Notice d’information sur la protection des données personnelles - Recherches non interventionnelles et réutilisation des données

Les informations que nous pouvons détenir à votre sujet peuvent être fournies directement par vous et/ou vos représentants légaux, par les professionnels intervenant dans la recherche ou de bases de données et/ou de collections d’échantillons biologiques, légalement constituées et ayant fait l’objet de formalités nécessaires auprès des autorités compétentes.

Les données qui peuvent faire l’objet d’une réutilisation par Novartis ont été collectées initialement dans le cadre de votre suivi médical et des soins qui vous ont été administrés, figurant dans votre dossier médical. A cet effet, votre médecin vous a préalablement remis une notice d’information spécifique dédiée à cette recherche vous précisant notamment la finalité de la recherche, les données traitées, vos droits et les modalités d’exercice de vos droits. Les données peuvent également provenir de votre participation à l’une de nos recherches, études ou évaluations dans le domaine de la santé (par exemple, une étude interventionnelle, une étude non-interventionnelle, un programme d’accès précoce ou d’accès compassionnel, etc.) au cours de laquelle une information individuelle initiale quant au traitement de vos données, prévoyant cette possible réutilisation, vous a été délivrée. Du fait de la mise en place d’un mécanisme de transparence, le Registre des recherches en ligne de Novartis Pharma SAS, il n’est pas prévu de vous adresser une lettre individuelle d’information complémentaire relative à la protection de vos données dans le cadre d’une réutilisation.

Enfin, nous pouvons également être amené à réutiliser vos données suite à votre participation à une recherche, étude ou évaluation menée par un tiers (par exemple, un établissement de santé ou une société savante). En sus de l’information individuelle initiale relative à la protection des données qui vous a été délivrée par ce tiers à l’occasion de votre participation, une information générale est également assurée quant aux activités de recherche menées par ce tiers par divers moyens (par exemple, voie d’affichage, notice sur son site internet, etc.).

Nous pouvons recueillir, pour les réutiliser, diverses catégories de données personnelles vous concernant, notamment :

• Identification ;
• Âge ou date de naissance (mois et année de naissance, voire jour de naissance si ce dernier est nécessaire à la réalisation d’une recherche impliquant des personnes âgées de moins de deux ans) ;
• Lieu de naissance ;
• Sexe ;
• Pays et département de résidence ;
• Numéro d’ordre ou code alphanumérique à l’exclusion des nom(s), prénom(s) et du numéro d’inscription au répertoire national d’identification des personnes physiques ;
• Données administratives d’identification des personnes concernées (nom, prénom, coordonnées postales, électroniques et téléphoniques, coordonnées bancaires) auxquelles nous n’avons pas accès mais qui peuvent être utilisées par des tiers agissant pour notre compte ;
• Santé : les données strictement nécessaires à la réalisation de la recherche et relatives à votre santé (par exemple : poids, taille, thérapie suivie dans le cadre de la recherche et concomitante, résultats d’examens, résultats issus d’analyse d’échantillons biologiques, imagerie médicale, données relatives aux effets et événements indésirables, antécédents personnels ou familiaux, maladies ou événements associés, données relatives à un état de santé susceptible d’influencer les résultats ou de rendre impossible votre participation en application de contre-indications médicales) ;
• Photographie et/ou vidéo et/ou enregistrements vocaux ne permettant pas votre identification (par exemple avec masquage du visage, des yeux, des signes distinctifs) ;
• Dates relatives à la conduite de la recherche (notamment la date d’inclusion et les dates de visites ou de recueil des données) ;
• Origine ethnique ;
• Données génétiques strictement nécessaires pour répondre aux objectifs ou finalités de la recherche ;
• Situation familiale ;
• Niveau de formation (par exemple, primaire, secondaire, supérieur) ;
• Catégorie socioprofessionnelle (par exemple, les catégories INSEE) ;
• Vie professionnelle (par exemple : profession actuelle, historique, chômage, trajets et déplacements professionnels, expositions professionnelles) ;
• Régime d’affiliation à la sécurité sociale (à l’exclusion du numéro d’inscription au répertoire national d’identification des personnes physiques), assurance complémentaire (mutuelle, assurance privée) ;
• Participation à d’autres recherches ou études, en vue de s’assurer du respect des critères d’inclusion ;
• Déplacements (par exemple vers le lieu de soin ou de la recherche : mode, durée, distance) ;
• Consommation de tabac, alcool, drogues ;
• Habitudes de vie et comportements, par exemple : dépendance (seul, en institution, autonome, grabataire), assistance (aide-ménagère, familiale), exercice physique (intensité, fréquence, durée), régime et comportement alimentaire, loisirs ;
• Mode de vie, par exemple : urbain, semi-urbain, nomade, sédentaire ; habitat (maison particulière ou immeuble, étage, ascenseur, etc.) ;
• Vie sexuelle ;
• Statut vital, lorsque cette information figure dans le document source ou est connue du professionnel intervenant dans la recherche ;
• Remboursement des frais liés à la recherche que vous engagez ;
• Echelle de qualité de vie ou autres informations sur votre qualité de vie.

Si vous avez l’intention de nous fournir des données personnelles qui concernent d’autres personnes (par exemple, un membre de votre famille dont vous êtes le représentant légal), vous devez leur fournir directement une copie de cette notice d’information.

Base légale du traitement

Nous traitons les données personnelles que nous pouvons détenir à votre sujet uniquement si ce traitement est justifié et conforme aux dispositions légales en vigueur. Par conséquent, nous traiterons vos données personnelles uniquement si ce traitement de vos données personnelles est nécessaire à la réalisation de nos recherches et répond à un intérêt légitime que nous poursuivons (article 6.1 (f) du règlement 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD)). Veuillez noter que, lorsque nous traitons vos données personnelles sur ce fondement, nous cherchons toujours à maintenir un équilibre entre nos intérêts légitimes et votre vie privée. Vous pouvez obtenir de plus amples informations sur le test de mise en balance de nos intérêts spécifiques en adressant une demande expresse à Novartis. Le traitement de vos données de santé est autorisé car il est nécessaire à des fins de recherche scientifique (article 9.2 (j) du RGPD). Nous mettons en œuvre des mesures appropriées permettant de garantir vos droits et libertés, comme notamment le seul recueil de données strictement nécessaires et pertinentes au regard des objectifs de la recherche.

Finalités du traitement

Nous traitons toujours vos données personnelles pour des finalités spécifiques et n’effectuons que des traitements de données personnelles qui sont pertinents pour atteindre cette finalité. En particulier, nous traitons les données personnelles dont nous pouvons disposer à votre sujet pour la seule finalité qu’est la réalisation des recherches n’impliquant pas la personne humaine, études ou évaluations présentant un intérêt public.

Dans le cadre de nos activités et pour les mêmes finalités que celles énumérées dans cette notice d’information, vos données personnelles peuvent être accessibles ou transférées aux catégories de destinataires suivants, dans la mesure où ils justifient d’un besoin pour accomplir ces finalités :

• Le responsable scientifique de la recherche ;
• Les professionnels intervenant dans la recherche et les personnels agissant sous leur responsabilité ou leur autorité ;
• Le personnel des sociétés du groupe Novartis et participant au recueil et à l’analyse des données dans le cadre de la recherche ;
• Les personnes chargées de la collecte, du contrôle qualité, du traitement et de l’analyse des données ;
• Les personnes chargées des affaires réglementaires et de l’enregistrement de la recherche auprès des autorités compétentes
• Les personnes responsables du contrôle et de l’assurance de qualité, lors de la visite ou du contrôle au sein des centres, chargées de contrôler et d’évaluer la qualité et l’authenticité des données collectées ;
• Notre délégué à la protection des données dans le cas où vous entrez volontairement en contact avec lui ;
• Nos sous-traitants ;
• Le personnel d’autorités sanitaires et d’autorités publiques de contrôle légalement habilité, dans le cadre d’une mission particulière ou de l’exercice d’un droit de communication ;
• Le personnel habilité agissant sous la responsabilité de l’organisme d’assurance garantissant notre responsabilité civile ;
• Les experts indépendants chargés de ré-analyser les données pour vérifier les résultats de la recherche

Ces tiers sont tenus de protéger la confidentialité et la sécurité de vos données personnelles, conformément à la législation applicable.

Vos données personnelles peuvent également être accessibles ou transférées à tout organisme de régulation, autorité étatique, juridiction ou organisme public national et/ou international, lorsque nous y sommes contraints par la loi ou les règlements, ou à leur demande.

Les données personnelles que nous recueillons auprès de vous peuvent également être traitées, accessibles ou conservées dans un pays autre que celui où se trouve Novartis Pharma SAS, pays qui peut ne pas offrir le même niveau de protection des données personnelles.

Si nous transférons vos données personnelles à des sociétés situées dans d’autres juridictions, nous nous assurerons de protéger vos données personnelles i) en appliquant le niveau de protection requis par les règlementations de protection des données personnelles et de la vie privée applicables à Novartis Pharma SAS, ii) en agissant conformément à nos politiques internes et standards et, iii) en transférant seulement vos données personnelles sur le fondement des Clauses contractuelles types approuvées respectivement par la Commission européenne ou par le Préposé fédéral suisse à la protection des données et à la transparence.

Pour les transferts de données personnelles entre les filiales et les sociétés affiliées de Novartis, le groupe Novartis a adopté des Règles d'entreprise contraignantes (Binding Corporate Rules), un système de principes, de règles et d'outils, prévu par le droit européen, destiné à garantir des niveaux efficaces de protection des données personnelles lors des transferts de données en dehors de l'Espace Economique Européen (c’est-à-dire les Etats membres de l’Union européenne, ainsi que l’Islande, le Liechtenstein et la Norvège, « EEE »), de la Suisse et du Royaume-Uni. Pour en savoir plus sur les Règles d'entreprise contraignantes de Novartis, cliquez ici.

Vous pouvez demander plus d’informations au sujet des transferts internationaux de données personnelles et obtenir une copie des protections adéquates mises en place en exerçant vos droits comme décrit à la Section dédiée ci-dessous.

