(demande d’autorisation n° 914382)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut Pasteur d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur l’histoire des migrations et peuplements en Guyane ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment son article L. 1123-7 ;
Vu le code civil, notamment son article 16-10 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8 et 25-I-2° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’avis favorable du Comité Consultatif pour le Traitement de l’Information en matière de recherche dans le domaine de la santé du 9 février 2012 ;
Vu l’avis favorable du Comité de Protection des Personnes Sud-Ouest et Outre-Mer IV du 11 avril 2013 ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par l’Institut Pasteur d’une demande d’autorisation préalablement à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité une étude portant sur l’histoire des migrations et peuplements en Guyane. Cette étude s’inscrit dans le cadre du programme mondial Genographic (programme mondial d’étude des migrations humaines par le moyen de marqueurs génétiques), mené par la National Geographic Society (NGS), auquel l’Institut Pasteur de Guyane est associé.
Le traitement de données à caractère personnel projeté consiste en la conduite d’une recherche scientifique en anthropologie génétique. Il est envisagé de constituer une collection d’échantillons biologiques provenant de prélèvements salivaires opérés sur environ 200 volontaires adultes, de sexe masculin, issus des ethnies amérindiennes et recrutés dans les villages et communautés traditionnels de Guyane. L’étude repose notamment sur  l’analyse de marqueurs génétiques humains à partir de ces échantillons.
Dans la mesure où le traitement porte sur la collecte de données relatives à l’origine ethnique ainsi que sur des données génétiques,  la Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8 et 25-I-2° de la loi Informatique et Libertés qui soumettent à autorisation « les traitements automatisés portant sur des données génétiques, à l’exception de ceux d’entre eux qui sont mis en œuvre par des médecins ou des biologistes et qui sont nécessaires aux fins de la médecine préventive, des diagnostics médicaux ou de l’administration de soins ou de traitements ».
La Commission relève que le Comité consultatif pour le traitement de l’information en matière de recherche dans le domaine de la santé (CCTIRS), saisi par l’Institut Pasteur, a émis un avis favorable au projet.
La Commission relève également que le Comité de protection des personnes (CPP) Sud-Ouest et Outre-Mer IV, saisi par l’Institut Pasteur dans les conditions prévues par l’article L. 1123-7 du code de la santé publique, a émis, le 11 avril 2013, un avis favorable, sous réserve de précisions complémentaires à apporter notamment dans la rédaction de la notice d’information.
La Commission prend acte de ce que le responsable de traitement a pris en compte ces observations dans les documents qui lui ont été soumis.
Sur la finalité du traitement :
La finalité principale du projet objet de la présente demande d’autorisation est d’étudier les groupes et ethnies traditionnels de Guyane, en rapprochant les informations génétiques (prélèvements salivaires) avec leurs différentes cultures, langues et idiomes.
Cette connaissance permettrait de mieux comprendre l’histoire du peuplement, l’origine et l’ancienneté de la population étudiée.
L’étude génétique des populations est une discipline universitaire à part entière qui connaît un essor croissant du fait du développement des techniques d’étude du génome grâce aux nanotechnologies. Par ailleurs, de nombreuses études de génétique des populations ont d’ores et déjà été menées sur d’autres populations et ont donné lieu à des publications dans des revues scientifiques académiques internationales de renom.
L’article 16-10 du code civil  prévoit que « l'examen des caractéristiques génétiques d'une personne ne peut être entrepris qu'à des fins médicales ou de recherche scientifique. Le consentement exprès de la personne doit être recueilli par écrit préalablement à la réalisation de l'examen ».
Dans ces conditions, la Commission, à laquelle il n’appartient pas de se prononcer sur l’explication ultérieure qui pourrait être donnée des résultats de l’étude, considère la finalité poursuivie comme déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Concomitamment aux prélèvements salivaires, les informations suivantes seront recueillies directement auprès des personnes :


langue maternelle ;
groupe ethnique (Lokono, Kalina, Oyampi, Wapampi ou Teko) ;
lieu de naissance et communauté ;
nom de la mère, lieu de naissance, langue parlée et ethnie ;
nom du père, lieu de naissance, langue parlée et ethnie.
Ces données seront codées à Cayenne, par l’Institut Pasteur de la Guyane (IPG). Une table de correspondance entre l’identité du participant et son numéro d’identification sera élaborée. La Commission rappelle que les données directement identifiantes devront être traitées et transmises de façon séparée des données de l’étude et être enregistrées dans une base de données distincte.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
Après analyse à l’Université fédérale du Minas Gerais (UFMG), au Brésil, les prélèvements seront renvoyés à l’IPG pour y être détruits. Les données seront conservées pendant la durée de l’étude, soit 2 ans, puis seront archivées pendant une durée de 15 ans. Cet archivage comporte :
le protocole signé par les partenaires de la recherche (original conservé par chacun des partenaires et un original par tous les partenaires conservé par l’initiateur de la recherche) ;
les consentements signés (original conservé exclusivement par les investigateurs) ;
le cahier d’observation/support de recueil des données (original conservé par l’initiateur de la recherche et copie conservée par les investigateurs et/ou les autres collaborateurs) ;
le rapport final de l’étude.
