(Autorisation n°910504)
La Commission nationale de l’informatique et des libertés,
Saisie par l’Institut national d’études démographiques (INED), le 9 décembre 2010, d’une demande d’autorisation relative aux applications informatiques qui seront nécessaires au lancement de la cohorte Elfe.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°51-711 du 7 juin 1951 modifiée relative à l’obligation, la coordination et le secret en matière de statistiques ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment ses articles 54 et suivants ;
Vu les articles 371 et suivants du Code civil ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Après avoir entendu, Mme Marie-Hélène Mitjavile, commissaire en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par l’Institut National d’Etudes Démographique (INED), le 9 décembre 2010, d’une demande d’autorisation relative au lancement d’une étude longitudinale pluridisciplinaire d’envergure sur le développement de l’enfant en France, baptisée « Elfe », étude longitudinale française depuis l’enfance.
Présentation de l’étude « Elfe »
Cette enquête sera réalisée auprès d’un échantillon de vingt mille enfants nés en France en 2011 qui seront suivis de la naissance à l’âge adulte. L’objectif est de mieux comprendre comment l’environnement affecte, depuis la période intra-utérine jusqu’à l’âge adulte, le développement des enfants, leur santé, leur socialisation et leur parcours scolaire.
La Commission relève que la cohorte Elfe est la première étude longitudinale pluridisciplinaire sur le développement des enfants en France. Sa constitution est souhaitée par diverses instances politiques depuis plus de 10 ans, l’impulsion la plus déterminante étant venue du Plan national Santé-environnement de 2004.
L’enquête a reçu le soutien institutionnel de l’Institut National de la Statistique et des Recherches Economiques (Insee), l’Institut de veille sanitaire (InVS), la Direction de la Recherche, des études, de l’Evaluation et de la Statistique (Dress), la Direction générale de la santé (DGS), la Caisse Nationale des Allocations Familiales (CNAF). Elle est financée par les ministères en charge de la Recherche, de la Santé et de l’Ecologie, de l’Energie et du développement durable et s’inscrit dans le projet « Grand emprunt » 2012.
Une unité mixte Ined-Inserm a été créée en mars 2010 pour servir de support à la cohorte Elfe. Cette unité comprend un « comité de pilotage » composé des institutions précitées, un « comité scientifique » chargé de définir les grandes orientations du projet et un « groupe d’éthique » régulièrement consulté.
Sur la finalité de l’enquête
La Cohorte Elfe a pour finalité de constituer un outil pour la définition de politiques familiales et de santé publique et pour la recherche et la surveillance épidémiologiques.
- Les résultats de cette enquête permettront de formuler, à destination des pouvoirs publics, des recommandations de politiques sociales et de santé publique, d’orienter et de réévaluer les stratégies à adopter pour optimiser la croissance et le développement des enfants en France. Des études de cohortes analogues existant également à l’étranger, des comparaisons sur les conditions de développement des enfants seront permises d’un pays à l’autre.
- La base de données épidémiologiques ainsi constituée a vocation à être mise à disposition de l’ensemble de la communauté des chercheurs, à travers une plateforme de recherche et à permettre la mise en œuvre d’études spécifiques ultérieures.
L’élaboration du projet a mobilisé 60 équipes de recherche et plus de 90 projets de recherche sont prévus sur différents thèmes. Il s’agit, notamment, d’identifier parmi les agents polluants de l’environnement, ceux qui présentent un risque pour les personnes vulnérables, d’établir de nouvelles courbes de croissance destinées au carnet de santé, de mieux connaître les pratiques en matière d’alimentation précoce du jeune enfant, d’étudier les inégalités sociales de santé chez l’enfant, de mesurer les effets des changements de comportements conjugaux et de l’émergence des familles monoparentales ou recomposées sur le développement social, sanitaire et scolaire de l’enfant, de mesurer l’impact de l’exposition aux médias et aux nouvelles technologies sur son développement physique et intellectuel.
La Commission rappelle que cette enquête a été précédée d’une phase « pilote », autorisée par la CNIL en 2007 auprès d’un échantillon de 300 familles, qui avait pour finalité principale de tester l’acceptabilité de l’étude, la faisabilité du recueil des données et la pertinence des questions posées, ainsi que le recueil, le traitement et le stockage des prélèvements biologiques. Un bilan de l’étude a été communiqué à la CNIL à sa demande ; il a permis de constater un taux de participation satisfaisant des familles, compte tenu des spécificités de l’enquête.
Objet de la demande d’autorisation
La présente demande d’autorisation porte sur la première phase de collecte des données et leur stockage. Elle couvre le recrutement des 20 000 enfants de l’échantillon, l’enquête nationale en maternité et l’enquête téléphonique à 6-8 semaines.
Cette étude relève du champ d’application du chapitre IX de la loi du 6 janvier 1978 modifiée en 2004 (articles 54 et suivants), relatif aux traitements de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé, qui permet d’autoriser, sous certaines conditions, les transmissions de données médicales identifiantes entre professionnels de santé et organismes de recherche par dérogation au secret médical, tout en conférant des droits aux personnes concernées. Ces traitements sont soumis à l’autorisation préalable de la Commission après avis du Comité Consultatif sur le Traitement de l’Information en matière de Recherche dans le domaine de la Santé (CCTIRS).
Le CCTIRS a rendu un avis favorable à l’enquête objet de la présente demande.
Sont également applicables les dispositions de la loi n°51-711 du 7 juin 1951 sur l’obligation, la coordination et le secret en matière de statistiques et de ses textes d’application ; et à ce titre, l’enquête objet de la présente demande a reçu le label d’intérêt général et de qualité statistique du Conseil national de l’information statistique (CNIS).
Sur l’objet du traitement
Constitution de l’échantillon de l’enquête
Pour permettre la réalisation de l’enquête, un échantillon de 20 000 enfants parmi l’ensemble des naissances survenues en France en 2011 sera constitué.
L’inclusion dans la cohorte s’effectuera à la naissance en maternité au cours de 4 périodes de 6 jours réparties sur l’année 2011, dans 344 maternités tirées au sort parmi les 539 maternités publiques et privées de France métropolitaine.
Tous les enfants nés pendant ces périodes dans les maternités associées à Elfe seront susceptibles de participer à l’étude.
Depuis la fin de l’année 2010, les femmes susceptibles d’accoucher pendant les périodes de collecte reçoivent une information par l’intermédiaire de leur caisse d’allocations familiales.
Enquête en maternité
Elle sera réalisée par des sages-femmes enquêtrices, spécialement formées pour l’étude, qui contacteront les mères pendant leur séjour en maternité.
Une fois le consentement de la mère obtenu, l’enquêtrice saisira sur un ordinateur portable, la « fiche contact » qui contient les informations directement nominatives nécessaires au suivi ; elle saisira également les réponses de la mère à un questionnaire en face à face qui portera sur la situation socio-démographique de la famille, le suivi de la grossesse, la prise de médicaments, la consommation de tabac et d’alcool, l’organisation du suivi médical de l’enfant ; des donnés issues du dossier médical concernant les grossesses et pathologies antérieures de la mère, le suivi de la grossesse, l’accouchement, l’état de l’enfant à la naissance seront également recueillies.
L’enquêtrice proposera également à la mère de remplir pendant son séjour un autoquestionnaire portant sur ses habitudes alimentaires, l’usage de cosmétiques, l’utilisation de produits ménagers, ainsi que sur ses activités et ses loisirs pendant la grossesse.
Des prélèvements biologiques non invasifs seront réalisés dans la moitié des maternités. Les échantillons seront recueillis lors de l’accouchement par la sage-femme de garde, après information de la mère, à des fins de recherche de marqueurs infectieux, de nutriments et de polluants environnementaux (échantillons d’urines et de sang du cordon) et complétés par d’autres prélèvements, effectués par la sage-femme enquêtrice Elfe dans les jours qui suivent l’accouchement (recueil de lait et de cheveux, selles de l’enfant). Aucun prélèvement ne sera effectué sur l’enfant.
