Délibération n° 2018-197 du 19 décembre 2018 de la Commission de Contrôle des Informations Nominatives portant autorisation au transfert d'informations nominatives à destination des États-Unis d'Amérique ayant pour finalité « Transfert de données vers MEDIDATA, sise aux États-Unis d'Amérique, afin de gérer et héberger les informations des patients ayant consenti à participer à la recherche CAIN457K2340 » présenté par Novartis International AG représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace.

No. Journal 8420
Date of publication 08/02/2019
Quality 100%
Page no.

Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Déclaration d'Helsinki de l'association médicale mondiale sur les principes éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la Recommandation n° R(97) 5 du 13 février 1997 relative à la protection des données médicales ;
Vu la demande d'avis, reçue le 13 septembre 2018, concernant la mise en œuvre par Novartis International AG, localisé en Suisse, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, d'un traitement automatisé ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale ayant pour objet au travers d'une étude multicentrique, randomisée, partiellement en aveugle, contrôlée versus placebo, d'évaluer la sécurité d'emploi, la tolérance et l'efficacité jusqu'à 2 ans du sécukinumab chez des patients atteints d'une spondylarthrite axiale active » - Étude CAIN457K2340, dénommée « SURPASS » ;
Vu la demande d'autorisation concomitante, reçue le 13 septembre 2018, concernant le transfert d'informations nominatives vers les États-Unis d'Amérique présentée par Novartis International AG, localisé en Suisse et représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, ayant pour finalité « Analyser les informations des patients ayant consenti à participer à la recherche CAIN457K2340 » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 19 décembre 2018 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le Centre Hospitalier Princesse Grace (CHPG), établissement public, s'est constitué représentant sur le territoire monégasque de Novartis International AG, responsable de traitement localisé en Suisse.
Le 13 septembre 2018, le CHPG a déposé auprès de la Commission une demande d'avis concernant la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale ayant pour objet au travers d'une étude multicentrique, randomisée, partiellement en aveugle, contrôlée versus placebo, d'évaluer la sécurité d'emploi, la tolérance et l'efficacité jusqu'à 2 ans du sécukinumab chez des patients atteints d'une spondylarthrite axiale active » - Étude CAIN457K2340, dénommée « SURPASS ».
La Commission a concomitamment été saisie d'une demande d'autorisation de transfert d'informations nominatives, collectées sur le territoire de la Principauté, vers la société MEDIDATA, située aux États-Unis d'Amérique, ayant pour finalité « Analyser les informations des patients ayant consenti à participer à la recherche biomédicale CAIN457K2340 ».
Ce pays ne disposant pas d'un niveau de protection adéquat au sens de la législation monégasque, la présente demande de transfert est soumise à l'autorisation de la Commission, conformément aux articles 20 et 20-1 de la loi n° 1.165 du 23 décembre 1993.

I. Sur la finalité et les fonctionnalités du traitement
Le responsable de traitement indique que le transfert de données envisagé a pour finalité « Analyser les informations des patients ayant consenti à participer à la recherche biomédicale CAIN457K2340 ».
Il s'appuie sur le traitement ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale ayant pour objet au travers d'une étude multicentrique, randomisée, partiellement en aveugle, contrôlée versus placebo, d'évaluer la sécurité d'emploi, la tolérance et l'efficacité jusqu'à 2 ans du sécukinumab chez des patients atteints d'une spondylarthrite axiale active », précité.
Les personnes concernées sont les patients du service de rhumatologie atteints d'une spondylarthrite axiale (SA) répondant aux critères d'inclusion et de non inclusion du protocole de recherche et ayant consenti à participer à la recherche.
La Commission rappelle toutefois que tout traitement d'informations nominatives doit avoir une finalité « déterminée, explicite et légitime », aux termes de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
Aussi, en l'espèce, elle considère que la finalité du traitement doit être plus explicite pour les personnes concernées en indiquant le destinataire des informations et le pays concerné.
Par conséquent, la Commission modifie la finalité comme suit : « Transfert de données vers MEDIDATA, sise aux États-Unis d'Amérique, afin de gérer et héberger les informations des patients ayant consenti à participer à la recherche CAIN457K2340 ».

