La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence nationale de santé publique d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur la mesure de l’imprégnation des populations martiniquaise et guadeloupéenne par la chlordécone et par d’autres polluants environnementaux d’intérêt, intitulée Kannari-2 ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable du Comité de protection des personnes Ouest III du 26 octobre 2022 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement
Le responsable de traitement de cette étude est l’Agence nationale de santé publique (ANSP).
Sur les sous-traitants
Plusieurs sous-traitants interviendront dans la mise en œuvre de cette étude, notamment la société IPSOS, les observatoires régionaux de santé (ORS) de Guadeloupe et de Martinique, les caisses générales d’assurance maladie (CGSS) de Guadeloupe et de Martinique, les laboratoires de biologie médicale, les transporteurs agréés des échantillons biologiques, les biothèques et les laboratoires de dosage.
Le traitement des données par les sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article 28 du règlement général sur la protection des données (RGPD).
Sur les catégories de personnes concernées par l’étude
Sous réserve de l’exercice du droit d’opposition, seront inclus dans la présente étude l’ensemble de la population générale âgée de trois ans et plus, résidant en Martinique et en Guadeloupe continentale depuis au moins six mois, bénéficiaires de la branche maladie des CGSS qui intègrent le régime général, des indépendants, de la mutualité sociale agricole (MSA), et de l’établissement national des invalides de la marine (ENIM).
Sur la finalité du traitement et son caractère d’intérêt public
Le traitement envisagé a pour finalité la mise en œuvre d’une une étude portant sur la mesure de l’imprégnation des populations martiniquaise et guadeloupéenne par la chlordécone et par d’autres polluants environnementaux d’intérêt, intitulée "Kannari-2" .
Plus précisément, cette étude est destinée à :
décrire les niveaux d’imprégnation par la chlordécone et par d’autres polluants d’intérêt des populations adultes guadeloupéenne et martiniquaise ;
étudier l’évolution de la distribution des niveaux d’imprégnation par la chlordécone ;
décrire les niveaux d’imprégnation par la chlordécone et par d’autres polluants d’intérêt des sous-groupes de population plus sensibles (femmes en âge de procréer et enfants) ou plus à risque d'exposition élevée à la chlordécone (travailleurs agricoles et pêcheurs), et des sous-groupes de population d’intérêt (femmes en âge de procréer) et de rechercher les facteurs associés.
Cette étude comprendra deux volets :
une phase pilote sur 150 personnes tirées au sort afin d’évaluer notamment :
le dispositif d’enquête ;
l’articulation entre les différentes phases de l’enquête ;
l’articulation entre les différents acteurs et notamment les sous-traitants intervenant pour la réalisation de l’étude.
une étude à grande échelle , dont l’estimation est de 3 000 participants.
La présente demande d’autorisation concerne tant la phase pilote que l’étude à grande échelle.
La finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5.1.b du RGPD et ce traitement présente une finalité d’intérêt public, conformément à l’article 66.I de la loi "informatique et libertés" du 6 janvier 1978 (loi "informatique et libertés" ).
Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé
Le traitement mis en œuvre par l’ANSP est nécessaire à l’exécution de la mission d’intérêt public dont elle est investie.
Ce traitement est, à ce titre, licite au regard de l’article 6.1.e du RGPD. En outre, ce traitement, nécessaire à des fins de recherche scientifique, remplit également la condition prévue à l’article 9.2.j du RGPD permettant de traiter des données concernant la santé.
Ce projet de recherche est soumis aux dispositions des articles 44.3°, 66.III et 72 et suivants de la loi "informatique et libertés", qui prévoient, en l’absence de conformité à une méthodologie de référence, que les traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ne peuvent être mis en œuvre qu’après autorisation de la Commission.
Sur les points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées, des destinataires des données directement identifiantes et des modalités d’information des personnes concernées.
En dehors de ces exceptions, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-001.
