Délibération n° 2016-270 du 13 septembre 2016 autorisant l’Institut national de la santé et de la recherche médicale (INSERM) à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité un projet de recherche intitulé « Partenariat pour la REcherche sur des VACcins contre Ebola » (PREVAC), assorti d’un dispositif de contrôle de l’identité des participants par reconnaissance des empreintes digitales. (demande d’autorisation n° 916341)
Nature: Autre autorisation

La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut national de la santé et de la recherche médicale (INSERM) d’une demande d’autorisation concernant un traitement de données à caractère personnel ayant pour finalité un projet de recherche intitulé Partenariat pour la REcherche sur des VACcins contre Ebola (PREVAC), assorti d’un dispositif de contrôle de l’identité des participants par reconnaissance des empreintes digitales ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L.1121-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son chapitre IX (articles 53 et suivants) et ses articles 25-I-8°, 68 et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L’INSERM est un établissement public à caractère scientifique et technologique, spécialisé dans la recherche médicale, placé sous la double tutelle du ministère de la santé et du ministère de la recherche.
Dans le cadre de sa mission, l’INSERM souhaite mettre en œuvre, en partenariat avec le National institute of health (NIH) américain, la London school of hygiene and tropical medicine (LSHTM) britannique, les ministères de la santé de la Guinée, du Liberia et de la Sierra-Leone ainsi que deux entreprises pharmaceutiques, une recherche dans le domaine de la santé intitulée PREVAC (Partenariat pour la REcherche sur des VACcins contre Ebola) qui a pour objectif de définir une stratégie vaccinale en cas de reprise ou de retour épidémique de la maladie à virus Ebola (MVE).
L'INSERM est le promoteur de l’essai PREVAC en Guinée, le NIH au Liberia et la LSHTM en SierraaLeone. Afin de limiter les erreurs d’identification au moment de la vaccination et pendant toute la durée du suivi, et ainsi éviter l’exposition à de multiples vaccinations, l’INSERM souhaite mettre en place un dispositif de contrôle de l’identité des participants par reconnaissance biométrique des empreintes digitales, assorti de la constitution d’une base de données biométriques. a ce titre l’INSERM a saisi la CNIL d’une demande d’autorisation.
L’INSERM fait appel à l’organisation médicale humanitaire Alliance for international medical action ou ALIMA , association relevant de la loi de 1901 pour mettre en œuvre l’essai sur les deux sites investigateurs guinéens. ALIMA aura notamment pour mission d’assurer la bonne compréhension, la collaboration et l’adhésion de la communauté guinéenne à l’essai PREVAC ainsi que d’assurer la vaccination des participants et leur suivi.
La Commission prend acte de ce que l’intervention d’ALIMA est formalisée dans un protocole d’accord qui doit prévoir les obligations lui incombant en matière de protection de la sécurité et de la confidentialité des données, en tant que sous-traitant agissant pour le compte de l’INSERM, conformément à l’article 35 de la loi n°78-17 du 6 janvier 1978 modifiée (ci-après loi Informatique et Libertés ). La Commission rappelle qu’en application de ce même article, le responsable du traitement reste tenu d’une obligation de veiller au respect des mesures de sécurité et de confidentialité mentionnées à l’article 34 de la loi précitée.
Par ailleurs, la Commission relève que la recherche PREVAC bénéficie d’un avis favorable du Comité consultatif sur le traitement de l'information en matière de recherche dans le domaine de la santé (CCTIRS) ainsi que des autorités locales guinéennes.
Sur les finalités du traitement :
L’INSERM souhaite réaliser un essai vaccinal comparatif, randomisé, en double aveugle contre placebo, de phase II, mené auprès de la population générale (adultes et mineurs de plus d’un an) en Guinée, au Liberia et en Sierra-Leone, concernant 4 900 participants dont 2 500 en Guinée, désigné sous le nom de PREVAC.
L’objectif principal de PREVAC est d’étudier trois stratégies vaccinales, avec et sans revaccination, afin d’évaluer leur tolérance et la réponse immunitaire qu’elles génèrent contre le virus Ebola.
La demande d’autorisation présentée par l’INSERM couvre la réalisation d’une sous-étude qui vise à explorer les réponses immunitaires des lymphocytes T et des lymphocytes B mémoire aux trois stratégies vaccinales. Cette sous-étude sera menée auprès de 196 participants en Guinée.
Par ailleurs, l’INSERM souhaite identifier de manière certaine les participants à l’essai, afin d’assurer leur sécurité et éviter les risques d’erreur humaine au long de leur prise en charge dans le cadre de l’étude. Ainsi, le recours au procédé biométrique fondé sur la reconnaissance d’empreinte digitale, assorti de la constitution d’une base de données biométriques, vise à protéger la santé des participants à l’essai et à éviter les multiples vaccinations, susceptibles d’avoir des conséquences graves pour leur santé.
Afin de fiabiliser l’identification des participants, le traitement biométrique intervient en complément de la production de la carte individuelle délivrée aux participants, contenant des informations relatives à leur identité ainsi qu’un tableau des dates de visite prévisionnelles. Un contrôle humain par les équipes de soins sera effectué par une interrogation des personnes et par un contrôle de la photo et des données d’identification figurant dans la carte individuelle. La concordance entre ces informations et l’authentification biométrique permet de fiabiliser l’identification.
Pour identifier les personnes et réaliser leur orientation, le personnel dispose d’une tablette biométrique permettant de comparer l’empreinte de la personne avec celles stockées dans la base locale de la tablette. Les données biométriques sont collectées grâce à un capteur d’empreinte optique et la photographie du participant grâce à l’appareil photo situé à l’arrière de la tablette. La tablette permet également de scanner les codesabarres, notamment ceux de la carte de vaccination au moment de l’identification des participants.
La tablette permet également l’envoi pour impression de la carte nominative remise au participant, utilisée en complément de l’identification biométrique, dans le cadre des visites de suivi.
La Commission considère que ces finalités sont déterminées, explicites et légitimes au sens de l’article 6-2° de la loi Informatique et Libertés.
Sur la nature des données traitées :
La recherche PREVAC repose sur la constitution de deux bases de données indépendantes : l’une hébergeant les données permettant l’identification des participants dans le cadre de leur suivi, l’autre destinée à recueillir les données codées nécessaires à l’analyse scientifique, comprenant des données de santé.
Les données permettant l’identification et le suivi des participants sont les suivantes :
les prénoms et nom du participant ;
le numéro d’identification du participant (PID) ;
le mois et l’année de naissance à l’exclusion du jour ;
le sexe ;
la photo ;
les empreintes digitales prises des deux index des deux mains ;
la préfecture de résidence, la sous préfecture de résidence et le village de résidence ;
deux numéros de téléphone et l’adresse électronique ;
les prénoms, noms et les numéros de téléphone de deux contacts additionnels ;
les dates des visites réalisées au fur et à mesure de la participation.
Les données biométriques traitées aux fins d’identification sont les caractéristiques biométriques des empreintes digitales des deux index. Seul le gabarit des empreintes digitales, clé biométrique résultat du traitement des mesures par un algorithme, est enregistré et utilisé pour effectuer l’identification biométrique sur les tablettes.
Les données codées nécessaires à l’analyse scientifique relèvent des catégories suivantes :
démographie (mois et année de naissance, sexe, poids et taille pour tous les participants et le MUAC (Mid‐Upper Arm Circumference) pour les enfants de 1 à 5 ans ;
vaccination et vigilance (évènements indésirables incluant les cas de maladie à virus Ebola et de paludisme, grossesses, décès) ;
numéros identifiants : pour le participant (PID), pour la seringue contenant les vaccins (SID), pour les kits contenant les tubes de prélèvements biologiques et immunologiques (KID) ainsi que les tubes de prélèvements (TID) ;
examens cliniques ;
résultats d’analyses biologiques et immunologiques issus des prélèvements de sang.
La Commission considère, compte tenu des finalités poursuivies, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi Informatique et Libertés.
Sur l'information et les droits des personnes :
Plusieurs modalités d’information successives sont prévues :
Dans un premier temps, une information générale sera délivrée auprès de la population guinéenne dans le cadre d’activités communautaires au moyen des formes classiques de sociabilité en Guinée, à savoir de réunions communautaires, de matches de football, de Kholonyi Fare (danses/fêtes), du théâtre.
Dans un deuxième temps, les personnes ayant manifesté un intérêt pour l’étude seront invitées à participer à une séance d’information plus détaillée, d’une durée de 45 à 60 minutes, au sein de groupes d’environ 25 à 30 personnes. A cette occasion, les personnes auront la possibilité de poser toutes les questions nécessaires à leur bonne compréhension de l’étude et se verront remettre une bande dessinée décrivant l’étude et ses modalités de mise en œuvre. A l’issue de cette session d’information, les personnes souhaitant participer à l’étude seront invitées à se présenter à nouveau sur le site investigateur après un délai de réflexion minimum de 24 heures.
Enfin, le jour de la première vaccination, une information individuelle sera effectuée par le personnel médical du centre de recherche, qui s’assurera que la personne ou son représentant légal a bien assisté à la séance d’information préalable, puis lui remettra une notice d’information détaillée assortie d’un formulaire de recueil de consentement.
Les personnes sont informées, sur les supports d’information précités, de l’identité du responsable du traitement, des objectifs et des modalités de mise en œuvre de l’étude ainsi que des conditions d’exercice des droits reconnus aux participants. Les personnes seront clairement informées du caractère volontaire et facultatif de l’étude et de l’absence de conséquences d’un refus d’y participer. Elles y seront également informées de la possibilité de mettre fin à leur participation à tout moment.
La participation des mineurs à l’essai est subordonnée au recueil du consentement écrit de leur représentant légal.
Le représentant légal et le mineur ont reçu au préalable une notice d’information et une bande dessinée afin de leur permettre de comprendre l’objectif de l’essai et ses conditions de mise en œuvre, ainsi que les bénéfices et les risques attendus. La note d’information remise au mineur sera adaptée à son niveau de maturité. Le consentement personnel du mineur sera systématiquement recherché.
Les participants souhaitant ne plus participer à l’étude peuvent demander aux administrateurs d'ALIMA et obtenir l’effacement de leurs données biométriques de l’ensemble des tablettes et de la base centrale.
La Commission considère que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur le recueil du consentement des personnes :
Avant la première vaccination, le consentement exprès des participants ou celui de leur représentant légal pour les mineurs sera recueilli au moyen d’un formulaire dédié, distinct des documents d’information.
Un système de cases à cocher est prévu sur ce document afin de discerner les deux consentements sollicités :
d’une part, pour le traitement des données à caractère personnel et le recueil, la conservation et l’utilisation des prélèvements sanguins dans le cadre de l’essai PREVAC ;
d’autre part, pour la réutilisation des échantillons à des fins de recherches ultérieures portant sur les maladies infectieuses des pays africains.
Par ailleurs, un consentement spécifique pour la participation à la sous-étude sera recueilli auprès des personnes concernées, sur un formulaire dédié.
La Commission estime que ces modalités de recueil du consentement sont satisfaisantes.
Elle rappelle que toute nouvelle étude qui serait mise en œuvre à partir des échantillons ou des données issues du présent projet, et qui relèverait du champ d’application de la loi Informatique et Libertés devra faire l’objet de nouvelles formalités auprès de notre Commission.
Sur les durées et les modalités de conservation des données :
La durée totale de l’essai est prévue pour 5 ans et demi, dont une période de recrutement de 6 mois et 5 ans de suivi des participants.
Les données nécessaires à l’analyse scientifique seront conservées en France auprès d’un prestataire en cours d’agrément pour l’hébergement des données de santé.
Les documents relatifs à la recherche seront archivés pendant 15 ans après la fin de l’étude.
Par ailleurs, les gabarits biométriques sont conservés, d’une part, dans une base distante située dans les locaux de Morpho en Egypte et, d’autre part, sur la base locale des tablettes distribuées au personnel chargé d’identifier les participants dans le cadre de l’essai. La base distante permet de centraliser les données recueillies, à l’enrôlement, par chaque tablette. Une synchronisation régulière entre la base centrale et les tablettes permet de mettre à jour les gabarits des participants et d’éviter ainsi les doublons, notamment dans l’hypothèse où un participant s’enregistrerait à deux reprises, éventuellement sous une fausse identité.
L’INSERM a choisi de recourir au stockage des gabarits en base centrale synchronisée avec les bases locales des tablettes, pour les raisons suivantes.
D’une part, l’adoption d’un support de stockage du gabarit placé sous le contrôle des personnes concernées pourrait créer des contretemps ou retards dans le suivi et l’administration des vaccins, que le calendrier strict de l’étude ne permet pas. Il importe également, en cas d’effet indésirable, de relier sans délai le participant au lot de vaccin qui lui a été administré. Or, la perte du support ou son oubli suppose de se déplacer pour le récupérer ou de renouveler l’enrôlement, compromettant ainsi le suivi.
D’autre part, le personnel chargé du suivi des participants peut être amené à se déplacer dans des lieux dépourvus de connexion à Internet, empêchant ainsi toute comparaison de l’empreinte avec les gabarits stockés en base distante. Le stockage en base locale des tablettes, assorti d’une synchronisation régulière des tablettes avec la base distante s’avère donc nécessaire pour identifier les participants en situation de mobilité, tout en s’assurant de l’absence de doublons.
La base centrale stockant les gabarits biométriques ne contient aucune donnée médicale. Elle est accessible uniquement aux seuls personnels habilités chargés du suivi et de la vaccination des personnes selon les modalités décrites ci‐dessous. Cette base est hébergée en Egypte dans les locaux de Morpho, filiale de Safran, bénéficiant de conditions de sécurités particulièrement élevées.
Le contrat encadrant les transferts des données biométriques intègre des clauses contractuelles type qui encadrent le transfert de données de nature à garantir une niveau de protection des données adéquat.
La conservation du gabarit biométrique sera limitée à la durée de l’étude (six mois dédiés au recrutement des participants et cinq ans de mise en œuvre de l’étude), à l’issue de laquelle ils seront supprimés de la base de données hébergée par Morpho.
La Commission considère que ces durées et modalités de conservation des données sont proportionnées aux finalités poursuivies.
Sur les destinataires :
Les données sous forme exclusivement codée (ne comprenant pas les noms des participants ni ceux des investigateurs) seront communiquées aux trois instituts académiques promoteurs de PREVAC qui sont, outre le responsable du traitement (INSERM), le NIH et la LSHTM.
Sur la sécurité des données et la traçabilité des actions :
Les données collectées dans le cadre du traitement PREVAC le seront à partir de tablettes tactiles équipées d’un lecteur d’empreinte digitale. Ces tablettes ont été conçues spécifiquement pour la collecte de données biométriques et possèdent des garanties de sécurité, tant matérielles que logiques.
L’authentification à ces tablettes nécessite la saisie d’un identifiant et d’un mot de passe.
Les données biométriques collectées sont transmises à un centre distant situé en Egypte qui les conserve au sein d’une base de données. La sécurité physique et logique de cette base est assurée par un prestataire technique qui opère d’ores et déjà la conservation d’autres données biométriques à valeur d’identification régalienne.
Les données de santé collectées sont transmises à un centre distant d’un prestataire établi en France en cours d’agrément pour l’hébergement de données de santé. Les transmissions sont sécurisées au moyen de protocoles ad hoc.
Les transferts de données entre la base centrale et les tablettes sont sécurisés.
Les données sont purgées à l’issue du projet.
Les personnes participant à l’étude sont identifiées dans la base au moyen d’un numéro non signifiant composé de 7 chiffres et une lettre, garantissant leur pseudonymat en l’absence d’autres données d’identification transmises.
Dans ces conditions, la Commission autorise l’INSERM à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité un projet de recherche intitulé Partenariat pour la REcherche sur des VACcins contre Ebola (PREVAC), assorti d’un dispositif de contrôle de l’identité des participants par reconnaissance des empreintes digitales.
La Présidente
I. FALQUE-PIERROTIN