La Commission nationale de l'informatique et des libertés,
Saisie par la ministre des affaires sociales et de la santé d'une demande d'avis sur un projet de décret portant création d'un traitement automatisé de données à caractère personnel ayant pour finalité une étude du risque de cancer radio-induit après exposition dans l'enfance, dénommée « Enfant scanner » ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 27-I (1°), et 53 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 19 juillet 2013 relatif à la mise en œuvre du système national d'information inter-régimes de l'assurance maladie ;
Vu les décisions de la Commission nationale de l'informatique et des libertés du 12 décembre 2008 relative à un traitement de données à caractère personnel ayant pour finalité l'évaluation du risque de cancer à long terme dans une cohorte d'enfants soumis à un scanner avant l'âge de 5 ans (demande d'autorisation n° 908354), et DR-2011-141 du 26 avril 2011 portant sur l'extension de la cohorte Enfant scanner et l'analyse de la mortalité au sein de la cohorte ;
Vu les avis favorables du Comité consultatif pour le traitement de l'information en matière de recherche dans le domaine de la santé du 11 juillet 2008 et du 30 septembre 2010 ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et Mme Catherine POZZO DI BORGO, commissaire adjoint du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie le 20 octobre 2015 pour avis par le ministère des affaires sociales et de la santé d'un projet de décret en Conseil d'Etat (ci-après « le projet ») relatif à la mise en œuvre, par le laboratoire d'épidémiologie de l'Institut de radioprotection et de sûreté nucléaire (IRSN), d'une étude portant sur le risque de cancer radio-induit après exposition dans l'enfance dans le cadre de l'étude « Enfant scanner » (ci-après « l'étude »).
Cette étude, dont le premier volet a été autorisé par la commission (demande d'autorisation n° 908354 du 12 décembre 2008 et DR n° 2011-141 du 26 avril 2011) concerne une cohorte de 110 000 enfants. Elle vise à quantifier la relation dose­ réponse entre l'irradiation médicale par scanner et la survenue d'un cancer pendant l'enfance. L'objectif de cette étude est principalement d'estimer l'incidence des cancers au sein de la cohorte et à fournir des éléments clefs pour la radioprotection des personnes soumises à des expositions médicales aux rayonnements ionisants. A ce titre, un suivi sur le long terme, à l'âge adulte des participants, est justifié par la latence du développement des pathologies radio-induites.
Le second volet consiste en un appariement entre les données de l'étude et les données du système national d'information inter-régimes de l'assurance maladie (SNIIRAM).
L'appariement envisagé requérant, en l'espèce, l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques (NIR), la commission a été saisie d'une demande d'avis sur le fondement de l'article 27-I (1°) de la loi du 6 janvier 1978 modifiée (ci-après « loi Informatique et Libertés »).
Sur la finalité du traitement :
L'article 1er du projet de décret prévoit d'autoriser l'IRSN à mettre en œuvre un traitement de données à caractère personnel nécessaire à la mise en œuvre de l'étude sur le risque de cancer radio-induit après exposition au scanner dans l'enfance dont la finalité est « de caractériser la population pédiatrique ayant bénéficié d'un examen scanographique ainsi que les doses reçues dans les centres participant à l'étude et d'estimer le risque de pathologie radio-induite après exposition au scanner dans l'enfance ».
Le projet a pour objet de permettre un appariement des données du SNIIRAM avec des données issues de la base de données de l'étude mise en œuvre par l'IRSN. Cet appariement a pour objet de disposer d'informations à la fois sur l'exposition aux scanners des enfants de la cohorte et des informations cliniques sur l'incidence des pathologies potentiellement radio-induites, comme certains types de cancers.
La commission estime que la finalité est déterminée, explicite et légitime, conformément à l'article 6 (2°) de la loi « Informatique et Libertés ».
Sur la nature des données traitées :
L'article 2 du projet de décret liste les données traitées relatives aux personnes faisant l'objet de l'étude.
