CNILTEXT000038848207
CNIL texte/cnil/CNIL/TEXT/00/00/38/84/82/CNILTEXT000038848207.xml DELIBERATION
Délibération 2019-097 du 11 juillet 2019 Délibération n° 2019-097 du 11 juillet 2019 portant avis sur un projet de loi relatif à la bioéthique 2019-097
Avis 2019-07-11
2019-07-31 VIGUEUR
(demande d’avis n° 19011835)
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des solidarités et de la santé d’une demande d’avis concernant un projet de loi relatif à la bioéthique ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu le code civil ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l’avis suivant :
La Commission a été saisie le 14 juin 2019 par le ministère des solidarités et de la santé, en application de l’article 8-I-4°-a) de la loi n° 78-17 du 6 janvier 1978 modifiée, d’une demande d’avis portant sur quatre mesures du projet de loi relatif à la bioéthique (ci-après le projet ) entrant dans le champ des missions exercées par la Commission. L’urgence a été invoquée par le gouvernement, conformément aux dispositions de l’article 9-I du décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
Le projet de loi relatif à la bioéthique a été précédé de l’avis 129 portant contribution du Comité consultatif national d’éthique à la révision de la loi de bioéthique du 18 septembre 2018. Une étude, sous la forme d’un rapport intitulé Révision de la loi de bioéthique : quelles options pour demain ? a également été menée, à la demande du Premier ministre, par le Conseil d’Etat ; elle a été adoptée en assemblée générale le 28 juin 2018.
Les quatre mesures du projet de loi, soumises à l’examen de la Commission, visent à :
déterminer le cadre à appliquer aux traitements de données à caractère personnel constitués par l’Agence de la biomédecine et la Commission d’accès aux données non identifiantes et à l’identité du tiers donneur aux fins de permettre l’exercice du droit d’accès aux origines de l’enfant conçu à partir d’un don de gamètes ou d’embryons (articles 3 et 3 bis du projet) ;
sécuriser la bonne information du patient lorsqu’un traitement algorithmique de données massives est utilisé à l’occasion d’un acte de soins (article 11 du projet) ;
modifier les dispositions de la loi informatique et libertés concernant les modalités d’examen des caractéristiques génétiques à des fins de recherche scientifique (article 18 du projet) ;
notamment organiser de manière sécurisée la transmission des résultats d’analyses génétiques au laboratoire autorisé par l’Agence régionale de santé directement au prescripteur (article 25 du projet).
À titre liminaire, la Commission souhaite indiquer que, sans remettre en cause la légitimité des nouvelles mesures introduites par le projet de loi, des garanties suffisantes au regard du respect des principes fondamentaux du droit à la protection des données à caractère personnel doivent être mises en œuvre. Elle estime que des mesures juridiques et techniques adaptées devront être prévues afin d’assurer un haut niveau de protection des données. Elle formule, dans ce contexte, les observations suivantes :
Sur l’assistance médicale à la procréation (art. 3 et 3 bis du projet de loi) :
Concernant la transmission de données de santé à caractère personnel des enfants conçus au bénéfice des donneurs de gamètes :
Les articles 3 et 3 bis du projet de loi ouvrent la possibilité, pour un médecin, d’accéder aux informations médicales non identifiantes , en cas de nécessité médicale, au bénéfice d’un donneur de gamètes. Le gouvernement a précisé que ce dispositif a pour objectif de permettre à un médecin, qui assure la prise en charge sanitaire d’un donneur de gamètes, de contacter un médecin du Centre d’étude et de conservation des œufs et du sperme (CECOS) pour obtenir des informations de nature médicale relatives aux enfants nés de dons qui seraient utiles au suivi sanitaire du donneur, à l’exclusion des informations susceptibles d’identifier le(s) enfant(s) conçu(s).
En premier lieu, la Commission indique que les informations médicales non identifiantes contenues dans les dossiers des CECOS constituent des données de santé à caractère personnel conformément aux dispositions de l’article 4-15) du RGPD. Elle relève qu’un médecin qui demande, au titre du suivi sanitaire d’un donneur, la transmission des données de santé d’un enfant conçu à partir d’un don n’intervient pas, en vertu de l’article L. 1110-4 du code de la santé publique (CSP), en qualité de membre de l’équipe de soins de l’enfant conçu. Elle observe également, toujours par application de l’article L. 1110-4 précité, que les conditions d’échange et de partage des données de santé sont strictement définies et que lesdites données sont protégées par le secret médical, excepté dans les cas de dérogation expressément prévus par la loi. Elle ajoute que seule une mesure législative est de nature à rendre inapplicables les dispositions du code pénal relatives aux sanctions attachées à la divulgation d’une information protégée par le secret médical. Sur cette base, elle relève que le projet de loi relatif à la bioéthique donne une base légale suffisante à la transmission des données de santé à caractère personnel de l’enfant conçu au médecin du tiers donneur.
En deuxième lieu, s’agissant de la notion de données non identifiantes , la Commission invite à se reporter aux développements ci-dessous concernant la nature des données collectées. Elle attire en conséquence l’attention du gouvernement sur les risques possibles de ré-identification de l’enfant né du don qui résulteraient de la transmission desdites données.
En troisième lieu, elle s’interroge sur les modalités pratiques de mise en œuvre de ces dispositions, notamment s’agissant de la manière dont les données seront communiquées au donneur depuis les bases des CECOS, ainsi que sur le fait de savoir si les enfants ou les titulaires de l’autorité parentale seront informés de l’accès effectif à des données concernant les enfants par le donneur, accès pouvant à tout le moins générer des interrogations sur l’état de santé de l’enfant. Par ailleurs, la Commission s’interroge sur la nature et les modalités de collecte des données s’agissant du suivi de l’état de santé des enfants issus de dons par les CECOS.
