La Commission nationale de l’informatique et des libertés,

Saisie le 17 novembre 2025 par l’Agence européenne des médicaments d’une demande d’autorisation concernant des traitements automatisés de données à caractère personnel ayant pour finalité des études portant sur les caractéristiques des patients présentant une condition médicale incidente dans la population générale en France dans le cadre du projet DARWIN EU ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;

Vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n° 45/2001 et la décision n° 1247/2002/CE (EUDPR) ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;

Vu la délibération n° 2025-013 du 13 février 2025 autorisant l’Agence européenne des médicaments à mettre en oeuvre des traitements automatisés de données à caractère personnel ayant pour finalité des études portant sur l’estimation d’incidence et de prévalence de l’utilisation des médicaments dans la population générale en France dans le cadre du projet DARWIN EU (demande d’autorisation n° 924315) ;

Vu la délibération n° 2025-014 du 13 février 2025 autorisant l’Agence européenne des médicaments à mettre en oeuvre des traitements automatisés de données à caractère personnel ayant pour finalité des études portant sur l’estimation d’incidence et de prévalence des pathologies dans la population générale en France dans le cadre du projet DARWIN EU (demande d’autorisation n° 924316) ;

Vu l’avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mai 2025 ;

Vu le dossier et ses compléments ;

Sur la proposition de M^me Marie Zins, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,

Formule les observations suivantes :

La demande d’autorisation s’inscrit dans le cadre des activités du réseau DARWIN EU (« Data Analysis and Real-World Interrogation Network »), coordonné par l’Agence européenne des médicaments (EMA).

Préfigurateur déjà opérationnel de l’espace européen des données de santé, ce réseau vise à favoriser l’utilisation de données de santé en vie réelle afin d’étudier l’utilisation, la sécurité ainsi que l’efficacité des médicaments et des vaccins à usage humain. Les études commanditées par les comités de l’EMA tels que le Comité des médicaments à usage humain (CHMP) et le Comité des médicaments orphelins (COMP) complètent celles présentées par les demandeurs et titulaires d’autorisations de mise sur le marché de médicaments. Elles leur permettent d’éclairer leurs décisions tout au long du cycle de vie des médicaments.

Ce réseau s’appuie sur :

• un centre de coordination assuré par le Centre médical universitaire Erasmus de Rotterdam ;
• en 2025, une trentaine de partenaires de données (« data partners ») issus des différents pays européens et disposant de données de vie réelle standardisées issues des hôpitaux, de registres, de remboursements ou de biobanques. Ces bases de données sont mises au format OMOP-CDM ("Observational Medical Outcome Partnership – Common Data Model") afin de favoriser leur interopérabilité et la mise en œuvre d’apprentissage fédéré à l’échelle européenne ;
• un catalogue d’analyses standardisées des données développé par le centre de coordination (avec des scripts R associés) destiné à permettre la production rapide de résultats à partir des bases de données des partenaires.

Le centre de coordination envisage de réaliser annuellement entre trente-cinq et cinquante études nécessitant le requêtage de plusieurs bases de données du réseau DARWIN. En fonction de leur complexité, ces études doivent être mises en œuvre par les partenaires de données du réseau dans des délais allant de trois à douze mois.

Chacune de ces études fait l’objet d’un protocole spécifique rédigé et transmis par le réseau DARWIN à chaque partenaire de données européen participant au protocole. Ce protocole permettra à chaque partenaire de calculer les mêmes indicateurs de façon pertinente (critères d’inclusion et d’exclusion, variables, période d’intérêt, etc.) et de manière identique pour le ou les médicaments étudiés. Les résultats agrégés de chacune de ces études sont ensuite transmis au centre de coordination du réseau qui réalise les méta-analyses et produit le rapport d’étude.

En France, des données du Système national des données de santé (SNDS) sont susceptibles d’être traitées, lorsque cela est pertinent pour les besoins des études commanditées par le réseau DARWIN, par le groupement d’intérêt public « Plateforme des données de santé » (ci-après la PDS) en tant que « partenaire de données ». Dans ce cadre, la CNIL a autorisé l’EMA à mettre en œuvre des études destinées à estimer en routine la prévalence et l’incidence :

• de l’utilisation des médicaments et des vaccins en France grâce à des indicateurs standardisés (demande d’autorisation n° 924315) ;
• des pathologies grâce à des indicateurs standardisés (demande d’autorisation n° 924316).

Aux fins de mise en œuvre de ces études, un échantillon aléatoire de la population française représentatif en termes d’âge, de sexe et de département de résidence a été sélectionné dans la base principale du SNDS. Cet échantillon comporte les données de dix millions de personnes, sous réserve de l’exercice du droit d’opposition. Certaines données du Système national d’information inter-régimes de l’Assurance maladie (SNIIRAM), du programme de médicalisation des systèmes d’information (PMSI), du système d’information lié à la vaccination contre la COVID-19 (table IR_VAC_F), de la cartographie des pathologies et du référentiel pharmacie correspondant à une profondeur historique de neuf ans plus l’année en cours alimentent cet échantillon en fenêtre roulante.

L’EMA a déposé deux nouvelles demandes d’autorisation visant à permettre, à partir de ce même échantillon, la mise en œuvre de nouvelles études destinées à décrire :

• les caractéristiques des patients initiant des traitements médicamenteux et la description des conditions d’utilisation de ces médicaments (demande d’autorisation n° 925279) ;
• les caractéristiques des patients présentant une condition médicale incidente dans la population générale en France (demande d’autorisation n° 925280).

