Délibération n° 2014-165 du 11 décembre 2014 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale RELAX : étude en ouvert, multicentrique, prospective, randomisée pour évaluer l’efficacité de Sérélaxine comparée au traitement standard de référence chez des patients atteints d’insuffisance cardiaque aigüe », dénommé « Etude RELAX - CRLX030A3301 - n° EudraCT 2013-002513-35 » présenté par Novartis Pharma A.G., représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace
Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Recommandation n° R(97) 5 du 13 février 1997 relative à la protection des données médicales ;
Vu la Déclaration d’Helsinki de l’association médicale mondiale sur les principes éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.254 du 12 juillet 2002 sur le médicament à usage humain ;
Vu la loi n° 1.265 du 23 décembre 2002 relative à la protection des personnes dans la recherche biomédicale ;
Vu l’ordonnance souveraine n° 16.312 du 6 mai 2004 rendant exécutoire l’Accord entre la Communauté Européenne et la Principauté de Monaco sur l’application de certains actes communautaires au territoire de la Principauté de Monaco, fait à Bruxelles le 4 décembre 2003 ;
Vu l’ordonnance souveraine n° 4.518 du 22 octobre 2013 rendant exécutoire l’annexe à l’Accord entre la Communauté Européenne et la Principauté de Monaco sur l’application de certains actes communautaires au territoire de la Principauté de Monaco, fait à Bruxelles le 4 décembre 2003, telle que modifiée par la décision n° 1/2013 du Comité mixte institué par ledit Accord adopté le 12juillet 2013 ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’arrêté ministériel n° 2003-265 du 3 mars 2003, modifié, fixant les conditions de mise sur le marché des médicaments à usages humains, et son annexe relative aux bonnes pratiques cliniques ;
Vu le Code de déontologie médicale ;
Vu la demande d’avis, reçue le 11 septembre 2014, concernant la mise en œuvre par Novartis Pharma A.G., localisé en Suisse et représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, d’un traitement automatisé ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale RELAX : Etude en ouvert, multicentrique, prospective, randomisée pour évaluer l’efficacité de Sérélaxine comparée au traitement standard de référence chez des patients atteints d’insuffisance cardiaque aigüe », dénommé « Etude RELAX - CRLX030A3301 - n° EudraCT 2013-002513-35 » ;
Vu l’avis favorable émis par le Comité Consultatif d’Ethique en matière de recherche biomédicale le 22 juillet 2014 portant sur une recherche biomédicale avec bénéfice individuel direct intitulée « Etude RELAX : Etude en ouvert, multicentrique, prospective, randomisée pour évaluer l’efficacité de Sérélaxine comparée au traitement standard de référence chez des patients atteints d’insuffisance cardiaque aigüe » ;
Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 6 novembre 2014 conformément à l’article 19 de l’ordonnance souveraine n° 2.230 susmentionnée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 11 décembre 2014 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le traitement automatisé d’informations nominatives soumis à l’avis de la Commission a pour fin une recherche biomédicale avec bénéfice individuel direct qui a reçu un avis favorable du Comité d’Ethique en matière de recherche biomédicale, tel que prévu par la loi n° 1.265 du 23 décembre 2002, susvisée.
Le Centre Hospitalier Princesse Grace (CHPG), établissement public, s’est constitué représentant sur le territoire monégasque de Novartis Pharma A.G., responsable de traitement localisé en Suisse.
Conformément à l’article 7-1 alinéa 3 de la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée, la mise en œuvre de ce traitement est soumise à l’avis préalable de la Commission de Contrôle des Informations Nominatives.
I. Sur la finalité et les fonctionnalités du traitement
La finalité du traitement est « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale RELAX : Etude en ouvert, multicentrique, prospective, randomisée pour évaluer l’efficacité de Sérélaxine comparée au traitement standard de référence chez des patients atteints d’insuffisance cardiaque aigüe ». Il est dénommé « Etude RELAX - CRLX030A3301 - n° EudraCT 2013-002513-35 ».
Ce traitement automatisé pour la Principauté de Monaco intègrera 20 patients.
Les personnes concernées sont :
- les patients hospitalisés au sein du CHPG pour insuffisance cardiaque aigüe (ICA), répondant aux critères d’inclusion et de non inclusion du protocole de recherche et ayant consenti à participer à la recherche ;
- les médecins investigateurs du CHPG, les attachés de recherche clinique associés au projet, ainsi que les personnels intervenant, sous la responsabilité du médecin, au cours de l’étude.
Ses fonctionnalités sont les suivantes :
- organiser l’inclusion des patients ;
- collecter et analyser les données des sujets conformément aux objectifs et au protocole de l’étude ;
- conserver les données, analyses et résultats dans le respect des dispositions légales et réglementaires en vigueur ;
- permettre d’assurer la sécurité et la traçabilité des accès et du système d’information utilisé pour la réalisation de l’étude.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La recherche intitulée « Etude RELAX » a fait l’objet d’un avis favorable du Comité Consultatif d’Ethique en matière de recherche biomédicale le 22 juillet 2014.
