(Demande d’autorisation n° 1682373)
La Commission nationale de l'informatique et des libertés,
Saisie par la Société Française de Médecine Vasculaire (SFMV) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’une journée de dépistage de l’anévrisme de l’aorte abdominale ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Société Française de Médecine Vasculaire (SFMV) est une association loi 1901 qui réunit environ 1800 médecins vasculaires, libéraux et salariés, du secteur public et du secteur privé.
La SFMV a pour but le développement de la médecine vasculaire sur les plans scientifique, pédagogique et de la qualité des soins.
Sur la finalité
La Haute Autorité de Santé (HAS) recommande depuis février 2013 un dépistage de l’anévrisme de l’aorte abdominale ciblé, opportuniste et unique, c’est-à-dire proposé une seule fois aux personnes cumulant les facteurs de risque que sont l’âge, le sexe masculin, le tabagisme et les antécédents familiaux. La HAS recommande que ce dépistage soit accompagné d’une prise en charge thérapeutique globale des personnes présentant un anévrisme de l’aorte abdominale.
La SFMV a donc décidé d’organiser le 21 novembre 2013 une journée de dépistage gratuit, sans rendez-vous et sans ordonnance, de l’anévrisme de l’aorte abdominale, appelée « OPERATION VESALE 2013 ».
93 mairies, hôpitaux et cliniques en France métropolitaine et en outre-mer se sont portés volontaires pour être centre de dépistage. Il est prévu que 10 000 personnes soient dépistées sur cette journée et 2% de dépistages positifs sont attendus.
Cette journée de dépistage est destinée en priorité aux hommes entre 50 et 75 ans avec un antécédent familial d’anévrisme, aux hommes fumeurs entre 65 et 75 ans, et aux femmes entre 60 et 75 ans fumeuses et/ou hypertendues.
A cette occasion, un médecin vasculaire recueillera des informations sur la santé du patient et ses habitudes de vie puis réalisera un examen échographique, qui n’est pas invasif, ne demande aucune préparation ni injection et dure moins de cinq minutes.
Si l’examen révèle une aorte d’apparence normale, le patient repart sans que son identité ne soit enregistrée. Si un anévrisme est détecté, le médecin recueillera auprès du patient ses coordonnées et celles de son médecin traitant afin que ce dernier soit prévenu que son patient a été dépisté et doit faire l’objet d’un suivi.
Par ailleurs, les données de santé collectées pendant l’entretien préalable à l’examen seront utilisées par la SFMV à des fins d’analyse statistique.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les données de santé recueillies lors de l’entretien entre le médecin et le patient sont les suivantes : pathologies, antécédents familiaux, antécédents médicaux personnels, données relatives aux soins et traitements, habitudes de vie (consommation de tabac, alcool…). Elles sont enregistrées par le médecin dans la base de données de la SFMV et associées à un numéro identifiant composé des initiales du patient et d’un numéro d’ordre.
Les informations administratives (coordonnées du patient et celles du médecin traitant) utilisées afin de prévenir les médecins traitants sont conservées séparément par le médecin dépisteur, associées au numéro identifiant. Elles ne seront accessibles qu’au seul médecin pratiquant le dépistage et ne sont relevées que pour les personnes dépistées positivement.
Le numéro identifiant sera conservé par le médecin afin qu’il puisse accéder aux données de santé des personnes qu’il a dépistées et transmettre les informations utiles au médecin traitant.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
La base de données de santé sera accessible à un statisticien de l’unité recherche clinique et épidémiologie du centre hospitalier régional universitaire de Montpellier, qui a été choisi par la SFMV pour procéder à l’analyse des données.
Les médecins ayant pratiqué le dépistage auront uniquement accès aux données de santé des patients qui les concernent.
Les informations administratives sont détenues seulement par le médecin dépisteur à des fins d’information du médecin traitant et pour contacter le patient trois mois après le dépistage afin de s’assurer qu’un suivi médical a été mis en place.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les patients sont informés de la mise en œuvre du traitement et des modalités d’exercice de leurs droits par une mention sur la plaquette d’information qui leur est remise en mains propres dans chaque centre de dépistage.
Une information sera également délivrée sur le site internet dédié à l’OPERATION VESALE 2013 et sur le site internet de la SFMV.
Les droits d’accès et de rectification, tels que reconnus par la loi du 6 janvier 1978 modifiée, explicités dans le document d’information, s’exerceront auprès du médecin ayant recueilli les données.
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
L’authentification des utilisateurs de la base s’effectuera au moyen d’un mot de passe d’une taille minimale de huit caractères, composé d’au moins trois caractères différents (minuscules, majuscules, chiffres ou caractères spéciaux).
Les connexions à la base de données seront sécurisées selon le protocole SSL et des mécanismes de journalisation assureront la traçabilité des actions des utilisateurs et des administrateurs sans possibilité de modifier le journal des traces.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Le fichier des informations administratives sera conservé pendant trois mois par le médecin ayant réalisé le dépistage afin que celui-ci s’assure qu’un suivi médical du patient a été mis en place.
Les données de santé seront conservées le temps nécessaire à leur analyse statistique puis détruites.
La Commission rappelle que les résultats de l’analyse statistique ne devront pas être susceptibles de permettre l’identification des patients, même indirectement.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la Société Française de Médecine Vasculaire (SFMV) à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN