(demande d’autorisation n° 2240240)

La Commission nationale de l’informatique et des libertés,

Saisie par la société LIFEN Research SAS d’une demande d’autorisation concernant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données dans le domaine de la santé, dénommé « LIFEN RESEARCH »;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66 et suivants (loi « informatique et libertés ») ;

Vu le dossier et ses compléments ;

Sur la proposition de M^me Marie Zins, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,

Formule les observations suivantes :

Sur le responsable de traitement

La société LIFEN Research SAS (ci-après « LIFEN Research ») développe et commercialise des logiciels d’analyse et de structuration de documents médicaux :

• dans le cadre de la recherche dans le domaine de la santé ;
• destinés à améliorer la prise en charge des patients dans le cadre du soin.

Sur les formalités applicables et les points de non-conformité au référentiel concerné :

Le dossier de demande d’autorisation mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé" à l’exception de la base légale du traitement.

En dehors de ce point, le traitement devra respecter le cadre prévu par le référentiel.

Sur la base légale et de l’exception permettant de traiter des données concernant la santé :

Le traitement que la société LIFEN Research entend mettre en œuvre est nécessaire aux fins des intérêts légitimes qu’elle poursuit. Il est licite au regard du f) du 1 de l’article 6 du RGPD et remplit les conditions permettant le traitement des données concernant la santé au regard des dispositions du j) du 2 de l’article 9 du RGPD et du 3° de l’article 44 de la loi « informatique et libertés ».

Sur la finalité du traitement et son caractère d’intérêt public

Le traitement envisagé a pour finalité la constitution d’un entrepôt de donnés de santé à caractère personnel comprenant notamment des données de santé.

Les traitements qui seront réalisés à partir des données de cet entrepôt viseront à la mise en œuvre :

• du développement et l’amélioration en routine d’algorithmes, d’outils logiciels et de produits de santé numérique, d’aide au diagnostic médical ou à la prise en charge ;
• la mise en œuvre d’études interne destinées à améliorer et optimiser la prise en charge des patients ;
• la réalisation d’étude de faisabilité.

Ces traitements pourront être mis en œuvre par les sociétés LIFEN Research ou LIFEN Care SAS, ainsi que par d’autres organismes tiers publics ou privés.

La société LIFEN Research s’est engagée à ce que les traitements réalisés à partir des données de l’entrepôt s’inscrivent en conformité avec les dispositions des articles L. 1461-1 et suivants du CSP, notamment le référentiel de sécurité visé au 3° du IV de l’article L. 1461-1 du CSP.

Dans l’optique de prévenir la poursuite des finalités interdite, la société LIFEN Research mettra en place une gouvernance globale, afin de garantir que les projets poursuivront une finalité d’intérêt public. Elle comportera en particulier :

• une politique interne dédiée ;
• une gouvernance interne, comprenant l’organisation et la documentation adéquates ;
• une formation et une sensibilisation de tous les acteurs ;
• une séparation des tâches en lien avec le traitement des données de santé, appuyée sur des critères d’exclusion a priori de certains personnels, services ou fonctions (en particulier les services réalisant des activités marketing ou promotionnelles) pour l’accès à un espace projet ou au rapport détaillé d’une étude ;
• une liste tenue à jour des personnes ayant un lien à caractère promotionnel avec des acteurs de santé ou un conflit d’intérêt par rapport à une étude ;
• une gestion des risques de violation liés au détournement de finalité, notamment sous l’angle de la minimisation/granularité des données et des risques de réidentification ;
• une surveillance des incidents et gestion des violations avec détournement de finalité ;
• des contrôles réguliers, comité annuel et mesures d’amélioration.

Ces mesures devront être opérationnelles avant la mise en œuvre du traitement.

Les utilisations futures des données contenues dans l’entrepôt s’inscriront dans le cadre des dispositions des articles 66, 72 et suivants de la loi « informatique et libertés » qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public et fasse l’objet de formalités propres.

Sur les données traitées

L’entrepôt regroupera exclusivement les données d’études remplissant les conditions cumulatives suivantes :

• ces études devront avoir été mises en œuvre sous la responsabilité des clients de la société LIFEN Research ou de la société LIFEN Care SAS, dans le cadre d’une déclaration de conformité à une méthodologie de référence ou d’une autorisation de la CNIL ;
• la société LIFEN Research ou la société LIFEN Care SAS devra être intervenue en qualité de sous-traitant dans le cadre de ces études, sur instruction de leurs clients, pour procéder à la préparation et la structuration de données de santé, notamment via leur solution « Lifen DataLab »;
• seules pourront être réutilisées les données pour lesquelles les responsables de traitement initiaux (les clients de la société LIFEN Research ou de la société LIFEN Care SAS) ont donné leur autorisation à cette fin ;
• les personnes concernées inclues dans chacune des études devront bénéficier d’une information individuelle s’agissant du versement de leurs données au sein de l’entrepôt ;
• la société LIFEN Research devra publier sur son site web la liste des études qui alimenteront l’entrepôt.

Ainsi, seront versées dans l’entrepôt, dans le respect des conditions exposées ci-avant, les données issues des études :

• de l’Institut Gustave Roussy :

• "LUCC – Poumon" (déclaration de conformité n° 2207313) ;
• "LUCC – Pédiatrie" (déclaration de conformité n° 2207313) ;
• "Prosta – LUCC" (déclaration de conformité n° 2207313).

• de l’Hôpital Foch :

• "CUB – Trajectory" (déclaration de conformité n° 2204268).

Sur les mesures de sécurité :

La société LIFEN Research a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection (AIPD) des données, spécifique à la constitution de l’entrepôt.

Pour les accès internes et externes à l’entrepôt, une authentification multifacteur, reposant sur un mot de passe ainsi qu’une application mobile TOTP déverrouillée par code PIN ou un jeton matériel, sera mise en place.

La société LIFEN Research s’est engagé à respecter l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014. En particulier, seuls des exports de données avec des agrégats d’au moins dix personnes identiques sont prévues. Des exports-types, sur des périmètres limités, devront être définis afin d’assurer leur anonymisation par conception. Le responsable de traitement devra également tenir compte des évolutions de l’état de l’art et des futures lignes directrices du CEPD en la matière.

Observations complémentaires :

Dans l’hypothèse où la société LIFEN Research souhaiterait soumettre une demande de modification ou de renouvellement, le dossier de demande devra notamment comporter les éléments suivants :

• la démonstration de la mise en œuvre effective d’une politique d’entreprise liée à la prévention des finalités interdites ;
• la liste des projets réalisés ou en cours de réalisation ainsi que al démonstration de l’adéquation des objectifs de chaque étude aux finalités de l’entrepôt ;
• les modalités de réalisation du plan d’actions détaillé dans le dossier de demande et la résolution d’incidents éventuels.

AUTORISE, conformément à la présente délibération, la société LIFEN RESEARCH SAS à mettre en œuvre le traitement décrit ci-dessus pour une durée de dix ans, à compter de la présente autorisation.

La présidente,

M.-L. Denis