La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut Rafaël d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une recherche visant à déterminer les fréquences génétiques de la population française, agrégées à des questionnaires multithématiques en ligne, intitulée e-CohortE ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66 et suivants ;
Vu le décret n°2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le code civil, notamment ses articles 16-10 et 16-11 ;
Vu le code de la santé publique, notamment ses articles L. 1131-1 et suivants ;
Vu le code pénal, notamment ses articles 226-26 et 226-28-1 ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie de la demande d’autorisation sur le fondement des articles 72 et suivants de la loi informatique et libertés modifiée, applicables aux traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé.
Le traitement a été qualifié par le demandeur de recherche impliquant la personne humaine, et plus précisément de recherche interventionnelle à risques et contraintes minimes. Un avis favorable du comité de protection des personnes (CPP) a été rendu le 15 mai 2019.
Le projet est présenté comme une cohorte de personnes volontaires dont le séquençage complet du génome serait réalisé et qui seraient invitées à répondre à des questionnaires multithématiques. Cette cohorte serait à l’origine composée de 5000 personnes recrutées par cinq centres investigateurs. A terme, il est envisagé que d’autres centres puissent contribuer au projet en accédant aux génomes ainsi collectés et en enrichissant la base par l’apport des génomes de nouveaux volontaires recrutés par leurs soins.
Des prélèvements sanguins et/ou salivaires sont envisagés afin de réaliser l’analyse des caractéristiques génétiques.
A titre liminaire, la Commission rappelle que les données génétiques sont considérées, en application des dispositions de l’article 9 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (UE) relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE Règlement général sur la protection des données (ci-après RGPD), comme des données sensibles. L’article 9.4 du RGPD laisse par ailleurs aux Etats membres la possibilité d’introduire des limitations s’agissant du traitement de telles données. A ce titre, la Commission rappelle que le législateur a maintenu des dispositions législatives et réglementaires spécifiques pour la réalisation d’examens des caractéristiques génétiques, qui sont prévues, outre dans la loi informatique et libertés, dans le code civil, le code de la santé publique (CSP) et le code pénal.
Sur la base légale du traitement et l’exception permettant de traiter des données sensibles
L’AIPD transmise indique que le fondement qui rend licite le traitement, conformément à l’article 6 du RGPD, est le consentement accordé par les participants au projet.
Le responsable de traitement évoque aussi le recueil du consentement pour
légitimer son traitement des données de santé
A cet égard, elle rappelle que, conformément à l’article 4 (11) du RGPD, le consentement est défini comme
toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement
Or, elle constate que le formulaire de consentement comprend une dizaine d’éléments auxquels le participant doit consentir et que le consentement aux données, incluant les données génétiques, est dilué dans cette liste. Par ailleurs, elle relève qu’une case à cocher permettrait au participant d’accepter de participer à l’étude. Elle rappelle à ce titre que le consentement à la participation à la recherche doit être différencié du consentement au traitement des données, comme l’ont rappelé le comité européen sur la protection des données (Avis 3/2019 concernant les questions et réponses sur l’interaction entre le règlement relatif aux essais cliniques et le règlement général sur la protection des données (RGPD)) ainsi que le contrôleur européen de la protection des données ( A Preliminary Opinion on data protection and scientific research , Janvier 2020).
La Commission relève dès lors que les modalités de recueil du consentement, notamment l’absence de case à cocher distincte pour le traitement de données de santé, ne permettent pas de considérer qu’il s’agit d’un consentement spécifique et univoque.
Elle en conclut que le consentement proposé ne répond pas aux critères exigés par les articles 4 (11) et 7 du RGPD et que le responsable de traitement ne saurait le retenir comme base légale du traitement ou comme exception permettant le traitement des données de santé.