Elle sera menée, notamment, conformément à la Déclaration d’Helsinki et aux bonnes pratiques cliniques telles qu’encadrées en Principauté de Monaco. Par ailleurs, comme décrit dans le chapitre du protocole, intitulé « Considérations éthiques », elle sera également mise en œuvre conformément « aux réglementations locales en vigueur (y compris la Directive européenne 2001/20/CE, le titre 21 du Code américain des réglementations fédérales et le Ministère japonais de la santé, du travail et du bien-être) ».
Ce traitement comporte des données relevant de l’article 12 de la loi n° 1.165, susvisée. Le responsable de traitement précise à ce titre que les personnes concernées donneront un consentement écrit et exprès au traitement de leurs données et pourront à tout moment revenir sur leur consentement. Il indique en outre que le traitement est nécessaire dans l’intérêt de la recherche soumise au Comité d’Ethique.
La Commission constate que le traitement présenté est licite, conformément aux dispositions des articles 10-1 et 12 de la loi n° 1.165, modifiée.
• Sur la justification du traitement
Le traitement est justifié par le consentement des patients et par la réalisation d’un intérêt légitime poursuivi par le responsable de traitement qui ne méconnaît ni l’intérêt, ni les droits et libertés fondamentaux des personnes concernées.
L’intérêt légitime mis en avant pour le traitement des données des patients est l’intérêt de la recherche. Dans ce sens, il respecte, sous la responsabilité des médecins, les règles et garanties élaborées par le législateur afin de protéger les patients qui acceptent de participer à ce type de recherche. Les droits des patients sont précisés dans un document d’information qui leur est destiné et dans une clause insérée dans le formulaire de consentement de participation signé par chaque patient.
En outre, toute personne intervenant dans le processus du traitement des informations est soumise à une obligation de secret.
La Commission relève que le traitement est justifié conformément à l’article 10-2 de la loi n° 1.165.
III. Sur les informations traitées
• L’identité du patient pseudo-anonymisée
Les informations traitées sur le patient sont pseudo-anonymisées. Seul le médecin du CHPG, à savoir le médecin investigateur, connaît le patient et peut l’identifier. Hors de l’établissement, le patient est identifié par un code à 7 chiffres appelé « numéro de patient » (4 chiffres correspondant au CHPG en tant que centre d’étude et 3 autres attribués aux patients de manière chronologique). Toutes les informations et tous les documents nécessaires à la réalisation de cette étude seront identifiés par cet identifiant.
Les informations traitées de manière non automatisée permettant l’identification des patients à l’usage exclusif du médecin investigateur du CHPG sont :
- identité du patient : nom, prénom, sexe, date de naissance ;
- informations sur le suivi de l’étude : nom de l’investigateur principal, numéro de centre, numéro de patient, localisation et numéro du dossier médical.
• Les informations traitées sur le patient
Les informations traitées de manière automatisée et destinées au promoteur de l’étude, responsable du traitement, sont :
Lors de l’étape de randomisation
- identité du médecin investigateur : nom ;
- identification du patient : numéro d’enregistrement, numéro du dossier médical du CHPG ;
- identification du Centre : numéro attribué au CHPG ;
- identité du patient pour l’étude : résultat de la randomisation - numéro de patient.
Lors du suivi du patient
- identité : numéro de patient, année de naissance, âge, sexe ;
- formation : niveau d’étude ;
- habitudes de vie et comportement : lieu de vie, consommation d’alcool, de drogues, de tabac, qualité de vie ;
- données de santé :
• date et heure des visites, date de signature du consentement éclairé ;
• critères d’inclusion et de non inclusion, statut reproductif, signes vitaux, historique d’insuffisance cardiaque et de diabète, antécédents médicaux, traitements concomitants ; imagerie (radiographie des poumons, échographie cardiaque) ; électrocardiogramme (ECG), résultats des tests de grossesse, résultats des analyses biologiques, analyse d’urine, suivi de l’hospitalisation pour insuffisance cardiaque, signes et symptômes de l’insuffisance cardiaque, exacerbation de l’insuffisance cardiaque, événements hépatiques, évaluation des critères de jugement, évènements indésirables, hypotensions ;
- informations faisant apparaître des appartenances raciales et ethniques : race et ethnie.
Concernant les données faisant apparaître des appartenances raciales et ethniques, en l’absence d’informations de la part du responsable de traitement justifiant cette collecte, la Commission demande que soit explicité le traitement desdites données.
• Les données traitées sur les personnels du CHPG
Les informations sur les personnels du CHPG participant à l’étude sont les suivantes :
- Identité des intervenants : nom de l’investigateur principal ;
- Données d’identification électronique : codes identifiant et mot de passe au CRF ;
- Données de connexions : données d’horodatage et opérations effectuées en ajout, modification et suppression des données de l’étude.
• Sur l’origine des informations
Les informations relatives aux patients ont pour origine le patient, la liste de correspondance, l’incrémentation et le dossier médical.
Les informations relatives aux personnels du CHPG ont pour origine le système de traçabilité du système d’information.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information préalable
L’information préalable du patient est réalisée par le biais d’un document spécifique intitulé « Document d’information Patient » et d’une clause particulière insérée dans le formulaire de consentement qu’il signe.
Par ailleurs, lorsque le patient est dans l’incapacité de consentir lui-même à participer à l’étude, cette information se fait par le biais d’un document intitulé « Document d’information destiné à la personne de confiance ou membre de la famille » et d’une clause insérée dans le formulaire de consentement signé par ladite personne de confiance ou ledit membre de famille.
Enfin, lorsque le patient a retrouvé sa capacité à exprimer son consentement, son information se fait alors par le biais d’un document intitulé « Document d’information patient de poursuite de participation à une étude » et par une clause insérée dans le formulaire de consentement qu’il doit signer. Ces deux documents sont similaires aux documents pré-mentionnés.
Ces documents précisent que les données du patient sont pseudo-anonymisées et que le patient n’est identifié que par un « numéro de patient ».
La Commission relève par ailleurs que ces documents envisagent de possibles consultations des données, après accord du patient et du médecin-investigateur, « par les Autorités de Santé nationales et internationales à des fins de contrôle, d’audit ou d’inspection ». Elle observe que ces opérations s’inscrivent dans le cadre des obligations légales du promoteur.
A cet égard, la Commission précise que le dossier médical du patient et les informations directement nominatives le concernant ne pourront être consultables, si nécessaire, qu’au CHPG.
Elle observe en outre que lesdits documents font référence à de possibles transmissions des données pseudo-anonymisées, d’une part à « Novartis Pharma ou aux personnes agissant pour son compte, à Monaco ou à l’étranger » et, d’autre part, à des « autorités de santé monégasques ou étrangères ». Tenant compte des éléments de la demande d’avis, les données des patients ne pourront être transférées que vers la Suisse, l’Italie, la France et les Etats-Unis.
La Commission constate également que les documents d’information mentionnent la possibilité pour le patient d’arrêter à tout moment sa participation à l’étude, mais que les données qui auront été collectées jusqu’à sa sortie de l’étude pourront être conservées par le promoteur.
• Sur l’exercice du droit d’accès, de modification et de mise à jour
Le droit d’accès s’exerce auprès du médecin signataire du consentement du patient au sein du CHPG.
Le patient peut exercer ses droits par voie postale ou sur place. Une réponse lui sera adressée dans les 30 jours suivant sa demande.
En cas de demande de modification ou de mise à jour de ses informations, la réponse à sa demande lui sera adressée par voie postale ou sur place.
La Commission constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 12, 13, 15 et 16 de la loi n° 1.165, susvisée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les personnes ayant accès au traitement
Les habilitations permettant l’accès au traitement et aux informations relèvent de l’autorité du responsable de traitement qui assure la pleine et entière responsabilité de la conduite du projet suisse et monégasque.
Les personnes ayant accès aux informations sont :
- le médecin investigateur du CHPG : inscription, modification, mise à jour et consultation ;
- l’attaché de recherche clinique (ARC) du CHPG : inscription, modification, mise à jour et consultation ;
- le personnel de Novartis autorisé : consultation pour le suivi et le contrôle des données ;
- le personnel du prestataire chargé du data management et de l’analyse statistique des données : modification et consultation des données (data manager), consultation (statisticien) ;
- le personnel du prestataire en charge de la randomisation : consultation des données ;
- le personnel du prestataire en charge de l’analyse des critères de jugement : consultation des données ;
- le personnel des autorités réglementaires monégasques et étrangères : consultation des données.
Les accès au présent traitement sont dévolus en considération des missions et des fonctions des personnes auxquelles ils sont attribués, conformément aux articles 8 et 17 de la loi n° 1.165, modifiée.
• Sur les destinataires des informations
Les destinataires des informations sont :
- le promoteur de la recherche, responsable de traitement, localisé en Suisse ;
- le prestataire e-CRF, data management et analyses statistiques, localisé en Italie ;
- le prestataire archivage du CHPG, localisé en France ;
- le prestataire en charge de la randomisation, localisé aux Etats-Unis ;
- le prestataire analyse critère de jugement principal, localisé aux Etats-Unis.
Ces destinataires sont soumis au secret médical et au secret professionnel. A cet effet, la Commission relève que les informations transmises « resteront strictement confidentielles et ne seront pas rendues publiques ».