La Commission prend enfin acte que les articles 3 et 3 bis du projet suppriment le renvoi aux dispositions de la loi informatique et libertés , auquel il est aujourd’hui procédé, en ce qui concerne les formalités à réaliser et les pouvoirs de la Commission sur les traitements constitués. Dès lors que cette suppression n’emporte pas de conséquence sur l’obligation pour les responsables de traitement de respecter les dispositions du RGPD et de la loi informatique et libertés , celle-ci n’appelle pas d’observation particulière de la part de la Commission.
Concernant les traitements de données à caractère personnel constitués aux fins d’exercice du droit d’accès aux origines des enfants issus d’un don
Le projet de loi relatif à la bioéthique entend instituer le droit, pour l’enfant conçu par assistance médicale à la procréation avec tiers donneur, d’accéder à sa majorité à ses origines dès lors qu’il en fait la demande. A cette fin, il octroie à l’Agence de la biomédecine une compétence nouvelle : celle de mettre en œuvre un traitement de données à caractère personnel collectant les données nécessaires à l’exercice de ce droit. Il crée en outre une commission ad hoc, placée auprès du ministre chargé de la santé , responsable de la gestion des demandes d’accès aux données non identifiantes et à l’identité du donneur.
A titre liminaire, la Commission souhaite préciser que le droit pour un enfant d’accéder à ses origines et de se voir, en conséquence, communiquer des données à caractère personnel relatives au tiers donneur doit être distingué du droit d’accès de la personne concernée à des données le concernant tel que prévu par les dispositions de l’article 15 du RGPD.
Sur les modalités retenues pour le traitement des données à caractère personnel transmises par les CECOS à l’Agence de la biomédecine, ainsi que les traitements constitués par cette agence et la commission d’accès aux données non identifiantes et à l’identité du donneur aux fins de permettre l’accès des enfants conçus à leurs origines, le projet de loi propose deux orientations distinctes correspondant à des scenarii présentés respectivement aux articles 3 et 3 bis :
L’article 3 du projet de loi énonce que l’accès à des données non identifiantes relatives à un tiers donneur (âge, état de santé au moment du don, caractéristiques physiques, situation familiale ou professionnelle, pays de naissance, motivations au don) et, si l’enfant le souhaite, à l’identité de ce tiers exige : le consentement exprès du tiers donneur à la communication de ces données et de son identité (…) recueilli au moment de son don . Le gouvernement a précisé que le consentement du tiers donneur au don emporte son consentement à la transmission de ses données non identifiantes et de son identité à la personne majeure conçue par assistance médicale à la procréation qui les demanderait à partir de sa majorité. La personne majeure peut soit demander uniquement l’accès aux données non identifiantes, soit l’accès à l’identité, soit les deux . Si cette option rédactionnelle devait être maintenue, la Commission demande que le fait, pour le donneur, de consentir à effectuer un don emporte consentement à donner accès à son identité soit clairement précisé dans le projet.
L’article 3 bis du projet de loi prévoit que l’accès aux données non identifiantes du donneur, à l’exception de celles qui permettraient manifestement son identification , est systématique dès lors que l’enfant, devenu majeur, en fait la demande. Le tiers donneur pourrait alors s’opposer au recueil des informations non identifiantes portant uniquement sur sa situation familiale et professionnelle, sur son pays de naissance et sur sa motivation concernant le don. L’enfant pourrait également (…) accéder à l’identité du tiers donneur, sous réserve du consentement exprès, au moment de la demande (…). Le gouvernement a par ailleurs précisé que le consentement au don emporte le consentement du tiers donneur à la transmission de ces données non identifiantes . La Commission relève que le choix de cette option rédactionnelle est susceptible de créer une différence de traitement entre les enfants pour lesquels le donneur a consenti à l’accès aux données identifiantes le concernant et les enfants pour lesquels le donneur n’aura pas donné son consentement.
La Commission indique que, bien qu’elle ne se prononce que sur les scenarii présentés dans le projet de loi dont elle est saisie, d’autres options plus protectrices des droits des personnes concernées auraient pu être envisagées, notamment en limitant la transmission des données concernant les donneurs à l’Agence de la biomédecine aux cas dans lesquels ils auraient consenti à ce que les enfants conçus y aient accès.
S’agissant des traitements de données dont la mise en œuvre est envisagée, la Commission note que trois catégories de traitements de données à caractère personnel interviennent dans le dispositif d’accès aux origines prévu par le projet :
les traitements mis en œuvre par chacun des CECOS, dont la finalité principale est la gestion des dons de gamètes et d’embryons dans le cadre de l’assistance médicale à la procréation. La transmission des données relatives aux donneurs et aux enfants conçus à l’Agence de la biomédecine constitue une finalité nouvelle et accessoire à ces traitements ;
le traitement mis en œuvre par l’Agence de la biomédecine, dont la finalité est la collecte et la conservation des données nécessaires à l’accès aux origines des enfants conçus ;
le traitement mis en œuvre par la Commission d’accès aux données non identifiantes et à l’identité du tiers donneur, dont la finalité est la gestion des demandes d’accès aux origines.
Concernant la base légale à retenir pour les traitements de données à caractère personnel constitués et les formalités à accomplir :
Se fondant sur les précisions apportées par le gouvernement, la Commission prend acte que les articles 3 et 3 bis du projet de loi relatif à la bioéthique imposent la transmission des données des tiers donneurs par les CECOS à l’Agence de la biomédecine et à la commission d’accès aux données non identifiantes et à l’identité du donneur.
