Entrepôt de données de santé MAGE-X

Dernière mise à jour : 19/10/2026

La société MAGE-X est autorisée par la CNIL à mettre en œuvre un entrepôt de données de santé (EDS), intitulé « EDS MAGE-X ». Il rassemble des données pseudonymisées issues des dossiers patients tenus par des professionnels de santé et des structures de soins du secteur ambulatoire, afin de mener des recherches, des études et des évaluations dans le domaine de la santé.

Cette page constitue la note d’information des patients et des professionnels de santé concernés, prévue par l’article 14 du RGPD.

Autorisation CNIL

Décision DT-2026-023 du 1er octobre 2026

Aire thérapeutique

Maladies chroniques du rachis

Données

Pseudonymisées, sans nom, coordonnées ni numéro de sécurité sociale

Conservation

20 ans maximum

1. Responsable de traitement

MAGE-X
SAS – 232 Avenue du Prado, 13008 Marseille, France
Délégué à la protection des données (DPO) : rgpd@mage-x.fr

2. Finalité de l’entrepôt

L’entrepôt réunit des données de santé afin de permettre la réalisation de projets de recherche, d’étude et d’évaluation dans le domaine de la santé, présentant un caractère d’intérêt public. Ces projets peuvent être menés par MAGE-X ou par des organismes tiers, publics ou privés.

Chaque projet mené à partir de l’entrepôt doit être justifié par l’intérêt public et accomplir ses propres formalités auprès de la CNIL. Le comité scientifique et éthique de l’entrepôt examine chaque demande d’utilisation des données.

Conformément à l’article L. 1461-1 du code de la santé publique, les données ne peuvent en aucun cas être utilisées pour :

• la promotion de produits de santé auprès des professionnels ou des établissements de santé ;
• l’exclusion de garanties des contrats d’assurance, ou la modification de cotisations ou de primes d’assurance.

3. Base légale

• Intérêt légitime de MAGE-X (article 6.1.f du RGPD) : permettre la réalisation de recherches, d’études et d’évaluations dans le domaine de la santé.
• Données de santé : traitement nécessaire à des fins de recherche scientifique (article 9.2.j du RGPD et article 44, 3° de la loi « Informatique et Libertés »).
• Autorisation de la CNIL : décision DT-2026-023 du 1er octobre 2026 (demande n° 9-948), pour une durée de 10 ans.

4. Personnes concernées

• Les patients, majeurs et mineurs, atteints d’une maladie chronique du rachis et suivis par un professionnel de santé ou une structure de soins ambulatoire utilisant les logiciels MAGE-X.
• Les professionnels de santé utilisateurs des logiciels MAGE-X.

5. Données traitées et origine

Les données proviennent des dossiers patients tenus par les professionnels de santé et les structures de soins du secteur ambulatoire qui utilisent les logiciels MAGE-X. Elles sont minimisées et pseudonymisées par ces derniers avant leur intégration dans l’entrepôt.

Patients

• Données médicales issues du dossier patient (par exemple : diagnostic, examens, traitements, suivi)
• Âge et sexe

Vos nom, prénom et coordonnées postales et électroniques ne sont jamais versés dans l’entrepôt : ils servent uniquement à vous adresser cette information, puis sont supprimés. Votre numéro de sécurité sociale (NIR) n’est pas collecté.

Professionnels de santé

• Spécialité d’exercice
• Code non signifiant, généré à partir de l’identifiant du professionnel dans le logiciel « dossier patient »

6. Destinataires

• Les personnels habilités de MAGE-X, dans la limite de leurs attributions. Les services réalisant des activités marketing ou promotionnelles n’ont pas accès aux données.
• Les équipes des organismes, publics ou privés, dont le projet a été validé et a accompli ses formalités auprès de la CNIL, uniquement pour les données nécessaires à ce projet.
• Les sous-traitants de MAGE-X, liés par contrat (article 28 du RGPD) : l’hébergeur certifié HDS, ainsi que les professionnels de santé et structures de soins qui informent les patients et reçoivent leurs demandes d’exercice des droits.

7. Hébergement et sécurité

Les données sont hébergées en France chez OVHcloud, sur une infrastructure certifiée HDS, ISO 27001, 27017, 27018 et 27701. Elles sont chiffrées au repos et en transit, et chaque accès est journalisé. Elles ne sont pas transférées hors de l’Union européenne.

L’entrepôt est soumis au référentiel de sécurité applicable au Système national des données de santé (arrêté du 6 mai 2024).

8. Durée de conservation

• Données issues des dossiers médicaux : 20 ans maximum à compter de leur collecte dans le cadre des soins.
• Nom, prénom et coordonnées : supprimés après l’envoi de la note d’information.

9. Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement et de limitation du traitement de vos données, ainsi que d’un droit d’opposition à leur utilisation dans l’entrepôt.

Les données de l’entrepôt étant pseudonymisées, MAGE-X ne peut pas vous identifier directement. Pour exercer vos droits, adressez-vous en priorité au professionnel de santé ou à la structure de soins qui vous suit : il agit pour le compte de MAGE-X et traitera votre demande. Vous pouvez aussi écrire au DPO de MAGE-X : rgpd@mage-x.fr.

Pour un patient mineur, ces droits sont exercés par les titulaires de l’autorité parentale.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission Nationale de l’Informatique et des Libertés (CNIL) : www.cnil.fr.

10. Projets menés à partir de l’entrepôt

La liste des projets de recherche, d’étude et d’évaluation menés à partir de l’entrepôt sera publiée et tenue à jour sur cette page.