Délibération n° 2016-99 du 20 juillet 2016 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Collecter et analyser les informations des patients ayant consenti à participer à la recherche observationnelle ayant pour objet d'évaluer l'efficacité des prothèses métalliques couvertes en « diabolo » dans le traitement de la nécrose d'origine pancréatique : essai « Diabolopig » », dénommé « Etude Diabolopig - Réf : 15-PP-01 », présenté par le Centre Hospitalier Universitaire de Nice, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace.

Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Recommandation n° R(97) 5 du Conseil de l'Europe du 13 février 1997 relative à la protection des données médicales ;
Vu la Déclaration d'Helsinki de l'association médicale mondiale sur les principes éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.267 du 23 décembre 2002 relative aux dispositifs médicaux ;
Vu l'ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l'ordonnance souveraine n° 4.694 du 30 janvier 2014 relative aux modalités d'application de l'article 7-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu le Code de déontologie médicale ;
Vu la délibération n° 2010-49 du 6 décembre 2010 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gérer les informations médicales du patient afin d'assurer sa prise en charge lors de ses venues au CHPG » par le Centre Hospitalier Princesse Grace ;
Vu la demande d'avis, reçue le 15 mars 2016, concernant la mise en œuvre par le Centre Hospitalier Universitaire de Nice, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, d'un traitement automatisé ayant pour finalité « Collecter et analyser les informations des patients ayant consenti à participer à la recherche observationnelle ayant pour objet d'évaluer l'efficacité des prothèses métalliques couvertes en « diabolo » dans le traitement de la nécrose d'origine pancréatique : essai « Diabolopig » », dénommé « Etude Diabolopig - Réf : 15-PP-01 » ;
Vu l'avis favorable de la Direction de l'Action Sanitaire du 9 mai 2016 reçu par la Commission le 2 juin 2016 ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au représentant du responsable de traitement le 10 juin 2016, conformément à l'article 19 de l'ordonnance souveraine n° 2.230 susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 20 juillet 2016 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le traitement automatisé d'informations nominatives soumis à l'avis de la Commission a pour fin une recherche observationnelle.
Le Centre Hospitalier Princesse Grace (CHPG), établissement public, s'est constitué représentant sur le territoire monégasque du Centre Hospitalier Universitaire de Nice (CHUN), responsable de traitement.
Conformément à l'article 7-1 alinéa 3 de la loi n° 1.165 du 23 décembre 1993, la mise en œuvre de ce traitement est soumise à l'avis de la Commission.
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Collecter et analyser les informations des patients ayant consenti à participer à la recherche observationnelle ayant pour objet d'évaluer l'efficacité des prothèses métalliques couvertes en « diabolo » dans le traitement de la nécrose d'origine pancréatique : essai « Diabolopig » ». Il est dénommé « Etude Diabolopig - Réf : 15-PP-01 ».
Cette recherche est une recherche observationnelle, multicentrique, prospective, évaluant un nouveau dispositif prothétique dans le traitement de la nécrose d'origine pancréatique. Son objectif principal est d'évaluer l'efficacité clinique à 72 heures de la nécrosectomie pancréatique endoscopique après insertion de prothèse métallique complètement couverte courte de type «  diabolo » après une séance de nécrosectomie.
Ladite étude prévoit d'inclure 100 patients, dont 5 à Monaco, atteints de nécrose dans les suites de pancréatite aiguë avec des symptômes imposant son extraction.
En Principauté de Monaco, elle sera réalisée au CHPG sous la responsabilité de médecins exerçant au sein du service Hépato-gastro-entérologie.
Les personnes concernées sont :
- les patients qui ont consenti à participer à la recherche ;
- les médecins investigateurs du CHPG, les attachés de recherche clinique (ARC) du CHPG et les personnels intervenant, sous la responsabilité du médecin investigateur principal, au cours de l'étude.
Ses fonctionnalités sont les suivantes :
- organiser l'inclusion des patients ;
- collecter et analyser les données des sujets conformément aux objectifs scientifiques et au protocole de l'étude Diabolopig ;
- conserver les données traitées dans le respect de la réglementation en vigueur ;
- veiller à la qualité et à la traçabilité des opérations automatisées réalisées par les personnes habilitées à avoir accès au traitement.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
Tout d'abord, le protocole de l'étude précise que le déroulement de la recherche et la prise en charge des patients seront faits conformément à la loi française de Bioéthique et aux dispositions législatives et réglementaires françaises, et plus particulièrement les articles L. 1232-6 et L.1243-9 du code de la santé publique et le Décret n° 2007-1220 du 10 août 2007 relatif au prélèvement, à la conservation et à la préparation à des fins scientifiques d'éléments du corps humain et modifiant le code de la santé publique.
Par ailleurs, la Commission relève que l'article 12 de la loi n° 1.165 du 23 décembre 1993 autorise le traitement de données de santé lorsqu'il est effectué « dans l'intérêt de la recherche et que le traitement de ces données est effectué par un praticien de la santé soumis au secret professionnel ou par une autre personne également soumise à une obligation de secret ».
Tenant compte de la sensibilité de ce type de traitement, l'article 7-1 de la loi n° 1.165 du 23 décembre 1993 soumet leur mise en œuvre à un contrôle préalable de la CCIN qui peut, si elle l'estime nécessaire, consulter la Direction de l'Action Sanitaire (DASA).
Ainsi, saisie de la présente étude, conformément à l'article 7-1 précité et aux dispositions de l'ordonnance souveraine n° 4.694 du 30 janvier 2014, la DASA a émis un avis favorable, le 9 mai 2016, à la mise en œuvre de l'étude Diabolopig.
La Commission relève en outre que les patients qui acceptent de participer à la recherche devront, préalablement, exprimer un consentement écrit et exprès concernant le traitement de leurs données.
Enfin, elle constate que la présente recherche a reçu, en France, un avis favorable du Comité consultatif sur le traitement de l'information en matière de recherche dans le domaine de la santé (CCTIRS), le 9 juillet 2015, ainsi que l'aval de la Commission Nationale de l'Informatique et des Libertés (CNIL), le 18 décembre 2015, préalablement à son démarrage, conformément aux dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée.
La Commission considère donc que le traitement est licite, conformément aux dispositions des articles 10-1 et 12 de la loi n° 1.165 du 23 décembre 1993\.
• Sur la justification du traitement
Le traitement des données est justifié par le consentement écrit et exprès du patient, et par l'intérêt légitime du responsable de traitement qui ne méconnaît ni l'intérêt, ni les droits et libertés fondamentaux des personnes concernées.
L'intérêt légitime mis en avant pour le traitement des données des patients est l'intérêt de la recherche. Dans ce sens, il respecte, sous la responsabilité des médecins, les règles et garanties élaborées par le législateur afin de protéger les patients qui acceptent de participer à ce type de recherche. Les droits des patients sont précisés dans un document d'information qui leur est destiné et dans une clause insérée dans le formulaire de consentement de participation signé par chaque patient.
En outre, toute personne intervenant dans le processus du traitement des informations est soumise à une obligation de secret.
La Commission relève que le traitement est justifié conformément à l'article 10-2 de la loi n° 1.165 du 23 décembre 1993.
III. Sur les informations traitées
• L'identité du patient pseudo-anonymisée
Les informations traitées sur le patient sont pseudo-anonymisées. Seul le médecin du CHPG, à savoir le médecin investigateur, connaît le patient et peut l'identifier. Hors de l'établissement, le patient est identifié par un code à 4 chiffres appelé « numéro de patient ».
Ce numéro est composé de 2 chiffres identifiant le CHPG comme Centre d'étude et de 2 chiffres correspondant au numéro chronologique d'inclusion du patient.
Par ailleurs, les informations permettant l'identification des patients et l'attribution de leurs numéros, sont traitées de manière non automatisée par ce professionnel de santé. Il s'agit des données suivantes :
- identité du patient : numéro patient, nom, prénom, initiales, date de naissance ;
- informations de suivi de l'étude : date d'inclusion, date de sortie d'étude.
• Les informations traitées de manière automatisée sur le patient
Les informations traitées de manière automatisée sur le patient sont les suivantes :
- identité : numéro de patient, initiales (1ère du nom et 1ère du prénom), année de naissance du patient, mois de naissance pour les patients dans leur 18ème année, âge, sexe du patient ;
- données de santé : dates des visites, histoire de la maladie, antécédents médicaux, indication de drainage, imagerie, examens cliniques, examens biologiques, test de grossesse, critères de sélection, lieu d'hospitalisation, prise en charge, antibiothérapie, pose de la prothèse, traitement canalaire, évènements indésirables, migration spontanée de la prothèse, nécrosectomie endoscopique, évaluation scanner, retrait de la prothèse, prothèse pancréatique, réévaluation.
Les informations ont pour origine le dossier médical du patient ainsi que les documents et analyses établis ou reçus par les médecins investigateurs et professionnels de santé intervenant dans le processus de traitement du patient.
• Les données traitées de manière automatisée sur le personnel du CHPG
Les informations traitées sur les personnels du CHPG au cours de l'étude sont :
- identité du médecin et de l'ARC : nom et prénom ;
- adresse et coordonnées du médecin et de l'ARC : adresse électronique ;
- identifiant électronique du médecin et de l'ARC : code identifiant et mot de passe ;
- données de connexion : données d'horodatage et opérations effectuées en ajout, modification et suppression des données de l'étude.
Elles ont pour origine le curriculum vitae de l'intéressé et l'intervenant lui-même lors de ses connexions.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.
IV. Sur les droits des personnes concernées
• Sur l'information préalable
L'information préalable du patient est réalisée par le biais d'un document spécifique intitulé « Document d'information Patient » et d'une clause particulière insérée dans le formulaire de consentement qu'il signe.
A cet égard, la Commission observe que ces documents envisagent l'hypothèse de sortie de l'étude du patient et prévoient que le patient a la possibilité d'interrompre à tout moment sa participation sans justification ni conséquence.
Cependant, elle constate que ces documents ne mentionnent pas le devenir des informations collectées sur le patient et si ce dernier a ou non la possibilité de « solliciter du responsable ou de l'utilisateur du traitement la destruction ou l'effacement des informations [le] concernant », comme prévu à l'article 12 de la loi n° 1.165 du 23 décembre 1993.
Aussi, la Commission demande que les documents soient modifiés afin de préciser ce point et d'expliquer, le cas échéant, pour quelles raisons les informations ne pourraient être supprimées, particulièrement si cette conservation est liée aux obligations de conformité du responsable de traitement visant à établir la qualité des procédures suivies et des procédures mises en place garantissant la fiabilité des résultats de l'étude.
• Sur l'exercice du droit d'accès, de modification et de mise à jour
Le droit d'accès s'exerce auprès du médecin signataire du consentement avec le patient.
Le patient peut exercer ses droits par voie postale ou sur place. Une réponse lui sera adressée selon les mêmes modalités dans les 30 jours suivant sa demande.
La Commission constate que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 12, 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les personnes ayant accès au traitement
Les habilitations permettant l'accès au traitement et aux informations relèvent de l'autorité du responsable de traitement qui assure la pleine et entière responsabilité de la conduite du projet.
Les personnes ayant accès aux informations sont :
- le médecin investigateur du CHPG : en inscription, modification, mise à jour et consultation ;
- l'Attaché de Recherche Clinique (ARC) du CHPG : en inscription, modification, mise à jour et consultation ;
- le personnel du CHUN autorisé par le promoteur, les prérogatives de chaque intervenant sont contrôlées par la DRCI et conforme aux règle et usage :
- l'ARC moniteur : en consultation (suivi et contrôle des données) ;
- le datamanager : en consultation (suivi et contrôle des données) ;
- le biostatisticien : en consultation (conformité au protocole et études statistiques) ;
- le méthodologiste : en consultation (conformité au protocole et études statistiques) ;
- l'informaticien : en consultation (gestion opérationnelle et technique du système d'information) ;
- le Comité de surveillance : en consultation (suivi des évènements indésirables) ;
- les prestataires : pour leurs missions de maintenance et d'archivage.
Les accès au présent traitement sont dévolus en considération des missions et des fonctions des personnes auxquelles ils sont attribués, conformément aux articles 8 et 17 de la loi n° 1.165 du 23 décembre 1993.
En ce qui concerne les prestataires, la Commission rappelle que, conformément aux dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993, leurs droits d'accès sont limités à ce qui est strictement nécessaire à l'exécution de leur contrat de prestation de service, et qu'ils sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
• Sur les destinataires des informations
Les informations sont communiquées de manière sécurisée aux entités habilitées par le promoteur afin de leur permettre d'exécuter les tâches précitées et d'assurer la conservation des données et des documents au cours de l'étude.
Tous les intervenants sont localisés en France et soumis au secret professionnel.
VI. Sur les rapprochements et interconnexions
Le responsable de traitement indique que le présent traitement ne fait l'objet d'aucun rapprochement ou interconnexion.
La Commission observe toutefois que ledit traitement fait l'objet de rapprochements :
- avec un traitement non automatisé : le document de correspondance établi sous format papier par le médecin investigateur principal comportant le numéro patient et son identité complète, document obligatoire pour retrouver les dossiers médicaux des patients pendant la durée de suivi et de l'archivage de l'étude ;
- avec le traitement ayant pour finalité « Gérer les informations médicales du patient afin d'assurer sa prise en charge lors de ses venues au CHPG », susvisé, permettant la collecte d'informations à partir du dossier patient, évoqué précédemment.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation de la part de la Commission.
La Commission relève toutefois que l'architecture technique repose sur des équipements de raccordement (switchs, routeurs, pare-feux) de serveurs et périphériques qui doivent être protégés par un login et un mot de passe réputés forts et que les ports non utilisés doivent être désactivés.
Par ailleurs, elle demande que toutes données pseudo-anonymisées transmises soient chiffrées.
La Commission rappelle, en outre, que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
VIII. Sur la durée de conservation
Le responsable de traitement indique que la durée totale de l'étude est de « 30 mois + 4 mois d'analyse » et que les données seront conservées jusqu'à la publication des résultats.
A cet égard, la Commission rappelle que si les informations devaient être conservées sur une durée plus longue, une demande d'avis modificative devra lui être soumise.
Après en avoir délibéré, la Commission :
Prend acte de l'avis favorable de la Direction de l'Action Sanitaire, en date du 9 mai 2016 et transmis par le Ministre d'Etat, concernant l'étude Diabolopig.
Rappelle que :
- le patient ne devra en aucun cas être identifiable, particulièrement lors de la publication ou de la diffusion des analyses et résultats de la présente étude ;
- les serveurs et périphériques doivent être protégés par un login et un mot de passe réputés forts et les ports non utilisés doivent être désactivés ;
- si les informations devaient être conservées sur une durée plus longue, une demande d'avis modificative devra lui être soumise.
Demande que :
- la note d'information et le formulaire de consentement précisent, dans le cas où un patient souhaiterait revenir sur son consentement, s'il a ou non la possibilité de « solliciter du responsable ou de l'utilisateur du traitement la destruction ou l'effacement des informations le concernant » ;
- toutes données pseudo-anonymisées transmises soient chiffrées.
Sous réserve de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par le Centre Hospitalier Princesse Grace du traitement automatisé ayant pour finalité « Collecter et analyser les informations des patients ayant consenti à participer à la recherche observationnelle ayant pour objet d'évaluer l'efficacité des prothèses métalliques couvertes en « diabolo » dans le traitement de la nécrose d'origine pancréatique : essai «  Diabolopig » », dénommé « Etude Diabolopig - Réf : 15-PP-01 ».

Le Président de la Commission
de Contrôle des Informations Nominatives.