(Demande d’autorisation n° 1679271)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut de Veille Sanitaire d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’amélioration de la surveillance épidémiologique des infections rubéoleuses maternelles et congénitales en France;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment son article  L. 1413-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I°1);
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Commission est saisie par l’Institut de Veille Sanitaire (InVS), établissement public administratif, placé sous la tutelle du ministre de la santé, chargé d'assurer la surveillance et l'observation permanente de l'état de santé de la population, d'alerter les pouvoirs publics en cas de menace pour la santé publique, quelle qu'en soit l'origine, et de leur recommander toute mesure ou action appropriées, conformément aux dispositions de l'article L. 1413-2 du Code de la santé publique.
Sur la finalité
Le traitement a pour finalité la surveillance et le recensement, au niveau national, des cas d’infections rubéoleuses maternelles et des infections rubéoleuses congénitales diagnostiquées pendant la grossesse, à la naissance et lors de la première année de l’enfant.
Le traitement vise à évaluer l’impact de la politique vaccinale et les progrès accomplis en vue de l’élimination de la rubéole congénitale, qui est un objectif du bureau régional de l’Organisation Mondiale de la Santé (OMS) en Europe.
La Commission rappelle qu’une surveillance des cas d’infections rubéoleuses survenues chez les femmes enceintes et des cas de rubéole congénitale chez les nouveau-nés a été mise en place en 1976, en France, à travers un réseau de laboratoires volontaires, dénommé « Rénarub ». Elle rappelle que, le 1er octobre 1996, la CNIL a émis un avis favorable concernant le traitement de données à caractère personnel mis en œuvre dans ce cadre de ce réseau, conformément aux dispositions de l’article 15 ancien de la loi du 6 janvier 1978 (demande d’avis n° 379529).
L’InVS a constaté, au fil des années, une diminution du nombre d’infections rubéoleuses diagnostiquées et recensées par ce dispositif de surveillance et souhaite en améliorer l’organisation.
Pour ce faire, un centre national de référence (CNR) des infections rubéoleuses materno-fœtales, chargé d’expertiser et de valider le diagnostic, sera intégré dans le circuit de transmission des données recueillies par les laboratoires et l’outil informatique utilisé sera modernisé.
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites au sens de l’article 6 de la loi du 6 janvier 1978 modifiée.
Les conditions de mise en œuvre de la surveillance épidémiologiques sont les suivantes :
Le CNR adressera aux laboratoires volontaires, chaque semestre, un courrier et le formulaire de recueil des cas répondant aux critères de notification (« fiche CNR »).
Chaque laboratoire volontaire notifiera au CNR, à l’aide de ce formulaire et à une fréquence trimestrielle, les cas de rubéole détectés. Le CNR sera en mesure de demander des informations complémentaires aux laboratoires, afin de valider les données et de supprimer les doublons, s’il y a lieu.
Une fois validés par le CNR, les cas de rubéole feront l’objet d’une transmission au médecin épidémiologiste en charge de la surveillance des rubéoles materno-fœtales à l’InVS.
Ce dernier prendra contact, pour chaque cas diagnostiqué, avec les médecins et services ayant pris en charge les patients et leur adressera un questionnaire sous format papier qui devra lui être retourné complété. Ce médecin sera également en mesure de contacter le clinicien ou le patient pour compléter les données, s’il y a lieu.
L’InVS tiendra à jour un tableau de gestion des cas déclarés, qui comportera l’identifiant des patients concernés.
Une fois contrôlées et validées, l’InVS saisira les données dans l’application « Voozarub », à l’exclusion de toutes données d’identification et des dates de naissance, de prélèvement et de décès des patients concernés.
Les informations nominatives relatives aux patients (noms, prénoms, dates de naissance), ainsi que celles relatives au médecin ou service ayant pris en charge les patients, figurant sur les « fiches CNR » et les questionnaires cliniques, seront alors détachées et détruites.
Une fois la base de données consolidée pour une année donnée, les « fiches CNR » et les questionnaires cliniques seront détruits.
La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
- Concernant les femmes enceintes et les nouveau-nés : données d’identification (nom, prénom, date de naissance) ; code « anonymat », département de domicile ; terme de la grossesse au moment du prélèvement ; date et résultat de la sérologie, statut vaccinal au regard de la rubéole, circonstance de contamination/d’exposition au virus de la rubéole, renseignements cliniques et résultats biologiques disponibles, issue de la grossesse ; sexe et état clinique du nouveau-né.
- Concernant les médecins et biologistes qui ont prescrit les examens biologiques, suivi la grossesse et pris en charge l’enfant : nom, prénom, coordonnées professionnelles.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
- Le personnel habilité du CNR est destinataire des informations transmises par les laboratoires à des fins d’expertise du diagnostic et de suppression des doublons ;
- Le médecin épidémiologiste en charge de la surveillance des rubéoles materno-fœtales à l’InVS est destinataire des données recueillies auprès des cliniciens ;
- Les résultats de cette surveillance seront adressés aux autorités sanitaires et donneront lieu à des publications, dans des conditions de nature à garantir l’anonymat des personnes.
La Commission considère que ces destinataires ont un intérêt légitime à connaître de ces données.
Sur l’information et le droit d’accès
L’information des femmes enceintes et mères d’enfants infectés sur la mise en œuvre de la surveillance de la rubéole au niveau national mis en œuvre par l’InVS sera effectuée par le médecin prescripteur de l’analyse, sollicité en ce sens par le CNR, après que celui-ci aura validé le diagnostic.
Le CNR adressera, alors, un courrier au médecin prescripteur de l’analyse, accompagné d’une notice d’information personnalisée à remettre à la patiente pour l’informer de la collecte de données la concernant et de la transmission de ces données à l’InVS, sous réserve de son opposition auprès du CNR dans un délai d’un mois.
La notice d’information précise clairement que le refus de participer à la surveillance sera sans incidence sur la prise en charge médicale des patients. Elle mentionne également les modalités pratiques d’exercice des droits.
L’InVS s’assurera auprès du médecin prescripteur, à l’aide d’une case à cocher figurant sur le questionnaire clinique, que la lettre d’information a effectivement été remise à la patiente.
Les droits d’opposition, d’accès et de rectification des données s’exercent auprès du responsable du CNR, puis après transmission des données à l’InVS, après du médecin épidémiologiste en charge de la surveillance des rubéoles materno-fœtales à l’InVS.
La Commission estime que les modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
- Les données directement nominatives concernant les patients seront conservées sur support papier (« fiches CNR » et questionnaires cliniques), le temps strictement nécessaire aux opérations de contrôle et de validation des données, puis détruites. Elles ne seront accessibles qu’à un nombre limité de personnes spécialement habilitées et conservées, jusqu’à leur destruction, dans des conditions de nature à garantir leur confidentialité dans une armoire fermée à clé.
- Les transmissions de données sous format papier sont effectuées sous pli confidentiel.
- Aucune donnée directement nominative ne sera enregistrée dans l’application VOOZARUB.
- Les habilitations d’accès au système d’information sont définies en fonction des attributions des intervenants.
- Le contrôle des accès à l’application par les personnels habilités se fait par un identifiant associé à un mot de passe dont la complexité n’est pas conforme aux exigences de la CNIL.
La Commission rappelle que le mot de passe doit être composé de huit caractères comportant au moins une majuscule, une majuscule et un chiffre ou un caractère spécial. Il doit être modifié par l’utilisateur dès sa première connexion, puis régulièrement. Elle rappelle que les mots de passe ne doivent pas être stockés en clair en base de données. Elle recommande ainsi d’appliquer la fonction de hachage HMAC à clé secrète avant de conserver les mots de passe.
- Les accès à l’application font l’objet d’une journalisation. La Commission rappelle que les traces des accès à l’application et aux données doivent être analysées et qu’il convient d’informer les personnels concernés de la mise en œuvre de ces mesures.
- Les transferts de données vers l’application VOOZARUB sont sécurisés par l’utilisation du protocole HTTPS.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont sauvegardées quotidiennement sur bande magnétique non chiffrée. Toutefois, la Commission rappelle  qu’aucune donnée directement nominative ne sera enregistrée dans l’application VOOZARUB.
Une fois la base de données consolidée, les documents papier (« fiches CNR et questionnaires cliniques) assortis du code d’anonymat seront détruits.
Autorise, conformément à la présente délibération, l’Institut de Veille Sanitaire à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN