La Commission Nationale de l'Informatique et des Libertés ;    Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, notamment son article 6 ;    Vu la loi n° 78-17 du 6 janvier 1978 relative à l'Informatique, aux fichiers et aux libertés, et notamment ses articles 1, 15, 19, 26, 27, 34 et 40 ;    Vu la loi n° 88-1138 du 20 décembre 1988 sur la recherche biomédicale ;    Vu l'article 378 du Code Pénal ;
Vu la loi n° 79-18 du 3 janvier 1979 sur les archives ;    Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi du 6 janvier 1978 ;    Vu la délibération n° 85-07 du 19 février 1985 portant adoption d'une recommandation sur les traitements automatisés d'informations médicales nominatives utilisés à des fins de recherche médicale ;    Vu le projet d'acte réglementaire présenté par l'Assistance Publique de Paris - Hôpitaux de Paris ;
Après avoir entendu Monsieur Gérard JAQUET en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;    Considérant que l'Assistance Publique de Paris - Hôpitaux de Paris a saisi la CNIL d'une demande d'avis concernant un traitement automatisé d'informations indirectement nominatives dont la finalité principale est de permettre l'évaluation de l'efficacité de l'hyperthermie dans le traitement de l'hypertrophie bénigne de la prostate, dans le cadre d'un essai thérapeutique coordonné par le service d'urologie de l'hôpital Corentin Celton et réalisé auprès de 200 patients suivis dans dix services d'urologie de l'Assistance Publique de Paris ;
Considérant que les données cliniques permettant d'assurer l'inclusion dans l'essai puis le suivi des patients sont transmises au Centre coordonnateur par télécopie, pour être ensuite saisies sur informatique ; que les compte-rendus établis par le Centre coordonnateur sont communiqués aux différents centres investigateurs selon les mêmes modalités de transmission ;    Considérant que les données médicales ainsi transmises sont non seulement identifiées par un numéro d'entrée du patient dans l'essai mais également par les trois premières lettres du nom et les deux premières lettres du prénom du patient et sa date de naissance ;    Considérant que le recours aux télécopieurs, pour transmettre des données médicales directement ou indirectement nominatives comporte des risques importants de divulgation de ces informations, en particulier lors de la réception physique de celles-ci dans la mesure où d'une part, l'émetteur ne peut a priori être certain que les données ont bien été réceptionnées par le bon destinataire et où d'autre part, sur une simple erreur de numérotation téléphonique, des informations confidentielles peuvent être adressées à un destinataire non habilité et ceci de façon irréversible ;
Considérant en conséquence que, conformément à l'article 29 de la loi du 6 janvier 1978, toutes précautions doivent être prises afin de préserver la sécurité des informations ainsi transmises et notamment d'empêcher qu'elles ne soient déformées, endommagées ou communiquées à des tiers non autorisés ;    Considérant qu'en l'espèce, les données cliniques permettant l'inclusion des patients dans l'essai sont systématiquement vérifiées préalablement à l'administration du traitement ; qu'en outre, les documents transmis par télécopie sont périodiquement confrontés aux originaux conservés par les centres investigateurs pour vérification ;    Considérant que les télécopieurs des services d'urologie et du centre coordonnateur sont installés dans les locaux des services concernés et ne fonctionnent qu'en présence d'un membre du personnel médical ;
Considérant qu'en l'espèce, compte tenu des caractéristiques de l'application et de la nature des informations indirectement nominatives transmises, le recours à des télécopieurs peut être admis à titre exceptionnel ; que cependant il importe de sensibiliser les utilisateurs à la nécessité de s'assurer à tout instant du respect de la confidentialité ;    Considérant que les données sont traitées sur des microordinateurs respectivement situés dans les locaux du service d'urologie de l'hôpital Corentin Celton et du laboratoire de biostatistiques de l'hôpital Necker, auquel les données sont transmises sur disquettes aux fins d'analyses statistiques ;
Considérant que l'accès à ces applications informatiques est protégé par des procédures de mots de passe individuels ;    Considérant enfin, qu'avant leur inclusion dans l'essai, les patients sont informés par une note écrite qui leur est remise, de l'objet et des conditions de déroulement de la recherche ; qu'ils sont également invités à donner par écrit leur consentement pour participer à l'essai ; qu'ainsi les dispositions de la loi du 6 janvier 1978 et de la loi du 20 décembre 1988 sont respectées ;
EMET un AVIS FAVORABLE au projet d'acte réglementaire qui lui est présenté.    Le Président, Jacques FAUVET
