AgentPublic/cnil huggingface dataset:
- des directions départementales de la cohésion sociale et de la protection des personnes ;
- de l'Agence du numérique en santé ;
- de la Plateforme des données de santé ;
- de l'Agence technique de l'information sur l'hospitalisation.
La Commission considère que, dans l'hypothèse où le Gouvernement souhaiterait maintenir ces organismes dans le projet d'arrêté, ils devront être expressément chargés, au moyen d'une lettre de mission par exemple, de participer à la gestion d'une alerte sanitaire afin de mettre en œuvre de tels traitements. Tel a notamment été le cas de l'Institut Pasteur dans le cadre du projet COVID-TELE .
La Commission prend acte de l'engagement du ministère de remplacer dans le projet d'arrêté les équipes de recherche des centres hospitaliers par les centres hospitaliers universitaires , les projets de recherche impliquant le traitement des données de patients et/ou des personnels étant conduits sous la responsabilité du chef d'établissement.
Sur les finalités poursuivies par les traitements
D'après l'analyse du ministère, le périmètre d'application de la dérogation prévue à l'article 67 de la loi serait applicable à l'ensemble des traitements relevant de la section 3 de la loi.
La Commission tient à rappeler que l'unique finalité des traitements bénéficiant de cette dérogation doit être de répondre, en cas de situation d'urgence, à une alerte sanitaire et d'en gérer les suites […] .
En premier lieu, les traitements ainsi mis en œuvre ne devront pas prévoir de sous-finalités qui ne rempliraient pas l'ensemble des critères mentionnés. Par exemple, devraient être exclus du périmètre de la dérogation les traitements ayant pour objet la constitution d'entrepôts visant à permettre la réalisation de traitements ultérieurs.
En deuxième lieu, la Commission constate que la notion d'alerte sanitaire n'est pas définie dans les textes législatifs ou réglementaires. Lors de l'introduction de cette dérogation dans la loi Informatique et Libertés par la loi n° 2016-41 de modernisation de notre système de santé, l'étude d'impact du projet de loi précisait ainsi la notion d'alerte sanitaire dans le cadre de ce dispositif : l'alerte sanitaire se rapporte à tout phénomène ou événement nouveau et anormal présentant un risque à court ou moyen terme pour la santé publique, quelle qu'en soit la nature, nécessitant la mise en œuvre dans les plus brefs délais de mesures de réduction de ce risque.
Ces dispositions renvoient d'ailleurs expressément aux missions de l'Agence nationale de santé publique (ANSP, ou Santé publique France, anciennement Institut national de veille sanitaire), qui est notamment chargée de la préparation et la réponse aux menaces, alertes et crises sanitaires et du lancement de l'alerte sanitaire (articles L. 1413-1 et suivants du code de la santé publique). Selon un rapport du groupe de travail de l'Institut de veille sanitaire de 2005, l'alerte sanitaire peut émaner de deux sources : d' indicateurs sanitaires collectés en routine et reflétant l'état de santé d'un individu ou d'une population, ou une exposition environnementale à un agent dangereux , ou d'un un événement de toute nature et origine associé à une menace pour la santé publique .
La Commission considère que les traitements ne pourront être mis en œuvre que dans le cadre d'une alerte sanitaire lancée par l'ANSP, conformément aux dispositions des articles 67 de la loi Informatique et Libertés et L. 1413-1-6° du code de la santé publique, tant s'agissant de la gestion de la réponse à l'alerte que de la gestion de ses suites. Ainsi, les organismes et services énumérés dans le projet d'arrêté ne pourront pas procéder eux-mêmes à l'évaluation de la situation d'alerte sanitaire.
En troisième lieu, la Commission estime qu'il convient d'adopter une approche restrictive de la notion de situation d'urgence , en limitant la mise en œuvre de ce dispositif aux situations de menace sanitaire grave appelant des mesures d'urgence telle que définies à l'article L. 3131-1 du code de la santé publique et à l'état d'urgence sanitaire tel que défini à l'article L. 3131-12 du code de la santé publique. Elle estime également que les organismes devront interpréter la notion de situation d'urgence conformément à la jurisprudence constante des juridictions compétentes.
A cet égard, la Commission attire l'attention du ministère sur le fait qu'un certain nombre de projets récemment soumis pour autorisation et liés à la covid-19, qui constitue un exemple d'alerte sanitaire, ne remplissent pas, selon l'analyse ci-dessus, les critères énoncés à l'article 67 de la loi. Il en va ainsi notamment de plusieurs projets de recherche qui, bien que réalisés pendant l'état d'urgence sanitaire, ne visaient pas directement à apporter, en situation d'urgence, des réponses à la crise sanitaire.
Sur les catégories de données traitées
Compte tenu de la sensibilité des données traitées, la Commission appelle à la plus grande vigilance sur le respect du principe de minimisation des données et des critères liés aux finalités des traitements mis en œuvre dans le cadre dérogatoire posé par l'article 67 de la loi Informatique et Libertés .
De plus, dans l'hypothèse où le traitement de données issues du système des données de santé (SNDS) serait envisagé, la Commission rappelle que les dispositions relatives au SNDS (articles L. 1461-1 et suivants du code de la santé publique) prévoient des modalités particulières pour la mise en œuvre des traitements des données qu'il contient (notamment le respect du référentiel de sécurité et, en dehors des accès permanents autorisés par le législateur, la communication par le responsable de traitement à la Plateforme des données de santé d'un certain nombre d'éléments qui doivent ensuite faire l'objet d'une publication).
Ainsi, si l'article 67 de la loi Informatique et Libertés dispense le responsable de traitement d'une autorisation, il ne vise cependant pas à déroger aux autres dispositions du code de la santé publique relatives au SNDS, qui restent pleinement applicables.
Enfin, la Commission rappelle que les données traitées devront être pertinentes au regard des finalités du traitement, et que le respect du principe de minimisation des données doit conduire à ne collecter que les données strictement nécessaires au regard des finalités poursuivies. Ainsi, elle estime notamment que les traitements mis en œuvre par les services des départements dans le cadre de ce dispositif devraient être strictement limités à leurs compétences géographiques.
Sur le traitement du NIR et les mesures de sécurité associées
La Commission souligne que le projet d'arrêté a également pour objet de fixer la liste des organismes et des services chargés d'une mission de service public en charge de la gestion et du suivi des alertes sanitaires, tel que prévu par les dispositions de l'article 2 B (10°) du décret n° 2019-341 du 19 avril 2019.
En premier lieu, la Commission rappelle que l'article 86 du décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés précise que, conformément au principe de minimisation, le NIR peut être traité dans le cadre du présent dispositif lorsqu'une telle utilisation constitue le seul moyen de collecter des données de santé à caractère personnel nécessaires pour faire face à l'urgence sanitaire . En particulier, la Commission s'interroge sur la possibilité pour certains acteurs listés dans le projet d'arrêté de traiter le NIR n'ayant pas fait l'objet d'une opération cryptographique, alors même que ce traitement n'est pas prévu dans le cadre des missions qui leur sont traditionnellement attribuées. En application du principe de minimisation, le NIR ne devrait être traité sous sa forme littérale que lorsque cela est absolument nécessaire à l'accomplissement des finalités, ce dont le responsable de traitement devra expressément justifier, par exemple dans le cadre de l'analyse d'impact relative à la protection des données. Lorsque le NIR n'est utilisé que pour permettre l'appariement de données entre deux jeux de données, seul un NIR ayant fait préalablement l'objet d'opérations cryptographiques lui substituant un code non signifiant devrait pouvoir faire l'objet d'un traitement. En l'absence de précision sur ce point dans le projet, la Commission prend acte de l'engagement du ministère de
préciser dans l'arrêté que les organismes mentionnés au 8° du projet de texte ne seront pas autorisés à traiter le NIR dans les situations visées à l'article 67 de la loi Informatique et Libertés . Elle invite cependant le ministère à préciser explicitement dans l'arrêté, s'agissant des autres organismes mentionnés, si le NIR qu'ils pourront traiter devra préalablement avoir fait l'objet d'opérations cryptographiques.
En second lieu, la Commission rappelle que ce traitement ne pourra donc être réalisé que dans le respect, d'une part, des articles 5-1-f et 32 du RGPD ainsi que, d'autre part, de l'article 86 du décret précité. Ainsi, tout traitement du NIR devra s'effectuer dans des conditions de sécurité de très haut niveau, compte tenu des risques attachés au traitement de cette donnée. Les mesures de chiffrement mises en œuvre doivent ainsi être conformes à l'état de l'art et au référentiel général de sécurité édité par l'Agence nationale de la sécurité des systèmes d'information.
Sur la réalisation de l'analyse d'impact relative à la protection des données
La Commission relève que l'article 67 de la loi Informatique et Libertés soumet les traitements qu'il a vocation à encadrer aux seules dispositions de la section 3 du chapitre IV du RGPD qui concerne l'analyse d'impact relative à la protection des données (AIPD) et la consultation préalable de l'autorité de contrôle lorsque l'AIPD indique que le traitement présenterait un risque élevé si le responsable de traitement ne prenait pas de mesures pour atténuer le risque (articles 35 et 36 du RGPD).
Aux termes de l'article 35 du RGPD, une AIPD doit être réalisée préalablement à la mise en œuvre du traitement dès lors que celui-ci par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques.
Conformément à la délibération n° 2018-327 du 11 octobre 2018 portant adoption de la liste des types d'opérations de traitement pour lesquelles une AIPD est requise, tel est notamment le cas des traitements ayant pour finalité la gestion des alertes et des signalements en matière sociale et sanitaire. Au surplus, la Commission rappelle qu'une telle AIPD est requise lorsque ces traitements rempliront au moins deux des neuf critères issus des lignes directrices du Comité européen sur la protection des données (CEPD) sur l'analyse d'impact relative à la protection des données (collecte de données sensibles, traitement de données concernant des personnes vulnérables, traitement de données à grande échelle, croisement ou combinaison d'ensemble de données, usage innovant, etc.).
La Commission estime donc que chacun des traitements qui sera mis en œuvre dans le cadre de l'article 67 de la loi Informatique et Libertés devra, sauf exception dûment justifiée, avoir préalablement fait l'objet d'une AIPD.
Au surplus, la Commission considère qu'il appartient au responsable de traitement de documenter, tant dans l'AIPD que dans son registre des activités de traitement, que le traitement envisagé respecte les conditions prévues par l'article 67 de la loi Informatique et Libertés .
Sur les modalités d'exercice des missions de la Commission sur les traitements mis en œuvre
La Commission relève que les dérogations régies par le premier alinéa de l'article 67 de la loi Informatique et Libertés prennent fin un an après la création du traitement.
Par conséquent, si le traitement continue à être mis en œuvre au-delà de ce délai, celui-ci devra faire l'objet d'une formalité conformément aux dispositions de l'article 66 de la loi Informatique et Libertés . S'agissant des recherches n'impliquant pas la personne humaine qui ne seraient pas conformes à une méthodologie de référence, la procédure d'autorisation prévue par l'article 76 de la loi Informatique et Libertés devra être respectée ; en particulier, le dossier devra être déposé auprès de la Plateforme des données de santé et examiné par le Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé.
La Commission attire l'attention du ministère et des responsables de traitement concernés sur le fait qu'elle ne pourra, à l'issue du délai d'un an, autoriser la poursuite de la mise en œuvre de traitements qui ne seraient pas conformes aux dispositions du RGPD et de la loi et pourrait, de ce fait, également enjoindre au responsable de traitement d'effacer les données collectées.
En outre, la Commission demeure compétente pour exercer ses pouvoirs de contrôle et de prescription de mesures correctrices ou de sanctions.
Enfin, la Commission attire l'attention du ministère sur le fait que, dans le cadre de la procédure d'instruction par ses services des demandes d'autorisation relatives à des projets liés à la covid-19, chacun des projets a fait l'objet, dans des délais très brefs, d'un accompagnement conséquent afin de permettre la délivrance d'une autorisation. Surtout, cet accompagnement a permis aux responsables de traitement concernés, dans la majorité des cas, de modifier les projets présentés afin de respecter les principes relatifs au traitement de données à caractère personnel ou les dispositions du code de la santé publique. De surcroît, elle rappelle que près d'un tiers des projets de recherches n'impliquant pas la personne humaine liés à la covid-19 a fait l'objet d'avis réservés ou défavorables du Comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé, le plus souvent en raison de lacunes ou de difficultés méthodologiques.
Sur la mise en œuvre de garanties supplémentaires par les responsables de traitement
La Commission rappelle que la transparence des traitements constitue l'une des pierres angulaires de l'appréciation de l'intérêt public.
La Commission estime souhaitable que les responsables de traitement l'informent le plus en amont possible des traitements réalisés. Cette information lui permettra également, le cas échéant, d'accompagner les responsables de traitement et les aider à mieux définir les conditions de mise en œuvre de leurs traitements.
La Commission souhaite, par ailleurs, être rendue destinataire de la liste des traitements mis en œuvre dans le cadre de l'article 67 de la loi Informatique et Libertés . A l'instar de la doctrine qu'elle a établie en matière de décisions uniques, elle demande que les responsables de traitement concernés lui adressent annuellement un bilan contenant notamment la liste des traitements mis en œuvre dans ce cadre ainsi que la méthodologie suivie.
Elle insiste également sur la nécessité de mettre en œuvre des garanties de transparence des traitements vis-à-vis des personnes concernées, et notamment le respect des modalités d'information prévues par l'article 13 du RGPD et l'article 69 de la loi Informatique et Libertés ou, le cas échéant, l'article 14 du RGPD, conduisant à la mise en place de mesures appropriées pour protéger les droits, libertés et intérêts légitimes des personnes concernées, dans le cas où il serait envisagé de faire application des dispositions de l'article 14-5-b du RGPD, tels que des canaux d'information collective.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut Rafaël d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une recherche visant à déterminer les fréquences génétiques de la population française, agrégées à des questionnaires multithématiques en ligne, intitulée e-CohortE ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66 et suivants ;
Vu le décret n°2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le code civil, notamment ses articles 16-10 et 16-11 ;
Vu le code de la santé publique, notamment ses articles L. 1131-1 et suivants ;
Vu le code pénal, notamment ses articles 226-26 et 226-28-1 ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
 
Formule les observations suivantes :
La Commission a été saisie de la demande d’autorisation sur le fondement des articles 72 et suivants de la loi informatique et libertés modifiée, applicables aux traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé.
Le traitement a été qualifié par le demandeur de recherche impliquant la personne humaine, et plus précisément de recherche interventionnelle à risques et contraintes minimes. Un avis favorable du comité de protection des personnes (CPP) a été rendu le 15 mai 2019.
Le projet est présenté comme une cohorte de personnes volontaires dont le séquençage complet du génome serait réalisé et qui seraient invitées à répondre à des questionnaires multithématiques. Cette cohorte serait à l’origine composée de 5000 personnes recrutées par cinq centres investigateurs. A terme, il est envisagé que d’autres centres puissent contribuer au projet en accédant aux génomes ainsi collectés et en enrichissant la base par l’apport des génomes de nouveaux volontaires recrutés par leurs soins.
Des prélèvements sanguins et/ou salivaires sont envisagés afin de réaliser l’analyse des caractéristiques génétiques.
A titre liminaire, la Commission rappelle que les données génétiques sont considérées, en application des dispositions de l’article 9 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (UE) relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE Règlement général sur la protection des données (ci-après RGPD), comme des données sensibles. L’article 9.4 du RGPD laisse par ailleurs aux Etats membres la possibilité d’introduire des limitations s’agissant du traitement de telles données. A ce titre, la Commission rappelle que le législateur a maintenu des dispositions législatives et réglementaires spécifiques pour la réalisation d’examens des caractéristiques génétiques, qui sont prévues, outre dans la loi informatique et libertés, dans le code civil, le code de la santé publique (CSP) et le code pénal.
