La Commission nationale de l'informatique et des libertés,
Saisie par la société PREMIÈRES LIGNES TÉLÉVISION d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur les variations géographiques et par centre des modes de prise en charge des patients en dialyse en France, intitulée VarGeoDialyse ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu les avis du Comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé du 17 février 2020 et du 2 avril 2020 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement
La société Premières lignes télévision est spécialisée dans la production d’émissions télévisées, et plus particulièrement de documentaires d’investigation. A ce titre, elle produit notamment l’émission
Cash Investigation
Sur la licéité du traitement
Le traitement mis en œuvre par la société Premières lignes télévision s’inscrit dans le cadre de son activité de production de documentaires d’investigation.
Il est nécessaire aux fins des intérêts légitimes poursuivis par le responsable de traitement. A ce titre, sont pris en considération le caractère très indirectement identifiant des données et les garanties, notamment en termes de droits des personnes, prévues dans le dossier de demande.
Ce traitement est, à ce titre, licite au regard de l’article 6-1-f du règlement général sur la protection des données (ci-après RGPD ).
Sur la finalité et l’intérêt public du traitement
Le traitement a pour finalité la mise en œuvre d’une étude portant sur les délais d’accès à la liste d’attente de greffe rénale dans les établissements de dialyse en France selon les profils de patients et les comorbidités principales sur la période 2012 – 2017.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5-1-b du RGPD.
Elle estime, par ailleurs, que ce traitement présente une finalité d’intérêt public, conformément à l’article 66-I de la loi informatique et libertés .
Sur la nature des données traitées
Les données du registre REIN (demande d’autorisation n° 903188) de l’Agence de la biomédecine seront utilisées dans le cadre de cette étude.
La Commission note que, selon le rapport annuel REIN de 2017 de l’Agence de la biomédecine, ce registre a pour objectif de décrire l’incidence et la prévalence des traitements de suppléance de l’insuffisance rénale chronique, les caractéristiques de la population traitée, les modalités de prise en charge et la qualité du traitement en dialyse, l’accès à la liste d’attente et à la greffe ainsi que la survie des malades.
Ce registre est alimenté, d’une part, par l’application CRISTAL contenant des informations sur les patients transplantés rénaux et, d’autre part, par l’application DIADEM qui constitue l’outil de recueil des informations médicales relatives aux malades en insuffisance rénale chronique traités par dialyse.
La Commission relève que seules les données des patients majeurs ayant débuté un premier traitement de suppléance par dialyse en France au cours des années 2012 à 2017 et n’ayant pas bénéficié d’une greffe préemptive seront traitées à partir des données recueillies dans l’application DIADEM.
Elle relève que le temps médian d’accès à la liste d’attente ainsi que le temps moyen d’accès à la liste d’attente de ces patients seront calculés à l’échelle départementale et à celle de l’entité gestionnaire (correspondant à un agrégat de centres) ; chacun de ces délais sera calculé en fonction du profil des patients (âge – réparti en trois tranches ; indice de masse corporelle – réparti également en trois tranches ; présence ou non d’un diabète) et les comorbidités associées (maladies cardio-vasculaires, cancers, ou hémopathie évolutifs et leurs associations).
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur l’information et les droits des personnes
En application de l'article 69 de la loi informatique et libertés modifiée et de l'article 14-5-b du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, conformément au RGPD, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, la Commission prend acte qu'il sera fait exception au principe d'information individuelle des personnes et que des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du groupe France télévisions d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par l’article 14 du RGPD.
Elle relève que cette information sera mise en ligne dès que les données auront été mises à disposition du responsable de traitement par l’Agence de la biomédecine.
Les personnes concernées seront également informées lors de la diffusion du documentaire.
Sur les mesures de sécurité et la traçabilité des actions
La Commission relève que la mise à disposition des données ne pourra être effectuée que selon l’une des deux modalités suivantes.
La mise à disposition des données via le Centre d’accès sécurisé aux données (CASD)
Les données pourront être mises à disposition auprès du responsable de traitement par l’intermédiaire du Centre d’accès sécurisé aux données. La Commission souligne que la transmission des données au CASD devra s’effectuer par des moyens sécurisés.
Par la suite, seules pourront faire l’objet d’une extraction depuis le CASD des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes soit impossible.
La Commission rappelle que, pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’article 29 (G29) le 10 avril 2014. A défaut, si ces trois critères ne peuvent être réunis, une étude des risques de réidentification doit être menée.
A cet égard, la Commission relève que l'analyse des données sera réalisée à différentes échelles : d’une part, au niveau départemental et, d’autre part, à l’échelle de l’entité gestionnaire correspondant à un agrégat d’établissements de soins dont le nombre de patients sera systématiquement supérieur à dix.
Elle attire cependant l’attention du responsable de traitement sur le fait que la suppression des résultats contenant de petits effectifs peut ne pas être suffisante pour respecter les trois critères définis par l’avis n° 05/2014 précité et qu’une analyse complète de ses processus d’anonymisation doit être menée, assortie d’une réévaluation régulière des risques de réidentification.
La mise à disposition d’indicateurs agrégés par l’Agence de la biomédecine
A défaut de mise à disposition

Dans cette hypothèse, la Commission rappelle que seules des données vérifiant les critères de l’avis du G29 susvisé pourront être mises à disposition, et ce par des moyens sécurisés, adaptés notamment au niveau des risques de réidentification.
Sur les catégories de destinataires
Quelle que soit la modalité de mise à disposition, seul le responsable du traitement et les personnes habilitées par lui ont accès aux données à caractère personnel dans le cadre de la présente autorisation. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur la durée de conservation des données
La durée d’accès aux données à caractère personnel devra être limitée à la durée nécessaire à la mise en œuvre du traitement, qui ne saurait être supérieure à six mois, à compter de l’accès effectif aux données.
Cette durée n’excède pas celle nécessaire aux finalités pour lesquelles les données sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Sur la transparence du traitement et la publication des résultats
la Commission relève que le responsable de traitement envisage une diffusion de l’ensemble des résultats dans un documentaire. Ces résultats seront notamment rendus accessibles sous forme de cartographies (s’agissant de la description des pratiques de prise en charge selon les lieux et les comorbidités des patients) ainsi que sous forme de graphiques et de tableaux (s’agissant des évolutions et modalités de prise en charge en fonction des profils des patients).
Outre la mise à disposition du documentaire en

La Commission rappelle que, lorsque le résultat du traitement de données est rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 68 de la loi informatique et libertés .
Autorise, conformément à la présente délibération, la société PREMIÈRES LIGNES TÉLÉVISION à mettre en œuvre le traitement susmentionné.
La Présidente
Marie-Laure DENIS