Délibération n°2010-107 du 15 avril 2010 autorisant la mise en œuvre par l’Institut national des études démographiques (INED) d’un traitement de données à caractère personnel ayant pour finalité la mise en œuvre d’une enquête sur la fin de vie en France
Nature: Autre autorisation

La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°2005-370 du 22 avril 2005 relative aux droits du malade et à la fin de vie;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 et notamment ses articles 54 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le bilan de l’enquête « pilote » autorisée par la CNIL le 22 octobre 2008, communiqué à la CNIL à sa demande ; 
Après avoir entendu, Mme Marie-Hélène MITJAVILE, commissaire en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par l’Institut National d’Etudes Démographique (INED) d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité une enquête portant sur les conditions dans lesquelles se déroule la fin de vie en France. Cette enquête sera réalisée auprès d’un échantillon de médecins qui ont rempli un certificat de décès.
Cette étude relève du champ d’application du chapitre IX de la loi du 6 janvier 1978 modifiée en 2004 (articles 54 et suivants), relatif aux traitements de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé, qui autorise, sous certaines conditions, les transmissions de données médicales identifiantes entre professionnels de santé et organismes de recherche par dérogation au secret médical, tout en conférant des droits aux personnes concernées.
La Commission relève que cette enquête a été précédée d’une enquête « pilote » qui a été autorisée par la CNIL le 22 octobre 2008 et qui avait pour finalité principale d’expérimenter les modalités de mise en œuvre de l’étude et, en particulier, les modalités de collecte des données.
Elle relève également que l’enquête en grandeur réelle objet de la présente demande d’autorisation a reçu un avis favorable du Comité Consultatif sur le Traitement de l’Information en matière de Recherche dans le domaine de la Santé (CCTIRS) et le soutien de l’observatoire de la fin de vie, de la Direction générale de la santé et du Conseil National de l’Ordre des médecins qui fait partie du Comité de pilotage de l’étude.
Sur les finalités poursuivies par le traitement
L’Institut national des études démographique souhaite mettre en œuvre une enquête auprès d’un échantillon de médecins qui ont rempli un certificat de décès, afin d’obtenir des données statistiques sur les conditions du décès et sur les décisions médicales prises par le médecin.
Les résultats de cette enquête permettront d’apporter aux autorités sanitaires et à l’opinion publique des données scientifiques sur les modalités de prise en charge des patients en fin de vie en France et, ainsi, d’éclairer le débat public concernant la réforme éventuelle de la loi du 22 avril 2005 sur les droits des malades et la fin de vie.
Une enquête analogue ayant été réalisée dans six pays d’Europe, l’enquête permettra de comparer les conditions de la fin de vie en France avec celles des autres pays européens.
Sur le déroulement de l’enquête
Pour permettre la réalisation de l’enquête, un échantillon de 15 000 décès parmi l’ensemble des décès survenus en France au cours des dernières semaines sera constitué. 
L’échantillon de médecins à interroger sera constitué en procédant au relevé des nom et adresses professionnelles des médecins certificateurs, c’est-à-dire des médecins dont le nom figure sur les certificats de décès. 
Ces informations seront obtenues auprès du Centre d’épidémiologie sur les causes médicales de décès (CepiDc) de l’Institut national de la santé et de la recherche médicale (INSERM), organisme chargé d’établir la statistique nationale des causes de décès et destinataire final des bulletins et certificats de décès en France. Le CepiDc fournira également des données indirectement nominatives relatives aux personnes décédées, recueillies dans les bulletins statistiques « anonymes » de décès, afin de permettre au médecin interrogé d’identifier la personne concernée.
Le service des enquêtes et des sondages de l’INED (SES-INED) destinataire de ces informations attribuera un identifiant anonyme à chaque médecin concerné ainsi qu’un mot de passe et lui adressera un courrier postal comportant une lettre d’information précisant les caractéristiques de la personne décédée, l’identifiant et le mot de passe, une plaquette lui précisant l’objectif de l’enquête et une version papier du questionnaire.
Les médecins enquêtés seront invités à répondre à un questionnaire anonyme concernant la fin de vie et le décès du patient dont ils ont certifié le décès. 
Ils auront la possibilité de remplir le questionnaire par Internet sur des serveurs sécurisés ou par voie postale à l’aide d’un questionnaire papier.
Les questionnaires vierges seront accessibles sur un site dédié sécurisé (https://enquetefindevie2010.org) géré par un prestataire informatique. 
Ce premier serveur informatique tiendra un état des connexions et de la participation à l’enquête pour chacun des identifiants. Cet état sera accessible au SES-INED et lui permettra de n’adresser de courriers de relance qu’aux médecins qui n’ont pas répondu. Aucune réponse au questionnaire ne sera stockée sur ce premier serveur. 
Lorsqu’un médecin validera ses réponses, qu’il ait achevé ou non de remplir le questionnaire, celles-ci seront chiffrées et transmises sur un second serveur, placé sous la responsabilité du service informatique de l’INED, sans transiter par le premier serveur. 
L’envoi s’effectuera de manière sécurisée grâce à un dispositif de double hachage des noms de fichiers avant la transmission et à la réception, la première clé de hachage étant connue du seul prestataire informatique, la seconde du seul Service des Méthodes Statistiques de l’INED (SMS-INED). Ce système de double hachage permettra d’assurer une anonymisation irréversible les réponses. 
Afin de garantir l’anonymat des réponses du médecin certificateur adressées par voie postale, un circuit de circulation des questionnaires papier a été mis en place  faisant intervenir un tiers de confiance indépendant de l’INED (le Département d’information médicale de la maternité régionale Adolphe Pinard de Nancy).
Le médecin qui souhaite répondre à l’aide du questionnaire papier devra insérer le questionnaire rempli dans une enveloppe « blanche » qui devra être glissée dans une enveloppe T comportant l’identifiant anonyme et l’adresser au tiers de confiance. Il sera rappelé au médecin qu’il ne doit porter sur le questionnaire aucun élément de nature à l’identifier (tampon professionnel…)
Le tiers de confiance séparera les deux enveloppes. Il communiquera au SES-INED les identifiants figurant sur les enveloppes T, afin de permettre de relancer les médecins non répondants et attribuera un nouvel identifiant au questionnaire.
Lorsqu’il aura reçu un nombre suffisant de réponses, il ouvrira les enveloppes blanches, assurera la saisie des questionnaires en utilisant le même site internet que celui utilisé par les médecins, puis détruira les questionnaires. Le tiers de confiance sera ainsi garant de l’anonymat des questionnaires sous format papier.
Les données de l’enquête seront complétées par une enquête téléphonique auprès des non-répondants. Cette enquête portera sur un nombre limité de questions permettant de connaître les raisons du refus et d’effectuer une comparaison statistique des caractéristiques des médecins répondants et non-répondants.
Sur les catégories de données traitées
Collecte des données préalables à l’enquête
Pour pouvoir effectuer l’enquête auprès des médecins certificateurs et leur poser des questions concernant un décès précis, il est nécessaire pendant le temps limité nécessaire à la collecte de connaître le nom et les coordonnées professionnelles de ces médecins et de disposer de données leur permettant d’identifier la personne décédée. Les caractéristiques des personnes décédées communiquées aux médecins seront le sexe, la date de naissance, la date de décès, le lieu de décès (domicile, hôpital…), la commune de décès, le statut matrimonial et la profession. 
La Commission prend acte que les données relatives aux causes de décès qui figurent dans les certificats de décès ne seront pas transmises à l’INED par le CepiDc.
Collecte des données auprès des médecins
Le questionnaire portera sur les conditions du décès (pathologie, lieu du décès, nature de l’accompagnement, rôle de la famille, mise en application des dispositions relatives aux directives anticipées et à la désignation d’une personne de confiance…) d’une part, et sur les décisions médicales prises par le médecin (poursuite, limitation ou arrêt des soins actifs, traitement de la douleur, recours à la sédation, administration ou non de substance létale…) d’autre part. 
Il comportera également des questions sur les caractéristiques socio-démographiques du médecin (groupe d’âge, sexe, région d’exercice taille de commune d’exercice, spécialité, mode d’exercice) et de la personne décédée (groupe d’âge, sexe, région de décès, catégorie socioprofessionnelle, mois du décès, causes du décès formulées en 9 catégories).
La Commission relève que le questionnaire a été conçu pour être à la fois pertinent du point de vue statistique, mais suffisamment général pour garantir l’anonymat des personnes.
Sur les catégories de destinataires
Seul le SES-INED sera destinataire des données directement identifiantes relatives aux médecins et indirectement identifiantes relatives aux personnes décédées nécessaires à la réalisation de l’enquête, pendant le temps nécessaire à la collecte.
Les différents prestataires qui concourent à la réalisation de l’enquête aux côtés de l’INED (prestataire informatique, prestataire d’impression et de routage, prestataire chargé des relances téléphoniques et de l’enquête auprès des non-répondants) seront destinataires des données strictement nécessaires à la réalisation de leur prestation. Aucun ne sera en mesure de rapprocher des données relatives aux réponses aux questionnaires de l’identité des médecins certificateurs ou de celles des personnes décédées.
Lors de l’exploitation des données, les résultats seront présentés sous une forme agrégée ne permettant pas, par recoupement ou par tout autre moyen, l’identification d’une personne déterminée.
Sur le droit d’accès et l’information des personnes concernées
Le droit d’accès et de rectification des médecins enquêtés aux données nominatives qui les concernent, défini au chapitre V de la loi du 6 janvier 1978, modifiée en 2004 s’exerce auprès du SES-INED. Il n’est possible que durant la période de collecte des données. 
Chacun des médecins enquêtés sera individuellement informé par courrier postal de l’objectif de l’enquête, de son caractère facultatif et des mesures de sécurité mises en œuvre pour garantir l’anonymat des médecins et des personnes décédées. 
Une campagne de communication sur l’enquête sera également assurée dans le bulletin (national et départemental) de l’Ordre des médecins, informant les médecins de la possibilité de refuser d’être inclus dans l’échantillon de l’enquête et des modalités d’exercice de ce droit de refus auprès de l’INED. 
La Commission estime que dans la mesure où la gestion des refus ne saurait incomber au CépiDc sans remettre en cause le secret médical, la gestion par l’INED des refus après information des médecins par le biais des publications professionnelles peut être admise.
Sur les conditions propres à garantir la confidentialité des données et notamment l’anonymat des médecins répondant aux questionnaires et des personnes décédées
La Commission relève que le dispositif mis en place permet de garantir l’anonymat des réponses des répondants, que le questionnaire soit sous format électronique ou papier. 
Grâce à la mise en place de deux serveurs distincts et d’un double dispositif de hachage, ne figureront jamais en clair sur un même ordinateur les coordonnées du médecin et les réponses aux questionnaires. Il ne sera pas possible pour les utilisateurs du fichier contenant les réponses à l’enquête de remonter d’un questionnaire au répondant.
Pour ce qui est du questionnaire papier, il sera anonymisé à son arrivée par le tiers de confiance par séparation physique de l’enveloppe comportant l’identifiant et de l’enveloppe blanche comportant le questionnaire et par la saisie des données sur le site dédié. 
La Commission prend acte également que la  prestation des tiers prestataires de services qui concourent à la réalisation de l’étude aux côtés de l’INED sera encadrée par une convention qui définira les opérations qu’ils sont autorisés à réaliser à partir des données transmises, ainsi que les engagements qu’ils prennent pour garantir leur sécurité et leur confidentialité, en particulier l’interdiction d’utiliser les données à d’autres fins et l'engagement à les détruire à l'issue de la prestation.
Sur la collecte et la conservation limitée des données à caractère personnel
La Commission relève que les données nominatives relatives aux médecins certificateurs et indirectement nominatives relatives aux patients, nécessaires pour la prise de contact avec la médecin et les éventuelles relances, seront conservées par le SES-INED dans des conditions de nature à garantir leur confidentialité pendant le temps limité nécessaire à la réalisation de la collecte, puis anonymisées par suppression des données nominatives et transformations des variables de type date de naissance en groupes d’âge, au plus tard trois mois avant la fin de la collecte.
Le SES-INED veillera à ce que les fichiers nécessaires au travail des prestataires soient détruits à la fin de chaque traitement.
Dans ces conditions, la Commission autorise l’Institut national des études démographiques à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK