Notice d’information sur la protection des données personnelles – Réutilisation de l’échantillon du Système National des Données de Santé (ESND) et des datamarts du Système national d’information inter-régimes de l’Assurance maladie (SNIIRAM)

Août 2023

Cette notice d’information collective s’adresse aux personnes en France dont les données sont recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi médical ou médico-social ou d’une enquête dans le domaine de la santé et qui alimentent l’échantillon des données du Système National des Données de Santé (ESND) et les bases de données thématiques appelées datamarts du Système national d’information inter-régimes de l’Assurance maladie (SNIIRAM).

Novartis Pharma SAS traite les informations des patients, informations qui constituent des « données personnelles » et porte une grande attention à la protection des données personnelles et de la vie privée.

***

Le Système National des Données de Santé (SNDS) a été créé par la loi de modernisation de notre système de santé du 26 janvier 2016 et est visé par l’article L.1461-1 du Code de la santé publique. Il comprend une base principale couvrant l’ensemble de la population et un ensemble de bases de données ne couvrant pas l’ensemble de la population dénommé « catalogue », créés pour mettre à disposition des données de santé à caractère personnel pseudonymisées, collectées auprès d’organismes publics, afin de favoriser notamment les recherches, études ou évaluations dans le domaine de la santé à des fins d’intérêt public.

Les données du SNDS sont rendues accessibles par la Caisse Nationale de l’Assurance Maladie (CNAM) et la Plateforme des Données de Santé (PDS). La Plateforme des Données de Santé est à la fois un Groupement d’Intérêt Public et une plateforme sécurisée prévue par la loi du 24 juillet 2019 relative à l’organisation et la transformation du système de santé. La Plateforme des Données de Santé remplace l’Institut national des données de santé (INDS).

La CNAM et la Plateforme des Données de Santé sont responsables conjoints de traitement des données du SNDS conformément à l’article R.1461-3 du Code de la santé publique.

La Plateforme des Données de Santé permet l’accès à plusieurs bases de données, dont notamment au sein du SNDS :

Un échantillon aléatoire des données du SNDS (ESND) regroupant 2% des personnes dont les données figurent dans le SNIIRAM constitué de : La datamart de consommation interrégime (DCIR) appelée « base de données individuelles des bénéficiaires » Les données contenues dans le Programme de Médicalisation des Systèmes d’Information (PMSI) sur les champs médecin, chirurgie, obstétrique et odontologie (MCO), soins de suite et de réadaptation (SSR), recueil d’information médicalisée en psychiatrie (RIM-P) et hospitalisation à domicile (HAD) ; Les datamarts orientées vers le suivi des dépenses (DAMIR) ; Les datamarts orientées vers l’analyse de l’offre de soins (AMOS) ; Les tableaux de bord sur la biologie et la pharmacie.

Le SNDS et la Plateforme des Données de Santé sont des plateformes qui se construisent de manière progressive et itérative. D’autres données, comme d’autres bases de données pourront les constituer.

Pour en savoir plus, vous pouvez vous rendre sur ce lien : https://assurance-maladie.ameli.fr/etudes-et-donnees/presentation-systeme-national-donnees-sante-snds.

Toute personne ou structure, publique ou privée, à but lucratif ou non lucratif, peut accéder aux données de l’ESND et aux datamarts en vue de réaliser des recherches, études ou évaluations présentant un intérêt public. Cet accès ne peut cependant être réalisé que sous certaines conditions, telles que définies par les textes législatifs et règlementaires applicables, et visant notamment à garantir le respect des finalités de mise en œuvre des recherches, études ou évaluations et leur caractère d’intérêt public, le respect du référentiel de sécurité permettant de garantir la confidentialité et l’intégrité des données, ainsi que la traçabilité des accès.

La réutilisation des données de l’ESND et des datamarts est encadrée par des textes spécifiques, et notamment par différentes décisions de la Commission Nationale de l’Informatique et des Libertés (CNIL). L’objet de cette notice est de vous informer sur la réutilisation de ces données par Novartis Pharma SAS.

***

Lorsque Novartis Pharma SAS souhaite mener un projet de recherche, étude ou évaluation dans le domaine de la santé et nécessitant des données issues de l’ESND et des datamarts, elle décide pourquoi et comment un traitement de vos données personnelles est effectué. Elle agit ainsi comme « responsable du traitement ». Elle peut exercer cette responsabilité seule ou conjointement avec d’autres sociétés du groupe Novartis, agissant en tant que « responsable conjoint du traitement ». Dans cette notice d’information, « nous » ou « notre » font référence à Novartis Pharma SAS.

L’ESND et les datamarts contiennent des données pseudonymisées, c’est-à-dire que les données directement identifiantes, telles que le nom, le prénom, la date et le lieu de naissance, etc. ont été supprimées.

