La Commission nationale de l’informatique et des libertés ;
Saisie par le Centre national de la recherche scientifique (CNRS) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude de la diversité génétique et linguistique de la population du Cap-Vert ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-2° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par le Centre national de la recherche scientifique (ci-après le CNRS) d’une demande d’autorisation préalablement à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité une étude portant sur la diversité génétique et linguistique de la population du Cap-Vert. Cette étude s’inscrit dans le cadre d’un programme visant à reconstruire les histoires évolutives complexes des populations actuelles à travers le monde et de comprendre les données génétiques, culturelles et environnementales de la diversité biologiques des populations observées.
Le traitement de données à caractère personnel envisagé consiste en la conduite d’une recherche scientifique en anthropologie génétique.
Il est, dans ce cadre, envisagé de constituer une collection d’échantillons biologiques provenant de prélèvements salivaires effectués sur des volontaires adultes recrutés dans les villages et communautés traditionnelles du Cap-Vert. L’étude repose notamment sur l’analyse de l’ADN ainsi prélevé.
Dans la mesure où le traitement porte sur la collecte de données relatives à l’origine ethnique, ainsi que sur des données génétiques, la Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8 et 25-I-2° de la loi « informatique et libertés » qui soumettent à autorisation « les traitements automatisés portant sur des données génétiques, à l’exception de ceux d’entre eux qui sont mis en œuvre par des médecins ou biologistes et qui sont nécessaires aux fins de la médecine préventive, des diagnostics médicaux ou de l’administration de soins ou de traitements ».
Sur la finalité du traitement :
La finalité principale de l’étude est de décrire les mécanismes et influences ayant participé au développement des variétés du langage créole et des populations humaines actuellement présentes sur les îles du Cap-Vert.
Il s’inscrit dans le cadre de travaux de recherche fondamentale en génétique sur des populations humaines et en anthropologie génétique menés par l’unité mixte de recherche 7206 « Eco-anthropologie et ethnobiologie » rattachée au CNRS ayant pour objectifs de reconstruire les histoires évolutives des populations actuelles à travers le monde et de comprendre les données génétiques, culturelles et environnementales de la diversité biologique observée.
La Commission considère la finalité poursuivie comme déterminée, explicite et légitime au sens de l’article 6-2 de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Concomitamment aux prélèvements salivaires permettant le recueil de l’ADN des participants et son séquençage, les informations suivantes seront recueillies directement auprès des personnes :
nom, prénom ;
date et année de naissance ;
lieu de vie principal et secondaire, conditions d’habitation ;
lieu et année de mariage ;
lieu de vie avant et après le mariage ;
règles culturelles du mariage ;
nombre d’enfants y compris décédés (âge, lieu de naissance et lieu de vie) ;
langue parlée usuellement et son contexte ;
autre langue utilisée et son contexte ;
langue et lieu de naissance du conjoint, des parents et des grands-parents.
Les données sont collectées lors d’un entretien, sous format papier et audio destiné à permettre l’analyse linguistique.
Ces données seront codées par le chercheur investigateur. Une table de correspondance entre l’identité du participant et son numéro d’identification sera élaborée et conservée par le chercheur. La Commission rappelle que les données directement identifiantes devront être traitées de façon séparée des données de l’étude et être enregistrées dans une base de données distincte.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
Les données, y compris le séquençage de l’ADN, seront conservées jusqu’à la publication des résultats.
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement des finalités poursuivies par le responsable de traitement.
Sur les destinataires des données :
Deux universités américaines, partenaires scientifiques du projet, seront destinataires des données relatives aux participants à l’étude sous la forme codée.
S’agissant de transfert de données vers les États-Unis, pays n’accordant pas une protection suffisante au sens de l’article 68 de la loi Informatique et Libertés, et à défaut de souscription au Privacy Shield par les destinataires américains concernés, la Commission se prononcera sur le transfert des données envisagé par la voie d’une délibération spécifique dès lors que la sécurité du transfert aura été garantie par le recours du responsable du traitement aux clauses contractuelles types adoptées par la Commission européenne, conformément aux dispositions spécifiques de la loi précitée relatives aux transferts internationaux de données, notamment à son article 69.
