Délibération n° 2017-36 du 15 mars 2017 de la Commission de Contrôle des Informations Nominatives portant autorisation au transfert d'informations nominatives vers l'Inde ayant pour finalité « Accès aux données pseudo-anonymisées des patients ayant consenti à participer à la recherche biomédicale CAIN457H2315 octroyé à Cognizant Technology Solutions localisée en Inde à des fins de datamanagement » présenté par Novartis Pharma SG, localisé en Suisse, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace.

No. Journal 8328
Date of publication 05/05/2017
Quality 100%
Page no.

Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la Recommandation n° R(97) 5 du 13 février 1997 relative à la protection des données médicales ;
Vu la Déclaration d'Helsinki de l'association médicale mondiale sur les principes éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.254 du 12 juillet 2002 sur le médicament à usage humain ;
Vu la loi n° 1.265 du 23 décembre 2002 relative à la protection des personnes dans la recherche biomédicale, modifiée ;
Vu l'avis favorable émis par le Comité consultatif d'éthique en matière de recherche biomédicale, le 28 juillet 2016, portant sur la recherche biomédicale avec bénéfice direct intitulée « Étude CAIN457H2315 : étude multicentrique, randomisée, en double aveugle, contrôlée versus placebo, évaluant la sécurité d'emploi, la tolérance et l'efficacité jusqu'à 2 ans du sécukinumab chez des patients atteints d'une spondyloarthrite axiale non radiographique active » ;
Vu la demande d'avis, reçue le 9 décembre 2016, concernant la mise en œuvre par Novartis Pharma AG, localisé en Suisse, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, d'un traitement automatisé ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale ayant pour objet au travers d'une étude multicentrique, randomisée, en double aveugle, contrôlée versus placebo, d'évaluer la sécurité d'emploi, la tolérance et l'efficacité jusqu'à 2 ans du sécukinumab chez des patients atteints d'une spondyloarthrite axiale non radiographique active », dénommé « Etude CAIN457H2315 - n° EudraCT : 20015-001106-33 » ;
Vu la demande d'autorisation concomitante, reçue le 9 décembre 2016, concernant le transfert d'informations nominatives vers l'Inde présenté par Novartis Pharma AG, localisé en Suisse, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, ayant pour finalité « Participer au datamanagement des informations des patients ayant consenti à participer à la recherche biomédicale CAIN457H2315 » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 15 mars 2017 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le 9 décembre 2016, le Centre Hospitalier Princesse Grace (CHPG) a déposé, en qualité de représentant en Principauté de Monaco de Novartis Pharma A.G., auprès de la Commission une demande d'avis concernant la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale ayant pour objet au travers d'une étude multicentrique, randomisée, en double aveugle, contrôlée versus placebo, d'évaluer la sécurité d'emploi, la tolérance et l'efficacité jusqu'à 2 ans du sécukinumab chez des patients atteints d'une spondyloarthrite axiale non radiographique active », dénommé « Étude CAIN457H2315 - n° EudraCT : 20015-001106-33 ».
Concomitamment, le CHPG a déposé, en tant que représentant en Principauté de Monaco de Novartis Pharma A.G., une demande d'autorisation de transfert d'informations nominatives, collectées sur le territoire de la Principauté, vers Cognizant Technology Solutions India Pvt., sise en Inde ayant pour finalité « Participer au datamanagement des informations des patients ayant consenti à participer à la recherche biomédicale CAIN457H2315 ».
L'Inde ne disposant pas d'un niveau de protection adéquat au sens de la législation monégasque, la présente demande de transfert est soumise à l'autorisation de la Commission, conformément aux articles 20 et 20-1 de la loi n° 1.165 du 23 décembre 1993.
I. Sur la finalité et les fonctionnalités du traitement
Le responsable de traitement indique que le transfert de données envisagé a pour finalité « Participer au datamanagement des informations des patients ayant consenti à participer à la recherche biomédicale CAIN457H2315 ».
Il s'appuie sur le traitement dénommé « Étude CAIN457H2315 - n° EudraCT : 20015-001106-33 », précité.
Les personnes concernées par le transfert d'informations sont les patients du service rhumatologie répondant aux critères d'inclusion du protocole de recherche et ayant consenti à participer à la recherche.
La Commission rappelle que tout traitement d'informations nominatives doit avoir une finalité « déterminée, explicite et légitime », aux termes de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
Elle observe que le transfert concerne toutes les informations exploitées dans le cadre de l'étude. Toutefois, il consiste à permettre aux personnes désignées d'avoir un accès à distance aux informations hébergées en Suisse à des fins de datamanagement.
Aussi, en l'espèce, elle considère que la finalité du traitement doit être plus explicite pour les personnes concernées en indiquant que plus précisément le cadre du transfert des données.
Par conséquent, la Commission modifie la finalité comme suit : « Accès aux données pseudo-anonymisées des patients ayant consenti à participer à la recherche biomédicale CAIN457H2315 octroyé à Cognizant Technology Solutions localisé en Inde à des fins de datamanagement ».
II. Sur les informations concernées par le transfert
Le responsable de traitement indique dans la demande de transfert que les données communiquées sont « l'identité », « les données de santé », « l'éthnie et la race » sans en préciser le détail.
À l'examen de la demande d'avis principale portant sur le traitement automatisé dénommé « Étude CAIN457H2315 - n° EudraCT : 20015-001106-33 », il appert que le transfert concerne l'ensemble des informations collectées à l'occasion de l'étude clinique, à savoir :
- identité du patient : numéro de patient et numéro de centre, âge, sexe, année de naissance ;
- habitudes de vie et comportements : langue de réponse aux questionnaires, consommation de tabac, réponse aux questionnaires portant sur l'évaluation de la qualité de vie ;
- donnée de suivi de l'étude : type de consentement et date ;
- donnée ethnique : race, ethnie ;
- données de santé : critères d'inclusion, critères de non-inclusion, dates des visites et des actes, historique et description de la pathologie à l'étude, historiques médicaux et chirurgicaux, poids, taille, traitements concomitants, données biologiques, résultats d'examens médicaux et cliniques, données de suivis cliniques, imageries médicales, identification des échantillons de sang, évènements indésirables, statut du patient et cause, levée de la procédure en aveugle et cause.
L'entité destinataire des informations, au travers d'un accès à distance, est Cognizant Technology Solutions India Pvt., sise en Inde.
Le responsable de traitement précise que cet organisme ne conserve aucune donnée.
Elle considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
III. Sur la licéité et la justification du transfert
Le responsable de traitement justifie le transfert dont s'agit par le consentement des personnes concernées, c'est-à-dire des patients, exception visée à l'article 20-1 de la loi n° 1.165 du 23 décembre 1993, en précisant que ce consentement « fait partie des garanties permettant le transfert ».
Dans ce sens, il indique que ce consentement « doit être recueilli par écrit avant inclusion dans la recherche. Les droits des personnes relatifs à leurs informations nominatives et les modalités de transferts des données sont précisés dans ce document ».
À la lecture dudit document, la Commission constate que le patient est informé que ses données « seront transmises à Norvatis Pharma ou aux personnes agissant pour son compte, en France ou à l'étranger », qu'elles « seront identifiées par un numéro de code et [ses] initiales » et que le promoteur s'engage à assurer leur confidentialité et leur protection.
Aussi, elle relève que les patients ne sont informés ni des Pays, ni des destinataires de leurs informations.
En conséquence, elle considère que le consentement des patients n'est pas suffisamment explicite pour être conforme à l'exception prévue à l'article 20-1 de la loi n° 1.165 du 23 décembre 1993\.
Elle demande donc, s'agissant de transfert d'information vers des organismes localisés dans des Pays ne disposant pas d'un niveau de protection adéquat, que le document d'information soit modifié afin d'indiquer expressément les organismes ou catégories d'organisme recevant communication d'informations, en l'espèce, les imageries médicales pseudo-anonymisées, ainsi que la ou les finalités des transferts, en l'espèce à des fins de contrôle qualité, afin que le patient puisse consentir de manière libre et éclairée.
En outre, le consentement des patients devra comporter une mention particulière audit transfert indiquant que le patient y consent, comme mentionné au document d'information.
Par ailleurs, la Commission constate que l'accès envisagé, sans extraction, ni conservation de données, porte sur des données hébergées sur un Système d'Information du responsable de traitement localisé en Suisse, Pays disposant d'un niveau de protection adéquat.
Aussi, elle relève que le traitement des données envisagé sera encadré par la réglementation Suisse en matière de protection des informations nominatives.
IV. Sur la sécurité du transfert et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation.
La Commission rappelle cependant que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
Après en avoir délibéré, la Commission :
Modifie la finalité du traitement comme suit « Accès aux données pseudo-anonymisées des patients ayant consenti à participer à la recherche biomédicale CAIN457H2315 octroyé à Cognizant Technology Solutions localisé en Inde à des fins de datamanagement ».
Demande que :
- le document d'information soit modifié afin d'indiquer expressément que les données des patients sont accessibles de l'Inde avec mention des destinataires ou catégories de destinataires, ainsi que des finalités desdits transferts ;
- le consentement des patients soit modifié afin de faire clairement apparaître leur consentement au transfert de leurs informations tel que décrit dans le document d'informations.
À la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives autorise Novartis Pharma AG, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, à procéder au transfert d'informations nominatives à destination de l'Inde ayant pour finalité « Accès aux données pseudo-anonymisées des patients ayant consenti à participer à la recherche biomédicale CAIN457H2315 octroyé à Cognizant Technology Solutions localisée en Inde à des fins de datamanagement ».