AgentPublic/cnil huggingface dataset:
Le don de gamètes et d'embryons sera donc désormais subordonné au consentement du tiers donneur à ce que son identité et ses données non identifiantes puissent être révélées à la personne née d'une AMP devenue majeure. Les tiers donneurs non soumis aux nouvelles dispositions législatives au moment de leur don peuvent également consentir à la communication de leurs données. Ceux-ci peuvent se manifester spontanément ou être recontactés lors d'une demande d'accès à ses origines par une personne née d'une AMP.
Le projet de décret organise l'accès à leurs origines des personnes nées d'une AMP avec tiers donneur en créant deux traitements de données distincts.
Un premier traitement, dont l'Agence de la biomédecine (ABM) est responsable en application de l'article L. 2143-4 du code de la santé publique (CSP), permet la collecte et la conservation des données nécessaires à l'accès aux origines des personnes concernées.
Le second traitement permet à la Commission d'accès aux données non identifiantes et à l'identité du tiers donneur (CAPADD), placée auprès du ministre chargé de la santé, de faire droit aux demandes d'accès aux origines formulées en application de l'article L. 2143-5 du CSP. La CAPADD est responsable de ce traitement en application de l'article L. 2143-6 du CSP.
Ces traitements relèvent du RGPD.
FORMULE LES OBSERVATIONS SUIVANTES SUR LE PROJET DE DECRET
Sur l'économie générale du texte :
La loi relative à la bioéthique a entendu permettre aux personnes nées d'une AMP avec tiers donneur d'avoir accès à certaines informations relatives à ces derniers, ce qui nécessite le traitement de données relatives à la santé. En particulier, concernant les tiers donneurs, l'article R. 2143-12 prévoit notamment la collecte :
de la taille et du poids ;
de leur état général au moment du don, dont leur état psychologique.
Le projet de décret précise que les deux traitements envisagés, nécessaires à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont sont investis les responsables des traitements, sont fondés sur l'article 6-1-e) du RGPD. En outre, les traitements de données de santé qu'ils impliquent sont justifiés par des motifs d'intérêt public important , au sens des dispositions l'article 9-2-g) du RGPD. La Commission rejoint cette analyse.
S'agissant de chacun des traitements mis en œuvre par l'ABM et par la CAPADD :
Sur l'information et les modalités de consentement des tiers donneurs à la communication de leurs données dites non identifiantes et de leur identité :
Les modalités de consentement des tiers donneurs à la communication de leurs données dites non identifiantes et de leur identité sont détaillées à la section 4 du projet de décret. Le projet d'article R. 2143-6 du CSP, qui tire les conséquences de l'article L. 1244-2 du même code, prévoit ainsi que le consentement du donneur à la communication de ses données aux personnes nées de don n'est pas révocable dès attribution du don.
Dans l'hypothèse où ils ont donné leur consentement à la transmission de leurs données, ce principe s'applique également aux anciens tiers donneurs qui se sont manifestés auprès de la CAPADD ou qui ont été recontactés, en application des 5° et 6° de l'article L. 2143-6 du CSP. Ainsi, leur consentement n'est plus révocable dès la communication effective de leurs données au centre où a été réalisé le don.
Selon les précisions du ministère, les tiers donneurs seront informés au moment du don des traitements de données les concernant, ainsi que de l'impossibilité de révoquer leur consentement à la communication de ces dernières après attribution du don. La Commission invite le ministère à prévoir la transmission de ces mêmes informations aux anciens tiers donneurs par la CAPADD, préalablement à la collecte de leurs données par le centre de don.
Sur les droits des personnes concernées :
S'agissant de la limitation des droits à l'effacement et d'opposition :
Les projets d'articles R. 2143-16 et R. 2143-21 du CSP écartent a priori la faculté pour les personnes concernées de faire exercice de leurs droits à l'effacement des données et d'opposition au traitement. Interrogé sur ce point, le ministère a précisé qu'il entendait faire application de l'article 23-1-i) du RGPD.
A cet égard, l'article 23 du RGPD requiert un texte dans le droit de l'Union ou de l'Etat membre pour limiter la portée des droits prévus aux articles 12 à 22 du RGPD, à condition qu'une telle limitation respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir notamment la protection de la personne concernée ou des droits et libertés d'autrui (article 23-1-i) du RGPD).
