La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut national du cancer (INCa) et la société AstraZeneca d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude intitulée ATU PACIFIC et Plateforme de données en cancérologie portant sur le suivi longitudinal des patients atteints d’un cancer du poumon non à petites cellules (CPNPC) de stade III inopérable traités par durvalumab après une chimio radiothérapie ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la santé publique, notamment ses articles L. 1461-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au système national des données de santé ;
Vu l’avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 4 octobre 2019 ;
Vu la délibération n° 2019-082 du 20 juin 2019 autorisant l’Institut national du cancer (INCa) à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé visant à étudier les trajectoires des personnes atteintes d’un cancer, intitulé : Plateforme de données en cancérologie ;
Vu la délibération n° 2019-083 du 20 juin 2019 portant décision unique et autorisant l’Institut national du cancer (INCa) à mettre en œuvre des traitements automatisés à des fins de recherche, d’étude et d’évaluation basés sur la Plateforme de données en cancérologie de l’INCa ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Sur les responsables de traitement
Les deux responsables de traitement, l’Institut national du cancer (INCa) et la société Astra Zeneca déterminent conjointement les finalités et les moyens du traitement.
A cet égard, la Commission rappelle que, conformément à l'article 26 du RGPD, les responsables conjoints du traitement doivent définir de manière transparente leurs obligations respectives. Elle prend acte que la répartition des rôles et responsabilités a été formalisée par une convention entre les deux parties.
Sur le recours à la Plateforme des données en cancérologie de l’INCa
La Commission relève que le traitement nécessite le recours aux données issues de la Plateforme des données en cancérologie, pour laquelle l’INCa dispose d’une autorisation (délibération n° 2019-082 du 20 juin 2019 - demande d’autorisation n° 918314).
Cette plateforme inclut des données issues :
du Système national des données de santé (SNDS) pour lesquelles l’INCa dispose d’un accès permanent, conformément aux dispositions des articles R. 1461-11 et suivants du code de la santé publique ;
des registres du cancer ;
des structures de gestion de dépistage du cancer.
Elle relève que l’INCa s’assure, d’une part, de la pertinence et de la qualité des informations y figurant, en s’appuyant notamment sur des groupes d’experts et les fédérations hospitalières et, d’autre part réalise des pré-traitements spécifiques au domaine de la cancérologie.
La Commission prend ainsi acte de la spécificité des données figurant au sein de la Plateforme de données en cancérologie, qui sont nécessaires à la réalisation de la présente étude.
Sur l’application des dispositions liées au SNDS
Le traitement des données du Système national des données de santé et de ses composantes devra s’effectuer en conformité avec les dispositions des articles L. 1461-1 à L. 1461-7 du code de la santé publique, notamment s’agissant de l’interdiction d’utiliser ces données pour les finalités interdites.
La Commission relève que la société Astra Zeneca, en tant que
personne produisant ou commercialisant des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique
soit de démontrer que les modalités de mise en œuvre du traitement rendent impossible toute utilisation des données pour l'une des finalités mentionnées au V de l'article L. 1461-1 ;
soit de recourir à un laboratoire de recherche ou à un bureau d'études, publics ou privés, pour réaliser le traitement.
En l’espèce, elle relève que, conformément à la délibération n°2019-082, seule l’INCa aura accès aux données issues de la Plateforme des données en cancérologie. Ainsi, la société AstraZeneca ne disposera à aucun moment d’un accès aux données issues du SNDS. La Commission relève également que seules des données agrégées et anonymes lui seront transmises et que cette condition est formalisée au sein de la convention conclue entre l’INCa et la société AstraZeneca.
La Commission considère que ces garanties sont de nature à démontrer que les modalités de mise en œuvre du traitement rendent impossible toute utilisation des données pour l’une des finalités interdites mentionnées à l’article L. 1461-1 du CSP et notamment en l’espèce à des fins de promotion des produits mentionnés au II de l’article L. 5311-1 en direction des professionnels de santé et des établissements de santé.
