• La divulgation des données relatives à la santé
  
• La déclaration des fichiers informatiques
  
• Les formalités préalables dans le secteur de la santé
  
  • La demande d' avis
    
  • La déclaration ordinaire
    
  • La déclaration simplifiée
    
  • Accord avec les laboratoires pharmaceutiques
    
• Le respect des droits individuels
  
• La protection des fichiers informatiques
  
  
  
  

Introduction

Le bon déroulement d'un essai thérapeutique suppose de plus en plus le recours aux techniques informatiques, ne serait-ce que pour faciliter l'inclusion des patients, assurer un suivi plus rigoureux du protocole et permettre des analyses statistiques détaillées des résultats.
Malgré les règles juridiques et éthiques qui encadrent désormais, avec la loi du 20 décembre 1988, la réalisation des essais thérapeutiques et garantissent de façon satisfaisante les droits des malades et des volontaires sains, les applications informatiques développées en ce domaine revêtent une sensibilité particulière, tant par la nature des données médicales traitées et la spécificité des personnes concernées que par les risques encourus en cas d'erreur dans la saisie ou la transmission des données, en cas de divulgation ou d'utilisation détournée de celles-ci.
Les traitements informatiques portant sur des données médicales nominatives justifient donc d'une protection particulière et doivent, dès lors, être réalisés dans le respect des dispositions de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, comme de la convention du Conseil de 'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, entrée en vigueur le 1er octobre 1985.
En effet, aux termes de l'article 6 de cette convention : " Les données à caractère personnel relatives à la santé ou à la vie sexuelle ne peuvent être traitées automatiquement, à moins que le droit interne ne prévoie des garanties appropriées. "

La divulgation des données relatives à la santé

La France dispose déjà en son droit interne de garanties importantes, caractérisées tout d'abord par une conception stricte du secret médical.
Le secret médical, dont la violation est sanctionnée pénalement par l'article 378 du code pénal, est conçu comme l'interdiction faite au médecin de révéler à un tiers les informations qui lui ont été confiées " intuitu personae " lors du " colloque singulier " avec son patient. Les seules dérogations à ce principe ne peuvent résulter que d'une loi tenant compte d'hypothèses particulières, comme la dénonciation des mauvais traitements à enfants ou la déclaration obligatoire de certaines maladies.
La jurisprudence admet toutefois la notion de " secret médical partagé " entre plusieurs médecins dans la seule mesure où il y va de l'intérêt direct du malade concerné. C'est ainsi que la divulgation de données relatives à un patient est admise au sein d'une même équipe soignante ou auprès du médecin-conseil de la Sécurité sociale pour permettre à ce dernier de formuler un avis sur l'état de santé du patient, avis qui subordonne l'octroi de prestations.
A l'inverse, la transmission de données relatives à la santé, à des fins de recherche, n'est pas autorisée au titre du secret partagé si les destinataires des informations ne concourent pas directement à une activité thérapeutique à l'égard du patient. On peut considérer cependant que, dans le cas d'un essai thérapeutique, les transmissions de données au centre coordonnateur de l'essai ou à l'investigateur principal, réalisées dans l'intérêt thérapeutique direct du patient, relèvent du secret médical partagé.
La loi du 20 décembre 1988 a apporté des garanties appropriées en se fixant pour objectif de renforcer la protection des personnes qui se prêtent à des essais thérapeutiques, qu'il s'agisse de recherches avec ou sans bénéfice individuel direct.
La personne, qui doit être volontaire, doit donner à sa participation à une recherche, et donc préalablement à toute collecte de données la concernant, son consentement éclairé exprimé sous forme écrite. Le recueil du consentement suppose que l'intéressé ait été informé le plus complètement possible de l'objectif de la recherche, de sa méthodologie et de sa durée, des contraintes et risques prévisibles, de même que de son droit de refuser d'y participer ou de retirer son consentement à tout moment.

La déclaration des fichiers informatiques

La loi informatique et libertés du 6 janvier 1978, qui, certes, n'a pas rangé a priori les données de santé parmi les informations sensibles devant faire l'objet d'une protection particulière, a institué un certain nombre de procédures de contrôle qui renforcent les garanties juridiques existantes. Cette loi prévoit un contrôle des traitements automatisés d'informations nominatives assuré par la Commission nationale de l'informatique et des libertés (Cnil), relayé par un contrôle individuel exercé par les intéressés eux-mêmes.
La loi du 6 janvier 1978 impose aux personnes physiques ou morales qui souhaitent mettre en œuvre un traitement automatisé d'informations nominatives d'accomplir au préalable certaines formalités auprès de la Cnil.
Par traitement de données nominatives, il faut entendre tout ensemble d'opérations réalisées par des moyens informatiques, relatif notamment à la collecte, à l'enregistrement, à la conservation de données nominatives., ou à l'exploitation de fichiers ou base de données — en particulier les interconnexions, rapprochements, consultations ou communications de données nominatives.
De même, sont réputées nominatives, au sens de la loi de 1978, les informations qui permettent, directement ou non, l'identification des personnes physiques, comme la conservation d'une correspondance entre le nom et un numéro d'ordre figurant dans un fichier informatique, ou l'enregistrement, sur un petit nombre d'individus, de données telles que profession, adresse, âge, nationalité... Sont aussi bien soumis à ces formalités le médecin qui veut informatiser son cabinet (par exemple pour la tenue de ses dossiers médicaux) que le centre hospitalier dont certains services de soins se dotent de micro-ordinateurs ou qui envisage d'automatiser les procédures de facturation des frais de séjour, ou encore l'organisme de recherche médicale qui souhaite exploiter sur informatique des questionnaires d'enquête. Cependant, ces formalités diffèrent selon qu'il s'agit du secteur public ou du secteur privé.
Sur la base des formalités qui doivent lui être présentées préalablement à toute création de traitement et avant tout recueil de données destinées à être informatisées, la commission apprécie en effet la légitimité des projets informatiques qui lui sont soumis et contrôle la pertinence des informations nominatives collectées au regard de cette finalité.
En matière médicale, cette appréciation peut toutefois se révéler délicate, d'une part parce qu'il est de l'essence même de la pratique médicale de laisser à chaque médecin la faculté de recueillir les données qu'il juge utiles pour forger son diagnostic, d'autre part en raison de la " technicité de la matière " et de la difficulté d'apprécier dans certains cas la légitimité scientifique et éthique de tel ou tel projet. C'est pourquoi la commission recourt aux conseils d'experts et demande, le cas échéant, l'avis du Comité d'éthique. Dans la mesure où la loi du 20 décembre 1988 prévoit la consultation obligatoire, par les investigateurs, des comités consultatifs de protection de la personne pour juger de la pertinence générale du projet, les avis de ces comités constituent un élément important de l'appréciation de la Cnil sur les projets informatiques qui lui sont soumis dans le cadre de la réalisation d'essais thérapeutiques.

Les formalités préalables
dans le secteur de la santé

La demande d'avis (article 15)

Les traitements informatiques mis en œuvre dans le secteur public (hôpitaux, Inserm, centres de lutte contre le cancer...) sont soumis à un régime d'autorisation préalable.
Avant la mise en œuvre d'un traitement, un organisme relevant du secteur public doit donc obtenir un avis favorable de la Cnil et, pour ce faire, lui présenter (en 3 exemplaires) un dossier de demande d'avis qui doit comporter :
1) un bordereau Cerfa 99001 rempli recto-verso (disponible à la Cnil, dans les chambres de commerce et préfectures ou encore par Minitel " 3615 Cnil ") ;
2) un ensemble d'annexes explicatives qui, établies sur papier libre, complètent les rubriques du bordereau signalées d'un astérisque et précisent :

• le service chargé de la mise en œuvre du traitement (R5) ;
  
  
• la finalité du traitement (R7) ;
  
  
• les mesures prises pour informer les intéressés de l'existence du traitement et des modalités d'exercice de leur droit d'accès (R8) ; pour le secteur médical, différentes propositions d'information des patients (sous forme d'affichettes) élaborées par les services de la Cnil, sont tenues à la disposition des déclarants ; dans le domaine de la recherche, notamment biomédicale, la Cnil demande à avoir communication des formules de consentement retenues, formules qui déclarants.
  A réception de ce dossier, la Cnil dispose d'un délai de deux mois, renouvelable une fois, pour notifier son avis. A l'expiration de ce délai, l'avis est réputé favorable. La mise en œuvre du traitement est subordonnée ensuite à la publication de l'acte réglementaire.
  
  

La déclaration ordinaire (article 16)

Les traitements informatiques mis en œuvre dans le secteur privé (cabinets médicaux, laboratoires d'analyses, pharmacies, laboratoires pharmaceutiques...) sont soumis à un régime déclaratif.
Avant la mise en œuvre d'un traitement, l'organisme doit obtenir un récépissé de la Cnil et, pour ce faire, lui présenter (en 3 exemplaires) un dossier de déclaration ordinaire comportant :
1) un bordereau Cerfa 99001 rempli recto-verso ;
2) un ensemble d'annexes explicatives établies selon les indications précitées.

La déclaration simplifiée

Les dispositions précitées sont bien entendu applicables aux projets informatiques mis en œuvre dans le cadre de la réalisation des essais thérapeutiques. Toutefois, afin d'alléger les formalités préalables incombant aux laboratoires pharmaceutiques promoteurs de telles études, la Cnil s'est concertée avec le Syndicat national de l'industrie pharmaceutique (Snip) en vue de l'élaboration d'un dossier type de déclaration qui serait présenté par chaque laboratoire, qui adresserait ensuite chaque année à la Cnil la liste des essais réalisés au cours de l'année précédente, des essais en cours et à venir.

Accord avec les laboratoires pharmaceutiques

La commission contrôle également le respect des droits individuels institués par la loi. L'article 27 de la loi du 6 janvier 1978 dispose, en effet, que les personnes auprès desquelles sont recueillies des données doivent être informées, notamment, des destinataires de celles-ci et de l'existence d'un droit d'accès à leurs données personnelles, droit qui, s'agissant de données de nature médicale, s'exerce par l'intermédiaire d'un médecin de leur choix (article 40).
L'article 26 de cette loi prévoit en corollaire le droit pour une personne de s'opposer, pour des raisons légitimes, à ce que des données nominatives la concernant fassent l'objet d'un traitement.
En matière de recherche médicale, la commission s'attache, et ce depuis une recommandation du 19 février 1985, à ce que, dans la majorité des cas, les patients soient informés individuellement de la transmission de leurs données médicales aux organismes de recherche, de façon qu'ils puissent exprimer leur consentement libre et éclairé.
De plus, et en fonction de la sensibilité des études entreprises et des données collectées, la commission se reconnaît la possibilité de demander des modalités de consentement allant jusqu'au recueil de l'accord écrit des patients.
Ainsi, dans un avis rendu en novembre 1988 concernant un système national d'information épidémiologique sur le sida, la Cnil a-t-elle considéré qu'en l'espèce, compte tenu de la nature des données recueillies et des caractéristiques de la maladie observée, le consentement des patients devait, pour offrir une garantie suffisante, être préalable et délivré sous forme écrite. La commission a toutefois estimé qu'il y avait lieu de laisser le médecin choisir les circonstances dans lesquelles il recueillerait cet accord, après avoir informé le patient et établi avec lui les relations de confiance nécessaires au traitement de cette infection.
Seules font l'objet de dispositions particulières : d'une part, les données relatives aux infractions, condamnations ou mesures de sûreté ; d'autre part, les informations relatives aux origines raciales, aux opinions politiques, philosophiques, religieuses ou aux appartenances syndicales des personnes, dont la collecte et le traitement sont interdits, sauf accord exprès c'est-à-dire écrit, des intéressés.
Le recueil du consentement libre et éclairé des patients en matière d'informatisation de données ne soulève pas de problème particulier dans le domaine de la recherche biomédicale, dans la mesure où la loi du 20 décembre 1988 le prévoit déjà expressément. Il suffira alors au promoteur de l'essai de compléter l'information donnée au patient pour lui permettre d'exprimer son consentement, par une mention sur les droits qui lui sont ouverts au titre de la loi du 6 janvier 1978.

Le respect des droits individuels

La commission contrôle également le respect des droits individuels institués par la loi. L'article 27 de la loi du 6 janvier 1978 dispose, en effet, que les personnes auprès desquelles sont recueillies des données doivent être informées, notamment, des destinataires de celles-ci et de l'existence d'un droit d'accès à leurs données personnelles, droit qui, s'agissant de données de nature médicale, s'exerce par l'intermédiaire d'un médecin de leur choix (article 40).
L'article 26 de cette loi prévoit en corollaire le droit pour une personne de s'opposer, pour des raisons légitimes, à ce que des données nominatives la concernant fassent l'objet d'un traitement.
En matière de recherche médicale, la commission s'attache, et ce depuis une recommandation du 19 février 1985, à ce que, dans la majorité des cas, les patients soient informés individuellement de la transmission de leurs données médicales aux organismes de recherche, de façon qu'ils puissent exprimer leur consentement libre et éclairé.
De plus, et en fonction de la sensibilité des études entreprises et des données collectées, la commission se reconnaît la possibilité de demander des modalités de consentement allant jusqu'au recueil de l'accord écrit des patients.
Ainsi, dans un avis rendu en novembre 1988 concernant un système national d'information épidémiologique sur le sida, la Cnil a-t-elle considéré qu'en l'espèce, compte tenu de la nature des données recueillies et des caractéristiques de la maladie observée, le consentement des patients devait, pour offrir une garantie suffisante, être préalable et délivré sous forme écrite. La commission a toutefois estimé qu'il y avait lieu de laisser le médecin choisir les circonstances dans lesquelles il recueillerait cet accord, après avoir informé le patient et établi avec lui les relations de confiance nécessaires au traitement de cette infection.
Seules font l'objet de dispositions particulières : d'une part, les données relatives aux infractions, condamnations ou mesures de sûreté ; d'autre part, les informations relatives aux origines raciales, aux opinions politiques, philosophiques, religieuses ou aux appartenances syndicales des personnes, dont la collecte et le traitement sont interdits, sauf accord exprès c'est-à-dire écrit, des intéressés.
Le recueil du consentement libre et éclairé des patients en matière d'informatisation de données ne soulève pas de problème particulier dans le domaine de la recherche biomédicale, dans la mesure où la loi du 20 décembre 1988 le prévoit déjà expressément. Il suffira alors au promoteur de l'essai de compléter l'information donnée au patient pour lui permettre d'exprimer son consentement, par une mention sur les droits qui lui sont ouverts au titre de la loi du 6 janvier 1978.

La protection des fichiers informatiques

Enfin, la Cnil, lors de l'examen des projets d'informatisation des essais thérapeutiques qui lui sont soumis en ce domaine de la recherche biomédicale, s'attache à ce que des mesures de sécurité appropriées soient adoptées afin de garantir la confidentialité des données. La commission apprécie les mesures de confidentialité adoptées par les chercheurs au cas par cas, en fonction de la sensibilité des applications et des données traitées, ainsi que de l'architecture des systèmes.
Si elle n'a jamais, jusqu'à présent, édicté de règlement type de sécurité comme l'y autorise la loi, la Cnil a néanmoins défini des recommandations en la matière dans une délibération du 19 février 1985, concernant les traitements automatisés d'informations médicales nominatives utilisées à des fins de recherche médicale.
C'est ainsi qu'elle préconise que :

• l'accès aux fichiers soit contrôlé par un système d'identification et d'authentification individuelle des utilisateurs placé sous la responsabilité des seuls médecins et chercheurs dûment habilités ;
  
• les fichiers soient conçus de façon à permettre la séparation des données relatives à l'identité des personnes et des renseignements proprement médicaux, la correspondance entre les deux étant conservée sous la responsabilité d'un médecin ;
  
• le matériel informatique utilisé soit dédié exclusivement à la recherche médicale, réservé à l'usage des seuls médecins et chercheurs dûment habilités et non relié à un réseau de transmission notamment public.