Délibération n° 2017-38 du 15 mars 2017 de la Commission de Contrôle des Informations Nominatives portant autorisation au transfert d'informations nominatives vers les États-Unis d'Amérique ayant pour finalité « Transfert de données à des fins de Contrôle qualité radiologique d'imageries médicales pseudo-anonymisées des patients ayant consenti à participer à la recherche biomédicale CAIN457H2315 vers Parexel Informatics localisé aux États-Unis d'Amérique » présenté par Novartis Pharma SG, localisé en Suisse, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace.
Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la Recommandation n° R(97) 5 du 13 février 1997 relative à la protection des données médicales ;
Vu la Déclaration d'Helsinki de l'association médicale mondiale sur les principes éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.254 du 12 juillet 2002 sur le médicament à usage humain ;
Vu la loi n° 1.265 du 23 décembre 2002 relative à la protection des personnes dans la recherche biomédicale, modifiée ;
Vu l'avis favorable émis par le Comité consultatif d'éthique en matière de recherche biomédicale, le 28 juillet 2016, portant sur la recherche biomédicale avec bénéfice direct intitulée « Étude CAIN457H2315 : étude multicentrique, randomisée, en double aveugle, contrôlée versus placebo, évaluant la sécurité d'emploi, la tolérance et l'efficacité jusqu'à 2 ans du sécukinumab chez des patients atteints d'une spondyloarthrite axiale non radiographique active » ;
Vu la demande d'avis, reçue le 9 décembre 2016, concernant la mise en œuvre par Novartis Pharma AG, localisé en Suisse, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, d'un traitement automatisé ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale ayant pour objet au travers d'une étude multicentrique, randomisée, en double aveugle, contrôlée versus placebo, d'évaluer la sécurité d'emploi, la tolérance et l'efficacité jusqu'à 2 ans du sécukinumab chez des patients atteints d'une spondyloarthrite axiale non radiographique active », dénommé « Étude CAIN457H2315 - n° EudraCT : 20015-001106-33 » ;
Vu la demande d'autorisation concomitante, reçue le 9 décembre 2016, concernant le transfert d'informations nominatives vers les États-Unis d'Amérique présentée par Novartis Pharma AG, localisé en Suisse, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, ayant pour finalité « Analyser les informations des patients ayant consenti à participer à la recherche CAIN457H2315\. PAREXEL vérifiera la qualité des radiographies qui auront été effectuées dans le cadre de la recherche » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 15 mars 2017 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le 9 décembre 2016, le Centre Hospitalier Princesse Grace (CHPG) a déposé, en qualité de représentant en Principauté de Monaco de Novartis Pharma A.G., auprès de la Commission une demande d'avis concernant la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale ayant pour objet au travers d'une étude multicentrique, randomisée, en double aveugle, contrôlée versus placebo, d'évaluer la sécurité d'emploi, la tolérance et l'efficacité jusqu'à 2 ans du sécukinumab chez des patients atteints d'une spondyloarthrite axiale non radiographique active », dénommé « Étude CAIN457H2315 - n° EudraCT : 20015-001106-33 ».
Concomitamment, le CHPG a déposé, en tant que représentant en Principauté de Monaco de Novartis Pharma A.G., une demande d'autorisation de transfert d'informations nominatives, collectées sur le territoire de la Principauté, vers Parexel Informatics, sis dans l'État du Massachusetts aux États-Unis d'Amérique ayant pour finalité « Analyser les informations des patients ayant consenti à participer à la recherche CAIN457H2315\. PAREXEL vérifiera la qualité des radiographies qui auront été effectuées dans le cadre de la recherche ».
Les États-Unis d'Amérique ne disposant pas d'un niveau de protection adéquat au sens de la législation monégasque, la présente demande de transfert est soumise à l'autorisation de la Commission, conformément aux articles 20 et 20-1 de la loi n° 1.165 du 23 décembre 1993.
I. Sur la finalité et les fonctionnalités du traitement
Le responsable de traitement indique que le transfert de données envisagé a pour finalité « Analyser les informations des patients ayant consenti à participer à la recherche CAIN457H2315\. PAREXEL vérifiera la qualité des radiographies qui auront été effectuées dans le cadre de la recherche ».
Il s'appuie sur le traitement dénommé « Étude CAIN457H2315 - n° EudraCT : 20015-001106-33 », précité.
Les personnes concernées par le transfert d'informations sont les patients du service rhumatologie répondant aux critères d'inclusion du protocole de recherche et ayant consenti à participer à la recherche.
La Commission rappelle que tout traitement d'informations nominatives doit avoir une finalité « déterminée, explicite et légitime », aux termes de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
Elle observe que le transfert concerne uniquement les imageries médicales (IRM et Rx), pseudo-anonymisées avant envoi, réalisées dans le cadre de l'étude précitée vers le prestataire désigné à des fins de contrôle qualité des radiographies.
Aussi, en l'espèce, elle considère que la finalité du traitement doit être plus explicite pour les personnes concernées en indiquant plus précisément le cadre du transfert des données.
Par conséquent, la Commission modifie la finalité comme suit : « Transfert de données à des fins de contrôle qualité radiologique d'imageries médicales pseudo-anonymisées des patients ayant consenti à participer à la recherche biomédicale CAIN457H2315 vers Parexel Informatics localisé aux États-Unis d'Amérique».
II. Sur les informations concernées par le transfert
Le responsable de traitement indique dans la demande de transfert que les données communiquées sont « des données de santé », sans en préciser le détail.
À l'examen de la demande d'avis principale portant sur le traitement automatisé dénommé « Étude CAIN457H2315 - n° EudraCT : 20015-001106-33 », il appert que le transfert concerne uniquement les données d'imagerie médicale, préalablement pseudo-anonymisées, afin que la société « vérifie la qualité des images et évalue le statut radiologique de tous les centres participants ».
En conséquence, les informations indirectement nominatives des patients concernées par le transfert sont :
- identité : numéro de patient, initiales du patient, numéro de centre ;
- données de santé : imagerie médicale (IRM, Rx).
La Commission observe également que les identifiants et données de connexion du personnel du CHPG habilité seront également traités.
L'entité destinataire des informations est Parexel Informatics, sise dans l'État du Massachusetts.
Elle considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
III. Sur la durée de conservation des données
Les informations seront conservées 15 ans par le destinataire, conformément aux stipulations du protocole d'étude.
IV. Sur la licéité et la justification du transfert
Le responsable de traitement justifie le transfert dont s'agit par le consentement des personnes concernées, c'est-à-dire des patients, exception visée à l'article 20-1 de la loi n° 1.165 du 23 décembre 1993, en précisant que ce consentement « fait partie des garanties permettant le transfert ».
Dans ce sens, il indique que ce consentement « doit être recueilli par écrit avant inclusion dans la recherche. Les droits des personnes relatifs à leurs informations nominatives et les modalités de transferts des données sont précisés dans ce document ».
A la lecture dudit document, la Commission constate que le patient est informé que ses données « seront transmises à Norvatis Pharma ou aux personnes agissant pour son compte, en France ou à l'étranger », qu'elles « seront identifiées par un numéro de code et [ses] initiales » et que le promoteur s'engage à assurer leur confidentialité et leur protection.
Aussi, elle relève que les patients ne sont informés ni des pays, ni des destinataires de leurs informations.
En conséquence, elle considère que le consentement des patients n'est pas suffisamment explicite pour être conforme à l'exception prévue à l'article 20-1 de la loi n° 1.165 du 23 décembre 1993\.
Elle demande donc, s'agissant de transfert d'informations vers des organismes localisés dans des Pays ne disposant pas d'un niveau de protection adéquat, que le document d'information soit modifié afin d'indiquer expressément les organismes ou catégories d'organisme recevant communication d'informations, en l'espèce, les imageries médicales pseudo-anonymisées, ainsi que la ou les finalités des transferts, en l'espèce à des fins de contrôle qualité, afin que le patient puisse consentir de manière libre et éclairée.
En outre, le consentement des patients devra comporter une mention particulière audit transfert indiquant que le patient consent au transfert de ses informations, comme mentionné au document d'information.
Par ailleurs, le responsable de traitement met en évidence que le destinataire des données « est certifié Privacy Shield ».
Sur ce point, la Commission précise que cette procédure est particulière aux transferts de données à caractère personnel provenant de Pays membre de l'Espace Économique Européen à destination des États-Unis d'Amérique.
Elle rappelle que les informations, directement ou indirectement, nominatives provenant de la Principauté de Monaco n'entrent pas dans le champ d'application de cet accord et ne sont donc pas protégées par les engagements pris par les sociétés au titre du « Privacy Shield ».
Elle précise qu'il en sera de même pour le « Privacy Shield » entre les États-Unis d'Amérique et la Suisse, approuvé le 12 janvier 2017, qui ne concernera que les données en provenance de la Suisse, si le responsable de traitement souhaite y adhérer.
Aussi, elle suggère au responsable de traitement d'obtenir des garanties formelles auprès du destinataire des données en la matière, par exemple au cas particulier des données provenant de Monaco en se fondant sur des clauses contractuelles types.
V. Sur la sécurité du transfert et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation.
La Commission rappelle cependant que, conformément à l'article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
Après en avoir délibéré, la Commission :
Modifie la finalité du traitement comme suit : « Transfert de données à des fins de Contrôle qualité radiologique d'imageries médicales pseudo-anonymisées des patients ayant consenti à participer à la recherche biomédicale CAIN457H2315 vers Parexel Informatics localisé aux États-Unis d'Amérique ».
Demande que :
- le document d'information soit modifié afin d'indiquer expressément que les données des patients sont transférées vers les États-Unis d'Amérique avec mention des destinataires ou catégories de destinataires, ainsi que des finalités desdits transferts ;
- le consentement des patients soit modifié afin de faire clairement apparaître leur consentement au transfert de leurs informations tel que décrit dans le document d'informations.
Suggère que les garanties offertes pour le transfert des informations provenant de pays membres de l'Espace Économique Européen soient formellement étendues aux données en provenance de la Principauté de Monaco, au moyen par exemple de clause contractuelles permettant d'assurer le respect de la protection des libertés et droits mentionnés à l'article 1er de la loi n° 1.165 du 23 décembre 1993 ;
À la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives autorise Novartis Pharma AG, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, à procéder au transfert d'informations nominatives à destination des États-Unis d'Amérique ayant pour finalité « Transfert de données à des fins de contrôle qualité radiologique d'imageries médicales pseudo-anonymisées des patients ayant consenti à participer à la recherche biomédicale CAIN457H2315 vers Parexel Informatics localisé aux États-Unis d'Amérique ».
Le Président de la Commission
de Contrôle des Informations Nominatives.