La Commission considère que les traitements constitués sont, suivant la rédaction actuelle du projet, par application des dispositions de l’article 6-1-c) du RGPD, nécessaires au respect d’une obligation légale, dans la mesure où les données seront transmises à l’Agence de la biomédecine dans tous les cas. Ce constat a pour conséquence pratique qu’un donneur qui refuserait que ses données soient transmises à l’Agence de la biomédecine, notamment car il ne souhaite pas que des données le concernant soient transmises à un enfant conçu, ne pourrait pas effectuer de don. Ainsi, la Commission attire l’attention du gouvernement sur l’interprétation qui pourrait être faite des articles 3 et 3 bis du projet et qui pourrait être différente de celle qui en est faite par le gouvernement, dans la mesure où il n’est pas expressément indiqué que le refus de transmettre des informations non identifiantes et identifiantes empêcherait la réalisation d’un don. La Commission demande donc que le projet de loi soit clarifié sur ce point.
La Commission indique par ailleurs que les traitements constitués sont des traitements de données de santé à caractère personnel entrant dans le champ des dispositions spécifiques de la loi informatique et libertés . Elle rappelle à ce titre qu’ils devront faire l’objet de formalités préalables auprès d’elle. La Commission souligne qu’il conviendra de déterminer si ces traitements devront faire l’objet d’une autorisation conformément aux dispositions de l’article 66 III de la loi informatique et libertés , ou d’un décret en Conseil d’Etat pris après avis motivé et publié de la Commission conformément aux dispositions combinées des articles 6-III et 31-II de la loi. Le traitement mis en œuvre par la commission d’accès aux données devra également faire l’objet de formalités préalables.
Concernant la nature des données collectées :
Les articles 3 et 3 bis du projet prévoient que les enfants conçus par assistance médicale à la procréation avec tiers donneur peuvent accéder à des données non identifiantes relatives à ce tiers (âge, état de santé au moment du don, caractéristiques physiques, situation familiale ou professionnelle, pays de naissance, motivations du don).
En premier lieu, en ce qui concerne la nature exacte des données non identifiantes , la Commission rappelle que l’âge, l’état de santé des donneurs au moment du don, les caractéristiques physiques, la situation familiale ou professionnelle, le pays de naissance, les motivations au don des tiers donneurs constituent, au sens du RGPD et des lignes directrices du groupe de travail article 29 sur la protection des données (G29), des données à caractère personnel qui se rapportent à des personnes physiques identifiables. A ce titre, elle précise que le G29, dans son avis 05/2014 du 10 avril 2014 sur les techniques d’anonymisation (dénommé ci-après lignes directrices du G29 ), retient qu’un traitement de données est a priori anonyme dès lors qu’il n’est possible ni d’individualiser, ni de corréler, ni d’interférer les données.
La Commission observe en l’espèce qu’il existe, à partir de ces données, des risques possibles de ré-identification des tiers donneurs. Elle attire donc l’attention du gouvernement sur le risque d’interprétation erronée qui pourrait résulter de l’utilisation de ces termes s’il devait s’avérer que les données non identifiantes permettent une ré-identification des personnes concernées. Elle propose donc de retenir une formulation précisant que les données sont susceptibles d’être indirectement identifiantes et que les donneurs en soient clairement informés.
Par ailleurs, la Commission attire l’attention du gouvernement sur le sens à donner à la notion d’anonymat du don, telle que prévue par les dispositions de l’article L1211-5 du CSP. La Commission estime que ce principe, qui interdisait jusqu’à présent aux enfants d’accéder à l’identité et aux données indirectement identifiantes du donneur, est en l’état du projet de loi remis en cause, dans la mesure où la transmission de données à caractère personnel aux enfants conçus s’imposerait à tout donneur. Aussi, elle s’interroge sur l’opportunité de maintenir la référence à ce principe dans les articles 3 et 3 bis du projet de loi et suggère au gouvernement d’apporter les éclaircissements nécessaires sur l’articulation entre le principe d’anonymat du don et le droit d’accès aux origines.
En deuxième lieu, en ce qui concerne l’étendue de la collecte des données indirectement identifiantes, la Commission rappelle qu’en vertu du principe de minimisation des données prévu à l’article 5-1-c) du RGPD, les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
La Commission prend note que le projet de loi dresse une liste limitative de données indirectement identifiantes, transmises par les CECOS à l’Agence de la biomédecine aux fins d’exercice du droit d’accès aux origines. Elle relève que seul l’article 3 bis prévoit pour le tiers donneur la faculté de s’opposer au recueil des données suivantes : sa situation familiale et professionnelle, son pays de naissance, les motivations de son don.
Au vu de ces éléments, sans remettre en cause la légitimité de l’accès aux origines, la Commission s’interroge sur les conséquences que pourrait avoir la découverte, pour un enfant, de certaines informations concernant le donneur (telles qu’une pathologie grave découverte ultérieurement par exemple), et par là-même sur la pertinence, l’adéquation et le caractère potentiellement excessif de la transmission et de la collecte de certaines données indirectement identifiantes, notamment des données de santé, au regard de la finalité précise d’accéder à ses origines personnelles. A ce titre, en application du principe de minimisation des données prévu par l’article 5-1-c du RGPD, la Commission invite le gouvernement à préciser, dans le cadre du décret d’application susmentionné, la nature exacte des données traitées et transmises à l’Agence de la biomédecine.
Sur la durée de conservation des données
Le projet prévoit une durée minimum de conservation des données de quatre-vingts ans, durée qui sera fixée par décret en Conseil d’Etat.
Le gouvernement a justifié cette durée de conservation minimale sur la base des trois motifs suivants :
les gamètes d’un donneur peuvent être utilisées une dizaine d’années après le don ;
l’enfant issu du don doit être majeur pour demander l’accès à ses origines ;
l’enfant majeur peut initier cette démarche à tout âge.
La Commission rappelle que les données à caractère personnel doivent être conservées pour une durée limitée répondant aux finalités du traitement conformément aux dispositions de l’article 5-1-e) du RGPD. Elle demande donc, sauf à ce que la loi renvoit sur ce point à son décret d’application, que le projet prévoie lui-même une durée maximale et non une durée minimale de conservation des données.
Par ailleurs, la Commission suggère que des hypothèses dans lesquelles la durée de conservation pourrait être réduite soient prévues, par exemple lorsque tous les enfants issus d’un même donneur auront exercé leur droit d’accès à leurs origines ou encore lorsqu’il n’aura pas été fait usage des gamètes donnés.
Sur l’information et les modalités d’exercice des droits des personnes
La Commission rappelle que les responsables de traitement devront s’assurer de la mise en œuvre effective des droits des personnes concernées (tiers donneur, enfant), prévus aux dispositions des articles 12 à 23 du RGPD (droit à l’information, droit d’accès, de rectification et de limitation du traitement).
Plus précisément, s’agissant du droit à l’information des tiers donneurs mentionné à l’article 13 du RGPD et par application du principe de transparence visé à l’article 12 du RGPD, la Commission considère que les tiers donneurs devront être expressément informés de la transmission possible, à la majorité des enfants conçus et pour ceux qui en feraient la demande, des données indirectement identifiantes collectées les concernant ainsi que, le cas échéant, des données d’identification. Elle souhaite que cette information intervienne préalablement à la collecte des données et au don.
En ce qui concerne l’article 3 bis du projet de loi, la Commission demande que le dispositif prévu en matière d’information soit complété dans le projet de loi :
le donneur devrait être expressément informé que le consentement au don emporte le consentement à la transmission de ses données indirectement identifiantes ;
l’information devrait également porter sur les risques de ré-identification dans le cadre de la transmission des données indirectement identifiantes.
Par ailleurs, la Commission souligne que si les traitements envisagés devaient être fondés sur le respect d’une obligation légale, comme semble le prévoir le projet, les tiers donneurs seront privés de l’exercice de leur droit d’opposition visé à l’article 21 du RGPD. Aussi, elle formule le souhait que la loi prévoie expressément que le donneur sera informé de ce que ses données feront obligatoirement l’objet d’un traitement dans le cadre de la mise en œuvre du droit à l’accès aux origines si la rédaction actuelle devait être maintenue. Les modalités selon lesquelles cette information sera délivrée devront par ailleurs être précisées dans le décret susmentionné.
Sur la sécurité des données
Les traitements concernés étant susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques, la Commission rappelle enfin qu’une analyse d’impact sur la protection des données devra être menée par les responsables de traitement en application des dispositions de l’article 35 du RGPD.
Sur les dispositions relatives aux traitements algorithmiques de données de santé (article 11 du projet de loi)
L’article 11 du projet insère un nouvel article L.4001-1 dans le code de la santé publique relatif aux garanties prévues en cas de recours à un traitement algorithmique de données massives par un professionnel de santé.
A titre liminaire, la Commission relève l’ambiguïté du concept de traitement de données massives utilisé aux fins de statuer sur la situation individuelle d’un patient. En effet, le traitement massif intervient en amont de la prise en charge individuelle afin d’identifier des règles qui seront ensuite appliquées lors de la prise en charge d’un patient dont les données seront soumises au système. Ainsi, c’est davantage le produit du traitement de données massives qui fait l’objet d’une utilisation en appui de l’acte médical.
S’agissant de l’information des personnes concernées, le projet de loi prévoit que la personne est informée de l’utilisation d’un traitement algorithmique de données massives et des modalités d’action de ce traitement. Sur ce point, le gouvernement a précisé que l’information des personnes prises en charge interviendrait lors de la délivrance des résultats, et non préalablement à l’utilisation du traitement.
Bien que l’introduction dans la loi de telles dispositions constitue une avancée notable et qui doit être soulignée, la Commission souhaite attirer l’attention du gouvernement sur la nécessité de préserver toute la portée des principes posés notamment par les dispositions des articles L. 1111-2 et L. 1111-4 du CSP selon lesquelles le patient a le droit d’être informé sur son état de santé et des traitements qui lui sont proposés, et prend, avec le professionnel de santé et compte tenu des informations et des préconisations qu'il lui fournit, les décisions concernant sa santé.
La Commission recommande en conséquence que le recours à un tel traitement fasse l’objet d’une information préalable à son utilisation par le professionnel de santé.
Sur la communication des résultats, la Commission recommande que la rédaction du projet de loi distingue clairement le résultat brut issu de l’algorithme de l’appréciation et de la décision du professionnel de santé dans le cadre de la prise en charge du patient. Cette distinction permettrait de garantir, d’une part, l’accès de la personne concernée à l’ensemble des informations qui la concerne et d’autre part, les principes d’indépendance et de liberté de prescription du professionnel de santé. C’est également une mesure qui vise à garantir que la décision médicale ne se fonde pas exclusivement sur un traitement automatisé de données conformément aux dispositions des articles 22 du RGPD et 47 de la loi informatique et libertés .
