Délibération n° 2017-37 du 15 mars 2017 de la Commission de Contrôle des Informations Nominatives portant autorisation au transfert d'informations nominatives vers les États-Unis d'Amérique ayant pour finalité « Transfert de données vers Cenduit - Corporate Headquarters localisé aux États-Unis d'Amérique à des fins de prise en charge des modalités d'inscription du patient ayant consenti à participer à la recherche biomédicale CAIN457H2315, de gestion et d'attribution des traitements médicaux d'investigation » présenté par Novartis Pharma SG, localisé en Suisse, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace.
Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la Recommandation n° R(97) 5 du 13 février 1997 relative à la protection des données médicales ;
Vu la Déclaration d'Helsinki de l'association médicale mondiale sur les principes éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.254 du 12 juillet 2002 sur le médicament à usage humain ;
Vu la loi n° 1.265 du 23 décembre 2002 relative à la protection des personnes dans la recherche biomédicale, modifiée ;
Vu l'avis favorable émis par le Comité consultatif d'éthique en matière de recherche biomédicale, le 28 juillet 2016, portant sur la recherche biomédicale avec bénéfice direct intitulée « Étude CAIN457H2315 : étude multicentrique, randomisée, en double aveugle, contrôlée versus placebo, évaluant la sécurité d'emploi, la tolérance et l'efficacité jusqu'à 2 ans du sécukinumab chez des patients atteints d'une spondyloarthrite axiale non radiographique active » ;
Vu la demande d'avis, reçue le 9 décembre 2016, concernant la mise en œuvre par Novartis Pharma AG, localisé en Suisse, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, d'un traitement automatisé ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale ayant pour objet au travers d'une étude multicentrique, randomisée, en double aveugle, contrôlée versus placebo, d'évaluer la sécurité d'emploi, la tolérance et l'efficacité jusqu'à 2 ans du sécukinumab chez des patients atteints d'une spondyloarthrite axiale non radiographique active », dénommé « Étude CAIN457H2315 - n° EudraCT : 20015-001106-33 » ;
Vu la demande d'autorisation concomitante, reçue le 9 décembre 2016, concernant le transfert d'informations nominatives vers les États-Unis d'Amérique présenté par Novartis Pharma AG, localisé en Suisse, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, ayant pour finalité « Prendre en charge les modalités d'inscription du patient dans l'étude, de gestion et d'attribution des traitements médicaux d'investigation » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 15 mars 2017 portant examen du traitement automatisé susvisé.
La Commission de Contrôle des Informations Nominatives,
Préambule
Le 9 décembre 2016, le Centre Hospitalier Princesse Grace (CHPG) a déposé, en qualité de représentant en Principauté de Monaco de Novartis Pharma A.G., auprès de la Commission une demande d'avis concernant la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale ayant pour objet au travers d'une étude multicentrique, randomisée, en double aveugle, contrôlée versus placebo, d'évaluer la sécurité d'emploi, la tolérance et l'efficacité jusqu'à 2 ans du sécukinumab chez des patients atteints d'une spondyloarthrite axiale non radiographique active », dénommé « Étude CAIN457H2315 - n° EudraCT : 20015-001106-33 ».
Concomitamment, le CHPG a déposé, en tant que représentant en Principauté de Monaco de Novartis Pharma A.G., une demande d'autorisation de transfert d'informations nominatives, collectées sur le territoire de la Principauté, vers Cenduit - Corporate Headquarters, sise dans l'État de Caroline du Sud aux États-Unis d'Amérique ayant pour finalité « Prendre en charge les modalités d'inscription du patient dans l'étude, de gestion et d'attribution des traitements médicaux d'investigation ».
Les États-Unis d'Amérique ne disposant pas d'un niveau de protection adéquat au sens de la législation monégasque, la présente demande de transfert est soumise à l'autorisation de la Commission, conformément aux articles 20 et 20-1 de la loi n° 1.165 du 23 décembre 1993.
I. Sur la finalité et les fonctionnalités du traitement
Le responsable de traitement indique que le transfert de données envisagé a pour finalité « Prendre en charge les modalités d'inscription du patient dans l'étude, de gestion et d'attribution des traitements médicaux d'investigation ».
Il s'appuie sur le traitement dénommé « Étude CAIN457H2315 - n° EudraCT : 20015-001106-33 », précité.
Les personnes concernées par le transfert d'informations sont les patients du service rhumatologie répondant aux critères d'inclusion du protocole de recherche et ayant consenti à participer à la recherche.
La Commission rappelle que tout traitement d'informations nominatives doit avoir une finalité « déterminée, explicite et légitime », aux termes de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
Elle observe que le transfert concerne uniquement le numéro du patient, information pseudo-anonymisée afin de permettre l'inscription du patient dans l'étude et d'assurer le suivi des traitements communiqués au CHPG dans le cadre d'une étude randomisée, en double aveugle, contrôlée versus placebo.
Aussi, en l'espèce, elle considère que la finalité du traitement doit être plus explicite pour les personnes concernées en indiquant plus précisément le cadre du transfert des données.
Par conséquent, la Commission modifie la finalité comme suit : « Transfert de données vers Cenduit - Corporate Headquarters localisé aux États-Unis d'Amérique à des fins de prise en charge des modalités d'inscription du patient ayant consenti à participer à la recherche biomédicale CAIN457H2315, de gestion et d'attribution des traitements médicaux d'investigation ».
II. Sur les informations collectées par le transfert
Le responsable de traitement indique dans la demande de transfert que les données communiquées sont « identité (numéro de patient) ».
À l'examen de la demande d'avis principale portant sur le traitement automatisé dénommé « Étude CAIN457H2315 - n° EudraCT : 20015-001106-33 », il appert que le transfert concerne les données nécessaires au suivi de la randomisation du patient et de son inscription dans une liste liée au médicament inoculé.
En conséquence, les informations indirectement nominatives des patients concernées par le transfert sont :
- identité : numéro de patient, initiales du patient, numéro de centre ;
- données de santé : numéro d'identification unique de médicament, bras d'inclusion, statuts du patient.
La Commission observe également que les identifiants et données de connexion du personnel du CHPG habilité seront également traités.
L'entité destinataire des informations est Cenduit - Corporate Headquarters localisé aux États-Unis d'Amérique, sise dans l'État de Caroline du Nord aux États-Unis d'Amérique.
Elle considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
III. Sur la durée de conservation des données
Les informations seront conservées 15 ans par le destinataire, conformément aux stipulations du protocole d'étude.
IV. Sur la licéité et la justification du transfert
Le responsable de traitement justifie le transfert dont s'agit par le consentement des personnes concernées, c'est-à-dire des patients, exception visée à l'article 20-1 de la loi n° 1.165 du 23 décembre 1993, en précisant que ce consentement « fait partie des garanties permettant le transfert ».
Dans ce sens, il indique que ce consentement « doit être recueilli par écrit avant inclusion dans la recherche. Les droits des personnes relatifs à leurs informations nominatives et les modalités de transferts des données sont précisés dans ce document ».
À la lecture dudit document, la Commission constate que le patient est informé que ses données « seront transmises à Norvatis Pharma ou aux personnes agissant pour son compte, en France ou à l'étranger », qu'elles « seront identifiées par un numéro de code et [ses] initiales » et que le promoteur s'engage à assurer leur confidentialité et leur protection.
Aussi, elle relève que les patients ne sont informés ni des Pays, ni des destinataires de leurs informations.
En conséquence, elle considère que le consentement des patients n'est pas suffisamment explicite pour être conforme à l'exception prévue à l'article 20-1 de la loi n° 1.165 du 23 décembre 1993.
Elle demande donc, s'agissant de transfert d'information vers des organismes localisés dans des Pays ne disposant pas d'un niveau de protection adéquat, que le document d'information soit modifié afin d'indiquer expressément les organismes ou catégories d'organisme recevant communication d'informations (en l'espèce, Cenduit - Corporate Headquarters), ainsi que la ou les finalités des transferts (en l'espèce à des fins de prise en charge des modalités d'inscription du patient, de gestion et d'attribution des traitements médicaux d'investigation).
En outre, le consentement des patients devra comporter une mention particulière audit transfert indiquant que le patient consent au transfert de ses informations, comme mentionné au document d'information.
Par ailleurs, le responsable de traitement met en évidence que le destinataire des données s'est engagé à disposer de procédure respectant la Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.
Sans précision sur le sujet, elle suggère au responsable de traitement de s'assurer que les engagements précités s'appliquent également aux données en provenance de Monaco.
V. Sur la sécurité du transfert et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation.
La Commission rappelle cependant que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
Après en avoir délibéré, la Commission :
Modifie la finalité du traitement comme suit : « Transfert de données vers Cenduit - Corporate Headquarters localisé aux États-Unis d'Amérique à des fins de prise en charge des modalités d'inscription du patient ayant consenti à participer à la recherche biomédicale CAIN457H2315, de gestion et d'attribution des traitements médicaux d'investigation ».
Demande que :
- le document d'information soit modifié afin d'indiquer expressément que les données des patients sont transférées vers les États-Unis d'Amérique avec mention des destinataires ou catégories de destinataires, ainsi que des finalités desdits transferts ;
- le consentement des patients soit modifié afin de faire clairement apparaître leur consentement au transfert de leurs informations tel que décrit dans le document d'informations.
Suggère que les engagements précités s'appliquent également aux données en provenance de Monaco.
À la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives autorise Novartis Pharma AG, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, à procéder au transfert d'informations nominatives à destination des États-Unis d'Amérique ayant pour finalité « Transfert de données vers Cenduit - Corporate Headquarters localisé aux États-Unis d'Amérique à des fins de prise en charge des modalités d'inscription du patient ayant consenti à participer à la recherche biomédicale CAIN457H2315, de gestion et d'attribution des traitements médicaux d'investigation ».
Le Président de la Commission
de Contrôle des Informations Nominatives.