Comment Clinityx a construit un entrepôt de données de santé avec la SFC et la Cnil

Le projet CardioHub, porté par la Société française de cardiologie (SFC) et Clinityx, bureau d’études spécialisé en datascience, est une infrastructure de collecte et de réutilisation de données de santé. Il s’appuie sur un véhicule réglementaire, conçu de concert avec la Cnil. CardioHub constitue le premier entrepôt de données extrahospitalier. Un cas d’école inédit nécessitant expertises techniques et réglementaires.

Un contexte complexe

“Lorsque l’idée de CardioHub est née, en 2019, nous avons été confrontés à des difficultés d’appropriation de la démarche par la SFC. Le protocole, sans finalité scientifique précise, interrogeait. Les porteurs de projets de la SFC craignaient d’être dépossédés de leurs projets et des données. La Cnil, quant à elle, ne disposait pas de l’ensemble des textes et décrets nécessaires à l’établissement de sa doctrine”, relate Nicolas Glatt, CEO de Clinityx.

“Jusqu’à présent, la Cnil n’avait jamais autorisé un responsable de traitement ne disposant pas d’un accès permanent aux données du SNDS à constituer un entrepôt comportant ces dernières. Depuis 2017, des centres hospitaliers (comme l’AP-HP ou le CHU de Lille) et des sociétés privées (comme IQVIA ou OpenHealth) ont été autorisés par la Cnil à constituer des entrepôts de données de santé alimentés soit à partir des données recueillies dans le cadre de la prise en charge des patients, soit à partir de données provenant de recherches précédentes. Ce qui était nouveau, c’était de constituer un entrepôt nourri de données issues d’un registre existant et de les apparier de façon prolongée, et non pour un projet de recherche en particulier, avec les données du SNDS, comme l’autorise la loi du 24 juillet 2019”, complète Manon de Fallois, adjointe à la cheffe du service santé de la Cnil.

“Contrairement à un essai clinique randomisé, ponctuel, d’une très grande valeur mais constitué de patients sélectionnés et comportant par définition des facteurs confondants, un registre est un recueil de données permettant le suivi des patients en vie réelle. C’est plus pérenne, ajoute Martine Gilard, professeur hospitalier au CHU de Brest et ex-présidente de la société savante. À partir de ces données, vous êtes amenés à réaliser d’autres études que la ‘princeps’. Ce n’est donc plus un registre que l’on peut lier au SNDS mais un entrepôt.” Le traitement unique des données issues d’un projet de recherche clinique est autorisé par la Cnil, mais la réutilisation de ces mêmes données, au sein d’une base dont les finalités sont multiples, relève d’un régime réglementaire différent.

S’accorder sur la finalité du projet, sa définition et son périmètre

Clinityx n’en était pas à son coup d’essai. La société avait en effet déjà créé une “bulle” sécurisée pour pouvoir héberger les données du SNDS. “En décembre 2018, la SFC a été autorisée par la Cnil à apparier France Tavi au SNDS pendant cinq ans, sans que les objectifs poursuivis ne soient jugés trop larges”, poursuit Nicolas Glatt.