Délibération n° 2021-270 du 15 décembre 2021 de la Commission de Contrôle des Informations Nominatives portant autorisation de transfert d'informations nominatives à destination des États‑Unis d'Amérique ayant pour finalité « Transfert de données vers la maison mère, sise aux États-Unis d'Amérique, à des fins d'archivage des informations des patients ayant consenti à participer à la recherche non observationnelle Uphold » présenté par Abbvie, représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace.
Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Déclaration d’Helsinki de l’association médicale mondiale sur les principes éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la Recommandation n° R(97) 5 du 13 février 1997 relative à la protection des données médicales ;
Vu la demande d’avis, reçue le 10 août 2021, concernant la mise en œuvre par Abbvie, localisée en France et représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace, d’un traitement automatisé ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à l’étude non interventionnelle évaluant la rémission à 6 mois et le maintien de la réponse à 12 mois chez des patients présentant une polyarthrite rhumatoïde modérée à sévère traités par upadacitinib » ;
Vu la demande d’autorisation, reçue concomitamment le 10 août 2021, concernant le transfert d’informations nominatives vers les États-Unis d’Amérique présentée par Abbvie, localisée en France, représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace, ayant pour finalité « Réalisation du traitement statistique des informations des patients ayant consenti à participer à la recherche non interventionnelle UPHOLD et archivage » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 15 décembre 2021 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le Centre Hospitalier Princesse Grace (CHPG), établissement public, s’est constitué représentant sur le territoire monégasque de Abbvie, localisée en France, responsable de traitement.
Le 10 août 2021, le CHPG a déposé auprès de la Commission une demande d’avis concernant la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à l’étude non interventionnelle évaluant la rémission à 6 mois et le maintien de la réponse à 12 mois chez des patients présentant une polyarthrite rhumatoïde modérée à sévère traités par upadacitinib ».
La Commission a été saisie concomitamment d’une demande d’autorisation de transfert d’informations nominatives, collectées sur le territoire de la Principauté, vers la maison mère, Abbvie INC, située aux États-Unis d’Amérique, ayant pour finalité « Archivage des informations des patients ayant consenti à participer à la recherche biomédicale UPHOLD et archivage ».
Les États-Unis ne disposant pas d’un niveau de protection adéquat au sens de la législation monégasque, la présente demande de transfert est soumise à l’autorisation de la Commission, conformément aux articles 20 et 20-1 de la loi n° 1.165 du 23 décembre 1993.
I. Sur la finalité et les fonctionnalités du traitement
Le responsable de traitement indique que le transfert de données envisagé a pour finalité « Archivage des informations des patients ayant consenti à participer à la recherche non interventionnelle UPHOLD et archivage ».
Il s’appuie sur le traitement ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à l’étude non interventionnelle évaluant la rémission à 6 mois et le maintien de la réponse à 12 mois chez des patients présentant une polyarthrite rhumatoïde modérée à sévère traités par upadacitinib », précité.
Les personnes concernées sont les patients participant à l’étude et qui ont préalablement donné leur consentement éclairé.
La Commission rappelle toutefois que tout traitement d’informations nominatives doit avoir une finalité « déterminée, explicite et légitime », aux termes de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.
Aussi, en l’espèce, elle considère que la finalité du traitement doit être plus explicite pour les personnes concernées en indiquant qu’il s’agit d’un transfert à destination de la société mère, sise aux États-Unis.
Par conséquent, la Commission modifie la finalité comme suit : « Transfert de données vers la maison mère, sise aux États-Unis d’Amérique, à des fins d’archivage des informations des patients ayant consenti à participer à la recherche non interventionnelle UPHOLD ».
