(Demande d’autorisation n° 914086)
La Commission nationale de l'informatique et des libertés,
Saisie par la direction centrale du service de santé des armées du ministère de la défense d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre de la recherche « COSEMIL » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L.1121-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 54 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 8 novembre 2006 fixant la durée de conservation par le promoteur et l’investigateur des documents et données relatifs à une recherche biomédicale portant sur un médicament à usage humain ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La CNIL a été saisie le 30 janvier 2014 par le ministère de la défense d’une demande d’autorisation relative à une recherche biomédicale menée dans le domaine de la santé ayant pour finalité une étude portant sur les comportements sexuels chez les militaires français, étude dénommée « COSEMIL ».
L’objectif principal de l’étude COSEMIL est de permettre la définition des politiques de prévention efficaces et d’offrir un système de prise en charge médicale adaptée.
Cette recherche relève du champ d’application du chapitre IX de la loi du    6 janvier 1978 modifiée, relatif aux traitements de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé, qui autorise, sous certaines conditions, les transmissions de données médicales identifiantes entre professionnels de santé et organismes de recherche par dérogation au secret médical, tout en conférant des droits aux personnes concernées.
Ainsi, la Commission considère qu’il y a lieu de faire application des dispositions des articles 54 et suivants de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements mis en œuvre dans le cadre d’une recherche menée dans le domaine de la santé.
Elle précise que chaque modification du protocole de recherche initial devra lui être présentée et que les modifications substantielles devront préalablement être soumises pour avis au CPP et au CCTIRS.
La recherche « COSEMIL » a reçu un avis favorable du Comité consultatif sur le traitement de l’information en matière de recherche dans le domaine de la santé (CCTIRS), ainsi que des avis favorables du comité de protection des personnes (CPP) Sud-Méditerranée II et du secrétaire général de l’administration du ministère de la défense. Cette recherche bénéficie d’un financement de l’Agence nationale de recherches sur le sida et les hépatites, et des accords des états-majors des armées de l’Air, de Terre et de la Marine nationale.
Sur la finalité du traitement :
Le traitement projeté a pour finalité principale l’amélioration de la connaissance des comportements et des pratiques préventives en matière de sexualité dans les armées françaises.
Pour ce faire, l’objectif de la recherche est décliné dans le protocole de recherche comme suit :
description de l’activité sexuelle (rapports souhaités et non souhaités, contextes relationnels) et des pratiques préventives ;
caractérisation du contexte normatif sur la sexualité (hétéro-normativité, homophobie, etc.) ;
identification de la fréquence des expositions à risques sexuels et mise en perspective avec les diagnostics d’infections sexuellement transmissibles (en incluant le virus de l'immunodéficience humaine (VIH)et le virus de l’hépatite B (VHB) ;
analyse des facteurs sociaux et relationnels qui favorisent les situations d’exposition  à des risques sexuels ;
étude de l’accès et du recours aux soins en cas d’exposition à un risque sexuel ;
estimation de la prévalence des infections par les virus du VIH, du VHB, du virus de l’hépatite C (VHC) et des infections bactériennes les plus courantes dans les trois corps de l’armée française (armées de terre, de l’air et marine) en offrant un dépistage systématique de ces agents pathogènes ;
et étude de la fréquence et du vécu des périodes d’isolement sexuel et leur impact sur la santé des individus (santé mentale, utilisation de substances additives).
La Commission considère que ces finalités sont déterminées, explicites et légitimes.
Sur la nature des données traitées :
Les données traitées sont relatives :
à l’état civil / à l’identité : nom, prénom, adresse, situation familiale, habitudes de vie ;
aux données de santé : pathologies, affections, antécédents médicaux, données relatives aux soins, situations ou comportements à risques au regard de la contamination par le VIH ;
à la vie sexuelle ;
au pays de naissance (France métropolitaine, DOM/TOM, pays étranger) et à la zone géographique de naissance des personnes ( Europe hors France, Amérique du Nord, Amérique du Sud hors DOM/TOM, Afrique du Nord, Afrique sub saharienne, Asie, Moyen-Orient, Pacifique hors DOM/TOM, autres).
La Commission relève que le questionnaire électronique comprend des champs libres permettant au participant de décrire le cas échéant son corps militaire de rattachement et de présenter ses appréciations concernant le questionnaire. A ce titre, elle prend acte qu’une mention spécifique précise qu’aucune donnée permettant de ré-identifier le participant ne soit renseignée.
La Commission considère, compte tenu des finalités poursuivies, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
En matière de recherche biomédicale, et plus spécifiquement en application des dispositions de l’arrêté du 8 novembre 2006 fixant « la durée de conservation par le promoteur et l'investigateur des documents et données relatifs à une recherche biomédicale portant sur un médicament à usage humain », les documents et données relatifs à la recherche doivent être conservés pendant au moins quinze ans après la fin de la recherche biomédicale.