Sur le paramétrage du traitement algorithmique, la Commission s’interroge sur le rôle précis du professionnel de santé sur un tel dispositif, la nature des modifications qu’il pourrait lui apporter (choix des données massives, options de traitement des données du patient ?) et les conséquences qui pourraient en résulter aussi bien pour lui (mise en jeu de sa responsabilité) que pour le patient (en cas d’erreur ou de dysfonctionnement par exemple).
La Commission considère que ces dispositions peuvent être interprétées de deux manières. La première interprétation, qui ne soulèverait pas de difficulté particulière, serait de considérer qu’il s’agit pour le professionnel de santé de renseigner les données individuelles du patient dont il assure la prise en charge dans l’outil mettant en œuvre un traitement algorithmique, afin d’obtenir un résultat.
La seconde hypothèse consisterait à permettre au professionnel de santé de modifier le traitement algorithmique lui-même. Dans cette seconde hypothèse, la Commission considère qu’une telle pratique devrait être encadrée plus précisément, dans la mesure où tout professionnel de santé ne dispose pas des compétences techniques nécessaires à de telles interventions.
La Commission suggère donc au gouvernement de clarifier le projet afin qu’il soit précisé si le professionnel de santé visé dans le II du projet d’article L. 4001-1 du CSP est le professionnel participant à la prise en charge du patient ou un professionnel exerçant ses missions pour le compte du fournisseur du traitement algorithmique ainsi que sur le sens à donner au terme paramétrage .
Dans ce cadre, elle s’interroge en outre sur le fait de savoir si l’intervention humaine sur le paramétrage du traitement algorithmique ne pourrait pas plutôt porter, non sur chaque décision individuelle, mais sur des séries de décisions. Cette supervision pourrait ainsi prendre la forme d’une délibération humaine et contradictoire, avec la création, par exemple, d’un collège médical (au niveau de la structure qui déploie le système) qui encadrerait et accompagnerait l’utilisation globale de l’algorithme, en examinant et en interrogeant son paramétrage mais aussi tous les effets – directs et indirects – du système.
Par ailleurs, la Commission attire l’attention du gouvernement sur l’absence d’évaluation scientifique de tels traitements, en dehors de celles prévues actuellement dans le cadre du marquage CE préalable à la mise sur le marché des dispositifs médicaux et qui pourraient paraître insuffisantes s’agissant de l’appréciation de l’efficacité du produit concerné.
Sur ce point, la Commission relève en effet qu’un traitement algorithmique de données massives utilisé par un professionnel de santé dans le cadre de la réalisation d’actes à visée préventive, pronostique, diagnostique ou thérapeutique, comme c’est le cas d’un logiciel d’aide au diagnostic, à la décision ou à la prescription, pourrait s’apparenter à un dispositif médical, tel que défini par les dispositions des articles L. 5211-1 et suivant du CSP et la jurisprudence établie par la CJUE dans sa décision du 7 décembre 2017 (C‑329/16, 7 décembre 2017) et reprise par le Conseil d’État.
Elle recommande donc qu’une évaluation de l’intérêt scientifique et de la pertinence des résultats proposés par ces traitements soit systématiquement prévue et préalable à leur utilisation dans le cadre d’actes à visée préventive, pronostique, diagnostique ou thérapeutique.
Dans ses dernières observations, le gouvernement a indiqué que la notion de traitement algorithmique se réfère à trois cas : les cas couverts par le I du texte seraient les applications de diagnostic et ceux couverts par les II et III les dispositifs médicaux implantables (par exemple un pancréas artificiel, prothèse de hanche, implant mammaire, etc.). Le gouvernement a ajouté que les autres formes d'intelligence artificielle (IA) ne sont pas exclues du champ d’application du futur article L. 4001-1 du CSP sans pour autant préciser s’il s’agissait ou non de dispositifs médicaux.
La Commission relève que, si les réponses apportées par le gouvernement sur le paramétrage de l’algorithme par le professionnel de santé, son évaluation, les conséquences sur la responsabilité, sont claires s’agissant des dispositifs médicaux en tant que tels et ne posent pas de difficultés nouvelles au regard de ce qui est déjà mis en œuvre en pratique, tel n’est pas le cas des autres formes d’IA pour lesquelles la Commission insiste sur la nécessité de définir un cadre juridique dédié.
Par conséquent et au regard de l’ensemble de ces éléments, la Commission suggère qu’il soit expressément indiqué dans le texte que les traitements mentionnés relèvent de la législation applicable aux dispositifs médicaux. Cette précision permettrait ainsi d’écarter du champ d’application du texte, des traitements dont il ne définit ni la nature ni le régime juridique applicable.
Par ailleurs, la Commission relève que l’utilisation de tels traitements est susceptible de revêtir un caractère expérimental, en l’absence de validation d’une telle pratique par la Haute Autorité de santé (HAS), qui a pour mission notamment de recommander les bonnes pratiques auprès des professionnels de la santé.
En pareils cas, leur utilisation devrait alors intervenir dans le respect des dispositions du code de la santé publique applicables en matière de recherches impliquant la personne humaine et des dispositions relatives aux recherches, aux études et aux évaluations dans le domaine de la santé prévues aux articles 72 et suivants de la loi informatique et libertés .
Sur l’examen des caractéristiques génétiques à des fins de recherche scientifique (art. 18 du projet de loi)
L’article 18 du projet prévoit des modifications des dispositions du CSP et de la loi informatique et libertés .
Á titre liminaire, la Commission rappelle que le RGPD, dans son article 9, a inscrit les données génétiques dans la catégorie des données dont le traitement est par principe interdit et ne peut intervenir que dans des conditions limitativement énumérées par ce même article, ainsi que par le droit des États membres de l’Union européenne.
La Commission rappelle par ailleurs que les prélèvements effectués à partir d’éléments et produits du corps humain constituent, de par leur nature, des sources de données que l’on pourrait qualifier d’intarissables, au regard de l’évolution constante des techniques d’analyse. Les conditions de leur conservation et de leur utilisation se doivent donc d’être particulièrement rigoureuses et respectueuses des droits des personnes.
La Commission a pu constater, dans le cadre de l’examen de dossiers de demande d’autorisation à des fins de recherche, que de nombreux chercheurs rencontraient des difficultés pour informer les personnes concernées dans le cadre de projets nécessitant la réutilisation d’échantillons biologiques, mais également de données. Dans ce cadre, notamment s’agissant de projets de recherche publique, est régulièrement invoqué le manque de moyens humains et financiers pour justifier de l’impossibilité d’informer les personnes. Elle suggère donc qu’une réflexion soit menée, non pas pour créer des dérogations à l’obligation d’informer, mais pour trouver des solutions visant à permettre aux chercheurs de réaliser leurs missions dans des conditions favorables au respect des droits des personnes dont les données et/ou échantillons font l’objet de réutilisations. Sur ce point, la Commission renvoie par exemple au dispositif mis en place dans le cadre de la méthodologie de référence 004 (MR 004) par lequel les personnes concernées peuvent consulter les projets de recherche mis en œuvre par le biais d’un site Internet dédié, dont ils ont été préalablement informés individuellement.
Sur la mise à jour des dispositions issues de l’actuel article L. 1131-1-1 du CSP (projet d’article L. 1130-5 du CSP)
L’article L.1131-1-1 du CSP, introduit par la loi n° 2012-300 du 5 mars 2012 relative aux recherches impliquant la personne humaine, instaure une dérogation au principe d’obligation de recueil du consentement exprès et écrit à l’examen des caractéristiques génétiques (article 16-10 du code civil), lorsque celui-ci est réalisé à des fins de recherche scientifique. Ainsi, un tel examen peut être réalisé sur la base d’une information et à condition que la personne concernée ne s’y oppose pas. Si la personne concernée ne peut être retrouvée, un comité de protection des personnes, tel que prévu par l’article 1123-7 du CSP peut rendre un avis favorable à la réalisation de cet examen.
Alors que l’esprit des dispositions actuelles (qui prévoient que le présent article n'est pas applicable aux recherches dont les résultats sont susceptibles de permettre la levée de l'anonymat des personnes concernées ) ainsi que l’interprétation qui en avait été faite par le Conseil d’État dans son étude en 2009 sur la révision des lois de bioéthique, semblent être d’écarter de ce dispositif dérogatoire au consentement les examens génétiques présentant un risque de ré-identification élevé, la Commission relève que la rédaction du dernier alinéa du projet d’article L. 1130-5 du CSP laisserait désormais la possibilité aux chercheurs de réaliser tout type d’examen génétique (incluant par exemple un séquençage complet du génome) à la seule condition que la publication relative à la recherche ne présente que des résultats anonymes. Cette analyse a été confirmée par le gouvernement.
A l’heure où le recours à ce type d’examen devient de plus en plus aisé et tend à se banaliser, aussi bien dans le cadre des soins que des projets de recherche, la Commission alerte dès à présent sur la prolifération de bases de données utilisées et réutilisées notamment à des fins de recherche publique et privée, dans lesquelles figurent d’ores et déjà des données génétiques provenant d’examens de plus en plus complets et concernant un nombre exponentiel de personnes. Considérant également les nombreuses bases génétiques constituées dans le cadre de services commerciaux de séquençage et de partage de données génétiques pour les particuliers, et sans entrer dans la démonstration de l’illicéité de telles activités au niveau national, la Commission relève qu’une donnée génétique ne peut plus aujourd’hui être considérée comme anonyme et que des données issues d’un séquençage complet présentent en outre un risque élevé de ré-identification.
Dès lors, la Commission s’inquiète d’une diminution des garanties des droits des personnes, en l’absence de consentement explicite, voire d’information des personnes, et ce même si un comité de protection des personnes est consulté dans ce dernier cas.
A cet égard, elle demande que des garanties appropriées soient prévues par les textes, notamment en termes d’information des personnes et d’exercice de leurs droits, ce qu’elle aura la possibilité de mesurer dans le cadre de l’avis qu’elle prononcera sur le projet de décret dont elle devra être saisie, en application de l’article 8-I-4°-a) de la loi informatique et libertés et qui fixera les conditions d’application de ces dispositions.
La Commission rappelle que cette dérogation au principe prévu par le législateur du recueil d’un consentement exprès des personnes concernées lors d’un examen des caractéristiques génétiques devrait revêtir un caractère exceptionnel.
La Commission précise enfin que des projets ne permettant pas une information des personnes doivent dans tous les cas faire l’objet d’une demande d’autorisation auprès d’elle, en application des dispositions des articles 72 et suivants de la loi informatique et libertés modifiée.
La Commission prend acte que le projet prévoit l’ajout de la définition du programme de recherche . Elle relève que ce dernier sera limité à des recherches dans un domaine scientifique déterminé .
Cependant, alors que les dispositions actuelles prévoient que la personne est informée du projet de recherche, celle-ci ne serait désormais informée que du programme de recherche, dans le cadre duquel une multitude de projets de recherche pourront être réalisés, tant par des acteurs publics que privés. La Commission s’interroge donc sur l’articulation de ces dispositions avec celles de la loi informatique et libertés qui prévoient, en plus de l’information générale, une obligation d’information individuelle des personnes concernées, qui s’applique pour chaque traitement de données.
Par ailleurs, la Commission relève que le projet d’article prévoit que le droit d’opposition à l’examen peut être exprimé sans forme tant qu’il n’y a pas eu de manipulation de l’élément concerné en raison de la recherche.
Interrogé par les services de la Commission, le gouvernement a indiqué que ce droit d’opposition portait spécifiquement sur la réalisation de l’examen des caractéristiques génétiques des personnes et non sur le traitement des données associées au prélèvement ou produites ultérieurement après son analyse. Á cet égard, la Commission souhaite donc rappeler que le droit d’opposition prévu à l’article 21 du RGPD ainsi que le droit à l’effacement prévu par l’article 17 du RGPD sont applicables dans les conditions prévues par le RGPD, et ce, même après manipulation. Elle demande que des précisions soient apportées en ce sens dans le projet.
Enfin, le projet précise les situations dans lesquelles, en cas d’absence d’information des personnes, la recherche nécessite l’avis d’un CPP. Outre les personnes décédées ou perdues de vue, il est évoqué l’hypothèse de la personne hors d’état d’exprimer sa volonté. La Commission s’interroge sur l’opportunité dans ce dernier cas de délivrer l’information à la personne de confiance, à la famille ou aux proches, telles que définies au dernier alinéa de l’actuel article L. 1131-1 du CSP.
Sur le projet d’article 75 de la loi informatique et libertés
Le projet semble laisser entendre que le consentement exprès de la personne au traitement des données doit être recueilli en complément de celui exigé pour la réalisation de l’examen de ses caractéristiques génétiques.
De plus, il semble qu’une confusion soit opérée entre le consentement à la réalisation de l’examen des caractéristiques génétiques (articles 16-10 du code civil et L 1131-1 du CSP) et le consentement à participer à une recherche (article L1122-1-1 du CSP).
La Commission considère de manière générale que le consentement exprès des personnes devrait être recueilli préalablement à la réalisation d’un examen des caractéristiques génétiques, qu’il soit réalisé dans le cadre de la prise en charge sanitaire ou dans le cadre d’un projet de recherche, en dehors du cas prévu à l’article L. 1131-1-1 du CSP (projet d’article L. 1130-5 du CSP).
La Commission attire l’attention du gouvernement sur le fait que la rédaction envisagée pourrait être interprétée comme une obligation de recueillir le consentement exprès de la personne concernée en cas de réutilisation de résultats d’examens, qui pourraient par exemple figurer dans son dossier médical. Or, elle considère que la réutilisation de résultats d’examen des caractéristiques génétiques obtenus dans le cadre des soins ne nécessite pas de recueillir le consentement exprès de la personne concernée. La personne doit cependant en être informée et doit pouvoir s’y opposer.
Par ailleurs la rédaction envisagée dissocie à juste titre le droit d’opposition à participer à une recherche et le droit d’opposition au traitement de ses données. La Commission tient cependant à indiquer que le fait pour une personne de s’opposer à participer à un projet de recherche devrait de facto entraîner l’interdiction de traiter les données de la personne concernée.
Afin de clarifier ces dispositions, la Commission propose au gouvernement la rédaction suivante :
Dans le cas où la recherche nécessite la réalisation d’un examen des caractéristiques génétiques, le consentement éclairé et exprès des personnes concernées doit être obtenu préalablement à la réalisation de l’examen. Le présent article n'est pas applicable aux recherches réalisées en application de l'article L. 1130-5 du code de la santé publique.
Sur l’examen des caractéristiques génétiques à des fins de prise en charge sanitaire (art. 25 du projet de loi)
L’article 25 du projet prévoit plusieurs modifications du code de la santé publique :
Sur la mise à jour de l’intitulé du chapitre Ier du titre III du livre Ier de la première partie du code de la santé publique
Le projet prévoit de remplacer le titre actuel Principes généraux , par le titre suivant : Information de la parentèle et modalités de mise en œuvre des examens des caractéristiques génétiques .
La Commission, comprend suite aux observations du gouvernement, que les termes information de la parentèle font référence à l’information des membres de la famille potentiellement concernés par le diagnostic d’une anomalie génétique chez une personne, conformément aux dispositions de l’article L 1131-1-2 du code de la santé publique. Le gouvernement précise sur ce point que la parentèle inclut les apparentés du premier degré (parents, enfants, frères et sœurs), voire du second degré (petits-enfants, grands-parents, oncles, tantes, neveux, nièces), voire de degré supérieur.
La Commission s’interroge sur l’interprétation de la mention de l’information de la parentèle dans le titre du chapitre Ier.
En l’état actuel des textes, la personne de confiance ou un proche de la personne concernée sont également des personnes pouvant être visées par l’information évoquée dans le titre du chapitre Ier (actuel article L.1131-1, alinéa 2 du CSP).
Lors des échanges qui ont eu lieu avec les services de la Commission, le gouvernement a indiqué qu’une modification de l’actuel article L.1131-1 du CSP, dont la Commission regrette de ne pas avoir été saisie, était également prévue.
Ainsi, la Commission relève que le projet prévoit, dans un nouvel article L.1130-3 du CSP, que par dérogation à l’article 16-10 du code civil, lorsque la personne est hors d’état d’exprimer son consentement, l’examen ou l’identification peut être entrepris à des fins médicales dans l’intérêt de cette personne. Préalablement à la réalisation de l’examen, le médecin s’assure qu’elle ne s’y soit pas opposée antérieurement auprès de la personne de confiance mentionnée à l’article L. 1111-6 du CSP, de la famille ou, à défaut, d’un proche ou, le cas échéant, auprès de la personne chargée d’une mesure juridique de protection de la personne.
Il en résulte que la modification projetée remplace la consultation préalable de la personne de confiance, la famille ou l’un des proches de la personne concernée, dans l’hypothèse où il est impossible de recueillir le consentement de la personne concernée pour la réalisation d’un examen de ses caractéristiques génétiques, par la vérification par le médecin, auprès des personnes précédemment visées et de la personne chargée d’une mesure juridique de protection, que la personne concernée ne s’est pas opposée antérieurement à la réalisation d’un tel examen.
Dès lors, la Commission s’interroge :
d’une part, sur les raisons de la suppression de l’information préalable délivrée aux personnes visées par le projet d’article L.1130-3 du CSP relative à la réalisation d’un examen des caractéristiques génétiques de la personne concernée hors d’état d’exprimer son consentement ;
et, d’autre part, sur les hypothèses dans lesquelles une personne concernée aurait pu prononcer son opposition par anticipation à la réalisation d’un examen des caractéristiques génétiques, alors que l’article 16-10 du code civil prévoit que le consentement exprès de la personne doit être préalablement recueilli ;
sur la mention de la parentèle dans le titre du chapitre Ier, qui ne semble plus correspondre aux personnes visées par les projets d’articles L. 1130-1 et L. 1130-3 du CSP.
La Commission demande que le projet soit précisé sur ces points.
Sur la modification de l’article L 1131-1-3 du CSP
Le projet prévoit de modifier les destinataires des résultats des examens des caractéristiques génétiques. En plus de la personne concernée, les destinataires des résultats ne seraient donc plus, le cas échéant, ceux visés à l’actuel article L. 1131-1 du CSP, mais le représentant en matière personnelle de la personne .
Cette modification appelle les observations suivantes :
S’agissant des termes représentant en matière personnelle de la personne , la Commission s’interroge sur les personnes visées par cette appellation. Le gouvernement ayant précisé, lors des échanges qui ont eu lieu avec les services de la Commission, que ces termes doivent s’entendre comme le représentant d’un majeur protégé au sens de l’article 459, alinéa 2 du code civil. Le gouvernement précise sur ce point que le représentant d’un majeur protégé est la personne habilitée par le juge à représenter un majeur protégé, (article 494-1 et suivants du code civil), ou le tuteur lorsque le juge leur a donné un pouvoir de représentation, mais également le mandataire dans le cas d’un mandat de protection future activé). Dès lors, la Commission recommande qu’il soit fait référence à ces dispositions dans le projet.
S’agissant des termes le cas échéant , la Commission s’interroge sur les hypothèses dans lesquelles les résultats de l’examen des caractéristiques génétiques, seraient susceptibles d’être communiqués par le médecin prescripteur au représentant en matière personnelle de la personne . Le gouvernement a précisé, lors des échanges qui ont eu lieu avec les services de la Commission, que le représentant en matière personnelle de la personne est informé des résultats de l’examen des caractéristiques génétiques de la personne concernée, lorsque la loi prévoit précisément que la personne protégée doit être représentée pour les décisions ou les actes relevant de sa personne.
Les dispositions de l’actuel article L.1131-1-3 du CSP renvoient aujourd’hui à la transmission, le cas échéant, aux personnes mentionnées au second alinéa de l’article L. 1131-1 du CSP, qui prévoient que (…) lorsqu'il est impossible de recueillir le consentement de cette personne ou, le cas échéant, de consulter la personne de confiance mentionnée à l'article L. 1111-6 , la famille ou, à défaut, un de ses proches, l'examen ou l'identification peuvent être entrepris à des fins médicales, dans l'intérêt de la personne .
Ainsi, les dispositions actuellement en vigueur semblent déterminer à la fois les destinataires des résultats des examens, mais également les cas dans lesquels les résultats peuvent leur être transmis : lorsqu’il est impossible de recueillir le consentement de la personne.
Il en résulte que la modification projetée :
semble avoir pour conséquence, lorsque la personne est hors d’état d’exprimer son consentement, de restreindre le champ des personnes ayant accès aux résultats des analyses, qui s’étend aujourd’hui aux personnes visées à l’article L. 1131-1 alinéa 2 du CSP (personne de confiance, famille, proches), alors que ces dernières auront de facto connaissance de la réalisation d’un tel examen ;
ne permet pas de déterminer dans quels cas le représentant en matière personnelle de la personne est destinataire des résultats de l’examen ;
pourrait créer une incohérence entre la personne visée par le terme représentant en matière personnelle de la personne destinataire des résultats (nouvel article L.1131-1-3 du CSP), et la personne visée par le terme la personne chargée d’une mesure juridique de protection de la personne (nouvel article L.1130-3 du CSP) sollicitée par le médecin préalablement à la réalisation d’un examen des caractéristiques génétiques, s’il devait s’avérer que ces expressions ne visent pas les mêmes personnes.
La Commission demande donc que le projet soit clarifié sur ces points.
Sur la création de l’article L. 2131-1-1 du CSP
La Commission prend également note que le projet d’article L 1131-1-3-II du CSP prévoit que le résultat d’un examen des caractéristiques génétiques d’une personne, ne sera pas transmis, le cas échéant, au laboratoire de biologie médicale intervenu dans la transmission de l’échantillon. En revanche, elle retient que ce dernier sera informé de la communication du résultat de l’examen au médecin prescripteur par le laboratoire autorisé.
La Vice-Présidente déléguée
Sophie LAMBREMON