VI. Sur le transfert d’informations relatives aux patients vers les Etats-Unis : pays hors protection adéquate
Dans le cadre de l’étude et de l’analyse des données, les informations des sujets sont appelées à être transférées aux Etats-Unis d’Amérique, pays ne disposant pas d’un niveau de protection adéquat au sens de la loi n° 1.165, modifiée.
La Commission rappelle donc que, conformément à l’article 20-1 de la loi n° 1.165, « La commission de contrôle peut autoriser, sur la base d’une demande dûment motivée, un transfert d’informations nominatives vers un pays ou un organisme n’assurant pas un niveau de protection adéquat au sens du deuxième alinéa de l’article 20, lorsque le responsable du traitement, ou son représentant, ainsi que le destinataire des informations offrent des garanties suffisantes permettant d’assurer le respect de la protection des libertés et droits mentionnés à l’article premier. Ces garanties peuvent notamment résulter de clauses contractuelles appropriées ».
En l’espèce, le responsable de traitement a soumis à l’autorisation préalable de la Commission deux demandes de transfert de données, une pour chacun de ces prestataires situés aux Etats-Unis d’Amérique. Ces demandes d’autorisation sont indissociables de la demande d’avis.
En l’espèce, les documents d’information à l’intention des patients se contentent uniquement d’indiquer que Novartis transmettra les données aux personnes agissant pour son compte, à Monaco ou à l’étranger, et « prendra toutes les mesures nécessaires pour en assurer la protection ».
La Commission prend toutefois acte des mesures techniques et organisationnelles qui ont été mises en place afin d’une part de protéger l’anonymat des patients tout au long de l’étude, et d’autre part de respecter les exigences en matière de protection des données, notamment lors de la saisie, de l’accès, de l’exploitation et de la conservation des données.
Elle constate notamment que Novartis participe au programme international de règles refuges (International Safe Harbor Program) établi par les États-Unis. Celui-ci prévoit le respect par ses unités opérationnelles américaines des règles refuges sur la protection des renseignements personnels lors du traitement des renseignements personnels transférés vers les États-Unis en provenance de l’Union européenne ou de la Suisse. La Principauté n’est toutefois pas intégrée dans le processus du Safe Harbor.
La Commission observe par ailleurs que Norvartis a adopté des Binding Corporate Rules (BCR) pour encadrer les flux internationaux de données internes à son groupe. Elle constate que ces règles constituent un véritable code de conduite en matière de transferts de données, prévoyant notamment que les données ne seront conservées que le temps nécessaire et seront protégées contre tout accès non autorisé, perte ou dommage accidentel, usage abusif, modification non autorisée et suppression.
A cet égard, elle relève que les BCRs, dont la copie a été jointe à la demande, prévoient notamment des instructions spécifiques sur les modalités de traitement des données personnelles, préalablement à tout transfert vers l’étranger, et que le responsable de traitement lui a confirmé par écrit que le traitement des données provenant dudit traitement bénéficiera bien des garanties posées par ces BCRs.
La Commission constate donc que les BCRs adoptés par Novartis apportent un niveau de protection suffisant à un transfert des données traitées vers les Etats-Unis. Elle demande en conséquence que le périmètre des BCRs soit étendu à la Principauté de Monaco.
Sous cette condition, elle autorise les transferts d’informations vers les Etats-Unis.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation de la part de la Commission.
Elle rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Les informations nominatives collectées seront conservées 15 ans à compter de la fin de la recherche.
La Commission constate qu’une telle durée de conservation est conforme aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
Après en avoir délibéré, la Commission :
Prend acte de l’avis favorable émis par le Comité Consultatif d’Ethique en matière de recherche biomédicale le 22 juillet 2014 concernant l’étude RELAX ;
Rappelle qu’en aucun cas le patient ne devra être identifiable, particulièrement lors de la publication ou la diffusion des analyses et résultats de la présente étude ;
Demande que :
- soit justifié le traitement des données faisant apparaître la race et l’ethnie des patients ;
- l’information des patients soit modifiée afin de préciser que l’accès aux informations, et plus particulièrement au dossier médical du patient tenu au CHPG, se fera uniquement sur site ;
- la protection offerte par Novartis pour tout transfert de données personnelles vers l’étranger, par le biais des BCRs, soit effectivement étendue aux informations en provenance de la Principauté de Monaco.
Sous réserve de la prise en compte de ce qui précède,
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par Novartis Pharma A.G., représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, du traitement automatisé ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à l’étude RELAX : Etude en ouvert, multicentrique, prospective, randomisée pour évaluer l’efficacité de Sérélaxine comparée au traitement standard de référence chez des patients atteints d’insuffisance cardiaque aigüe », dénommé « Etude RELAX - CRLX030A3301 - n° EudraCT 2013-002513-35 ».
Autorise les transferts des informations nominatives aux Etats-Unis d’Amérique sur le fondement de l’article 20-1 de la loi n° 1.165 vers Aptiv Solutions et Cenduit RTP.
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Recommandation n° R(97) 5 du 13 février 1997 relative à la protection des données médicales ;
Vu la Déclaration d’Helsinki de l’association médicale mondiale sur les principes éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.254 du 12 juillet 2002 sur le médicament à usage humain ;
Vu la loi n° 1.265 du 23 décembre 2002 relative à la protection des personnes dans la recherche biomédicale ;
Vu l’ordonnance souveraine n° 16.312 du 6 mai 2004 rendant exécutoire l’Accord entre la Communauté Européenne et la Principauté de Monaco sur l’application de certains actes communautaires au territoire de la Principauté de Monaco, fait à Bruxelles le 4 décembre 2003 ;
Vu l’ordonnance souveraine n° 4.518 du 22 octobre 2013 rendant exécutoire l’annexe à l’Accord entre la Communauté Européenne et la Principauté de Monaco sur l’application de certains actes communautaires au territoire de la Principauté de Monaco, fait à Bruxelles le 4 décembre 2003, telle que modifiée par la décision n° 1/2013 du Comité mixte institué par ledit Accord adopté le 12juillet 2013 ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’arrêté ministériel n° 2003-265 du 3 mars 2003, modifié, fixant les conditions de mise sur le marché des médicaments à usages humains, et son annexe relative aux bonnes pratiques cliniques ;
Vu le Code de déontologie médicale ;
Vu la demande d’avis, reçue le 11 septembre 2014, concernant la mise en œuvre par Novartis Pharma A.G., localisé en Suisse et représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, d’un traitement automatisé ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale RELAX : Etude en ouvert, multicentrique, prospective, randomisée pour évaluer l’efficacité de Sérélaxine comparée au traitement standard de référence chez des patients atteints d’insuffisance cardiaque aigüe », dénommé « Etude RELAX - CRLX030A3301 - n° EudraCT 2013-002513-35 » ;
Vu l’avis favorable émis par le Comité Consultatif d’Ethique en matière de recherche biomédicale le 22 juillet 2014 portant sur une recherche biomédicale avec bénéfice individuel direct intitulée « Etude RELAX : Etude en ouvert, multicentrique, prospective, randomisée pour évaluer l’efficacité de Sérélaxine comparée au traitement standard de référence chez des patients atteints d’insuffisance cardiaque aigüe » ;
Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 6 novembre 2014 conformément à l’article 19 de l’ordonnance souveraine n° 2.230 susmentionnée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 11 décembre 2014 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le traitement automatisé d’informations nominatives soumis à l’avis de la Commission a pour fin une recherche biomédicale avec bénéfice individuel direct qui a reçu un avis favorable du Comité d’Ethique en matière de recherche biomédicale, tel que prévu par la loi n° 1.265 du 23 décembre 2002, susvisée.
Le Centre Hospitalier Princesse Grace (CHPG), établissement public, s’est constitué représentant sur le territoire monégasque de Novartis Pharma A.G., responsable de traitement localisé en Suisse.
Conformément à l’article 7-1 alinéa 3 de la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée, la mise en œuvre de ce traitement est soumise à l’avis préalable de la Commission de Contrôle des Informations Nominatives.
I. Sur la finalité et les fonctionnalités du traitement
La finalité du traitement est « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale RELAX : Etude en ouvert, multicentrique, prospective, randomisée pour évaluer l’efficacité de Sérélaxine comparée au traitement standard de référence chez des patients atteints d’insuffisance cardiaque aigüe ». Il est dénommé « Etude RELAX - CRLX030A3301 - n° EudraCT 2013-002513-35 ».
Ce traitement automatisé pour la Principauté de Monaco intègrera 20 patients.
Les personnes concernées sont :
- les patients hospitalisés au sein du CHPG pour insuffisance cardiaque aigüe (ICA), répondant aux critères d’inclusion et de non inclusion du protocole de recherche et ayant consenti à participer à la recherche ;
- les médecins investigateurs du CHPG, les attachés de recherche clinique associés au projet, ainsi que les personnels intervenant, sous la responsabilité du médecin, au cours de l’étude.
Ses fonctionnalités sont les suivantes :
- organiser l’inclusion des patients ;
- collecter et analyser les données des sujets conformément aux objectifs et au protocole de l’étude ;
- conserver les données, analyses et résultats dans le respect des dispositions légales et réglementaires en vigueur ;
- permettre d’assurer la sécurité et la traçabilité des accès et du système d’information utilisé pour la réalisation de l’étude.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La recherche intitulée « Etude RELAX » a fait l’objet d’un avis favorable du Comité Consultatif d’Ethique en matière de recherche biomédicale le 22 juillet 2014.
