Traitements de données de santé : comment faire la distinction entre un entrepôt et une recherche et quelles conséquences ?

L’entrepôt de données

Les entrepôts de données sont créés principalement pour collecter et disposer de données massives (données relatives à la prise en charge médicale du patient, données socio-démographiques, données issues de précédentes recherches, registre de pathologies, etc.).

Ces données sont ensuite réutilisées, la plupart du temps partiellement, à des fins d’études, de recherches et d’évaluations dans le domaine de la santé.

Ces bases de données sont constituées pour une longue durée (au moins 10 ans en général) et l’objectif est d’obtenir un volume de données important. Elles peuvent être alimentées par de multiples sources (professionnels de santé, patients, pharmacie, établissements de santé, etc.).

Cette approche a été retenue par la CNIL dans certains cas, par exemple :  

• pour l’entrepôt « Banque nationale de données maladies rares » de l’AP-HP ;
• pour l’entrepôt du CHU de Rennes ;
• pour l’entrepôt « ELSAN ».

Elle permet, dans un cadre protecteur et conforme à la loi Informatique et Libertés et au RGPD (notamment par le principe de minimisation des données, de l’information des personnes, etc.), la constitution d’importantes bases de données.

La recherche, étude ou évaluation dans le domaine de la santé

C’est un traitement de données qui poursuit une finalité précise et répond à une question scientifique déterminée et ponctuelle. La durée de la recherche est limitée et connue. Les données sont collectées spécifiquement pour les besoins de la recherche.

À titre d’exemple :

• un entrepôt peut être constitué afin de recenser tous les cas de grippe dans une région, au fur et à mesure et sur plusieurs années ;
• les données de cet entrepôt peuvent ensuite être réutilisées dans le cadre de recherches précises, par exemple afin d’estimer les facteurs de risques et le profil des patients contractant la grippe sur une période donnée.

Comment procéder en cas de doute ?                                       

Certains projets seront parfois plus difficiles à qualifier (par exemple une base de données sur une pathologie précise). Dans cette hypothèse, le responsable de traitement devra se poser principalement les questions suivantes, en lien avec son délégué à la protection des données s’il a été désigné :

• La base de données va-t-elle servir à la réalisation de plusieurs traitements présentant des finalités distinctes ?
• La base de données est-elle constituée pour une durée longue (par exemple : 10 ans) ?
• La base sera-t-elle alimentée au fil de l’eau ?
• Y a-t-il un objectif de recherche suffisamment précis pour qualifier le traitement en tant que « recherche » ?

Le service santé de la CNIL peut également vous aider, notamment lors de la permanence téléphonique.

Comment informer les personnes et quels sont leurs droits ?

S’agissant des entrepôts

Les personnes concernées par la conservation de leurs données dans un entrepôt doivent disposer d’une information individuelle complète, claire et lisible spécifiquement relative à la constitution de l’entrepôt.

Consulter la fiche « Traitement de données de santé : comment informer les personnes concernées ? »

Elles doivent pouvoir exercer de manière effective leurs droits notamment les droits d’accès, de rectification et d’opposition et, le cas échéant, de droit à la portabilité.

Consulter la fiche « Respecter les droits des personnes »

S’agissant des recherches

Conformément à la loi, les personnes doivent être informées individuellement de chaque projet de recherche mené à partir des données contenues dans l’entrepôt.

Les responsables de traitement doivent mettre en œuvre dès la constitution de l’entrepôt des mesures permettant de garantir la protection des droits des personnes, conformément au RGPD (« protection des données dès la conception et protection des données par défaut »). Ils sont encouragés à mettre en place des dispositifs innovants permettant l’information des personnes et l’exercice de leurs droits.

À titre d’exemple, en matière d’information des personnes, la méthodologie de référence MR-004 prévoit la possibilité d’un aménagement de l’information des personnes en permettant le renvoi à un dispositif d’information (par exemple : site web), dès lors que les personnes en ont été préalablement individuellement informées.

Un organisme peut-il créer un entrepôt comportant des données du Système national des données de santé (SNDS) ?

Depuis la loi du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé, la CNIL peut autoriser la constitution d’entrepôts contenant des données du SNDS (seules ou appariées avec des données issues d’autres traitements).

La CNIL a par exemple autorisé plusieurs entrepôts comportant des données du « SNDS historique » (notamment issues du Système national d'information inter-régimes de l'Assurance maladie (SNIIRAM), du Programme de Médicalisation des Systèmes d'Information (PMSI) et du Centre d'épidémiologie sur les causes médicales de décès (CépiDc)) :

• l’entrepôt « Cardiohub » de la Société française de cardiologie, apparié à la base principale du SNDS ;
• l’entrepôt « Magellan » de la société Clinityx, constitué exclusivement de données du SNDS.

La CNIL est particulièrement vigilante au strict respect des principes liés à la protection des données, notamment minimisation, information des personnes, destinataires et accédants, durées de conservations, encadrement de la réutilisation des données, sécurité des données.

À noter : une demande d’autorisation doit systématiquement être déposée auprès de la CNIL lorsque l’entrepôt comporte des données du SNDS, même lorsque le consentement des personnes concernées a été recueilli.