Sur la finalité du traitement
Le dossier mentionne que l’Institut Rafaël envisage de mettre en place une cohorte de personnes volontaires pour lesquelles le séquençage complet du génome serait réalisé et qui répondraient également à des questionnaires en ligne. L’objectif est d’étudier, à partir d’un prélèvement de sang et/ou de salive réalisé spécifiquement pour le projet, le lien entre les phénotypes de chaque personne en relation avec son génome et de tenter de cartographier l’intégralité de son génome.
Le recueil de nombreuses informations au moyen de questionnaires est également prévu, sans que la liste des questions soit limitative, chaque centre participant au projet étant en mesure de soumettre ses propres questionnaires.
Le projet met en avant la valeur ajoutée attendue de cette recherche visant à collecter des nouvelles données tout au long de l’étude, au travers des questionnaires, afin d’enrichir les connaissances sur le génome.
Le cadre légal de réalisation d’examens génétiques, dans le domaine de la santé, doit toutefois être rappelé.
L’article 16-10 du code civil, auquel renvoie l’article L. 1131-1 du CSP, précise que
(…) l'examen des caractéristiques génétiques d'une personne ne peut être entrepris qu'à des fins médicales ou de recherche scientifique. Le consentement exprès de la personne doit être recueilli par écrit préalablement à la réalisation de l'examen, après qu'elle a été dûment informée de sa nature et de sa finalité. Le consentement mentionne la finalité de l'examen. Il est révocable sans forme et à tout moment.
S’agissant des fins médicales, les articles R. 1131-1 et suivants du CSP précisent les types d’analyses génétiques pouvant être réalisées et prévoient des dispositions spécifiques relatives à l’examen des caractéristiques génétiques d’une personne à de telles fins. Des modalités particulières de prescription et de rendu des résultats génétiques dans le cadre de la prise en charge médicale d’une personne sont également détaillées dans ces articles. Il en résulte que la volonté du législateur est de prévoir un dispositif strict et protecteur dans la délivrance de ces informations de santé particulières, notamment en raison de la complexité de leur interprétation, de l’effet anxiogène qu’elles sont susceptibles de susciter chez les patients et, du fait de leur caractère pluripersonnel, de leur impact potentiel sur la famille du patient.
En particulier, l’arrêté du 27 mai 2013 définissant les règles de bonnes pratiques applicables à l'examen des caractéristiques génétiques d'une personne à des fins médicales et pris en application de l’article L. 1131-2 du code de la santé publique, précise que :
(…) Les examens de génétique ne doivent être prescrits que lorsqu'ils ont une utilité clinique et qu'ils sont souhaités par la personne. Le seul fait qu'un examen soit disponible et réalisable ne justifie ni de sa prescription ni de sa réalisation.
En matière de recherche scientifique, la Commission constate que les dispositions législatives et réglementaires applicables à l’examen des caractéristiques génétiques, même si elles ne précisent pas les conditions de réalisation d’un tel examen, évoquent la nécessité d’un projet de recherche défini, en usant des termes suivants
la finalité de l’examen
ce projet de recherche
Il résulte de l’ensemble de ces dispositions que le législateur a entendu subordonner la possibilité de réaliser un projet de recherche reposant sur l’examen de caractéristiques génétiques à l’énoncé préalable d’un objectif scientifique précis. La Commission constate d’ailleurs, qu’elle s’est toujours en pratique prononcée sur des traitements envisagés dans le cadre de projets de recherche répondant à un tel objectif, en particulier aux fins d’étude d’une pathologie particulière.
Or, elle constate qu’aucune finalité déterminée n’est à ce jour définie pour le traitement en question, dans la mesure où le projet prévoit de recueillir le maximum de données génétiques possible pour cartographier le génome humain sans méthodologie associée permettant de répondre à une question scientifique précise, que les critères d’inclusion sont extrêmement vastes (toute personne de plus de 18 ans acceptant de participer à l’étude et affiliée à un régime d’assurance maladie) et visent donc la population générale. Elle ne peut donc que s’interroger sur la pertinence scientifique de la recherche envisagée, au regard notamment de l’étendue et de la nature des données susceptibles d’être collectées (détaillées ci-après et incluant des données génétiques).
Par ailleurs, la Commission relève que de nouvelles questions pourront être posées par chaque chercheur de manière ultérieure et qu’elle n’a pas connaissance, à ce jour, de l’ensemble des données susceptibles d’être collectées.
En outre, elle estime que le responsable de traitement n’indique pas clairement s’il exclut toute finalité médicale dans son projet, dans la mesure où il prévoit notamment la transmission de résultats génétiques pouvant révéler des informations relatives à la santé de la personne concernée, avec un avis médical (voir ci-après).
Elle regrette par ailleurs que le Comité de protection des personnes (CPP) n’ait pas fourni dans son avis les éléments nécessaires permettant à la Commission d’apprécier la pertinence de la recherche, le caractère satisfaisant de l'évaluation des bénéfices et des risques attendus ainsi que la méthodologie de la recherche, la nécessité du recours à la collecte et au traitement de données à caractère personnel et la pertinence de celles-ci par rapport à l'objectif de la recherche, conformément aux missions qui lui sont dévolues par l’article L. 1123-7 du code de la santé publique.
La Commission considère donc que la finalité poursuivie par le traitement n’est pas suffisamment déterminée et explicite, ainsi que l’exige pourtant l’article 5.1.b) du RGPD.
Sur la nature des données traitées
Le protocole transmis dans le dossier précise que les participants seraient recrutés par un médecin d’un centre investigateur (généraliste, spécialiste, en ville ou à l’hôpital) à l’occasion d’une consultation.
Lors de la visite de recrutement de la personne concernée, un prélèvement sanguin et/ou salivaire serait effectué afin de permettre l’analyse génétique de l’échantillon biologique.
S’agissant des questionnaires, de multiples questions figurent déjà au dossier et concernent des domaines très divers (santé, comportement, apparence physique, sexologie). Par ailleurs, de nouveaux centres investigateurs pourraient participer à cette e-CohortE afin de poser des questions précises liées à leur propre spécialité médicale, ce qui nécessiterait, selon le responsable de traitement, le dépôt d’un amendement au CPP. Les personnes concernées pourraient choisir de répondre ou non à chaque question posée.
La collecte des catégories de données suivantes est envisagée :
S’agissant des données directement collectées auprès des personnes concernées
Lors du recrutement des personnes concernées par les centres investigateurs, les données suivantes seront recueillies :
des données identifiantes : les noms, prénoms, l’adresse électronique, la date et lieu de naissance, le sexe, la taille, le poids, la photo du visage (avec grille de face, de dos et des deux profils) ;
des données de santé, telles que la température, la pression artérielle, les antécédents familiaux ;
l’origine ethnique ainsi que la généalogie familiale.
En outre, le protocole prévoit que la personne concernée pourra autoriser l’accès à certaines données de santé issues de son dossier médical partagé, d’applications ou d’objets connectés (sont cités notamment un logiciel Middlecare de gestion des dossiers patients, l’application Santé La Poste, des comptes rendus de laboratoires d’analyses médicales).
Après le recrutement de la personne concernée, par l’intermédiaire de questionnaires créés ultérieurement par les chercheurs des centres participants et dont la Commission n’a donc pas pu prendre connaissance, des informations très variées et portant sur une multitude de catégories de données sont susceptibles d’être collectées. Les catégories de données présentées par le responsable de traitement dans le dossier sont notamment les suivantes :
Données Médicales,
Données de sexologie,
Données de comportement,
Données d’apparence physique,
Données psychologique,
Données d’habitudes de vie,
Données anthropomorphiques,
Images, Vidéo,
Historique de Participations à des recherches ou à des études,
Données relatives à la vie personnelle,
Habitudes de consommation,
Dépendances, Assistance,
Activités physiques,
Comportement Alimentaire,
Mode de vie,
Habitation,
Géolocalisation,
Localisation,
Données socioprofessionnelles
Données économiques et financières,
Données Génétiques
S’agissant des données issues du séquençage de l’ADN et de l’ARN
Dans le cadre du projet, des données génétiques seront collectées grâce à l’analyse des échantillons prélevés spécifiquement pour le projet, analyse qui consiste en un séquençage total du génome.
Ainsi, la Commission constate que le traitement envisagé a pour ambition de collecter un volume considérable de données en vue de remplir son objectif principal, à savoir la connaissance du génome. A cet égard, l’analyse d’impact sur la protection des données (AIPD) et le protocole d’étude ne fournissent aucun élément permettant de garantir que les données collectées seront limitées à celles qui apportent une connaissance nécessaire à la recherche.
En outre, la Commission souligne qu’elle ne dispose pas à ce jour de la liste exhaustive des données pouvant être collectées, chaque futur médecin investigateur ayant le loisir de poser les questions de son choix, au regard de sa spécialité. A l’inverse, certaines des données issues des projets de questionnaires figurant en annexe du protocole, et pour lesquelles aucune justification précise de leur pertinence scientifique n’est apportée dans le dossier, sont susceptibles de n’être utilisées dans aucun des projets dont la mise en œuvre est envisagée ultérieurement.
Enfin, la Commission relève que le projet de questionnaire invite les participants à scanner leurs radiologies, à saisir leurs résultats sanguins et à fournir les données d’objets connectés, le cas échéant. A ce sujet, la Commission relève que le responsable de traitement ne précise pas de quelle manière les données issues des objets connectés ou d’application seront collectées et quels seront les mécanismes d’interconnexion avec ces systèmes tiers.
Ainsi, au vu des multiples catégories des données, pour la plupart sensibles, dont la collecte est envisagée, en l’absence de projet d’étude précis permettant d’en justifier, la Commission considère que les données ne sont pas pertinentes et limitées à ce qui est nécessaire au regard de la finalité pour laquelle leur traitement est envisagée, et que l’exigence prévue à l’article 5.1.c) du RGPD n’est, par suite, pas respectée.
Sur la restitution des informations génétiques directement aux participants
La Commission relève que le protocole mentionne que les médecins investigateurs pourront fournir aux personnes concernées, à partir des analyses génétiques réalisées, certains résultats individuels, liés ou non au domaine médical.
A titre liminaire, la Commission relève qu’aucune disposition législative ou réglementaire ne précise les modalités de transmission des résultats génétiques aux personnes participant à une recherche scientifique, contrairement aux résultats des analyses réalisées dans le cadre de la prise en charge thérapeutique, pour laquelle un cadre particulièrement strict est décrit par les dispositions du CSP.
Elle relève cependant que l’article L. 1122-1 du CSP, applicable aux recherches impliquant la personne humaine en général, prévoit que :
La personne dont la participation est sollicitée est informée de son droit d'avoir communication, au cours ou à l'issue de la recherche, des informations concernant sa santé, détenues par l'investigateur ou, le cas échéant, le médecin ou la personne qualifiée qui le représente.
Ce même article dispose par ailleurs que la personne a le droit d’être informée des résultats globaux de la recherche.
S’agissant des informations ne relevant pas strictement de la santé
Selon le projet, des facteurs de prédispositions liées à des traits physiques, des tolérances (alcool, caféine) et des résultats relatifs à l’ancestralité (origine ethnique, pourcentage de néanderthalien) pourraient potentiellement être transmis aux personnes. La Commission considère que ces résultats ne relèvent pas du domaine médical et ne sauraient

L’article L. 1122-1 du CSP précité mentionne le droit pour la personne d’obtenir des informations sur sa santé pendant l’étude, limitant ainsi la nature des informations qui pourraient être transmises aux participants et excluant ainsi ce qui ne relève pas de la santé.
