Délibération n° 2012-164 du 17 décembre 2012 de la commission de contrôle des informations nominatives portant sur la demande d’avis et sur la demande d’autorisation de transfert de données vers les Etats-Unis d’Amérique présentées par Novella Clinical Grande-Bretagne, représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace, relatives a la mise en œuvre du traitement automatisé ayant pour finalité «collecter et analyser les informations des patients ayant consenti à participer à l’étude observationnelle ayant pour objet de recueillir des informations sur l’utilisation clinique en pratique réelle du Cathéter Thermocool® SmarttouchM pour le traitement de la fibrillation auriculaire», dénommé «étude SmartTouch - STR - 148».
Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Recommandation n° R(97) 5 du 13 février 1997 relative à la protection des données médicales ;
Vu la déclaration d’Helsinki de l’association médicale mondiale sur les principes éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives, notamment son article 7-1 ;
Vu la loi n° 1.265 du 23 décembre 2002 relative à la protection des personnes dans la recherche biomédicale ;
Vu la loi n° 1.267 du 23 décembre 2002 relative aux dispositifs médicaux ;
Vu l’ordonnance souveraine n° 16.312 du 6 mai 2004 rendant exécutoire l’Accord entre la Communauté Européenne et la Principauté de Monaco sur l’application de certains actes communautaires au territoire de la Principauté de Monaco, fait à Bruxelles le 4 décembre 2003 ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée;
Vu le courrier du Comité consultatif d’éthique en matière de recherche biomédicale monégasque du 16 novembre 2012 ;
Vu la demande d’avis, reçue le 16 novembre 2012, concernant la mise en œuvre par Novella Clinical localisée en Grande-Bretagne, représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace, d’un traitement automatisé ayant pour finalité « Collecter et analyser les informations des patients ayant consenti à participer à l’étude observationnelle ayant pour objet de recueillir des informations sur l’utilisation clinique en pratique réelle du cathéter THERMOCOOL® SMARTTOUCHTM pour le traitement de la fibrillation auriculaire », dénommé « étude SMARTTOUCH – STR – 148 » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 17 décembre 2012 portant analyse dudit traitement automatisé ;
La Commission de Contrôle des Informations Nominatives
I. Sur la finalité et les fonctionnalités du traitement
Ce traitement a pour finalité « Collecter et analyser les informations des patients ayant consenti à participer à l’étude observationnelle ayant pour objet de recueillir des informations sur l’utilisation clinique en pratique réelle du cathéter THERMOCOOL® SMARTTOUCHTM pour le traitement de la fibrillation auriculaire ». Il est dénommé « étude SMARTTOUCH – STR – 148 ».
Il concerne les patients du service cardiologie du Centre Hospitalier Princesse Grace (CHPG) présentant une fibrillation auriculaire (FA) «réfractaires aux médicaments» auxquels a été prescrite une ablation destinée «à détruire le tissu cardiaque responsable du rythme anormal en appliquant un certain type d’énergie électronique au moyen d’un cathéter». Ces patients sont dénommés « sujet » dans l’étude.
Il concerne également les intervenants du CHPG dans le cadre des procédures de qualité, gestion des accès et de traçabilité se rapportant aux opérations qu’ils auront réalisées au cours de la durée de l’étude.
Le responsable de traitement est la société Novella Clinical Grande-Bretagne, chargée de la mise en œuvre du traitement par le promoteur de l’étude Biosense Webster US.
Les fonctionnalités du traitement sont les suivantes :
établir un registre destiné à « examiner l’utilisation du cathéter cardiaque (cathéter SmartTouch) en situation réelle pour déterminer si le contrôle du niveau de pression appliqué peut éviter les complications et améliore l’efficacité de la procédure » ;
« observer les mesures de la force de contact en utilisation clinique réelle lors des procédures d’ablation » ;
« définir la corrélation entre les forces de contact pendant l’ablation et l’innocuité aigüe et l’efficacité à long terme du cathéter ThermoCool SmartTouch pour le traitement de la fibrillation auriculaire ».
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
Le traitement automatisé d’informations nominatives soumis à l’avis de la Commission est présenté comme mis en œuvre dans le cadre d’une « recherche observationnelle » qui ne relève pas du champ d’application de la loi n° 1.265, susvisée.
En l’absence d’ordonnance souveraine permettant l’application de la procédure prévue à l’article 7-1, la Commission n’a pas été en mesure de consulter le service public compétent dans le domaine de la santé préalablement au présent avis.
Elle considère toutefois que les documents complémentaires présentés à la demande d’avis relativement, notamment, aux contrôles préalables réalisés sur le territoire français par le Comité consultatif sur le traitement de l’information en matière de recherche dans le domaine de la santé pour l’organisation de la même étude au sein d’établissement français permettent de répondre à la préoccupation de la loi n° 1.165 de s’assurer préalablement du respect de la législation dans le domaine de la santé.
En outre, la Commission relève que le responsable de traitement précise que l’étude est menée dans le respect notamment :
- des principes de la déclaration d’Helsinki de 1964, révisée ;
- de la Directive 93/42/CE du 14 juin 1993 relative aux dispositifs médicaux ;
- des bonnes pratiques cliniques ;
- les réglementations européennes en matière de protection des données à caractère personnel.
La Commission considère que le traitement est licite conformément à l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification du traitement
Le responsable de traitement fonde la justification de la mise en œuvre du traitement automatisé d’informations nominatives sur le consentement de la personne concernée, c’est-à-dire du « sujet ».
S’agissant d’un traitement de données relatives à la santé, la personne concernée donne librement un consentement écrit et exprès, et pourra, à tout moment, revenir sur celui-ci et solliciter du responsable ou du médecin investigateur la destruction ou l’effacement des informations la concernant. Précédée d’une information des intéressés, la procédure envisagée est conforme à l’article 12 de la loi n° 1.165.
La Commission considère que ce traitement est justifié conformément aux dispositions de l’article 10-2 de la loi n° 1.165.
III. Sur les informations traitées
• Sur le détail des informations traitées
Les informations traitées sur le sujet sont pseudo-anonymisées. Le médecin du CHPG, dit médecin investigateur, connaît le patient et peut l’identifier. Toutefois, les informations saisies dans le présent traitement ne permettront pas d’identifier le patient directement : il sera identifié par un « numéro d’ordre » ou « numéro de patient » composé du numéro de centre auquel est ajouté le numéro de patient dans l’ordre des inclusions.
Les informations nominatives traitées sur le sujet sont :
- identité : numéro d’ordre, l’année de naissance, le sexe ;
- vie professionnelle : le statut professionnel (retraité, sans emploi, contrat à temps plein ou à temps partiel, étudiant, invalidité, refus de communiquer l’information par le patient), impact de la pathologie sur la vie professionnelle du patient (absentéisme, productivité) ;
-données de santé : historique médical des 5 années précédentes (pathologies, fraction d’éjection, historique de la FA, précédentes ablations de la FA, échographies transthoraciques, imagerie d’un thrombus de l’oreillette gauche, suivi des hospitalisations), historique chirurgical, classe NYHA, causes, soins, médications, éléments relatifs à l’évaluation de la qualité de la vie du patient, résultats des examens médicaux réalisés pendant l’étude (ECG, test de grossesse, échographie transthoracique…), suivi de la procédure d’ablation, identification du dispositif médical implanté, problème rencontré, sortie d’hospitalisation, suivi du patient, événements indésirables ;
- décès du patient : statut vital, cause du décès.
Les informations traitées sur les personnes habilitées à réaliser des opérations automatisées dans le cadre de l’exploitation du traitement :
- validation des formations à l’utilisation de l’e-CRF : nom de la personne formée et du formateur, numéro de centre, nom de l’investigateur principal, date de la formation ;
- données de connexion : identifiant, date et heure d’inscription et de modification de données.
• Sur l’origine des informations
Les informations traitées sur le sujet ont pour origine le sujet, le dossier médical du patient tel que maintenu au CHPG, le médecin au travers des données médicales qui présente un intérêt pour le suivi du patient.
Les informations traitées sur les personnels habilités à réaliser des opérations automatisées dans le cadre de l’exploitation du traitement ont pour origine :
- le prestataire d’hosting en conformité avec les impératifs de traçabilité des opérations et le respect des procédures d’audits du Système pour les données concernant leur formation à l’utilisation de l’e-CRF ;
- les applicatifs permettant d’assurer la traçabilité de l’e-CRF pour les données de connexion.
Les informations sont collectées par un praticien de santé soumis au secret professionnel, transmises de manière à assurer la confidentialité des données de santé du sujet au responsable de traitement en charge de l’analyse des données et au promoteur, responsable de l’étude.
La Commission considère que les informations collectées sont «adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information préalable
La Commission relève que l’information préalable des patients est réalisée par un document spécifique et par une mention particulière intégrée dans un document remis à l’intéressé. Cette information est réalisée par le biais du document d’information à l’intention du patient et du formulaire de consentement à participer à la recherche.
Elle constate que l’information est conforme aux mentions visées à l’article 14 de la loi n° 1.165.
Elle considère que les modalités d’information préalable des personnes sont conformes aux dispositions dudit article.
• Sur l’exercice du droit d’accès, de modification et de mise à jour
La Commission observe que le droit d’accès s’exerce auprès du médecin signataire du consentement du patient, ou du médecin investigateur principal en charge de la réalisation de l’étude au sein du CHPG.
Ce droit peut être exercé par voie postale ou sur place. Une réponse leur sera adressée dans les 30 jours suivant leur demande.
En cas de demande de modification, mise à jour ou suppression de leurs informations, la réponse à leur demande leur sera adressée par voie postale ou sur place.
La Commission constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 12, 13, 15 et 16 de la loi n° 1.165, susvisée.
V. Sur les destinataires et les personnes ayant accès au traitement
Les personnes ayant accès aux informations sont :
- le médecin investigateur du CHPG en inscription, modification, mise à jour et consultation ;
- l’attaché de recherche clinique du CHPG en inscription, modification, mise à jour et consultation ;
- le personnel autorisé relevant de l’autorité du promoteur en consultation ;
- le personnel autorisé relevant de l’autorité du responsable de traitement en consultation ;
- le personnel autorisé du prestataire d’hosting : accès lié à la maintenance et au fonctionnement des systèmes ;
- les personnels des autorités réglementaires monégasques et étrangères en consultation.
Les personnes recevant communication des informations sont les personnels habilités du promoteur localisé aux USA pour la conservation des informations.
La demande d’avis précise que « l’ensemble des informations et données (…) concernant les sujets ou leur participation à ce registre sera considéré comme confidentiel. Seul le personnel autorisé ou la personne désignée par [le promoteur] ou les autorités gouvernementales locales agissant dans le cadre de leurs fonctions officielles auront accès à ces fichiers confidentiels. Toutes les données utilisées au cours de l’analyse et rendant compte de cette évaluation ne présenteront aucune référence à l’identité du sujet ».
VI. Sur les transferts d’information
Dans le cadre de l’étude et de l’analyse des données, les informations des sujets sont appelées à être transférées aux Etats-Unis d’Amérique. La Commission relève que ces transferts d’informations sont essentiels à la réalisation du projet. En conséquence, la demande d’avis et la demande d’autorisation de transfert d’informations nominatives sont indissociables.
Sous la responsabilité du responsable de traitement, les informations sont destinées à être transférées pour hébergement, analyse et conservation aux Etats-Unis d’Amérique. Or, ce pays ne figure pas sur la liste des pays qui disposent d’un niveau de protection adéquat au sens de la loi n° 1.165.
La Commission rappelle qu’aux termes de l’article 20-1 de la loi n° 1.165, « le transfert d’informations nominatives vers un pays ou un organisme n’assurant pas, au sens du deuxième alinéa de l’article 20, un niveau de protection adéquat peut par exception à l’interdiction posée audit article, s’effectuer », notamment, « si la personne à laquelle se rapportent les informations a consenti à leur transfert ».
Dans ce sens le responsable de traitement indique que chaque sujet consent au transfert de ces données. La Commission observe que ce consentement est spécifique au transfert des informations recueillies dans le cadre de l’étude vers le promoteur et ses prestataires localisés aux Etats-Unis.
Par ailleurs, elle relève que chacun des intervenants dispose de politique en matière de protection de la vie privée et de procédures normalisées qui ont pour objet d’assurer le respect de la protection des libertés et droits des personnes concernées par le présent traitement.
La Commission constate que le responsable de traitement, son représentant et les destinataires d’informations offrent des garanties suffisantes permettant d’assurer le respect de la protection des libertés et droits mentionnés à l’article premier de la loi n° 1.165, conformément à l’article 20-1 de ladite loi.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
Après en avoir délibéré,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par la société Novella Clinical localisée en Grande-Bretagne, représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace, du traitement automatisé ayant pour finalité « Collecter et analyser les informations des patients ayant consenti à participer à l’étude observationnelle ayant pour objet de recueillir des informations sur l’utilisation clinique en pratique réelle du cathéter Thermocool® SMARTTOUCHTM pour le traitement de la fibrillation auriculaire », dénommé « Etude SmartTouch - STR 148 » ;
Autorise le transfert des informations nominatives aux Etats-Unis d’Amérique sur le fondement de l’article 20-1 de la loi n° 1.165.
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Recommandation n° R(97) 5 du 13 février 1997 relative à la protection des données médicales ;
Vu la déclaration d’Helsinki de l’association médicale mondiale sur les principes éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives, notamment son article 7-1 ;
Vu la loi n° 1.265 du 23 décembre 2002 relative à la protection des personnes dans la recherche biomédicale ;
Vu la loi n° 1.267 du 23 décembre 2002 relative aux dispositifs médicaux ;
Vu l’ordonnance souveraine n° 16.312 du 6 mai 2004 rendant exécutoire l’Accord entre la Communauté Européenne et la Principauté de Monaco sur l’application de certains actes communautaires au territoire de la Principauté de Monaco, fait à Bruxelles le 4 décembre 2003 ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée;
Vu le courrier du Comité consultatif d’éthique en matière de recherche biomédicale monégasque du 16 novembre 2012 ;
Vu la demande d’avis, reçue le 16 novembre 2012, concernant la mise en œuvre par Novella Clinical localisée en Grande-Bretagne, représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace, d’un traitement automatisé ayant pour finalité « Collecter et analyser les informations des patients ayant consenti à participer à l’étude observationnelle ayant pour objet de recueillir des informations sur l’utilisation clinique en pratique réelle du cathéter THERMOCOOL® SMARTTOUCHTM pour le traitement de la fibrillation auriculaire », dénommé « étude SMARTTOUCH – STR – 148 » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 17 décembre 2012 portant analyse dudit traitement automatisé ;
La Commission de Contrôle des Informations Nominatives
I. Sur la finalité et les fonctionnalités du traitement
Ce traitement a pour finalité « Collecter et analyser les informations des patients ayant consenti à participer à l’étude observationnelle ayant pour objet de recueillir des informations sur l’utilisation clinique en pratique réelle du cathéter THERMOCOOL® SMARTTOUCHTM pour le traitement de la fibrillation auriculaire ». Il est dénommé « étude SMARTTOUCH – STR – 148 ».
Il concerne les patients du service cardiologie du Centre Hospitalier Princesse Grace (CHPG) présentant une fibrillation auriculaire (FA) «réfractaires aux médicaments» auxquels a été prescrite une ablation destinée «à détruire le tissu cardiaque responsable du rythme anormal en appliquant un certain type d’énergie électronique au moyen d’un cathéter». Ces patients sont dénommés « sujet » dans l’étude.
Il concerne également les intervenants du CHPG dans le cadre des procédures de qualité, gestion des accès et de traçabilité se rapportant aux opérations qu’ils auront réalisées au cours de la durée de l’étude.
Le responsable de traitement est la société Novella Clinical Grande-Bretagne, chargée de la mise en œuvre du traitement par le promoteur de l’étude Biosense Webster US.
Les fonctionnalités du traitement sont les suivantes :
établir un registre destiné à « examiner l’utilisation du cathéter cardiaque (cathéter SmartTouch) en situation réelle pour déterminer si le contrôle du niveau de pression appliqué peut éviter les complications et améliore l’efficacité de la procédure » ;
« observer les mesures de la force de contact en utilisation clinique réelle lors des procédures d’ablation » ;
« définir la corrélation entre les forces de contact pendant l’ablation et l’innocuité aigüe et l’efficacité à long terme du cathéter ThermoCool SmartTouch pour le traitement de la fibrillation auriculaire ».
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
Le traitement automatisé d’informations nominatives soumis à l’avis de la Commission est présenté comme mis en œuvre dans le cadre d’une « recherche observationnelle » qui ne relève pas du champ d’application de la loi n° 1.265, susvisée.
En l’absence d’ordonnance souveraine permettant l’application de la procédure prévue à l’article 7-1, la Commission n’a pas été en mesure de consulter le service public compétent dans le domaine de la santé préalablement au présent avis.
Elle considère toutefois que les documents complémentaires présentés à la demande d’avis relativement, notamment, aux contrôles préalables réalisés sur le territoire français par le Comité consultatif sur le traitement de l’information en matière de recherche dans le domaine de la santé pour l’organisation de la même étude au sein d’établissement français permettent de répondre à la préoccupation de la loi n° 1.165 de s’assurer préalablement du respect de la législation dans le domaine de la santé.
En outre, la Commission relève que le responsable de traitement précise que l’étude est menée dans le respect notamment :
- des principes de la déclaration d’Helsinki de 1964, révisée ;
- de la Directive 93/42/CE du 14 juin 1993 relative aux dispositifs médicaux ;
- des bonnes pratiques cliniques ;
- les réglementations européennes en matière de protection des données à caractère personnel.
La Commission considère que le traitement est licite conformément à l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification du traitement
Le responsable de traitement fonde la justification de la mise en œuvre du traitement automatisé d’informations nominatives sur le consentement de la personne concernée, c’est-à-dire du « sujet ».
S’agissant d’un traitement de données relatives à la santé, la personne concernée donne librement un consentement écrit et exprès, et pourra, à tout moment, revenir sur celui-ci et solliciter du responsable ou du médecin investigateur la destruction ou l’effacement des informations la concernant. Précédée d’une information des intéressés, la procédure envisagée est conforme à l’article 12 de la loi n° 1.165.
La Commission considère que ce traitement est justifié conformément aux dispositions de l’article 10-2 de la loi n° 1.165.
III. Sur les informations traitées
• Sur le détail des informations traitées
Les informations traitées sur le sujet sont pseudo-anonymisées. Le médecin du CHPG, dit médecin investigateur, connaît le patient et peut l’identifier. Toutefois, les informations saisies dans le présent traitement ne permettront pas d’identifier le patient directement : il sera identifié par un « numéro d’ordre » ou « numéro de patient » composé du numéro de centre auquel est ajouté le numéro de patient dans l’ordre des inclusions.
Les informations nominatives traitées sur le sujet sont :
- identité : numéro d’ordre, l’année de naissance, le sexe ;
- vie professionnelle : le statut professionnel (retraité, sans emploi, contrat à temps plein ou à temps partiel, étudiant, invalidité, refus de communiquer l’information par le patient), impact de la pathologie sur la vie professionnelle du patient (absentéisme, productivité) ;
-données de santé : historique médical des 5 années précédentes (pathologies, fraction d’éjection, historique de la FA, précédentes ablations de la FA, échographies transthoraciques, imagerie d’un thrombus de l’oreillette gauche, suivi des hospitalisations), historique chirurgical, classe NYHA, causes, soins, médications, éléments relatifs à l’évaluation de la qualité de la vie du patient, résultats des examens médicaux réalisés pendant l’étude (ECG, test de grossesse, échographie transthoracique…), suivi de la procédure d’ablation, identification du dispositif médical implanté, problème rencontré, sortie d’hospitalisation, suivi du patient, événements indésirables ;
- décès du patient : statut vital, cause du décès.
Les informations traitées sur les personnes habilitées à réaliser des opérations automatisées dans le cadre de l’exploitation du traitement :
- validation des formations à l’utilisation de l’e-CRF : nom de la personne formée et du formateur, numéro de centre, nom de l’investigateur principal, date de la formation ;
- données de connexion : identifiant, date et heure d’inscription et de modification de données.
• Sur l’origine des informations
Les informations traitées sur le sujet ont pour origine le sujet, le dossier médical du patient tel que maintenu au CHPG, le médecin au travers des données médicales qui présente un intérêt pour le suivi du patient.
Les informations traitées sur les personnels habilités à réaliser des opérations automatisées dans le cadre de l’exploitation du traitement ont pour origine :
- le prestataire d’hosting en conformité avec les impératifs de traçabilité des opérations et le respect des procédures d’audits du Système pour les données concernant leur formation à l’utilisation de l’e-CRF ;
- les applicatifs permettant d’assurer la traçabilité de l’e-CRF pour les données de connexion.
Les informations sont collectées par un praticien de santé soumis au secret professionnel, transmises de manière à assurer la confidentialité des données de santé du sujet au responsable de traitement en charge de l’analyse des données et au promoteur, responsable de l’étude.
La Commission considère que les informations collectées sont «adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information préalable
La Commission relève que l’information préalable des patients est réalisée par un document spécifique et par une mention particulière intégrée dans un document remis à l’intéressé. Cette information est réalisée par le biais du document d’information à l’intention du patient et du formulaire de consentement à participer à la recherche.
Elle constate que l’information est conforme aux mentions visées à l’article 14 de la loi n° 1.165.