II. Sur les informations nominatives concernées par le transfert
Les informations nominatives collectées sur les patients et concernées par le transfert sont :
- identité du patient : numéro d'inclusion, âge, sexe ;
- données de santé : critères d'inclusion et de non inclusion, participation à la recherche (signature du consentement) et formulaire anonymisé, antécédents médicaux (pathologies et traitements), éléments du dossier médical anonymisés (remote monitoring), traitements concomitants, données cliniques, données biologiques, survenue d'évènements cardio-vasculaires, questionnaire lié à la survenue d'accident ischémique, grossesse, évènements indésirables, efficacité du traitement à l'étude, tolérance au traitement à l'étude, compliance, fin de participation à la recherche (date, statut vital, raison de fin si applicable).
L'entité destinataire des informations est MEDIDATA, qui est la société en charge de gérer et d'héberger la base de données de eCRF RAVE X.
La Commission note à cet effet que les informations dont s'agit ne contiennent ni le nom du patient, ni aucune donnée personnelle qui permettrait de l'identifier et que ces informations sont conservées pendant 25 ans.
Elle considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165, modifiée.

III. Sur la licéité et la justification du transfert
Le responsable de traitement justifie le transfert dont s'agit par le consentement des personnes concernées, conformément à l'article 20-1 alinéa 1er de la loi n° 1.165 du 23 décembre 1993.
À cet effet, il indique que ce consentement « doit être recueilli par écrit avant inclusion dans la recherche ».
La Commission relève ainsi que l'information préalable du patient est réalisée par un document spécifique remis à l'intéressé, à savoir le « Document d'information Étude principale et Étude exploratoire » et par deux mentions particulières intégrées dans ce document, à savoir le « Formulaire de consentement - Étude principale » et le « Formulaire de consentement - Étude exploratoire génétique » que le patient signe.
À la lecture de ces documents, elle constate que le document d'information prévoit que les données pourront être transmises « à des destinataires ou prestataires habilités situés en France ou dans des pays autres que la France et/ou en dehors de l'Union Européenne notamment à des fins d'hébergement, de gestion administrative ou d'analyse statistique des résultats de l'étude, soit dans un pays disposant d'un niveau de protection adéquat (notamment la Suisse) soit sur la base des règles internes d'entreprise du groupe Novartis ou de clauses contractuelles types approuvées par la Commission Européenne ».
En conséquence, la Commission demande que le document d'information soit modifié afin d'indiquer que ces transmissions se feront notamment vers des destinataires situés aux États-Unis.
Par ailleurs, elle demande que les formulaires de consentement soient complétés afin d'indiquer ce transfert pour permettre au patient d'y consentir de manière libre et éclairée.

IV. Sur la sécurité du transfert et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du transfert et des informations concernées n'appellent pas d'observation particulière.
La Commission rappelle cependant que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
Après en avoir délibéré, la Commission :
Modifie la finalité comme suit : « Transfert de données vers MEDIDATA, sise aux États-Unis d'Amérique, afin de gérer et héberger les informations des patients ayant consenti à participer à la recherche CAIN457K2340 ».
Demande que :
- la note d'information soit modifiée afin d'indiquer expressément le transfert des informations vers les États-Unis ainsi que la finalité dudit transfert ;
- les formulaires de consentement soient complétés afin d'indiquer ce transfert pour permettre au patient d'y consentir de manière libre et éclairée.
À la condition de la prise en compte de ce qui précède,
La Commission de Contrôle des Informations Nominatives autorise le transfert par Novartis International AG, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, à procéder au transfert d'informations nominatives à destination des États-Unis d'Amérique ayant pour finalité « Transfert de données vers MEDIDATA, sise aux États-Unis d'Amérique, afin de gérer et héberger les informations des patients ayant consenti à participer à la recherche CAIN457K2340 ».