AgentPublic/cnil huggingface dataset:
La Commission indique par ailleurs que les traitements constitués sont des traitements de données de santé à caractère personnel entrant dans le champ des dispositions spécifiques de la loi informatique et libertés . Elle rappelle à ce titre qu’ils devront faire l’objet de formalités préalables auprès d’elle. La Commission souligne qu’il conviendra de déterminer si ces traitements devront faire l’objet d’une autorisation conformément aux dispositions de l’article 66 III de la loi informatique et libertés , ou d’un décret en Conseil d’Etat pris après avis motivé et publié de la Commission conformément aux dispositions combinées des articles 6-III et 31-II de la loi. Le traitement mis en œuvre par la commission d’accès aux données devra également faire l’objet de formalités préalables.
Concernant la nature des données collectées : 
Les articles 3 et 3 bis du projet prévoient que les enfants conçus par assistance médicale à la procréation avec tiers donneur peuvent accéder à des données non identifiantes relatives à ce tiers (âge, état de santé au moment du don, caractéristiques physiques, situation familiale ou professionnelle, pays de naissance, motivations du don).
En premier lieu, en ce qui concerne la nature exacte des données non identifiantes , la Commission rappelle que l’âge, l’état de santé des donneurs au moment du don, les caractéristiques physiques, la situation familiale ou professionnelle, le pays de naissance, les motivations au don des tiers donneurs constituent, au sens du RGPD et des lignes directrices du groupe de travail article 29 sur la protection des données (G29), des données à caractère personnel qui se rapportent à des personnes physiques identifiables. A ce titre, elle précise que le G29, dans son avis 05/2014 du 10 avril 2014 sur les techniques d’anonymisation (dénommé ci-après lignes directrices du G29 ), retient qu’un traitement de données est a priori anonyme dès lors qu’il n’est possible ni d’individualiser, ni de corréler, ni d’interférer les données.
La Commission observe en l’espèce qu’il existe, à partir de ces données, des risques possibles de ré-identification des tiers donneurs. Elle attire donc l’attention du gouvernement sur le risque d’interprétation erronée qui pourrait résulter de l’utilisation de ces termes s’il devait s’avérer que les données non identifiantes permettent une ré-identification des personnes concernées. Elle propose donc de retenir une formulation précisant que les données sont susceptibles d’être indirectement identifiantes et que les donneurs en soient clairement informés.
Par ailleurs, la Commission attire l’attention du gouvernement sur le sens à donner à la notion d’anonymat du don, telle que prévue par les dispositions de l’article L1211-5 du CSP. La Commission estime que ce principe, qui interdisait jusqu’à présent aux enfants d’accéder à l’identité et aux données indirectement identifiantes du donneur, est en l’état du projet de loi remis en cause, dans la mesure où la transmission de données à caractère personnel aux enfants conçus s’imposerait à tout donneur. Aussi, elle s’interroge sur l’opportunité de maintenir la référence à ce principe dans les articles 3 et 3 bis du projet de loi et suggère au gouvernement d’apporter les éclaircissements nécessaires sur l’articulation entre le principe d’anonymat du don et le droit d’accès aux origines.
En deuxième lieu, en ce qui concerne l’étendue de la collecte des données indirectement identifiantes, la Commission rappelle qu’en vertu du principe de minimisation des données prévu à l’article 5-1-c) du RGPD, les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
La Commission prend note que le projet de loi dresse une liste limitative de données indirectement identifiantes, transmises par les CECOS à l’Agence de la biomédecine aux fins d’exercice du droit d’accès aux origines. Elle relève que seul l’article 3 bis prévoit pour le tiers donneur la faculté de s’opposer au recueil des données suivantes : sa situation familiale et professionnelle, son pays de naissance, les motivations de son don.
Au vu de ces éléments, sans remettre en cause la légitimité de l’accès aux origines, la Commission s’interroge sur les conséquences que pourrait avoir la découverte, pour un enfant, de certaines informations concernant le donneur (telles qu’une pathologie grave découverte ultérieurement par exemple), et par là-même sur la pertinence, l’adéquation et le caractère potentiellement excessif de la transmission et de la collecte de certaines données indirectement identifiantes, notamment des données de santé, au regard de la finalité précise d’accéder à ses origines personnelles. A ce titre, en application du principe de minimisation des données prévu par l’article 5-1-c du RGPD, la Commission invite le gouvernement à préciser, dans le cadre du décret d’application susmentionné, la nature exacte des données traitées et transmises à l’Agence de la biomédecine.
Sur la durée de conservation des données
Le projet prévoit une durée minimum de conservation des données de quatre-vingts ans, durée qui sera fixée par décret en Conseil d’Etat.
Le gouvernement a justifié cette durée de conservation minimale sur la base des trois motifs suivants :
les gamètes d’un donneur peuvent être utilisées une dizaine d’années après le don ;
l’enfant issu du don doit être majeur pour demander l’accès à ses origines ;
l’enfant majeur peut initier cette démarche à tout âge.
La Commission rappelle que les données à caractère personnel doivent être conservées pour une durée limitée répondant aux finalités du traitement conformément aux dispositions de l’article 5-1-e) du RGPD. Elle demande donc, sauf à ce que la loi renvoit sur ce point à son décret d’application, que le projet prévoie lui-même une durée maximale et non une durée minimale de conservation des données.
Par ailleurs, la Commission suggère que des hypothèses dans lesquelles la durée de conservation pourrait être réduite soient prévues, par exemple lorsque tous les enfants issus d’un même donneur auront exercé leur droit d’accès à leurs origines ou encore lorsqu’il n’aura pas été fait usage des gamètes donnés.
Sur l’information et les modalités d’exercice des droits des personnes
 
La Commission rappelle que les responsables de traitement devront s’assurer de la mise en œuvre effective des droits des personnes concernées (tiers donneur, enfant), prévus aux dispositions des articles 12 à 23 du RGPD (droit à l’information, droit d’accès, de rectification et de limitation du traitement).
Plus précisément, s’agissant du droit à l’information des tiers donneurs mentionné à l’article 13 du RGPD et par application du principe de transparence visé à l’article 12 du RGPD, la Commission considère que les tiers donneurs devront être expressément informés de la transmission possible, à la majorité des enfants conçus et pour ceux qui en feraient la demande, des données indirectement identifiantes collectées les concernant ainsi que, le cas échéant, des données d’identification. Elle souhaite que cette information intervienne préalablement à la collecte des données et au don.
En ce qui concerne l’article 3 bis du projet de loi, la Commission demande que le dispositif prévu en matière d’information soit complété dans le projet de loi :
le donneur devrait être expressément informé que le consentement au don emporte le consentement à la transmission de ses données indirectement identifiantes ;
l’information devrait également porter sur les risques de ré-identification dans le cadre de la transmission des données indirectement identifiantes.
Par ailleurs, la Commission souligne que si les traitements envisagés devaient être fondés sur le respect d’une obligation légale, comme semble le prévoir le projet, les tiers donneurs seront privés de l’exercice de leur droit d’opposition visé à l’article 21 du RGPD. Aussi, elle formule le souhait que la loi prévoie expressément que le donneur sera informé de ce que ses données feront obligatoirement l’objet d’un traitement dans le cadre de la mise en œuvre du droit à l’accès aux origines si la rédaction actuelle devait être maintenue. Les modalités selon lesquelles cette information sera délivrée devront par ailleurs être précisées dans le décret susmentionné.
Sur la sécurité des données
Les traitements concernés étant susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques, la Commission rappelle enfin qu’une analyse d’impact sur la protection des données devra être menée par les responsables de traitement en application des dispositions de l’article 35 du RGPD.
Sur les dispositions relatives aux traitements algorithmiques de données de santé (article 11 du projet de loi)
L’article 11 du projet insère un nouvel article L.4001-1 dans le code de la santé publique relatif aux garanties prévues en cas de recours à un traitement algorithmique de données massives par un professionnel de santé.
A titre liminaire, la Commission relève l’ambiguïté du concept de traitement de données massives utilisé aux fins de statuer sur la situation individuelle d’un patient. En effet, le traitement massif intervient en amont de la prise en charge individuelle afin d’identifier des règles qui seront ensuite appliquées lors de la prise en charge d’un patient dont les données seront soumises au système. Ainsi, c’est davantage le produit du traitement de données massives qui fait l’objet d’une utilisation en appui de l’acte médical.
S’agissant de l’information des personnes concernées, le projet de loi prévoit que la personne est informée de l’utilisation d’un traitement algorithmique de données massives et des modalités d’action de ce traitement. Sur ce point, le gouvernement a précisé que l’information des personnes prises en charge interviendrait lors de la délivrance des résultats, et non préalablement à l’utilisation du traitement.
Bien que l’introduction dans la loi de telles dispositions constitue une avancée notable et qui doit être soulignée, la Commission souhaite attirer l’attention du gouvernement sur la nécessité de préserver toute la portée des principes posés notamment par les dispositions des articles L. 1111-2 et L. 1111-4 du CSP selon lesquelles le patient a le droit d’être informé sur son état de santé et des traitements qui lui sont proposés, et prend, avec le professionnel de santé et compte tenu des informations et des préconisations qu'il lui fournit, les décisions concernant sa santé.
La Commission recommande en conséquence que le recours à un tel traitement fasse l’objet d’une information préalable à son utilisation par le professionnel de santé.
Sur la communication des résultats, la Commission recommande que la rédaction du projet de loi distingue clairement le résultat brut issu de l’algorithme de l’appréciation et de la décision du professionnel de santé dans le cadre de la prise en charge du patient. Cette distinction permettrait de garantir, d’une part, l’accès de la personne concernée à l’ensemble des informations qui la concerne et d’autre part, les principes d’indépendance et de liberté de prescription du professionnel de santé. C’est également une mesure qui vise à garantir que la décision médicale ne se fonde pas exclusivement sur un traitement automatisé de données conformément aux dispositions des articles 22 du RGPD et 47 de la loi informatique et libertés .
Sur le paramétrage du traitement algorithmique, la Commission s’interroge sur le rôle précis du professionnel de santé sur un tel dispositif, la nature des modifications qu’il pourrait lui apporter (choix des données massives, options de traitement des données du patient ?) et les conséquences qui pourraient en résulter aussi bien pour lui (mise en jeu de sa responsabilité) que pour le patient (en cas d’erreur ou de dysfonctionnement par exemple).
La Commission considère que ces dispositions peuvent être interprétées de deux manières. La première interprétation, qui ne soulèverait pas de difficulté particulière, serait de considérer qu’il s’agit pour le professionnel de santé de renseigner les données individuelles du patient dont il assure la prise en charge dans l’outil mettant en œuvre un traitement algorithmique, afin d’obtenir un résultat.
La seconde hypothèse consisterait à permettre au professionnel de santé de modifier le traitement algorithmique lui-même. Dans cette seconde hypothèse, la Commission considère qu’une telle pratique devrait être encadrée plus précisément, dans la mesure où tout professionnel de santé ne dispose pas des compétences techniques nécessaires à de telles interventions.
La Commission suggère donc au gouvernement de clarifier le projet afin qu’il soit précisé si le professionnel de santé visé dans le II du projet d’article L. 4001-1 du CSP est le professionnel participant à la prise en charge du patient ou un professionnel exerçant ses missions pour le compte du fournisseur du traitement algorithmique ainsi que sur le sens à donner au terme paramétrage .
Dans ce cadre, elle s’interroge en outre sur le fait de savoir si l’intervention humaine sur le paramétrage du traitement algorithmique ne pourrait pas plutôt porter, non sur chaque décision individuelle, mais sur des séries de décisions. Cette supervision pourrait ainsi prendre la forme d’une délibération humaine et contradictoire, avec la création, par exemple, d’un collège médical (au niveau de la structure qui déploie le système) qui encadrerait et accompagnerait l’utilisation globale de l’algorithme, en examinant et en interrogeant son paramétrage mais aussi tous les effets – directs et indirects – du système.
Par ailleurs, la Commission attire l’attention du gouvernement sur l’absence d’évaluation scientifique de tels traitements, en dehors de celles prévues actuellement dans le cadre du marquage CE préalable à la mise sur le marché des dispositifs médicaux et qui pourraient paraître insuffisantes s’agissant de l’appréciation de l’efficacité du produit concerné.
Sur ce point, la Commission relève en effet qu’un traitement algorithmique de données massives utilisé par un professionnel de santé dans le cadre de la réalisation d’actes à visée préventive, pronostique, diagnostique ou thérapeutique, comme c’est le cas d’un logiciel d’aide au diagnostic, à la décision ou à la prescription, pourrait s’apparenter à un dispositif médical, tel que défini par les dispositions des articles L. 5211-1 et suivant du CSP et la jurisprudence établie par la CJUE dans sa décision du 7 décembre 2017 (C‑329/16, 7 décembre 2017) et reprise par le Conseil d’État.
Elle recommande donc qu’une évaluation de l’intérêt scientifique et de la pertinence des résultats proposés par ces traitements soit systématiquement prévue et préalable à leur utilisation dans le cadre d’actes à visée préventive, pronostique, diagnostique ou thérapeutique.
Dans ses dernières observations, le gouvernement a indiqué que la notion de traitement algorithmique se réfère à trois cas : les cas couverts par le I du texte seraient les applications de diagnostic et ceux couverts par les II et III les dispositifs médicaux implantables (par exemple un pancréas artificiel, prothèse de hanche, implant mammaire, etc.). Le gouvernement a ajouté que les autres formes d'intelligence artificielle (IA) ne sont pas exclues du champ d’application du futur article L. 4001-1 du CSP sans pour autant préciser s’il s’agissait ou non de dispositifs médicaux.
La Commission relève que, si les réponses apportées par le gouvernement sur le paramétrage de l’algorithme par le professionnel de santé, son évaluation, les conséquences sur la responsabilité, sont claires s’agissant des dispositifs médicaux en tant que tels et ne posent pas de difficultés nouvelles au regard de ce qui est déjà mis en œuvre en pratique, tel n’est pas le cas des autres formes d’IA pour lesquelles la Commission insiste sur la nécessité de définir un cadre juridique dédié.
Par conséquent et au regard de l’ensemble de ces éléments, la Commission suggère qu’il soit expressément indiqué dans le texte que les traitements mentionnés relèvent de la législation applicable aux dispositifs médicaux. Cette précision permettrait ainsi d’écarter du champ d’application du texte, des traitements dont il ne définit ni la nature ni le régime juridique applicable.
Par ailleurs, la Commission relève que l’utilisation de tels traitements est susceptible de revêtir un caractère expérimental, en l’absence de validation d’une telle pratique par la Haute Autorité de santé (HAS), qui a pour mission notamment de recommander les bonnes pratiques auprès des professionnels de la santé.
En pareils cas, leur utilisation devrait alors intervenir dans le respect des dispositions du code de la santé publique applicables en matière de recherches impliquant la personne humaine et des dispositions relatives aux recherches, aux études et aux évaluations dans le domaine de la santé prévues aux articles 72 et suivants de la loi informatique et libertés .
Sur l’examen des caractéristiques génétiques à des fins de recherche scientifique (art. 18 du projet de loi)
L’article 18 du projet prévoit des modifications des dispositions du CSP et de la loi informatique et libertés .
Á titre liminaire, la Commission rappelle que le RGPD, dans son article 9, a inscrit les données génétiques dans la catégorie des données dont le traitement est par principe interdit et ne peut intervenir que dans des conditions limitativement énumérées par ce même article, ainsi que par le droit des États membres de l’Union européenne.
La Commission rappelle par ailleurs que les prélèvements effectués à partir d’éléments et produits du corps humain constituent, de par leur nature, des sources de données que l’on pourrait qualifier d’intarissables, au regard de l’évolution constante des techniques d’analyse. Les conditions de leur conservation et de leur utilisation se doivent donc d’être particulièrement rigoureuses et respectueuses des droits des personnes.
La Commission a pu constater, dans le cadre de l’examen de dossiers de demande d’autorisation à des fins de recherche, que de nombreux chercheurs rencontraient des difficultés pour informer les personnes concernées dans le cadre de projets nécessitant la réutilisation d’échantillons biologiques, mais également de données. Dans ce cadre, notamment s’agissant de projets de recherche publique, est régulièrement invoqué le manque de moyens humains et financiers pour justifier de l’impossibilité d’informer les personnes. Elle suggère donc qu’une réflexion soit menée, non pas pour créer des dérogations à l’obligation d’informer, mais pour trouver des solutions visant à permettre aux chercheurs de réaliser leurs missions dans des conditions favorables au respect des droits des personnes dont les données et/ou échantillons font l’objet de réutilisations. Sur ce point, la Commission renvoie par exemple au dispositif mis en place dans le cadre de la méthodologie de référence 004 (MR 004) par lequel les personnes concernées peuvent consulter les projets de recherche mis en œuvre par le biais d’un site Internet dédié, dont ils ont été préalablement informés individuellement.
Sur la mise à jour des dispositions issues de l’actuel article L. 1131-1-1 du CSP (projet d’article L. 1130-5 du CSP)
L’article L.1131-1-1 du CSP, introduit par la loi n° 2012-300 du 5 mars 2012 relative aux recherches impliquant la personne humaine, instaure une dérogation au principe d’obligation de recueil du consentement exprès et écrit à l’examen des caractéristiques génétiques (article 16-10 du code civil), lorsque celui-ci est réalisé à des fins de recherche scientifique. Ainsi, un tel examen peut être réalisé sur la base d’une information et à condition que la personne concernée ne s’y oppose pas. Si la personne concernée ne peut être retrouvée, un comité de protection des personnes, tel que prévu par l’article 1123-7 du CSP peut rendre un avis favorable à la réalisation de cet examen.
Alors que l’esprit des dispositions actuelles (qui prévoient que le présent article n'est pas applicable aux recherches dont les résultats sont susceptibles de permettre la levée de l'anonymat des personnes concernées ) ainsi que l’interprétation qui en avait été faite par le Conseil d’État dans son étude en 2009 sur la révision des lois de bioéthique, semblent être d’écarter de ce dispositif dérogatoire au consentement les examens génétiques présentant un risque de ré-identification élevé, la Commission relève que la rédaction du dernier alinéa du projet d’article L. 1130-5 du CSP laisserait désormais la possibilité aux chercheurs de réaliser tout type d’examen génétique (incluant par exemple un séquençage complet du génome) à la seule condition que la publication relative à la recherche ne présente que des résultats anonymes. Cette analyse a été confirmée par le gouvernement.
A l’heure où le recours à ce type d’examen devient de plus en plus aisé et tend à se banaliser, aussi bien dans le cadre des soins que des projets de recherche, la Commission alerte dès à présent sur la prolifération de bases de données utilisées et réutilisées notamment à des fins de recherche publique et privée, dans lesquelles figurent d’ores et déjà des données génétiques provenant d’examens de plus en plus complets et concernant un nombre exponentiel de personnes. Considérant également les nombreuses bases génétiques constituées dans le cadre de services commerciaux de séquençage et de partage de données génétiques pour les particuliers, et sans entrer dans la démonstration de l’illicéité de telles activités au niveau national, la Commission relève qu’une donnée génétique ne peut plus aujourd’hui être considérée comme anonyme et que des données issues d’un séquençage complet présentent en outre un risque élevé de ré-identification.
Dès lors, la Commission s’inquiète d’une diminution des garanties des droits des personnes, en l’absence de consentement explicite, voire d’information des personnes, et ce même si un comité de protection des personnes est consulté dans ce dernier cas.
A cet égard, elle demande que des garanties appropriées soient prévues par les textes, notamment en termes d’information des personnes et d’exercice de leurs droits, ce qu’elle aura la possibilité de mesurer dans le cadre de l’avis qu’elle prononcera sur le projet de décret dont elle devra être saisie, en application de l’article 8-I-4°-a) de la loi informatique et libertés et qui fixera les conditions d’application de ces dispositions.
La Commission rappelle que cette dérogation au principe prévu par le législateur du recueil d’un consentement exprès des personnes concernées lors d’un examen des caractéristiques génétiques devrait revêtir un caractère exceptionnel.
La Commission précise enfin que des projets ne permettant pas une information des personnes doivent dans tous les cas faire l’objet d’une demande d’autorisation auprès d’elle, en application des dispositions des articles 72 et suivants de la loi informatique et libertés modifiée.
La Commission prend acte que le projet prévoit l’ajout de la définition du programme de recherche . Elle relève que ce dernier sera limité à des recherches dans un domaine scientifique déterminé .