Délibération n° 2021-30 du 17 février 2021 de la Commission de Contrôle des Informations Nominatives portant autorisation de transfert d'informations nominatives à destination des États-Unis d'Amérique ayant pour finalité « Transfert de données vers VASCOR, sise aux États-Unis d'Amérique, afin d'analyser les données échographiques des patients ayant consenti à participer à l'étude TARGET BP I » présenté par Ablative Solutions, Inc. représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace.

No. Journal 8531
Date of publication 26/03/2021
Quality 100%
Page no.

Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Déclaration d'Helsinki de l'association médicale mondiale sur les principes éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la Recommandation n° R(97) 5 du 13 février 1997 relative à la protection des données médicales ;
Vu la demande d'avis, reçue le 23 octobre 2020, concernant la mise en œuvre par Ablative Solutions Inc., localisée aux États-Unis d'Amérique, représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace, d'un traitement automatisé ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale évaluant l'efficacité et la sécurité de la dénervation rénale par neurolyse à l'alcool à l'aide du kit Peregrine System sur des patients avec hypertension incontrôlée, combinée à des médicaments antihypertenseurs », dénommé « TARGET BP I » ;
Vu la demande d'autorisation concomitante, reçue le 23 octobre 2020, concernant le transfert d'informations nominatives vers les États-Unis d'Amérique présentée par Ablative Solutions, Inc. localisée aux États-Unis d'Amérique et représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace, ayant pour finalité « Analyser les données échographique des patients ayant consenti à participer à l'étude TARGET BP I » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 17 février 2021 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,

Préambule
Le Centre Hospitalier Princesse Grace (CHPG), établissement public, s'est constitué représentant sur le territoire monégasque de la société Ablative Solutions, Inc., responsable de traitement localisé aux États-Unis d'Amérique.
Le 23 octobre 2020, le CHPG a déposé auprès de la Commission une demande d'avis concernant la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale évaluant l'efficacité et la sécurité de la dénervation rénale par neurolyse à l'alcool à l'aide du kit Peregrine System sur des patients avec hypertension incontrôlée, combinée à des médicaments antihypertenseurs », dénommé « TARGET BP I ».
La Commission a concomitamment été saisie d'une demande d'autorisation de transfert d'informations nominatives, collectées sur le territoire de la Principauté, vers VASCOR, située aux États-Unis d'Amérique, ayant pour finalité « Analyser les données échographiques des patients ayant consenti à participer à l'étude TARGET BPI ».
Les États-Unis ne disposant pas d'un niveau de protection adéquat au sens de la législation monégasque, le présent transfert est soumis à l'autorisation de la Commission, conformément aux articles 20 et 20-1 de la loi n° 1.165 du 23 décembre 1993.

I. Sur la finalité et les fonctionnalités du traitement
Le responsable de traitement indique que le transfert de données envisagé a pour finalité « Analyser les données échographiques des patients ayant consenti à participer à l'étude TARGET BP I ».
Il s'appuie sur le traitement ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche biomédicale évaluant l'efficacité et la sécurité de la dénervation rénale par neurolyse à l'alcool à l'aide du kit Peregrine System sur des patients avec hypertension incontrôlée, combinée à des médicaments antihypertenseurs », précité.
Les personnes concernées sont les patients suivis par le service de cardiologie du CHPG répondant aux critères du protocole de recherche et ayant consenti à participer à la recherche.
La Commission rappelle toutefois que tout traitement d'informations nominatives doit avoir une finalité « déterminée, explicite et légitime », aux termes de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
Aussi, en l'espèce, elle considère que la finalité du traitement doit être plus explicite pour les personnes concernées en indiquant le destinataire des informations et le pays concerné.
Par conséquent, la Commission modifie la finalité comme suit : « Transfert de données vers VASCOR, sise aux États-Unis d'Amérique, afin d'analyser les données échographiques des patients ayant consenti à participer à l'étude TARGET BP I ».

II. Sur les informations nominatives concernées par le transfert
Les informations nominatives collectées sur les patients et concernées par le transfert sont :
- identité : âge, sexe et numéro du patient ;
- données de santé : visites de sélection/inclusion (signature du consentement, critères de sélection, antécédents médicaux et chirurgicaux, randomisation), visites de suivi (date de la visite, évènements indésirables, modification des traitements, examen physique, mesures de tension artérielle, ECG, imagerie rénale, débit de filtration glomérulaire, échographie rénale, résultats biologiques, test de grossesse, rapport de grossesse, remise et revue du carnet patient, questionnaire de perception du traitement), examen du néphrologue/spécialiste de l'hypertension (date de la visite, diagnostic, stade de la pathologie rénale, autres résultats de l'examen, intolérance aux diurétiques), procédure (hospitalisation, kits Peregrine utilisés, données de la procédure de dénervation, problème de matériel), évènements indésirables (EI)/ évènements indésirables liés à la procédure (numéro d'EI, date du rapport, date de début, visite concernée, description, gravité, sévérité, causalité, actions mises en place, résolution), déviation au protocole/ déviation au protocole liée à la procédure (date, date du rapport, visite concernée, type, raison, description, actions correctives), traitements (indication, dose, unités, voie, fréquence, date de début, date de fin), fin d'étude (date de fin d'étude, raison de sortie d'étude, dernières nouvelles, décès, participation du patient à la cohorte de sécurité).
L'entité destinataire des informations est VASCOR, sise aux États-Unis d'Amérique, en charge de l'analyse des échographies pour répondre aux objectifs de l'étude.
La Commission note à cet effet qu'il n'y a pas d'extraction des données sur les serveurs de VASCOR ni d'archivage en fin d'étude.
Elle considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165, modifiée.

III. Sur la licéité et la justification du transfert
Le responsable de traitement justifie le transfert dont s‘agit par le consentement des personnes concernées, conformément à l'article 20-1 alinéa 1er de la loi n° 1.165 du 23 décembre 1993.
À cet effet, il indique que le consentement de chaque personne est recueilli par écrit avant inclusion dans la recherche et que « Les droits des personnes relatifs à leurs informations nominatives et les modalités de transfert des données sont précisés dans ce document », c'est-à-dire la notice d'information.
La Commission relève ainsi que l'information préalable du patient est réalisée par un document spécifique remis à l'intéressé, à savoir la « Fiche d'information du patient » et par une mention particulière intégrée dans ce document, à savoir le « Formulaire de consentement éclairé du patient » que le patient signe.
À la lecture de ces documents, la Commission constate que seul le formulaire de consentement mentionne la transmission et le traitement des données des patients « par le promoteur de la recherche ou par les personnes agissant pour son compte, en Europe et aux États-Unis ».
En conséquence, conformément à sa délibération n° 2021-26 rendue concomitamment, elle demande que la « Fiche d'information du patient » qui est silencieuse sur ce point soit complétée afin de préciser les modalités de transfert des données vers les États-Unis afin de permettre au patient d'y consentir de manière libre et éclairée.

IV. Sur la sécurité du transfert et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du transfert et des informations concernées n'appellent pas d'observation particulière.
La Commission rappelle cependant que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
Après en avoir délibéré, la Commission :
Modifie la finalité comme suit : « Transfert de données vers VASCOR, sise aux États-Unis d'Amérique, afin d'analyser les données échographiques des patients ayant consenti à participer à l'étude TARGET BP I ».
Demande que la « Fiche d'information du patient » qui est silencieuse sur ce point soit complétée afin de préciser les modalités de transfert des données vers les États-Unis afin de permettre au patient d'y consentir de manière libre et éclairée.
À la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives autorise le transfert par Ablative Solutions, Inc., représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace, à procéder au transfert d'informations nominatives à destination des États-Unis d'Amérique ayant pour finalité « Transfert de données vers VASCOR, sise aux États-Unis d'Amérique, afin d'analyser les données échographiques des patients ayant consenti à participer à l'étude TARGET BP I ».