(demande d’autorisation n° 1894953)
La Commission nationale de l'informatique et des libertés,
Saisie par le laboratoire Roche d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’anonymisation d’un jeu de données issues de recherches dans le domaine de la santé dans le cadre d’un partenariat avec l’association La Paillasse ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25 et 32-III ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie d’une demande d’autorisation portant sur la mise en œuvre d’un traitement d’anonymisation de données à caractère personnel issues de douze recherches dans le domaine de la santé dont le laboratoire Roche est le promoteur.
Le dossier produit à l’appui de la demande prévoit que les données seront, après avoir été anonymisées, transmises, dans une démarche de mise à disposition pour réutilisation, à l’association La Paillasse dans le cadre du projet Epidemium.
Ce projet est un programme de recherche scientifique participatif et ouvert, destiné à améliorer la compréhension du cancer. Il est né de la collaboration entre l'association La Paillasse et le laboratoire Roche.
L’objectif est de permettre à une communauté de chercheurs d’avoir accès à des jeux de données provenant de sources différentes à des fins de recherche. L’originalité de l’approche scientifique d’Epidemium réside dans l’analyse de données ouvertes, hétérogènes et de sources multiples, en s’appuyant sur les nouvelles technologies et sur des compétences et expertises complémentaires.
Epidemium comporte en particulier un « concours » dénommé « Challenge4Cancer » au cours duquel les participants seront amenés à concevoir et développer des projets innovants dans le domaine de l’épidémiologie du cancer.
Sur la finalité du traitement :
Le traitement a pour finalité la mise en œuvre d’un processus d’anonymisation de données issues de douze programmes de recherche dans le domaine de la santé dont le laboratoire Roche est le promoteur et qui ont préalablement été autorisés par la Commission sur le fondement du chapitre IX de la loi du 6 janvier 1978 modifiée (ci-après loi Informatique et Libertés).
La Commission estime que la finalité du traitement est déterminée, explicite et légitime au sens de l’article 6 de la loi Informatique et Libertés. La Commission considère que ce traitement ultérieur des données issues des douze programmes de recherche ne constitue pas un traitement incompatible avec les finalités initiales de leur collecte.
S’agissant d’un traitement de données à caractère personnel relatives à la santé poursuivant un objectif de transparence et de mise à disposition de données issues de la recherche dans une finalité de santé publique, la Commission considère qu’il y a lieu de faire application des dispositions prévues aux articles 8-IV et 25-I-1° de la loi Informatique et Libertés.
Sur la nature des données traitées :
Les données anonymisées sont des données issues de douze études cliniques non interventionnelles dont le laboratoire Roche est le promoteur. Ces données sont les suivantes :
type de la pathologie (tumeur solide, colorectal, poumon, sein, leucémie lymphoïde chronique, lymphome, myélome) ;
données démographiques (âge, sexe, ECOG, Index de Karnovsky) ;
signes vitaux (taille, poids, pression artérielle) ;
histoire de la maladie (ancienneté, localisation, statut et stade en fonction de la maladie) ;
antécédents médicaux / comorbidités ;
traitements en cours à l’inclusion (hors traitement à l’étude) ;
paramètres biologiques (nom du paramètre biologique, valeur convertie).
La Commission estime que les données sont pertinentes au regard de la finalité poursuivie.
Sur l’anonymisation des données :
Les données dont il est envisagé la mise à disposition sont des statistiques établies à partir des données codées initialement détenues par le laboratoire Roche dans le cadre d’études cliniques autorisées par la CNIL.
L’article 2 de la loi informatique et libertés prévoit qu’une « donnée à caractère personnel est toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres ». Afin de déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne. A l’inverse, lorsqu’une donnée subit un processus d’anonymisation, elle perd son caractère identifiant et n’est donc plus une donnée à caractère personnel au sens de la loi du 6 janvier 1978 modifiée. Les données traitées dans le cadre du processus d’anonymisation sont des données à caractère personnel. C’est ce traitement qui fait l’objet de la demande d’autorisation formée auprès de la Commission.
La Commission constate, sur la base des éléments fournis à l’appui du dossier, que le processus d’anonymisation est conforme aux règles de l’art.
La Commission relève qu’un comité scientifique et un comité d’éthique ont été constitués dans le cadre du projet. Ce dernier a établi une charte devant être respectée par les participants au challenge, qui devront notamment s’engager à ne pas réidentifier les personnes ayant pris part aux recherches dont les données seront préalablement anonymisées par le laboratoire Roche.
Sur les droits des personnes :
Une large majorité des 8000 personnes concernées par la mise à disposition des données issues de ces douze recherches sur les pathologies cancéreuses sont décédées. En outre, les coordonnées de ces patients sont réparties dans 1400 centres investigateurs (hôpitaux, cliniques et centres anti-cancéreux) répartis sur l’ensemble du territoire. Ces études ayant eu lieu entre 2003 et 2013, les médecins investigateurs ont également souvent changé de lieu d’exercice. La société Roche estime que l’information des personnes sur le traitement d’anonymisation et la mise à disposition qui seront effectués sur leurs données exigerait des efforts disproportionnés au regard de l’intérêt du dispositif mis en œuvre, au sens de l’article 32-III de la loi du 6 janvier 1978 modifiée.
Compte tenu de ces éléments, la Commission considère que la société Roche peut se prévaloir des dérogations à l’information des personnes, conformément aux dispositions de l’article 32-III, alinéa 2 de la loi du 6 janvier 1978 modifiée.
Les données personnelles ayant fait l’objet d’un processus d’anonymisation, la Commission prend acte de ce qu’aucun des droits prévus aux articles 38 à 40 de la même loi ne pourra s’exercer.
Sur les destinataires des données :
Les données anonymisées par le biais du processus précité seront confiées par le laboratoire Roche à l’association La Paillasse pour mise à disposition de la communauté notamment de chercheurs participant au Challenge4Cancer. Ces participants peuvent être toute personne, morale ou physique, ayant accepté sans réserve les clauses du règlement du challenge. Ces clauses prévoient que les porteurs de projets devront notamment respecter les dispositions légales en vigueur et la confidentialité des données fournies dans le cadre du challenge.
Dans ces conditions, la Commission autorise le laboratoire Roche à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité l’anonymisation d’un jeu de données issues de recherches dans le domaine de la santé dans le cadre d’un partenariat avec l’association La Paillasse.
La Présidente
I. FALQUE-PIERROTIN