(demande d’autorisation n° 916205)
La Commission nationale de l'informatique et des libertés,
Saisie par le Centre hospitalier régional universitaire (CHRU) de Besançon d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’une étude portant sur les demandes d’euthanasie ou de suicide assisté en Bourgogne-Franche-Comté, intitulée « EPIDESA 2 » ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 53 à 61 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la Commission n° 2015-173 du 11 juin 2015 ;
Vu l’avis du Comité consultatif sur le traitement de l’information en matière de recherche dans le domaine de la santé (CCTIRS) en date du 23 mars 2016 ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le cadre juridique de la fin de vie est principalement déterminé par la loi n° 2005-370 du 22 avril 2005 relative aux droits des malades et à la fin de vie, dite « loi Leonetti », et par la loi n° 2016-87 du 2 février 2016 créant de nouveaux droits en faveur des malades et des personnes en fin de vie.
Ce dernier texte a réformé les conditions dans lesquelles peuvent intervenir les limitations ou arrêts de traitement lorsqu’une telle décision est susceptible d’entraîner la mort de la personne malade. Ses dispositions principales portent sur l’accès à la sédation profonde et continue en phase terminale, le caractère contraignant des directives anticipées et le développement des soins palliatifs.
Pour autant, le débat public est toujours vif sur les questions d’aide à mourir, en particulier sur l’euthanasie et les demandes de «suicide assisté ».
Afin de remédier à la rareté des travaux scientifiques en France sur les motivations des demandes d’euthanasie ou de suicide assisté, le Centre hospitalier régional universitaire (CHRU) de Besançon a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la réalisation d’une étude sur les « demandes d’euthanasie et de suicide assisté » dans la région Bourgogne-Franche-Comté, intitulée « EPIDESA 2 ».
Après le refus de la Commission d’autoriser le projet initial d’étude « EPIDESA » par sa délibération n° 2015-173 du 11 juin 2015, en raison d’un défaut d’information des personnes, le CHRU de Besançon soumet à l’examen de la Commission la présente étude « EPIDESA 2 » qui poursuit les mêmes objectifs mais prévoit désormais une information préalable des personnes.
En ce qu’elle implique un traitement de données à caractère personnel ayant pour finalité la recherche dans le domaine de la santé, cette étude est soumise à autorisation de la Commission en application des dispositions du chapitre IX de la loi du 6 janvier 1978 modifiée, dite « loi Informatique et Libertés ».
Sur la finalité du traitement :
La finalité poursuivie est la réalisation d’une étude observationnelle, épidémiologique, prospective et multicentrique dont l’objectif principal est d’évaluer le nombre et la fréquence annuelle des signalements de demandes d’euthanasie ou de suicide assisté dans la région Bourgogne-Franche-Comté et de caractériser ces situations de fin de vie. Cette étude, intitulée EPIDESA 2, vise également à caractériser les situations et l’évolution de ces demandes sur une semaine.
L’objectif secondaire poursuivi par l’étude est de constituer un réseau structurant de recherche, entre les acteurs libéraux et des établissements sanitaires et sociaux en Bourgogne-Franche-Comté.
L’étude EPIDESA 2 repose sur le volontariat des professionnels de santé et est organisée selon trois étapes :
la première consiste en un signalement des demandes d'euthanasie ou de suicide assisté, par tout médecin ou personnel soignant exerçant dans la région ;
la deuxième, qui vise à rechercher les caractéristiques des situations et des demandes, consiste pour le médecin investigateur de réseau à remplir un questionnaire d'analyse de la demande avec l'aide du professionnel l'ayant signalée ;
la troisième consiste à évaluer l'évolution de la demande au moyen d'un questionnaire de suivi renseigné par les mêmes acteurs, 7 jours après la formulation de la demande.
La Commission estime que les finalités poursuivies par l’étude EPIDESA 2 sont déterminées, explicites et légitimes au sens de l’article 6-2° de la loi Informatique et Libertés.
Sur la nature des données traitées :
Les données traitées dans le cadre de l’étude EPIDESA 2 sont relatives, d’une part, aux professionnels de santé et, d’autre part, aux participants à l’étude.
S’agissant des professionnels de santé investigateurs de terrain, le responsable de traitement souhaite collecter les informations suivantes :
fonction professionnelle,
lieu d’exercice,
année de naissance,

nombre d’années d’exercice.
Les noms et prénoms des investigateurs de terrain ne figurent pas dans la base de données de l’étude où ils sont identifiés par leurs initiales.
S’agissant des participants à l’étude, les données les concernant sont recueillies dans trois questionnaires renseignés par l’investigateur de terrain. Ils sont identifiés sur ces questionnaires par un code composé d’un numéro d’inclusion, de la première lettre du nom, de la première lettre du prénom, du mois et de l’année de naissance.
Le questionnaire n°1 vise à identifier la demande d’aide à mourir et à cerner le contexte dans lequel elle a été formulée. S’agissant des caractéristiques du patient, les informations suivantes sont recueillies :
type d’habitation (domicile, foyer, EHPAD, maison d’accueil spécialisée) ;
le cas échéant, date d’entrée en établissement ;
situation familiale ;
catégorie professionnelle ;
commune de résidence.
Concernant la commune de résidence du patient, la Commission prend acte de ce que cette donnée ne sera conservée que le temps nécessaire à l’attribution d’un « code canton » par le data manager de l’unité CIC 1431 du CHRU de Besançon et qu’elle n’apparaît pas dans la base de données de l’étude.
