摩纳哥个人数据保护局《第2026-15号决议——批准TREO-FEN临床研究个人数据处理》（Délibération n° 2026-15 du 16 septembre 2026 portant avis favorable à la mise en œuvre du traitement de données personnelles « TREO-FEN »，2026年9月16日）

1 Délibération n° 2026-15 du 16 septembre 2026 de l’Autorité de Protection des Données Personnelles portant avis favorable à la mise en œuvre du traitement de données personnelles ayant pour finalité « Evaluer le succès clinique de la procédure à 1 an post opératoire de l’endoprothèse TREO® Fenêtrée pour le traitement endovasculaire de l’AAA complexe », dénommé « TREO-FEN » présenté par les Hospices Civils de Lyon représentés en Principauté de Monaco par le Centre Cardio-thoracique de Monaco Vu la Constitution du 17 décembre 1962 ; Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ; Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ; Vu la Recommandation n° R(97) 5 du Conseil de l’Europe du 13 février 1997 relative à la protection des données médicales ; Vu la Déclaration d’Helsinki de l’Association Médicale M ondiale sur les principes éthiques applicables à la recherche médicale impliquant des êtres humains, amendée ; Vu la Loi n° 1. 565 du 3 décembre 2024 relative à la protection des données personnelles ; Vu la Loi n° 1.454 du 30 octobre 2017 relative au consentement et à l'information en matière médicale ; Vu l’Ordonnance Souveraine n° 4.518 du 22 octobre 2013 rendant exécutoire l'Accord entre la Communauté Européenne et la Principauté de Monaco sur l'application de certains actes communautaires au territoire de la Principauté de Monaco, fait à Bruxelles le 4 décembre 2003, telle que modifiée par la décision n° 1/2013 du Comité mixte institué par ledit Accord adopté le 12 juillet 2013 ; Vu l’Ordonnance Souveraine n°11.327 du 10 juillet 2025 portant application de la Loi n° 1.565 du 3 décembre 2024 relative à la protection des données personnelles ; 2 Vu le Code de déontologie médicale ; Vu l’avis favorable de la Direction de l’Action Sanitaire du 31 juillet 2026 reçu par l’Autorité le 3 août 2026 ; Vu la demande d’avis, reçue le 17 juillet 2026, concernant la mise en œuvre par les Hospices Civils de Lyon , localisés en France, représentés en Principauté de Monaco par le Centre Cardio-thoracique de Monaco, d’un traitement ayant pour finalité « Evaluer le succès clinique de la procédure à 1 an post opératoire de l’endoprothèse TREO® Fen êtrée pour le traitement endovasculaire de l’AAA complexe », dénommé « TREO-FEN » ; Vu le rapport de l ’Autorité de Protection des Données Personnelles en date du 16 septembre 2026 portant analyse dudit traitement. L’Autorité de Protection des Données Personnelles, Préambule Le traitement de données personnelles soumis à l’avis de l’Autorité a pour objet une recherche observationnelle. Le Centre Cardio-thoracique de Monaco (CCM) s’est constitué représentant sur le territoire monégasque des Hospices Civils de Lyon (HCL) , localisés en France, responsable du traitement. Conformément à l’article 58 de la Loi n° 1.565 du 3 décembre 2024, la mise en œuvre de ce traitement est soumise à l’avis préalable de l’Autorité de Protection des Données Personnelles. I. Sur la finalité du traitement La finalité du traitement est « Evaluer le succès clinique de la procédure à 1 an post opératoire de l’endoprothèse TREO® Fenétrée pour le traitement endovasculaire de l’AAA complexe ». Il est dénommé « TREO-FEN ». Il porte sur une étude observationnelle prospective, évaluant la nouvelle endoprothèse TREO® Fenêtrée pour le traitement endovasculaire de l’anévrisme aortique complexe thoraco abdominal dans la pratique clinique de soin courant. Cette étude se déroulera dans 10 centres en France et un centre en Principauté de Monaco, au C CM, où elle sera réalisée sous la responsabilité d’un médecin investigateur exerçant au sein du service de Chirurgie Vasculaire. Le responsable du traitement souhaite inclure 90 patients au total, dont environ 4 à Monaco. Le traitement concerne donc, au principal , les patients nécessitant une réparation endovasculaire d’un anévrisme aortique thoraco-abdominal ayant une morphologie appropriée pour un traitement endovasculaire par endoprothèse sur mesure TREO® Fen êtrée ainsi que les médecins investigateurs, les attachés de recherche clinique (ARC) et les personne ls intervenant au cours de l’étude. 3 Ses fonctionnalités sont les suivantes : - organiser l’inclusion des patients ; - collecter et analyser les données des sujets conformément aux objectifs scientifiques et au protocole de l’étude ; - conserver les données traitées dans le respect des réglementations applicables ; - assurer la sécurité de l’étude en veillant, notamment, à l’identification des acteurs de la recherche, la qualité et la traçabilité des données, ainsi que celles des actions automatisées réalisées ; - permettre, le cas échéant, le suivi des évènements indésirables. L’Autorité constate ainsi que la finalité du traitement est déterminée , explicite et légitime, conformément aux dispositions de l’article 4 de la Loi n° 1.565 du 3 décembre 2024. II. Sur le fondement juridique du traitement Le traitement est tout d’abord justifié par le consentement des patients. A cet égard, l’Autorité relève que lesdits patients qui acceptent de participer à la recherche devront, préalablement, exprimer un consentement écrit et exprès concernant le traitement de leurs données. Ils seront libres de retirer ce consentement à tout moment. Le traitement est également nécessaire dans l’intérêt de la recherche. Dans ce sens, il respecte, sous la responsabilité des médecins, les principes relatifs à la mise en œuvre d’une recherche dans le domaine de la santé destinés à protéger les patients qui acceptent de participer à ce type de recherche. Les droits des patients sont précisés dans un document d’information qui leur est destiné et dans u ne clause insérée dans le formulaire de consentement de participation signé par chaque patient. En outre, toute personne intervenant dans le processus du traitement des informations est soumise à une obligation de secret professionnel. Enfin, t enant compte de la sensibilité de ce type de traitement, l’article 78 de la Loi n ° 1.565 du 4 décembre , prévoit que l’APDP peut, si elle l’estime nécessaire, consulter préalablement à l’énoncé de son avis, la Direction de l’Action Sanitaire (DASA). Ainsi, saisie de la présente étude, conformément à l’article 7 8 précité et aux dispositions de l’Ordonnance Souveraine n° 11.327 du 10 juillet 2025, la DASA a émis un avis favorable, susvisé, à la mise en œuvre de l’étude « TREO-FEN ». L’Autorité relève ainsi que le traitement est licite conformément à l’article 5 de la Loi n° 1.565 du 3 décembre 2024. III. Sur les données traitées ➢ Sur la pseudonymisation des données personnelles relatives aux sujets Les données personnelles traitées sur les patients sont pseudonymisées par l’attribution d’un « numéro d‘identification ». Le médecin investigateur disposera d’un document non automatisé permettant, si nécessaire, l’identification du sujet. 4 Les données figurant sur cette liste d’identification sont les suivantes : - identité du patient : nom, prénom, numéro d’identification du patient. ➢ Sur les données traitées de manière automatisée sur le patient Les données traitées dans le cadre de cette étude sont : - identité du patient : numéro d’inclusion, initiales, date de naissance, sexe ; - consommation de biens et services, habitudes de vie : mobilité, alimentation, consommation de tabac, d’alcool, de drogues ; - données de santé : o données préopératoires : poids, taille, antécédents médicaux ( tabac, diabète, Hypertension, Hyperlipidémie, antécédent d’AVC, d’infarctus , insuffisance respiratoire ou rénale, signe d’artériopathie de membres inférieurs, traitements concomitants (anticoagulants, antibiotiques, antiagrégants plaquettaires, statines), date et résultats d’examens d’imagerie ; o données opératoires : date d’intervention, temps opératoire, durée d’implantation, difficulté rencontrée ; o données post -opératoires : date de sortie d’hospitalisation, survenue de complication durant l’hospitalisation, date et résultats des examens d’imagerie, traitement médical à la sortie ; o données cliniques et d’imagerie de suivi à 12, 24 et 36 mois post-opératoire : date de la visite, complications liées ou non à l’endoprothèse, réintervention en lien avec l’endoprothèse, si oui date et type de geste réalisé ; o examen paraclinique : date d’examen d’imagerie, perméabilité, résultats de l’examen. Concernant la date de naissance, l’Autorité rappelle qu’aux termes de l’article 4 de la Loi n° 1.565 du 3 décembre 2024, il convient de limiter les données collectées aux seules données nécessaires à la réalisation de la finalité du traitement. Elle relève que les patients sont identifiés par un numéro délivré à chaque pa tient, unique, spécifique à l’étude. En conséquence, tenant compte du nombre de patients inclus en Principauté, elle demande que le mois de naissance des patients soit supprimé du traitement si cette donnée n’est pas un impératif justifié par l’étude. Le mois de naissance pourra toutefois être conservé pour les personnes ayant 18 ans l’année de l’inclusion afin de permettre à l’investigateur de démontrer le respect des critères d’inclusion. Les données ont pour origine la liste de correspondance, le patient lui-même, le dossier médical du patient ainsi que toutes informations portées à la connaissance d es médecins investigateurs dans le cadre du suivi du sujet qu’ils estiment être utiles à l’étude, comme les documents et analyses établis ou reçus de professionnels de santé intervenant dans l e processus de suivi du patient. L’Autorité considère que ces données sont « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées », conformément à l’article 4 de la Loi n° 1.565 du 3 décembre 2024. 5 ➢ Sur les données traitées de manière automatisée sur le personnel du CCM Les données traitées sur le personnel du CCM au cours de l’étude sont : - identification électronique de l’utilisateur : identifiant personnel et mot de passe ; - données de connexion : données d’horodatage et opérations effectuées en ajout, modification et suppression des données de l’étude, raison de la modification. Ces informations ont pour origine le système d’information. L’Autorité considère que ces données sont « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées », conformément à l’article 4 de la Loi n° 1.565 du 3 décembre 2024. IV. Sur les droits des personnes concernées ➢ Sur l’information préalable L’information préalable des patients est réalisée par deux documents spécifiques remis à l’intéressé, à savoir la « Note d’information à l’attention du participant » et le « Formulaire de consentement patient ». A la lecture de ces documents, l’Autorité constate que les patients disposent d’un droit d’accès, de vérification, de correction, de portabilité (le cas échéant), d’effacement, de limitation et d’opposition au traitement et à la transmission de données les concernant en en faisant la demande auprès du professionnel de santé qui les suit dans le cadre de l’étude et qui connait leur identité. Elle relève toutefois que ces documents mentionnent que le responsable du traitement peut refuser la demande d’effacement si celle -ci est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs de l’étude. Ainsi, les données recueillies préalablement à leur opposition pourront ne pas être effacées et pourront continuer à être traitées dans les conditions prévues par l’étude. Au vu de ce qui précède, l’Autorité considère que le consentement desdits patients est conforme à l’article 6 de la Loi n° 1.565 du 3 décembre 2024. ➢ Sur l’exercice du droit d’accès, de modification et de mise à jour Le droit d’accès s’exerce auprès du médecin investigateur. Il peut s’exercer par courrier électronique ou par voie postale. L’Autorité constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des article s 12, 13 et 17 de la Loi n° 1. 565 du 3 décembre 2024. V. Sur les destinataires des données Les habilitations permettant l’accès au traitement et aux données relèvent de l’autorité du responsable d u traitement qui assure la pleine et entière responsa bilité de la conduite du projet. 6 Le responsable du traitement indique que le s personnes ayant accès aux données sont : - le personnel habilité du CCM (Médecin investigateur, ARC) : inscription, modification et consultation ; - l’investigateur principal dans le cadre du suivi médical et scientifique de l’étude ; - l’ARC du responsable du traitement pour la gestion opérationnelle, le suivi réglementaire et la coordination de l’étude ; - le statisticien / méthodologiste du Service Recherche et Epidémiologie Clinique (REC) du responsable du traitement uniquement pour les données nécessaires aux analyses statistiques prévues ; - le Data Manager du responsable du traitement dans le cadre des missions de support technique, gestion des données et administration des outils utilisés. Les accès au présent traitement sont dévolus en considération des missions et des fonctions des personnes auxquelles ils sont attribués, conformémen t à l’article 31 de la Loi n° 1.565 du 3 décembre 2024. VI. Sur les rapprochements et interconnexions L’Autorité observe que le traitement fait l’objet d e deux rapprochements avec respectivement le dossier médical du patient et le document de correspondance établi sous format numérique par le médecin investigateur comportant le numéro d’identification du patient et son identité complète, document obligatoire pour retrouver les dossiers médicaux des patients pendant la durée de suivi et de l’archivage de l’étude. L’Autorité relève que les opérations réalisées sont compatibles avec les finalités initiales de ces deux traitements dans le respect de l’article 4 de la Loi n° 1.565 du 3 décembre 2024. VII. Sur la sécurité du traitement et des données Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation de la part de l’Autorité. Elle rappelle toutefois que si un médecin ou un ARC rejoignait la recherche après son début, l’identifiant et le mot de passe doivent lui être communiqués par deux canaux distincts. L’Autorité rappelle par ailleurs que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé. Enfin, elle précise que, conformément à l’article 31 de la Loi n° 1.565 du 3 décembre 2024, le responsable du traitement doit prendre les mesures techniques et organisationnelles appropriées « afin de garantir un niveau de sécurité adapté aux risques pour les droits et libertés des personnes physiques, notamment la destruct ion, la perte, l’altération, la divulgation non autorisée des données à caractère personnel ou l’accès non autorisés à de telles données, de manière accidentelle ou illicite ». 7 VIII. Sur les durées de conservation Les données de l’étude seront conservées jusqu’à deux ans après la dernière publication des résultats ou, en cas d’absence de publication jusqu’au rapport final de l’étude, puis seront archivées conformément à la r églementation en vigueur, à savoir au minimum pendant 15 ans après la fin de l’étude ou son arrêt anticipé. L’Autorité considère que l es durées de conservation sont conformes aux exigences légales. Après en avoir délibéré, l’Autorité : Prend acte de l’avis favorable émis par la Direction de l’Action Sanitaire le 31 juillet 2026 concernant l’étude « TREO-FEN » reçu par l’Autorité le 3 août 2026 ; Rappelle que : − si un médecin ou un ARC rejoignait la recherche après son début, l’identifiant et le mot de passe doivent lui être communiqués par deux canaux distincts ; − les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé. Demande que le mois de naissance des patients soit supprimé du traitement , sauf pour les personnes ayant 18 ans l’année de l’inclusion afin de permettre à l’investigateur de démontrer le respect des critères d’inclusion. Sous le bénéfice de la prise en compte de ce qui précède, l’Autorité de Protection des Données Personnelles émet un avis favorable à la mise en œuvre par les Hospices Civils de Lyon , localisés en France , représentés en Principauté de Monaco par le Centre Cardio-thoracique de Monaco, du traitement ayant pour finalité « Evaluer le succès clinique de la procédure à 1 an post opératoire de l’endoprothèse TREO® Fen êtrée pour le traitement endovasculaire de l’AAA complexe », dénommé « TREO-FEN ». Le Président Robert CHANAS