Délibération n° 2024‑118 du 12 juin 2024 de la Commission de Contrôle des Informations Nominatives portant autorisation de transfert d'informations nominatives ayant pour finalité « Transfert de données vers la société NAMSA localisée aux États‑Unis d'Amérique afin de réaliser l'analyse statistique des informations des patients ayant consenti à participer à l'étude Registre GPS » présenté par ReCor Medical Inc., représenté en Principauté de Monaco par le Centre Hospitalier Princesse Grace.
Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Déclaration d’Helsinki de l’association médicale mondiale sur les principes éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la Recommandation n° R(97) 5 du 13 février 1997 relative à la protection des données médicales ;
Vu la demande d’avis, reçue le 8 février 2024, concernant la mise en œuvre par ReCor Medical Inc., localisée aux États‑Unis et représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace, d’un traitement automatisé ayant pour finalité « Collecter et analyser les données des patients ayant consenti au Registre GPS sur le suivi de l’hypertension artérielle » ;
Vu la demande d’autorisation concomitante, reçue le 8 février 2024, concernant le transfert d’informations nominatives vers les États‑Unis d’Amérique présentée par ReCor Medical Inc., localisée aux États‑Unis et représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace, ayant pour finalité « Transfert de données vers la société NAMSA localisée aux États‑Unis d’Amérique afin de réaliser l’analyse statistique des informations des patients ayant consenti à participer à l’étude Registre GPS » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 12 juin 2024 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le Centre Hospitalier Princesse Grace (CHPG), établissement public, s’est constitué représentant sur le territoire monégasque de ReCor Medical Inc., localisée aux États‑Unis et promoteur de l’essai.
Le 8 février 2024, ReCor Medical Inc., localisée aux États‑Unis et représentée en Principauté de Monaco par le CHPG a déposé auprès de la Commission une demande d’avis concernant la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité « Collecter et analyser les données des patients ayant consenti au Registre GPS sur le suivi de l’hypertension artérielle ».
La Commission a concomitamment été saisie d’une demande d’autorisation de transfert d’informations nominatives, collectées sur le territoire de la Principauté, vers NAMSA, son prestataire en charge d’effectuer l’analyse statistique des données recueillies, situé aux États‑Unis d’Amérique, ayant pour finalité « Transfert de données vers la société NAMSA localisée aux États‑Unis d’Amérique afin de réaliser l’analyse statistique des informations des patients ayant consenti à participer à l’étude Registre GPS ».
Les États‑Unis ne disposant pas d’un niveau de protection adéquat au sens de la législation monégasque, la présente demande de transfert est soumise à l’autorisation de la Commission, conformément aux articles 20 et 20‑1 de la loi n° 1.165 du 23 décembre 1993.
I. Sur la finalité et les fonctionnalités du traitement
Le responsable de traitement indique que le transfert de données envisagé a pour finalité « Transfert de données vers la société NAMSA localisée aux États‑Unis d’Amérique afin de réaliser l’analyse statistique des informations des patients ayant consenti à participer à l’étude Registre GPS ».
Il s’appuie sur le traitement ayant pour finalité « Collecter et analyser les données des patients ayant consenti au Registre GPS sur le suivi de l’hypertension artérielle », précité.
Les personnes concernées sont les patients participant à l’étude et qui ont préalablement donné leur consentement éclairé.
La Commission constate ainsi que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10‑1 de la loi n° 1.165 du 23 décembre 1993.
II. Sur les informations nominatives concernées par le transfert
Les informations nominatives collectées sur les patients et concernées par le transfert sont :
- identité : numéro de patient, année de naissance, sexe ;
- formations, diplômes, vie professionnelle : statut professionnel ;
- consommation de biens et services, habitude de vie : questionnaire de qualité de vie ;
- données de santé : pression artérielle (PA), MAPA (Mesure Ambulatoire de Pression Artérielle) de 24 heures, PA à domicile, antécédents médicaux, ressources de soins utilisées, examen physique, traitements médicamenteux, anatomie de l’artère rénale/imagerie, anatomie cardiaque/imagerie, analyse d’urine, analyse sanguine, procédure de dénervation rénale, évènements indésirables.
L’entité destinataire des informations est la société NAMSA, le prestataire américain en charge d’effectuer l’analyse statistique des données recueillies.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10‑1 de la loi n° 1.165, modifiée.
III. Sur la licéité et la justification du transfert
Le responsable de traitement justifie le transfert dont s’agit par le consentement des personnes concernées, conformément à l’article 20‑1 alinéa 1er de la loi n° 1.165 du 23 décembre 1993.
À cet effet, il indique que le consentement de chaque personne est recueilli par écrit avant l’inclusion dans l’étude et que « Les droits des personnes relatifs à leurs informations nominatives et les modalités de transfert des données sont précisées » dans des documents à destination des participants à l’étude.
La Commission relève ainsi que l’information préalable du patient est réalisée par le biais d’une note d’information ainsi que par le biais d’un formulaire de consentement éclairé que signe le patient.
À l’étude de ceux‑ci, elle constate que les sous-traitants chargés de traiter les données des patients au nom et pour le compte du responsable de traitement sont précisés, ainsi que le transfert à destination du prestataire en charge de l’analyse statistique, sis aux États‑Unis, et la finalité dudit transfert.
La Commissions considère ainsi que le transfert est justifié.
IV. Sur la sécurité du transfert et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du transfert et des informations concernées n’appellent pas d’observation particulière.
La Commission rappelle cependant que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui‑ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
Après en avoir délibéré,
la Commission de Contrôle des Informations Nominatives autorise le transfert par ReCor Medical Inc., localisée aux États‑Unis et représentée en Principauté de Monaco par le Centre Hospitalier Princesse Grace, à procéder au transfert d’informations nominatives à destination des États‑Unis d’Amérique ayant pour finalité « Transfert de données vers la société NAMSA localisée aux États‑Unis d’Amérique afin de réaliser l’analyse statistique des informations des patients ayant consenti à participer à l’étude Registre GPS ».
Le Président de la Commission
de Contrôle des Informations Nominatives.