(Demandes d’autorisation n° 1515344 et 1519026)
La Commission nationale de l'informatique et des libertés,
Saisie par le Centre national de la recherche scientifique (CNRS) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place, à titre expérimental, d’une plateforme informatique permettant l’interrogation et le croisement de bases de données mises en œuvre dans le cadre du suivi médical des patients à des fins d’évaluation des pratiques de soins et de recherche épidémiologique.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Centre national de la recherche scientifique (CNRS) est un établissement public à caractère scientifique et technologique, placé sous la tutelle du Ministère de l'Enseignement supérieur et de la Recherche.
Sur la finalité
Le CNRS envisage de mettre en place, à titre expérimental, une plateforme informatique dénommée GINSENG (Global Initiative for Sentinel Eahealth Network onGrid), permettant l’interrogation et le croisement de bases de données mises en œuvre dans le cadre du suivi médical des patients, à des fins d’évaluation des pratiques de soins et de recherche épidémiologique.
Le traitement projeté vise à tester la faisabilité technique de l’outil et à en mesurer l’intérêt pour la communauté des professionnels à partir de deux études, l’une portant sur le suivi du cancer du sein et l’autre sur la pertinence des césariennes en région Auvergne. Les bases d’associations de dépistage du cancer (ARDOC et ABIDEC), de laboratoires d’anatomocyto-pathologie, de services de santé publique et de biostatistiques et de maternités appartenant à un réseau de périnatalité de la région Auvergne  déclarées à la CNIL seront concernées.
La plateforme GINSENG est un système distribué et non centralisé, qui repose sur la mise en réseau de bases médicales issues de bases existantes mais dont les données d’identité des patients auront été préalablement pseudo-anonymisées comme suit :
Les éventuels problèmes d’identito-vigilance seront réglés au sein des organismes chargés du suivi médical des patients. Une fois l’identification validée, un numéro aléatoire sera substitué aux données d’état civil.
pour chaque organisme participant, une base GINSENG qui restera localisée dans l’établissement sera créée à partir de la base de production. Cette nouvelle base restera sous le contrôle de l’établissement, mais elle sera administrée à distance par le CNRS qui est le maitre d’œuvre du projet.
une table de correspondance entre l’identité du patient et un numéro calculé à partir d’un procédé de pseudo-anonymisation  sera conservée au sein de chaque site de prise en charge des patients.
les données d’’identification des patients seront transmises de manière chiffrée au serveur CNRS qui interrogera, de façon automatisée, l’ensemble des bases afin de savoir si un patient y est référencé et permettra ainsi de relier les informations relatives à un même patient pris en charge sur plusieurs sites.
Dans l’hypothèse où l’expérimentation s’avérerait concluante, cette plateforme pourrait être utilisée dans le cadre d’autres projets de recherche.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Elle considère qu’il peut être fait application au bénéfice du CNRS des dispositions des articles 8-IV et 25-I, 1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les catégories de données à caractère personnel traitées sont relatives à l’identification du patient (nom, prénom, date de naissance, sexe, code postal de résidence) à des fins de validation des identités et de chaînage des données dans le cadre de la construction de l’outil.
Dans le cadre des deux études pilotes, les données suivantes seront collectées :
- données d’identification : sexe, mois et année de naissance
- données médicales strictement nécessaires à la mise en œuvre de chacune des deux études envisagées, à l’exclusion de toute date complète.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
- Les médecins épidémiologistes et les praticiens médicaux des organismes partenaires du projet, spécialement habilités par ceux-ci, dans la mesure strictement nécessaire à la mise en œuvre d’une étude.
- Les personnels du CNRS ne seront jamais en mesure d’associer des données d’identification et des données de santé relatives aux patients.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes dont les données seront traitées et transmises seront, avant le début du traitement de ces données, individuellement informées de la nature des informations transmises, de la finalité du traitement des données, des personnes physiques ou morales destinataires des données, ainsi que de leurs droits et des modalités pratiques de leur exercice, par la remise d’une notice d’information individuelle.