Sur la licéité du traitement
Ce traitement, réalisé à des fins de recherche scientifique, est nécessaire à l’exécution d’une mission d’intérêt public dont est investi l’INCa et aux fins des intérêts légitimes poursuivis par la société Astra Zeneca.
Le traitement est donc licite au regard des articles 6 paragraphe 1 point f) et 9 paragraphe 2 point j) du RGPD.
Sur la finalité et l’intérêt public du traitement
La Commission relève que cette étude est conduite dans le cadre du contrat stratégique de la filière des industries de santé signé entre les industries de santé et l’État le 4 février 2019. Ce contrat acte la réalisation d’un projet pilote mené par l’Alliance pour la recherche et l’innovation des industries de santé (ARIIS) et l’INCa afin de valoriser les données publiques par l’ajout de données privées pour des projets répondant à un intérêt public dans le domaine de la cancérologie. La présente étude est une des preuves de concept du projet pilote.
Le traitement a pour finalité la mise en œuvre d’une étude portant sur le suivi longitudinal, à l’aide de la Plateforme des données en cancérologie, des patients atteints d’un cancer du poumon non à petites cellules (CPNPC) de stade III inopérable traités par durvalumab après une chimio radiothérapie dans le cadre d’une autorisation temporaire d’utilisation (ATU) et vise notamment à contribuer à :
valider les capacités d’appariement de données collectées dans le cadre d’une ATU par le laboratoire, à des données médico-administratives et établir les spécificités propres à chaque source ;
l’optimisation du recueil de données lors d’ATU ;
l’amélioration des connaissances sur le parcours des personnes atteintes de ce cancer et sur les soins qui leurs sont proposés ;
la définition d’un jeu de données standardisé qui pourra être appliqué dans les prochaines études portant sur des ATU en lien avec la cancérologie.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5,1, b) du RGPD.
Elle estime, par ailleurs, que ce traitement présente une finalité d’intérêt public, conformément à l’article 66-I de la loi informatique et libertés .
Sur la nature des données traitées
Les données de la Plateforme de données en cancérologie de l’INCA (demande d’autorisation n° 918314) seront réutilisées dans le cadre de la présente étude et seront appariées à certaines données issues des traitements suivants, ayant fait l’objet des formalités appropriées :
les données de l’étude PACIFIC R , dont le responsable de traitement est la société Astra Zeneca (345 patients provenant de 63 centres différents) ;
les données de l’ATU de cohorte, dont le responsable de traitement est la société Astra Zeneca (246 patients dans 170 centres).
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du RGPD.
Sur l’information, les droits des personnes, la transparence et la publication des résultats
Sur l’information des personnes
S’agissant des données de l’étude PACIFIC R :
Les responsables des centres d’investigation, qui disposent des coordonnées des personnes concernées ont indiqué aux responsables de traitement ne pas être en mesure, dans le cadre de la crise sanitaire actuelle, de procéder à leur information individuelle.
La Commission relève toutefois que la note d’information individuelle adressée aux personnes incluses dans l’étude PACIFIC R mentionnait la possibilité de réutilisation des données de l’étude à des fins de recherches ultérieures ainsi qu’un éventuel appariement de ces données au SNDS.
La Commission demande cependant que les personnes soient individuellement informées de l’étude lorsque le contexte sanitaire le permettra.
S’agissant des données de l’ATU de cohorte :
La Commission relève que l’information individuelle des personnes concernées initialement prévue ne pourra être réalisée auprès des patients qui ne sont plus suivis en raison de la crise sanitaire. Elle demande cependant que les personnes en cours de suivi soient individuellement informées de l’étude.
Sur les mesures appropriées
En application de l'article 14-5-b du RGPD et de l'article 69 de la loi informatique et libertés modifiée, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions dans l'hypothèse où la fourniture d'une telle information se révèle impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement.
En pareils cas, conformément au Règlement général sur la protection des données, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
La Commission prend acte que des mesures appropriées seront mises en œuvre, notamment par :
la diffusion sur le site web des deux responsables de traitement d’une information relative au projet de recherche comportant l’ensemble des mentions prévues par l’article 14 du Règlement général sur la protection des données ;
l’affichage d’une information spécifique à l’étude dans l’ensemble des centres participants.
Sur la transparence des résultats
La Commission relève que le responsable de traitement envisage de rendre publics les méthodes d’appariement et d’exploitation des données ainsi que les algorithmes décisionnels qui seront développées. Elle relève également l’engagement des responsables de traitement à ce que les résultats des travaux soient systématiquement publiés.
Elle rappelle que, lorsque le résultat du traitement de données est rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 68 de la loi informatique et libertés .
Sur les mesures de sécurité et la traçabilité des actions
La Commission rappelle que les mesures de sécurité doivent répondre aux exigences prévues par les articles 5-1-f) et 32 du règlement général sur la protection des données. Elles doivent également être conformes au référentiel de sécurité applicable au SNDS fixé par l’arrêté du 22 mars 2017.
La Commission prend acte qu’un appariement probabiliste entre les données issues de la plateforme des données en cancérologie et les données issues des études d’Astra Zeneca, sera réalisé par l’INCa à partir de variables préalablement déterminées.
Pour ce faire, elle relève que les données seront transmises par la société Astra Zeneca à l’INCa sous forme de fichiers chiffrés avec des algorithmes et procédures de gestion de clés conformes à l’annexe B1 du référentiel général de sécurité.
La Commission note qu’une table de correspondance est conservée par la société Astra Zeneca et rappelle que ses modalités de sa conservation devront faire l’objet de mesures techniques et organisationnelles appropriées.
La Commission relève que l’appariement ainsi que l’analyse des données seront réalisés sur la Plateforme de données en cancérologie de l’INCa et prend acte de la décision d’homologation de cette Plateforme prononcée le 27 avril 2020 pour une durée de deux ans, incluant l’analyse d’impact sur la protection des données (AIPD), les risques résiduels et le plan d’action identifiés et acceptés par le responsable de traitement.
La Commission souligne que, suite aux recommandations émises dans sa délibération n° 2019-083 du 20 juin 2019, des traces complètes et sauvegardées ont été mises en place, associées à un système d’authentification forte, de bastion et de bureau virtuel. Elle relève également que les accès externes sur la plateforme ont fait l’objet d’un audit de sécurité et de mesures correctives.
En outre, la Commission prend acte qu’un projet de déploiement d’un outil de certification des traces et de gestion des événements de sécurité (SIEM) a été lancé, en vue de sa mise en œuvre dans les deux ans. Elle relève que, dans l’attente de cette échéance, les traces système font l’objet d’une analyse manuelle hebdomadaire et que les exports de données agrégées sont surveillés mensuellement par un opérateur avec un système de détection de mots clés. A cet égard, elle recommande de formaliser une procédure de remontée des alertes et de gestion des incidents.
La Commission rappelle par ailleurs que ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Conformément au référentiel de sécurité du SNDS, seules des données anonymes pourront être exportées hors d’un environnement homologué. A cet égard, la Commission rappelle que le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014. A défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification devra être menée.
Sur la durée de conservation des données
Les données seront conservées pendant cinq ans.
Cette durée n’excède pas celle nécessaire aux finalités pour lesquelles les données sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
La Commission rappelle qu’une intégration des données de l’étude au sein de la Plateforme des données en cancérologie nécessitera, sous réserve que la Commission l’autorise, une modification de l’autorisation délivrée à l’INCa (délibération n° 2019-082).

L’INSTITUT NATIONAL DU CANCER (INCA) ET LA SOCIETE ASTRA ZENECA
La Présidente
Marie-Laure DENIS
