Information patient relative à la création et à l’utilisation des données dans le cadre de l’entrepôt de données de santé des Hôpitaux Universitaires de Strasbourg

Un entrepôt de données de santé (EDS), est un ensemble de bases de données où l’on stocke une grande quantité d’informations relatives à la santé de nos patients, de manière organisée et structurée.

Il s’apparente à une bibliothèque numérique géante, où de nombreuses informations médicales provenant de différentes prises en charges sont rassemblées.

Ces données peuvent comprendre des informations sur vous, vos antécédents médicaux, vos traitements, vos résultats d’analyses, les médicaments prescrits, et d’autres encore. Votre identité est protégée durant toute l’utilisation de vos données.

En centralisant les données dans un EDS, les chercheurs peuvent accéder à des ensembles de données de qualité, représentatifs de la diversité des patients des HUS et collaborer plus facilement dans le cadre de projet de recherche.

L’EDS permet de réaliser des analyses plus rapides et plus précises, dans le but de faire avancer la connaissance médicale, d’améliorer les traitements et la qualité des soins.

L’EDS permet également de réaliser des statistiques afin de mieux comprendre les maladies et leur évolution à grande échelle (santé publique).

Dans le cadre d’un EDS, la sécurité et la confidentialité de vos informations sont une priorité. De nombreuses garanties de sécurités sont mises en place au sein des HUS. L’accès aux données est très contrôlé et le système informatique atteint un niveau de cybersécurité robuste et à l’état de l’art.

Informations légales concernant le traitement de vos données

Conformément à la législation, vous avez le droit d’être informé des conditions dans lesquelles vos données sont utilisées.

Responsable de traitement

Base légale de création de l’EDS

La constitution de l’EDS contribue à l’exercice de la mission d’intérêt public des Hôpitaux Universitaires de Strasbourg, au sens de l’article 6-1-e du RGPD. Les traitements mis en œuvre sont nécessaire à des fins de recherche scientifique ou à des fins statistiques, au sens de l’article 9-2-j du RGPD.

Enfin, la création de l’EDS est autorisée depuis le 30 septembre 2024 par la Commission Nationale Informatique et Libertés (CNIL) pour les finalités décrites ci-dessous. (Autorisation N° 2227572)

Finalités du traitement de vos données personnelles

Les différentes finalités (objectifs) des traitements de données réalisés dans l’entrepôt sont :

• la réalisation de recherches, études ou évaluations dans le domaine de la santé ;
• la réalisation de recherches internes ;
• la réalisation d’études de faisabilité ;
• la réalisation d’études médico-économiques ;
• l’enseignement (constitution de cas clinique et de simulations) ;
• la réalisation de modèles prédictifs pour l’intervention pharmaceutique (utilisation d’un algorithme permettant de mieux cibler les prescriptions devant faire l’objet d’une validation ciblée par un pharmacien) et de modèles prédictifs pour la veille sanitaire.

L’intégralité des recherches et des études réalisées sur les données de l’EDS seront publiées sur le portail de transparence de la recherche des HUS. Cette page internet vous permettra d’accéder à toutes les informations importantes concernant votre participation à la recherche.

Source des données

Les données personnelles contenues dans l’EDS sont collectées dans le cadre de votre prise en charge.

Catégories de données personnelles

Seules des données personnelles adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement peuvent être collectées et traitées dans l’EDS.

Les catégories de données personnelles collectées dans l’entrepôt sont :

• données administratives identifiantes:
  • noms, prénoms,
  • date de naissance,
  • sexe,
  • statut matrimonial,
  • coordonnées (postales, téléphoniques, courriel),
  • pays, ville, code INSEE et code postal de la ville de naissance, dernière adresse connue,
  • catégorie socioprofessionnelle,
  • numéro d’identifiant du patient dans l’établissement, numéro de sécurité sociale NIR de l’ouvrant droit et INS du patient concerné
  • date, lieu et cause de décès, si présents dans le dossier médical;
• données sur les mouvements du patient dans l’établissement :
  • lieu (établissement, pôle, service, UF, lit),
  • date et heure, mode de prise en charge (consultation, hospitalisation, séance…) ;
• données cliniques, médicales et paramédicales :
  • poids, taille,
  • observations et comptes rendus d’examens, d’analyse d’échantillons biologiques, d’imagerie… ;
• données paracliniques, dont
  • la biologie,
  • résultats de diagnostics génétiques (hors séquences identifiantes),
  • anatomopathologie,
  • imagerie,
  • monitorages,
  • résultat d’autres examens complémentaires (ex. : explorations fonctionnelles) ;
• données PMSI ;
• biobanque et données associées (sang, tissus, échantillons biologiques…) ;
• résultats d’analyses génétiques non identifiants.

Durées de conservation et sort de la donnée

Les données à caractère personnel stockées dans l’EDS sont conservées de façon sécurisée durant 20 ans, conformément à la réglementation.

A l’issue de ce délai, vos données seront anonymisées suivant un processus conforme à l’état de l’art ou supprimées. Il sera alors impossible de les utiliser pour vous identifier.

Vous pouvez à tout moment vous opposer à la conservation de vos données dans l’EDS dans les conditions décrite plus bas.

Utilisation de vos données après votre décès

Après votre décès, vos données pourront continuer à être utilisées pour faire avancer la recherche médicale, à condition que vous ne vous y soyez pas opposé de votre vivant.

Vous pouvez définir des « directives anticipées » afin d’organiser le traitement de vos données personnelles après votre décès.

Gouvernance

L’EDS est supervisé par le Directoire des HUS qui en détermine les orientations stratégiques et scientifiques.

L’accès aux bases de données de l’EDS est contrôlé par un Comité scientifique et éthique ainsi qu’un Comité des études, qui vérifient conjointement que les demandes d’accès sont conformes et légitimes.

Enfin, l’EDS des HUS fait partie du réseau dynamique des EDS du Grand Est : PAISaGE. Ce réseau permet aux différents acteurs de la santé de s’organiser autour de projets de recherche commun et d’assurer une diffusion de l’informations à l’échelle de la région. Le réseau PAISaGE possède un portail de transparence qui recense toutes les recherches menées actuellement ou dans le passé grâce aux EDS du Grand-Est.

Destinataires des données

Aux Hôpitaux Universitaires de Strasbourg, vos données personnelles sont gérées par nos agents spécialement habilités, parmi lesquels des médecins, des informaticiens et des statisticiens, tous soumis aux règles de confidentialité les plus strictes et tenus au secret professionnel.

Les chercheurs des HUS ou d’autres centres ne peuvent accéder aux données de l’EDS que s’ils bénéficient d’une autorisation préalable du Comité des études comme décrit ci-dessous.

La procédure d’accès aux données de l’entrepôt

Le comité scientifique et éthique a pour mission de rendre, de manière systématique et préalablement à toutes recherche, un avis motivé sur les propositions de projets nécessitant la réutilisation des données de l’EDS.

Le Comité des études, par l’intermédiaire du portail de recherche, gère au quotidien les propositions d’études qui devraient accéder aux données de l’EDS. Le Comité reçoit ces demandes, assure le lien avec le comité scientifique et éthique, détermine le calendrier de traitement des demandes selon les priorités et organise leur réalisation dans le respect de l’éthique médicale, de vos droits et de la sécurité de vos données.

Sécurité liée à l’entrepôt

L’EDS propose un haut niveau de sécurité notamment :

• Chiffrement des données : cela garantit que même si des personnes non autorisées accèdent aux données, elles ne pourront pas les lire sans la clé de déchiffrement.
• Authentification forte : Pour accéder aux données, les utilisateurs doivent s’authentifier avec plusieurs facteurs d’authentification. Cela signifie qu’en plus d’un mot de passe, ils pourraient avoir besoin d’un code envoyé sur leur téléphone ou d’une empreinte digitale, par exemple.
• Contrôle d’accès strict : Seules les personnes autorisées peuvent accéder aux données, et leurs droits d’accès sont limités à ce qui est strictement nécessaire pour leur travail.
• Audit et traçabilité : Toutes les actions effectuées sur les données sont enregistrées et peuvent être vérifiées ultérieurement. Cela permet de savoir qui a accédé à quelles données et quand, ce qui est crucial pour détecter et enquêter sur toute activité suspecte.
• Protection contre les intrusions : Des mesures de sécurité avancées, comme des pare-feu et des systèmes de détection d’intrusions, sont mises en place pour protéger les données contre les cyberattaques.
• Sécurité physique : Les serveurs et les équipements où sont stockées les données sont protégés physiquement, dans des centres de données sécurisés, avec un accès restreint et surveillé.
• Sensibilisation et formation : Tout le personnel ayant accès aux données doit être formé régulièrement sur les bonnes pratiques de sécurité et les procédures à suivre en cas d’incident.
• Plan de réponse aux incidents : Un plan détaillé doit être en place pour répondre rapidement et efficacement en cas de violation de sécurité, afin de minimiser les dommages et de restaurer la sécurité des données.

Vos droits sur vos données

Vous pouvez, à tout moment et pour des raisons tenant à votre « situation particulière », vous opposer à l’utilisation de vos données personnelles dans le cadre de l’alimentation de l’entrepôt de données de santé ou pour les recherches ultérieures.

Cette opposition n’aura aucune conséquence sur votre prise en charge ultérieure.

De plus, vous disposez des droits suivants :

• Accès et rectification : vous pouvez accéder aux données qui vous concernent et en obtenir la modification si elles ne sont pas exactes ;
• Effacement : Vous pouvez demander la suppression de certaines données vous concernant sous réserve de la réglementation applicable ainsi que des obligations légales incombant à l’établissement ;
• Limitation : vous pouvez demander l’arrêt temporaire de l’utilisation de certaines de vos données ;

Un justificatif d’identité pourra, le cas échéant vous être demandé.

Vous pouvez exercer vos droits :

• par courrier électronique : dpd@chru-strasbourg.fr
• par courrier postal adressé à :
  Hôpitaux Universitaires de Strasbourg
  Délégué à la Protection des Données
  Direction des Affaires juridiques
  1 place de l’Hôpital – BP 426
  67091 Strasbourg Cedex

Si vous estimez, après nous avoir contactés, que vos droits sur vos données ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL (www.cnil.fr).

Pour plus d’information sur la politique de confidentialité des Hôpitaux Universitaires de Strasbourg merci de consulter la page :