Novartis Pharma SAS n’accède pas à vos données personnelles. Seuls des laboratoires de recherche ou bureaux d’études référencés auprès de la CNIL ont un accès direct et ponctuel aux données de l’ESND et aux datamarts. Ces laboratoires de recherche et bureaux d’études produisent des rapports, le plus souvent présentés sous forme de tableaux agrégés, comportant des résultats anonymes, à la demande et pour les besoins de Novartis Pharma SAS.

A la lecture de ces rapports et tableaux agrégés, il est absolument impossible pour Novartis Pharma SAS d’identifier les patients en cause. Novartis Pharma SAS ne cherchera pas à réidentifier les personnes à l’origine des données.

Les grandes catégories suivantes de données sont accessibles au sein du SNIIRAM:

  • Les dépenses et remboursements (prestations en soins de ville, en établissements de santé, et montants associés)
  • Consommations de soins de ville (consultations, actes techniques, ...)
  • Prescriptions (médicaments)
  • Dispositifs médicaux (aides techniques)
  • Autres prestations (cures, transports, ...)
  • Soins hospitaliers (hors séances)
  • Séjours hospitaliers (et diagnostics)
  • Indemnités journalières (maladie, ATMP accidents du travail et maladies professionnelles, maternité) et invalidité
  • Les Affections de Longue Durée (ALD)

Des informations génériques sur les patients :

  • Âge, sexe, commune et département de résidence
  • CMU-C (Couverture maladie universelle complémentaire) et ACS (Aide à la complémentaire santé)
  • Date, commune et causes médicales de décès
  • Médecin traitant

Des informations sur les professionnels de santé (spécialité, mode d’exercice, sexe, âge, département d’implantation).

Base légale du traitement

Nous traitons les données personnelles uniquement si ce traitement est justifié et conforme aux dispositions légales en vigueur. Par conséquent, nous traiterons vos données personnelles uniquement si le traitement présente un caractère d’intérêt public.

Le traitement de vos données personnelles est nécessaire à la réalisation de la recherche, de l’étude ou de l’évaluation dans le domaine de la santé et répond à un intérêt légitime poursuivi par Novartis Pharma SAS (article 6.1 (f) du Règlement 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD)).

Veuillez noter que, lorsque nous traitons vos données personnelles sur ce fondement, nous cherchons toujours à maintenir un équilibre entre nos intérêts légitimes et votre vie privée. Vous pouvez obtenir de plus amples informations sur le test de mise en balance de nos intérêts spécifiques en adressant une demande expresse à Novartis.

Le traitement de vos données personnelles de santé est autorisé car il est nécessaire à des fins de recherche scientifique (article 9.2 (j) du RGPD). Nous mettons en œuvre des mesures appropriées permettant de garantir vos droits et libertés, comme notamment la seule réutilisation de données strictement nécessaires et pertinentes au regard des objectifs de la recherche, de l’étude ou de l’évaluation.

Finalités du traitement

Nous traitons toujours vos données personnelles pour des finalités spécifiques et nous n’effectuons que des traitements de données personnelles qui sont pertinents pour atteindre cette finalité. En particulier, la finalité de chaque traitement de données est clairement exposée et détaillée dans le protocole de recherche, étude ou évaluation fourni dans le dossier de soumission du projet à la Plateforme des Données de Santé.

En tout état de cause, l’accès aux données de l’ESND et aux datamarts est justifié par un motif d’intérêt public. Par exemple :

  • Evaluation comparative de l’offre de soins ;
  • Evolution des pratiques de prises en charge ;
  • Analyses comparatives des activités de soins ;
  • Description et analyses des pathologies et parcours de soins des patients ;
  • Etudes épidémiologiques et/ou médico-économiques, dont les études pour la préparation des dossiers de discussions et réunions avec les autorités et comités compétents, ou les études à des fins de surveillance ;
  • Etudes de faisabilité dans le cadre d’une recherche impliquant ou n’impliquant pas la personne humaine.

L’accès aux données de l’ESND et aux datamarts pourra être encadré par sa conformité à des procédures dérogatoires ou simplifiées éditées par la CNIL (par exemple, les méthodologies de référence) ou fera l’objet d’une demande d’autorisation auprès de la CNIL. Les recherches, études ou évaluations dans le domaine de la santé nécessitant un accès aux données de l’ESND et aux datamarts font l’objet d’une publication dans le répertoire public tenu par la Plateforme des Données de Santé (https://www.health-data-hub.fr). Les données ne seront pas utilisées pour l’une des finalités suivantes :

  • La promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé ;
  • L’exclusion de garanties des contrats d’assurance et la modification de cotisations ou de primes d’assurance d’un individu ou d’un groupe d’individus présentant un même risque.

La publication, ainsi que la présentation des résultats du traitement de données, est prévue de telle façon à préserver l’anonymat des personnes concernées.

Seul le laboratoire de recherche ou le bureau d’études a accès aux données de l’ESND et aux datamarts par l’intermédiaire du portail sécurisé de la CNAM. Il est soumis à un référentiel de sécurité de la CNIL déterminant les critères de confidentialité, d’expertise et d’indépendance applicables aux laboratoires de recherche et bureaux d’études. Son personnel est soumis au secret professionnel et les personnes chargées de la réalisation de la recherche, de l’étude ou de l’évaluation doivent avoir signé un engagement individuel de confidentialité. Novartis Pharma SAS n’a pas accès aux données de l’ESND et aux datamarts mais uniquement à des rapports anonymes. Nous pouvons être amenés à partager les rapports anonymes avec d’autres destinataires (par exemple, toute entité du groupe Novartis).

La Plateforme des Données de Santé est une plateforme sécurisée qui a mis en place des mesures de sécurité techniques et organisationnelles pour protéger l’accès aux données du SNDS, et donc aux données de l’ESND et aux datamarts. Vous en trouverez le détail sur le site internet de la PDS : https://www.health-data-hub.fr/.

Le laboratoire de recherche ou bureau d’études ayant accès pour le compte de Novartis Pharma SAS aux données de l’ESND et aux datamarts a l’obligation de réaliser un engagement de conformité auprès de la CNIL à l’arrêté du 17 juillet 2017 relatif au référentiel déterminant les critères de confidentialité, d’expertise et d’indépendance applicables aux laboratoires de recherche et bureaux d’études, ainsi qu’à l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS. Dans notre contrat avec le laboratoire de recherche ou le bureau d’études, nous nous assurons de la conformité de son engagement à respecter le droit applicable à la protection des données personnelles.

La durée d’accès aux données est limitée à celle nécessaire à la mise en œuvre du traitement. Elle est précisée dans le protocole de recherche, étude ou évaluation et dans la notice d’information dédiée au projet.

Les données utilisées dans le cadre d’une recherche, étude ou évaluation dans le domaine de la santé nécessitant un accès aux données de l’ESND et aux datarmarts ne sont pas conservées en dehors de la solution sécurisée utilisée par le laboratoire de recherche ou le bureau d’études avec lequel nous travaillons.

Novartis Pharma SAS ne conserve que des résultats anonymes.

Les données issues du SNDS sont conservées pour une durée totale de 20 ans, puis archivées pour une durée de 10 ans.

Conformément aux dispositions du RGPD, notamment à son article 13 et à l’article R.1461-9 du Code de la santé publique, toute personne dont les données ont été collectées et intégrées dans le SNDS peut:

  • Vérifier si des données la concernant se trouvent dans des bases de données servant à conduire des recherches, études ou évaluations,
  • Exercer ses droits d’accès, de rectification, d’opposition, d’effacement, dans les limites prévues par ce même texte, de demander le cas échéant la portabilité de ses données.

Ces droits s’exercent en contactant :

  • Le professionnel de santé ou l’établissement de soins qui vous prend en charge, ou
  • Le délégué à la protection des données des organismes concernés, comme votre organisme gestionnaire du régime d’assurance maladie obligatoire auquel vous êtes rattaché, ou
  • Le directeur de la Plateforme des Données de Santé.

Si vous avez des questions concernant le traitement de vos données personnelles, veuillez cliquer ici . Dans ce cas, votre identité (nom, prénom) nous sera rendue accessible.

Une photocopie de votre pièce d’identité pourra vous être demandée afin de vous identifier, étant entendu que nous l’utiliserons uniquement pour vérifier votre identité et que nous ne conserverons pas cette photocopie après vérification. Quand vous nous enverrez cette photocopie, veillez à occulter votre photographie et votre numéro national d’immatriculation ou son équivalent.

Si vous n’êtes pas satisfait de la façon dont nous traitons vos données personnelles, vous pouvez adresser votre demande à notre délégué à la protection des données en écrivant à l’adresse email : [email protected], qui l’étudiera.

Dans tous les cas, vous avez aussi le droit de déposer plainte auprès des autorités de protection des données compétentes (pour la CNIL : www.cnil.fr).

Enfin, vous pouvez accéder directement, ou par l’intermédiaire d’un médecin de votre choix, à l’ensemble de vos données médicales en application des dispositions de l’article L. 1111-7 du Code de la santé publique, dès lors que vous souhaiteriez avoir accès à l’ensemble des données de votre dossier médical et non aux seules données réutilisées par Novartis Pharma SAS.

Vous serez informé de tous futurs changements ou ajouts concernant le traitement de vos données personnelles décrit dans cette notice d’information à travers nos canaux de communication habituels (par exemple, par le biais de nos sites internet).