Conformément à l'article 14 du RGPD et à l'article 69 de la loi « Informatique et Libertés », cette note informe les patients dont les données de santé sont réutilisées dans le projet ONCOVAL.
Projet : ONCOVAL, Oncologie anonymisée pour la valorisation et l'analyse des données.
Responsable de traitement : BIG DATA SANTÉ (« Octopize »), SAS immatriculée au RCS de Nantes sous le n° 839 370 681, 48 bd Lelasseur, 44100 Nantes.
Autorisation : délibération de la CNIL n° 2026-112 du 8 octobre 2026, après avis favorable du CESREES du 7 mai 2026.
Finalité
Constituer, à partir de données de patients pris en charge en oncologie, un jeu de données synthétiques anonymes (profils de patients fictifs) grâce à la technologie d’anonymisation d'Octopize, afin de faciliter la recherche dans ce domaine. Dans le cadre de l'appel à manifestation d'intérêt « Partage de données industrielles » de la Plateforme des données de santé (Health Data Hub, « PDS »), ces données pourront être publiées en open data par la PDS après vérification et validation de leur caractère anonyme sous conditions d'utilisation.
Base légale
Intérêt légitime d'Octopize (article 6.1.f du RGPD). Le traitement de données de santé est permis au titre de l'article 9.2.j du RGPD et du 3° de l'article 44 de la loi « Informatique et Libertés ».
Données concernées
- Étude « Personalised Reimbursement Model » (PRM) de Roche, 2015-2020 : 25 000 patientes atteintes d'un cancer du sein et 5 000 patients atteints d'un cancer du poumon.
- Laboratoires d'anatomo-pathologie et de biologie médicale Medipath : 500 patients atteints d'un cancer pulmonaire, suivis entre 2016 et 2023.
Octopize n'accède qu'à des données pseudonymisées (ni nom, ni prénom, ni numéro de sécurité sociale) : année de naissance, sexe, date de décès le cas échéant, diagnostics, résultats d'analyses biologiques, poids et taille, dates de prise en charge et traitements. Aucun transfert hors de l'Union européenne.
Destinataires et conservation
Les données sont hébergées par la PDS, sous-traitant d'Octopize, dans son espace projet sécurisé. Seul un nombre restreint de membres du personnel d'Octopize y a accès. Elles sont supprimées au plus tard 24 heures après la remise des rapports définitifs sur le caractère anonyme des données synthétiques (durée prévisionnelle du projet : 12 mois). Seules les données synthétiques anonymes pourront être publiées.
Vos droits
Vous disposez des droits d'opposition, d'accès, de rectification, d'effacement et de limitation du traitement.
Ces droits ne peuvent être exercés que pendant 30 jours à compter de la publication de la présente note (patients Roche) ou de la réception du courrier d'information de Medipath (patients Medipath). Le traitement ne débute pas avant la fin de ce délai, et les données des personnes qui s'y sont opposées ne sont pas transmises.
Passé ce délai, les données sont transmises sans identifiant direct et Roche et Medipath ne conservent aucune table de correspondance : il n'est alors plus possible de retrouver directement les données d'une personne, sauf si celle-ci fournit des informations permettant de la réidentifier (article 11 du RGPD).
Pour exercer vos droits, écrivez au délégué à la protection des données d'Octopize (dpo@octopize.io), ou à Roche (france.donneespersonnelles-pharma@roche.com) ou Medipath (dpo@medipath.fr), en justifiant de votre identité. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).
Date de publication : 6/11/2026
