Confidentialité et sécurité

La confidentialité des données des familles participantes est essentielle dans la réalisation de l’étude Elfe. 

L’utilisation des données recueillies dans Elfe se fait de manière anonyme et uniquement à des fins de recherche. Seuls les chercheurs dont les projets de recherche ont été validés par des instances scientifiques peuvent accéder aux données que les parents ont accepté de confier aux professionnels.

Par ailleurs, les chercheurs ont fait le choix d’un système informatique de protection des données très sophistiqué. Sa conception répond à une exigence capitale : aucun intervenant ne peut avoir accès à la fois à l’identité d’un enfant et aux données le concernant. Les scientifiques travaillent donc toujours à partir d’informations anonymes.

Les différentes étapes de l’enquête sont soumises à l’avis du CEREES (Comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé) qui donne un avis sur la pertinence scientifique des projets de santé.

La CNIL (Commission nationale de l’informatique et des libertés) délivre quant à elle une autorisation de traitement des données et contrôle les procédures de façon à garantir la protection des données personnelles.

Par ailleurs, le CPP (Comité de protection des personnes) est également saisi pour les recherches comportant une dimension biomédicale.

Zoom sur la sécurisation des données

Questions à Sophie de Visme, Responsable du pôle Systèmes d’Information de l’étude Elfe 

Quels sont les enjeux concernant la sécurité des données Elfe ?

Au vu de la durée de l’étude, la réglementation et les technologies évolueront immanquablement. Ainsi, il était essentiel de ne pas gérer la sécurité des données Elfe uniquement avec des mesures techniques dépendantes des technologies actuelles mais de définir en amont des mesures organisationnelles qui permettront de suivre l‘évolution des technologies. Ce principe a été adopté aussi bien dans la conception des systèmes informatiques que dans l’organisation de l’étude Elfe. Et pour que ce principe soit mis en œuvre selon l’état de l’art en termes de sécurité de l’information, les exigences de la norme ISO 27001 ont été suivies.

Justement, qu’est-ce que la norme ISO 27001 ?

La norme ISO 27001 est relative aux systèmes de management de la sécurité de l’information. Elle définit des exigences en termes de processus pour gérer la sécurité de l’information selon le principe qualité d’amélioration continue. Elle définit également des mesures de sécurité organisationnelles et techniques. Le processus le plus important est la gestion des risques. Celle-ci implique de réaliser une analyse des risques périodiquement et de définir les mesures de sécurité qui permettent de traiter les risques ainsi identifiés de façon adéquate et proportionnée.

Quels outils ont été mis en place pour garantir l’anonymat des familles et la sécurité de leurs données ?

Les besoins de sécurité et les exigences réglementaires et normatives ont conduit à la conception du système d’information PANDORA de gestion du stockage et de la fourniture des données des participants à Elfe. Ce système fonctionne selon un principe de pseudo-anonymisation des données, stockées de façon atomisée. La confidentialité est assurée par des procédures sécurisées ayant pour but d’éviter qu’un chercheur ait accès à la fois aux informations identifiantes des individus et aux informations recueillies dans un but de recherche. Elles visent également à empêcher que l’on puisse constituer une base de données unique issue des différentes phases de collecte. Il s’agit d’un principe de base en termes de sécurité consistant à « ne pas mettre tous ses œufs dans le même panier ».
Par ailleurs, le système d’information PANDORA fait l’objet d’audits de sécurité (tests d’intrusion et revues de code et de configuration) menés par des prestataires externes. Ces audits seront réalisés régulièrement durant les 20 ans de l’étude.

Avez-vous obtenu des autorisations spécifiques ?

Conformément à la loi « Informatique et libertés », le système PANDORA a fait l’objet d’une demande d’autorisation auprès de la CNIL (Commission nationale de l’informatique et des libertés) qui a été obtenue le 25 mars 2011. Dans son compte rendu, la CNIL a estimé que le système d’information utilise des mécanismes de sécurité conformes à l’état de l’art. Par ailleurs, chaque enquête fait l’objet d’une demande d’autorisation ou d’avis auprès des instances réglementaires :

  • auprès du CCTIRS (Comité Consultatif sur le Traitement de l’Information en matière de Recherche dans le domaine de la Santé) qui rend un avis sur la pertinence des données nominatives à caractère personnel collectées par rapport à l’objectif de recherche ;
  • auprès de la CNIL conformément à la loi informatique et liberté ;
  • auprès du CNIS (Conseil National de l’Information Statistique) conformément à la loi sur l’obligation, la coordination et le secret en matière de statistiques ;
  • auprès du CPP (Comité de Protection des Personnes) qui, conformément au code de santé publique, rend un avis sur la pertinence de la recherche biomédicale menée.

Les données de santé en recherche : concilier droits des personnes, protection des données et production de connaissance.

Par Marie-Aline Charles, directrice de l’étude Elfe. " Les enjeux de la bioéthique en France ", était le thème des "Rencontres de la démo" organisées par l’Ined le 11 décembre 2018.
Videos: Oriscus production