Sur les données dont le traitement est déjà autorisé par la commission :
Il s'agit :
- des données relatives aux personnes faisant l'objet de l'étude extraites des traitements de données des études de cohortes, des registres de cancer pédiatrique ainsi que des systèmes d'informations médicales des établissements de santé et des dossiers médicaux des services hospitaliers, comprenant, dans les conditions prévues par l'article 57 de la loi du 6 janvier 1978 susvisée, leurs nom de famille, nom d'usage, prénoms, date de naissance et sexe ;
- des données de santé relatives aux personnes faisant l'objet de l'étude, collectées dans les conditions prévues par les articles 56 et 57 de la loi du 6 janvier 1978 susvisée, et pour les personnes décédées dans les conditions prévues par le décret du 16 janvier 1998 susvisé : les données cliniques issues des programmes de médicalisation des systèmes d'information (PMSI) des établissements de santé et des dossiers médicaux des services hospitaliers, les données portant sur les examens scanographiques réalisés pour les personnes participant à l'étude (date de réalisation, type de d'examen scanner, indication, paramètres dosimétriques associés), le statut vital et, le cas échéant, les causes de décès.
Sur les données dont le traitement fait l'objet d'un projet d'arrêté soumis à l'avis de la commission concomitamment à la demande d'avis sur le présent projet de décret en Conseil d'Etat :
Il s'agit des données des personnes participant à l'étude extraites du répertoire national inter-régimes des bénéficiaires de l'assurance maladie dans les conditions mentionnées au V de l'article R. 161-37 du code de la sécurité sociale et, pour les personnes décédées, dans les conditions prévues par le décret n° 98-37 du 16 janvier 1998, comprenant leur lieu de naissance, le cas échéant, l'indication du décès.
L'article 2 du projet de décret liste également les données qui seront extraites des bases du SNIIRAM, depuis l'antériorité maximale que permettent ces bases.
Il s'agit :
- des données relatives à la consommation de soins en établissement de santé (les dates de soins et dates de remboursement, le motif médical d'hospitalisation, les actes pratiqués, la durée de séjour, le mode de sortie, ainsi que les codes des pathologies et des diagnostics principaux, associés ou reliés et des actes techniques réalisés par les professionnels de santé, notamment examens biologiques ou dispositifs médicaux) ;
- des données relatives à la consommation de soins de ville, aux actes médicaux, aux actes de biologie, aux dispositifs médicaux et médicaments ;
- des données relatives à la situation sociale en relation avec les modalités de prise en charge de la maladie, comprenant : l'indication de la couverture sociale et de l'affiliation éventuelle à la couverture maladie universelle, le diagnostic éventuel d'affections de longue durée.
Par ailleurs, de nouvelles données seront traitées dans le cadre de l'appariement envisagé des données de l'étude avec les données du SNIIRAM :
« l'identifiant anonymisé » nécessaire pour le rattachement des données extraites du SNIIRAM ;
le NIR.
La commission prend acte de ce que le ministère s'est engagé à substituer le terme « d'identifiant anonymisé » par une référence au « code de confidentialité », dans la mesure où il figurera dans une table de correspondance entre l'identité du patient et son identité codée.
La commission considère que les données mentionnées à l'article 2 du projet de décret sont légitimes, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l'article 6-3 de la loi Informatique et Libertés.
Sur les destinataires des données :
Il ressort de l'article 4 du projet de décret que seuls les chercheurs de l'IRSN habilités par le directeur général de cet institut ont accès aux données dans la stricte mesure où elles sont nécessaires à la mise en œuvre de leurs travaux de recherche.
Ces destinataires n'appellent pas d'observations de la part de la commission.
Sur l'information et les droits des personnes :
La commission relève que l'article 2 prévoit que la collecte des données relatives aux personnes faisant l'objet de l'étude s'opère dans des conditions conformes à l'article 57 de la loi Informatique et Libertés.
L'article 2-II du projet de décret prévoit l'information des personnes concernées par l'étude et précise que celles-ci « sont informées par voie d'affichage dans les services de radiologie participant du caractère volontaire et facultatif de leur participation à l'étude et de l'absence de conséquence d'un refus d'y participer ainsi que de la possibilité de mettre fin à leur participation à tout moment ».
S'agissant de l'accès aux données du SNIIRAM, l'article 7 du projet prévoit que l'IRSN « met en œuvre une information du public sur la mise en place de l'étude, la création d'un traitement automatisé, de ses finalités et les droits des personnes concernées. Cette information précise en outre les conditions d'exercice du droit d'opposition des personnes institué aux premier et troisième alinéas de l'article 56 de la loi du 6 janvier 1978 [modifiée] ».
Ce même article précise que « les droits d'accès et de rectification des données, prévus aux articles 39 et 40 de la loi [précitée], sont exercés auprès du directeur général de l'Institut de radioprotection et de sûreté nucléaire ».
S'agissant, en l'espèce, d'un suivi nominatif à long terme de l'ensemble de la consommation de soins, de personnes ayant, pendant la période d'inclusion, été soumises à un scanner, la commission considère que ces personnes et, le cas échéant, les titulaires de l'autorité parentale doivent pouvoir bénéficier d'une information suffisante permettant un exercice effectif des droits qui leur sont reconnus par les articles 57 et 58 de la loi Informatique et Libertés.
Sur la sécurité des données et la traçabilité des actions :
L'article 4 du projet de décret indique que seules les personnes habilitées par le directeur général de l'IRSN ont accès aux données.
La commission recommande que le projet d'article 4 soit modifié afin de distinguer les habilitations nécessaires pour accéder aux données directement ou indirectement identifiantes.
Les accès s'effectuent par un identifiant et par un mot de passe.
La commission rappelle que la complexité des mots de passe doit être conforme à ses recommandations, à savoir que les mots de passe devront disposer d'un minimum de huit caractères et être composés de trois types de caractères distincts parmi les minuscules, majuscules, chiffres et caractères spéciaux. Les mots de passe doivent être modifiés par l'utilisateur dès sa première connexion, puis régulièrement. Enfin, ils ne doivent pas être stockés en clair dans un fichier ou une base de données.
En outre, elle précise que le personnel disposant de privilèges élevés sur le système d'information, tels que les administrateurs système ou base de données, doivent disposer de mots de passe comportant un minimum de dix caractères et pour lesquels les autres caractéristiques sont identiques à celles précitées concernant les autres utilisateurs.
Le projet précise que le système assure une traçabilité des actions opérées sur les données d'identification.
La commission prend acte de ce que les traces sont conservées pendant six mois.
La commission relève que le code de confidentialité permet de disposer d'un identifiant unique pour chaque patient mais de ne pas utiliser les données directement identifiantes lors de l'analyse. Ainsi les données identifiantes sont stockées à part des données de santé et ne sont jamais manipulées pour réaliser l'analyse des données.
Ce code de confidentialité sera détruit à l'issue de la période de vingt ans de conservation des données recueillies.
A cet égard, la commission précise que la seule suppression du code de confidentialité ne permet pas une anonymisation effective des données.
Sous réserve des précédentes observations, les mesures de sécurité décrites sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la durée de conservation des données :
L'article 6 du projet de décret prévoit que les données seront collectées dans le SNIIRAM pendant vingt ans, puis conservées pendant la durée nécessaire à l'étude après l'arrêt définitif de la collecte, afin de disposer d'une durée nécessaire pour l'étude du risque de cancer radio-induit après exposition aux rayonnements ionisants médicaux dans l'enfance, soit pendant vingt ans.
La commission prend acte de l'engagement du ministère de modifier ce texte, afin de préciser que la durée de conservation de vingt ans commence dès la collecte des données.
Compte tenu de l'investissement nécessaire à la réalisation de l'étude ainsi que de ses enjeux en termes de santé publique, la commission estime que cette durée de conservation des données n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l'article 6 (5°) de la loi Informatique et Libertés.
La commission prend acte de ce que l'article 6 du projet de décret prévoit que, à l'expiration de cette période, les données seront anonymisées dans leur totalité.
Les autres points du projet de décret en Conseil d'Etat n'appellent pas, en l'état et au regard de la loi du 6 janvier 1978 modifiée, d'autres observations de la commission.