Elle considère que les modalités d’information préalable des personnes sont conformes aux dispositions dudit article.
• Sur l’exercice du droit d’accès, de modification et de mise à jour
La Commission observe que le droit d’accès s’exerce auprès du médecin signataire du consentement du patient, ou du médecin investigateur principal en charge de la réalisation de l’étude au sein du CHPG.
Ce droit peut être exercé par voie postale ou sur place. Une réponse leur sera adressée dans les 30 jours suivant leur demande.
En cas de demande de modification, mise à jour ou suppression de leurs informations, la réponse à leur demande leur sera adressée par voie postale ou sur place.
La Commission constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 12, 13, 15 et 16 de la loi n° 1.165, susvisée.
V. Sur les destinataires et les personnes ayant accès au traitement
Les personnes ayant accès aux informations sont :
- le médecin investigateur du CHPG en inscription, modification, mise à jour et consultation ;
- l’attaché de recherche clinique du CHPG en inscription, modification, mise à jour et consultation ;
- le personnel autorisé relevant de l’autorité du promoteur en consultation ;
- le personnel autorisé relevant de l’autorité du responsable de traitement en consultation ;
- le personnel autorisé du prestataire d’hosting : accès lié à la maintenance et au fonctionnement des systèmes ;
- les personnels des autorités réglementaires monégasques et étrangères en consultation.
Les personnes recevant communication des informations sont les personnels habilités du promoteur localisé aux USA pour la conservation des informations.
La demande d’avis précise que « l’ensemble des informations et données (…) concernant les sujets ou leur participation à ce registre sera considéré comme confidentiel. Seul le personnel autorisé ou la personne désignée par [le promoteur] ou les autorités gouvernementales locales agissant dans le cadre de leurs fonctions officielles auront accès à ces fichiers confidentiels. Toutes les données utilisées au cours de l’analyse et rendant compte de cette évaluation ne présenteront aucune référence à l’identité du sujet ».
VI. Sur les transferts d’information
Dans le cadre de l’étude et de l’analyse des données, les informations des sujets sont appelées à être transférées aux Etats-Unis d’Amérique. La Commission relève que ces transferts d’informations sont essentiels à la réalisation du projet. En conséquence, la demande d’avis et la demande d’autorisation de transfert d’informations nominatives sont indissociables.
Sous la responsabilité du responsable de traitement, les informations sont destinées à être transférées pour hébergement, analyse et conservation aux Etats-Unis d’Amérique. Or, ce pays ne figure pas sur la liste des pays qui disposent d’un niveau de protection adéquat au sens de la loi n° 1.165.
La Commission rappelle qu’aux termes de l’article 20-1 de la loi n° 1.165, « le transfert d’informations nominatives vers un pays ou un organisme n’assurant pas, au sens du deuxième alinéa de l’article 20, un niveau de protection adéquat peut par exception à l’interdiction posée audit article, s’effectuer », notamment, « si la personne à laquelle se rapportent les informations a consenti à leur transfert ».
Dans ce sens le responsable de traitement indique que chaque sujet consent au transfert de ces données. La Commission observe que ce consentement est spécifique au transfert des informations recueillies dans le cadre de l’étude vers le promoteur et ses prestataires localisés aux Etats-Unis.
Par ailleurs, elle relève que chacun des intervenants dispose de politique en matière de protection de la vie privée et de procédures normalisées qui ont pour objet d’assurer le respect de la protection des libertés et droits des personnes concernées par le présent traitement.
La Commission constate que le responsable de traitement, son représentant et les destinataires d’informations offrent des garanties suffisantes permettant d’assurer le respect de la protection des libertés et droits mentionnés à l’article premier de la loi n° 1.165, conformément à l’article 20-1 de ladite loi.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
Après en avoir délibéré,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par la société Novella Clinical localisée en Grande-Bretagne, représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace, du traitement automatisé ayant pour finalité « Collecter et analyser les informations des patients ayant consenti à participer à l’étude observationnelle ayant pour objet de recueillir des informations sur l’utilisation clinique en pratique réelle du cathéter Thermocool® SMARTTOUCHTM pour le traitement de la fibrillation auriculaire », dénommé « Etude SmartTouch - STR 148 » ;
Autorise le transfert des informations nominatives aux Etats-Unis d’Amérique sur le fondement de l’article 20-1 de la loi n° 1.165.
Le Président de la Commission
de Contrôle des Informations Nominatives.