Le questionnaire n°2 vise à recueillir les données susceptibles de comprendre l’origine et le contexte de la demande d’euthanasie ou de suicide assisté. Cinq champs sont explorés :
lien avec la maladie ;
lien avec les convictions du patient ;
lien avec l’annonce ou la prise de conscience de la maladie ou de la complication ;
lien avec le contexte physique du patient ;
lien avec le contexte psychosocial du patient.
Le questionnaire n°3 permettra de recueillir les caractéristiques de l’évolution de la demande et la réponse médicale qui y est apportée à sept jours.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi Informatique et Libertés.
Sur la durée de conservation des données :
La durée totale de l’étude EPIDESA 2 est prévue pour 18 mois :
6 mois d’inclusion des participants ;
12 mois de consolidation de la base de données et d’analyse.
Pour un participant, la durée de recueil des données est de 7 jours maximum, soit le temps écoulé entre le remplissage du premier questionnaire et du troisième.
Les données nécessaires à l’analyse scientifique seront conservées en base active jusqu’à la publication des résultats de l’étude puis archivées.
La Commission estime que de telles durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 6-5° de la loi Informatique et Libertés.
Sur le circuit de circulation des données :
Les trois volets du cahier d’observation (les questionnaires) seront remplis grâce au professionnel de santé ayant reçu la demande (investigateur de terrain) à partir de sa connaissance de la personne et des éléments médicaux dont il dispose. Le questionnaire 1 sera rempli avec les ingénieurs d’étude et de recherche clinique du CHRU de Besançon, les questionnaires 2 et 3 avec les investigateurs de réseau (les médecins de l’équipe mobile de soins palliatifs).
L’investigateur de terrain est le seul à connaître l’identité du patient et à conserver une table de correspondance entre son numéro d’inclusion dans l’étude et son identité.
Les questionnaires seront complétés soit au format papier puis saisis informatiquement au CHRU de Besançon, soit saisis directement de manière informatique par les investigateurs de réseau.
La base de données utilisée pour l’analyse scientifique sera conservée au centre d’investigation clinique 1431 du CHRU de Besançon.
La Commission considère que ce circuit de circulation des données est de nature à préserver leur confidentialité.
Sur l'information des personnes :
Lorsqu'un patient énonce une demande d'euthanasie ou de suicide assisté, l’investigateur de terrain qui a reçu cette demande lui propose, dans les heures qui suivent, que ses données soient collectées pour l'étude EPIDESA 2. A l’appui de cette proposition orale, l’investigateur de terrain lui remet une note d'information au format papier et s’assure oralement de sa non-opposition à participer à l’étude.
La Commission estime que cette note d’information répond aux exigences de l’article 57 de la loi Informatique et Libertés en ce qu’elle porte sur :
la nature des informations transmises ;
la finalité du traitement de données ;
les destinataires des données ;
les modalités d’exercice des droits d'accès, de rectification et d’opposition.
S’agissant des investigateurs de terrain, dans la mesure où des données à caractère personnel les concernant seront aussi recueillies, le responsable de traitement a prévu une note d’information spécifique à leur égard. Cette information leur sera communiquée par l’ingénieur d’étude et de recherche clinique avec qui ils seront en contact pour le remplissage du questionnaire n°1.
La Commission considère que ces modalités d’information des personnes sont satisfaisantes.
Sur les droits d'accès, de rectification et d'opposition des personnes :
S’agissant des patients, les droits d’accès, de rectification et d’opposition qui leur sont reconnus par les articles 39, 40 et 56 de la loi Informatique et Libertés s’exercent auprès du professionnel de santé qui les a informés. Ses coordonnées apparaissent sur la note d’information qui leur est remise préalablement à leur inclusion dans l’étude.
S’agissant des investigateurs de terrain, les droits qui leur sont reconnus par la loi Informatique et Libertés s’exercent par voie postale, par e-mail ou par téléphone auprès du professeur responsable de l’étude EPIDESA 2. Ses coordonnées apparaissent sur le document d’information dédié aux investigateurs de terrain.
La Commission estime que ces modalités d’exercice des droits sont suffisantes.
Sur la sécurité des données et la traçabilité des actions :
La base de données de l’étude, conservée au centre d’investigation clinique 1431 du CHRU de Besançon, ne contient que des données indirectement identifiantes.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.
Le responsable du traitement a mis en place une politique de mot de passe qui impose que ceux-ci soient composés de huit caractères minimum, comprenant au moins trois des quatre types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux.
Une journalisation des opérations de consultation, création, modification et suppression du traitement est réalisée.
Seuls les accès à l’application sont journalisés, ce que la Commission considère acceptable compte tenu du nombre très réduit de personnes ayant accès au traitement.
Les échanges de données sont réalisés via des canaux de communication chiffrés.
La Commission estime que les mesures de sécurité décrites par le responsable de traitement apparaissent conformes à l’exigence de sécurité prévues par l’article 34 de la loi Informatique et Libertés.
Elle rappelle que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise le Centre hospitalier régional universitaire (CHRU) de Besançon à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la réalisation d’une étude portant sur les demandes d’euthanasie ou de suicide assisté en Bourgogne-Franche-Comté, intitulée « EPIDESA 2 ».
La Présidente
Isabelle FALQUE-PIERROTIN