En outre, la Commission rappelle qu’au regard de la finalité prévue à l’article 16-10 du code civil et des dispositions de l’article 226-26 du code pénal :
le fait de détourner de leurs finalités médicales ou de recherche scientifique les informations recueillies sur une personne au moyen de l'examen de ses caractéristiques génétiques est puni d'un an d'emprisonnement et de 15 000 euros d'amende.
La Commission considère donc que la transmission d’informations ne portant pas expressément sur la santé des personnes concernées n’est pas licite.
S’agissant des informations relatives à la santé
Le protocole envisage également la possibilité pour les médecins investigateurs de transmettre aux participants des informations relatives aux facteurs de prédisposition à certaines pathologies ou de tolérance à certaines molécules, en application de l’article L. 1122-1 du CSP.
Tout d’abord, la Commission relève que cette disposition n’évoque pas spécifiquement la communication d’informations génétiques, et porte sur le droit pour la personne concernée, au cours ou à l'issue de la recherche, de demander la communication des informations concernant sa santé, détenues par l'investigateur ou, le cas échéant, le médecin ou la personne qualifiée qui le représente. La Commission s’interroge, d’ailleurs, sur la portée du silence du législateur et du pouvoir réglementaire, qui n’ont pas défini, en matière de recherches, de modalités précises de restitution des résultats.
En tout état de cause, ces dispositions de l’article L. 1122-1 du CSP ne pourraient avoir vocation à s’appliquer que dans le cadre de la mise en œuvre d’un protocole scientifique précis, la personne concernée pouvant ainsi accéder aux informations relatives à sa condition médicale collectées et détenues par le professionnel de santé pour les besoins du projet. Or, en l’espèce, en l’absence de finalité déterminée et explicite pour le traitement envisagé, l’application de cette disposition pourrait conduire à la possible transmission d’informations extrêmement variées et indifférenciées, ayant un lien, même très indirect, avec la santé de la personne.
Enfin, la Commission relève par ailleurs une incohérence sur le dispositif de rendu des résultats entre deux documents du dossier. En effet, d’un côté, le protocole indique que
les informations relatives à la santé seraient soumises à l’expertise et la validation préalable d’un généticien agréé et d’un comité pluridisciplinaire avant d’être transmises au médecin investigateur puis au participant lors d’une consultation.
D’un autre côté, le modèle de note d’information prévoit :
C’est pourquoi, si vous le désirez, nous remonterons votre requête au Comité de protection des personnes pour leur demander, dans le cadre de ce protocole, d’évaluer le rendu de tels résultats sur une cohorte. Par ce mécanisme, nous espérons pérenniser votre confiance pour vous éviter d’effectuer ces tests à l’étranger sans aucun avis médical et accompagnement scientifique ou psychologique. (…) Nous vous rendrons des données relatives à votre génome (ancestralité, santé, facteurs de prédispositions) si vous le désirez. Si certaines données ne sont pas rendues, nous vous en indiquerons la raison (Décision CPP et/ou CNIL, non scientifique ou non finalisée).
Or, la Commission précise que ne figure pas, au titre des missions des comités de protection des personnes telles que prévues par le code de la santé publique, l’évaluation du rendu individuel aux personnes concernées des résultats d’analyses réalisées dans le cadre de recherches.
En conclusion, la Commission estime que les modalités envisagées de restitution ne satisfont pas aux exigences des textes mentionnés ci-dessus.
Sur l'information et les modalités d’exercice des droits des personnes
Le formulaire de consentement est accompagné d’une note d’information pour les personnes concernées.
A titre liminaire, la Commission estime que l’approche envisagée, consistant à recueillir de façon dynamique le consentement des personnes concernées pour chaque projet de recherche, permet de leur garantir la maîtrise de leurs données conformément au RGPD.
La Commission relève cependant que la note d’information ne comporte pas l’ensemble des mentions de l’article 13 du RGPD et qu’y figurent des imprécisions, des redondances, des incohérences ou des erreurs sur les droits des personnes, ainsi que des maladresses dans les formulations.
Le document mentionne également la possibilité d’ouvrir et d’alimenter le dossier médical partagé (DMP) des personnes avec les résultats les concernant. Le document mentionne par ailleurs que malgré son opposition à la recherche, le participant pourra jouir,
sauf demande exprès ,
La Commission rappelle que l’ouverture et l’alimentation d’un DMP sont indépendantes de toute recherche, que le DMP est destiné à consigner les informations médicales qui concernent le patient et que ce dernier a la faculté de s’opposer à son ouverture à tout moment, conformément aux dispositions du code de la santé publique.
Enfin, la Commission relève que l’analyse d’impact sur la protection des données ne précise pas les données auxquelles les personnes peuvent avoir accès. En outre, les mesures prévues pour l’application des droits des personnes ne sont pas indiquées précisément et ne permettent pas d’évaluer l’effectivité de ces droits.
En conclusion, la Commission considère que la note d’information ne satisfait pas aux exigences prévues par les articles 12 et suivants du RGPD. En outre, les modalités d’exercice des droits des personnes n’étant pas suffisamment détaillées dans la demande, la Commission n’est pas en mesure d’en apprécier la conformité.
Sur la sécurité des données et l’évaluation des risques
La Commission constate que l’AIPD ne décrit pas le cycle de vie complet des données.
Sur les mesures relatives à la sécurité des données
Le cloisonnement du système est mal délimité et les éléments notés dans l’AIPD présentent des aspects contradictoires : l’infrastructure serait placée sur un réseau strictement interne mais elle disposera en fait de formulaires électroniques de recueil de données, de nombreuses interopérabilités avec des sources de données externes ainsi que d’une interface d’administration à distance ; de même, les données génétiques seraient stockées hors réseau mais elles seront reçues par interopérabilité directe avec des plateformes de séquençage.
De plus, la segmentation de l’architecture en plusieurs étages ( n-tiers ) et les mesures renforcées pour sécuriser un accès externe ne sont pas suffisamment définies et sont notées à améliorer dans l’AIPD.
Enfin, les mécanismes de pseudonymisation et d’anonymisation ne sont pas décrits, et la gestion des tables de correspondance n’est pas conforme car elles ne sont pas isolées des données qu’elles référencent.
Sur les mesures générales de sécurité
Aucune information n’est présente concernant l’outil utilisé pour les formulaires de saisie des données par les médecins investigateurs ou recruteurs ; de même pour les moyens devant sécuriser les transmissions des données.
Ensuite, de nombreuses mesures fondamentales de sécurité sont notées à améliorer dans l’AIPD : traçabilité des actions et détection des intrusions sur les systèmes, restriction d’accès aux locaux, audits de code, protection des sauvegardes, antivirus, etc.
Sur les mesures de sécurité organisationnelles
Aucune information n’est présente quant aux moyens de supervision et de maintien en conditions de sécurité du système d’information - analyse des journaux d’événements, gestion des incidents, traitement des vulnérabilités identifiées par les test d’intrusion, mise à jour de l’AIPD, prise de décision quant aux actions correctives, etc.
Sur l’évaluation du risque
Compte-tenu des lacunes de l’AIPD concernant les mesures organisationnelles et techniques, générales et spécifiques au traitement, le niveau d’atténuation de la vraisemblance du risque d’une perte de confidentialité n’est pas démontré. Par ailleurs, les scénarios de menace ne sont pas opérationnels car non-spécifiques aux moyens mis en œuvre dans le cadre du traitement.
Les mesures de sécurité envisagées dans le cadre de ce projet ne sont donc pas conformes aux exigences prévues par les articles 5-1-f et 32 du RGPD.
Dans ces conditions, la Commission refuse la délivrance de l’autorisation sollicitée.
La Présidente
Marie-Laure DENIS