FranceLégifrance
La CNIL encadre le jeu de données oncologiques synthétiques ONCOVAL
La CNIL autorise Octopize à transformer des dossiers pseudonymisés Roche et Medipath en profils ONCOVAL synthétiques publiables en open data, sous conditions strictes d'anonymat. Délibération du 8 octobre 2026.
By Taxxa AI OyPublished 21 October 2026
La Commission nationale de l'informatique et des libertés a autorisé BIG DATA SANTE, exploitée sous le nom d'Octopize Mimethik Data, à constituer un jeu de données anonymisées composé de profils fictifs de patients en oncologie à des fins de recherche médicale.
Legifrance La délibération n° 2026-112Legifrance du 8 octobre 2026, sur demande d'autorisation n° 9-421Legifrance, permet le traitement automatisé qui créera le jeu de données dénommé ONCOVALLegifrance.
Octopize développe et commercialise une technique spécifique d'anonymisation des données de santé : son programme Avatar génère, à partir des dossiers sources, des données anonymisées conservant une utilité pour la recherche, appelées données synthétiques. Elle est ici appliquée aux données de santé de patients suivis en oncologie, produisant des profils fictifs mais réalistes pour tester et valider des méthodes de recherche médicale. Bien que lié à la santé, le projet ne poursuit ni recherche en santé ni évaluation des pratiques de soins en tant que telles, de sorte qu'il échappe aux dispositions spécifiques de la LIL sur la recherche en santé et à toute méthodologie de référence existante ; l'autorisation elle-même décrit l'ensemble de ses caractéristiques essentielles. Le comité d'éthique et scientifique pour la recherche en santé avait rendu un avis favorable le 7 mai 2026.Legifrance
La finalité — constituer des profils oncologiques synthétiques pour faciliter la recherche — est déterminée, explicite et légitime. Le traitement repose sur les intérêts légitimesLegifrance, répond à l'exigence d'intérêt public imposée pour les traitements dans le domaine de la santéLegifrance, et remplit la condition de traitement des données de santéLegifrance. Conçu pour l'appel à manifestation d'intérêt de la Plateforme des données de santé sur le partage de données industrielles, la convention Octopize-PDS prévoit la diffusion des données synthétiques en open dataLegifrance.
Les données sources sont exclusivement des dossiers réutilisés : l'étude Personalised reimbursement model de Roche (autorisation n° 919125), limitée à 25 000 patientes atteintes d'un cancer du sein et 5 000 patients atteints d'un cancer du poumon sur 2015-2020, et les dossiers de 500 patients atteints d'un cancer pulmonaire suivis entre 2016 et 2023 issus des logiciels de laboratoire de Medipath. Octopize n'accède qu'à des données pseudonymiséesLegifrance — les noms et le numéro d'inscription au répertoire national ne sont pas transmis, et la PDS contrôle la pseudonymisation à l'entrée. Elle voit l'année de naissance, le sexe, la date de décès le cas échéant, ainsi que les diagnostics, les résultats biologiques, le poids et la taille lors des prises en charge, les dates de soins et les calendriers de traitement.
La PDS, en qualité de sous-traitant, vérifie la pseudonymisation, met les données à disposition et les héberge de façon sécurisée, en ne ciblant que les données strictement nécessaires. Pour chaque patient source, un individu synthétique est généré de manière probabiliste à partir des patients les plus proches, avec des paramètres ajustés à la volumétrie, à la granularité et aux valeurs rares de chaque jeu. Octopize justifie ses choix de paramètres au regard de l'avis 05/2014 du groupe de l'article 29 sur l'anonymisation, avec un rapport d'analyse systématique pour chaque exécution.
La diffusion en open data n'a lieu que si le résultat est anonymeLegifrance. Puisque la diffusion auprès de destinataires indéterminés accroît le risque de croisement, la publication doit s'accompagner de conditions d'utilisation contraignantes interdisant toute tentative de réidentificationLegifrance et d'un plan de retrait en cas de risque nouvellement découvertLegifrance. La PDS doit vérifier l'anonymat avant diffusionLegifrance et le réévaluer au moins tous les trois ansLegifrance. Seul un nombre restreint de collaborateurs d'Octopize accède à l'espace projet sécurisé, et toutes les données pseudonymisées en sont supprimées dans les 24 heures suivant les rapports définitifs.
Les patients de l'étude Roche ne sont pas informés individuellement — cela exigerait des efforts disproportionnés — de sorte qu'une note d'information est publiée sur les sites d'Octopize et de Roche avant le démarrage. Les patients Medipath reçoivent une information individuelle par courrier pointant vers une note sur le portail de transparence de Medipath, avec un délai de trente jours avant traitement pour exercer leur oppositionLegifrance ; ce dispositif figure au contrat Octopize-Medipath. Les droits ne peuvent être exercés que pendant cette fenêtre de trente jours avant transfertLegifrance, après quoi les données circulent sans identifiants directs et sans table de correspondance conservée. L'espace projet repose sur l'homologation de sécurité de la PDS accordée le 22 juillet 2024 pour trois ans.
Le fondement juridique est la délibération CNIL n° 2026-112 du 8 octobre 2026 autorisant le traitement ONCOVALLegifrance, en application du règlement (UE) 2016/679 et de la loi n° 78-17 du 6 janvier 1978, notamment ses articles 44, 66 et suivants, 69 et 76.
Calquer les projets de données de santé synthétiques sur ce modèle : sources pseudonymisées via la PDS comme sous-traitant, paramètres justifiés au regard de l'avis 05/2014, et diffusion ouverte uniquement après validation de l'anonymat par la PDS avec conditions interdisant toute réidentification.