Le ministère a précisé que, conformément à l'article 23-1 du RGPD, les droits d'opposition et d'effacement des données pouvaient être écartés dans la mesure où leur limitation est nécessaire aux fins de garantir le droit d'accès aux origines des personnes nées d'une AMP avec tiers donneur. Il a souligné que :
pour les tiers donneurs, l'exercice de ces droits est incompatible avec la réalisation du don, dans la mesure où celui-ci est désormais subordonné au consentement à la communication de ses données aux personnes nées d'une AMP ;
pour les bénéficiaires de l'AMP, l'exercice de ces droits est incompatible avec la réalisation de l'AMP, et nécessiterait la révocation du consentement à l'AMP avec tiers donneur.
Ainsi, selon le ministère, l'exclusion de ces droits permet de garantir l'effectivité du droit d'accès aux origines. La Commission ne remet pas en cause cette analyse dès lors que l'exercice par le donneur des droits d'effacement et d'opposition serait effectivement de nature à faire échec à l'application de la loi, qui est de permettre à la personne née d'une AMP avec tiers donneur de pouvoir, si elle le souhaite à un moment dans sa vie à compter de sa majorité, accéder à ses origines.
Toutefois, en l'absence de précisions de la part du ministère, la Commission comprend du projet que la limitation des droits s'appliquera également s'agissant des personnes nées d'une AMP avec tiers donneur. Consciente des conséquences qu'emporterait l'exercice de ces droits par la personne née d'une AMP avec tiers donneur, qui aurait pour effet un renoncement définitif au droit d'accès à ses origines, la Commission en prend acte. Elle rappelle néanmoins que cette limitation devra répondre aux conditions prévues à l'article 23 du RGPD et que le projet devra être complété, afin de contenir les dispositions spécifiques prévues au 2. de ce même article.
La Commission prend en outre acte de ce que le ministère s'est engagé à modifier le décret afin qu'il précise que les personnes concernées devront être informées des limitations apportées à leurs droits.
S'agissant du droit à la limitation du traitement :
Contrairement à ce qui est mentionné dans l'analyse d'impact relative à la protection des données (AIPD) qui écarte la faculté pour les personnes concernées d'exercer leur droit à la limitation, le projet de décret n'apporte aucune information sur ce point. Selon les précisions du ministère, l'exercice de ce droit, qui rendrait partiellement inaccessibles des données pendant une certaine période, aurait pour conséquence d'empêcher temporairement l'ajout d'un tiers donneur dans la base de données de l'ABM et pourrait conduire à refuser un nouveau don ou l'utilisation d'un don, puisque l'ABM ne serait pas en mesure de s'assurer que le recours au(x) don(s) d'un même donneur ne conduira pas délibérément à la naissance de plus de dix enfants, conformément aux dispositions de l'article L. 1244-4 du CSP.
La Commission s'interroge cependant sur la faculté du ministère d'écarter de manière systématique l'exercice du droit à la limitation du traitement par les personnes concernées à ce motif. Par exemple, le droit à la limitation pourrait permettre à un tiers donneur qui estime que ses données sont inexactes de les faire rectifier avant communication à la personne née d'une AMP. La Commission prend acte de l'engagement du ministère de clarifier le projet de décret en ce sens.
S'agissant des droits d'accès et de rectification :
Les projets d'articles R. 2143-16 et R. 2143-21 du CSP prévoient l'exercice des droits d'accès et de rectification par les personnes concernées. La Commission prend acte du fait que les personnes nées d'AMP avec tiers donneur et les tiers donneurs faisant usage de leur droit d'accès ne peuvent accéder, en dehors du dispositif d'accès aux origines, qu'aux seules informations qui leur sont propres et qu'ils ont eux-mêmes communiquées. Le ministère a précisé que ces modalités concernaient également les bénéficiaires d'une AMP avec tiers donneur. La Commission prend acte de ce que le ministère s'est engagé à modifier le projet de décret sur ce point. Elle l'invite en outre à ajouter aux projets d'articles R. 2143-16 et R. 2143-21 du CSP les termes le cas échéant à la suite de les tiers donneurs et les personnes nées d'une assistance médicale à la procréation avec tiers donneur faisant usage de leur droit d'accès ne peuvent accéder qu'aux données personnelles qui les concernent , dans la mesure où les personnes nées d'une AMP avec tiers donneur n'auront pas elles-mêmes communiqué de données les concernant préalablement à l'exercice de leur droit.
S'agissant des accès aux données et des destinataires :
Les projets d'articles R. 2143-14 et R. 2143-19 du CSP précisent les personnes pouvant accéder aux données à des fins d'enregistrement, de traitement et de conservation. La Commission prend acte de ce que le ministère s'est engagé à modifier le projet de décret, afin qu'il précise que les personnes pouvant, sous l'autorité du responsable de traitement, enregistrer, consulter et traiter les données sont des personnes accédant au traitement et non aux données , dans la mesure où elles disposent de droits en écriture.
Sur le traitement de données mis en œuvre par l'ABM :
Sur les finalités du traitement envisagé :
L'article L. 2143-4 du CSP prévoit la mise en œuvre par l'ABM d'un traitement de données à caractère personnel relatives aux tiers donneurs, à leurs dons et aux personnes nées à la suite de ces dons ainsi que l'identité des personnes ou des couples receveurs. Selon le projet d'article R. 2143-10, ce traitement, dénommé Registre des donneurs de gamètes et d'embryons , a pour finalités de permettre aux personnes concernées d'accéder à leurs origines et de permettre la réalisation d'analyses statistiques à partir des données incluses dans le traitement et préalablement pseudonymisées. La Commission estime ces finalités déterminées, explicites et légitimes au sens de l'article 5 du RGPD.
Concernant la réalisation d'analyses statistiques, selon les précisions du ministère, ces analyses auront uniquement pour objet des éléments de comptage et de statistique (par exemple, le nombre de donneurs inscrits au cours d'une étude), à partir des données brutes figurant dans la base de données. Aucune extraction de données à caractère personnel n'est envisagée à ce stade.
L'accès à ces indicateurs doit être subordonné au respect du droit d'en connaître des utilisateurs habilités et des habilitations mises en place pour chaque profil, ainsi que de traces fonctionnelles enregistrant l'auteur, la date et l'heure des opérations effectuées.
De manière générale et en dehors de ces analyses statistiques, si les données du traitement devaient être extraites afin de les réutiliser pour des recherches, études ou évaluations dans le domaine de la santé, celles-ci devront faire l'objet de formalités préalables telles que prévues par la loi informatique et libertés . La Commission prend acte de ce que l'ABM s'est engagée à déposer une demande d'autorisation auprès de la CNIL si de telles recherches devaient être envisagées.
Sur les données dont le traitement est envisagé :
Le projet d'article R. 2143-11 du CSP décrit les catégories de données à caractère personnel qui seront traitées par l'ABM.
Concernant les données relatives à l'identité des personnes concernées :
Le ministère a précisé que seront notamment collectés leurs nom de naissance, prénom, date de naissance, sexe, ainsi que leur pays de naissance. La Commission demande que la nature exacte des données qui seront collectées soit précisée dans le décret.
Concernant les données dites non identifiantes des tiers donneurs :
Le I du projet d'article R. 2143-12 liste les données non identifiantes du tiers donneur qui pourront être communiquées aux personnes nées de don si celles-ci en font la demande. Parmi ces données figurent notamment les motivations de leurs dons.
Dans sa délibération n° 2019-097 du 11 juillet 2019 portant avis sur un projet de loi relatif à la bioéthique, la Commission alertait sur l'utilisation de ces termes, dans la mesure où les données traitées, certes non nominatives, sont, en réalité, indirectement identifiantes, tant pour les tiers donneurs que pour les personnes extérieures à la procédure d'AMP qui pourraient être mentionnées dans les motivations du don (tiers au don). Dès lors, la transmission de ces seules informations à la personne née d'une AMP avec tiers donneur est susceptible de lui permettre de réidentifier le tiers donneur et/ou des tiers au don.
La Commission relève que des mesures visant à prévenir le risque de réidentification ont été envisagées :
en premier lieu, les tiers donneurs seront informés par le médecin en charge de l'AMP des risques de réidentification attachés à la complétion des champs de texte libre, ainsi que de la procédure de vérification associée ;
en deuxième lieu, par la vérification par le médecin du centre d'AMP du formulaire complété par le tiers donneur au moment du don ;
enfin, par la possibilité pour le médecin de saisir la CAPADD en cas de doute concernant le caractère potentiellement réidentifiant des données (projet d'article R. 2143-9 du CSP).
La Commission accueille favorablement que le projet de décret crée une telle procédure pour éviter les risques de réidentification, notamment s'agissant des tiers au don, qui pourraient être mentionnés dans le document détaillant les motivations du don rédigées par le tiers donneur. Elle souligne la nécessité de sensibiliser les médecins ainsi que les personnes exerçant au sein de la CAPADD sur la notion de données identifiantes au sens des textes applicables en matière de protection des données.
Sur les conditions d'information des personnes concernées :
Selon le III du projet d'article R. 2143-16 du CSP :
les tiers donneurs seront informés du traitement de leurs données à l'occasion de leur prise en charge par le centre d'AMP, et au moment du recueil de leur consentement ;
les bénéficiaires de l'AMP sont informés par le médecin à l'occasion de leur prise en charge dans le cadre de l'AMP.
S'agissant de l'information des tiers donneurs sur le risque de réidentification :
La Commission avait estimé nécessaire, dans sa délibération n° 2019-097 du 11 juillet 2019 portant avis sur un projet de loi relatif à la bioéthique, de prévoir une information claire des tiers donneurs sur le risque possible de réidentification de tiers au don à partir des données non identifiantes et notamment lors de la rédaction des motivations du don.
Selon les précisions du ministère, les tiers donneurs seront informés de la nature de l'ensemble des données collectées et de la distinction entre données relatives à l'identité et données non identifiantes par l'intermédiaire des brochures d'information. La Commission relève cependant que les brochures d'information ne contiennent pas d'éléments à ce sujet. Elle invite donc le ministère à les compléter.
S'agissant de l'information des personnes nées d'une AMP avec tiers donneur :
S'agissant du traitement des données des personnes nées d'une AMP avec tiers donneur, l'information sera délivrée aux bénéficiaires de l'AMP.
L'article L. 2141-10 du CSP prévoit par ailleurs que les bénéficiaires de l'AMP sont incités à anticiper et à créer les conditions qui leur permettent d'informer l'enfant, avant sa majorité, de ce qu'il est issu d'un don . La Commission relève qu'aucune disposition ne prévoit de mesures d'information s'agissant des personnes nées d'une AMP avec tiers donneur lorsqu'elles atteignent la majorité.
En outre, une information individuelle sur le traitement de données reviendrait à informer la personne de ce qu'elle est née d'une AMP et semblerait donc ne pas s'inscrire dans la volonté du législateur.
Une information collective sera mise à disposition par l'ABM et la CAPADD. La Commission invite le ministère à veiller à la complétude de cette information et à mettre en œuvre les moyens adaptés pour en permettre une large diffusion.
Sur l'actualisation et le droit à la rectification des données :
S'agissant de la possibilité d'actualisation des données prévue par l'article L. 2143-2 du CSP, le projet d'article R. 2143-13 du même code prévoit que les prénoms et le sexe des personnes concernées, ainsi que les données relatives à la situation familiale et professionnelle du tiers donneur, peuvent faire l'objet d'une demande d'actualisation auprès des centres d'AMP ou de l'ABM.
Le ministère a précisé que l'actualisation visait à permettre la modification de données qui ont pu évoluer compte tenu de la situation du donneur (par exemple changement de situation familiale ou de profession). Est ainsi opérée une distinction entre l'actualisation des données et le droit de rectification qui concerne, selon lui, les données erronées ou incomplètes qui doivent faire l'objet d'une mesure correctrice.
La Commission rappelle néanmoins que le droit à la rectification prévu à l'article 16 du RGPD vise à permettre la rectification des données inexactes ou incomplètes, l'inexactitude pouvant aussi être due à une modification de la situation des personnes concernées. Elle relève, par ailleurs, que d'après le projet de décret, les modalités selon lesquelles une demande d'actualisation peut être effectuée diffèrent de celles prévues concernant l'exercice du droit à la rectification. Prenant acte de l'incertitude du ministère quant à la distinction à opérer entre la possibilité d'actualiser les données et le droit de rectification, elle l'invite à prévoir des modalités de traitement des demandes ne nécessitant pas que les personnes concernées se trouvent contraintes de multiplier leurs démarches.
Sur les durées de conservation des données :
Le projet d'article R. 2143-15 du CSP prévoit que l'ensemble des données collectées dans le cadre du traitement réalisé par l'ABM sera conservé pour une durée de cent-vingt ans, à compter de leur date d'enregistrement.