L’Etablissement français du sang (EFS) prendra en charge la collecte et le stockage des produits biologiques. Les données sont conservées, avec l’autorisation de la mère, dans une « biothèque » placée sous la responsabilité de l’INSERM, auquel il appartient d’effectuer les formalités déclaratives auprès de la CNIL.
Afin de pouvoir caractériser les non participantes à l’étude et de les comparer aux participantes, des informations strictement anonymes seront collectées dans le certificat de sortie établi dans les huit jours de la naissance par les sages-femmes enquêtrices pour toutes les femmes qui auront refusé de participer à l’étude.
Enquête à 6 à 8 semaines
- Une enquête téléphonique, 6 à 8 semaines après l’accouchement, sera réalisée par un enquêteur de l’institut de sondage choisi pour la réalisation de l’enquête, auprès de femmes qui en ont accepté le principe lors de l’entretien en maternité. Un entretien téléphonique sera également proposé au père de l’enfant.
Les données seront recueillies par voie de questionnaire et concerneront essentiellement les caractéristiques sociodémographiques de la famille de l’enfant (ou des familles dans lesquelles il vit quand les parents sont séparés), la place qu’y occupe ce dernier, l’activité professionnelle des parents, les revenus du ménage et les conditions de vie, le mode de garde envisagé pour l’enfant, sa santé, son développement, son alimentation, son habitat et son environnement. Un questionnaire sur l’existence de symptômes dépressifs chez les parents sera également proposé.
- Dans les mois qui suivront la sortie de la maternité, des lingettes électrostatiques, appelées « pièges à poussières », seront envoyées au domicile des enfants dont la mère aura accepté les prélèvements. Les enquêteurs qui réaliseront l’enquête téléphonique s’assureront auprès des familles que le piège a bien été reçu et mis en place. A l’issue de trois mois, les familles devront renvoyer le piège par courrier dans une enveloppe préaffranchie, à un laboratoire de référence qui réalisera les enquêtes microbiennes et chimiques.
La Commission relève qu’il est envisagé, à terme, de recueillir en outre des données relatives à la santé et à l’accès aux soins auprès de l’assurance maladie et d’interroger, pour ce faire, le système national d’information inter-régime de l’assurance maladie (SNIIRAM). Une information figure sur ce point dans les documents d’information remis aux parents, mais les modalités d’appariement et de transfert des données sont en cours d’étude et cette collecte est renvoyée à une échéance plus lointaine. La Commission rappelle qu’elle devra donner lieu à une demande d’autorisation spécifique auprès de la CNIL.
Sur les modes de circulation des données
A la maternité, pour chaque femme incluse, l’enquêtrice disposera de deux numéros d’identification. Le premier sera utilisé pour la saisie de la fiche « contact » qui est seule à contenir des données directement identifiantes. Le second sera utilisé pour la saisie des autres données de l’enquête. Ainsi, dans les fichiers informatiques, il sera impossible de relier les données nominatives aux données de santé.
Les données seront saisies sur des ordinateurs portables dédiés et télétransmises chaque jour de façon sécurisée et chiffrée à un centre de collecte spécifique à l’étude qui constituera un fichier de « données collectées en maternité ». Après chaque télétransmission, les données seront supprimées de l’ordinateur portable.
Pour l’enquête téléphonique, les informations identifiantes nécessaires à la prise de contact seront adressées à l’institut de sondage. La Commission prend acte que la prestation des tiers prestataires de services qui concourent à la réalisation de l’étude sera encadrée par une convention qui définira les opérations qu’ils sont autorisés à réaliser à partir des données confiées, ainsi que les engagements qu’ils prennent de garantir leur sécurité et leur confidentialité, en particulier l’interdiction d’utiliser les données à d’autres fins et l'engagement de les détruire à l'issue de la prestation.
Au terme de chaque vague d’enquête, une fois les données validées dans le « centre de collecte », l’ensemble des données propres à l’étude sera transmis au système d’information Elfe (dénommé Pandora) décrit ci-après, pour intégration et stockage « atomisé » dans ce système.
