Les personnes seront individuellement informées de la constitution de l’entrepôt par la remise d’une note d’information dédiée qui leur sera remise lors ou à l’issue d’une consultation par voie postale ou par voie électronique.

La note d’information transmise dans le cadre du dossier de demande révélant des informations sur l’état de santé des personnes, celle-ci peut être délivrée par voie électronique uniquement par les centres participants, qui sont les seuls à détenir les données administratives d’identification et les coordonnées électroniques de la personne concernée.

Cette note d’information pourra être transmise par courrier électronique avec un code d’accès si les conditions cumulatives suivantes sont remplies :

• le corps et l’objet du message ne doivent contenir aucune information susceptible de révéler des informations sur l’état de santé de la personne se prêtant à la recherche ;
• l’accès à la note d’information doit être conditionné à la possession d’un facteur de connaissance (par exemple, la note d’information peut être une pièce-jointe chiffrée, ou le message peut contenir un lien vers une plateforme sécurisée de téléchargement exigeant un code secret) ;
• le code de déchiffrement ou de téléchargement doit être transmis par un canal de confiance séparé (par exemple, remise en main propre, appel téléphonique ou texto vers un numéro de téléphone vérifié, pli postal sécurisé) ;
• dans le cas d’utilisation d’une plateforme sécurisée de téléchargement, une durée limitée de mise à disposition doit être paramétrée.

Alternativement, cette note d’information pourra être transmise via une plateforme sécurisée à laquelle la personne concernée dispose d’une connexion authentifiée, permettant de s’assurer que le message sera lu uniquement par son destinataire. Une notification doit être envoyée par la plateforme au destinataire pour l’inviter à se connecter. Celle-ci ne doit contenir aucune information susceptible de révéler des informations sur l’état de santé de la personne se prêtant à la recherche.

Si la note d’information est modifiée afin de ne plus révéler d’information sur l’état de santé des personnes, elle pourra être adressée par courrier électronique simple.

Quelle que soit la modalité mise en œuvre, le responsable de traitement devra veiller à ce que la personne ait été en mesure d’y accéder. Dans le cas contraire, l’information devra être délivrée au format papier.

Concernant l’exercice des droits, notamment du droit d’opposition :

Le responsable de traitement respectera un délai d’un mois entre la notification ou la remise de la note d’information et le versement des données au sein de l’entrepôt.