Délibération n° 2022-101 du 20 juillet 2022 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre de la modification du traitement automatisé d'informations nominatives ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche observationnelle ayant pour objet au travers d'une étude multicentrique prospective de suivre après commercialisation le devenir des systèmes d'épaule FX SOLUTIONS », dénommé « Étude FX_PROTOC_CL_19-03 IDRCB : 2019-A01279-48 » présenté par la société FX Solutions représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace.

No. Journal 8603
Date of publication 12/08/2022
Quality 100%
Page no.

Vu la Constitution ;

Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;

Vu la Déclaration d’Helsinki de l’Association Médicale Mondiale sur les principes éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ;

Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée, et notamment son article 7-1 ;

Vu la loi n° 1.267 du 23 décembre 2002 relative aux dispositifs médicaux ;

Vu l’Ordonnance Souveraine n° 16.312 du 6 mai 2004 rendant exécutoire l’Accord entre la Communauté Européenne et la Principauté de Monaco sur l’application de certains actes communautaires au territoire de la Principauté de Monaco, fait à Bruxelles le 4 décembre 2003 ;

Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;

Vu le Code de déontologie médicale ;

Vu la Recommandation n° R (97) 5 du Conseil de l’Europe du 13 février 1997 relative à la protection des données médicales ;

Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;

Vu la délibération n° 2020-108 du 1^er juillet 2020 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche observationnelle ayant pour objet au travers d’une étude multicentrique prospective de suivre après commercialisation le devenir des systèmes d’épaule FX SOLUTIONS », dénommé « Étude FX_PROTOC_CL_19-03 IDRCB : 2019-A01279-48 » présenté par la société FX Solutions localisée en France, représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace ;

Vu la demande d’avis, reçue le 20 mai 2022, concernant la mise en œuvre par la société FX Solutions localisée en France, représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace, de la modification du traitement automatisé ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche observationnelle ayant pour objet au travers d’une étude multicentrique prospective de suivre après commercialisation le devenir des systèmes d’épaule FX SOLUTIONS », dénommé « Étude FX_PROTOC_CL_19-03 IDRCB : 2019-A01279-48 » ;

Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 20 juillet 2022 portant analyse dudit traitement automatisé ;

La Commission de Contrôle des Informations Nominatives,

Préambule

Le 1^er juillet 2020, la Commission a émis un avis favorable à la mise en œuvre par la société FX Solution, localisée en France et représentée en Principauté par le Centre Hospitalier Princesse Grace (CHPG), d’un traitement automatisé d’informations nominatives ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche observationnelle ayant pour objet au travers d’une étude multicentrique prospective de suivre après commercialisation le devenir des systèmes d’épaule FX SOLUTIONS ».

La société FX Solutions souhaite désormais modifier le traitement dont s’agit, en application de l’article 9 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, afin de prendre en compte le remplacement de la solution initialement utilisée par une nouvelle application.

La finalité, les fonctionnalités, la licéité, la justification, les informations objets du traitement, les droits des personnes concernées et la durée de conservation des données sont en revanche inchangés.

I. Sur la pseudonymisation des informations relatives aux sujets

Les informations traitées sur le patient sont pseudonymisées. Seul le médecin du CHPG, à savoir le médecin investigateur, connaît le patient et peut l’identifier.

Le responsable de traitement indique toutefois que le patient n’est plus identifié par un numéro d’identification mais par la première initiale de son nom et la première initiale de son prénom. Par ailleurs, un numéro d’ordre est attribué au patient par le système en fonction du site d’investigation et du numéro d’implémentation.

II. Sur les personnes ayant accès au traitement et les destinataires

Sur les personnes ayant accès au traitement

Le responsable de traitement indique que les personnes ayant accès aux informations sont :

- le médecin investigateur du CHPG : en inscription, modification, mise à jour et consultation ;

- l’Attaché de Recherche Clinique (ARC) du CHPG : en inscription, modification, mise à jour et consultation ;

- le personnel autorisé du responsable de traitement (responsable du contrôle qualité, data manager, biostatisticien, ARC promoteur) : en consultation ;

- le personnel autorisé du prestataire (fournisseur de l’application) du responsable de traitement : consultation, modification et maintenance.

Les accès au présent traitement sont dévolus en considération des missions et des fonctions des personnes auxquelles ils sont attribués, conformément aux articles 8 et 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.

Sur les destinataires des informations

FX Solutions, responsable de traitement et promoteur de l’étude, ainsi que son prestataire, sont destinataires des informations traitées.

À cet égard, la Commission constate que lesdits destinataires sont localisés en France, pays disposant d’un niveau de protection adéquat en matière de protection des informations nominatives.

En outre, les données seront transmises de manière sécurisée aux prestataires respectifs du CHPG et du responsable de traitement en charge de leur archivage, également localisé en France.

Tous les organismes recevant ces communications sont soumis au secret professionnel et agissent dans le cadre de prescriptions fixées par le responsable de traitement. Un engagement de confidentialité est en outre imposé à toute personne travaillant sur les informations.

Ces personnes sont soumises au secret médical et au secret professionnel.

III. Sur l’information préalable des personnes concernées

L’information préalable des patients est réalisée par un document spécifique remis à l’intéressé, à savoir le « Formulaire de consentement éclairé du Patient », que chaque patient doit signer.

La Commission relève que ce document indique que le patient est libre d’interrompre sa participation à tout moment et que dans ce cas les informations le concernant seront conservées sauf opposition de sa part. Ledit document précise à cet égard que ces informations « ne pourront être supprimées qu’à condition que cela ne compromette pas gravement la réalisation des objectifs de la recherche ».

La Commission note par ailleurs que le formulaire prévoit que le patient donne « la permission de recueillir, de rapporter, de transférer et de traiter les données, au sein de l’Union Européenne, si besoin ».

À cet égard, elle rappelle que si des communications devaient être effectuées vers des destinataires autres que ceux prévus dans la présente demande d’avis, celle-ci devra être modifiée.

IV. Sur les rapprochements et interconnexions

Le responsable de traitement indique que le traitement fait désormais l’objet des rapprochements suivants :

- un document de correspondance établi au format numérique chiffré par le médecin investigateur principal comportant le numéro patient et son identité complète, document obligatoire pour retrouver les dossiers médicaux des patients pendant la durée de suivi et de l’archivage de l’étude ;

- avec le traitement ayant pour finalité « Gérer les informations médicales du patient afin d’assurer sa prise en charge lors de ses venues au CHPG », permettant la collecte par rapprochement d’informations à partir du dossier patient, légalement mis en œuvre ;

- avec le traitement ayant pour finalité « Gestion des droits d’accès du personnel, des patients et des personnes en relation avec le CHPG », aux fins de garantir la sécurité du traitement quant à ses accès, légalement mis en œuvre ;

- avec le traitement ayant pour finalité « Gestion de la messagerie électronique professionnelle du CHPG », s’agissant des modalités de communication des informations, légalement mis en œuvre ;

- avec le traitement ayant pour finalité « Dossier médical du patient informatisé », permettant la collecte par rapprochement d’informations à partir du dossier patient, légalement mis en œuvre.

La Commission relève que les traitements susmentionnés ont été légalement mis en œuvre et que les opérations réalisées sont compatibles avec les finalités initiales des traitements dans le respect de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.

V. Sur la sécurité du traitement et des informations

Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation de la part de la Commission.

La Commission rappelle que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.

Elle précise également que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.

Après en avoir délibéré, la Commission :

Rappelle que :

- si des communications devaient être effectuées vers des destinataires autres que ceux prévus dans la présente demande d’avis, celle-ci devra être modifiée ;

- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.

Sous le bénéfice de la prise en compte de ce qui précède,

la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par la société FX Solutions, représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace, de la modification du traitement automatisé d’informations nominatives ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche observationnelle ayant pour objet au travers d’une étude multicentrique prospective de suivre après commercialisation le devenir des systèmes d’épaule FX SOLUTIONS », dénommé « Étude FX_PROTOC_CL_19-03 IDRCB : 2019-A01279-48 ».