Les données seront alors détruites au centre de collecte. En outre, de nouveaux numéros d’identification, différents de ceux utilisés lors de la collecte, seront systématiquement générés.
La Commission estime que les mesures de sécurité mises en œuvre n’appellent pas d’observations particulières.
Sur la nature des données collectées
La Commission relève que des informations directement identifiantes relatives aux familles seront collectées (nom et prénom de l’enfant et de ses parents, numéros de téléphone et courriel des parents), ainsi qu’un nombre très conséquent de données diverses.
Elle relève en premier lieu que la collecte de données identifiantes est inhérente à un suivi de cohorte, qui suppose que soient collectées, conservées et mises à jour les coordonnées des familles participant à l’échantillon, indispensables pour pouvoir assurer la suivi de l’enfant et la continuité des observations (envoi de questionnaires, de pièges à poussière…). Il n’est donc pas envisageable de procéder à l’anonymisation complète des données après chaque vague d’enquête.
La Commission relève toutefois que la réidentification des participants ne sera possible que dans des conditions spécifiques et ponctuelles, les données étant anonymes pour les chercheurs qui les utilisent. Un système élaboré d’anonymisation, puis de requêtage décrit ci-après, est, en effet, mis en œuvre, de nature à garantir la sécurité et confidentialité des données.
La Commission relève, en second lieu, le nombre et la diversité des données collectées et estime que ce choix apparaît justifié au regard de la finalité très large de l’enquête qui a vocation à être un outil pour la définition de politiques sociales et de santé publique et à constituer une base de données épidémiologiques mise à la disposition de l’ensemble de la communauté des chercheurs.
S’agissant des données sensibles au sens de l’article 8 de la loi du 6 janvier 1978, modifiée en 2004, la Commission estime que les questions répondent aux objectifs poursuivis par l’enquête et relève que la pertinence de leur collecte n’a pas suscité d’observation de la part du CCTIRS et du CNIS, compte tenu notamment de la formulation de ces questions, présentées sous forme de questions à choix fermés.
La Commission demande toutefois que les personnes interrogées soient clairement informées, pour chacune des questions « sensibles », de la possibilité de ne pas répondre.
Dans ces conditions, et compte tenu, par ailleurs, des mesures mises en œuvre pour assurer la sécurité et la confidentialité des données, la collecte de ces données n’appelle pas d’observation particulière.
Sur les droits des personnes concernées
Sur l’information des parents
Une brochure présentant l’étude Elfe a été envoyée par les caisses d’allocations familiales départementales à toutes les femmes qui sont entrées dans leur 7ème mois de grossesse deux mois avant le début de l’enquête.
A la maternité, une présentation orale de l’enquête sera effectuée par une sage-femme enquêtrice à la mère, complétée par la remise d’un dossier. Ce dossier comportera une brochure d’information rédigée notamment pour assurer le respect des dispositions de l’article 57 de la loi du 6 janvier 1978 modifiée, ainsi que les formulaires de recueil du consentement.
Un délai de réflexion sera laissé à la mère afin de lui permettre de prendre sa décision en connaissance de cause entre le moment où le dossier lui sera remis et celui où son consentement sera sollicité.
La Commission estime que seule une information claire, complète et explicite sur les particularités de l’étude est de nature à permettre aux parents de prendre clairement conscience de la portée et du sens de la démarche. Elle relève qu’à sa demande, le projet de note d’information souligne clairement le caractère longitudinal de l’étude et l’absence de bénéfice individuel direct pour l’enfant.
Les personnes seront, en outre, clairement informées du caractère facultatif de l’étude et de l’absence de conséquence d’un refus d’y participer sur la prise en charge médicale de la mère ou de l’enfant. Elles sont également informées de la possibilité de mettre fin à leur participation à tout moment (« droit de retrait »), sans avoir à se justifier et de demander la destruction des données (« droit à l’oubli »). Elles sont informées, enfin, de leur droit d’accès et de rectification aux données nominatives qui les concernent ou concernent leur enfant ainsi que des modalités d’exercice de ce droit.
