(demande d’autorisation n° 1743563)
La Commission nationale de l'informatique et des libertés,
Saisie par le groupement de coopération sanitaire Réseau de cancérologie d’Aquitaine d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un dispositif de suivi des personnes prédisposées héréditairement au cancer ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8, R. 1131-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu M. Loïc HERVE, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le développement du diagnostic des prédispositions aux formes héréditaires de cancer a été porté successivement par les derniers Plans cancer (2003-2007, 2009-2013, 2014-2019).
Les personnes ainsi diagnostiquées, soit parce qu’elles sont porteuses d’une mutation génétique les prédisposant au cancer, soit parce qu’elles ne présentent pas de mutation identifiée mais un risque élevé de cancer étant donnée leur histoire familiale ou personnelle, doivent pouvoir bénéficier d’une prise en charge spécifique, basée sur la surveillance et/ou la chirurgie prophylactique, et adaptée aux différents risques tumoraux associés.
L’établissement d’un programme personnalisé de suivi constitue le point de départ indispensable de ce suivi à long terme au sein d’un réseau de partenaires clairement identifiés et qualifiés.
Suite à un premier appel à projets lancé par l’Institut national du cancer (INCa) en 2010, sept expériences pilotes ont engagé les actions nécessaires à la mise en œuvre de tels programmes de suivi.
Le bilan de ces expériences a confirmé leur intérêt de santé publique et démontré que l’informatisation des échanges constituait une étape indispensable au suivi à long terme, permettant d’améliorer la programmation des consultations et examens de suivi, ainsi qu’un rappel des rendez-vous planifiés.
La phase pilote ayant été concluante, l’INCa a lancé en 2012 un second appel à projets pour le déploiement national des dispositifs de suivi.
Le Réseau de cancérologie d’Aquitaine (RCA) est un groupement de coopération sanitaire qui a été retenu au terme de cet appel à projets pour le déploiement d’un dispositif de suivi dans les régions Limousin et Aquitaine, appelé dispositif « CaPLA » (Cancer Prédisposition Limousin Aquitaine).
Le dispositif CaPLA repose sur la collaboration entre le Réseau de cancérologie d’Aquitaine, les centres hospitaliers universitaires de Bordeaux et Limoges, ainsi que le centre de lutte contre le cancer « Institut Bergonié ».
La Commission est saisie par le RCA, sur le fondement des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, d’une demande d’autorisation relative au traitement automatisé de données de santé à caractère personnel inhérent à la mise en œuvre du dispositif CaPLA.
Sur la finalité du traitement :
Le dispositif CaPLA n’intervient pas dans les circuits de prise en charge au sein des établissements de santé partenaires mais est organisé autour d’une cellule de coordination interrégionale qui soutient les équipes locales en encadrant l’ensemble des missions transversales liées à la prise en charge multidisciplinaire des personnes à haut risque.
Les personnes restent libres de consulter les professionnels de leur choix mais leur intégration dans le dispositif CaPLA a pour objectif d’améliorer la diffusion de l’information et des recommandations de prise en charge concernant le suivi de ces personnes.
En cas de survenance d’un cancer, le suivi dans le cadre du dispositif CaPLA est mis en sommeil et la personne diagnostiquée entre dans un circuit de prise en charge classique en dehors du dispositif CaPLA.
Il est prévu que les données soient gérées initialement dans une application développée par le RCA, avec des accès strictement réservés aux personnels du RCA (pas de partage Internet).
Ultérieurement, sous condition de l’obtention d’un financement spécifique, le RCA pourrait envisager d’externaliser le traitement dans une application commerciale hébergée chez un hébergeur agréé de données de santé (HDS), accessible à distance par le réseau Internet.
Le traitement projeté poursuit les finalités suivantes :
formaliser un suivi individualisé des personnes qui présentent un risque majoré de développer un cancer du fait d’antécédents familiaux et personnels ;
améliorer le suivi des personnes présentant une prédisposition génétique au cancer en permettant la constitution d’un dossier informatisé regroupant les informations et documents médicaux nécessaires à un dépistage et une prise en charge précoces des personnes suivies ;
harmoniser les outils diagnostics et les plans de suivi personnalisés par l’élaboration de référentiels communs, afin de garantir une plus grande fiabilité et homogénéité des pratiques professionnelles et une meilleure évaluation de celles-ci ;
gérer un annuaire de professionnels de santé impliqués dans le dispositif CaPLA, réservé à un usage interne ;
établir des statistiques à partir des données afin de produire des indicateurs d’activité.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Elle rappelle qu’en cas de réutilisation des données à des fins de recherche dans le domaine de la santé ou d’évaluation des pratiques de soins, il conviendra, le cas échéant, de se conformer aux dispositions des chapitres IX et X de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Concernant les patients, les données traitées et échangées portent sur :
l’identification (nom, prénom, sexe, date et lieu de naissance) ;
les coordonnées ;
les données médicales nécessaires au suivi personnalisé : notamment les données génétiques en lien avec la pathologie, les antécédents médicaux et chirurgicaux, les données relatives aux examens de suivi.
Les fiches d’inclusion, nécessaires à l’examen de chaque cas, sont établies selon un modèle standardisé.
Concernant les professionnels de santé chargés du suivi des patients, les données traitées ou échangées portent sur l’identification (nom, prénom, numéro d’inscription au répertoire partagé des professionnels de santé (RPPS), les coordonnées professionnelles et la spécialité.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
Le dossier fourni à l’appui de la demande précise que les données sont conservées jusqu’à la sortie de la personne du dispositif CaPLA, qui peut intervenir :
à tout moment, par la manifestation par la personne de sa volonté de voir son dossier fermé : dans ce cas, ses données seront encore hébergées pendant deux années afin de pouvoir éventuellement l’inclure à nouveau dans le dispositif. Sans manifestation spécifique de la part de la personne à expiration du délai de 2 ans, les données seront détruites ;
à la manifestation expresse de la personne de voir ses données supprimées avec effet immédiat : auquel cas ses données seront détruites sous un délai de trente jours ouvrés à compter de la réception de sa demande ;
à l’initiative du RCA quand la personne est perdue de vue ou quand elle décède.
La Commission estime que de telles durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 6-5° de la loi Informatique et Libertés.
A l’issue de cette période, les données pourront être conservées de façon anonymisée à des fins statistiques.
Pour considérer qu’un jeu de données est effectivement anonyme, deux solutions s’offrent au responsable de l’anonymisation.
La première consiste à évaluer les procédés d’anonymisation mis en œuvre préalablement à la diffusion des résultats du traitement à la lumière des trois critères suivants :
le jeu de données ne comporte pas de données individuelles ;
il n’est pas possible de corréler le jeu de données considéré comme anonyme avec un autre jeu de données ;
et il n’est pas possible d’en déduire de nouvelles informations sur des individus.
Si le jeu de données obtenu via le processus d’anonymisation respecte ces critères, il peut alors être considéré comme anonyme et le responsable de traitement devra rédiger une démonstration de conformité motivant sa conformité à chaque critère par les techniques et paramètres prévus, transmise à l’autorité de protection des données compétente.
En revanche, si les trois critères ne sont pas réunis, la deuxième solution consiste à mener une étude des risques de ré-identification, qui doit, en fonction du droit national, être soumise à l’autorité de protection des données compétente pour valider, ou non, le processus d’anonymisation proposé. Cette étude consiste à démontrer que les risques, liés à la publication du jeu de données anonyme, n’ont pas d’impact sur la vie privée et les libertés des personnes concernées.
Sur les destinataires des données :
Les destinataires des informations sont les professionnels de santé participant au dispositif, dûment habilités, dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à l’exercice de leurs missions.
Les membres de la cellule de coordination du dispositif CaPLA, au sein du RCA, seront également destinataires des données, sous la responsabilité du médecin coordonnateur du projet.
Enfin, un patient pourra être contacté directement par le dispositif CaPLA en cas de non réponse de ses médecins référents.
La Commission considère que la liste des destinataires du traitement est appropriée au regard de la finalité du traitement.
Sur l'information des personnes :
Les patients sont informés du fonctionnement du dispositif CaPLA, ainsi que des droits qui leur sont reconnus et des modalités d’exercice de ceux-ci, par la remise d’une note d’information individuelle sous format papier, rédigée dans le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée. Cette note d’information précise que le refus de participation au dispositif CaPLA est sans conséquence sur la prise en charge médicale de la personne.
