La Commission Nationale de l'Informatique et des Libertés,
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'Informatique, aux fichiers et aux libertés ;
Vu le code de la santé publique, et notamment ses articles L673-8 et L673-9 ;
Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi du 6 janvier 1978 ;
Vu le décret n° 94-870 du 10 octobre 1994 ;
Vu le projet d'acte réglementaire présenté par l'établissement français des greffes ;
Après avoir entendu Monsieur Jean-Pierre MICHEL, en son rapport, et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
Considérant que l'établissement français des greffes, établissement public national, placé sous la tutelle du ministre chargé de la santé, créé par la loi n° 94-43 du 18 janvier 1994, a saisi la commission nationale de l'informatique et des libertés d'une demande d'avis relative à un traitement automatisé d'informations nominatives ayant pour finalité de gérer la liste des patients en attente de greffe et d'assurer le suivi de l'activité française de greffe ;
Considérant que le traitement CRISTAL a pour finalité, conformément aux missions confiées par la loi à l'établissement français des greffes, de gérer la liste nationale des patients en attente de greffe et l'attribution des greffons, d'organiser la traçabilité, la sécurité et la vigilance afin d'obtenir une information fiable sur l'état des stocks des greffons, et de mettre en place un système d'alerte efficace et rapide afin d'évaluer au plan statistique les activités de prélèvement et de greffe ;
Considérant que l'architecture de l'application CRISTAL se décompose en trois niveaux décentralisés, correspondant chacun à des groupes d'utilisateurs, tous dotés des moyens informatiques nécessaires pour leur permettre de transmettre les données :
. le niveau local, représenté par les équipes de greffe au sein des établissements de santé ;
. le niveau régional, représenté par les sept coordonnateurs inter-régionaux de l'établissement français des greffes, médecins-anesthésistes-réanimateurs qui ont en charge la régulation des greffons et l'animation du réseau de prélèvement et de transplantation au niveau de l'inter-région placée sous leur autorité ;
. le niveau national, au siège de l'établissement français des greffes où se situe le serveur central de l'application ;
Considérant que chacun des trois groupes utilisateurs précédemment définis accède en fonction de ses habilitations respectives aux trois applications de CRISTAL :
- la gestion de la liste nationale d'attente ;
- la gestion des donneurs et l'attribution des greffons ;
- les greffes et le suivi des greffés ;
Sur la gestion de la liste nationale d'attente :
Considérant que l'article L673-8 du code de la santé publique prévoit que "peuvent seules bénéficier d'une greffe d'organes, de moëlle, de cornée ou d'autres tissus dont la liste est fixée par arrêté après avis de l'établissement public, les personnes, quelle que soit leur résidence, qui sont inscrites sur une liste nationale" ;
Considérant que l'équipe médico-chirurgicale prescrivant l'indication de greffe, effectue l'inscription médicale de son patient sur la liste nationale d'attente en accédant directement à l'application CRISTAL sur son terminal au moyen d'un code d'accès spécifique attribué par l'établissement français des greffes ; que, lors de cette inscription, le médecin communique à l'établissement français des greffes les informations médicales permettant d'apprécier l'état du patient ; qu'ensuite, le directeur de l'établissement de santé effectue la demande de prise en charge du patient et transmet au service de régulation nationale de l'établissement français des greffes un formulaire d'inscription administrative papier, pour confirmer l'inscription par le médecin ;
Considérant que l'établissement français des greffes valide alors l'inscription du patient sur CRISTAL, qui devient éligible pour recevoir un greffon et transmet au patient un courrier de confirmation de son inscription assorti d'un numéro de référence non signifiant attribué par le système ; qu'une copie de ce courrier est adressée à l'équipe médico-chirurgicale ayant prescrit la greffe ;
Considérant qu'une fois par an, l'établissement français des greffes communique aux directeurs des établissements de santé, le nombre de patients relevant de leur établissement, inscrits sur la liste nationale d'attente ;
Considérant que pour la gestion de cette liste nationale, les informations collectées sur le receveur sont les suivantes : numéro attribué par le système et non signifiant, nom, prénom, date de naissance, nationalité, adresse de résidence, sexe, âge, antécédents médicaux, état du patient, suivi prétransplantation, sortie de la liste ;
