La Commission nationale de l'informatique et des libertés,
Saisie par l'Institut national de la santé et de la recherche médicale (INSERM) d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude intitulée  Expositions aux contaminants chimiques et santé à l'âge pubertaire  ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son chapitre IX ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le code civil, notamment ses articles 371-1 et suivants et 376 ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 53 et suivants ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l'informatique et des libertés a été saisie par l'Institut national de la santé et de la recherche médicale (INSERM) d'une demande d'autorisation préalablement à la mise en œuvre d'un traitement de données à caractère personnel ayant pour finalité une étude intitulée :  Expositions aux contaminants chimiques et santé à l'âge pubertaire .
A l'appui de la demande d'autorisation, le responsable de traitement précise que cette étude est réalisée dans le cadre de la cohorte mère-enfant Pélagie, préalablement autorisée par la CNIL le 23 septembre 2002 (n° 902076). cette cohorte, constituée entre 2002 et 2006, regroupait 3421 femmes enceintes en Bretagne.
Le traitement de données à caractère personnel projeté est réalisé en deux volets, auprès des personnes incluses dans la cohorte PELAGIE entre 2002 et 2006, à l'occasion d'une consultation dans un cabinet de gynécologie ou d'échographie participant à l'étude.
Le premier volet consiste en un recueil de données de croissance et des stades pubertaires de l'enfant par auto questionnaires sous format papier ou électronique. Les  paires  mère/enfant, au nombre de 1410, y répondent, à raison d'une fois par an, durant une huitaine d'années. Ce volet prend fin une fois que l'enfant indique dans le questionnaire avoir atteint un stade de développement adulte. Ces questionnaires sont régulièrement adressés au Centre hospitalier de Rennes par courrier électronique ou postal.
Concernant ce volet, la Commission observe qu'une déclaration normale a été effectuée le 3 décembre 2014 auprès de la Commission, sous le numéro 1816495.
Le second volet concerne 500 enfants de 12 ans et correspond à un recueil de données au cours d'un examen clinique pratiqué, pour les besoins de l'étude, au Centre hospitalier de Rennes. Cet examen, d'une durée de deux heures, est conduit par un pédiatre. Au cours de celui-ci, des prélèvements salivaires, sanguins et capillaires sont effectués, notamment en vue de constituer une collection d'échantillons biologiques. Par ailleurs, des mesures anthropométriques et de stade pubertaire sont réalisées, complétées d'une évaluation comportementale de l'enfant et de tests de la fonction visuelle.
Le projet soumis à l'autorisation de la Commission consiste en une recherche scientifique conduite par une équipe spécialisée en épidémiologie, reposant des investigations sur les paires  mère/enfant  issues de la cohorte Pélagie, dans l'optique d'évaluer l'impact potentiel des expositions pré et post natales aux polluants organiques persistants (POPS) sur la croissance, l'obésité et le développement pubertaire.
Sur la finalité du traitement :
La finalité principale de la présente recherche est d'évaluer l'impact potentiel des expositions pré et post natales aux polluants organiques persistants (POPs) sur la croissance, l'obésité et le développement pubertaire.
Cette connaissance permettrait notamment de :
-	décrire des indicateurs de développement pubertaire, de la prévalence de surpoids et d'obésité, ainsi que leurs déterminants et facteurs de risques potentiels tels que l'indice de masse corporelle (IMC) ou le niveau socioéconomique familial et des indicateurs de santé comportementale ;
-	d'étudier le rôle possible de l'exposition périnatale aux polluants organiques persistants sur la croissance des enfants, les troubles comportementaux, le risque de surpoids et d'obésité ainsi que le développement pubertaire chez les filles et les garçons.
La Commission considère la finalité poursuivie comme déterminée, explicite et légitime au sens de l'article 6-2° de la loi n° 78-17 du 6 janvier 1978 modifiée.
Elle observe cependant que les deux volets de l'étude constituent un seul et même traitement de données à caractère personnel qui aurait dû, à cet égard, faire l'objet ab initio d'une demande d'autorisation en application des dispositions prévues au chapitre IX de la loi Informatique et Libertés.
Sur les modalités de l'étude et la nature des données traitées :
La Commission relève qu'un fichier nominatif a été constitué, accessible uniquement aux personnes de l'équipe de l'INSERM en charge de la gestion de la cohorte. Celui-ci comporte :
-	le numéro-identifiant-PELAGIE (composé de trois parties correspondant au département d'inclusion, au numéro d'ordre des médecins participants et au numéro d'ordre des patients inclus) ;
-	les nom et prénoms de la mère ;
-	les nom, prénoms et date de naissance de l'enfant ;
-	les adresses postale et électronique ;
-	les numéros de téléphone.
L'équipe de l'INSERM envoie par courriers postal et électronique les lettres d'information et les auto-questionnaires aux enfants âgés de 9 à 16 ans. Les familles sont également contactées par téléphone afin de  leur demander leur participation à cette étape de suivi de l'étude Pélagie et fixer le rendez-vous de l'examen clinique .
Au cours de l'examen clinique, une fiche-papier nominative sera créée pour chaque famille, afin de relier les données nominatives et le numéro-identifiant-EXAMEN (composé de deux parties correspondant au centre et au numéro d'ordre).
-	Concernant la puberté :
Le développement mammaire, la pilosité pubienne et corporelle ainsi que la période des premières menstruations et la taille des testicules seront recueillis via l'échelle de Tanner.
Pour le premier volet, la mère et l'enfant sont sollicités pour répondre chacun à un même questionnaire. Le suivi, à ce stade, s'achève après deux reports par l'enfant et la mère du stade 5 de l'échelle de Tanner pour le développement de la pilosité pubienne.
Pour le second volet, des personnels infirmiers examinent visuellement l'enfant pour collecter les données de l'échelle de Tanner et, pour la taille des testicules, une palpation est effectuée.
-	Concernant la croissance et l'obésité
Pour le premier volet, le poids et la taille seront collectés dans les questionnaires annuels auto-rapportés.
Pour le second volet, les plis sous-cutanés, la bioimpédance seront mesurés, ainsi que les tours de taille, hanche, bras et poignets.
-	Concernant les dosages hormonaux
Un volume de 21 ml de sang est prélevé sur les enfants lors de l'examen clinique afin de réaliser des dosages biologiques hormonaux.
D'autres dosages pourront également être effectués de manière ultérieure, dans le cadre de la collection d'échantillons biologiques.
Dans ce cadre, le projet prévoit qu'une analyse de l'ADN pourra être réalisée.
-	Concernant la santé neurocomportementale
Pour le premier volet, l'enfant répondra à une trentaine de questions afin de rechercher les troubles externalisés (SDQ). La mère, aux 10 ans de l'enfant, se verra adresser un questionnaire destiné à rechercher les symptômes du spectre autistique (CAST).
Pour le second volet, l'enfant répondra sur ordinateur à un jeu interactif composé de 91 items, ciblés sur les troubles internalisés tels que l'anxiété généralisée, anxiété de séparation, troubles oppositionnels, troubles dépressifs majeurs.
-	Concernant la fonction visuelle
A l'occasion du second volet, des tests visuels de la sensibilité aux contrastes (FACT) et de la discrimination des couleurs seront réalisés.

Des mesures de pression artérielle seront réalisées à deux reprises lors de l'examen clinique.
Afin d'effectuer des dosages de contaminants chimiques, dans le but de mesurer l'exposition des enfants, une mèche de cheveux sera collectée.
Dans le but d'explorer le microbiome présent dans la salive, un examen visuel des dents, de la gencive et de l'occlusion incluant un prélèvement de salive sera réalisé.
Des données sur la santé respiratoire et la survenue d'allergie seront collectées lors de l'auto-questionnaire.
Les données traitées concernent ainsi des données directement nominatives relatives aux mères et aux enfants inclus dans l'étude, des données relatives à la santé des enfants de 12 ans  ainsi que des données génétiques.
La Commission relève que le Comité consultatif pour le traitement de l'information en matière de recherche dans le domaine de la santé (CCTIRS), saisi par l'Institut de la santé dans la recherche médicale (INSERM) a émis un premier avis réservé, le 15 avril 2015 suivi, le 16 juillet 2015, d'un avis favorable.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Cependant, elle observe que le responsable de traitement précise, à la demande des services de la Commission, que :  il n'est actuellement pas prévu d'analyses génétiques dans le protocole actuel du projet qui a pour objet principal d'évaluer le rôle de l'exposition à des contaminants chimiques sur la santé développementale et pubertaire des enfants de 12 ans. En revanche, cet objectif inclura dans un second temps (dépendant des financements à obtenir pour cette recherche) de prendre en compte de possibles susceptibilités génétiques à ces contaminants. Nous anticipons cet objectif secondaire en demandant l'accord des familles à participer à cette recherche lors du consentement .
La Commission prend acte que la recherche portant sur l'analyse génétique constitue un projet complémentaire relevant des dispositions prévues au chapitre IX de la loi Informatique et Libertés et qui devra alors, au titre de la modification de traitement, être soumis à la Commission.
Sur les droits des personnes
-	Sur l'information et le consentement
Il résulte de l'application des dispositions prévues par le code civil, notamment ses articles 371-1 et suivants et 376, que l'autorité parentale est une fonction d'ordre public, de sorte que le consentement des titulaires de l'autorité parentale doit être obtenu dès lors qu'il s'agit d'actes non usuels concernant les mineurs.
Sur ce point, sans méconnaître l'intérêt et l'importance de la recherche, la Commission considère, sous réserve de l'interprétation souveraine des juridictions, que la participation d'un mineur à une recherche dans le domaine de la santé ne saurait être regardée comme relevant de la catégorie des actes usuels permettant de déroger au consentement des titulaires de l'autorité parentale prévu par les dispositions précitées. Il en résulte que le consentement des représentants légaux du mineur est légalement nécessaire pour sa participation à l'étude.
Dès lors que l'étude implique la collecte de prélèvements biologiques identifiants, le consentement éclairé et exprès des participants est requis en application de l'article 56 de la loi Informatique et Libertés.
Les modalités d'information et de recueil du consentement prévues consistent en l'envoi, aux personnes ayant préalablement consenti à participer à la cohorte, d'un courrier d'information précisant les objectifs et les modalités de mise en œuvre de l'étude et invitant les personnes concernées à participer à un examen clinique. A ce stade, la Commission invite l'INSERM à retenir une modalité prévoyant l'information des deux titulaires de l'autorité parentale.
Par ailleurs et si elles acceptent l'invitation, une information orale préalable à l'examen clinique sera dispensée à ces personnes par un médecin au cours d'un entretien en face à face.
Un consentement écrit accompagné d'une nouvelle notice d'information est alors signé par le parent accompagnant l'enfant et par l'enfant lui-même, dans la mesure où l'étude prévoit le recueil de prélèvements biologiques identifiants pour réaliser des analyses sanguines et génétiques. Un exemplaire leur sera remis.
En outre, si une note d'information adaptée à l'âge de l'enfant mineur est prévue et que son consentement est recherché, seul le consentement du parent accompagnant est prévu au moyen d'un formulaire de recueil du consentement ainsi qu'une notice d'information.
Ce formulaire permet le recueil d'un consentement spécifique de la mère, par le biais d'une case à cocher, pour le recueil de prélèvements biologiques identifiants, leur conservation par l'INSERM, l'extraction d'ADN en vue d'analyses ultérieures, et la transmission des résultats des dosages au médecin traitant de l'enfant.
La Commission relève qu'à l'appui de sa demande, le responsable de traitement indique qu'  une note d'information sera ainsi systématiquement adressée à la mère afin de lui permettre de la transmettre au père de l'enfant .
Le régime d'autorisation parentale à la participation de l'enfant à l'étude tel que prévu par le dossier conduirait au recueil du consentement exprès de la mère, assorti du droit d'opposition discrétionnaire du père.
La Commission relève que, même s'il paraît difficile, sur un plan pratique, de recueillir simultanément le consentement des deux parents à la participation de l'enfant à l'étude, celui-ci sera systématiquement recherché et en tout état de cause, la participation de l'enfant à l'étude ne sera pas possible si l'un des deux parents s'y oppose.
-	Sur les droits d'accès, de rectification et d'opposition
La Commission observe que les personnes concernées sont informées du caractère facultatif de leur participation à l'étude et de l'absence de conséquence  d'un refus de participer par une information écrite et orale.
Elle relève cependant que si les personnes sont informées de leur droit d'accès aux données, notamment aux résultats des analyses menées sur les prélèvements biologiques, cet accès n'est pas direct en ce sens que les personnes sont invitées à se rapprocher de leur médecin traitant afin qu'il contacte les équipes de recherche de l'INSERM impliquées dans le projet.
La Commission rappelle qu'en application du code de la santé publique, d'une part, et de la loi Informatique et Libertés, d'autre part, le droit d'accès aux informations médicales doit pouvoir s'exercer directement par les personnes concernées et demande donc à l'INSERM de modifier l'information en ce sens et de la compléter pour faire référence au droit de rectification.
La Commission relève également que le service chargé du droit d'accès n'est pas précisé.
Elle demande donc, en application de l'article 29 de la loi Informatique et Libertés, que les documents précités soient complétés pour faire figurer cette information, en veillant à indiquer les coordonnées de l'équipe en charge de la cohorte au Centre hospitalier universitaire de Rennes, qui détient la liste nominative des participants.
Sur la durée de conservation des données
Le dossier produit à l'appui de la demande prévoit, d'une part, que les données sont conservés jusqu'à la fin de l'étude (publication des résultats) et, d'autre part, que les prélèvements biologiques inutilisés constitueront ensuite une collection d'échantillons biologiques.
La Commission rappelle qu'en application de l'article 6-5° de la loi du 6 janvier 1978 modifiée, les données traitées ne peuvent être conservées pour une durée illimitée. Elles doivent être conservées pendant une durée précise, déterminée et en adéquation avec les finalités du traitement. En l'espèce, une conservation d'une durée maximale de 15 ans apparaît pertinente.
Sur les destinataires des données :
Les prélèvements de sang et de cheveux sont transmis, avec un identifiant aléatoire, à des laboratoires d'analyses, aux fins de mesure des concentrations en polluants chimiques et de réalisation des analyses hormonales.
La Commission en prend acte.
La Commission prend également acte de ce que seules les personnes de l'équipe INSERM participant directement au projet et habilitées à traiter les données y auront accès.
Sur la sécurité des données et la traçabilité des actions :
La Commission relève que le dossier présenté n'apporte pas d'éléments relatifs aux mesures qui seront mises en œuvre pour assurer la confidentialité des informations  renseignées par les participants via les auto-questionnaires auto-administrés sur internet. Elle rappelle à cet égard que ces échanges doivent être sécurisés et que le protocole SSL dans sa version 3 n'est plus fiable.
Les auto-questionnaires ne comporteront pas de données directement nominatives. L'identification sera opérée par le numéro- PELAGIE.
Concernant le premier volet, pour les questionnaires administrés par Internet, l'accès de chacun des participants s'opérera par le biais d'un couple d'identifiant / mot de passe précisé dans la lettre d'information.
La Commission rappelle qu'elle recommande, concernant la complexité des mots de passe, d'utiliser des mots de passe disposant d'une longueur minimale de huit caractères pour les utilisateurs ne disposant pas de privilèges élevés sur les données, et de dix caractères pour les autres.
En outre, les mots de passe doivent comporter trois types de caractères distincts parmi les minuscules, majuscules, chiffres ou caractères spéciaux. Ils ne doivent pas être stockés en clair dans un fichier ou une base de données, y compris pour les utilisateurs internes à l'équipe de recherche.
La Commission rappelle que les mots de passe doivent être modifiés par l'utilisateur lors de la première connexion et qu'ils doivent être renouvelés régulièrement (au minimum tous les 6 mois avec impossibilité d'utiliser les 3 derniers mots de passe). Après trois tentatives infructueuses, le système doit bloquer l'accès pour le compte.
Les accès à l'application doivent être tracés et les traces analysées afin de détecter des tentatives d'accès frauduleux. La Commission rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.
Concernant les formulaires sur support papier, ils sont transmis par voie postale. Les données seront saisies mensuellement en interne par l'équipe de chercheurs dès lors qu'ils seront retournés par les participants.
Ces questionnaires seront stockés dans les locaux de l'équipe INSERM en charge de la cohorte PELAGIE, dans des armoires fermées à clef au sein de l'Université de Rennes.
La Commission rappelle, d'une part, que les échanges de données effectués sur Internet doivent être sécurisés par des procédés de chiffrement du transport des données et, d'autre part, que l'obligation de sécurité nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, et sous réserve de la prise en compte des précédentes observations, la Commission autorise l'INSERM à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité une étude intitulée  Expositions aux contaminants chimiques et santé à l'âge pubertaire .
La Présidente
Isabelle FALQUE-PIERROTIN