L’inclusion des personnes requiert leur consentement éclairé et exprès ou celui de leurs représentants légaux, le cas échéant. Ce consentement sera recueilli par le médecin onco-généticien en contact direct avec la personne au cours d’une consultation effectuée dans l’un des centres participant au dispositif, à l’aide d’un document formalisant son accord.
La Commission demande qu’une information soit délivrée aux personnes sur les modalités d’hébergement de leurs données et que leur consentement soit recueilli pour l’hébergement des données de santé qui doit être réalisé auprès d’un hébergeur agréé à cet effet, conformément aux dispositions de l’article L. 1111-8 du code de la santé publique.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès et de rectification s’exercent en adressant un courrier postal au service en charge du dispositif CaPLA au sein du Réseau de cancérologie d’Aquitaine ou par l’intermédiaire d’un médecin.
Les patients ont la possibilité de quitter le dispositif CaPLA à tout moment sans conséquence sur la qualité des soins qui leur sont dispensés et ils en sont clairement informés.
La Commission estime que ces modalités d’exercice des droits reconnus par la loi Informatique et Libertés sont suffisantes.
Sur la sécurité des données et la traçabilité des actions :
Sur l’hébergement des données :
La Commission relève les circuits d’information suivants au sein du dispositif CaPLA :
la cellule de coordination du dispositif recueille des informations issues des établissements partenaires et des médecins du patient ;
ces informations sont reçues par courrier ou par messagerie sécurisée de santé, puis saisies localement dans l’application CaPLA par des attachés de recherche clinique ;
après définition d’un programme de suivi au long terme, le RCA adresse régulièrement aux médecins (ou sinon, aux patients), par courrier ou par messagerie sécurisée de santé, des relances afin de leur rappeler les examens de dépistage à  réaliser.
Dans la mesure où le dossier relatif à chaque participant au programme centralise des informations et documents médicaux produits au sein des différents établissements participant au dispositif CaPLA et par les médecins des patients, l’hébergement de ces données doit satisfaire aux conditions d’agrément telles que définies en application de l’article L. 1111-8 du code de la santé publique.
La Commission prend acte de l’engagement du responsable de traitement de conserver les données de santé auprès d’un hébergeur agréé à cet effet.
La Commission rappelle que, conformément aux dispositions de l’article L. 1110-4 du code de la santé publique, le contrôle d’accès aux données de santé doit être opéré par une authentification forte des professionnels de santé grâce à l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé.
Concernant les autres mesures :
Les habilitations d’accès au système d’information du dispositif CaPLA sont définies en fonction des attributions des intervenants et des données concernées et sont matérialisées sous forme de profils d’accès. Les procédures d’attribution, de gestion et de suppression des comptes et des profils sont formalisées dans un document propre au projet.
Les accès à l’application font l’objet d’une journalisation répertoriant le dossier, l’opération effectuée, l’identification de l’utilisateur et l’horodatage. Les personnels concernés sont informés de la mise en œuvre de ces mesures dans la charte d’utilisation du dispositif CaPLA.
La Commission recommande qu’un contrôle des traces soit effectué de manière automatique pour détecter les comportements anormaux et assorti d’une levée d’alerte. Elle recommande également que des mesures soient mises en œuvre pour assurer l’intégrité des traces associées aux actions effectuées sur les données de santé.
L’application CaPLA met en œuvre des procédés de chiffrement du transport des données (protocole HTTPS). La Commission recommande d’utiliser la version de TLS la plus à jour possible.
Une sauvegarde distante est effectuée avec une périodicité journalière, hebdomadaire et mensuelle ; les données et les flux sont sécurisés par chiffrement.
La Commission demande que l’accès au local de stockage des sauvegardes soit sécurisé au même niveau que celui du serveur principal.
La Commission recommande également que des procédures de continuité et de reprise d’activité soient formalisées et mises en œuvre, et que les opérations de maintenance soient strictement encadrées et surveillées.
La Commission relève que l’exploitation statistique des données se fera sur des extractions anonymisées.
En complément de cette mesure, elle recommande de réduire le risque de ré-identification des personnes en limitant les interrogations ciblées sur ces données et les détails produits dans les rapports.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise le groupement de coopération sanitaire Réseau de cancérologie d’Aquitaine à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité un dispositif de suivi des personnes prédisposées héréditairement au cancer.
La Présidente
I. FALQUE-PIERROTIN