Délibération n° 2024‑47 du 20 mars 2024 de la Commission de Contrôle des Informations Nominatives portant autorisation de transfert d'informations nominatives ayant pour finalité « Examen, traitement et analyse des données réalisés par le personnel de Medtronic situé à travers le monde dans le cadre de l'étude SPYRAL AFFIRM » présenté par Medtronic Bakken Research Center représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace.
Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Déclaration d’Helsinki de l’association médicale mondiale sur les principes éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la Recommandation n° R(97) 5 du 13 février 1997 relative à la protection des données médicales ;
Vu la délibération n° 2023‑112 du 20 septembre 2023 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Collecter et analyser les données des personnes concernées ayant signé le formulaire de consentement éclairé pour l’étude SPYRAL AFFIRM » présenté par Medtronic Bakken Research Center représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace ;
Vu la demande d’autorisation, reçue le 8 février 2024, concernant le transfert d’informations nominatives présentée par Medtronic Bakken Research Center, localisé aux Pays-Bas, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, ayant pour finalité « Examen, traitement et analyse des données réalisés par le personnel de Medtronic situé en dehors de l’Espace économique européen, au Royaume-Uni et en Suisse » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 20 mars 2024 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le Centre Hospitalier Princesse Grace (CHPG), établissement public, s’est constitué représentant sur le territoire monégasque de Medtronic Bakken Research Center, localisé aux Pays-Bas, responsable de traitement.
Le 20 septembre 2023, la Commission a émis un avis favorable à la mise en œuvre par Medtronic Bakken Research Center, localisé aux Pays-Bas, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, d’un traitement automatisé d’informations nominatives ayant pour finalité « Collecter et analyser les données des personnes concernées ayant signé le formulaire de consentement éclairé pour l’étude SPYRAL AFFIRM », objet de la délibération n° 2023‑112, précitée.
Ce traitement impliquant un transfert vers le personnel de sa société mère, sise aux États-Unis d’Amérique, et de ses filiales à travers le monde, la Commission a été saisie le 8 février 2024 d’une demande d’autorisation de transfert d’informations nominatives, collectées sur le territoire de la Principauté, ayant pour finalité « Examen, traitement et analyse des données réalisés par le personnel de Medtronic situé en dehors de l’Espace économique européen, au Royaume-Uni et en Suisse ».
Certaines de ces personnes pouvant se trouver dans des pays ne disposant pas d’un niveau de protection adéquat au sens de la législation monégasque, la présente demande de transfert est soumise à l’autorisation de la Commission, conformément aux articles 20 et 20‑1 de la loi n° 1.165 du 23 décembre 1993.
I. Sur la finalité et les fonctionnalités du traitement
Le responsable de traitement indique que le transfert de données envisagé a pour finalité « Examen, traitement et analyse des données réalisés par le personnel de Medtronic situé en dehors de l’Espace économique européen, au Royaume-Uni et en Suisse ».
Il s’appuie sur le traitement ayant pour finalité « Collecter et analyser les données des personnes concernées ayant signé le formulaire de consentement éclairé pour l’étude SPYRAL AFFIRM », ayant reçu un avis favorable de la Commission le 20 septembre 2023 par délibération n° 2023‑112.
Les personnes concernées sont les patients participant à l’étude et qui ont préalablement donné leur consentement éclairé.
La Commission rappelle toutefois que tout traitement d’informations nominatives doit avoir une finalité « déterminée, explicite et légitime », aux termes de l’article 10‑1 de la loi n° 1.165 du 23 décembre 1993.
Aussi, en l’espèce, elle considère que la finalité du traitement doit être plus explicite pour les personnes concernées en indiquant qu’il s’agit d’un transfert des données collectées dans le cadre de l’étude SPYRAL AFFIRM à destination du personnel du responsable de traitement situé à travers le monde.
Par conséquent, la Commission modifie la finalité comme suit : « Examen, traitement et analyse des données réalisés par le personnel de Medtronic situé à travers le monde dans le cadre de l’étude SPYRAL AFFIRM ».
II. Sur les informations nominatives concernées par le transfert
Les informations nominatives collectées sur les patients et concernées par le transfert sont :
- identité du patient : numéro de patient, âge, sexe ;
- données de santé : angiographie, procédure RDN, pression artérielle en ambulatoire, à domicile et au cabinet médical, échographie Doppler, ARM (angiographie par résonance magnétique), imagerie par tomodensitométrie, échantillon de sang, test de grossesse (le cas échéant), antécédents médicaux ;
- consommation de biens et services, habitudes de vie : questionnaire sur la qualité de vie.
Les destinataires des informations sont le personnel du responsable de traitement situé à travers le monde qui pourraient être amenés à traiter et analyser les données.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10‑1 de la loi n° 1.165, modifiée.
III. Sur la licéité et la justification du transfert
Le responsable de traitement justifie le transfert dont s’agit par le consentement des personnes concernées, conformément à l’article 20‑1 alinéa 1er de la loi n° 1.165 du 23 décembre 1993.
À cet effet, il indique que le consentement de chaque personne est recueilli par écrit avant l’inclusion dans l’étude et que « Les droits des personnes relatifs à leurs informations nominatives et les modalités de transfert des données sont précisées » dans des documents à destination des participants à l’étude.
La Commission relève ainsi que l’information préalable du patient est réalisée par un document d’information spécifique remis à l’intéressé, intitulé « Consentement éclairé pour Monaco », et par une mention particulière intégrée dans ce document que signe le patient.
À l’étude de ceux-ci, elle a constaté que le document d’information indique que les données pseudonymisées « sont transférées à des destinataires en dehors de l’Union européenne ».
En conséquence, conformément à sa délibération n° 2023‑112 du 20 septembre 2023 rendue le 20 septembre 2023, la Commission demande que les deux documents soient modifiés afin d’indiquer l’ensemble des entités destinataires des données et de préciser les finalités desdits transferts afin de permettre au patient d’y consentir de manière libre et éclairée.
IV. Sur la sécurité du transfert et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du transfert et des informations concernées n’appellent pas d’observation particulière.
La Commission rappelle cependant que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
Après en avoir délibéré, la Commission :
Modifie la finalité comme suit : « Examen, traitement et analyse des données réalisés par le personnel de Medtronic situé à travers le monde dans le cadre de l’étude SPYRAL AFFIRM ».
Demande que le document d’information et la mention intégrée dans ce document soient modifiés afin d’indiquer l’ensemble des entités destinataires des données et de préciser les finalités desdits transferts afin de permettre au patient d’y consentir de manière libre et éclairée.
À la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives autorise le transfert par Medtronic Bakken Research Center, localisé aux Pays-Bas, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, à procéder au transfert d’informations nominatives pour finalité « Examen, traitement et analyse des données réalisés par le personnel de Medtronic situé à travers le monde dans le cadre de l’étude SPYRAL AFFIRM ».
Le Président de la Commission de Contrôle
des Informations Nominatives.