Sur l’information et le consentement des personnes :
Dans le cadre du projet, le recrutement des participants s’effectuera directement par les chercheurs investigateurs sur place en présence d’un interprète.
La Commission relève que le consentement exprès des personnes est recueilli.
Afin de garantir le caractère éclairé du consentement recueilli, une information des personnes sera préalablement effectuée, d’une part, oralement par les chercheurs investigateurs et, d’autre part, par la remise d’un document explicatif relatif aux modalités de la présente étude.
La Commission relève que la notice d’information ne contient pas de limite de durée de conservation des données.
En conséquence, la Commission demande que la durée de conservation des données ou, en cas d’impossibilité, les critères utilisés permettant de déterminer cette durée soient clairement mentionnés dans la notice d’information.
Sur les droits d’accès, de rectification et d’opposition des personnes :
La Commission relève que la notice d’information ne mentionne pas clairement la possibilité pour les participants à l’étude d’exercer leurs droits d’accès, de rectification et d’opposition et se contente de renvoyer « pour toute question » à différentes points de contact.
La Commission demande que la notice d’information soit complétée.
Sur la sécurité des données et la traçabilité des actions :
La Commission prend acte de ce que les informations collectées sur le terrain seront pseudonymisées : les prélèvements et les données liées aux entretiens avec les personnes seront associés à un code alphanumérique unique et non signifiant. Les données d’identification des personnes associées à ces codes seront conservées uniquement par le chercheur réalisant les entretiens et sous format papier. Les autres données, y compris le résultat des analyses génétiques, seront conservées sur les infrastructures du CNRS. Ces mesures apparaissent adaptées au projet et aux exigences de la Commission en la matière.
Concernant les transmissions de données vers les partenaires de l’étude, celles-ci auront lieu via une connexion SSH sur des serveurs FTP, ce qui permet d’en garantir la confidentialité.
Concernant les transmissions de données par courriel, ainsi que par l’intermédiaire de supports de stockage amovibles, la Commission prend acte de ce que les données transmises ne seront pas chiffrées dans un premier temps, mais que le laboratoire est en cours de mise en place d’une politique de chiffrement de ces données qui devrait être effective en 2018.
Concernant le stockage des données conservées en base et dans les sauvegardes, la Commission prend acte de ce que ces données ne seront pas chiffrées, mais que le laboratoire est en cours de mise en place d’une politique de chiffrement de ces données qui devrait être effective en 2018.
Concernant les modalités d’authentification des personnes, la Commission prend acte de ce que celles-ci ne respectent pas à date les recommandations de la Commission en la matière, mais que le laboratoire est en cours de mise en place d’une politique de gestion des mots de passe conforme aux recommandations de la Commission qui devrait être effective en 2018. Le chercheur responsable de l’étude s’est néanmoins engagé à respecter les recommandations de la Commission en matière d’authentification et à les faire respecter par les personnes auxquelles il serait amené à donner des habilitations d’accès aux données au sein de son laboratoire. La Commission prend donc acte de ce que les accès aux données seront contrôlés de façon conforme à ses recommandations en la matière.
Concernant les mesures de traçabilité, seules les connexions à l’application seront tracées, ce qui est acceptable compte tenu du très faible nombre de personnes habilitées à accéder au traitement. Les données de traçabilité ne sont accessibles que par les administrateurs informatiques du laboratoire.
Les supports de stockage de données font l’objet d’une destruction physique en cas de panne ou de remplacement.
Les autres mesures de sécurité apparaissent de nature à assurer la sécurité des données traitées et n’appellent pas de remarques particulières de la Commission.
Dans ces conditions, la Commission autorise le CNRS à mettre en œuvre un traitement de donnée à caractère personnel ayant pour finalité une étude portant sur la diversité génétique et linguistique de la population du Cap-Vert.
La Présidente
Isabelle FALQUE-PIERROTIN