La Commission relève que les données directement d’identification des personnes participant à la recherche « COSEMIL » seront supprimées dès réception des résultats des analyses de biologie médicale pratiquées dans le cadre de l ‘étude.
La Commission considère que la conservation des données de la recherche quinze ans après la fin de la recherche est une durée proportionnée aux finalités poursuivies.
Sur l'information des personnes :
A la suite d’une présentation orale du projet de recherche, une note d’information détaillée, remise à chaque participant, expose les finalités de la recherche « COSEMIL », les différentes étapes (questionnaire, prélèvements biologiques, constitution de la biothèque) de la recherche auxquelles tout ou partie des participants peuvent librement accepter de participer, les droits des personnes, notamment en application des dispositions de la loi du 6 janvier 1978 modifiée, ainsi que les modalités d’exercice de ceux-ci, et enfin le devenir des échantillons biologiques humains, prélevés exclusivement pour les besoins de la recherche « COSEMIL ».
Par ailleurs, la note d’information rappelle aux personnes tirées au sort le caractère volontaire de leur participation à l’étude, et l’absence de toute conséquence en termes d’aptitude ou de sanction disciplinaire, le médecin investigateur et les participants étant membres du corps militaire.
La Commission souligne la nécessité de délivrer aux personnes participant à la recherche une information claire et complète appelant leur attention sur le fait qu’aucune conséquence découlant de la participation ou du refus de participer à l’étude ne doit intervenir.
La Commission considère que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur le recueil du consentement des personnes :
Le dossier comporte un formulaire de recueil du consentement dans lequel le participant peut choisir d’accepter ou de refuser :
de renseigner le cahier d’observation,
de réaliser les auto-prélèvements biologiques (d’urine pour les hommes et vaginal pour les femmes),
la réalisation d’un prélèvement sanguin,
d’être tenu informé des résultats des tests réalisés sur le matériel biologique ainsi prélevé,
la constitution d’une biothèque avec le matériel restant.
La Commission estime ces mesures satisfaisantes.
Sur les modalités d’exercice des droits :
La note d’information transmise à chaque candidat à l’étude précise qu’à tout moment les participants peuvent exercer leurs droits de retrait discrétionnaire de l’étude, d’accès et de rectification des données les concernant auprès du médecin en charge de l’étude au sein du centre d’épidémiologie et de santé des armées à Saint-Mandé.
La Commission estime ces mesures conformes aux dispositions des articles 38 et suivants de la loi du 6 janvier 1978 modifiée.
Sur la sécurité des données et la traçabilité des actions :
Seuls les personnels spécifiquement habilités du CESPA et de son sous-traitant, la société Ipsos, pourront accéder aux données collectées par l’intermédiaire des eCRF.
Les questionnaires seront paramétrés sur des ordinateurs portables, qui seront distribués aux personnes acceptant de participer au projet de recherche « COSEMIL ».
Les questionnaires seront identifiés par un code unique qui sera reporté sur les eCRF, avant que le participant ne complète le questionnaire, et les échantillons biologiques associés.
Une table de correspondance entre l’identité réelle et le code des participants sera créée et conservée chiffrée sur une clé USB, la clé de chiffrement étant conservée par l’officier de sécurité des systèmes d’information du SSA et la clé USB stockée dans un coffre-fort du CESPA. Cette table sera conservée jusqu’à transmission des résultats d’analyse de biologie médicale.
Dès renseignement des eCRF, les données seront conservées chiffrées sur l’ordinateur utilisé.
Les données codées seront ensuite transmises à la société Ipsos, qui est en charge de collecter les données pendant la phase de recueil des réponses, puis de les transmettre en fin d’enquête au CESPA qui réalisera les statistiques et rapprochera les données biologiques.
Ces transferts de données sont réalisés au moyen d’un réseau privé virtuel (RPV ou VPN pour Virtual Private Network) reposant sur le protocole IPsec. Le client VPN se trouvant sur les ordinateurs portables sera paramétré par la société Ipsos et il sera nécessaire de disposer des droits administrateur sur ces ordinateurs pour pouvoir modifier les paramètres.
Afin d’accéder aux données renseignées dans les questionnaires et aux données biologiques, il sera nécessaire de détenir un identifiant et un mot de passe devant disposer d’un minimum de huit caractères et composé de trois types de caractères distincts parmi les minuscules, majuscules, chiffres ou caractères spéciaux.
Les accès à l’application et aux données seront tracés et horodatés.
Les transferts de données depuis la société Ipsos vers le serveur du CESPA seront également sécurisés par le recours à un réseau privé virtuel.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la direction centrale du service de santé des armées du ministère de la défense à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la recherche biomédicale dénommée « COSEMIL ».
La Présidente
Isabelle FALQUE-PIERROTIN