La Commission nationale de l'informatique et des libertés,
Saisie par le Centre hospitalier universitaire de Lille d’une demande d’autorisation concernant un registre de patients atteints de la maladie de Crohn ou de rectocolite hémorragique ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-II-8° et 54 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments, et notamment l’analyse d’impact relative à la vie privée produite en date du 02 octobre 2018 ;
Sur la proposition de M. Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le Centre hospitalier universitaire (CHU) de Lille.
Sur la finalité
Crée en 1988, Epimad a été le premier système français d'enregistrement des nouveaux cas de maladies inflammatoires chroniques de l’intestin ( MICI ) dans la région Nord-Ouest de la France.
Epimad a fait l’objet d’un avis réputé favorable par la Commission le 08 décembre 1998.
Epimad a reçu la qualification de Registre par la Commission nationale des registres en 1992.
Cette qualification a été renouvelée en 1996, 2000, 2004, 2008 et 2012.
L’objectif principal du registre Epimad est de connaître l’incidence, c'est-à-dire le nombre de nouveaux cas par an et pour 100 000 habitants, de la maladie de Crohn ( MC ) et de
la rectocolite hémorragique ( RCH ) dans 4 départements du nord de la France : le Nord, le Pas-de-Calais, la Somme et
la Seine-Maritime (soit au total une population de plus de 5,8 millions d'habitants). A ce jour, 950 cas incidents, en moyenne, sont enregistrés par an.
L’objectif secondaire est de réaliser, à partir de la base de données constituée dans le cadre du registre, des études analytiques à partir d'hypothèses étiopathogéniques de ces maladies.
Le registre Epimad a été renouvelé pour 5 ans par le comité d’évaluation des registres le 1

Dans cette perspective, le CHU de Lille a souhaité présenter à la Commission le fonctionnement actualisé du registre Epimad, dans le cadre d’une demande d’autorisation.
Le traitement a pour base légale l’exercice d’une mission d’intérêt public, au sens de l’article 6-1-e du Règlement européen sur la protection des données (ci-après, le RGPD).
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b du RGPD.
Elle estime qu’il y a lieu de faire application des dispositions de l’article 8-II 8° et 54 de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
La Commission rappelle que les traitements de données de santé à caractère personnel qui seront mis en œuvre, à des fins de recherche dans le domaine de la santé, à partir des données contenues dans le registre sont des traitements distincts qui doivent faire l’objet de formalités propres au titre du chapitre IX de la loi Informatique et Libertés .
Sur les données traitées
La source principale des données est constituée par l'ensemble des gastro-entérologues adultes et pédiatriques des départements concernés, quel que soit leur mode d’exercice.
Les données suivantes sont recueillies :
nom de naissance ; nom d’usage ; prénom ; date de naissance ; commune de naissance ; adresse de résidence au moment du diagnostic ;
données relatives à l’ensemble des critères diagnostiques des MICI ; lésions du côlon ; présence d'un granulome avec cellules epithélioïdes et giganto-cellulaires sur des
biopsies ou des spécimens chirurgicaux ; histoire clinique de diarrhée et/ou de douleurs abdominales ; existence de fistule et/ou d'abcès en relation avec la maladie inflammatoire digestive ; lésions de l'intestin grêle avec ou sans atteinte colique ; histoire clinique de diarrhée et/ou de rectorragies ; spécimens chirurgicaux ou nécroptiques macroscopiquement typiques de RCH etc.
Les nom, prénoms, sexe et date de naissance des patients inclus, sont recueillis sur un cahier, associés à un numéro de dossier.
Les dossiers servant à recueillir les informations socio -démographiques et médicales sont identifiées par ce numéro de dossier.
Deux sources secondaires de données sont utilisées :
les données du PMSI et celles des laboratoires d’anatomo-pathologie (pour le département de la Somme).
Les fichiers PMSI, fournis par les DIM sous forme chiffrée, comportent uniquement une liste de noms, prénoms, sexes et dates de naissance des personnes atteintes d’une MICI. Aucune information médicale ne leur est associée. L’utilité de ces listes est de permettre de contrôler l’exhaustivité du registre et de le compléter si nécessaire avec les cas incidents non détectés par les sources principales de données (les gastro-entérologues), en retournant consulter les dossiers médicaux des patients.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur les destinataires
les équipes de chercheurs du registre Epimad du centre hospitalier universitaire de Lille ;
les équipes de chercheurs du centre hospitalier d’Amiens ;
les équipes de chercheurs du centre hospitalier de Rouen.
La Commission considère que les catégories de destinataire n’appellent pas d’observation.
Sur l’information et les droits des personnes
Chez les gastro-entérologues exerçant en libéral, l’information est délivrée, en salle d’attente, par voie d’affichage.
Chez les gastro-entérologues exerçant dans des centres hospitaliers publics ou privés, un encart est inséré dans le livret d’accueil remis aux patients.
Les droits des personnes concernées s’exercent auprès des médecins responsables du registre.
La Commission demande que les supports d’information soient complétés afin de contenir l’ensemble des mentions prévues par les articles 13 et 14 du RGPD.
Sous réserve de la modification des documents d’information, la Commission considère que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission prend note du fait que le responsable de traitement impose une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) pour tout accès aux données de santé.
La Commission prend note du fait que les informations sont transmises de façon chiffrée en utilisant un algorithme à l’état de l’art et pour lesquels les secrets sont transmis par un canal dissocié.
L'ensemble des données de santé à caractère personnel traitées sont hébergées auprès d’un hébergeur agréé dans les conditions du décret n° 2006-6 du 4 janvier 2006.
Les accès au traitement se font via le protocole HTTPS, qui permet de garantir la confidentialité des données échangées ainsi que l'authentification du responsable de traitement. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible.
Enfin, un niveau de traçabilité suffisant est mis en œuvre.
La Commission considère que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la durée de conservation des données
Un registre a pour vocation, entre autres, d’étudier les évolutions de l’incidence d’une maladie. Pour ce faire, toutes les données enregistrées depuis la création du registre sont nécessaires.
Le registre a besoin de disposer des données sur une longue période, à savoir 30 ans en base active et 30 ans en base archives.
La Commission considère que ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Autorise, le centre hospitalier universitaire de Lille, conformément à la présente délibération, à mettre en œuvre le traitement susmentionné.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS