Extraits
La CNIL a examiné la mesure du projet de loi viant à déterminer le cadre à appliquer aux traitements de données à caractère personnel constitués par l’Agence de la biomédecine et la Commission d’accès aux données non identifiantes et à l’identité du tiers donneur aux fins de permettre l’exercice du droit d’accès aux origines de l’enfant conçu à partir d’un don de gamètes ou d’embryons (articles 3 et 3 bis du projet) ;
Concernant les traitements de données à caractère personnel constitués aux fins d’exercice du droit d’accès aux origines des enfants issus d’un don
Le projet de loi relatif à la bioéthique entend instituer le droit, pour l’enfant conçu par assistance médicale à la procréation avec tiers donneur, d’accéder à sa majorité à ses origines dès lors qu’il en fait la demande. A cette fin, il octroie à l’Agence de la biomédecine une compétence nouvelle : celle de mettre en œuvre un traitement de données à caractère personnel collectant les données nécessaires à l’exercice de ce droit. Il crée en outre une commission ad hoc, placée auprès du ministre chargé de la santé, responsable de la gestion des demandes d’accès aux données non identifiantes et à l’identité du donneur.
A titre liminaire, la Commission souhaite préciser que le droit pour un enfant d’accéder à ses origines et de se voir, en conséquence, communiquer des données à caractère personnel relatives au tiers donneur doit être distingué du droit d’accès de la personne concernée à des données le concernant tel que prévu par les dispositions de l’article 15 du RGPD.
Sur les modalités retenues pour le traitement des données à caractère personnel transmises par les CECOS à l’Agence de la biomédecine, ainsi que les traitements constitués par cette agence et la commission d’accès aux données non identifiantes et à l’identité du donneur aux fins de permettre l’accès des enfants conçus à leurs origines, le projet de loi propose deux orientations distinctes correspondant à des scenarii présentés respectivement aux articles 3 et 3 bis :
L’article 3 du projet de loi énonce que l’accès à des données non identifiantes relatives à un tiers donneur (âge, état de santé au moment du don, caractéristiques physiques, situation familiale ou professionnelle, pays de naissance, motivations au don) et, si l’enfant le souhaite, à l’identité de ce tiers exige : le consentement exprès du tiers donneur à la communication de ces données et de son identité (…) recueilli au moment de son don . Le gouvernement a précisé que le consentement du tiers donneur au don emporte son consentement à la transmission de ses données non identifiantes et de son identité à la personne majeure conçue par assistance médicale à la procréation qui les demanderait à partir de sa majorité. La personne majeure peut soit demander uniquement l’accès aux données non identifiantes, soit l’accès à l’identité, soit les deux . Si cette option rédactionnelle devait être maintenue, la Commission demande que le fait, pour le donneur, de consentir à effectuer un don emporte consentement à donner accès à son identité soit clairement précisé dans le projet.
L’article 3 bis du projet de loi prévoit que l’accès aux données non identifiantes du donneur, à l’exception de celles qui permettraient manifestement son identification , est systématique dès lors que l’enfant, devenu majeur, en fait la demande. Le tiers donneur pourrait alors s’opposer au recueil des informations non identifiantes portant uniquement sur sa situation familiale et professionnelle, sur son pays de naissance et sur sa motivation concernant le don. L’enfant pourrait également (…) accéder à l’identité du tiers donneur, sous réserve du consentement exprès, au moment de la demande (…). Le gouvernement a par ailleurs précisé que le consentement au don emporte le consentement du tiers donneur à la transmission de ces données non identifiantes . La Commission relève que le choix de cette option rédactionnelle est susceptible de créer une différence de traitement entre les enfants pour lesquels le donneur a consenti à l’accès aux données identifiantes le concernant et les enfants pour lesquels le donneur n’aura pas donné son consentement.
La Commission indique que, bien qu’elle ne se prononce que sur les scenarii présentés dans le projet de loi dont elle est saisie, d’autres options plus protectrices des droits des personnes concernées auraient pu être envisagées, notamment en limitant la transmission des données concernant les donneurs à l’Agence de la biomédecine aux cas dans lesquels ils auraient consenti à ce que les enfants conçus y aient accès.
S’agissant des traitements de données dont la mise en œuvre est envisagée, la Commission note que trois catégories de traitements de données à caractère personnel interviennent dans le dispositif d’accès aux origines prévu par le projet :
les traitements mis en œuvre par chacun des CECOS, dont la finalité principale est la gestion des dons de gamètes et d’embryons dans le cadre de l’assistance médicale à la procréation. La transmission des données relatives aux donneurs et aux enfants conçus à l’Agence de la biomédecine constitue une finalité nouvelle et accessoire à ces traitements ;
le traitement mis en œuvre par l’Agence de la biomédecine, dont la finalité est la collecte et la conservation des données nécessaires à l’accès aux origines des enfants conçus ;
le traitement mis en œuvre par la Commission d’accès aux données non identifiantes et à l’identité du tiers donneur, dont la finalité est la gestion des demandes d’accès aux origines.
Concernant la base légale à retenir pour les traitements de données à caractère personnel constitués et les formalités à accomplir :
Se fondant sur les précisions apportées par le gouvernement, la Commission prend acte que les articles 3 et 3 bis du projet de loi relatif à la bioéthique imposent la transmission des données des tiers donneurs par les CECOS à l’Agence de la biomédecine et à la commission d’accès aux données non identifiantes et à l’identité du donneur.
La Commission considère que les traitements constitués sont, suivant la rédaction actuelle du projet, par application des dispositions de l’article 6-1-c) du RGPD, nécessaires au respect d’une obligation légale, dans la mesure où les données seront transmises à l’Agence de la biomédecine dans tous les cas. Ce constat a pour conséquence pratique qu’un donneur qui refuserait que ses données soient transmises à l’Agence de la biomédecine, notamment car il ne souhaite pas que des données le concernant soient transmises à un enfant conçu, ne pourrait pas effectuer de don. Ainsi, la Commission attire l’attention du gouvernement sur l’interprétation qui pourrait être faite des articles 3 et 3 bis du projet et qui pourrait être différente de celle qui en est faite par le gouvernement, dans la mesure où il n’est pas expressément indiqué que le refus de transmettre des informations non identifiantes et identifiantes empêcherait la réalisation d’un don. La Commission demande donc que le projet de loi soit clarifié sur ce point.
La Commission indique par ailleurs que les traitements constitués sont des traitements de données de santé à caractère personnel entrant dans le champ des dispositions spécifiques de la loi informatique et libertés . Elle rappelle à ce titre qu’ils devront faire l’objet de formalités préalables auprès d’elle. La Commission souligne qu’il conviendra de déterminer si ces traitements devront faire l’objet d’une autorisation conformément aux dispositions de l’article 66 III de la loi informatique et libertés , ou d’un décret en Conseil d’Etat pris après avis motivé et publié de la Commission conformément aux dispositions combinées des articles 6-III et 31-II de la loi. Le traitement mis en œuvre par la commission d’accès aux données devra également faire l’objet de formalités préalables.
Concernant la nature des données collectées :
Les articles 3 et 3 bis du projet prévoient que les enfants conçus par assistance médicale à la procréation avec tiers donneur peuvent accéder à des données non identifiantes relatives à ce tiers (âge, état de santé au moment du don, caractéristiques physiques, situation familiale ou professionnelle, pays de naissance, motivations du don).
En premier lieu, en ce qui concerne la nature exacte des données non identifiantes , la Commission rappelle que l’âge, l’état de santé des donneurs au moment du don, les caractéristiques physiques, la situation familiale ou professionnelle, le pays de naissance, les motivations au don des tiers donneurs constituent, au sens du RGPD et des lignes directrices du groupe de travail article 29 sur la protection des données (G29), des données à caractère personnel qui se rapportent à des personnes physiques identifiables. A ce titre, elle précise que le G29, dans son avis 05/2014 du 10 avril 2014 sur les techniques d’anonymisation (dénommé ci-après lignes directrices du G29 ), retient qu’un traitement de données est a priori anonyme dès lors qu’il n’est possible ni d’individualiser, ni de corréler, ni d’interférer les données.
La Commission observe en l’espèce qu’il existe, à partir de ces données, des risques possibles de ré-identification des tiers donneurs. Elle attire donc l’attention du gouvernement sur le risque d’interprétation erronée qui pourrait résulter de l’utilisation de ces termes s’il devait s’avérer que les données non identifiantes permettent une ré-identification des personnes concernées. Elle propose donc de retenir une formulation précisant que les données sont susceptibles d’être indirectement identifiantes et que les donneurs en soient clairement informés.
Par ailleurs, la Commission attire l’attention du gouvernement sur le sens à donner à la notion d’anonymat du don, telle que prévue par les dispositions de l’article L1211-5 du CSP. La Commission estime que ce principe, qui interdisait jusqu’à présent aux enfants d’accéder à l’identité et aux données indirectement identifiantes du donneur, est en l’état du projet de loi remis en cause, dans la mesure où la transmission de données à caractère personnel aux enfants conçus s’imposerait à tout donneur. Aussi, elle s’interroge sur l’opportunité de maintenir la référence à ce principe dans les articles 3 et 3 bis du projet de loi et suggère au gouvernement d’apporter les éclaircissements nécessaires sur l’articulation entre le principe d’anonymat du don et le droit d’accès aux origines.
En deuxième lieu, en ce qui concerne l’étendue de la collecte des données indirectement identifiantes, la Commission rappelle qu’en vertu du principe de minimisation des données prévu à l’article 5-1-c) du RGPD, les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
La Commission prend note que le projet de loi dresse une liste limitative de données indirectement identifiantes, transmises par les CECOS à l’Agence de la biomédecine aux fins d’exercice du droit d’accès aux origines. Elle relève que seul l’article 3 bis prévoit pour le tiers donneur la faculté de s’opposer au recueil des données suivantes : sa situation familiale et professionnelle, son pays de naissance, les motivations de son don.
Au vu de ces éléments, sans remettre en cause la légitimité de l’accès aux origines, la Commission s’interroge sur les conséquences que pourrait avoir la découverte, pour un enfant, de certaines informations concernant le donneur (telles qu’une pathologie grave découverte ultérieurement par exemple), et par là-même sur la pertinence, l’adéquation et le caractère potentiellement excessif de la transmission et de la collecte de certaines données indirectement identifiantes, notamment des données de santé, au regard de la finalité précise d’accéder à ses origines personnelles. A ce titre, en application du principe de minimisation des données prévu par l’article 5-1-c du RGPD, la Commission invite le gouvernement à préciser, dans le cadre du décret d’application susmentionné, la nature exacte des données traitées et transmises à l’Agence de la biomédecine.
Sur la durée de conservation des données
Le projet prévoit une durée minimum de conservation des données de quatre-vingts ans, durée qui sera fixée par décret en Conseil d’Etat.
Le gouvernement a justifié cette durée de conservation minimale sur la base des trois motifs suivants :
les gamètes d’un donneur peuvent être utilisées une dizaine d’années après le don ;
l’enfant issu du don doit être majeur pour demander l’accès à ses origines ;
l’enfant majeur peut initier cette démarche à tout âge.
La Commission rappelle que les données à caractère personnel doivent être conservées pour une durée limitée répondant aux finalités du traitement conformément aux dispositions de l’article 5-1-e) du RGPD. Elle demande donc, sauf à ce que la loi renvoit sur ce point à son décret d’application, que le projet prévoie lui-même une durée maximale et non une durée minimale de conservation des données.
Par ailleurs, la Commission suggère que des hypothèses dans lesquelles la durée de conservation pourrait être réduite soient prévues, par exemple lorsque tous les enfants issus d’un même donneur auront exercé leur droit d’accès à leurs origines ou encore lorsqu’il n’aura pas été fait usage des gamètes donnés.
Sur l’information et les modalités d’exercice des droits des personnes
La Commission rappelle que les responsables de traitement devront s’assurer de la mise en œuvre effective des droits des personnes concernées (tiers donneur, enfant), prévus aux dispositions des articles 12 à 23 du RGPD (droit à l’information, droit d’accès, de rectification et de limitation du traitement).
Plus précisément, s’agissant du droit à l’information des tiers donneurs mentionné à l’article 13 du RGPD et par application du principe de transparence visé à l’article 12 du RGPD, la Commission considère que les tiers donneurs devront être expressément informés de la transmission possible, à la majorité des enfants conçus et pour ceux qui en feraient la demande, des données indirectement identifiantes collectées les concernant ainsi que, le cas échéant, des données d’identification. Elle souhaite que cette information intervienne préalablement à la collecte des données et au don.
En ce qui concerne l’article 3 bis du projet de loi, la Commission demande que le dispositif prévu en matière d’information soit complété dans le projet de loi :
le donneur devrait être expressément informé que le consentement au don emporte le consentement à la transmission de ses données indirectement identifiantes ;
l’information devrait également porter sur les risques de ré-identification dans le cadre de la transmission des données indirectement identifiantes.
Par ailleurs, la Commission souligne que si les traitements envisagés devaient être fondés sur le respect d’une obligation légale, comme semble le prévoir le projet, les tiers donneurs seront privés de l’exercice de leur droit d’opposition visé à l’article 21 du RGPD. Aussi, elle formule le souhait que la loi prévoie expressément que le donneur sera informé de ce que ses données feront obligatoirement l’objet d’un traitement dans le cadre de la mise en œuvre du droit à l’accès aux origines si la rédaction actuelle devait être maintenue. Les modalités selon lesquelles cette information sera délivrée devront par ailleurs être précisées dans le décret susmentionné.
Sur la sécurité des données
Les traitements concernés étant susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques, la Commission rappelle enfin qu’une analyse d’impact sur la protection des données devra être menée par les responsables de traitement en application des dispositions de l’article 35 du RGPD.