Délibération n° 2017-275 du 12 octobre 2017 autorisant l’Agence nationale de santé publique à mettre en œuvre la modification d’un traitement automatisé de données à caractère personnel relatif à l’enquête « IMPACTS » et abrogeant les délibérations n°2015-154 du 21 mai 2015 et n°2016-209 du 7 juillet 2016(demande d’autorisation n° 915262v3)
Nature: Autre autorisation

La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence nationale de santé publique d’une demande de modification d’un traitement automatisé de données à caractère personnel relatif à l’enquête « IMPACTS »;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1413-1 à L. 1413-12-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 17 février 2010 portant création d'un traitement automatisé de données à caractère personnel dénommé « système d'information numérique standardisé » (SINUS) ;
Vu l’arrêté du 24 février 2014 relatif aux modalités d'intervention des cellules d'urgence médico-psychologique et aux conditions de participation des personnels et professionnels à une cellule d'urgence médico-psychologique ;
Sur la proposition de M. Alexandre LINDEN, commissaire et après avoir entendu Mme. Nacima BELKACEM, commissaire du Gouvernement, 
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par l’Agence nationale de santé publique (ci-après l’agence) d’une demande de modification du traitement intitulé « IMPACTS ».
L’agence est un établissement public administratif placé sous la tutelle du ministre de la santé dont les missions sont définies par l’article L. 1413-1 du code de la santé publique.
A la suite des attentats perpétrés en Ile-de-France les 7, 8 et 9 janvier 2015, l’agence a mené une enquête sur l’impact psycho-traumatique de ces événements auprès de 432 personnes (IMPACT 1). Ce traitement a été autorisé par la Commission (délibération n° 2015-154 du 21 mai 2015).
L’agence a souhaité suivre l’évolution des participants un an plus tard, lancer une nouvelle vague d’entretiens avec eux ( IMPACTS 1bis ) et étendre le champ de ses analyses aux attentats du 13 novembre 2015 ( IMPACTS 2) en menant une enquête auprès de la population concernée. Ce traitement a été autorisé par la Commission (délibération n°2016-209 du 7 juillet 2016). La modification envisagée aujourd’hui vise à ajouter de destinataires aux données collectées afin de réaliser des recherches à partir de ces données.
Les traitements nécessaires à ces enquêtes, comportant des données à caractère personnel relatives à la santé, et justifiés par l’intérêt public, sont soumis à autorisation préalable de la Commission en application des dispositions combinées des articles 8-IV et 25-I-1° de la loi Informatique et Libertés.
Sur la finalité du traitement :
Le traitement vise à mesurer le retentissement psychologique et social des attentats terroristes sur les personnes exposées et l’étude du type de prise en charge ou de soutien auquel elles ont pu avoir accès à la suite des événements. 
En particulier, les objectifs de l’enquête sont :
d’identifier les facteurs de recours ou de non-recours à une prise en charge sanitaire ou d’accompagnement à la suite des événements ;
d’estimer, dans la population cible, la survenue d’état de stress post- traumatique, de troubles de l’humeur, de troubles anxieux, de risques auto-agressifs et d’addictions ;
d’identifier les différents facteurs associés à l’apparition des troubles de la santé mentale.
La Commission considère que les finalités poursuivies par les traitements sont déterminées, explicites et légitimes au sens de l’article 6-2° de la loi Informatique et Libertés.
Sur les modalités de collecte des données :
La population visée par l’enquête IMPACT 1 est estimée à environ 1 000 personnes réparties en quatre groupes :
groupe 1 : les victimes (blessés, otages) et témoins directement menacés ou présents physiquement sur les lieux des événements ;
groupe 2 : les professionnels d’urgence sanitaire et des forces de l’ordre intervenus dans les douze premières heures sur les lieux des événements ;
groupe 3 : les membres des familles ou proches des victimes de ces attentats, y compris les personnes endeuillées ;
groupe 4 : les riverains ou les professionnels à proximité immédiate (rayon de 50m) des lieux des événements au moment des faits.
La collecte des données est organisée en trois étapes. La première phase dite de « recrutement » est mise en place pour recenser les personnes éligibles pour participer à l’enquête : 
S’agissant des groupes 2 (professionnels intervenus en urgence) et 4 (riverains), cette phase consiste en la remise d’une note d’information, par les employeurs (groupe 2) ou sur le terrain (groupe 4), qui présente l’enquête et invite les personnes à renseigner un questionnaire d’inclusion.
S’agissant des groupes 1 (victimes, témoins) et 3 (proches des victimes), le recrutement est réalisé à partir des listes nominatives établies dans les suites des attentats :
liste « SINUS » de la préfecture de police dont la finalité est d’assurer le dénombrement, l’identification et le suivi des victimes lors d’événements exceptionnels en application de l’arrêté du 17 février 2010 portant création de ce fichier ;
listes des consultations en psycho-traumatologie des cellules d’urgence médico-psychologiques (CUMP) d’Ile-de-France, de l’Hôtel-Dieu et de l’hôpital Tenon ;
liste de l’association d’aide aux victimes  Œuvre de secours aux enfants  («OSE ») ;
liste des personnes pouvant prétendre à indemnisation auprès du Fonds de garantie des victimes des actes de terro »risme et d'autres infractions (FGTI), tenue par le ministère de la justice.
Le protocole d’enquête prévoit une transmission de ces listes nominatives à l’agence à des fins d’élimination des doublons et de constitution d’un fichier des personnes à contacter qui sera transmis aux CUMP pour la réalisation de la phase d’inclusion.
La Commission estime qu’une telle consolidation du fichier des personnes à contacter est légitime au regard du souci de préserver ces personnes d’un dérangement excessif en les sollicitant à plusieurs reprises si elles apparaissent sur différentes listes. 
Toutefois, la Commission relève que l’arrêté du 17 février 2010 portant création du traitement « SINUS » prévoit en son article 3 une liste limitative de destinataires autorisés à connaître les données traitées, dans laquelle l’agence ne figure pas. Dans la mesure où la phase d’inclusion n’est pas assurée par l’agence mais par les CUMP qui font partie du dispositif de l’aide médicale urgente, la Commission estime que les données nominatives ne devraient pas être communiquées à l’agence. Une meilleure confidentialité de ces données serait assurée si elles étaient conservées par l’Agence régionale de santé d’Ile-de-France, qui participe déjà au dispositif d’enquête IMPACTS, figure parmi les destinataires autorisés à accéder aux données de la liste SINUS et coordonne les CUMP. En conséquence, la Commission demande que la consolidation du fichier soit opérée par les agents habilités à accéder aux données nominatives en application de l’arrêté précité.
Par ailleurs, concernant la liste des personnes pouvant prétendre à indemnisation auprès du FGTI, la Commission ne dispose pas d'informations sur les modalités et la pertinence de l'utilisation de cette liste, en particulier au regard de la cible visée qui semble pouvoir être atteinte par le biais de la liste SINUS.
La deuxième phase dite « d’inclusion » consiste en la passation d’un questionnaire de cinq minutes destiné à vérifier l’éligibilité des personnes à l’enquête. Ce questionnaire sera rempli en ligne ou au format papier par les personnes volontaires des groupes 2 et 4. Concernant les groupes 1 et 3, la liste des personnes à contacter sera répartie entre les différentes CUMP d’Ile-de-France afin que les questionnaires d’inclusion soient passés par téléphone auprès d’un psychologue d’une CUMP.
La troisième phase dite d’ « entretien » consiste en un entretien d’une à deux heures, en face à face avec un psychologue, qui permettra la collecte des données de l’enquête sur des questionnaires au format papier.
S’agissant de l’enquête IMPACTS 1 bis, les données sont collectées dans des conditions analogues, à savoir un entretien pendant lequel les réponses sont reportées sur des questionnaires au format papier.
Toutefois, le circuit de circulation des données pour cette nouvelle vague prévoit l’intervention de deux prestataires. Une société d’enquête est chargée de planifier les entretiens entre les psychologues et les participants. Un autre prestataire est chargé de la saisie informatique des réponses aux questionnaires.
L’intervention de ces sous-traitants est formalisée dans des contrats qui doivent prévoir les obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données, en application de l’article 35 de la loi Informatique et Libertés. En application de ce même article, le responsable du traitement reste tenu d’une obligation de veiller au respect des mesures de sécurité et de confidentialité mentionnées à l’article 34 de la loi précitée.
S’agissant de la population concernée par l’enquête IMPACTS 2, l’agence a opté pour une procédure de collecte plus souple que celle concernant les attentats de janvier 2015 afin de pouvoir constituer un panel plus représentatif. Ainsi, cette enquête repose sur un questionnaire en ligne et, subsidiairement, sur des entretiens en face-à-face. Elle concerne environ 5 000 personnes :
les blessés ;
les personnes directement visées ou menacées par les terroristes et ayant dû se cacher (au Bataclan, dans les cafés/terrasses, et à proximité immédiate des lieux mêmes) ;
les intervenants professionnels (services de secours, forces de l’ordre, services des villes) qui ont eu à sécuriser les lieux, à prendre en charge des personnes sur les lieux des attaques ou dans les heures (jours pour les blessés psychiques) qui ont suivi ;
les personnes endeuillées.
Les personnes mineures de plus de 16 ans répondant aux critères d’inclusion peuvent participer à l’enquête sous réserve de l’autorisation de leurs représentants légaux.
Un questionnaire d’inclusion est renseigné par les participants afin de vérifier leur éligibilité à l’enquête. Le questionnaire d’inclusion destiné à la population civile est accessible au grand public sur un site internet dont l’adresse est diffusée selon les moyens d’information précisés ci-après. 
Concernant les questionnaires relatifs aux professionnels étant intervenus sur le terrain, les modalités de participation et d’accès au site internet dédié sont diffusées uniquement au sein des structures qui les emploient.
La Commission prend acte de ce que la possibilité d’un entretien en face-à-face pour répondre au questionnaire est ouverte uniquement aux personnes blessées ou hospitalisées. 
Sur la nature des données traitées :
L’enquête IMPACTS implique le traitement de données directement identifiantes : nom, prénom, adresse postale, courriel et numéro de téléphone.
Grâce à ces informations collectées lors de la première vague d’IMPACTS pour les participants ayant consenti au suivi à long terme, les personnes sont re-sollicitées pour participer à la nouvelle vague (IMPACTS 1 bis). 
S’agissant des personnes concernées par l’enquête IMPACTS 2, ces données directement identifiantes sont collectées auprès des personnes répondant aux critères d’inclusion au moyen d’un formulaire de recueil du consentement. Ces données permettent de communiquer aux participants les moyens d’authentification pour accéder au questionnaire, de les informer des résultats de l’enquête et, s’ils en acceptent le principe, de les recontacter, le cas échéant, dans le cadre d’un suivi à douze mois.
S’agissant du volet IMPACTS 1 bis, les catégories de données collectées à des fins d’analyse reposent sur des questionnaires adaptés similaires à ceux utilisés lors de la première vague.
S’agissant du volet IMPACTS 2, ces questionnaires seront adaptés à une passation en ligne. 
Il est prévu le recueil des données suivantes :
données sociodémographiques (âge, sexe, situation professionnelle et familiale, niveau d’études) ;
vécu de l’événement ;
vécu des conséquences de l’événement et besoin de soutiens privilégiés ;
description du soutien psychologique et du parcours juridique après les événements ;
données relatives à la santé : recours aux soins, état de santé psychologique.
Les réponses aux questionnaires destinés au suivi à un an sont associées au même  « numéro de confidentialité » que celui utilisé pendant la première vague, de sorte que les personnes en charge de l’analyse des données n’ont pas accès à des données directement identifiantes et peuvent apparier les données de la première vague à celles de la seconde.
La Commission estime que ces données sont pertinentes, adéquates et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément aux dispositions de l’article 6-3° de la loi Informatique et Libertés.
Sur les destinataires des données :
Le protocole d’enquête prévoit que l’agence conserve l’ensemble des données collectées dans le cadre de l’enquête IMPACTS.
Par ailleurs, l’ARS d’Ile-de-France est destinataire des résultats de l’enquête mais n’aura pas accès aux données collectées.
En ce qui concerne le volet IMPACTS 1 bis, l’Institut national de la santé et de la recherche médicale (INSERM) est destinataire, aux fins d’analyse, des données issues de l’ensemble des entretiens (première et seconde vagues), sous une forme indirectement identifiante.
Aucun des acteurs n’est à la fois destinataire des réponses aux questionnaires et des données directement identifiantes relatives aux participants. Ainsi, la société d’enquête en charge de la coordination des rendez-vous ne connait que les données de contact téléphonique des participants (nom, prénom et numéro de téléphone) et le prestataire en charge de la saisie informatique n’a accès qu’aux réponses aux questionnaires associées au numéro de confidentialité. En outre, l’INSERM n’a accès qu’aux données de la première et de la seconde vagues (IMPACTS 1 et 1 bis) associées au numéro de confidentialité des participants.
S’agissant du volet IMPACTS 2, seuls les chercheurs dûment habilités de l’agence peuvent accéder aux données de l’enquête sous une forme indirectement identifiante. La table de correspondance entre l’identité des participants et leur numéro de confidentialité est conservée de manière séparée des données de l’enquête, dans des conditions de sécurité conformes aux règles de l’art, de sorte que les personnes en charge de l’analyse des données n’ont jamais accès à l’identité des participants.
La Commission a été saisie en 2017 d’une modification visant à permettre la réutilisation des données collectées à des fins de recherche, y compris dans le cadre de thèses. 
Sur le respect des droits des personnes :
S’agissant de l’enquête IMPACT 1, une note d’information est prévue à destination des personnes afin de leur rappeler le caractère volontaire et facultatif de leur participation à l’enquête et l’absence de conséquence d’un refus d’y participer. Elles y sont également informées des modalités pratiques d’exercice de leurs droits prévus aux articles 38, 39 et 40 de la loi Informatique et Libertés.
La note d’information est délivrée aux personnes des groupes 2 et 4 préalablement au traitement de leurs données à caractère personnel. Ainsi, les professionnels intervenus en urgence (groupe 2) reçoivent un courriel d’information de la part de leurs employeurs les invitant à se rendre sur le site internet de l’ARS pour remplir le questionnaire de pré-inclusion. Quant aux riverains (groupe 4), la note d’information est remise dans leur boîte aux lettres, accompagnée d’un formulaire de pré-inclusion à renvoyer.
Concernant les personnes des groupes 1 (victimes et témoins) et 3 (proches des victimes), le protocole d’enquête prévoit une information délivrée oralement par les CUMP lors de l’entretien téléphonique de pré-inclusion puis un envoi de la note d’information par voie postale aux personnes qui acceptent de participer.
Un traitement de données à caractère personnel est mis en œuvre dès la phase de recrutement, lors de la constitution du fichier des personnes à contacter.
Compte tenu de la sensibilité du thème de l’enquête et des arguments qui précèdent relativement au souci de préserver les personnes d’un dérangement excessif, la Commission recommande que les personnes soient informées en amont des modalités selon lesquelles les CUMP ont pu obtenir leurs coordonnées.
En particulier, la Commission recommande qu’elles soient informées préalablement de l’objet de l’enquête, de leurs droits et du fait qu’elles seront contactées par téléphone. Cette information peut par exemple être délivrée par courrier.  Par ailleurs, les personnes contactées par téléphone doivent pouvoir s’opposer au traitement de leurs données et refuser de participer à l’enquête. 
Une information collective est délivrée sur le site internet de l’ARS d’Ile-de-France et que le consentement exprès des personnes est recueilli préalablement à la phase d’entretien, d’une part pour le traitement de leurs données à caractère personnel et, d’autre part, pour la conservation de leurs données à des fins de suivi à long terme.
Concernant la participation des mineurs, l’autorisation des titulaires de l’autorité parentale est recueillie préalablement à l’inclusion des mineurs qui seront informés des modalités d’exercice des droits reconnus par la loi. 
Les droits prévus par les articles 38, 39 et 40 de la loi s’exercent par courrier ou par courriel auprès du responsable de l’enquête IMPACTS au sein de la Cellule d’intervention en région (« Cire »).
L’agence envoie un courrier aux personnes ayant participé à IMPACT 1 afin de les informer de la mise en œuvre d’une nouvelle vague (IMPACTS 1 bis). Il leur est rappelé la possibilité de s’opposer, pendant un délai de quinze jours ouvrables, à être contactés par la société d’enquête pour organiser un nouvel entretien avec un psychologue.
Les personnes sont informées, au moment de l’entretien en face-à-face, de la transmission à l’INSERM des données collectées pendant la première vague à des fins d’appariement et d’analyse avec les données issues de la seconde vague.
S’agissant du volet IMPACTS 2, une information générale sur l’étude est réalisée dans un premier temps :
au moyen d’une campagne médiatique de l’agence, notamment sur Internet ;
en privilégiant les relais de confiance (acteurs de la prise en charge et associatifs) ;
au sein des structures qui emploient les professionnels intervenants sur le terrain.
Dans un second temps, les personnes intéressées reçoivent une information plus détaillée sur le site internet où elles sont invitées à renseigner le questionnaire. 
Le caractère volontaire et facultatif de la participation à l’enquête IMPACTS est rappelé à l’ensemble des participants ainsi que les modalités pratiques d’exercice de leurs droits prévus aux articles 38, 39 et 40 de la loi qui s’exercent par courrier ou par courriel auprès des responsables de l’enquête IMPACTS au sein de l’agence.
S’agissant de la réutilisation des données issues de l’enquête IMPACTS, les personnes concernées devront être informées conformément aux dispositions des articles 57 et suivants de la loi Informatique et Libertés.
Sur la durée de conservation des données :
Le responsable de traitement envisage de renouveler le suivi à long terme des participants à l’enquête IMPACTS, pour lequel il saisira préalablement la Commission. 
