Délibération n° 2016-361 du 1 décembre 2016 autorisant le Centre hospitalier universitaire de Toulouse à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un projet d’aide au développement de la recherche sur la maladie d’Alzheimer.
Nature: Autre autorisation

(Demande d’autorisation n° 1941291
La Commission nationale de l'informatique et des libertés,
Saisie par le Centre hospitalier universitaire de Toulouse d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un projet d’aide au développement de la recherche sur la maladie d’Alzheimer ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1110-4-1 et L. 1111-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouverneme
Formule les observations suivantes :
Responsable du traitement
Le Centre hospitalier universitaire (CHU) de Toulouse est un établissement de santé qui comprend un Centre mémoire de ressources et de recherche (CMRR), lieu de consultation  spécialisée et de recherche sur les troubles de la mémoire.  
Sur la finalité
Le traitement a pour finalité d’aider au développement de la recherche sur Alzheimer par la constitution d’une base de données relatives à des personnes volontaires pour recevoir des propositions de recherche clinique.Cette base serait commune aux 18 CMRR du « réseau français de recherche Alzheimer » et contiendrait des caractéristiques médicales de personnes volontaires rencontrées en consultation mémoire, en vue de leur possible inclusion dans une recherche clinique.La base de données ainsi constituée ne serait pas utilisée dans le cadre des soins mais vise à augmenter les capacités de sélection et d’inclusion de personnes dans le cadre de la  recherche clinique sur la maladie d’Alzheimer.La Commission considère la finalité poursuivie comme déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée (loi « Informatique et Libertés »).
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi Informatique et Libertés, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.La Commission rappelle que les traitements de données de santé à caractère personnel qui seront mis en œuvre postérieurement à la sélection des patients, à des fins d’études/recherches dans le domaine de la santé, sont des traitements distincts qui doivent faire l’objet de formalités propres au titre du chapitre IX de la loi Informatique et Libertés.
Sur les données traitées
La base de données ne contient pas les noms et prénoms des personnes volontaires. Ces dernières sont identifiées par un numéro (composé de 2 chiffres correspondant au CMRR référent et 4 chiffres correspondant au numéro de sujet) qui permet de remonter à leur identité grâce à une table de correspondance qui est conservée dans le CMRR où elles ont été rencontrées.
Afin de vérifier l’éligibilité des personnes à des projets de recherche, les données suivantes seront traitées :
sexe,
mois et année de naissance,
date de consultation mémoire,
évaluation de la mémoire (diagnostic médical, examens réalisés).
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi Informatique et Libertés.
Sur les destinataires
Les accès à l’ensemble des données indirectement identifiants de la base sont limités à l’équipe de coordination du projet au sein du CHU de Toulouse.Les professionnels dûment habilités dans chacun des CMRR participant au projet ont accès aux données de ce centre uniquement. La correspondance entre l’identité des personnes et leur numéro d’identification dans la base est conservée localement par ces mêmes professionnels.Sous réserve du consentement des personnes, les données indirectement identifiantes de la base pourront être communiquées à des chercheurs extérieurs au réseau français de recherche Alzheimer, afin qu’ils déterminent eux-mêmes le potentiel d’inclusion des personnes dans des projets de recherche clinique.La Commission rappelle qu’un tel transfert de données à caractère personnel à destination d'un pays tiers à l'Union européenne et non membre de l'Espace économique européen ne pourra être effectué que dans les conditions prévues par les articles 68 et 69 de la loi Informatique et Libertés.La Commission demande que les données ainsi transférées ne soient conservées par les chercheurs destinataires que le temps nécessaire pour évaluer le potentiel d’inclusion des personnes.
Sur l’information et le droit d’accès 
Le consentement exprès de la personne au traitement de ses données est recueilli préalablement à son inclusion dans la base de données.A cet effet, le professionnel qui la prend en charge dans le CMRR lui remet un document d’information et de recueil du consentement dans des conditions conformes aux dispositions de l’article 32 de la loi Informatique et Libertés. En particulier, les droits qui lui sont reconnus par la loi précitée et les modalités d’exercice de ceux-ci sont rappelés.Le consentement porte également sur la transmission des données à des chercheurs extérieurs, au sein et en dehors de l’Union européenne, afin de recevoir des propositions de recherche clinique.La personne a la possibilité de demander la suppression de ses données à tout moment, sans conséquence sur la qualité des soins qui lui sont dispensés, et en est clairement informé sur le support d’information précité.En outre, le document d’information rappelle que l’inscription dans la base de données n’implique pas d’obligation de participer à un projet de recherche.La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Les données sont conservées chez un hébergeur agréé par la ministre de la santé pour héberger des données de santé, dans les conditions prévues par l’article L. 1111-8 du code de la santé publique.La gestion des habilitations d’accès aux données de chaque CMRR sont définies par les responsables de ce CMRR pour les personnels placés sous leur autorité.La Commission rappelle que l’échange et le partage des données doivent s’opérer dans des conditions conformes aux dispositions des articles L. 1110-4 et L. 1110-4-1 du code de la santé publique.Sous réserve des observations précédentes, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi Informatique et Libertés.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données traitées sont conservées en base active jusque cinq ans après la dernière consultation mémoire.A l’issue de cette période, les données seront archivées pendant une durée de cinq ans et pourront être conservées, sous une forme anonymisée, à des fins statistiques.La Commission estime que de telles durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 6-5° de la loi Informatique et Libertés.
Autorise, conformément à la présente délibération, le Centre hospitalier universitaire de Toulouse à mettre en œuvre le traitement susmentionné.
Pour la Présidente  Le Vice-Président délégué
Marie-France MAZARS