II. Sur les informations nominatives concernées par le transfert
Les informations nominatives collectées sur les patients et concernées par le transfert sont :
- identité/situation de famille : année de naissance du patient, numéro d’inclusion ;
- données de santé :
● baseline : date de la visite, jours d’invalidité, démographie, historique médical, historique de la polyarthrite rhumatoïde (PR), traitements antérieurs de la PR, examens biologiques, activité de la PR, évènements et modifications du traitement depuis la signature du consentement, activité de la maladie évaluée par le médecin, activité de la maladie évaluée par le patient, douleur évaluée par le patient, dérouillage matinal, questionnaire fatigue, questionnaire sur le traitement, questionnaire HAQ (Health Assessment Questionnaire), questionnaire sommeil, tabac ;
● suivi à 3, 6, 9, 12, 15, 18, 21 et 24 mois : date de la visite, jours d’invalidité, examens biologiques, activité de la PR ; évènements et modifications du traitement depuis la dernière visite, activité de la maladie évaluée par le médecin, activité de la maladie évaluée par le patient, douleur évaluée par le patient, dérouillage matinal, questionnaire fatigue, questionnaire sur le traitement, questionnaire HAQ, questionnaire sommeil, tabac ;
● traitements concomitants pour la PR : type, nom, date de début, en cours, date de fin, dose, unité, fréquence, voie, modifications ;
● traitements concomitants hors PR : nom, date de début, en cours, date de fin, dose, unité, fréquence, vie, indication ;
● statut vaccinal : type de vaccin, nom, date ;
● évènement indésirables : diagnostic, date de début, en cours, date de fin, durée, intermittence, sévérité, issue, manifestations extra-articulaires de la PR, problème avec upadacitinib, imputabilité au upadacitinib, relation avec la COVID, action sur upadacitinib, autres actions ;
● administration d’upadacitinib : screening de la tuberculose, administration du traitement ;
● inclusion des patients : consentement éclairé, critères d’inclusion et de non inclusion ;
● fin d’étude : type, raison de fin d’étude, date de fin d’étude, date de décès.
L’entité destinataire des informations est la maison mère, Abbvie INC, sise aux États-Unis à des fins d’archivage des données après la fin de la recherche.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
III. Sur la licéité et la justification du transfert
Le responsable de traitement justifie le transfert dont s’agit par le consentement des personnes concernées, conformément à l’article 20-1 alinéa 1er de la loi n° 1.165 du 23 décembre 1993.
À cet effet, il indique que le consentement de chaque personne est recueilli par écrit avant l’inclusion dans l’étude et que « Les droits des personnes relatifs à leurs informations nominatives et les modalités de transfert des données sont précisées » dans des documents à destination des participants à l’étude.
La Commission relève ainsi que l’information préalable du patient est réalisée par le biais d’un document d’information intitulé « Notice d’information patient » et d’un document qu’il signe, intitulé « Consentement éclairé - Étude non interventionnelle ».
À l’étude de ceux-ci, elle constate que le document d’information indique que les données collectées pourront être partagées avec les filiales du responsable de traitement ainsi qu’avec ses « partenaires de recherche dans d’autres pays du monde ».
La Commission note par ailleurs que le « Consentement éclairé - Étude non interventionnelle » est silencieux sur ce point.
En conséquence, conformément à sa délibération n° 2021-269 rendue concomitamment, la Commission demande que ces deux documents soient modifiés afin d’indiquer que ces transferts de données se feront vers la maison mère située aux États-Unis afin de permettre au patient d’y consentir de manière libre et éclairée.
IV. Sur la sécurité du transfert et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du transfert et des informations concernées n’appellent pas d’observation particulière.
La Commission rappelle cependant que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
Après en avoir délibéré, la Commission :
Modifie la finalité comme suit : « Transfert de données vers la maison mère, sise aux États-Unis d’Amérique, à des fins d’archivage des informations des patients ayant consenti à participer à la recherche non interventionnelle UPHOLD ».
Demande que le document d’information et le « Consentement éclairé - Étude non interventionnelle » soient modifiés afin d’indiquer que les transferts de données se feront vers des destinataires situés aux États-Unis afin de permettre au patient d’y consentir de manière libre et éclairée.
À la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives autorise le transfert par Abbvie, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, à procéder au transfert d’informations nominatives à destination des États-Unis d’Amérique ayant pour finalité « Transfert de données vers la maison mère, sise aux États-Unis d’Amérique, à des fins d’archivage des informations des patients ayant consenti à participer à la recherche non interventionnelle UPHOLD ».
Le Président de la Commission de Contrôle des Informations Nominatives.