La Commission nationale de l'informatique et des libertés,
Saisie par le Centre hospitalier universitaire (CHU) de Nantes d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur la fréquence, les conséquences et les déterminants des soins suboptimaux dans la prise en charge initiale de la maltraitance physique de l’enfant âgé de moins de six ans dans la région Ouest ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable avec du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 2 avril 2020 ;
Vu le dossier et ses compléments ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement
Le responsable de traitement est le CHU de Nantes.
Sur la finalité du traitement
Le CHU de Nantes envisage la réalisation d’une recherche n’impliquant pas la personne humaine portant sur la fréquence, les conséquences et les déterminants des soins suboptimaux dans la prise en charge initiale de la maltraitance physique de l’enfant de moins de six ans, c’est-à-dire avant le premier diagnostic médical ayant conduit à une alerte des autorités administratives ou judiciaires. Cette étude, qui nécessite l’inclusion de 250 enfants, sera mise en œuvre au sein de 17 centres situés en Bretagne et en région nantaise). La population cible est l’ensemble des enfants de moins de six ans présumés victimes de maltraitance physique grave décédés en milieu pré-hospitalier ou ayant nécessité un recours hospitalier dans un des services participant à l’étude et ayant fait l’objet d’une information préoccupante ou d’un signalement. Pour des raisons de faisabilité, les enfants seront inclus à l’occasion d’une admission ponctuelle en pédiatrie, aux urgences, en réanimation ou à l’occasion d’une consultation dans une unité spécialisée d'accueil d'enfant en danger.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b du RGPD.
Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé
Le traitement mis en œuvre par le CHU de Nantes a vocation à améliorer la prise en charge initiale de la maltraitance physique de l’enfant et est nécessaire à l’exécution d’une mission d’intérêt public dont est investi le responsable de traitement.
Le traitement envisagé est donc licite au sens de l’article 6-1-e) du RGPD. En outre, la Commission estime que ce traitement, nécessaire à des fins de recherche scientifique, remplit la condition prévue à l’article 9-2-j) du RGPD permettant de traiter des données concernant la santé.
La Commission estime qu’il y a lieu de faire application des dispositions des articles 44-3°, 66-III et 72 et suivants de la loi du 6 janvier 1978 modifiée, qui soumettent à son autorisation les traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur la nature des données traitées
Les données dont le traitement est envisagé sont celles habituellement recueilles au cours de l'évaluation clinique d'un enfant présumé victime de maltraitance par l’équipe prenant en charge le patient et de son suivi à 12 mois, effectué par les médecins généralistes, les pédiatres libéraux, les services de protection maternelle et infantile, ainsi que de médecine scolaire.
Seront recueillies les catégories de données suivantes, détaillées dans le protocole de l’étude :
données administratives (âge, code postal du domicile, lieu de vie, mode de garde, scolarisation) ;
données concernant l’environnement familial de l’enfant ;
données relatives aux antécédents de l’enfant ;
données concernant la ou les lésions ayant motivé l’inclusion ;
données de suivi à douze mois.
La Commission relève que la collecte de données directement identifiantes (nom, prénom et date de naissance complète) est envisagée, afin de permettre le recueil des données de suivi des patients à un an. Elle rappelle que les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé, être enregistrées dans une base de données distincte et ne pas être conservées une fois le recueil des données de suivi à un an effectué. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourront accéder aux données directement identifiantes.
Elle rappelle enfin que la minimisation de la collecte des données nécessite, dans une logique de protection des données dès la conception (
privacy by design
Sous réserve du respect de ces préconisations, la Commission considère que les données traitées sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du RGPD.
Sur les destinataires des données
Pourront accéder aux données, dans la stricte limite de leur besoin d’en connaitre pour l’exercice de leurs missions :
les biostatisticiens (membre du personnel du CHU de Nantes) désignés pour l’
analyse statistiques

l’investigateur coordonnateur (membre du personnel du CHU de Nantes) pour l’
interprétation des données, la rédaction des articles

un pédiatre expérimenté dans l’accompagnement des enfants victimes de maltraitance physiques et un médecin généraliste
expertisant les dossiers pseudonymisés et repérant les éléments de suboptimalité dans le parcours de soins (personnel
externe au CHU de Nantes) pour l’exploitation et l’analyse des données ; si nécessaire, l’avis du médecin référent de protection de l'enfance du département de Loire-Atlantique pourra également être sollicité ;
des techniciens d’études cliniques (TECs) et investigateurs de chaque centre (une à trois personnes par centre)

saisie des données dans le cahier d’observation électronique (eCRF) et l’accès aux données de leur centre ;
l’équipe de coordination du centre d’investigation clinique femme-enfant-adolescent (CIC FEA) du CHU de Nantes (une coordinatrice, une puéricultrice de recherche et un TEC) pour l’assurance qualité des données ;
l’équipe de coordination du CIC FEA du CHU de Nantes (une coordinatrice, une puéricultrice de recherche et un TEC) pour la surveillance de l’étude ;
le médecin coordonnateur, deux épidémiologistes, l’investigateur pour les analyses biostatistiques ;
un gestionnaire technique des données (
data manager
le comité logistique, composé de l’équipe de coordination du Centre d’investigation clinique Femme-enfant-adolescent (CIC FEA) du CHU de Nantes (une coordinatrice, une puéricultrice de recherche et un TEC), qui seul aura connaissance de l’identité des patients afin de faire le lien avec les différents centres et les responsables du traitement.
La Commission demande que le responsable de traitement tienne à jour des documents indiquant la ou les personnes
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
Sur l'information des personnes
S’agissant des personnes incluses dans l’étude :
Conformément à l’article 69 de la loi, les personnes auprès desquelles sont recueillies des données à caractère personnel ou à propos desquelles de telles données sont transmises doivent être destinataires d’une information individuelle.

l’article 70 de la loi précise que les titulaires de l’exercice de l’autorité parentale sont destinataires de l’information et exercent les droits de la personne concernée par le traitement.
Toutefois, en application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l’espèce, le responsable de traitement précise que la délivrance d’une information individuelle à chacun des titulaires de l’autorité parentale aurait très vraisemblablement pour conséquence
Aussi, au regard des éléments développés par le responsable de traitement et prenant en considération la finalité du traitement envisagé, dont l’objectif est d’améliorer la prise en charge des maltraitances, il sera fait exception au principe d'information individuelle des personnes. Des mesures appropriées seront cependant mises en œuvre, notamment par la diffusion d’une note d’information relative au projet de recherche par voie d’affichage dans les salles d'attentes de tous les sites concernés et sur le site web du CHU de Nantes. Cette note d’information devra comporter l’ensemble des mentions prévues par le RGPD.
S’agissant des professionnels impliqués :
Une information relative au traitement des données leur sera délivrée lors d’une réunion de lancement de l’étude.
La Commission estime que ces modalités d’information sont satisfaisantes au regard des dispositions du RGPD et de la loi informatique et libertés .
Sur les droits des personnes
Les personnes concernées pourront exercer leurs droits auprès du service ayant réalisé la prise en charge médicale ou auprès du représentant de l’établissement.
Les professionnels impliqués dans le projet de recherche pourront exercer leurs droits auprès du délégué à la protection des données du CHU de Nantes ou auprès du médecin coordonnateur de l’étude.
La Commission estime que ces modalités d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi informatique et libertés .
Sur la durée de conservation des données
Les données directement identifiantes seront conservées en base active durant dix-huit mois, afin de collecter les données de suivi des personnes concernées. A l’issue de ce délai, les données seront supprimées.
Les données indirectement identifiantes seront conservées en base active durant trente mois puis en archivage pour une durée de dix ans.
La Commission considère que cette durée n’excède pas la durée nécessaire au regard de la finalité pour laquelle elles sont collectées et traitées, conformément aux dispositions de l’article 5, paragraphe 1, point e) du RGPD.
Sur la sécurité des données et la traçabilité des actions
La Commission recommande que les permissions d'accès soient attribuées pour une durée déterminée et limitée, après validation hiérarchique, qu’elles soient supprimées dès qu'un utilisateur n'est plus habilité et qu’une revue globale des habilitations attribuées soit opérée régulièrement.
Au vu de la sensibilité des données dont le traitement est envisagé, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP santé. Elle recommande que la création de comptes utilisateur, le paramétrage du canal utilisé pour la transmission des codes à usage unique et le renouvellement du mot de passe soient également sécurisés par le moyen précité.
Sous réserve de la prise en compte des recommandations précitées, les mesures de sécurité décrite par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5-1-f) et 32 du RGPD.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour régulière des mesures de sécurité, de l’analyse d’impact relative à la vie privée ainsi que de l’homologation de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise le CENTRE HOSPITALIER UNIVERSITAIRE DE NANTES à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’une étude portant sur la fréquence, les conséquences et les déterminants des soins suboptimaux dans la prise en charge initiale de la maltraitance physique de l’enfant âgé de moins de six ans dans la région Ouest.
La présidente
Marie-Laure DENIS