L’information individuelle des parents se double d’une information dans les maternités, assurée par la mise à disposition de dépliants et l’apposition d’affiches dans les salles d’attente des consultations. Elle sera complétée par une campagne nationale de communication et de sensibilisation du public.
Un site ouvert au public dédié à l’étude (www.elfe-france.fr) est mis en place et un journal sera édité régulièrement afin d’associer les participants à l’avancement de l’enquête.
La Commission estime ces mesures d’information satisfaisantes.
Sur le recueil du consentement des parents
La Commission observe que le dossier comporte trois formulaires de recueil du consentement.
- Un premier formulaire, signé par la mère, concerne les données recueillies en maternité (par questionnaire ou à partir du dossier médical). Le parent qui n’était pas présent à la maternité et n’aura pas donné son accord au recueil des données à ce stade, aura la possibilité de s’opposer ultérieurement à la participation de son enfant à l’étude. Une lettre d’opposition est jointe, à cet effet, au dossier laissé par la sage-femme à la mère.
- Un deuxième formulaire concerne les données recueillies pendant le suivi de l’enfant (par questionnaire téléphonique ou en face à face). Il peut être signé par l’un ou l’autre des représentants de l’autorité parentale.
- Un troisième formulaire permet le recueil d’un consentement spécifique de la mère pour le recueil de prélèvements biologiques identifiants et leur conservation dans une « biothèque », conformément aux dispositions de l’article 56 de la loi du 6 janvier 1978 modifiée. Un consentement spécifique est recueilli, par un système de cases à cocher, pour l’utilisation des prélèvements pour des dosages biologiques et l’extraction de l’ADN en vue d’analyses génétiques ultérieures.
La Commission en prend acte et relève qu’aucun prélèvement sur l’enfant ne sera effectué à ce stade.
Le consentement des représentants légaux du mineur est légalement nécessaire pour sa participation à la cohorte, en application de l’article 371-1 du Code civil.
Il ressort du dossier soumis à la Commission que le régime d’autorisation parentale à la participation de l’enfant à la cohorte ainsi mis en place implique le recueil du consentement exprès de la mère, assorti du droit d’opposition discrétionnaire du père.
La Commission admet qu’il paraît difficile (voire impossible), sur un plan pratique, de recueillir le consentement des deux parents à la naissance de l’enfant, en raison de la durée très brève du séjour en maternité. Elle relève, en outre, que cette solution conduirait à l’exclusion de tous les enfants nés en l’absence du père, quelle qu’en soit la raison, ce qui serait de nature à fausser les résultats de l’étude.
Elle relève que dans la mesure où un nouveau consentement sera recueilli pour chaque nouvelle vague d’enquête, la décision d’entrée de l’enfant dans la cohorte présente un caractère réversible qui pourra ne laisser aucune « trace », les données collectées pouvant être supprimées (ou anonymisées) à la demande des parents.
La Commission prend acte, toutefois, que le consentement des deux parents à la participation de leur enfant à la recherche sera systématiquement recherché et qu’en tout état de cause, la participation de l’enfant à l’étude ne sera pas possible si l’un des deux parents s’y oppose.
Sur les conditions propres à garantir la confidentialité des données
La Commission relève qu’une attention toute particulière a été portée à la confidentialité et à la sécurité des données.
Sur le dispositif de « pseudoanonymisation »
Un dispositif de « pseudoanonymisation » des données est mis en place au sein du système d’information de gestion des données, dénommé Pandora.
Les données recueillies à la naissance, puis lors de chaque phase de collecte, seront en effet systématiquement anonymisées avant intégration dans le système, par une « atomisation » complète des fichiers de données collectées.
Pour ce faire, une séparation des données identifiantes, des autres données et des données de liaison qui permettent de les rapprocher sera effectuée, chacun de ces fichiers étant géré par une « entité » distincte.
Ainsi, les données collectées dès qu’elles intègrent ce système seront « unitarisées » et stockées « en vrac » sans lien avec un individu ou entre elles.
