摩纳哥个人数据保护局《第2026-16号决议——批准PEGASUS临床研究个人数据处理并授权向美国母公司传输与全球子公司访问》
简称：摩纳哥 APDP 第2026-16号决议
法规简介
摩纳哥个人数据保护局（APDP）于2026年9月16日通过第2026-16号决议，对JANSSEN-CILAG公司（在摩纳哥由格蕾丝王妃医院中心代表）提交的PEGASUS临床研究个人数据处理申请作出有利意见，并同时授权两项跨境数据传输：其一为将PEGASUS研究患者数据向设于美国的母公司传输以作长期归档，其二为允许该集团位于全球各地的所有子公司访问存储于美国的PEGASUS研究数据。申请方为该研究提供的法规依据包括第1.565号法、2017年10月30日第1.454号法（医疗同意与知情）、欧洲委员会第R(97)5号关于医疗数据保护的建议、《赫尔辛基宣言》以及摩纳哥医疗职业道德守则。该决议是摩纳哥在2024年新数据保护法框架下对医药临床研究跨境传输个案授权的直接样本。
1
Délibération n° 2026-16 du 16 septembre 2026
de l’Autorité de Protection des Données Personnelles portant avis favorable à la mise
en œuvre du traitement de données personnelles ayant pour finalité
« Collecter, enregistrer et analyser les données des patients ayant consenti à
participer à l’étude PEGASUS afin de décrire en conditions réelles la persistance du
traitement par guselkumab chez des patients atteints de rhumatisme psoriasique,
ainsi que les données associées de suivi clinique, de sécurité et d’utilisation du
traitement »
et autorisation de transferts de données personnelles ayant respectivement pour
finalité
« Transfert de données vers la maison mère, sise aux Etats-Unis d’Amérique, à des
fins d’archivage à long terme des données des patients inclus dans l’étude
PEGASUS »
et
« Accès aux données de l’étude PEGASUS archivées aux Etats-Unis d’Amérique,
par toutes les filiales du Groupe situées dans le monde entier »
présentés par JANSSEN-CILAG représentée en Principauté de Monaco par le
Centre Hospitalier Princesse Grace
Vu la Constitution du 17 décembre 1962 ;
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés
Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection
des personnes à l'égard du traitement automatisé des données à caractère personnel et son
Protocole additionnel ;
Vu la Recommandation n° R(97) 5 du Conseil de l’Europe du 13 février 1997 relative à
la protection des données médicales ;
Vu la Déclaration d’Helsinki de l’Association Médicale M ondiale sur les principes
éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ;
2
Vu la Loi n° 1. 565 du 3 décembre 2024 relative à la protection des données
personnelles ;
Vu la Loi n° 1.454 du 30 octobre 2017 relative au consentement et à l'information en
matière médicale ;
Vu l’Ordonnance Souveraine n° 4.518 du 22 octobre 2013 rendant exécutoire l'Accord
entre la Communauté Européenne et la Principauté de Monaco sur l'application de certains
actes communautaires au territoire de la Principauté de Monaco, fait à B ruxelles
le 4 décembre 2003, telle que modifiée par la décision n° 1/2013 du Comité mixte institué par
ledit Accord adopté le 12 juillet 2013 ;
Vu l’Ordonnance Souveraine n°11.327 du 10 juillet 2025 portant application de la Loi
n° 1.565 du 3 décembre 2024 relative à la protection des données personnelles ;
Vu le Code de déontologie médicale ;
Vu l’avis favorable de la Direction de l’Action Sanitaire du 8 juillet 2026 reçu par
l’Autorité le 9 juillet 2026 ;
Vu la demande d’avis, reçue le 24 juin 2026 , concernant la mise en œuvre par
JANSSEN-CILAG, localisée en France, représentée en Principauté de Monaco par le Centre
Hospitalier Princesse Gra ce, d’un traitement ayant pour finalité « Collecter, enregistrer et
analyser les données des patients ayant consenti à participer à l’étude PEGASUS afin de
décrire en conditions réelles la persistance du traitement par guselkumab chez des patients
atteints de rhumatisme psoriasique, ainsi que les données associées de suivi clinique, de
sécurité et d’utilisation du traitement » ;
Vu la demande d’autorisation de transfert de données, reçue le 26 août 2026,
présentée par JANSSEN -CILAG, localisée en France et représentée en Principauté de
Monaco par le Centre Hospitalier Princesse Grace, ayant pour finalité « Transfert de données
vers la maison mère, sise aux Etats-Unis d’Amérique, à des fins d’archivage à long terme des
données des patients inclus dans l’étude PEGASUS » ;
Vu la demande d’autorisation de transfert de données, reçue le 26 août 2026,
présentée par JANSSEN -CILAG, localisée en France et représentée en Principauté de
Monaco par le Centre Hospitalier Princesse Grace, ayant pour finalité « Accès aux données
de l’étude PEGASUS archivées aux Etats-Unis d’Amérique, par toutes les filiales du Groupe
situées dans le monde entier » ;
Vu la prorogation du délai d’examen de la demande d’avis, notifiée au responsable du
traitement le 4 septembre 2026, conformément à l’article 59 de la Loi n° 1.565, susvisée ;
Vu le rapport de l ’Autorité de Protection des Données Personnelles en date
du 16 septembre 2026 portant analyse dudit traitement.
L’Autorité de Protection des Données Personnelles,
Préambule
Le traitement de données personnelles soumis à l’avis de l’Autorité a pour objet une
recherche observationnelle.
3
Le Centre Hospitalier Princesse Grace (CHPG), établissement public, s’est constitué
représentant sur le territoire monégasque de JANSSEN-CILAG, du Groupe Janssen/Johnson
& Johnson (J&J), localisée en France, responsable du traitement.
Conformément à l’article 58 de la Loi n° 1.565 du 3 décembre 2024, la mise en œuvre
de ce traitement est soumise à l’avis préalable de l’Autorité de Protection des Données
Personnelles.
