La Commission nationale de l'informatique et des libertés,
Saisie par le Centre Oscar Lambret, par courrier du 17 novembre 2011, d'une demande d'autorisation modificative relative aux traitements automatisés nécessaires à l'expérimentation d'un dispositif biométrique de contrôle de l'identité des patients pris en charge en radiothérapie, le bilan produit à l'appui de cette demande lui ayant été communiqué le 9 mai 2012 ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 6-3° et 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n°2010-033 du 11 février 2010 autorisant la mise en œuvre par le Centre Oscar Lambret de Lille d'un traitement de données à caractère personnel reposant sur la reconnaissance de l'empreinte digitale avec base centralisée et ayant pour finalité le contrôle de l'identité des patients pris en charge en radiothérapie ;
Après avoir entendu M. Jean Massot, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le Centre Oscar Lambret a saisi la CNIL d'une demande d'autorisation modificative relative aux traitements automatisés nécessaires à l'expérimentation d'un dispositif biométrique de contrôle de l'identité des patients pris en charge en radiothérapie. Ce dispositif a pour objet de renforcer la sécurité des personnes prises en charge, en limitant les risques d'erreur d'identification de ces personnes.
La demande tend d'une part, à substituer au dispositif d'identification biométrique initial fondé sur l'empreinte digitale un dispositif bimodal combinant empreinte digitale et réseau veineux du doigt et d'autre part, à mener une nouvelle expérimentation pendant un an et à l'étendre aux malades hospitalisés et âgés de moins de 15 ans.
Le bilan produit à l'appui de cette demande et nécessaire à son examen a été adressé à la CNIL le 9 mai 2012.
Rappel du contexte
1. Le Département Universitaire de Radiothérapie du Centre Oscar Lambret de Lille, Centre régional de lutte contre le cancer du Nord-Pas-de-Calais, prend en charge 300 patients par jour.
Si l'identification des patients à toutes les étapes de leur prise en charge est une priorité soulignée par la Haute Autorité de Santé (HAS), c'est particulièrement le cas dans le cadre des traitements en radiothérapie compte tenu de leurs spécificités : il s'agit, en effet, d'une prise en charge thérapeutique nécessitant plusieurs séances hebdomadaires étalées sur plusieurs semaines (en moyenne 20 séances par patient pendant une durée variant de 4 à 7 semaines, à raison de 5 séances par semaine), effectuée avec des équipements de très haute technologie entièrement pilotés par le système informatique, en présence de personnels mobiles qui travaillent en flux tendu.
Une multitude d'acteurs du système de soins (personnel d'accueil, radiothérapeute, manipulateurs...) interviennent dans le cadre de cette prise en charge. En outre, le nombre de patients pris en charge augmente chaque année tandis que la durée de la prise en charge diminue (10 à 12 minutes pour l'ensemble de la prise en charge).
Ces conditions particulières de prise en charge impliquent des garanties d'identification toujours plus drastiques, afin de se prémunir contre les erreurs et les risques qui pourraient découler d'une mauvaise identification d'un patient.
2. A cette fin, le Centre Oscar Lambret a souhaité expérimenter un dispositif biométrique destiné à permettre, avant tout traitement, de certifier la concordance entre le patient présent dans la salle de traitement et celui identifié par le système d'information afin de garantir que le bon traitement soit administré au bon patient.
Il a fait le choix d'un dispositif reposant sur la reconnaissance de l'empreinte digitale, assortie de la constitution d'une base centralisée, dispositif que la Commission n'admet que dans les cas où un fort impératif de sécurité le justifie et ne peut être atteint par une technique moins intrusive au regard de la protection des données.
Sur ce point, la Commission a constaté que l'identification certaine de la personne soignée est un enjeu majeur de la sécurité sanitaire et que l'  identitovigilance  occupe une place particulière en matière de radiothérapie, compte tenu du nombre de patients traités, de l'automatisation du traitement et des conséquences d'une erreur dans ce domaine. Il est impératif d'éviter que les patients soient exposés à un risque d'irradiation inappropriée, susceptible d'avoir des conséquences graves, voire irréversibles pour leur santé.
La Commission a relevé, en outre, que le dispositif retenu répondait à des contraintes liées à la maladie ou au traitement des patients. En effet, le Centre Oscar Lambret a précisé s'être orienté vers un dispositif biométrique fondé sur l'empreinte digitale plutôt que le réseau veineux, technique biométrique sans trace, dans la mesure où il a été constaté, sur le plan scientifique, que la pathologie ou les effets secondaires de la chimiothérapie, souvent associée à la radiothérapie, étaient de nature à  modifier significativement dans le temps le réseau veineux superficiel  des sujets malades, ce qui n'a pas été démontré pour l'empreinte digitale. De même, il est apparu qu'une solution reposant exclusivement sur l'enregistrement du gabarit biométrique sur un support individuel détenu par le patient n'apporterait pas un niveau de sécurité équivalent à celui recherché, dans la mesure où certains patients, en raison de leur maladie ou leur âge, seraient susceptibles de perdre ou d'oublier leur carte ou tout autre support externe. Enfin, tout système non biométrique porté sur le patient (bracelet, tatouage...) avait été jugé inacceptable, compte tenu de son caractère visible, donc stigmatisant.
Dans ces conditions particulières et en l'état de ses connaissances, la Commission a considéré que le recours à la reconnaissance de l'empreinte digitale avec stockage dans une base centralisée répondait à une finalité légitime et pouvait apparaître adapté et proportionné au regard de cette finalité pour l'expérimentation projetée.
La Commission a donc autorisé, par délibération n°2010-033 du 11 février 2010, le Centre Oscar Lambret à expérimenter ce dispositif pendant un an afin d'en tester l'efficacité, la faisabilité, ainsi que l'acceptabilité par les patients et les personnels soignants.
Elle a subordonné son autorisation à un certain nombre de garanties et d'engagements pris par le Centre Oscar Lambret. Elle a demandé, en particulier, que le système soit paramétré de façon à limiter le taux de fausses acceptations et que lui soit communiqué, au terme de l'expérimentation, un bilan portant sur l'acceptabilité et la faisabilité du projet qui comporterait, notamment, une évaluation de la fiabilité de la reconnaissance biométrique des personnes malades par empreinte digitale.
3. L'expérimentation s'est déroulée de février à décembre 2011 et a porté sur 1901 patients pris en charge au cours de plus de 32 606 séances de radiothérapie.
Le bilan adressé à la CNIL montre que si le dispositif biométrique est bien accepté par les patients et bien intégré dans les pratiques du personnel, l'acquisition d'empreintes de qualité, dans la configuration actuelle, suppose plusieurs tentatives de capture et s'avère impossible pour 5% des patients, compte tenu d'une altération de l'empreinte digitale due à l'âge, à la prise de produits de chimiothérapie ou à l'exercice de professions qui impliquent l'utilisation de produits corrosifs.
Le bilan montre également qu'en l'état, le dispositif biométrique expérimenté ne permet pas de supprimer les erreurs d'identification des patients ou de les limiter de manière significative. En effet, lors de l'audition du Centre Oscar Lambret le 28 janvier 2010, il avait été indiqué que le risque d'accident lié à une erreur relevant d'une absence de concordance entre le patient traité et le patient identifié dans le système informatique était de l'ordre de 1 cas pour 10 000 actes. Les résultats de l'expérimentation montrent qu'il existe une erreur d'identification dans 17 cas pour 28 391 séances, présentant ainsi un risque d'accident pour 6 cas pour 10 000 actes. Si le système a provoqué 17 fausses acceptations entrainant une erreur d'identification du patient, c'est le contrôle humain systématique effectué par le manipulateur à l'aide de la photographie du patient qui a permis de prévenir les accidents. Dès lors, la Commission constate que l'intérêt de santé public du dispositif n'a pas encore à ce stade été démontré par l'expérimentation.
C'est dans ces conditions que le centre Oscar Lambret souhaite améliorer les performances de l'identification biométrique des patients en ayant recours à un dispositif bimodal permettant l'acquisition simultanée de l'empreinte digitale et du réseau veineux du doigt, stockés dans une base centralisée. Il souhaite conduire une nouvelle expérimentation de ce dispositif pendant un an pour en apprécier la fiabilité et le service rendu pour la sécurité des patients. Il souhaite, enfin, étendre le périmètre de l'expérimentation initiale aux patients hospitalisés et de moins de 15 ans qui en sont exclus.
Appréciation du traitement au regard de la loi du 6 janvier 1978 modifiée
En application de l'article 6-3° de la loi du 6 janvier 1978 modifiée, il appartient à la Commission de déterminer si le traitement projeté porte sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission estime que la légitimité du recours à la biométrie dépend avant tout de la fiabilité de l'identification biométrique de la personne malade et de sa capacité à limiter, voire à supprimer, les erreurs d'identification des patients.
Elle constate que la fiabilité de l'identification biométrique des personnes malades par le réseau veineux a été mise en doute par le Chef du Département Universitaire de Radiothérapie du Centre Oscar Lambret et Président de la Société française de radiothérapie, lors de son audition par la CNIL en janvier 2010.
C'est d'ailleurs cet argument qui avait conduit la Commission à autoriser l'utilisation d'un dispositif à biométrie  avec traces  alors qu'il aurait pu être préférable d'utiliser un dispositif  sans trace  du type réseau veineux du doigt. On peut, dès lors, s'interroger sur l'amélioration susceptible d'être apportée par le dispositif examiné par la CNIL.
Cependant, la Commission reconnaît qu'il n'est pas exclu, toutefois, que la combinaison des deux systèmes soit de nature à compenser les défaillances d'une biométrie par une autre.
Dès lors, dans la mesure où le dispositif examiné pourrait être susceptible d'apporter des garanties supplémentaires dans le processus d'identification des patients, de nature à les rassurer et à faciliter le travail du personnel soignant, la Commission admet l'intérêt qui s'attache à l'expérimentation du dispositif examiné.
Elle estime toutefois que pour permettre une comparaison utile des dispositifs testés, l'expérimentation doit être menée à périmètre constant et ne pas être étendue à d'autres catégories de patients.
La Commission rappelle en outre que :
- Le dispositif est subordonné au consentement éclairé et préalable du patient ou des personnes habilitées par la loi à le représenter.
A cet égard, la CNIL demande que la note d'information, ainsi que le formulaire de recueil du consentement, soient remis au patient par le service d'accueil de l'hôpital à l'appui d'une information orale. Elle demande également que la note présente clairement le nouveau dispositif biométrique expérimental, précise qu'il existe un système alternatif d'identification des patients et qu'un refus de participer à l'expérimentation sera sans conséquence sur la prise en charge médicale ou le délai d'attente. Elle demande, enfin, qu'un délai de réflexion suffisant soit laissé au patient préalablement au recueil de son accord.
- La durée de conservation des données biométriques doit être limitée à la durée de la prise en charge thérapeutique du patient.
- Le système doit être paramétré de façon à garantir la sécurité des patients. La Commission estime donc nécessaire que le Centre Oscar Lambret paramètre le système de sorte que le taux de fausses acceptations soit strictement inférieur au taux d'erreurs constaté pour les procédures uniquement  manuelles . La CNIL recommande à cet égard d'utiliser un taux d'une fausse acceptation pour 100 000 identifications sur les terminaux.
D'autres pistes peuvent également être explorées comme le fait de comparer les données biométriques du patient à un sous-ensemble de la base de données (par exemple, les patients ayant rendez-vous dans le créneau horaire concerné) pour réduire le taux de mauvaises identifications.
- Un contrôle automatique d'identité est effectué à l'aide du système bimodal, mais il faut que ce soit le manipulateur qui, in fine, prenne la décision de lancer le traitement après un contrôle humain de l'identité du patient.
Il importe, en effet, de veiller à ce que la technique vienne à l'appui de l'organisation du service et de la vigilance du personnel sans s'y substituer. C'est pourquoi le Centre Oscar Lambret doit conférer aux personnels soignant un rôle premier pour garantir la sécurité de leur activité. Il lui appartient donc de former et de sensibiliser les manipulateurs sur ce point.
- Enfin, la Commission rappelle sa demande précédemment formulée d'obtenir, à l'appui de toute demande de généralisation, un bilan précis et complet des résultats de l'expérimentation du dispositif portant, en particulier, sur la fiabilité de la reconnaissance biométrique des personnes malades et l'impact, positif ou négatif, du dispositif sur la sécurité des patients. Elle demande, en outre, au Centre Oscar Lambret, une étude sur les causes d'erreur d'identification des patients au sein du centre permettant, ainsi, une appréciation comparée des moyens d'  identitovigilance  traditionnels et biométriques expérimentés.
Dans ces conditions, la Commission autorise le Centre Oscar Lambret à mettre en œuvre, à titre expérimental, le traitement de données à caractère personnel présenté pendant une durée de un an à compter de la présente délibération, dans les conditions définies par elle dans la présente délibération et dans sa délibération précitée du 11 février 2010.
La Présidente
Isabelle FALQUE-PIERROTIN