Il appartiendra au médecin responsable de la prise en charge thérapeutique, en contact direct avec les patients, de leur remettre ce document.
La note d’information est rédigée de telle sorte que le patient puisse comprendre clairement que le traitement mis en œuvre a vocation à permettre, d’une part,  son suivi médical au sein de l’établissement et d’autre part, le recueil et la remontée d’informations à des fins de suivi épidémiologique et d’évaluation des pratiques de soins et qu’il a la possibilité de s’y opposer.
Les patients y seront clairement informés du caractère facultatif de leur participation à la plateforme et de la faculté qu’ils ont de retirer leur accord à tout moment et de refuser la transmission de leurs données sans avoir à se justifier et sans conséquence sur leur prise en charge médicale.
Pour les patients qui sont d’ores et déjà présents dans la base, une demande de dérogation à l’obligation d’information individuelle a été effectuée par le CNRS compte tenu de la difficulté à retrouver les personnes concernées. La Commission prend acte de l’affichage qui sera systématiquement effectué dans l’ensemble des organismes partenaires du projet et de l’information individuelle qui sera effectuée si la personne concernée est à nouveau prise en charge dans l’organisme.
La Commission estime que ces modalités d’information et d’exercice des droits n’appellent pas d’observation.
Sur les mesures de sécurité
Les bases GINSENG seront conservées sur chacun des sites de prise en charge des patients dans les conditions d’hébergement de la base de production.
Afin de ne pas conserver les données d’état civil dans les bases GINSENG, une table de correspondance sera créée. Le procédé de pseudonymisation associant ces données et un identifiant unique s’appuie sur un algorithme standardisé, ce qui constitue un gage de sécurité théorique et pratique, car il a été développé dans de nombreux langages informatiques.
L’interrogation des bases permettant de savoir si un patient est suivi sur un autre site se fera, à l’aide d’un procédé automatique, à partir de données d’identification à l’exclusion de toute donnée médicale.
La table de correspondance restera hébergée au sein de chaque organisme et seuls les personnels habilités des sites de prise en charge seront en mesure de décoder les identifiants correspondant aux dossiers des patients qu’ils suivent, si besoin.
La présence d’un même patient au sein des différentes bases est vérifiée à la mise en place initiale de la plateforme en requêtant l’ensemble des bases. Une synchronisation a lieu quotidiennement passée cette étape initiale. La transmission des informations est réalisée sur un réseau privé virtuel sous forme chiffrée, ce qui garantit la confidentialité des données échangées.
L’exploitation de ces bases par les professionnels de santé s’effectue via un portail web hébergé au CNRS.
Des procédures d’habilitation d’accès pour les professionnels de santé sont mises en œuvre par le CNRS sous la haute autorité de praticiens médicaux ayant la responsabilité des données médicales.
Une fois habilités, les médecins accèderont au portail web en s’authentifiant au moyen de leur carte de professionnel de santé (CPS). Ils seront alors connectés à une interface web sécurisée à l’aide d’un login/mot de passe, en plus de la CPS. Les seules données médicales des bases GINSENG accessibles à un utilisateur sont celles qui sont strictement nécessaires à l’étude considérée. Cette configuration propre à chaque étude est réalisée par les administrateurs de la plateforme GINSENG du CNRS.
Une fois les données transmises à l’utilisateur, elles seront supprimées du serveur.
Une traçabilité des accès est mise en œuvre. La CNIL préconise la conservation des traces d’accès pendant une durée de deux ans et un contrôle régulier de ces traces.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission demande que lui soit communiqué à l’appui de toute demande de généralisation, un bilan portant sur la faisabilité et l’acceptabilité du projet qui sera établi à l’issue de l’expérimentation, prévue le 31 décembre 2014.
Elle rappelle que les recherches épidémiologiques ou les études relatives à l’évaluation des pratiques de soins devront, s’il y a lieu, être accomplies conformément aux dispositions des chapitres IX et X de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, le Centre national de la recherche scientifique (CNRS) à mettre en œuvre, à titre expérimental jusqu’au 31 décembre 2014, le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN