Délibération n° 2016-389 du 8 décembre 2016 autorisant l’Université de Lille 2 à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’une étude épidémiologique portant sur la mortalité des anciens salariés de Métaleurop Nord.
Nature: Autorisation de recherche

(demande d’autorisation n° 915438)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Université de Lille 2  d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’une étude épidémiologique portant sur la mortalité des anciens salariés de Métaleurop Nord ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-2°, 53 et suivants ;
Vu le code du patrimoine, notamment ses articles L. 213-1 à L. 213-8 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 98-37 du 16 janvier 1998 autorisant l'accès aux données relatives au décès des personnes inscrites au Répertoire national d'identification des personnes physiques dans le cadre des recherches dans le domaine de la santé ;
Vu l’avis favorable du Comité de Consultatif pour le traitement de l’Information en matière de recherche dans le domaine de la santé du 10 juin 2015  ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l’informatique et des Libertés a été saisie par l’Université de Lille 2 (ci-après « l’Université »), d’une demande d’autorisation préalablement à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la réalisation d’une recherche dans le domaine de la santé.
Le présent projet consiste en une étude épidémiologique sur la mortalité des salariés de l’entreprise Métaleurop Nord (ci-après « l’entreprise ») et l’incidence de l’exposition professionnelle au plomb, menée dans la région  Hauts-de-France, pendant une période de trois ans.
L’enquête concerne les sujets masculins, de nationalité française et ayant travaillé au moins un an sur le site de Noyelles-Godault entre 1968 et 2003. Au total, 6 000 personnes sont concernées par l’étude. Cette cohorte d’anciens salariés sera comparée à la population masculine de l’ancienne région Nord Pas-de-Calais. 
A cette fin, le traitement de données à caractère personnel projeté prévoit la collecte d’informations à partir des archives administratives de l’entreprise consultables aux Archives nationales du monde du travail (ANMT) à Roubaix, des dossiers de service de médecine du travail ainsi que des ressources du Centre d'épidémiologie sur les causes médicales de décès (CépiDC) et du répertoire national d’identification des personnes physiques (RNIPP).
La Commission relève que le Comité consultatif pour le traitement de l’information en matière de recherche dans le domaine de la santé (CCTIRS), saisie par l’Université, a émis, le 10 juin 2015, un avis favorable à l’étude. Des remarques relatives à la méthodologie de l’étude ont été prises en compte par le responsable de traitement.
L’association « Chœurs de fondeurs », regroupant des anciens salariés de l’entreprise, est à l’origine de cette étude, mais ne participe pas à la collecte des données. Un financement pour cette étude a été accordé par le Conseil régional, dans le cadre du programme « Santé Environnement Société ».
Sur la finalité du traitement :
La finalité du projet objet de la présente demande d’autorisation est d’étudier la mortalité des salariés en :
décrivant la mortalité des salariés de l’entreprise entre 1968 et 2013 ;
comparant la mortalité des salariés de l’entreprise à celle de la population régionale de référence ;
comparant, au sein de l’entreprise, la mortalité des salariés exposés et celle de salariés non exposés.
Cette connaissance, fondée notamment sur le traitement d’archives de fonds privés, permettrait de mieux connaître les sur-risques potentiels liés à l’exposition professionnelle au plomb ainsi que l’impact sur la santé des expositions professionnelles survenues dans cette entreprise. 
Le présent traitement n’a pas vocation à être utilisé pour prendre des décisions à l’égard des personnes concernées. La Commission relève que ces archives ne sont pas encore communicables et que l’accès à celles-ci est soumis à l’avis préalable du service d’archives compétent. 
La Commission considère la finalité poursuivie comme déterminée, explicite et légitime au sens de l’article 6-2° de la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après « loi Informatique et Libertés »). Elle estime que celle-ci n’est pas incompatible avec la finalité initiale de la collecte.
Sur la nature des données traitées :
Concernant la cohorte de salariés, les catégories de données traitées concernent leur identité afin d’obtenir leur statut vital (nom patronymique, nom d’usage, trois prénoms, sexe, date et lieu de naissance, pays de naissance, commune de naissance), leur cursus professionnel au sein de l’entreprise afin de mieux connaître les expositions professionnelles des salariés, des données de santé afin de mieux apprécier les expositions professionnelles (suivis biologiques des expositions, imprégnation aux métaux, tabagisme), et, le cas échéant, leurs causes de décès.
La Commission prend acte de la renonciation à collecter la date de naturalisation, le numéro de boîte administrative et le recueil du parcours professionnel après la sortie de l’entreprise. Seules les données pertinentes pour la recherche seront traitées.
Sur les modalités de la collecte :
Le protocole de l’étude ainsi que les documents produits à l’appui de la demande d’autorisation prévoient que les données sont issues de trois sources : les archives de l’entreprise conservées auprès des ANMT, les dossiers de médecine du travail des ex-salariés de Métaleurop Nord détenus par l’Association Santé Travail 62 59, le RNIPP géré par l’Institut national de la statistique et des études économiques (INSEE) et le CépiDC géré par l’Institut national de de la santé et de la recherche médicale (INSERM).
Les informations issues des dossiers médicaux des anciens salariés seront collectées par une investigatrice auprès du service de médecine de l’Association Santé Travail 62 59, à travers une demande d’accès adressée au directeur de l’association comportant l’autorisation de la Commission pour la mise en œuvre de la présente étude.
S’agissant du statut vital, le responsable de traitement chargera l’INSERM d’interroger le RNIPP en lui transmettant un fichier informatique contenant : le numéro d’identification individuel de chaque participant à l’étude, le nom patronymique, les prénoms, le sexe, la date et le lieu de naissance. L’INSEE transmettra à l’Université les date et lieu de décès, ainsi que le numéro de l’acte de décès.
S’agissant des causes de décès, l’INSERM supprimera les informations en sa possession concernant le nom patronymique et les prénoms, et fera inscrire les causes médicales individuelles de décès par le service chargé d'établir la statistique nationale des causes de décès. Le fichier ainsi complété sera alors restitué à l’Université, avec le numéro d’identification individuel propre à l’étude pour toute identification.
Les informations concernant la population externe de référence porteront sur les effectifs de population masculine par tranche d’âge dans l’ancienne région Nord Pas-de-Calais pour les années 1968 à 2013 ainsi que sur le nombre de décès survenus chaque année pour cette population. 
La Commission relève que les données seront saisies sur trois postes de travail distincts : un ordinateur dédié à la saisie des données nominatives issues des ANMT pour transmission à l'INSERM qui fournit le statut vital et des causes médicales individuelles de décès, un deuxième ordinateur dédié à la saisie des données issues du dossier de médecine du travail, Un troisième ordinateur qui fusionnera les données administratives, d'exposition, le statut vital et les causes de décès.
Chaque ancien salarié de la cohorte sera identifié au moyen d’un numéro d’ordre à quatre chiffres dans l’ordre d’inclusion. 
Une table de correspondance entre l’identité des participants et leur identité codée sera conservée par l’une des investigatrices, maître de conférences à l’Université, qui ne dispose d’aucun accès aux données de santé ni aux causes de décès, de sorte que, conformément à l’article 55 de la loi Informatique et Libertés, la présentation des résultats du traitement de données ne permet en aucun cas l’identification directe ou indirecte des personnes concernées.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi Informatique et Libertés.
Sur la durée de conservation des données :
Les données collectées dans le cadre de l’étude seront conservées pendant quinze ans, afin de permettre à l’Université de mener les exploitations statistiques sur un nombre conséquent de sujets. 
Sur les destinataires des données :
La Commission prend acte de ce que les données collectées dans le cadre de l’étude ne seront transmises à aucun destinataire.
Les trois intervenantes dans l’étude sont rattachées à l’Université Lille 2 et au Centre hospitalier régional universitaire de Lille, en tant que praticiennes hospitalières et maître de conférences santé et sécurité au travail.
Sur l'information des personnes :
Dans le cadre du projet, l’inclusion des anciens salariés de l’entreprise dans la cohorte s’effectuera à partir des 6 000 dossiers détenus par les ANMT que l’Université informatisera. 
Une information préalable sera effectuée par le biais de l’association « Chœurs de fondeurs » qui enverra une note d’information par courrier aux adhérents et ayants droit et la publiera sur son site internet. Cette note explique les objectifs de l’étude, son déroulement ainsi que les droits dont disposent les participants et leurs modalités d’exercice.
La Commission prend acte de ce que la note d’information sera modifiée de manière à permettre aux ayants droit d’anciens salariés décédés de faire connaître au responsable de traitement les éventuels refus exprimés par écrit par les intéressés à ce que leurs données fassent l’objet d’un traitement, conformément à l’article 56 de la loi Informatique et Libertés.
S’agissant d’une enquête épidémiologique de mortalité, réalisée plus de dix ans après la fermeture de l’entreprise, le responsable de traitement demande à la Commission une dérogation à l’obligation d’information préalable fondé sur  la difficulté de retrouver les personnes concernées.
La Commission rappelle que, selon les dispositions de l’article 57, alinéa 2, de la loi précitée, lorsque les données à caractère personnel ont été initialement recueillies pour un autre objet que la recherche, l’étude ou l’évaluation, il peut être dérogé à l’obligation d’information individuelle lorsque cette information se heurte à la difficulté de retrouver les personnes concernées. 
La Commission estime cette condition remplie et accorde en conséquence la dérogation sollicitée.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès, de rectification et d’opposition des personnes s’exercent auprès de la personne responsable de l’étude dont les coordonnées sont indiquées dans le formulaire.
Sur la sécurité des données et la traçabilité des actions :
L’experte toxicologue chargée de reconstruire l’historique des expositions n’aura accès qu’aux données concernant les expositions professionnelles. Seule la responsable de l’étude aura accès aux données des dossiers de médecine du travail et aux causes médicales de décès.
Les données sont sauvegardées de manière hebdomadaire sur disque dur. La Commission recommande que les sauvegardes soient régulièrement testées afin de vérifier leur intégrité et que le transfert des sauvegardes soit sécurisé. En outre, elles doivent être stockées dans un endroit garantissant leur sécurité et leur disponibilité.
La Commission relève que le nouvel article L.1110-4 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé ne prévoit plus l’authentification par carte de professionnel de santé ou dispositif équivalent agréé par l’ASIP santé et que le nouvel article L.1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.
Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une carte de professionnel de santé ou d’un dispositif équivalent agréé par l’ASIP santé.
Pour les non-professionnels de santé, la Commission rappelle qu'un accès par identifiant et mot de passe n'est autorisé que si les données en accès ne sont pas directement identifiantes. A cet égard, la Commission recommande l’utilisation de mots de passe disposant au minimum de dix caractères, composés de trois types de caractères distincts. En outre, le mot de passe doit être modifié par l’utilisateur dès sa première connexion, puis régulièrement.
La Commission rappelle que ses préconisations sur les durées de conservation des journaux sont de six mois. Par ailleurs, les traces d'accès aux données de santé doivent être enregistrées directement dans les dossiers de patients et conservées avec la même durée que ceux-ci. La Commission recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et lever des alertes.
Elle rappelle également que l'article 34 alinéa 1 de la loi du 6 janvier 1978 modifiée prévoit que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. 
Dans ces conditions, la Commission autorise l’Université de Lille 2  à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en œuvre d’une étude épidémiologique portant sur la mortalité des anciens salariés de Métaleurop Nord.
La Présidente
I. FALQUE-PIERROTIN