Elle sera menée, notamment, conformément à la Déclaration d’Helsinki et aux bonnes pratiques cliniques telles qu’encadrées en Principauté de Monaco. Par ailleurs, comme décrit dans le chapitre du protocole, intitulé « Considérations éthiques », elle sera également mise en œuvre conformément « aux réglementations locales en vigueur (y compris la Directive européenne 2001/20/CE, le titre 21 du Code américain des réglementations fédérales et le Ministère japonais de la santé, du travail et du bien-être) ».
Ce traitement comporte des données relevant de l’article 12 de la loi n° 1.165, susvisée. Le responsable de traitement précise à ce titre que les personnes concernées donneront un consentement écrit et exprès au traitement de leurs données et pourront à tout moment revenir sur leur consentement. Il indique en outre que le traitement est nécessaire dans l’intérêt de la recherche soumise au Comité d’Ethique.
La Commission constate que le traitement présenté est licite, conformément aux dispositions des articles 10-1 et 12 de la loi n° 1.165, modifiée.
• Sur la justification du traitement
Le traitement est justifié par le consentement des patients et par la réalisation d’un intérêt légitime poursuivi par le responsable de traitement qui ne méconnaît ni l’intérêt, ni les droits et libertés fondamentaux des personnes concernées.
L’intérêt légitime mis en avant pour le traitement des données des patients est l’intérêt de la recherche. Dans ce sens, il respecte, sous la responsabilité des médecins, les règles et garanties élaborées par le législateur afin de protéger les patients qui acceptent de participer à ce type de recherche. Les droits des patients sont précisés dans un document d’information qui leur est destiné et dans une clause insérée dans le formulaire de consentement de participation signé par chaque patient.
En outre, toute personne intervenant dans le processus du traitement des informations est soumise à une obligation de secret.
La Commission relève que le traitement est justifié conformément à l’article 10-2 de la loi n° 1.165.
III. Sur les informations traitées
• L’identité du patient pseudo-anonymisée
Les informations traitées sur le patient sont pseudo-anonymisées. Seul le médecin du CHPG, à savoir le médecin investigateur, connaît le patient et peut l’identifier. Hors de l’établissement, le patient est identifié par un code à 7 chiffres appelé « numéro de patient » (4 chiffres correspondant au CHPG en tant que centre d’étude et 3 autres attribués aux patients de manière chronologique). Toutes les informations et tous les documents nécessaires à la réalisation de cette étude seront identifiés par cet identifiant.
Les informations traitées de manière non automatisée permettant l’identification des patients à l’usage exclusif du médecin investigateur du CHPG sont :
- identité du patient : nom, prénom, sexe, date de naissance ;
- informations sur le suivi de l’étude : nom de l’investigateur principal, numéro de centre, numéro de patient, localisation et numéro du dossier médical.
• Les informations traitées sur le patient
Les informations traitées de manière automatisée et destinées au promoteur de l’étude, responsable du traitement, sont :
Lors de l’étape de randomisation
- identité du médecin investigateur : nom ;
- identification du patient : numéro d’enregistrement, numéro du dossier médical du CHPG ;
- identification du Centre : numéro attribué au CHPG ;
- identité du patient pour l’étude : résultat de la randomisation - numéro de patient.
Lors du suivi du patient
- identité : numéro de patient, année de naissance, âge, sexe ;
- formation : niveau d’étude ;
- habitudes de vie et comportement : lieu de vie, consommation d’alcool, de drogues, de tabac, qualité de vie ;
- données de santé :
• date et heure des visites, date de signature du consentement éclairé ;
• critères d’inclusion et de non inclusion, statut reproductif, signes vitaux, historique d’insuffisance cardiaque et de diabète, antécédents médicaux, traitements concomitants ; imagerie (radiographie des poumons, échographie cardiaque) ; électrocardiogramme (ECG), résultats des tests de grossesse, résultats des analyses biologiques, analyse d’urine, suivi de l’hospitalisation pour insuffisance cardiaque, signes et symptômes de l’insuffisance cardiaque, exacerbation de l’insuffisance cardiaque, événements hépatiques, évaluation des critères de jugement, évènements indésirables, hypotensions ;
- informations faisant apparaître des appartenances raciales et ethniques : race et ethnie.
Concernant les données faisant apparaître des appartenances raciales et ethniques, en l’absence d’informations de la part du responsable de traitement justifiant cette collecte, la Commission demande que soit explicité le traitement desdites données.
• Les données traitées sur les personnels du CHPG
Les informations sur les personnels du CHPG participant à l’étude sont les suivantes :
- Identité des intervenants : nom de l’investigateur principal ;
- Données d’identification électronique : codes identifiant et mot de passe au CRF ;
- Données de connexions : données d’horodatage et opérations effectuées en ajout, modification et suppression des données de l’étude.
• Sur l’origine des informations
Les informations relatives aux patients ont pour origine le patient, la liste de correspondance, l’incrémentation et le dossier médical.
Les informations relatives aux personnels du CHPG ont pour origine le système de traçabilité du système d’information.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information préalable
L’information préalable du patient est réalisée par le biais d’un document spécifique intitulé « Document d’information Patient » et d’une clause particulière insérée dans le formulaire de consentement qu’il signe.
Par ailleurs, lorsque le patient est dans l’incapacité de consentir lui-même à participer à l’étude, cette information se fait par le biais d’un document intitulé « Document d’information destiné à la personne de confiance ou membre de la famille » et d’une clause insérée dans le formulaire de consentement signé par ladite personne de confiance ou ledit membre de famille.
Enfin, lorsque le patient a retrouvé sa capacité à exprimer son consentement, son information se fait alors par le biais d’un document intitulé « Document d’information patient de poursuite de participation à une étude » et par une clause insérée dans le formulaire de consentement qu’il doit signer. Ces deux documents sont similaires aux documents pré-mentionnés.
Ces documents précisent que les données du patient sont pseudo-anonymisées et que le patient n’est identifié que par un « numéro de patient ».
La Commission relève par ailleurs que ces documents envisagent de possibles consultations des données, après accord du patient et du médecin-investigateur, « par les Autorités de Santé nationales et internationales à des fins de contrôle, d’audit ou d’inspection ». Elle observe que ces opérations s’inscrivent dans le cadre des obligations légales du promoteur.
A cet égard, la Commission précise que le dossier médical du patient et les informations directement nominatives le concernant ne pourront être consultables, si nécessaire, qu’au CHPG.
Elle observe en outre que lesdits documents font référence à de possibles transmissions des données pseudo-anonymisées, d’une part à « Novartis Pharma ou aux personnes agissant pour son compte, à Monaco ou à l’étranger » et, d’autre part, à des « autorités de santé monégasques ou étrangères ». Tenant compte des éléments de la demande d’avis, les données des patients ne pourront être transférées que vers la Suisse, l’Italie, la France et les Etats-Unis.
La Commission constate également que les documents d’information mentionnent la possibilité pour le patient d’arrêter à tout moment sa participation à l’étude, mais que les données qui auront été collectées jusqu’à sa sortie de l’étude pourront être conservées par le promoteur.
• Sur l’exercice du droit d’accès, de modification et de mise à jour
Le droit d’accès s’exerce auprès du médecin signataire du consentement du patient au sein du CHPG.
Le patient peut exercer ses droits par voie postale ou sur place. Une réponse lui sera adressée dans les 30 jours suivant sa demande.
En cas de demande de modification ou de mise à jour de ses informations, la réponse à sa demande lui sera adressée par voie postale ou sur place.
La Commission constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 12, 13, 15 et 16 de la loi n° 1.165, susvisée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les personnes ayant accès au traitement
Les habilitations permettant l’accès au traitement et aux informations relèvent de l’autorité du responsable de traitement qui assure la pleine et entière responsabilité de la conduite du projet suisse et monégasque.
Les personnes ayant accès aux informations sont :
- le médecin investigateur du CHPG : inscription, modification, mise à jour et consultation ;
- l’attaché de recherche clinique (ARC) du CHPG : inscription, modification, mise à jour et consultation ;
- le personnel de Novartis autorisé : consultation pour le suivi et le contrôle des données ;
- le personnel du prestataire chargé du data management et de l’analyse statistique des données : modification et consultation des données (data manager), consultation (statisticien) ;
- le personnel du prestataire en charge de la randomisation : consultation des données ;
- le personnel du prestataire en charge de l’analyse des critères de jugement : consultation des données ;
- le personnel des autorités réglementaires monégasques et étrangères : consultation des données.
Les accès au présent traitement sont dévolus en considération des missions et des fonctions des personnes auxquelles ils sont attribués, conformément aux articles 8 et 17 de la loi n° 1.165, modifiée.
• Sur les destinataires des informations
Les destinataires des informations sont :
- le promoteur de la recherche, responsable de traitement, localisé en Suisse ;
- le prestataire e-CRF, data management et analyses statistiques, localisé en Italie ;
- le prestataire archivage du CHPG, localisé en France ;
- le prestataire en charge de la randomisation, localisé aux Etats-Unis ;
- le prestataire analyse critère de jugement principal, localisé aux Etats-Unis.
Ces destinataires sont soumis au secret médical et au secret professionnel. A cet effet, la Commission relève que les informations transmises « resteront strictement confidentielles et ne seront pas rendues publiques ».
VI. Sur le transfert d’informations relatives aux patients vers les Etats-Unis : pays hors protection adéquate
Dans le cadre de l’étude et de l’analyse des données, les informations des sujets sont appelées à être transférées aux Etats-Unis d’Amérique, pays ne disposant pas d’un niveau de protection adéquat au sens de la loi n° 1.165, modifiée.
La Commission rappelle donc que, conformément à l’article 20-1 de la loi n° 1.165, « La commission de contrôle peut autoriser, sur la base d’une demande dûment motivée, un transfert d’informations nominatives vers un pays ou un organisme n’assurant pas un niveau de protection adéquat au sens du deuxième alinéa de l’article 20, lorsque le responsable du traitement, ou son représentant, ainsi que le destinataire des informations offrent des garanties suffisantes permettant d’assurer le respect de la protection des libertés et droits mentionnés à l’article premier. Ces garanties peuvent notamment résulter de clauses contractuelles appropriées ».
En l’espèce, le responsable de traitement a soumis à l’autorisation préalable de la Commission deux demandes de transfert de données, une pour chacun de ces prestataires situés aux Etats-Unis d’Amérique. Ces demandes d’autorisation sont indissociables de la demande d’avis.
En l’espèce, les documents d’information à l’intention des patients se contentent uniquement d’indiquer que Novartis transmettra les données aux personnes agissant pour son compte, à Monaco ou à l’étranger, et « prendra toutes les mesures nécessaires pour en assurer la protection ».
La Commission prend toutefois acte des mesures techniques et organisationnelles qui ont été mises en place afin d’une part de protéger l’anonymat des patients tout au long de l’étude, et d’autre part de respecter les exigences en matière de protection des données, notamment lors de la saisie, de l’accès, de l’exploitation et de la conservation des données.
Elle constate notamment que Novartis participe au programme international de règles refuges (International Safe Harbor Program) établi par les États-Unis. Celui-ci prévoit le respect par ses unités opérationnelles américaines des règles refuges sur la protection des renseignements personnels lors du traitement des renseignements personnels transférés vers les États-Unis en provenance de l’Union européenne ou de la Suisse. La Principauté n’est toutefois pas intégrée dans le processus du Safe Harbor.
La Commission observe par ailleurs que Norvartis a adopté des Binding Corporate Rules (BCR) pour encadrer les flux internationaux de données internes à son groupe. Elle constate que ces règles constituent un véritable code de conduite en matière de transferts de données, prévoyant notamment que les données ne seront conservées que le temps nécessaire et seront protégées contre tout accès non autorisé, perte ou dommage accidentel, usage abusif, modification non autorisée et suppression.
A cet égard, elle relève que les BCRs, dont la copie a été jointe à la demande, prévoient notamment des instructions spécifiques sur les modalités de traitement des données personnelles, préalablement à tout transfert vers l’étranger, et que le responsable de traitement lui a confirmé par écrit que le traitement des données provenant dudit traitement bénéficiera bien des garanties posées par ces BCRs.
La Commission constate donc que les BCRs adoptés par Novartis apportent un niveau de protection suffisant à un transfert des données traitées vers les Etats-Unis. Elle demande en conséquence que le périmètre des BCRs soit étendu à la Principauté de Monaco.
Sous cette condition, elle autorise les transferts d’informations vers les Etats-Unis.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation de la part de la Commission.
Elle rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Les informations nominatives collectées seront conservées 15 ans à compter de la fin de la recherche.
La Commission constate qu’une telle durée de conservation est conforme aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
Après en avoir délibéré, la Commission :
Prend acte de l’avis favorable émis par le Comité Consultatif d’Ethique en matière de recherche biomédicale le 22 juillet 2014 concernant l’étude RELAX ;
Rappelle qu’en aucun cas le patient ne devra être identifiable, particulièrement lors de la publication ou la diffusion des analyses et résultats de la présente étude ;
Demande que :
- soit justifié le traitement des données faisant apparaître la race et l’ethnie des patients ;
- l’information des patients soit modifiée afin de préciser que l’accès aux informations, et plus particulièrement au dossier médical du patient tenu au CHPG, se fera uniquement sur site ;
- la protection offerte par Novartis pour tout transfert de données personnelles vers l’étranger, par le biais des BCRs, soit effectivement étendue aux informations en provenance de la Principauté de Monaco.
Sous réserve de la prise en compte de ce qui précède,
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par Novartis Pharma A.G., représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, du traitement automatisé ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à l’étude RELAX : Etude en ouvert, multicentrique, prospective, randomisée pour évaluer l’efficacité de Sérélaxine comparée au traitement standard de référence chez des patients atteints d’insuffisance cardiaque aigüe », dénommé « Etude RELAX - CRLX030A3301 - n° EudraCT 2013-002513-35 ».
Autorise les transferts des informations nominatives aux Etats-Unis d’Amérique sur le fondement de l’article 20-1 de la loi n° 1.165 vers Aptiv Solutions et Cenduit RTP.
Le Président de la Commission
de Contrôle des Informations Nominatives.