Délibération n° 2024‑143 du 26 juillet 2024 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre de la modification du traitement automatisé d'informations nominatives ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à l'étude GALILEE visant à comparer la TEP au 68 Ga-FAPI-46 avec la TEP/TDM au 18F-FDG dans le bilan d'extension initial des cancers lobulaires du sein » présentée par le Centre Hospitalier Intercommunal de Toulon - La Seyne-sur-Mer représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace.
Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la Déclaration d’Helsinki de l’Association Médicale Mondiale sur les principes éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée, et notamment son article 7‑1 ;
Vu la loi n° 1.265 du 23 décembre 2002 relative à la protection des personnes dans la recherche biomédicale, modifiée ;
Vu la loi n° 1.454 du 30 octobre 2017 relative au consentement et à l’information en matière médicale ;
Vu l’Ordonnance Souveraine n° 4.518 du 22 octobre 2013 rendant exécutoire l’Accord entre la Communauté Européenne et la Principauté de Monaco sur l’application de certains actes communautaires au territoire de la Principauté de Monaco, fait à Bruxelles le 4 décembre 2003, telle que modifiée par la décision n° 1/2013 du Comité mixte institué par ledit Accord adopté le 12 juillet 2013 ;
Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l’arrêté ministériel n° 2003‑118 du 10 février 2003 fixant les conditions d’application de la loi n° 1.265 du 23 décembre 2002, modifiée, susvisée ;
Vu le Code de déontologie médicale ;
Vu la Recommandation n° R(97)5 du Conseil de l’Europe du 13 février 1997 relative à la protection des données médicales ;
Vu la délibération n° 2011‑82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;
Vu la délibération n° 2023‑114 du 20 septembre 2023 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à l’étude GALILEE visant à comparer la TEP au 68 Ga-FAPI-46 avec la TEP/TDM au 18F-FDG dans le bilan d’extension initial des cancers lobulaires du sein » présenté par le Centre Hospitalier Intercommunal de Toulon - La Seyne-sur-Mer représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace ;
Vu la demande d’avis, reçue le 19 avril 2024, concernant la mise en œuvre par le Centre Hospitalier Intercommunal de Toulon - La Seyne-sur-Mer, localisé en France, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, de la modification du traitement automatisé ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à l’étude GALILEE visant à comparer la TEP au 68 Ga-FAPI-46 avec la TEP/TDM au 18F-FDG dans le bilan d’extension initial des cancers lobulaires du sein » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 26 juillet 2024 portant analyse dudit traitement automatisé.
La Commission de Contrôle des Informations Nominatives,
Préambule
Le 20 septembre 2023, la Commission a émis un avis favorable à la mise en œuvre par le Centre Hospitalier Intercommunal de Toulon - La Seyne-sur-Mer (CHITS), localisé en France et représenté en Principauté par le Centre Hospitalier Princesse Grace (CHPG), d’un traitement automatisé d’informations nominatives ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à l’étude GALILEE visant à comparer la TEP au 68 Ga-FAPI-46 avec la TEP/TDM au 18F-FDG dans le bilan d’extension initial des cancers lobulaires du sein ».
Le Centre Hospitalier Intercommunal de Toulon - La Seyne-sur-Mer souhaite désormais modifier le traitement dont s’agit, en application de l’article 9 de la loi n° 1.165 du 23 décembre 1993, afin de communiquer en complément des imageries TEPs, les données cliniques (pseudonymisées) des patients de l’étude au prestataire en charge des analyses radiomiques afin de permettre à ce dernier d’effectuer un croisement des résultats des analyses avec ces données.
À cet égard, les habilitations du prestataire en charge des analyses radiomiques sont modifiées et de nouvelles communications des informations sont mises en place.
La finalité, les fonctionnalités, la licéité et la justification du traitement, les informations objets du traitement, les droits des personnes concernées, les destinataires, les rapprochements et interconnexions et la durée de conservation des données sont quant à eux inchangés.
I. Sur les personnes ayant accès au traitement
Les habilitations permettant l’accès au traitement et aux informations relèvent de l’autorité du responsable de traitement qui assure la pleine et entière responsabilité de la conduite du projet.
Le responsable de traitement indique que les personnes ayant accès aux informations sont :
- le personnel habilité du CHPG (Médecin investigateur, ARCs) : inscription, modification et consultation ;
- le personnel habilité du responsable de traitement : consultation sur place et en format papier à des fins de contrôles qualité des données ;
- le personnel habilité du prestataire en charge des analyses radiomiques des examens TEP : consultation des données pseudonymisées de l’étude (à l’exception des critères d’inclusion/exclusion et des informations liées aux évènements indésirables) et des données d’imageries pseudonymisées ;
- le personnel du prestataire en charge de la pharmacovigilance : consultation ;
- le statisticien du CHPG : consultation.
Les accès au présent traitement sont dévolus en considération des missions et des fonctions des personnes auxquelles ils sont attribués, conformément aux articles 8 et 17 de la loi n° 1.165 du 23 décembre 1993.
La Commission rappelle par ailleurs que si des prestataires techniques devaient avoir accès au traitement, leurs droits d’accès devront être limités à ce qui est strictement nécessaire à l’exécution de leur contrat de prestation de service, et qu’ils seront soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de l’article 17 de la loi n° 1.165 du 23 décembre 1993.
II. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation de la part de la Commission.
La Commission rappelle toutefois que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Elle précise également que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui‑ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
Après en avoir délibéré, la Commission :
Rappelle que :
- si des prestataires techniques devaient avoir accès au traitement, leurs droits d’accès devront être limités à ce qui est strictement nécessaire à l’exécution de leur contrat de prestation de service, et qu’ils seront soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de l’article 17 de la loi n° 1.165 du 23 décembre 1993 ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par le Centre Hospitalier Intercommunal de Toulon - La Seyne-sur-Mer, localisé en France, représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace, de la modification du traitement automatisé ayant pour finalité « Collecter et analyser les données des patients ayant consenti à participer à l’étude GALILEE visant à comparer la TEP au 68 Ga-FAPI-46 avec la TEP/TDM au 18F-FDG dans le bilan d’extension initial des cancers lobulaires du sein ».
Le Président de la Commission
de Contrôle des Informations Nominatives.