La Commission nationale de l'informatique et des libertés,
Saisie par le Centre hospitalier régional universitaire (CHRU) de Besançon d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d'une étude portant sur les demandes d'euthanasie ou de suicide assisté en Bourgogne et Franche-Comté, intitulée  EPIDESA  ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 53 à 61 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'avis du Comité consultatif sur le traitement de l'information en matière de recherche dans le domaine de la santé (CCTIRS) en date du 21 mai 2014 ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le cadre juridique de la fin de vie est principalement déterminé par la loi du 22 avril 2005 relative aux droits des malades et à la fin de vie, dite  loi Leonetti , et de ses trois décrets d'application du 6 février 2006.
Le débat public sur ces questions a été relancé récemment à la lumière d'une proposition de loi  créant de nouveaux droits en faveur des malades et des personnes en fin de vie , adoptée en première lecture par l'Assemblée nationale le 17 mars 2015.
C'est dans ce contexte que le Centre hospitalier régional universitaire (CHRU) de Besançon a saisi la Commission nationale de l'informatique et des libertés d'une demande d'autorisation relative à la mise en œuvre d'un traitement de données à caractère personnel ayant pour finalité la réalisation d'une étude sur les demandes d'aide à mourir,  d'euthanasie et de suicide assisté , en Bourgogne et Franche-Comté.
Cette étude multicentrique, intitulée  EPIDESA , a pour objectif d'évaluer le nombre et la fréquence annuelle de telles demandes en Bourgogne et Franche-Comté et de caractériser ces situations de fin de vie complexes, quel que soit le lieu de formulation de la demande.
L'étude EPIDESA est organisée en trois étapes :
-	la première étape consiste en un signalement des demandes d'euthanasie ou de suicide assisté, par tout médecin ou personnel soignant exerçant dans les deux régions, auprès des équipes mobiles de soins palliatifs (EMSP) interrégionales ;
-	la seconde étape, qui vise à rechercher les caractéristiques des situations et des demandes, consiste pour le médecin investigateur de l'EMSP concernée à remplir un questionnaire d'analyse de la demande avec l'aide du professionnel l'ayant signalée ;
-	enfin, la troisième étape consiste à évaluer l'évolution de la demande au moyen d'un questionnaire de suivi renseigné par les mêmes acteurs, entre 7 et 15 jours après la formulation de la demande.
Le président du Conseil national de l'ordre des médecins a par ailleurs attiré l'attention de la Commission sur les conditions de réalisation de l'étude EPIDESA.
La Commission considère qu'il y a lieu de faire application des dispositions du chapitre IX de la loi Informatique et Libertés qui soumettent à autorisation les traitements de données à caractère personnel ayant pour finalité la recherche dans le domaine de la santé.
En particulier, l'article 54 de la loi Informatique et Libertés prévoit que le Comité consultatif sur le traitement de l'information en matière de recherche dans le domaine de la santé (CCTIRS) doit rendre un avis préalable sur la méthodologie de la recherche au regard des dispositions de la loi, la nécessité du recours à des données à caractère personnel et la pertinence de celles-ci par rapport à l'objectif de la recherche.
En premier lieu, la Commission relève que le CCTIRS a été saisi d'un dossier sensiblement différent de celui soumis à la Commission, notamment en ce qui concerne les modalités d'information des personnes. En effet, contrairement à ce qui a été présenté au CCTIRS dans le dossier préalable à son avis favorable du 15 mai 2014, prévoyant des modalités d'informations des personnes concernées au travers, notamment, d'une note d'information prévue à cet effet, il ressort du dossier présenté à la CNIL que le protocole a été modifié de sorte que les personnes concernées ne seraient informées ni du traitement de leurs données à caractère personnel, ni des droits qui leur sont reconnus par la loi Informatique et Libertés. A cet effet, le responsable de traitement a sollicité une dérogation à l'obligation d'information dans le dossier soumis à la Commission.
Dans ces conditions, la Commission estime que le CCTIRS n'a pu analyser en pleine connaissance de cause le projet de recherche qui lui a été soumis.
En second lieu, la Commission rappelle, d'une part, que l'article 57 de la loi Informatique et Libertés pose le principe d'une obligation d'information préalable et individuelle et, d'autre part, que l'article 36 du décret n° 2005-1309 du 20 octobre 2005 en précise les modalités.
La Commission relève qu'en l'espèce, le responsable de traitement justifie sa demande de dérogation à l'obligation d'information en s'appuyant sur les éléments suivants :
-	l'information sur l'étude risquerait de modifier la demande du malade et donc d'altérer la validité des résultats ;
-	il n'y aurait pas de contact avec les malades car les données sont collectées par les médecins des EMSP au cours d'un échange avec le professionnel qui a signalé la demande d'euthanasie ou de suicide assisté ;
-	l'organisation de l'étude nécessiterait une rigueur temporelle et une réactivité importante au cours des trois étapes de l'étude (questionnaires remplis dans les sept jours après la formulation de la demande pour les deux premières phases puis questionnaire de suivi rempli entre sept et quinze jours après la demande). L'information des personnes risquerait de retarder la réalisation des formulaires et provoquer un biais de recrutement ;
-	les données recueillies ne sont pas directement nominatives et ne permettent pas l'identification directe des malades.
L'article 57 précité prévoit limitativement deux exceptions au principe d'information préalable et individuelle, dans les hypothèses suivantes :
-	 (...) si, pour des raisons légitimes que le médecin traitant apprécie en conscience, le malade est laissé dans l'ignorance d'un diagnostic ou d'un pronostic grave.  ;
-	 Dans le cas où les données ont été initialement recueillies pour un autre objet que le traitement, il peut être dérogé à l'obligation d'information individuelle lorsque celle-ci se heurte à la difficulté de retrouver les personnes concernées.
Dans la mesure où, en l'espèce, les personnes concernées ne sont ni dans l'ignorance d'un pronostic grave, ni dans l'impossibilité d'être retrouvées puisque les données de l'étude sont fournies par les professionnels de santé qui les prennent en charge, la Commission estime qu'aucun des arguments avancés par le responsable de traitement ne permet de satisfaire aux conditions posées par l'article 57, alinéas 2 et 3, de la loi Informatique et Libertés.
Dès lors, aucune exception précitée n'est susceptible de trouver application au traitement envisagé en l'espèce.
Dans ces conditions, et sans méconnaître l'intérêt des recherches scientifiques sur la fin de vie, la Commission n'autorise pas le Centre hospitalier régional universitaire (CHRU) de Besançon à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la réalisation de l'étude portant sur les demandes d'euthanasie ou de suicide assisté en Bourgogne et Franche-Comté, intitulée  EPIDESA .
La Présidente
I. FALQUE-PIERROTIN