Ce système d’anonymisation est réversible pour permettre, à chaque nouvelle étape de l’enquête, de fournir les informations nécessaires à la collecte et pour construire les fichiers de traitement destinés aux chercheurs.
Une plateforme informatique spécifique permettra donc de réaliser les rapprochements entre les trois types précités de données.
Toutefois, ce rapprochement sera subordonné à un contrôle très strict et contractualisé des rapprochements qui supposera l’intervention de deux nouvelles entités :
Une instance de décision (le Comité d’accès aux Données Elfe) qui après instruction de la demande, commandera la requête ;
Une instance de liaison (« opérateur de jointure ») qui sera seule détentrice des clés de passage entre les différents fichiers et qui, sur instruction de l’instance de décision, construira les « fichiers de traitement » qui ne seront pas stockés.
Ainsi, il n’existera nulle part de fichier contenant l’ensemble des données des individus de la cohorte et il sera techniquement et physiquement impossible de constituer et de reconstituer une « métabase unique » ou d’effectuer des réassemblages illicites.
Le procédé de « pseudoanonymisation » mis en œuvre n’appelle pas d’observation de la part de la Commission.
La sécurité du système d’information
Le système d’information de gestion des donnés est localisé à l’INSERM.
La Commission constate que les locaux sont sécurisés (vidéosurveillance, accès par badge…) et qu’une gestion des services critiques (climatisation, sources d’alimentation électrique…), de nature à garantir l’intégrité des données est mise en place, ainsi qu’un système de sauvegarde de nature à garantir leur pérennité.
La politique d’authentification par mot de passe et d’habilitation d’accès est conforme aux préconisations de la CNIL.
Les accès distants au système sont sécurisés et le réseau est protégé des intrusions extérieures.
Un système de journalisation des traces est mis en place permettant d’enregistrer l’ensemble des opérations effectuées par chaque « entité », ainsi que l’utilisateur associé à chaque opération.
La Commission estime que le système d’information utilise des mécanismes de sécurité conformes à l’état de l’art mais la mise en œuvre d’une application pendant 20 ans impose une mise à jour des matériels et des algorithmes cryptographiques mis en œuvre.
Elle prend acte, à cet égard, de l’engagement pris par l’Ined de procéder à un audit de l’ensemble du système au moins une fois par an.
Sur les catégories de destinataires
La Commission prend acte que chaque nouvelle demande tendant, dans le cadre d’un projet de recherche, à obtenir des données issues de la cohorte Elfe sera au préalable soumise à un comité scientifique (le « Comité d’accès aux données Elfes » (CADE) et à l’autorisation de la CNIL, conformément aux textes en vigueur.
Les différents prestataires qui concourent à la réalisation de l’enquête aux côtés de l’INED (institut de sondage, prestataires de saisie,…) seront destinataires des données strictement nécessaires à la réalisation de leur prestation. L’INED veillera à ce que les fichiers nécessaires au travail des prestataires soient détruits à la fin de chaque traitement.
Lors de l’exploitation des données, les résultats seront présentés sous une forme agrégée ne permettant pas, par recoupement ou par tout autre moyen, l’identification d’une personne déterminée.
Sur la durée de conservation des données
La cohorte Elfe prévoit un suivi prolongé des enfants jusqu’à l’âge de 20 ans. Le dossier fait toutefois mention d’une durée initiale de conservation des données de 10 ans, qui pourra être reconduite par une demande de modification de l’autorisation délivrée par la CNIL.
La Commission en prend acte et estime la solution satisfaisante compte tenu des évolutions technologiques qu’impose la mise en œuvre d’une application informatique sur plusieurs décennies pour rester conforme à l’état de l’art.
Dans ces conditions, la Commission autorise l’Institut national des études démographiques à mettre en œuvre le traitement de données à caractère personnel présenté dans les conditions énoncées ci-dessus et conformément au dossier et aux compléments transmis à la Commission.
Elle prend acte que la poursuite du projet sera subordonnée au dépôt d’une nouvelle demande d’autorisation auprès de la CNIL.