Considérant que l'enregistrement de la nationalité du receveur, qui n'est accessible que par l'établissement français des greffes, et n'est exploitée qu'à des fins statistiques, est justifiée par la nécessité d'analyser le suivi des greffons et des patients en tenant compte des facteurs de risque ; que la nationalité est susceptible de constituer pour les patients étrangers un facteur de risque dans la mesure où le suivi éventuel par d'autres praticiens que ceux de l'équipe médico-chirurgicale de greffe constitue un facteur de risque ; qu'en outre, dans le cadre de la description annuelle de l'activité de greffe, la répartition par nationalité permet une meilleure compréhension des flux de patients et constitue dès lors un élément important pour une démarche européenne dans ce domaine ;
Considérant en conséquence, que l'enregistrement à des fins statistiques de la nationalité des patients est pertinente au regard de la finalité du traitement ;
- Sur la gestion des donneurs et l'attribution des greffons :
Considérant que l'établissement français des greffes doit, pour suivre, analyser et évaluer l'activité de prélèvement, enregistrer d'une part, tous les donneurs en état de mort encéphalique, et n'ayant pas manifesté de refus de prélèvement de leurs organes et, d'autre part les donneurs volontaires de moelle ;
Considérant que lorsque des greffons sont disponibles, l'équipe locale de réanimation et/ou la coordination hospitalière, informe le coordonnateur inter-régional de son ressort géographique, auquel est transmise l'information décrivant les caractéristiques du donneur et des greffons potentiels sur support papier ou par téléphone ; que la fiche papier est transmise au coordonnateur inter-régional qui enregistre dans l'application CRISTAL les informations liées au donneur et au greffon, répertorié par un numéro unique attribué par le système, et non signifiant ;
Considérant qu'en application des règles de répartition et d'attribution des greffons, homologuées par un arrêté du 6 novembre 1995, le coordonnateur inter-régional recherche dans son inter-région un receveur compatible ; qu'il contacte alors les équipes médico-chirurgicales par téléphone ;
Considérant qu'en cas de super-urgence hépatique, ou si le coordonnateur inter-régional n'a pas de receveur potentiel dans son inter-région, ou encore s'il ne reçoit pas d'accord de la part des équipes médico-chirurgicales contactées, la responsabilité de la régulation est transférée à l'unité de régulation nationale située à l'établissement français des greffes ; que celle-ci opère de façon identique à l'échelle du pays en proposant le greffon aux autres inter-régions, selon un ordre fixé par les règles de répartition, puis, en dernier ressort, le propose aux organisations étrangères ;
Considérant que les informations collectées sur les donneurs sont : le numéro de donneur attribué par la système et non signifiant, le nom, le prénom, la date de naissance, le département de résidence, le sexe, les antécédents, les causes de décès si le donneur est mort, l'identification des équipes d'accueil et de prélèvement, les bilans et examens biologiques, les prélèvements effectivement réalisés ;
Considérant que pour des raisons de traçabilité, le nom est conservé dans le système de gestion des données de CRISTAL, tant que le donneur est susceptible d'être prélevé ;
Considérant que le principe de l'anonymat du don est défini à l'article L665-14 du code de la santé publique comme l'impossibilité pour le donneur de connaître l'identité du receveur et réciproquement, pour le receveur de connaître l'identité du donneur ; qu'aucune information permettant d'identifier à la fois celui qui a fait don d'un élément ou d'un produit de son corps et celui qui l'a reçu ne peut être divulguée ; qu'il ne peut être dérogé à ce principe d'anonymat qu'en cas de nécessité thérapeutique ;
Considérant que seuls le responsable habilité au sein de l'établissement français des greffes et les sept correspondants inter-régionaux de l'EFG sont en mesure de faire le lien entre les donneurs et les receveurs ; que les équipes de greffe n'ont jamais accès au nom des donneurs ;
Considérant en outre, que pour garantir la confidentialité des données les noms des donneurs prélevés disparaissent des écrans de consultation 48 heures après leur enregistrement, pour les utilisateurs des régulations inter-régionales, comme pour ceux de la régulation nationale de l'EFG ; qu'à terme ces données seront cryptées ;
Considérant que si le donneur est vivant, sont également collectés sa nationalité et les éléments relatifs à son suivi médical ; que l'enregistrement de la nationalité permet à l'EFG d'analyser la répartition géographique des prélèvements ;
Considérant que sont enregistrées l'identité des coordonnateurs hospitaliers et des coordonnateurs inter-régionaux, dans le cadre de leur activité de régulation ;
- Sur les greffes et le suivi des greffés :
Considérant que chaque coordination inter-régionale effectue des propositions de greffons qui sont enregistrées dans CRISTAL, d'abord dans son inter-région, puis dans une autre si la sienne ne répond pas favorablement à la proposition ; que si l'une d'entre elles est acceptée par une équipe de greffe, la greffe peut être réalisée ; qu'une fois la greffe effectuée, l'équipe remplit une fiche de "suivi de greffe", qui est saisie sur CRISTAL où est rappelé le numéro d'identification attribué par l'EFG au moment de l'inscription sur la liste nationale d'attente ; que cette fiche vaut déclaration que le patient a bien été effectivement greffé par l'équipe de greffe qui n'a accès qu'au numéro du donneur, mais jamais à son identité ; que les données enregistrées dans CRISTAL sont relatives à l'identité du médecin greffeur, à la date de la greffe et au type d'intervention pratiquée, à l'état du patient, à sa sérologie et au suivi des événements péri-opératoires, aux complications éventuelles et au dernier état du greffon ; que les informations du traitement CRISTAL sont ainsi mises à jour ; que le suivi des patients constitue, en effet, un impératif pour répondre à la mission d'évaluation de l'EFG et correspond à la nécessité d'assurer la traçabilité de l'activité de greffe ;
- Sur les destinataires des données :
Considérant que les destinataires des données sont, en raison de leurs fonctions respectives, les équipes hospitalières de greffes, les équipes de prélèvement, et les coordonnateurs hospitaliers, les coordonnateurs inter-régionaux de l'établissement français des greffes, et les personnes habilitées par le directeur de l'établissement français des greffes ;
- Sur l'information des patients et les modalités d'exercice du droit d'accès :
Considérant que le médecin responsable de l'équipe médico-chirurgicale assurant l'inscription sur la liste nationale d'attente a la responsabilité d'informer le patient de l'enregistrement d'informations nominatives le concernant sur la liste gérée par l'EFG et du caractère obligatoire de cette inscription (article 56-1 de la loi n° 94-43 du 18 janvier 1994) ; que la circulaire de la direction générale de la Santé, de la direction des hôpitaux et de l'établissement français des greffes du 25 avril 1995 précise que la procédure d'inscription sur la liste nationale d'attente comporte l'envoi d'un courrier, par l'établissement français des greffes, confirmant au patient son inscription ;
Considérant que, à l'occasion de l'envoi de cette lettre de confirmation, les patients sont informés de l'existence du traitement CRISTAL, de sa finalité, des destinataires des données médicales les concernant ; qu'en application des articles 34 et 40 de la loi du 6 janvier 1978, il leur est indiqué que leur droit d'accès s'exerce par l'intermédiaire du médecin de leur choix auprès du directeur général de l'établissement français des greffes ;
Considérant que ces mesures sont satisfaisantes ;
- Sur les sécurités :
Considérant que le serveur principal de l'application CRISTAL est situé au siège de l'établissement français des greffes ; que le réseau permet d'accéder au serveur à partir de terminaux ou postes de travail en émulation terminale via des liaisons Numeris ou RTC ;
Considérant que la sécurité logique est assurée à un premier niveau par l'utilisation d'un code utilisateur ; qu'ainsi, seuls les utilisateurs déclarés au système peuvent se connecter à CRISTAL ;
Considérant qu'un second niveau de contrôle est garanti par un système développé par une société spécialisée en matière de sécurité informatique ; que le service central de sécurité des systèmes d'information, qui a effectué l'expertise de ce système, a estimé que le niveau de sécurité offert était en mesure de convenir à l'application envisagée par l'établissement français des greffes ;
Considérant que ce système est fondé sur le principe d'attribution à chaque utilisateur d'une carte individuelle générant un code d'accès personnel aléatoire saisi grâce à un boîtier individuel ; que le serveur distant vérifie alors grâce à un boîtier de contrôle d'accès qui lui est connecté, la validité du code utilisateur et du mot de passe ;
Considérant en conséquence, qu'il est impossible à qui ne connaît pas son nom d'utilisateur et son mot de passe, et ne possède pas la carte associée de se connecter à CRISTAL ;
Emet un AVIS FAVORABLE au projet d'acte réglementaire présenté par l'établissement français des greffes concernant un traitement automatisé d'informations nominatives ayant pour finalité la gestion de la liste nationale des patients en attente de greffe et le suivi de l'activité française de greffe.
Le Président, Jacques FAUVET