I. Sur la finalité du traitement
La finalité du traitement est « Collecter, enregistrer et analyser les données des
patients ayant consenti à participer à l’étude PEGASUS afin de décrire en conditions réelles
la persistance du traitement par guselkumab chez des patients atteints de rhumatisme
psoriasique, ainsi que les données associées de suivi clinique, de sécurité et d’utilisation du
traitement ».
Il porte sur une étude prospective, non interventionnelle, multicentrique en vie réelle,
visant à étudier l a persistance du traitement par guselkumab chez des patients atte ints de
rhumatisme psoriasique dans un contexte de pratique clinique. L’étude sera prescriptive et ne
comportera pas de groupe comparateur.
Cette étude se déroulera dans 45 centres en France métropolitaine, en outre-mer et à
Monaco. 200 patients devraient être inclus au total avec une participation de 3 à 5 patients par
centre. En Principauté de Monaco, elle sera réalisée au CHPG, sous la responsabilité d’un
médecin investigateur exerçant au sein du service de rhumatologie.
Le traitement concerne donc, au principal, les patients pour lesquels un traitement par
guselkumab a été prescrit dans le cadre de la prise en charge de leur rhumatisme psoriasique
ainsi que les médecins investigateurs, les attachés de recherche clinique (ARC) et les
personnels intervenant au cours de l’étude sur autorisation du médecin investigateur.
Ses fonctionnalités sont les suivantes :
- organiser l’inclusion des patients ;
- collecter et analyser les données des sujets conformément aux objectifs scien tifiques
et au protocole de l’étude ;
- conserver les données traitées dans le respect des réglementations applicables ;
- assurer la sécurité de l’étude en veillant, notamment, à l’identification des acteurs de
la recherche, la qualité et la traçabilité des données, ainsi que celles des actions
automatisées réalisées ;
- permettre, le cas échéant, le suivi des évènements indésirables.
L’Autorité constate ainsi que la finalité du traitement est déterminée , explicite et
légitime, conformément aux dispositions de l’article 4 de la Loi n° 1.565 du 3 décembre 2024.
II. Sur le fondement juridique du traitement
Le traitement est tout d’abord justifié par le consentement des patients.
A cet égard, l’Autorité relève que lesdits patients qui acceptent de participer à la
recherche devront, préalablement, exprimer un consentement écrit et exprès concernant le
traitement de leurs données. Ils seront libres de retirer ce consentement à tout moment.
4
Le traitement est également nécessaire dans l’intérêt de la recherche. Dans ce sens, il
respecte, sous la responsabilité des médecins, les principes relatifs à la mise en œuvre d’une
recherche dans le domaine de la santé destinés à protéger les patients qui acceptent de
participer à ce type de recherche. Les droits des pati ents sont précisés dans un document
d’information qui leur est destiné et dans une clause insérée dans le formulaire de
consentement de participation signé par chaque patient.
En outre, toute personne intervenant dans le processus du traitement des informations
est soumise à une obligation de secret professionnel.
Enfin, t enant compte de la sensibilité de ce type de traitement, l’article 78 la Loi
n° 1.565 du 4 décembre 2024, prévoit que l’APDP peut, si elle l’estime nécessaire, consulter
préalablement à l’énoncé de son avis, la Direction de l’Action Sanitaire (DASA).
Ainsi, saisie de la présente étude, conformément à l’article 7 8 précité et aux
dispositions de l’Ordonnance Souveraine n° 11.327 du 10 juillet 2025, la DASA a émis un avis
favorable, susvisé, à la mise en œuvre de la recherche non interventionnelle dénommée
« PEGASUS ».
L’Autorité relève ainsi que le traitement est licite conformément à l’article 5 de la Loi
n° 1.565 du 3 décembre 2024.
III. Sur les données traitées
➢ Sur la pseudonymisation des données personnelles relatives aux sujets
Les données personnelles traitées sur les patients sont pseudonymisées par
l’attribution d’un « numéro patient » correspondant au numéro du centre et au numéro
d’inclusion du patient dans le centre.
Le médecin investigateur disposera au sein du CHPG d’un document non automatisé
permettant, si nécessaire, l’identification du sujet.
Par ailleurs, les données permettant l’identification des patients et l’attribution de leurs
numéros, sont traitées de manière non automatisée par ce professionnel de santé. Il s’agit des
données suivantes :
- identité du patient : code patient, nom, prénom du patient, date de naissance, date
d’inclusion.
➢ Sur les données traitées de manière automatisée sur le patient
Les données traitées dans le cadre de cette étude sont :
- identité du patient : numéro de patient ;
- consommation de biens et services, habitudes de vie : réponses aux questionnaires
de symptômes, qualité de vie et satisfaction ;
- données de santé : données cliniques relatives au rhumatisme psorias ique,
antécédents médicaux pertinents, traitements antérieurs et en cours, effets
indésirables, résultats d’examens réalisés dans le cadre du soin courant.
5
L’Autorité note par ailleurs que « Dans les situations où une grossesse survient chez
une participante ou chez la partenaire d'un participant, des informations complémentaires
relatives à la grossesse et à son évolution peuvent être recueillies dans le cadre du suivi de
sécurité du médicament » mais prend acte que « Ces données sont strictement limitées aux
informations nécessaires à l'évaluation de la sécurité et à la conformité réglementaire ».
Les données ont pour origine la liste de correspondance, le patient lui-même, le dossier
médical du patient ainsi que toutes informations portées à la connaissance d es médecins
investigateurs dans le cadre du suivi du sujet qu’ils estiment être utiles à l’étude, comme les
documents et analyses établis ou reçus de professionnels de santé intervenant dans l e
processus de suivi du patient.
L’Autorité constate que les données issues du dossier médical ont ainsi pour origine le
traitement de données personnelles ayant pour finalité « Gérer les informations médicales du
patient afin d’assurer sa prise en charge lors de ses venues au CHPG », et que le traitement
envisagé est compatible avec le traitement d’origine des données conformément à l’article 4
de la Loi n° 1.565 du 3 décembre 2024.
L’Autorité considère que ces données sont « adéquates, pertinentes et limitées à ce
qui est nécessaire au regard des finalités pour lesquelles elles sont traitées », conformément
à l’article 4 de la Loi n° 1.565 du 3 décembre 2024.
➢ Sur les données traitées de manière automatisée sur le personnel du CHPG
Les données traitées sur le personnel du CHPG au cours de l’étude sont :
- identification électronique de l’utilisateur : identifiant personnel et mot de passe ;
- données de connexion : données d’horodatage et opérations effectuées en ajout,
modification et suppression des données de l’étude, raison de la modification.
Ces informations ont pour origine le curriculum vitae de l’intéressé et le système
d’information.
L’Autorité considère que ces données sont « adéquates, pertinentes et limitées à ce
qui est nécessaire au regard des finalités pour lesquelles elles sont traitées », conformément
à l’article 4 de la Loi n° 1.565 du 3 décembre 2024.
IV. Sur les droits des personnes concernées
➢ Sur l’information préalable
L’information préalable des patients est réalisée par un document spécifique remis à
l’intéressé, à savoir l a « Lettre d’information patient pour la participation à l’étude non
interventionnelle » ou la « Lettre d’information de la participante enceinte ou de la partenaire
enceinte d’un patient participant à une étude non interventionnelle » et par un document
intégré à ces deux lettres que chaque patient doit signer, à savoir le « Formulaire de
consentement ».
A la lecture de ces documents, l’Autorité constate que les patients disposent d’un droit
d’accès, de rectification, de limitation, et le cas échéant, d’opposition ou d’effacement de leurs
données mais que seules les deux lettres d’informa tion précisent qu’en cas de retrait de
l’étude, les données déjà recueillies continueront d’être partagées et utilisées aux fins de
l’étude afin de protéger la validité scientifique et l’intégrité de l’étude.
6
Elle demande donc que le formulaire de consentement intégré aux deux lettres
d’information soit complété afin d’indiquer ce point.
L’Autorité relève en outre que les documents d’information mentionnent des transferts
de données vers d’autres pays, y compris les Etats-Unis. A cet égard, elle demande que ces
documents soient complétés afin d’indiquer que les données sont transférées vers la maison
mère sise aux Etats -Unis à des fins d’archivage et que les filiales du Groupe, sises dans le
monde entier, pourront y avoir accès.
L’Autorité demande également que les formulaires de consentement soient complétés
afin d’indiquer ce transfert de données à destination de la maison mère, sise aux Etats -Unis,
et les accès aux données par les filiales situées dans le monde entier.
Sous ces conditions, elle considère que le consentement desdits patients est conforme
à l’article 6 de la Loi n° 1.565 du 3 décembre 2024.
➢ Sur l’exercice du droit d’accès, de modification et de mise à jour
Le droit d’accès s’exerce auprès du médecin signata ire du consentement au sein du
CHPG. Il peut s’exercer par voie postale ou sur place.
L’Autorité constate que les modalités d’exercice des droits des personnes concernées
sont conformes aux dispositions des article s 12, 13 et 17 de la Loi n° 1.565 du 3 décembre
2024.
V. Sur les destinataires des données
➢ Sur les catégories de personnes ayant accès au traitement
Les habilitations permettant l’accès au traitement et aux données relèvent de l’autorité
du responsable du traitement qui assure la pleine et entière responsa bilité de la conduite du
projet.
Le responsable du traitement indique que le s personnes ayant accès aux données
sont :
- le personnel habilité du CHPG (Médecin investigateur, ARCs) : inscription, modification
et consultation ;
- le personnel habilité du responsable du traitement afin de superviser la réalisation de
l’étude (supervision, analyse et suivi réglementaire de l’étude) ;
- le personnel habilité de la CRO (IQVIA) mandatée par le promoteur pour la gestion
opérationnelle, le monitoring, le data management, les stat istiques et le contrôle
qualité ;
- les auditeurs et autorités de santé : consultation des données uniquement sur place au
CHPG ;
- le fournisseur de l’eCRF : accès potentiel aux données dans le cadre de ses opérations
de maintenance.
Les accès au présent traitement sont dévolus en considération des missions et des
fonctions des personnes auxquelles ils sont attribués, conformément à l’article 31 de la Loi
n° 1.565 du 3 décembre 2024.
7
Concernant le prestataire technique , l’Autorité rappelle toutefois que celui -ci doit
présenter les garanties suffisantes quant à la mise en œuvre de mesures techniques et
organisationnelles appropriées de manière à assurer la protection des données personnelles
et le respect des droits des p ersonnes concernées, conformément à l’article 26 de la Loi
n° 1.565 du 3 décembre 2024.
➢ Sur les destinataires ou catégories de destinataires habilités à recevoir
communication des données
Les informations seront communiquées à la maison mère, sise aux Etats -Unis, à des
fins d’archivage, pays ne disposant pas d’un niveau de protection adéquat.
Un accès à ces informations sera également donné à toutes les filiales du responsable
de traitement situées dans le monde entier à des fins de consultation des données de l’étude
archivées.
A cet égard, l’Autorité constate que ce transfert et cet accès sont encadrés entre autres
par des clauses contractuelles type (CTT) de l’Union européenne.
Elle rappelle toutefois que ces clauses ne peuvent se confondre avec les CCT prévues
à l’article 98 de la Loi n° 1.565, précitée. Elles s’analysent donc en des clauses spécifiques
telles que prévues à l’article 100 de la ladite Loi, soumettant le transf ert à l’autorisation
préalable de l’APDP.
A la lecture d es documents joints , l’Autorité relève qu e des mesures techniques et
organisationnelles ont été mises en place, incluant notamment des obligations de
confidentialité, de sécurité, de traitement sur instructions documentées, de limitation des
accès, d’assistance en cas d’incident et de restitution ou suppression des données lorsque
cela est applicable.
Elle note ainsi que « L’accès aux données de l’étude PEGASUS par les filiale s de
Janssen/J & J est strictement limité aux personnes autorisées ayant un besoin d’en connaître
dans le cadre des finalités liées à l’étude, notamment le suivi scientifique, médical,
règlementaire, la pharmacovigilance, les audits, les inspections ou la gestion des obligations
légales et règlementaires du promoteur ».
En outre « Les accès aux systèmes contenant les données de l’étude sont encadrées
par des habilitations individuelles attribuées selon les fonctions et les responsabilités des
utilisateurs et font l’objet de mesures de contrôle et de traçabilité ».
L’Autorité note par ailleurs que des mesures de protection particulières ont été prises
conformément à l’article 100 de la Loi n° 1.565 du 3 décembre 2024.
En effet, les données consultées sont pseudonymisées et les transferts électroniques
sont effectués au moyen de canaux de communication sécurisés reposant sur des
mécanismes de chiffrement.
Enfin, l es données seront transmises au prestataire du CHPG en charge de leur
archivage.
Tous les organismes recevant ces communications sont soumis au secret
professionnel et agissent dans le cadre de prescriptions fixées par le responsable d u
traitement. Un engagement de confidentialité est en outre imposé à toute personne travaillant
sur les informations.
8
VI. Sur les rapprochements et interconnexions
L’Autorité observe que le traitement fait l’objet de rapprochements :
- avec un traitement non automatisé : le document de correspondance établi sous format
papier par le médecin investigateur principal comportant le numéro patient et son
identité complète, document obligatoire pour retrouver les dossiers médicaux des
patients pendant la durée de suivi et de l’archivage de l’étude ;
- avec le traitement ayant pour finalité « Gérer les informations médicales du patient afin
d’assurer sa prise en charge lors de ses venues au CHPG », permettant la collecte par
rapprochement d’informations à partir du dossier patient, évoqué précédemment, sans
interconnexion entre les traitements ;
- avec le traitement ayant pour finalité « Gestion des droits d’accès du personnel, des
patients et des personnes en relation avec le CHPG », aux fins de garantir la sécurité
du traitement quant à ses accès ;
- avec le traitement ayant pour finalité « Gestion de la messagerie électronique
professionnelle du CHPG », s’agissant des modalités de communication des
informations ;
- avec le traitement ayant pour finalité « Dossier médical du patient informati sé »,
permettant la collecte par rapprochement d’informations à partir du dossier patient.
L’Autorité relève que les opérations réalisées sont compatibles avec les finalités
initiales des traitements dans le respect de l’article 4 de la Loi n° 1.565 du 3 décembre 2024.
VII. Sur la sécurité du traitement et des données
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des
informations qu’il contient n’appellent pas d’observation de la part de l’Autorité.
Elle rappelle toutefois que si un médecin ou un ARC rejoignait la recherche après son
début, l’identifiant et le mot de passe doivent lui être communiqués par deux canaux distincts.
L’Autorité rappelle par ailleurs que les ports non utilisés doivent être désactivés et les
serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare -feux) ainsi
que chaque compte utilisateur et administrateur doivent être protégés individuellement par un
identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Enfin, elle précise que, conformément à l’article 31 de la Loi n° 1.565 du 3 décembre
2024, le responsable du traitement doit prendre les mesures techniques et organisationnelles
appropriées « afin de garantir un niveau de sécurité adapté aux risqu es pour les droits et
libertés des personnes physiques, notamment la destruction, la perte, l’altération, la
divulgation non autorisée des données à caractère personnel ou l’accès non autorisés à de
telles données, de manière accidentelle ou illicite ».
9
VIII. Sur les durées de conservation
La durée des inclusions est de 18 mois.
La durée de suivi des patients est de 2 ans.
A la fin de la recherche, les données seront conservées 15 ans.
L’Autorité considère que l es durées de conservation sont conformes aux exigences
légales.
Après en avoir délibéré, l’Autorité :
Prend acte de l’avis favorable émis par la Direction de l’Action Sanitaire le 8 juillet 2026
concernant la recherche non interventionnelle dénommée « PEGASUS » reçue par
l’Autorité le 9 juillet 2026.
Rappelle que :
− le prestataire technique doit présenter les garanties suffisantes quant à la mise en
œuvre de mesures techniques et organisationnelles appropriées de manière à assurer
la protection des données personnelles et le respect des droits des personnes
concernées, conformément à l’article 26 de la Loi n° 1.565 du 3 décembre 2024 ;
− si un médecin ou un ARC rejoignait la recherche après son début, l’identifiant et le
mot de passe doivent lui être communiqués par deux canaux distincts ;
− les ports non utilisés doivent être désactivés et le s serveurs, périphériques,
équipements de raccordements (switchs, routeurs, pare -feux) ainsi que chaque
compte utilisateur et administrateur doivent être protégés individuellement par un
identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Demande que :
− le formulaire de consentement intégré aux deux lettres d’information soit complété afin
d’indiquer qu’en cas de retrait de l’étude, les données déjà recueillies continueront
d’être partagées et utilisées aux fins de l’étude afin de protéger la validité scientifique
et l’intégrité de l’étude ;
− les lettres d’information et les formulaires de consentement soient complétés afin
d’indiquer que les données sont transférées vers la maison mère sise aux Etats-Unis
à des fins d’archivage et que les filiales d u groupe , sises dans le monde entier,
pourront y avoir accès.
10
Sous le bénéfice de la prise en compte de ce qui précède,
l’Autorité de Protection des Données Personnelles émet un avis favorable à la mise
en œuvre par JANSSEN-CILAG, localisée en France , représentée en Principauté de
Monaco par le Centre Hospitalier Princesse Gra ce, du traitement ayant pour finalité
« Collecter, enregistrer et analyser les données des patients ayant consenti à participer
à l’étude PEGASUS afin de décrire en conditions réelles la persistance du traitement
par guselkumab chez des patients atteints de rhumatisme psoriasique, ainsi que les
données associées de suivi clinique, de sécurité et d’utilisation du traitement »,
autorise le transfert de données vers la maison mère, sise aux Etats -Unis
d’Amérique, à des fins d’archivage à long terme des données des patients inclus dans
l’étude PEGASUS et l’accès aux données de l’étude PEGASUS archivées aux Etats-Unis
d’Amérique, par toutes les filiales du Groupe situées dans le monde entier.
Le Président
Robert CHANAS
Délibération n° 2026-16 du 16 septembre 2026
de l’Autorité de Protection des Données Personnelles portant avis favorable à la mise
en œuvre du traitement de données personnelles ayant pour finalité
« Collecter, enregistrer et analyser les données des patients ayant consenti à
participer à l’étude PEGASUS afin de décrire en conditions réelles la persistance du
traitement par guselkumab chez des patients atteints de rhumatisme psoriasique,
ainsi que les données associées de suivi clinique, de sécurité et d’utilisation du
traitement »
et autorisation de transferts de données personnelles ayant respectivement pour
finalité
« Transfert de données vers la maison mère, sise aux Etats-Unis d’Amérique, à des
fins d’archivage à long terme des données des patients inclus dans l’étude
PEGASUS »
et
« Accès aux données de l’étude PEGASUS archivées aux Etats-Unis d’Amérique,
par toutes les filiales du Groupe situées dans le monde entier »
présentés par JANSSEN-CILAG représentée en Principauté de Monaco par le
Centre Hospitalier Princesse Grace
Vu la Constitution du 17 décembre 1962 ;
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés
Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection
des personnes à l'égard du traitement automatisé des données à caractère personnel et son
Protocole additionnel ;
Vu la Recommandation n° R(97) 5 du Conseil de l’Europe du 13 février 1997 relative à
la protection des données médicales ;
Vu la Déclaration d’Helsinki de l’Association Médicale M ondiale sur les principes
éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ;
2
Vu la Loi n° 1. 565 du 3 décembre 2024 relative à la protection des données
personnelles ;
Vu la Loi n° 1.454 du 30 octobre 2017 relative au consentement et à l'information en
matière médicale ;
Vu l’Ordonnance Souveraine n° 4.518 du 22 octobre 2013 rendant exécutoire l'Accord
entre la Communauté Européenne et la Principauté de Monaco sur l'application de certains
actes communautaires au territoire de la Principauté de Monaco, fait à B ruxelles
le 4 décembre 2003, telle que modifiée par la décision n° 1/2013 du Comité mixte institué par
ledit Accord adopté le 12 juillet 2013 ;
Vu l’Ordonnance Souveraine n°11.327 du 10 juillet 2025 portant application de la Loi
n° 1.565 du 3 décembre 2024 relative à la protection des données personnelles ;
Vu le Code de déontologie médicale ;
Vu l’avis favorable de la Direction de l’Action Sanitaire du 8 juillet 2026 reçu par
l’Autorité le 9 juillet 2026 ;
Vu la demande d’avis, reçue le 24 juin 2026 , concernant la mise en œuvre par
JANSSEN-CILAG, localisée en France, représentée en Principauté de Monaco par le Centre
Hospitalier Princesse Gra ce, d’un traitement ayant pour finalité « Collecter, enregistrer et
analyser les données des patients ayant consenti à participer à l’étude PEGASUS afin de
décrire en conditions réelles la persistance du traitement par guselkumab chez des patients
atteints de rhumatisme psoriasique, ainsi que les données associées de suivi clinique, de
sécurité et d’utilisation du traitement » ;
Vu la demande d’autorisation de transfert de données, reçue le 26 août 2026,
présentée par JANSSEN -CILAG, localisée en France et représentée en Principauté de
Monaco par le Centre Hospitalier Princesse Grace, ayant pour finalité « Transfert de données
vers la maison mère, sise aux Etats-Unis d’Amérique, à des fins d’archivage à long terme des
données des patients inclus dans l’étude PEGASUS » ;
Vu la demande d’autorisation de transfert de données, reçue le 26 août 2026,
présentée par JANSSEN -CILAG, localisée en France et représentée en Principauté de
Monaco par le Centre Hospitalier Princesse Grace, ayant pour finalité « Accès aux données
de l’étude PEGASUS archivées aux Etats-Unis d’Amérique, par toutes les filiales du Groupe
situées dans le monde entier » ;
Vu la prorogation du délai d’examen de la demande d’avis, notifiée au responsable du
traitement le 4 septembre 2026, conformément à l’article 59 de la Loi n° 1.565, susvisée ;
Vu le rapport de l ’Autorité de Protection des Données Personnelles en date
du 16 septembre 2026 portant analyse dudit traitement.
L’Autorité de Protection des Données Personnelles,
Préambule
Le traitement de données personnelles soumis à l’avis de l’Autorité a pour objet une
recherche observationnelle.
3
Le Centre Hospitalier Princesse Grace (CHPG), établissement public, s’est constitué
représentant sur le territoire monégasque de JANSSEN-CILAG, du Groupe Janssen/Johnson
& Johnson (J&J), localisée en France, responsable du traitement.
Conformément à l’article 58 de la Loi n° 1.565 du 3 décembre 2024, la mise en œuvre
de ce traitement est soumise à l’avis préalable de l’Autorité de Protection des Données
Personnelles.
I. Sur la finalité du traitement
La finalité du traitement est « Collecter, enregistrer et analyser les données des
patients ayant consenti à participer à l’étude PEGASUS afin de décrire en conditions réelles
la persistance du traitement par guselkumab chez des patients atteints de rhumatisme
psoriasique, ainsi que les données associées de suivi clinique, de sécurité et d’utilisation du
traitement ».
Il porte sur une étude prospective, non interventionnelle, multicentrique en vie réelle,
visant à étudier l a persistance du traitement par guselkumab chez des patients atte ints de
rhumatisme psoriasique dans un contexte de pratique clinique. L’étude sera prescriptive et ne
comportera pas de groupe comparateur.
Cette étude se déroulera dans 45 centres en France métropolitaine, en outre-mer et à
Monaco. 200 patients devraient être inclus au total avec une participation de 3 à 5 patients par
centre. En Principauté de Monaco, elle sera réalisée au CHPG, sous la responsabilité d’un
médecin investigateur exerçant au sein du service de rhumatologie.
Le traitement concerne donc, au principal, les patients pour lesquels un traitement par
guselkumab a été prescrit dans le cadre de la prise en charge de leur rhumatisme psoriasique
ainsi que les médecins investigateurs, les attachés de recherche clinique (ARC) et les
personnels intervenant au cours de l’étude sur autorisation du médecin investigateur.
Ses fonctionnalités sont les suivantes :
- organiser l’inclusion des patients ;
- collecter et analyser les données des sujets conformément aux objectifs scien tifiques
et au protocole de l’étude ;
- conserver les données traitées dans le respect des réglementations applicables ;
- assurer la sécurité de l’étude en veillant, notamment, à l’identification des acteurs de
la recherche, la qualité et la traçabilité des données, ainsi que celles des actions
automatisées réalisées ;
- permettre, le cas échéant, le suivi des évènements indésirables.
L’Autorité constate ainsi que la finalité du traitement est déterminée , explicite et
légitime, conformément aux dispositions de l’article 4 de la Loi n° 1.565 du 3 décembre 2024.
II. Sur le fondement juridique du traitement
Le traitement est tout d’abord justifié par le consentement des patients.
A cet égard, l’Autorité relève que lesdits patients qui acceptent de participer à la
recherche devront, préalablement, exprimer un consentement écrit et exprès concernant le
traitement de leurs données. Ils seront libres de retirer ce consentement à tout moment.
4
Le traitement est également nécessaire dans l’intérêt de la recherche. Dans ce sens, il
respecte, sous la responsabilité des médecins, les principes relatifs à la mise en œuvre d’une
recherche dans le domaine de la santé destinés à protéger les patients qui acceptent de
participer à ce type de recherche. Les droits des pati ents sont précisés dans un document
d’information qui leur est destiné et dans une clause insérée dans le formulaire de
consentement de participation signé par chaque patient.
En outre, toute personne intervenant dans le processus du traitement des informations
est soumise à une obligation de secret professionnel.
Enfin, t enant compte de la sensibilité de ce type de traitement, l’article 78 la Loi
n° 1.565 du 4 décembre 2024, prévoit que l’APDP peut, si elle l’estime nécessaire, consulter
préalablement à l’énoncé de son avis, la Direction de l’Action Sanitaire (DASA).
Ainsi, saisie de la présente étude, conformément à l’article 7 8 précité et aux
dispositions de l’Ordonnance Souveraine n° 11.327 du 10 juillet 2025, la DASA a émis un avis
favorable, susvisé, à la mise en œuvre de la recherche non interventionnelle dénommée
« PEGASUS ».
L’Autorité relève ainsi que le traitement est licite conformément à l’article 5 de la Loi
n° 1.565 du 3 décembre 2024.
III. Sur les données traitées
➢ Sur la pseudonymisation des données personnelles relatives aux sujets
Les données personnelles traitées sur les patients sont pseudonymisées par
l’attribution d’un « numéro patient » correspondant au numéro du centre et au numéro
d’inclusion du patient dans le centre.
Le médecin investigateur disposera au sein du CHPG d’un document non automatisé
permettant, si nécessaire, l’identification du sujet.
Par ailleurs, les données permettant l’identification des patients et l’attribution de leurs
numéros, sont traitées de manière non automatisée par ce professionnel de santé. Il s’agit des
données suivantes :
- identité du patient : code patient, nom, prénom du patient, date de naissance, date
d’inclusion.
➢ Sur les données traitées de manière automatisée sur le patient
Les données traitées dans le cadre de cette étude sont :
- identité du patient : numéro de patient ;
- consommation de biens et services, habitudes de vie : réponses aux questionnaires
de symptômes, qualité de vie et satisfaction ;
- données de santé : données cliniques relatives au rhumatisme psorias ique,
antécédents médicaux pertinents, traitements antérieurs et en cours, effets
indésirables, résultats d’examens réalisés dans le cadre du soin courant.
5
L’Autorité note par ailleurs que « Dans les situations où une grossesse survient chez
une participante ou chez la partenaire d'un participant, des informations complémentaires
relatives à la grossesse et à son évolution peuvent être recueillies dans le cadre du suivi de
sécurité du médicament » mais prend acte que « Ces données sont strictement limitées aux
informations nécessaires à l'évaluation de la sécurité et à la conformité réglementaire ».
Les données ont pour origine la liste de correspondance, le patient lui-même, le dossier
médical du patient ainsi que toutes informations portées à la connaissance d es médecins
investigateurs dans le cadre du suivi du sujet qu’ils estiment être utiles à l’étude, comme les
documents et analyses établis ou reçus de professionnels de santé intervenant dans l e
processus de suivi du patient.
L’Autorité constate que les données issues du dossier médical ont ainsi pour origine le
traitement de données personnelles ayant pour finalité « Gérer les informations médicales du
patient afin d’assurer sa prise en charge lors de ses venues au CHPG », et que le traitement
envisagé est compatible avec le traitement d’origine des données conformément à l’article 4
de la Loi n° 1.565 du 3 décembre 2024.
L’Autorité considère que ces données sont « adéquates, pertinentes et limitées à ce
qui est nécessaire au regard des finalités pour lesquelles elles sont traitées », conformément
à l’article 4 de la Loi n° 1.565 du 3 décembre 2024.
➢ Sur les données traitées de manière automatisée sur le personnel du CHPG
Les données traitées sur le personnel du CHPG au cours de l’étude sont :
- identification électronique de l’utilisateur : identifiant personnel et mot de passe ;
- données de connexion : données d’horodatage et opérations effectuées en ajout,
modification et suppression des données de l’étude, raison de la modification.
Ces informations ont pour origine le curriculum vitae de l’intéressé et le système
d’information.
L’Autorité considère que ces données sont « adéquates, pertinentes et limitées à ce
qui est nécessaire au regard des finalités pour lesquelles elles sont traitées », conformément
à l’article 4 de la Loi n° 1.565 du 3 décembre 2024.
IV. Sur les droits des personnes concernées
➢ Sur l’information préalable
L’information préalable des patients est réalisée par un document spécifique remis à
l’intéressé, à savoir l a « Lettre d’information patient pour la participation à l’étude non
interventionnelle » ou la « Lettre d’information de la participante enceinte ou de la partenaire
enceinte d’un patient participant à une étude non interventionnelle » et par un document
intégré à ces deux lettres que chaque patient doit signer, à savoir le « Formulaire de
consentement ».
A la lecture de ces documents, l’Autorité constate que les patients disposent d’un droit
d’accès, de rectification, de limitation, et le cas échéant, d’opposition ou d’effacement de leurs
données mais que seules les deux lettres d’informa tion précisent qu’en cas de retrait de
l’étude, les données déjà recueillies continueront d’être partagées et utilisées aux fins de
l’étude afin de protéger la validité scientifique et l’intégrité de l’étude.
6
Elle demande donc que le formulaire de consentement intégré aux deux lettres
d’information soit complété afin d’indiquer ce point.
L’Autorité relève en outre que les documents d’information mentionnent des transferts
de données vers d’autres pays, y compris les Etats-Unis. A cet égard, elle demande que ces
documents soient complétés afin d’indiquer que les données sont transférées vers la maison
mère sise aux Etats -Unis à des fins d’archivage et que les filiales du Groupe, sises dans le
monde entier, pourront y avoir accès.
L’Autorité demande également que les formulaires de consentement soient complétés
afin d’indiquer ce transfert de données à destination de la maison mère, sise aux Etats -Unis,
et les accès aux données par les filiales situées dans le monde entier.
Sous ces conditions, elle considère que le consentement desdits patients est conforme
à l’article 6 de la Loi n° 1.565 du 3 décembre 2024.
➢ Sur l’exercice du droit d’accès, de modification et de mise à jour
Le droit d’accès s’exerce auprès du médecin signata ire du consentement au sein du
CHPG. Il peut s’exercer par voie postale ou sur place.
L’Autorité constate que les modalités d’exercice des droits des personnes concernées
sont conformes aux dispositions des article s 12, 13 et 17 de la Loi n° 1.565 du 3 décembre
2024.
V. Sur les destinataires des données
➢ Sur les catégories de personnes ayant accès au traitement
Les habilitations permettant l’accès au traitement et aux données relèvent de l’autorité
du responsable du traitement qui assure la pleine et entière responsa bilité de la conduite du
projet.
Le responsable du traitement indique que le s personnes ayant accès aux données
sont :
- le personnel habilité du CHPG (Médecin investigateur, ARCs) : inscription, modification
et consultation ;
- le personnel habilité du responsable du traitement afin de superviser la réalisation de
l’étude (supervision, analyse et suivi réglementaire de l’étude) ;
- le personnel habilité de la CRO (IQVIA) mandatée par le promoteur pour la gestion
opérationnelle, le monitoring, le data management, les stat istiques et le contrôle
qualité ;
- les auditeurs et autorités de santé : consultation des données uniquement sur place au
CHPG ;
- le fournisseur de l’eCRF : accès potentiel aux données dans le cadre de ses opérations
de maintenance.
Les accès au présent traitement sont dévolus en considération des missions et des
fonctions des personnes auxquelles ils sont attribués, conformément à l’article 31 de la Loi
n° 1.565 du 3 décembre 2024.
7
Concernant le prestataire technique , l’Autorité rappelle toutefois que celui -ci doit
présenter les garanties suffisantes quant à la mise en œuvre de mesures techniques et
organisationnelles appropriées de manière à assurer la protection des données personnelles
et le respect des droits des p ersonnes concernées, conformément à l’article 26 de la Loi
n° 1.565 du 3 décembre 2024.
➢ Sur les destinataires ou catégories de destinataires habilités à recevoir
communication des données
Les informations seront communiquées à la maison mère, sise aux Etats -Unis, à des
fins d’archivage, pays ne disposant pas d’un niveau de protection adéquat.
Un accès à ces informations sera également donné à toutes les filiales du responsable
de traitement situées dans le monde entier à des fins de consultation des données de l’étude
archivées.
A cet égard, l’Autorité constate que ce transfert et cet accès sont encadrés entre autres
par des clauses contractuelles type (CTT) de l’Union européenne.
Elle rappelle toutefois que ces clauses ne peuvent se confondre avec les CCT prévues
à l’article 98 de la Loi n° 1.565, précitée. Elles s’analysent donc en des clauses spécifiques
telles que prévues à l’article 100 de la ladite Loi, soumettant le transf ert à l’autorisation
préalable de l’APDP.
A la lecture d es documents joints , l’Autorité relève qu e des mesures techniques et
organisationnelles ont été mises en place, incluant notamment des obligations de
confidentialité, de sécurité, de traitement sur instructions documentées, de limitation des
accès, d’assistance en cas d’incident et de restitution ou suppression des données lorsque
cela est applicable.
Elle note ainsi que « L’accès aux données de l’étude PEGASUS par les filiale s de
Janssen/J & J est strictement limité aux personnes autorisées ayant un besoin d’en connaître
dans le cadre des finalités liées à l’étude, notamment le suivi scientifique, médical,
règlementaire, la pharmacovigilance, les audits, les inspections ou la gestion des obligations
légales et règlementaires du promoteur ».
En outre « Les accès aux systèmes contenant les données de l’étude sont encadrées
par des habilitations individuelles attribuées selon les fonctions et les responsabilités des
utilisateurs et font l’objet de mesures de contrôle et de traçabilité ».
L’Autorité note par ailleurs que des mesures de protection particulières ont été prises
conformément à l’article 100 de la Loi n° 1.565 du 3 décembre 2024.
En effet, les données consultées sont pseudonymisées et les transferts électroniques
sont effectués au moyen de canaux de communication sécurisés reposant sur des
mécanismes de chiffrement.
Enfin, l es données seront transmises au prestataire du CHPG en charge de leur
archivage.
Tous les organismes recevant ces communications sont soumis au secret
professionnel et agissent dans le cadre de prescriptions fixées par le responsable d u
traitement. Un engagement de confidentialité est en outre imposé à toute personne travaillant
sur les informations.
8
VI. Sur les rapprochements et interconnexions
L’Autorité observe que le traitement fait l’objet de rapprochements :
- avec un traitement non automatisé : le document de correspondance établi sous format
papier par le médecin investigateur principal comportant le numéro patient et son
identité complète, document obligatoire pour retrouver les dossiers médicaux des
patients pendant la durée de suivi et de l’archivage de l’étude ;
- avec le traitement ayant pour finalité « Gérer les informations médicales du patient afin
d’assurer sa prise en charge lors de ses venues au CHPG », permettant la collecte par
rapprochement d’informations à partir du dossier patient, évoqué précédemment, sans
interconnexion entre les traitements ;
- avec le traitement ayant pour finalité « Gestion des droits d’accès du personnel, des
patients et des personnes en relation avec le CHPG », aux fins de garantir la sécurité
du traitement quant à ses accès ;
- avec le traitement ayant pour finalité « Gestion de la messagerie électronique
professionnelle du CHPG », s’agissant des modalités de communication des
informations ;
- avec le traitement ayant pour finalité « Dossier médical du patient informati sé »,
permettant la collecte par rapprochement d’informations à partir du dossier patient.
L’Autorité relève que les opérations réalisées sont compatibles avec les finalités
initiales des traitements dans le respect de l’article 4 de la Loi n° 1.565 du 3 décembre 2024.
VII. Sur la sécurité du traitement et des données
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des
informations qu’il contient n’appellent pas d’observation de la part de l’Autorité.
Elle rappelle toutefois que si un médecin ou un ARC rejoignait la recherche après son
début, l’identifiant et le mot de passe doivent lui être communiqués par deux canaux distincts.
L’Autorité rappelle par ailleurs que les ports non utilisés doivent être désactivés et les
serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare -feux) ainsi
que chaque compte utilisateur et administrateur doivent être protégés individuellement par un
identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Enfin, elle précise que, conformément à l’article 31 de la Loi n° 1.565 du 3 décembre
2024, le responsable du traitement doit prendre les mesures techniques et organisationnelles
appropriées « afin de garantir un niveau de sécurité adapté aux risqu es pour les droits et
libertés des personnes physiques, notamment la destruction, la perte, l’altération, la
divulgation non autorisée des données à caractère personnel ou l’accès non autorisés à de
telles données, de manière accidentelle ou illicite ».
9
VIII. Sur les durées de conservation
La durée des inclusions est de 18 mois.
La durée de suivi des patients est de 2 ans.
A la fin de la recherche, les données seront conservées 15 ans.
L’Autorité considère que l es durées de conservation sont conformes aux exigences
légales.
Après en avoir délibéré, l’Autorité :
Prend acte de l’avis favorable émis par la Direction de l’Action Sanitaire le 8 juillet 2026
concernant la recherche non interventionnelle dénommée « PEGASUS » reçue par
l’Autorité le 9 juillet 2026.
Rappelle que :
− le prestataire technique doit présenter les garanties suffisantes quant à la mise en
œuvre de mesures techniques et organisationnelles appropriées de manière à assurer
la protection des données personnelles et le respect des droits des personnes
concernées, conformément à l’article 26 de la Loi n° 1.565 du 3 décembre 2024 ;
− si un médecin ou un ARC rejoignait la recherche après son début, l’identifiant et le
mot de passe doivent lui être communiqués par deux canaux distincts ;
− les ports non utilisés doivent être désactivés et le s serveurs, périphériques,
équipements de raccordements (switchs, routeurs, pare -feux) ainsi que chaque
compte utilisateur et administrateur doivent être protégés individuellement par un
identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Demande que :
− le formulaire de consentement intégré aux deux lettres d’information soit complété afin
d’indiquer qu’en cas de retrait de l’étude, les données déjà recueillies continueront
d’être partagées et utilisées aux fins de l’étude afin de protéger la validité scientifique
et l’intégrité de l’étude ;
− les lettres d’information et les formulaires de consentement soient complétés afin
d’indiquer que les données sont transférées vers la maison mère sise aux Etats-Unis
à des fins d’archivage et que les filiales d u groupe , sises dans le monde entier,
pourront y avoir accès.
10
Sous le bénéfice de la prise en compte de ce qui précède,
l’Autorité de Protection des Données Personnelles émet un avis favorable à la mise
en œuvre par JANSSEN-CILAG, localisée en France , représentée en Principauté de
Monaco par le Centre Hospitalier Princesse Gra ce, du traitement ayant pour finalité
« Collecter, enregistrer et analyser les données des patients ayant consenti à participer
à l’étude PEGASUS afin de décrire en conditions réelles la persistance du traitement
par guselkumab chez des patients atteints de rhumatisme psoriasique, ainsi que les
données associées de suivi clinique, de sécurité et d’utilisation du traitement »,
autorise le transfert de données vers la maison mère, sise aux Etats -Unis
d’Amérique, à des fins d’archivage à long terme des données des patients inclus dans
l’étude PEGASUS et l’accès aux données de l’étude PEGASUS archivées aux Etats-Unis
d’Amérique, par toutes les filiales du Groupe situées dans le monde entier.
Le Président
Robert CHANAS