Plusieurs durées de conservation des données sont donc prévues :
si la personne accepte de participer mais ne donne pas son consentement à la conservation des données à des fins de suivi à long terme, les données la concernant seront conservées le temps de l’analyse et supprimées après publication du rapport d’enquête ;
si la personne accepte de participer au suivi à long terme ultérieur, ses données seront conservées le temps nécessaire à la mise en œuvre du suivi.
Dans la mesure où la réalisation d’une phase de suivi à long terme n’est pas encore définie par le responsable de traitement, la Commission demande qu’une durée limitée soit définie pour la seconde hypothèse afin d’éviter une conservation illimitée des données en cas de non-réalisation dudit suivi. Elle considère qu’une durée de deux ans est proportionnée en l’espèce.
Sur la sécurité des données :
Le traitement met en œuvre une interface web permettant, d’un côté, de remplir les formulaires de pré-inclusion pour les personnes volontaires et, d’un autre côté, de consulter et saisir les résultats de l’étude pour le personnel de l’agence. L’accès à cette interface se fait par l’intermédiaire du protocole HTTP avec une couche SSL permettant de garantir l’identité de serveur et le chiffrement du canal de communication.
Concernant la base de pré-inclusion, les utilisateurs externes (personnes volontaires et CUMP) disposent de codes d’accès à l’application. Ces codes sont adressés aux personnes volontaires avec le courrier d’information. Il ne s’agit pas de codes personnels mais de codes permettant une télétransmission simple des données.
Les agents de la Cire ont un profil administrateur qui leur permet d’accéder à l’intégralité des données de la base, d’effectuer les extractions et d’attribuer des droits aux utilisateurs. L’accès à ce profil est subordonné à une combinaison identifiant-mot de passe, le mot de passe étant composé de huit caractères dont certains spéciaux. 
Concernant la base enquête, les psychologues investigateurs y accèdent grâce à une combinaison identifiant-mot de passe attribuée par l’administrateur de la base. 
Ils pourront saisir en plusieurs fois les données. Le mot de passe sera composé de 8 caractères dont des caractères spéciaux.
La Commission rappelle les termes de sa délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe 
Concernant la mise au point de l’application « Voozanoo », il s’agit d’un progiciel hébergé sur un serveur de l’agence permettant la création de fichiers de collecte. L’utilisateur-administrateur dispose d’un compte personnel à partir duquel il crée son  fichier de recueil en ligne et définit les droits des utilisateurs. Les tests sont, en général, effectués à partir de données fictives.
L’outil Voozanoo permet à l’administrateur du questionnaire de contrôler toutes les actions faites par les utilisateurs sur les données (création, suppression, modification et visualisation de fiche).
Concernant le volet IMPACTS 1 bis, plusieurs mesures de sécurité sont prévues pour encadrer le circuit de circulation des données entre les différents acteurs impliqués :
s’agissant du transfert de la table de correspondance comprenant les données de contact (nom, prénom, numéro de téléphone) et le numéro de confidentialité, entre l’agence et la société d’enquête, une clé USB contenant un fichier chiffré par mot de passe lui sera directement remise. Elle conservera la clé dans ses locaux et la détruira à l’issue des entretiens. La Commission rappelle que le chiffrement doit être réalisé au moyen d’un algorithme cryptographique public réputé fort.
s’agissant du transfert des réponses aux questionnaires, le prestataire transmettra directement sur clé USB la base (numéro de confidentialité et données d’enquête) à l'INSERM lorsque l'enquête sera terminée. La base sera chiffrée au moyen de l’algorithme GnuPG et de la clé publique de l’INSERM.
Concernant le volet IMPACTS 2, le traitement consiste en :
une collecte de données via un questionnaire mis en œuvre sur un portail d’un hébergeur agréé s’agissant des données à caractère personnel de santé ;
l’analyse de ces données pseudonymisées au sein du système d’informations de l’agence.
La pseudonymisation, en l’espèce, consiste en la création d’une table de correspondance entre l’identité des personnes et un identifiant généré aléatoirement à partir d’un générateur utilisant l’algorithme SHA256 et une source d’entropie.
Les transmissions sont chiffrées et l’authentification des personnes est réalisée au moyen d’un mot de passe à usage unique transmis à leur téléphone.
Les données pseudonymisées sont quant à elles analysées au sein d’un réseau local et les chercheurs s’authentifient au moyen de mots de passe de huit caractères.
La traçabilité est réduite aux seules connexions. Toutefois, cette traçabilité doit suffire, eu égard au faible nombre d’ordinateurs permettant d’accéder aux données pseudonymisées (trois).
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi. Cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise l’agence à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité une modification de l’enquête « IMPACTS »,  et abroge les délibérations n°2015-154 du 21 mai 2015 et n°2016-209 du 7 juillet 2016.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS