La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des solidarités et de la santé d’une demande d’avis concernant un projet d’arrêté portant sur l’utilisation par l’équipe de recherche EPICEA de l’Institut national de la santé et de la recherche médicale du répertoire national inter-régimes des bénéficiaires de l'assurance maladie aux fins d'assurer une surveillance sur le long terme de l'état de santé et de la qualité de vie des personnes atteintes d'un cancer dans l'enfance ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la sécurité sociale, notamment ses articles L. 161-32 et R. 161-34 à R. 161-38 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 64 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 22 octobre 1996 relatif au Répertoire national inter-régimes des bénéficiaires de l’assurance maladie, ainsi que la délibération de la Commission national de l’informatique et des libertés n° 96-070 du 10 septembre 1996 portant avis sur le projet d’arrêté ;
Vu la décision DR 2013-198 de la Commission nationale de l'informatique et des libertés autorisant l’institut de la santé et de la recherche médicale à mettre en œuvre un traitement de données ayant pour finalité la mise en œuvre d’une base de données commune au registre national des hémopathies malignes de l’enfant (RNHE) et au registre national des tumeurs solides de l’enfant (RNTSE) afin de répondre au mieux à leurs objectifs en recherche épidémiologique et à leur mission de veille sanitaires ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie le 27 juin 2019 pour avis par le ministère des solidarités et de la santé d’un projet d’arrêté (ci-après le projet ) relatif à l’utilisation par l’équipe de recherche Epidémiologie des cancers de l’enfant et de l’adolescent (EPICEA) de l’Institut national de la santé et de la recherche médicale (INSERM) du répertoire national inter-régimes des bénéficiaires de l’assurance maladie (ci-après le RNIAM ) dans le cadre du projet d’étude COHOPER (COHOrt of the PEdiatric cancer Registries) ci-après l’étude .
L’étude, qui concerne une cohorte de 21 000 personnes, a pour objectif principal de prolonger au-delà de l’âge pédiatrique la surveillance des personnes atteintes d’un cancer dans l’enfance, assurée par le Registre national des cancers de l’enfant (RNCE). La prolongation de cette surveillance à l’âge adulte devrait permettre un suivi de leur santé et de leur qualité de vie sur le long terme, ainsi que la délivrance d’une information adéquate et personnalisée sur les risques de séquelles, leur prise en charge et l’existence de modules de dépistage et de formation à la prévention.
Le RNCE, géré par l’équipe EPICEA sous la responsabilité de l’INSERM, contient les données d’environ 38 000 mineurs suivis pendant les premières années consécutives à leur diagnostic sur la période 1990-2015. Sur ces 38 000 mineurs, 21 000 sont aujourd’hui devenus majeurs et sont concernés par l’étude.
Le déroulement de l’étude est prévu en deux phases distinctes qui feront l’objet de formalités spécifiques auprès de la Commission sur le fondement des articles 72 et suivants de la loi n° 78-17 du 6 janvier 1978 modifiée. Le premier volet de l’étude, rétrospectif, consistera au rapprochement des données du Registre national des cancers de l’enfant (RNCE) avec les données du Système national des données de santé (SNDS). Le second volet de l’étude, prospectif, permettra la réalisation d’enquêtes sur la santé, le suivi médical et le mode de vie auprès d’un échantillon d’anciens patients enregistrés.
Pour réaliser l’étude, l’équipe de recherche EPICEA dispose de la dernière adresse connue des personnes concernées, enregistrée dans le RNCE lorsqu’elles étaient mineures et qui n’a pas été actualisée à leur majorité. Aussi, l’équipe EPICEA souhaite accéder au RNIAM afin de collecter l’adresse actuelle de ces personnes et, le cas échéant, l’indication sur leur statut vital, en vue de leur proposer de participer à l’étude.
L’article R. 161-37-V du code de la sécurité sociale interdisant l’utilisation du RNIAM à des fins de recherche en dehors des cas expressément prévus par la loi et prévoyant qu’
une telle utilisation peut être autorisée, dans l'intérêt de la santé des personnes concernées ou en raison du risque de maladie transmissible, par un arrêté du ministre chargé de la santé, pris sur avis de la Commission nationale de l'informatique et des libertés
Sur la finalité du traitement et son fondement juridique :
Le traitement envisagé a pour finalité de permettre et d’organiser l’utilisation du RNIAM par l’équipe de recherche EPICEA de l’INSERM, afin de rechercher et de collecter l’adresse des personnes concernées par l’étude et, le cas échéant, l’indication sur leur statut vital. Ces données devraient permettre à l’équipe de recherche de les solliciter pour leur proposer de participer aux différents volets de l’étude (enquête par questionnaire et accompagnement).
A cette fin, l’article 1

La Commission relève que la finalité poursuivie par le traitement envisagé s’inscrit dans l'intérêt de la santé des personnes concernées, comme le prévoient les dispositions de l’article R. 161-37-V du code de la sécurité sociale.
Sur la nature des données traitées :
La Commission relève que l’article 1

La Commission prend acte que les articles 2 et 4 du projet d’arrêté ont été modifiés afin de préciser les données qui seront collectées dans le cadre de l’utilisation du RNIAM.
Elle suggère néanmoins que l’article 1

Par ailleurs, l’article 3 du projet mentionne que la Caisse nationale d’assurance maladie des travailleurs salariés (CNAMTS) consulte les organismes d’assurance maladie afin d’obtenir le lieu de naissance des personnes concernées, alors que cette donnée lui est déjà transmise par l’équipe EPICEA (article 2 du projet).
La Commission s’interroge donc sur la nécessité de recueillir une nouvelle fois cette donnée auprès des organismes d’assurance maladie.
Sous réserve des précédentes observations, elle considère que les données dont le traitement est envisagé sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 5-1-c) du Règlement général sur la protection des données.
Sur l'information et les droits des personnes :
La Commission relève que le projet ne prévoit aucune modalité d’information des personnes concernées et aucune modalité d’exercice de leurs droits.
La Commission comprend qu’il n’est pas envisageable de procéder à une information individuelle des personnes concernées préalable à la consultation du RNIAM, l’accès à cette base ayant justement pour objet de permettre à l’INSERM de disposer de leur adresse afin de les informer du projet d’étude.
Elle rappelle cependant qu’en application de l'article 14-5-b du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions dans l'hypothèse où la fourniture d'une telle information se révèle impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, conformément au Règlement général sur la protection des données, le responsable de traitement est tenu de prendre des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
Par conséquent, la Commission demande que l’INSERM mette en œuvre des mesures appropriées (diffusion sur le site web, affichage, etc.) préalablement à l’utilisation du RNIAM. Elle invite par ailleurs l’INSERM à en faire état dans les documents d’information qui seront individuellement adressés aux personnes concernées afin de leur proposer de participer aux différents volets de l’étude, lesquels devront également détailler les modalités d’exercice des droits des personnes.
Sur la sécurité des données :
La Commission relève que le projet ne fait pas mention des mesures de sécurité qui seront mises en œuvre pour assurer la sécurité des données.
La Commission rappelle que le responsable de traitement devra déterminer et mettre en place les mesures de sécurité techniques et organisationnelles adaptées aux risques conformément aux articles 5-1-f) et 32 du RGPD.
Sur la durée de conservation des données
L’article 5 du projet prévoit que les données seront conservées pendant la durée de l’étude.
Dans la mesure où la durée de l’étude n’a pas été précisée, la Commission demande que la durée de conservation des données dans le cadre du traitement consistant en l’utilisation du RNIAM soit prévue par l’arrêté et fixée indépendamment de celles prévues pour les différents volets de l’étude, qui constituent des traitements de données distincts.
Pour la Présidente,
La Vice-Présidente déléguée,
Sophie LAMBREMON