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement des finalités poursuivies par le responsable de traitement.
Sur les destinataires des données :
Dans un premier temps, les échantillons et les données seront transférés à l’IPG qui sera responsable de la collection d’échantillons biologiques d’origine humaine et du traitement des données à caractère personnel (base de données et table de correspondance).
Dans un deuxième temps, les échantillons et les données codées seront transférés à l’UFMG, pour y être analysés (extraction de l’ADN, séquençage, analyse des séquences). Une partie des informations collectées sur le terrain sera mise à disposition du centre régional, à savoir :
identifiant et échantillon ;
communauté et village ;

langue maternelle ;
groupe ethnique ;
lieu de naissance ;
langue parlée et ethnie de la mère ;
langue parlée et ethnie du père.
Enfin, les données finales générées au niveau mondial seront centralisées au DAR (« Database and Repository »), à Washington DC, à la NGS, siège du projet Genographic. Seront donc transférés au DAR, par l’UFMG :
le numéro GPID (Genographic Participant Identification number) généré à l’UFMG ;
les informations de typage ethnique obtenues avec le chromosome Y et l’ADN mitochondrial ;
la langue usuelle parlée ;
les coordonnées géographiques de la communauté ;
le lieu de naissance du participant, et ceux du père et de la mère.
La Commission considère que la liste des destinataires du traitement est appropriée au regard de sa finalité.
S’agissant des transferts de données vers le Brésil et les Etats-Unis, qui sont des pays n’accordant pas une protection suffisante au sens de l’article 68 de la loi Informatique et Libertés, la Commission prend acte de l’engagement du responsable de traitement de procéder, préalablement à tout transfert, à un encadrement de celui-ci par le recours aux clauses contractuelles types entre responsable de traitement et responsable de traitement adoptées par la Commission européenne, conformément aux dispositions spécifiques de la loi précitée relatives aux transferts internationaux de données, notamment à son article 69.
Ainsi, des contrats, comprenant des clauses contractuelles adoptées par la Commission européenne, seront conclus entre l’Institut Pasteur et l’UFMG, et entre l’Institut Pasteur et le DAR, afin d’encadrer ces transferts de données en dehors de l’Union européenne.
Sur l'information et le consentement des personnes :
Dans le cadre du projet, le recrutement des participants s’effectuera de la manière suivante :
présentation du projet au chef coutumier et attente de son accord pour rencontrer la communauté ;
présentation du projet à la communauté, de manière collective ;
seulement après cette démarche, les personnes intéressées par le projet seront rencontrées individuellement par l’investigateur, le projet leur sera réexpliqué et un document d’information remis. L’investigateur pourra être accompagné d’un proche de la personne ou d’un interprète, si la personne susceptible de participer à l’étude le souhaite.
réalisation du prélèvement après la signature d’un formulaire de recueil du consentement, conformément aux dispositions de l’article 16-10 du code civil.
La Commission prend acte de l’engagement du responsable de traitement d’effectuer les opérations d’information et de collecte des échantillons dans le respect des coutumes des ethnies étudiées.
La Commission relève que le document d’information prévoit expressément que la recherche génétique sera menée à partir des échantillons biologiques traités au Brésil.
La Commission considère que ces modalités d’information et de recueil du consentement sont satisfaisantes.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les modalités d’exercice des droits des personnes sont rappelées dans le document d’information. Il est également précisé aux participants qu’ils peuvent retirer leur consentement à tout moment de l’étude.
Les droits d’accès, de rectification et d’opposition s’exercent auprès de l’investigateur principal, dépendant de l’IPG.
La Commission estime que ces modalités d’exercice des droits reconnus par la loi Informatique et Libertés sont suffisantes.
Sur la sécurité des données et la traçabilité des actions :
Les données collectées auprès de chaque participant seront hébergées à l’IPG, qui procèdera à leur codage. Une table de correspondance entre l’identité des participants et leur identifiant sera également créée et sera conservée au sein de l’IPG.
Le laboratoire d’analyse de l’UFMG, en tant que centre régional du projet Genographic, recevra les échantillons et les données codées relatives à l’appartenance ethnique, nécessaires aux traitements statistiques (zone géographique et communauté, ethnie et langues parlées par le sujet, ses parents et ses grands-parents). L’identité du participant et celle de ses parents ne seront transmises ni à l’UFMG, ni au DAR.
Enfin, les données codées (sexe, âge, ethnies et informations relatives aux ancêtres du participant) et les résultats des analyses génétiques seront transmis pour être intégrés à la base de données centralisée du projet Genographic. Les participants ne seront identifiés qu’avec le GPID qui leur aura été attribué.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques
Dans ces conditions, la Commission autorise l’Institut Pasteur à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité une étude portant sur l’histoire des migrations et peuplements en Guyane.
Par ailleurs, la Commission autorise le transfert vers le Brésil et les Etats-Unis d'Amérique de données à caractère personnel dont les caractéristiques sont énoncées ci-dessus, en application de l'article 69 de la loi du 6 janvier 1978 modifiée.
La Présidente
I. FALQUE-PIERROTIN