Délibération n° 2020-155 du 18 novembre 2020 de la Commission de Contrôle des Informations Nominatives portant autorisation de transfert d'informations nominatives à destination des États-Unis d'Amérique ayant pour finalité « Transfert de données vers Vanderbilt University Medical Center, sis aux États-Unis d'Amérique, à des fins d'hébergement et d'analyse des données des patients ayant consenti à participer à la recherche SepSIGN » présenté par BIOMERIEUX représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace.

Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Déclaration d'Helsinki de l'association médicale mondiale sur les principes éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la Recommandation n° R (97) 5 du 13 février 1997 relative à la protection des données médicales ;
Vu la demande d'avis, reçue le 27 juillet 2020, concernant la mise en œuvre par BIOMERIEUX, localisé en France, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, d'un traitement automatisé ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale évaluant la performance pronostique des biomarqueurs sVEGFR2, suPAR et PCT, seuls ou combinés, conjointement aux signes et symptômes cliniques pour prédire la détérioration clinique au cours des 72 premières heures pour les patients non sévères se présentant aux Urgences avec une infection suspectée », dénommé « Étude SepSIGN » ;
Vu la demande d'autorisation concomitante, reçue le 27 juillet 2020, concernant le transfert d'informations nominatives vers les États-Unis d'Amérique présentée par BIOMERIEUX, localisé en France et représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, ayant pour finalité « Héberger et analyser les données des patients ayant consenti à participer à la recherche biomédicale SepSIGN » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 18 novembre 2020 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,

Préambule
Le Centre Hospitalier Princesse Grace (CHPG), établissement public, s'est constitué représentant sur le territoire monégasque de BIOMERIEUX, responsable de traitement localisé en France.
Le 27 juillet 2020, le CHPG a déposé auprès de la Commission une demande d'avis concernant la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale évaluant la performance pronostique des biomarqueurs sVEGFR2, suPAR et PCT, seuls ou combinés, conjointement aux signes et symptômes cliniques pour prédire la détérioration clinique au cours des 72 premières heures pour les patients non sévères se présentant aux Urgences avec une infection suspectée », dénommé « Étude SepSIGN ».
La Commission a concomitamment été saisie d'une demande d'autorisation de transfert d'informations nominatives, collectées sur le territoire de la Principauté, vers Vanderbilt University Medical Center, situé aux États-Unis d'Amérique, ayant pour finalité « Héberger et analyser les données des patients ayant consenti à participer à la recherche biomédicale SepSIGN ».
Ce pays ne disposant pas d'un niveau de protection adéquat au sens de la législation monégasque, la présente demande de transfert est soumise à l'autorisation de la Commission, conformément aux articles 20 et 20-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.

I. Sur la finalité et les fonctionnalités du traitement
Le responsable de traitement indique que le transfert de données envisagé a pour finalité « Héberger et analyser les données des patients ayant consenti à participer à la recherche biomédicale SepSIGN ».
Il s'appuie sur le traitement ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale évaluant la performance pronostique des biomarqueurs sVEGFR2, suPAR et PCT, seuls ou combinés, conjointement aux signes et symptômes cliniques pour prédire la détérioration clinique au cours des 72 premières heures pour les patients non sévères se présentant aux Urgences avec une infection suspectée », précité.
Les personnes concernées sont les patients du Service de Médecine d'Urgence ayant une infection et répondant aux critères d'inclusion et de non inclusion du protocole de recherche et ayant consenti à participer à la recherche.
La Commission rappelle toutefois que tout traitement d'informations nominatives doit avoir une finalité « déterminée, explicite et légitime », aux termes de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
Aussi, en l'espèce, elle considère que la finalité du traitement doit être plus explicite pour les personnes concernées en indiquant le destinataire des informations et le pays concerné.
Par conséquent, la Commission modifie la finalité comme suit : « Transfert de données vers Vanderbilt University Medical Center, sis aux États-Unis d'Amérique, à des fins d'hébergement et d'analyse des données des patients ayant consenti à participer à la recherche SepSIGN ».

II. Sur les informations nominatives concernées par le transfert
Les informations nominatives collectées sur les patients et concernées par le transfert sont :
- identité du patient : numéro de centre, numéro de patient, âge et sexe ;
- données de santé : date des visites (visite d'inclusion et visites de suivi), comorbidités, données cliniques, données biologiques, critères de sélection, traitements en cours, interventions, admission, évènements indésirables, décès, renseignements de fin d'étude.
L'entité destinataire des informations est Vanderbilt University Medical Center (VUMC), le prestataire américain en charge d'héberger et d'analyser les informations.
La Commission note à cet effet que les informations sont pseudonymisées jusqu'à l'analyse statistique puis anonymisées pendant l'analyse avant d'être supprimées du serveur de VUMC.
Elle considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.

III. Sur la licéité et la justification du transfert
Le responsable de traitement justifie le transfert dont s'agit par le consentement des personnes concernées, conformément à l'article 20-1 alinéa 1er de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
À cet effet, il indique qu'« Une note d'information est remise au patient », que « Les droits des personnes relatifs à leurs informations nominatives et les modalités de transfert sont précisées dans ce document » et que « Le consentement de la personne est recueilli par écrit ».
La Commission relève ainsi que l'information préalable du patient est réalisée par un document spécifique remis à l'intéressé, à savoir la « Note d'information à l'attention du patient » et par une mention particulière intégrée dans ce document, à savoir le « Formulaire de consentement du patient » que le patient signe.
À la lecture de ces documents, la Commission constate que la note d'information précise que « Les données collectées seront traitées par une équipe d'expert en bio-statistiques située au Centre Medical Universitaire de Vanderbilt aux États-Unis (VMUC) » mais que le « Formulaire de consentement du patient » est silencieux sur ce point.
En conséquence, conformément à sa délibération n° 2020-153 rendue concomitamment, la Commission demande que ce formulaire soit complété afin d'indiquer ce transfert pour permettre au patient d'y consentir de manière libre et éclairée.

IV. Sur la sécurité du transfert et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du transfert et des informations concernées n'appellent pas d'observation particulière.
La Commission rappelle cependant que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
Après en avoir délibéré, la Commission :
Modifie la finalité comme suit : « Transfert de données vers Vanderbilt University Medical Center, sis aux États-Unis d'Amérique, à des fins d'hébergement et d'analyse des données des patients ayant consenti à participer à la recherche SepSIGN ».
Demande que le « Formulaire de consentement du patient » soit complété afin d'indiquer le transfert des données vers les États-Unis pour permettre au patient d'y consentir de manière libre et éclairée.
À la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives autorise le transfert par BIOMERIEUX, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, à procéder au transfert d'informations nominatives à destination des États-Unis d'Amérique ayant pour finalité « Transfert de données vers Vanderbilt University Medical Center, sis aux États-Unis d'Amérique, à des fins d'hébergement et d'analyse des données des patients ayant consenti à participer à la recherche SepSIGN ».

Le Président de la Commission de Contrôle des Informations Nominatives.