Sur la base légale du traitement et l’exception permettant de traiter des données sensibles
L’AIPD transmise indique que le fondement qui rend licite le traitement, conformément à l’article 6 du RGPD, est le consentement accordé par les participants au projet.
Le responsable de traitement évoque aussi le recueil du consentement pour  légitimer son traitement des données de santé . La Commission en déduit qu’il souhaite s’appuyer sur l’article 9.2.a du RGPD pour lever l’interdiction de traiter ces données.
A cet égard, elle rappelle que, conformément à l’article 4 (11) du RGPD, le consentement est défini comme toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement .
Or, elle constate que le formulaire de consentement comprend une dizaine d’éléments auxquels le participant doit consentir et que le consentement aux données, incluant les données génétiques, est dilué dans cette liste. Par ailleurs, elle relève qu’une case à cocher permettrait au participant d’accepter de participer à l’étude. Elle rappelle à ce titre que le consentement à la participation à la recherche doit être différencié du consentement au traitement des données, comme l’ont rappelé le comité européen sur la protection des données (Avis 3/2019 concernant les questions et réponses sur l’interaction entre le règlement relatif aux essais cliniques et le règlement général sur la protection des données (RGPD)) ainsi que le contrôleur européen de la protection des données ( A Preliminary Opinion on data protection and scientific research , Janvier 2020).
La Commission relève dès lors que les modalités de recueil du consentement, notamment l’absence de case à cocher distincte pour le traitement de données de santé, ne permettent pas de considérer qu’il s’agit d’un consentement spécifique et univoque.
Elle en conclut que le consentement proposé ne répond pas aux critères exigés par les articles 4 (11) et 7 du RGPD et que le responsable de traitement ne saurait le retenir comme base légale du traitement ou comme exception permettant le traitement des données de santé.
Sur la finalité du traitement
Le dossier mentionne que l’Institut Rafaël envisage de mettre en place une cohorte de personnes volontaires pour lesquelles le séquençage complet du génome serait réalisé et qui répondraient également à des questionnaires en ligne. L’objectif est d’étudier, à partir d’un prélèvement de sang et/ou de salive réalisé spécifiquement pour le projet, le lien entre les phénotypes de chaque personne en relation avec son génome et de tenter de cartographier l’intégralité de son génome.
Le recueil de nombreuses informations au moyen de questionnaires est également prévu, sans que la liste des questions soit limitative, chaque centre participant au projet étant en mesure de soumettre ses propres questionnaires.
Le projet met en avant la valeur ajoutée attendue de cette recherche visant à collecter des nouvelles données tout au long de l’étude, au travers des questionnaires, afin d’enrichir les connaissances sur le génome.
Le cadre légal de réalisation d’examens génétiques, dans le domaine de la santé, doit toutefois être rappelé.
L’article 16-10 du code civil, auquel renvoie l’article L. 1131-1 du CSP, précise que  (…) l'examen des caractéristiques génétiques d'une personne ne peut être entrepris qu'à des fins médicales ou de recherche scientifique. Le consentement exprès de la personne doit être recueilli par écrit préalablement à la réalisation de l'examen, après qu'elle a été dûment informée de sa nature et de sa finalité. Le consentement mentionne la finalité de l'examen. Il est révocable sans forme et à tout moment. 
S’agissant des fins médicales, les articles R. 1131-1 et suivants du CSP précisent les types d’analyses génétiques pouvant être réalisées et prévoient des dispositions spécifiques relatives à l’examen des caractéristiques génétiques d’une personne à de telles fins. Des modalités particulières de prescription et de rendu des résultats génétiques dans le cadre de la prise en charge médicale d’une personne sont également détaillées dans ces articles. Il en résulte que la volonté du législateur est de prévoir un dispositif strict et protecteur dans la délivrance de ces informations de santé particulières, notamment en raison de la complexité de leur interprétation, de l’effet anxiogène qu’elles sont susceptibles de susciter chez les patients et, du fait de leur caractère pluripersonnel, de leur impact potentiel sur la famille du patient.