A terme, le réseau DARWIN a vocation à utiliser l’infrastructure dédiée qui sera mise en place suite à l’entrée en application du chapitre IV du règlement sur l’espace européen des données de santé.

Sur le régime juridique applicable au regard du responsable de traitement :

L’EMA étant une agence décentralisée de l’UE, les dispositions du règlement (UE) 2018/1725 régissent les traitements de données personnelles qu’elle met en œuvre.

L’accès aux données du SNDS, notamment mises à disposition par la PDS, est, conformément aux dispositions des articles L. 1460-1 et suivants du code de la santé publique, possible pour les traitements respectant les conditions fixées par ces dispositions. Ces dernières prévoient que ces traitements sont soumis aux formalités préalables prévues par les articles 66 et suivants de cette loi, laquelle renvoie également à l’application du RGPD.

L’EMA détermine la finalité et les moyens des traitements de données du SNDS nécessaires aux études qui seront mises en œuvre dans le cadre de la présente autorisation. Elle a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique aux traitements envisagés.

Sur la finalité des traitements et leur caractère d’intérêt public :

Les traitements envisagés ont pour finalité la mise en œuvre d’études destinées, selon une méthodologie standardisée, à décrire les caractéristiques (démographiques, cliniques) des patients présentant une ou plusieurs conditions médicales incidentes d’intérêt (pathologie, statut médical, médicament…). Dans ce cadre, seront évolués au sein de chaque population étudiée : le risque de survenue d’événements pré-spécifiés après la date du début de la condition médicale sur des périodes prédéterminées, le pronostic et la progression vers un événement pré-spécifié dans un délai prédéfini ainsi que les soins standards reçus en lien avec la condition médicale d’intérêt sur une période postérieure à la date index.

La finalité des traitements est déterminée, explicite et légitime, conformément au b) du 1 de l’article 5 du RGPD. La CNIL estime que ce traitement présente une finalité d’intérêt public, conformément au I de l’article 66 de la loi « informatique et libertés ».

Sur la nature des données traitées :

Les études l’objet de la présente demande d’autorisation ont vocation à être mises en œuvre à partir d’un échantillon de données du SNDS déjà constitué et dont les caractéristiques ont été décrites dans les délibérations de la CNIL n° 2025-013 et n°2025-014 du 13 février 2025.

Les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies, conformément aux dispositions de l’article 4 de la loi "informatique et libertés et du c) du 1 de l’article 5 du RGPD.

Sur les catégories d’accédants et de destinataires des données :

L’EMA n’accèdera pas aux données individuelles du SNDS.

Auront accès aux données dans le cadre de la présente autorisation :

• les personnels habilités de la PDS pour les opérations d’extraction, de mise en forme et de stockage des données, ainsi que leur préparation et versement dans les espaces d’analyse ;
• des personnels de la PDS, distincts des précédents, spécifiquement habilités pour l’analyse des données ;
• des organismes s’étant déclarés conformes au référentiel déterminant les critères de confidentialité, d’expertise et d’indépendance pour les laboratoires de recherche et bureaux d’études prévu par l’arrêté du 17 juillet 2017, agissant comme sous-traitants de la PDS pour la mise en œuvre de certaines études.

La PDS tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l’habilitation à accéder aux données, la liste des personnes habilitées, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations.

La qualification des personnes habilitées et leurs droits d’accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.

Sur l’opportunité du recours au mécanisme de la décision unique :

Outre le fait de poursuivre une même finalité, les traitements envisagés par l’EMA présentent des caractéristiques similaires concernant :

• les catégories de destinataires ;
• la nature des données traitées.

L’EMA envisage de mettre en œuvre, dans ce cadre, une dizaine de traitements de données du SNDS annuellement à moyen terme. A plus long terme, une vingtaine de traitements sont susceptibles d’être mis en œuvre annuellement.

Ces traitements relevant du régime prévu par les dispositions des articles 66, 72 et suivants de la loi « informatique et libertés », la CNIL estime opportun, au vu des éléments présentés dans le dossier de demande, d’autoriser la mise en œuvre de ces traitements dans le cadre d’une décision unique pour la durée sollicitée, à savoir dix-huit mois.

Sur les autres caractéristiques des traitements :

Les autres caractéristiques des traitements envisagés (encadrement contractuel du rôle dévolu à la Plateforme des données de santé conformément aux dispositions de l’article 28 du RGPD ; base légale ; exception pour traiter les données sensibles ; modalités d’information et d’exercice des droits des personnes, modalités de transparence, sécurité des données, absence de transfert de données en dehors de l’Union européenne, modalités d’hébergement) devront être conformes à celles décrites dans les délibérations n° 2025-013 et n°2025-014 du 13 février 2025.

Relevant l’intérêt scientifique grandissant suscité par l’échantillon de données du SNDS constitué et mis en forme au format OMOP-CDM pour les besoins des études de l’EMA, la CNIL prend acte de l’engagement de la PDS de déposer une demande d’autorisation « entrepôt de données de santé » en vue de sa réutilisation pour des projets de recherche en santé.

Dans ces conditions, la CNIL autorise l’Agence européenne des médicaments à mettre en œuvre des traitements de données à caractère personnel ayant pour finalité des études portant sur les caractéristiques des patients présentant une condition médicale incidente dans la population générale en France dans le cadre du projet DARWIN EU pendant une durée de dix-huit mois.

La présidente,

M.-L. Denis