Le ministère a indiqué que cette durée vise à permettre aux personnes nées d'une AMP d'exercer leur droit d'accès aux origines à tout moment, à compter de leur majorité en tenant compte de l'espérance de vie.
La Commission rappelle néanmoins que les données à caractère personnel doivent être conservées pour une durée limitée répondant aux finalités du traitement conformément aux dispositions de l'article 5-1-e) du RGPD. Dans son précédent avis n° 2019-097 du 11 juillet 2019, elle avait suggéré que des hypothèses dans lesquelles la durée de conservation pourrait être réduite soient prévues. A cet égard, la Commission prend acte de ce que le ministère entend préciser dans le décret que les données des personnes concernées seront supprimées une fois que tous les dons d'une même personne auront été utilisés sans donner lieu à une naissance. Elle l'invite cependant à s'assurer que la durée de conservation ne pourrait pas être réduite dans d'autres cas.
Sur la sécurité des données et la traçabilité des actions :
Le traitement envisagé, réalisé à grande échelle et incluant notamment des données sensibles, a fait l'objet d'une AIPD. Le traitement, auquel les tiers donneurs pourront se connecter à distance afin de remplir le formulaire de consentement prévu par le projet d'article R. 2143-6 du CSP, constitue un téléservice au sens de l'ordonnance n° 2005-1516 du 8 décembre 2005 et fera l'objet d'une homologation de sécurité avant sa mise en production.
L'hébergement du traitement sera internalisé au sein de l'ABM, dans les propres centres de données de l'Agence. Selon les précisions du ministère, la sauvegarde des données du traitement sera, quant à elle, réalisée par une société soumise au droit étasunien sur des serveurs situés en France et sans aucun transfert de données en dehors de l'Union européenne. Il appartient à l'ABM, en tant que responsable de traitement, de s'assurer que son sous-traitant présente des garanties suffisantes conformément à l'article 28 du RGPD, en vérifiant notamment si les législations et pratiques locales sont susceptibles de permettre aux autorités étasuniennes d'accéder aux données stockées sur le territoire de l'Union européenne. Un tel accès, s'il n'est pas fondé sur un accord international, pourrait constituer une divulgation non autorisée par le droit de l'Union, en violation de l'article 48 du RGPD. Dans ce cas d'espèce, la Commission estime que les règlementations étasuniennes en matière d'accès aux données des fournisseurs de services Internet et entreprises de télécommunications par les services de renseignement américains s'appliquent aux données traitées, y compris en dehors du territoire des Etats-Unis, par la société intervenant dans cette sauvegarde de données. En l'état, la Commission considère donc qu'il existe un risque d'accès aux données par les autorités étasuniennes. En conséquence, dans la mesure où le traitement envisagé est réalisé à grande échelle et comporte des
données sensibles, la Commission demande que le responsable de traitement ait recours à un prestataire exclusivement soumis au droit européen, ou bien mette en œuvre des mesures empêchant tout accès aux données par le prestataire et donc par les autorités étasuniennes, telles que le chiffrement des données sauvegardées par des algorithmes à l'état de l'art et la non-transmission des clés de chiffrement au prestataire.
Des mesures de chiffrement permettant d'assurer l'intégrité et la confidentialité des données traitées seront mises en place dans le cadre du traitement, tant concernant les postes utilisateur, les flux d'accès que les échanges de données. La Commission rappelle la nécessité d'un chiffrement au repos des données stockées, qui semble être opérationnel selon les documents fournis par le ministère. Elle rappelle également que les mécanismes techniques mis en œuvre pour ces traitements devront être conformes à l'état de l'art, et notamment aux préconisations du référentiel général de sécurité (RGS).
La Commission prend acte de ce que les tiers donneurs et les professionnels de santé ne pourront se connecter au traitement ABM qu'au moyen d'une authentification forte, comprenant au moins deux facteurs différents d'authentification. Si l'un de ces facteurs est un mot de passe, la Commission recommande de mettre en œuvre une politique de mots de passe conforme à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe, ou à toute autre mise à jour ultérieure de cette recommandation, et de choisir un facteur d'authentification différent robuste afin d'assurer une meilleure fiabilité de l'authentification et, partant, d'assurer une traçabilité adéquate des accès de ces utilisateurs.