La Commission nationale de l'informatique et des libertés,
Saisie par le Centre hospitalier universitaire de Rennes d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur les pratiques d’alerte des professionnels vis-à-vis des violences à enfant, intitulée ProVAC ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi informatique et libertés , notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 8 septembre 2022 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement
Le responsable de traitement est le Centre hospitalier universitaire (CHU) de Rennes.
Sur la finalité du traitement et son caractère d’intérêt public
Le traitement envisagé a pour finalité la mise en œuvre d’une étude portant sur les pratiques d’alerte des professionnels concernant les violences à enfant intitulée ProVac destinée à :
identifier les paramètres évoqués par les professionnels orientant le type d’alerte ;
quantifier la part des alertes adressées par les professionnels de santé.
Cette étude vise, à plus long terme à :
exposer aux professionnels confrontés à des situations d’enfants en danger ou en risque de l’être , la conduite actuellement tenue par d’autres professionnels selon les faits portés à leur connaissance et le type d’alerte transmise, afin de les encourager à alerter sans perte de chance pour l’enfant ;
améliorer le dispositif d’alerte pour intervenir plus vite et plus efficacement en renforçant les connaissances des professionnels qui concourent à la protection de l’enfance.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5.1.b) du RGPD et que ce traitement présente une finalité d’intérêt public, conformément à l’article 66.I de la loi informatique et libertés .
Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé
Le traitement mis en œuvre par le CHU de Rennes est nécessaire à l’exécution de la mission d’intérêt public dont il est investi.
Ce traitement est, à ce titre, licite au regard de l’article 6.1.e) du RGPD. En outre, ce traitement, nécessaire à des fins de recherche scientifique, remplit également la condition prévue à l’article 9.2.j) du RGPD permettant de traiter des données concernant la santé.
Ce projet de recherche est soumis aux dispositions des articles 44.3°, 66.III et 72 et suivants de la loi du 6 janvier 1978 modifiée, qui prévoient, en l’absence de conformité à une méthodologie de référence, que les traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ne peuvent être mis en œuvre qu’après autorisation de la Commission.
Sur les points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004 à l'exception des modalités d’information des personnes concernées.
En dehors de cette exception, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-004.
Sur les catégories particulières de données traitées
A titre liminaire, il est relevé que les données réutilisées dans le cadre de cette étude proviendront :
d’une part, des informations préoccupantes relatives aux mineurs en danger, prévues à l’article L. 226-3 du code de l’action sociale et des familles (CASF), mises en œuvre par les cellules de recueil des informations préoccupantes (CRIP) des départements des Côtes d’Armor, du Finistère, de l’Ille-et-Vilaine et du Morbihan ;
d’autre part, des données issues des signalements judiciaires réalisés directement auprès du procureur de la République, dans les conditions prévues à l’article L. 226-4 du CASF, des tribunaux judiciaires (TJ) de Saint-Brieuc, Brest, Quimper, Rennes, Saint-Malo, Lorient et Vannes.
Les données traitées par le CHU de Rennes seront exclusivement des informations préoccupantes et signalements judiciaires portés à sa connaissance.
Seules les données suivantes seront traitées :
nature de l’alerte (signalement judiciaire ou information préoccupante) ;
âge et sexe de la victime ;
lien de l’auteur présumé des faits avec la victime ;
types de lésions ;
niveau de formation de la victime ;
type de danger ou risque auquel est exposé le mineur (violences physiques, psychologiques, sexuelles, négligence, comportement à risque, manifestations chez le mineur, difficultés parentales) ;
profession du déclarant.
Ces données seront rattachées à un numéro unique d’identification du participant.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5.1.c du RGPD.
Sur l’information et les droits des personnes
S’agissant des modalités d’information :
Conformément à l’article 69 de la loi informatique et libertés , les personnes auprès desquelles sont recueillies des données à caractère personnel ou à propos desquelles de telles données sont transmises doivent être destinataires d’une information individuelle.
En outre, s’agissant de la participation de mineurs à une étude, l’article 70 de la loi précise que les titulaires de l’exercice de l’autorité parentale sont destinataires de l’information et exercent les droits de la personne concernée par le traitement.
Toutefois, en application de l'article 69 de la loi et de l’article 14.5.b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l’espèce, le responsable de traitement précise que la délivrance d’une information individuelle à chacune des personnes concernées par une information préoccupante ou un signalement judiciaire aurait pour conséquence d’entrainer le refus de participation des tribunaux judiciaires et cellules départementales de recueil des informations préoccupantes à l’étude, au nom du secret professionnel auquel ces établissements sont tenus. En effet, une information individuelle à destination des représentants légaux, qui peuvent être les auteurs présumés des violences, pourrait porter à leur connaissance l’existence d’une telle procédure et compromettre la sécurité de l’enfant. Dès lors, les CRIP et TJ concernés ont fait connaître leur refus de participer à l’étude si les modalités d’information aboutissaient à remettre en question leurs obligations de confidentialité et de protection de l’enfance en danger.
Aussi, au regard des éléments développés par le responsable de traitement et prenant en considération la finalité du traitement envisagé, dont l’objectif est d’améliorer la prise en charge des maltraitances, il sera fait exception au principe d'information individuelle des personnes.
Des mesures appropriées seront cependant mises en œuvre par le responsable de traitement, notamment :
la diffusion d’une information relative au projet de recherche comportant l’ensemble des mentions prévues par le RGPD :
sur le site web du CHU de Rennes ;
sur le site web du Centre hospitalier universitaire de Brest et celui des autres centres hospitaliers de la région ;
sur les sites web des quatre CRIP impliquées dans l’étude ;
par voie d’affichage, au sein des sept tribunaux judiciaires impliqués dans l’étude.
la pseudonymisation des données à la source, par les responsables de traitements initiaux (TJ et CRIP) ;
la limitation de la collecte et de l’accès aux données pseudonymisées aux seules personnes autorisées (techniciens d’étude clinique – TEC), placées sous l’autorité des TJ et CRIP par voie contractuelle. Chaque TEC intervenant sur un site de collecte aura son propre tableur de saisie, protégé par mot de passe ;
l’absence de conservation des tables de correspondance et la suppression des données figurant dans les tableurs de saisie dès consolidation.
Par ailleurs, ce traitement sera enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
La Commission estime que ces modalités d’information sont satisfaisantes au regard des dispositions du RGPD et de la loi informatique et libertés .
S’agissant des modalités d’exercice des droits :
Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données du CHU de Rennes.
La Commission estime que ces modalités d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi informatique et libertés .
Sur les accédants et destinataires
S’agissant des données directement identifiantes :
Seules des personnes habilitées, placées sous la responsabilité des tribunaux judiciaires et des cellules départementales de recueil des informations préoccupantes participant à l’étude, auront accès aux données identifiantes des personnes concernées par une information préoccupante ou un signalement judiciaire. Ces personnes procèderont à la pseudonymisation des données.
S’agissant des données indirectement identifiantes :
Les personnes placées sous la responsabilité du responsable de traitement n’auront accès qu’à des données pseudonymisées. Aucune table de correspondance ne sera conservée.
Le responsable de traitement devra tenir à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur la sécurité des données et la traçabilité des actions
À titre liminaire, le dossier de demande mentionne que le traitement envisagé est conforme aux mesures de sécurité prévues dans la MR-004.
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au traitement envisagé.
Les investigateurs se déplaçant dans les sites de recueil n’auront accès qu’à des documents papiers ne contenant pas d’informations directement identifiantes.
Des postes de travail exclusivement dédiés au recueil des données seront utilisés. L'accès aux postes devra nécessiter une connexion de l'utilisateur à un compte nominatif et les sessions devront être automatiquement verrouillées après une période d'inactivité raisonnable, par exemple de cinq minutes. Les postes de travail devront disposer d'un pare-feu, et les logiciels et systèmes d’exploitation installés devront faire l'objet de mises à jour.
Les données seront stockées sur clés USB, chiffrées, et également dédiées au seul traitement. Les secrets utilisés devront rester strictement personnels afin d’assurer que seul l’auteur du fichier y ait accès. Les données seront ensuite transmises sous forme de fichiers chiffrés.
Tous les algorithmes et procédures de gestion des clés devront être conformes à l’annexe B1 du référentiel général de sécurité. Dans le cas d’une transmission de secret, celle-ci devra se faire via un canal de communication distinct de celui utilisé pour les données. Les mots de passe devront être conformes à la délibération n°2022-100 du 21 juillet 2022 portant adoption d’une recommandation relative aux mots de passe et autres secrets partagés.
Après consolidation des données, une destruction physique ou un effacement sécurisé au moyen de logiciels spécifiques devra être réalisé sans délai pour les clés USB utilisées.
Pour la phase d’analyse, les données de l’étude devront être traitées dans un environnement sécurisé incluant

Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5.1.f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra à ce dernier de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Sur les transferts de données en dehors de l’Union européenne
Aucun transfert de données en dehors de l’Union européenne ne sera réalisé dans le cadre de cette étude.
Sur la durée de conservation des données
Les données de l’étude seront conservées trois ans en base active à compter de la saisie et dix ans en archivage.
La Commission estime que ces durées de de conservation des données n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5.1.e) du RGPD.
Autorise, conformément à la présente délibération, le CENTRE HOSPITALIER UNIVERSITAIRE DE RENNES à mettre en œuvre le traitement susmentionné.
La Présidente
Marie -Laure DENIS
