Délibération n° 2023-186 du 20 décembre 2023 de la Commission de Contrôle des Informations Nominatives portant autorisation de transfert d'informations nominatives ayant pour finalité « Accès par le personnel habilité de Boston Scientific, sise aux USA, à des fins d'analyses statistiques et de pharmacovigilance des données de l'étude Faradise » présenté par Boston Scientific International S.A. représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace.

Vu la Constitution ;

Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;

Vu la Déclaration d’Helsinki de l’association médicale mondiale sur les principes éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ;

Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;

Vu la Recommandation n° R(97) 5 du 13 février 1997 relative à la protection des données médicales ;

Vu la demande d’avis, reçue le 7 août 2023, concernant la mise en œuvre par Boston Scientific International S.A., localisée en France et représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace, d’un traitement automatisé ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche observationnelle dénommée Faradise étudiant en vie réelle l’utilisation du système d’ablation par champ électrique pulsé Farapulse™ » ;

Vu la demande d’autorisation concomitante, reçue le 7 août 2023, concernant le transfert d’informations nominatives vers les États‑Unis d’Amérique présentée par Boston Scientific International S.A., localisée en France, représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace, ayant pour finalité « Transfert de données vers Boston Scientific, sise aux USA, à des fins d’analyses statistiques et de pharmacovigilance des données de l’étude Faradise » ;

Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 20 décembre 2023 portant examen du traitement automatisé, susvisé ;

La Commission de Contrôle des Informations Nominatives,

Préambule

Le Centre Hospitalier Princesse Grace (CHPG), établissement public, s’est constitué représentant sur le territoire monégasque de Boston Scientific International S.A., localisée en France, responsable de traitement.

Le 7 août 2023, le CHPG a déposé auprès de la Commission une demande d’avis concernant la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche observationnelle dénommée Faradise étudiant en vie réelle l’utilisation du système d’ablation par champ électrique pulsé Farapulse™ ».

La Commission a concomitamment été saisie d’une demande d’autorisation de transfert d’informations nominatives, collectées sur le territoire de la Principauté, vers la société mère, ayant pour finalité « Transfert de données vers Boston Scientific, sise aux USA, à des fins d’analyses statistiques et de pharmacovigilance des données de l’étude Faradise ».

Les États‑Unis ne disposant pas d’un niveau de protection adéquat au sens de la législation monégasque, la présente demande de transfert est soumise à l’autorisation de la Commission, conformément aux articles 20 et 20-1 de la loi n° 1.165 du 23 décembre 1993.

I.   Sur la finalité et les fonctionnalités du traitement

Le responsable de traitement indique que le transfert de données envisagé a pour finalité « Transfert de données vers Boston Scientific, sise aux USA, à des fins d’analyses statistiques et de pharmacovigilance des données de l’étude Faradise ».

Il s’appuie sur le traitement ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à la recherche observationnelle dénommée Faradise étudiant en vie réelle l’utilisation du système d’ablation par champ électrique pulsé Farapulse™ », précité.

Les personnes concernées sont les patients participant à l’étude et qui ont préalablement donné leur consentement éclairé.

La Commission rappelle toutefois que tout traitement d’informations nominatives doit avoir une finalité « déterminée, explicite et légitime », aux termes de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.

Aussi, en l’espèce, elle considère que la finalité du traitement doit être plus explicite pour les personnes concernées en indiquant qu’il s’agit d’un accès aux données par le personnel habilité du responsable de traitement en charge des analyses statistiques et de la pharmacovigilance.

Par conséquent, la Commission modifie la finalité comme suit : « Accès par le personnel habilité de Boston Scientific, sise aux USA, à des fins d’analyses statistiques et de pharmacovigilance des données de l’étude Faradise ».

II. Sur les informations nominatives concernées par le transfert

Les informations nominatives collectées sur les patients et concernées par le transfert sont :

-    identité du patient : numéro de centre, numéro de patient, âge et sexe, nom de l’essai clinique ;

-    données de santé : durées d’ablation, puissance délivrée, les données d’électrocardiogramme (ECG), l’heure et la date du prélèvement de ces données, le numéro de série de l’appareil, les antécédents médicaux, examen physique, analyses sanguines, état de santé, médicaments, imagerie du cœur, questionnaire QdV ;

-    informations faisant apparaître des opinons ou des appartenances politiques, raciales, ethniques, religieuses, philosophiques ou syndicales : ethnie et race.

Concernant la race et l’ethnie, la Commission demande, conformément à sa délibération n° 2023-184 rendue concomitamment, que celles-ci ne soient pas collectées en Principauté.

Les personnes ayant accès à ces données sont le personnel habilité du responsable de traitement, à savoir le biostatistitien et le responsable de la pharmacovigilance, sis aux États‑Unis.

La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.

III.   Sur la licéité et la justification du transfert

Le responsable de traitement indique que le transfert est nécessaire à la conclusion ou à l’exécution d’un contrat conclu ou à conclure, dans l’intérêt de la personne concernée, entre le responsable de traitement ou son représentant et un tiers.

Il justifie également le transfert dont s’agit par le consentement des personnes concernées, conformément à l’article 20-1 alinéa 1^er de la loi n° 1.165 du 23 décembre 1993.

À cet effet, il indique que le consentement de chaque personne est recueilli par écrit avant l’inclusion dans l’étude et que « Les droits des personnes relatifs à leurs informations nominatives et les modalités de transfert des données sont précisés » dans des documents à destination des participants à l’étude.

La Commission relève ainsi que l’information préalable du patient est réalisée par le biais du « Formulaire d’information et de consentement du patient » et de la « Déclaration de consentement du sujet » que signe le patient.

À l’étude de ceux‑ci, elle constate que le formulaire d’information mentionne des transferts de données vers des pays situés en dehors de l’Unions européenne (UE) ou de l’Espace économique européen (EEE), où les lois européennes sur la protection des données ne s’appliquent pas et que la « Déclaration de consentement du sujet » mentionné qu’ « il peut être nécessaire d’envoyer des données à des pays où la législation monégasque sur la protection des données ne s’applique pas (par exemple, les États‑Unis d’Amérique) ».

En conséquence, conformément à sa délibération n° 2023-184 rendue concomitamment, la Commission demande que les deux documents soient complétés afin d’indiquer que le personnel du responsable de traitement situé aux États‑Unis (biostatisticien, gestion sécurité) pourra avoir accès aux données à des fins de contrôle qualité pour que le patient puisse y consentir de manière libre et éclairée.

IV.   Sur la sécurité du transfert et des informations

Les mesures prises pour assurer la sécurité et la confidentialité du transfert et des informations concernées n’appellent pas d’observation particulière.

La Commission rappelle cependant que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui‑ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.

Après en avoir délibéré, la Commission :

Modifie la finalité comme suit : « Accès par le personnel habilité de Boston Scientific, sise aux USA, à des fins d’analyses statistiques et de pharmacovigilance des données de l’étude Faradise ».

Demande que :

-    la race et l’ethnie ne soient pas collectées en Principauté ;

-    le « Formulaire d’information et de consentement du patient » et la « Déclaration de consentement du sujet » soient complétés afin d’indiquer que le personnel du responsable de traitement situé aux États‑Unis (biostatisticien, gestion sécurité) pourra avoir accès aux données à des fins de contrôle qualité pour que le patient puisse y consentir de manière libre et éclairée.

À la condition de la prise en compte de ce qui précède,

la Commission de Contrôle des Informations Nominatives autorise le transfert par Boston Scientific International S.A., représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace, à procéder au transfert d’informations nominatives à destination des États‑Unis d’Amérique ayant pour finalité « Accès par le personnel habilité de Boston Scientific, sise aux USA, à des fins d’analyses statistiques et de pharmacovigilance des données de l’étude Faradise ».

Le Président de la Commission de
Contrôle des Informations
Nominatives.