Nous avons mis en place des mesures techniques et organisationnelles appropriées conçues pour assurer un niveau adéquat de sécurité et de confidentialité à vos données personnelles. Ces mesures prennent en compte:

• L’état de l'art des technologies ;
• Les coûts de leur mise en œuvre ;
• La nature des données ; et
• Le risque du traitement.

Ces mesures ont pour but de protéger vos données personnelles de la destruction ou de l'altération de manière accidentelle ou illicite, de la perte accidentelle, de la divulgation ou de l'accès non autorisé et d'autres formes illicites de traitement.

Parmi les mesures mises en place, vos données seront pseudonymisées, c’est-à-dire que vous serez identifié par un numéro de code pour les besoins de la recherche, sans mention de vos noms et prénoms. Seul l’investigateur conservera la liste de correspondance entre le code qui vous est attribué et votre nom.

En outre, quand nous traitons vos données personnelles, nous :

• Collectons et traitons uniquement les données personnelles qui sont adéquates, pertinentes et non excessives, en vue de poursuivre les finalités déterminées et susmentionnées ;
• Pouvons vous demander de confirmer l’exactitude des données personnelles que nous détenons à votre sujet. Vous êtes également invité à nous informer spontanément de tout changement dans votre situation personnelle afin que nous puissions nous assurer que vos données personnelles soient mises à jour.

Nous ne conservons les données personnelles que nous pouvons détenir à votre sujet uniquement le temps nécessaire à la réalisation de la finalité pour laquelle elles ont été collectées ou pour nous conformer à nos obligations légales ou réglementaires.

En particulier, dans le cadre de la recherche, vos données personnelles ne seront pas conservées plus de deux ans après la dernière publication des résultats de la recherche ou, en cas d’absence de publication, jusqu’à la signature du rapport final de la recherche. Ensuite, elles feront l’objet d’un archivage sur support papier ou informatique pour une durée de vingt ans maximum ou pour une durée conforme à la réglementation en vigueur.

A l’issue du délai de conservation, vos données personnelles seront supprimées de nos systèmes actifs et bases de données ou anonymisées. Nous pouvons anonymiser vos données en empêchant de façon définitive toute identification de la source à l’origine des données et tout regroupement d’informations permettant potentiellement de vous identifier. Dans la mesure où les données anonymisées ne sont plus considérées comme des données personnelles, nous pourrons les utiliser pour contribuer à de nouvelles recherches.

Les données personnelles collectées et traitées dans le contexte d’un litige sont supprimées ou archivées au moment où i) un accord amiable a été conclu, ii) une décision de justice en dernier ressort a été rendue, ou iii) la demande devient prescrite.

Vous pouvez exercer les droits suivants dans les conditions et selon les limites autorisées par la législation :

• Le droit d’être informé à propos des données personnelles que nous détenons à votre sujet et de la manière dont nous traitons les données personnelles ;
• Le droit d’accéder à vos données personnelles telles qu’elles sont traitées par nous et, si vous pensez que des informations vous concernant sont incorrectes, obsolètes ou incomplètes, de demander leur correction ou leur mise à jour ;
• Le droit de demander l’effacement de vos données personnelles si cela ne compromet pas la pertinence scientifique des résultats ou leur limitation à des catégories spécifiques de traitement ;
• Le droit de s’opposer, en tout ou en partie, au traitement de vos données personnelles ; et
• Le droit de donner des instructions sur le sort de vos données après votre décès.

Si vous avez une question ou si vous souhaitez exercer les droits susmentionnés, veuillez cliquer ici. Dans ce cas, votre identité (nom, prénom) nous sera rendue accessible. Afin de répondre à votre demande, nous pourrons être amené à nous coordonner avec l’investigateur et les professionnels impliqués dans l’étude.

Une photocopie de votre pièce d’identité pourra vous être demandée afin de vous identifier, étant entendu que nous l’utiliserons uniquement pour vérifier votre identité et que nous ne conserverons pas cette photocopie après vérification. Quand vous nous enverrez cette photocopie, veillez à occulter votre photographie et votre numéro national d’immatriculation ou son équivalent.

Si vous n’êtes pas satisfait de la façon dont nous traitons vos données personnelles, vous pouvez adresser votre demande à notre délégué à la protection des données en écrivant à l’adresse email : [email protected], qui l’étudiera.

Dans tous les cas, vous avez aussi le droit de déposer plainte auprès des autorités de protection des données compétentes (pour la CNIL : www.cnil.fr).

Enfin, vous pouvez accéder directement, ou par l’intermédiaire d’un médecin de votre choix, à l’ensemble de vos données médicales en application des dispositions de l’article L. 1111-7 du Code de la santé publique, dès lors que vous souhaiteriez avoir accès à l’ensemble des données de votre dossier médical et non aux seules données réutilisées par Novartis Pharma SAS.

Vous serez informé de tout changement ou ajout futur concernant le traitement de vos données personnelles décrit dans cette notice d’information par le biais de nos canaux de communication habituels (par exemple, par le biais de nos sites internet).