Réutilisation des données de bases existantes
Les données réutilisées dans le cadre de cette étude proviendront :
des CGSS de Guadeloupe et de Martinique ;
de l’ENIM.
Le tirage au sort sera réalisé par l’ANSP à partir d’une base de données "bénéficiaires", constituée spécifiquement à cette fin, ne contenant ni de données directement identifiantes, ni de données relatives à la santé des bénéficiaires. Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement devront être transmises par les CGSS et l’ENIM à l’ANSP. A cet égard, les filtrages seront réalisés en amont de cette transmission par les organismes.
Pour la phase pilote, la base bénéficiaires permettant le tirage au sort devra être limitée en fonction du nombre de personnes devant être sélectionnées, proportionnellement au nombre de personnes qui seront tirées au sort lors de l’étude à grande échelle .
Sur les catégories particulières de données traitées
La collecte des nom, prénoms, ainsi que des coordonnées (postale, électronique et téléphonique) des personnes est nécessaire pour :
éviter la confusion des personnes au sein d’un même foyer ;
réaliser l’information des participants ;
assurer le suivi des participants au cours de l’étude ;
adresser à ces derniers leurs résultats à la fin de l’étude, s’agissant de leur imprégnation à la chlordécone et aux autres polluants environnementaux ;
réaliser le géocodage du lieu d’habitation.
Les participants en sont informés.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourront accéder aux données directement identifiantes.
Les courriers électroniques adressés aux participants ne devront révéler aucune information sur l’état de santé réel ou supposé du participant.
Sur l’information et les droits des personnes
S’agissant des modalités d’information :
À titre liminaire, les nom, prénoms, et les coordonnées (postale, électronique et téléphonique) seront collectées et traitées lors d’un tirage au sort pour la participation à l’étude à partir des données issues des CGSS de Guadeloupe et de Martinique et de l’ENIM.
S’agissant des personnes susceptibles d’être tirées au sort :
Une dérogation à l’obligation d’information individuelle et préalable des participants à l’étude est envisagée, dans les conditions prévues à l’article L.1122-1-4 du code de la santé publique (CSP).
Afin de tenir compte des spécificités locales, une communication autour de l’enquête, en lien avec les préfectures de Guadeloupe et de Martinique, sera mise en œuvre au moyen de différents supports papier (prospectus, affiches, etc.) et électroniques (emailings, réseaux sociaux), notamment auprès :
des journalistes ;
des cibles relais (mairies, associations de maires, associations et organisations non gouvernementales locales, professionnels de santé, syndicats de pêcheurs, d’agriculteurs, de producteurs et vendeurs de produits de pêche ou agricoles, etc.) ;
de partenaires (collectivités territoriales, CGSS de Martinique et Guadeloupe, ORS, etc.).
Par ailleurs, une note d’information collective sera publiée sur le site web du responsable de traitement. Elle devra comporter l’ensemble des mentions prévues par le RGPD.
Ces modalités d’information seront réalisées avant la constitution des bases de données par les CGSS de Martinique et de Guadeloupe, et de l’ENIM permettant la réalisation du tirage au sort.
S’agissant des personnes tirées au sort :
A l’issue du tirage au sort, tous les participants recevront une note d’information individuelle.
S’agissant des participants mineurs :
Une dérogation à l'obligation d'information des deux titulaires de l’exercice de l’autorité parentale est envisagée, dans les conditions prévues à l’article 70 de la loi "informatique et libertés" en cas d’impossibilité d’informer le second titulaire de l’exercice de l’autorité parentale ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche. Dans cette hypothèse, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale sera systématiquement transmise au parent contacté en vue de l’inclusion et il sera invité à la lui transmettre.
Les mineurs participant à l’étude recevront également une note d’information individuelle.
Toutes les notes d’information devront comporter l’ensemble des mentions prévues par l’article 13 du RGPD.
Ces modalités d’information sont satisfaisantes au regard des dispositions du RGPD et de la loi informatique et libertés .
S’agissant des modalités d’exercice des droits :
Conformément aux dispositions de l’article 74 de la loi "informatique et libertés", les personnes disposent du droit de s’opposer au traitement de leurs données à des fins de recherche. Elles devront en être informées dans la note d’information collective publiée sur le site web du responsable de traitement.
Les personnes ayant fait exercice de leur droit d’opposition en refusant de participer à l’étude ne devront pas être contactées.
Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données du responsable de traitement pendant toute la durée de l’étude.
Ces modalités d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi informatique et libertés .
Sur les accédants et destinataires
Dans le cadre de la mise en œuvre de l’étude "Kannari-2" :
les membres du personnel de l’ANSP auront accès :
aux données pseudonymisées de l’ensemble des bénéficiaires de la branche maladie des CGSS de Guadeloupe et de Martinique, et de l’ENIM afin de réaliser le tirage au sort des participants ;
aux données de santé pseudonymisées des participants afin de réaliser l’analyse des données pour les besoins de l’étude ;
les membres de la société IPSOS auront accès aux données nominatives et de santé des participants pour assurer le suivi des inclusions et le recueil des données à travers la passation des questionnaires ;
les membres des ORS de Martinique et de Guadeloupe auront accès aux données de santé pseudonymisées des participants afin d’analyser les données de santé déclaratives issues des questionnaires.
Le responsable de traitement a indiqué que les données nominatives des participants doivent être collectées et traitées afin de leur adresser leurs résultats à la fin de l’étude. Aux fins de confidentialité, ces résultats devront être envoyés par la société IPSOS.
Des documents tenus à jour indiquent la ou les personnes compétentes pour le responsable de traitement et chaque sous-traitant permettant de délivrer l’habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personne habilitées et leurs droits d’accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement et ses sous-traitants.
Sur la sécurité des données et la traçabilité des actions
À titre liminaire, le dossier de demande mentionne que le traitement envisagé est conforme aux mesures de sécurité prévues dans la MR-001.
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au traitement envisagé. Celle-ci devra être mise à jour pour tenir compte des différentes phases de l’étude (pilote et à grande échelle), préciser les mesures techniques et organisationnelles ainsi que le plan d’actions retenu.
Dans le cadre de la phase pilote, aucune donnée de l’étude ne sera hébergée sur les serveurs internes du responsable de traitement. Les données seront consolidées et analysées sur la plateforme du Centre d’accès sécurisé aux données (CASD).
Pour l’étude à grande échelle, la Commission prend acte de ce que les serveurs internes du responsable de traitement seront conformes à l’état de l’art, notamment à des mesures de sécurité équivalentes aux exigences mentionnées dans le référentiel entrepôt de données dans le domaine de la santé .
Des espaces projets devront alors être prévus pour toute mise à disposition, interne ou à destination des ORS, toute mise à disposition ou export de données non anonymes étant exclus. Si ces conditions ne sont pas réunies, un hébergement et une mise à disposition au CASD seront réalisés.
Le responsable de traitement devra s’assurer du respect des exigences de sécurité à toutes les étapes du traitement opérées par les différents organismes participants, y compris pour les fiches papiers.
Des pseudonymes aléatoires, dédiés à chaque typologie d’acteurs et flux de données, sont prévus pour les flux de données. Toute table de correspondance devra être supprimée dans les meilleurs délais après remise des résultats individuels aux participants, consolidation de la base et génération de nouveaux pseudonymes aléatoires pour celle-ci. Pour toute mise à disposition, des pseudonymes dédiés à chaque espace projet devront être générés.
Les échanges de données seront réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. Les algorithmes de chiffrement utilisés et les procédures de gestion des clés devront être conformes à l’annexe B1 du référentiel général de sécurité.
Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5.1.f et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Sur les transferts de données en dehors de l’Union européenne
Le responsable de traitement prévoit de transférer au Canada certaines données pseudonymisées des participants à l’étude. Prenant en considération l'arrêt C-311/18 rendu par la Cour de justice de l’Union européenne le 16 juillet 2020, la Commission rappelle que tout transfert de données en dehors de l’Union européenne doit être réalisé selon les conditions prévues au Chapitre V du RGPD. Lorsque ce transfert s'effectue à destination d'un pays n’assurant pas un niveau de protection suffisant, celui-ci doit être réalisé moyennant des garanties appropriées (clauses contractuelles types, règles d'entreprise contraignantes, code de conduite, mécanisme de certification).
Conformément aux dispositions de l’article 46 du RGPD, en l’absence de décision d’adéquation, le responsable de traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers un pays tiers que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de recours effectives.
Le responsable de traitement envisage d’encadrer le transfert de données au Canada par la conclusion de clauses contractuelles type telles que prévues par la décision d’exécution (UE) 2021/914 de la Commission européenne du 4 juin 2021. Il incombe au responsable de traitement d'évaluer si le niveau de protection requis par le droit de l’Union européenne est respecté au Canada afin que les garanties fournies par les clauses contractuelles types puissent être respectées. Le cas échéant, ces clauses contractuelles ne pourront constituer des garanties appropriées au sens du chapitre V du RGPD qu’à la condition d’avoir été complétées par des mesures supplémentaires afin de garantir un niveau de protection essentiellement équivalent à celui prévu dans l'Espace économique européen. Le responsable de traitement est également tenu de s'assurer que la législation du pays tiers n'empiétera pas sur ces mesures supplémentaires de manière à les priver d'effectivité.
Sur la durée de conservation des données
S’agissant des personnes non tirées au sort :
Les données seront conservées pour une durée de trois mois, puis détruites.
S’agissant des personnes refusant de participer à l’étude :
Les données seront détruites au moment de leur refus.
S’agissant des données des personnes participant à l’étude :
les données administratives d’identification nom, prénom, coordonnées téléphonique, électronique et postale seront conservées pendant six mois après la transmission des derniers résultats aux participants puis elles seront détruites ;
les échantillons biologiques seront conservés pendant cinq ans puis détruits.
Les autres données de l’étude seront conservées en base active pour une durée de sept ans, puis feront l’objet d’un archivage intermédiaire pour une durée de quinze ans.
A l’issue de ce délai, les données seront supprimées ou versées aux archives nationales, conformément aux dispositions du code du patrimoine.
Ces durées de conservation des données n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5.1.e du RGPD.
Sur la réutilisation des données et des échantillons biologiques
La constitution d’une base de données associée à une collection d’échantillons biologiques relève, sauf en cas de recueil du consentement exprès conformément aux dispositions du RGPD, du régime de formalités préalables prévu par les dispositions générales de la section 3 du chapitre III du titre 2 de la loi "informatique et libertés" pour les traitements de données à caractère personnel dans le domaine de la santé (déclaration de conformité au référentiel "entrepôt de données de santé" ou dépôt d’une demande d’autorisation).
Conformément à la délibération n° 2018-327 du 11 octobre 2018 relative aux analyses d’impact sur la protection des données, les traitements des données de santé nécessaires à la constitution d’une base de données pérenne associée à une collection d’échantillons biologiques nécessitent la réalisation préalable d’une telle analyse.
Toute nouvelle étude qui serait mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la Commission.
Observations particulières
Afin de corriger les effets de sélection induits par la non-participation de certaines personnes tirées au sort, le responsable de traitement souhaite mettre en œuvre des méthodes statistiques de traitement des biais de sélection dans l’étude Kannari-2 . Cette étude fera l’objet d’une formalité distincte auprès de la Commission.
Autorise, conformément à la présente délibération, l’Agence nationale de santé publique à mettre en œuvre le traitement susmentionné.
La Présidente
Marie -Laure DENIS