Confidentialité et sécurité

Au vu de la durée de l’étude, la réglementation et les technologies évolueront immanquablement. Ainsi, il était essentiel de ne pas gérer la sécurité des données Elfe uniquement avec des mesures techniques dépendantes des technologies actuelles mais de définir en amont des mesures organisationnelles qui permettront de suivre l‘évolution des technologies. Ce principe a été adopté aussi bien dans la conception des systèmes informatiques que dans l’organisation de l’étude Elfe. Et pour que ce principe soit mis en œuvre selon l’état de l’art en termes de sécurité de l’information, les exigences de la norme ISO 27001 ont été suivies.

La norme ISO 27001 est relative aux systèmes de management de la sécurité de l’information. Elle définit des exigences en termes de processus pour gérer la sécurité de l’information selon le principe qualité d’amélioration continue. Elle définit également des mesures de sécurité organisationnelles et techniques. Le processus le plus important est la gestion des risques. Celle-ci implique de réaliser une analyse des risques périodiquement et de définir les mesures de sécurité qui permettent de traiter les risques ainsi identifiés de façon adéquate et proportionnée.

Les besoins de sécurité et les exigences réglementaires et normatives ont conduit à la conception du système d’information PANDORA de gestion du stockage et de la fourniture des données des participants à Elfe. Ce système fonctionne selon un principe de pseudo-anonymisation des données, stockées de façon atomisée. La confidentialité est assurée par des procédures sécurisées ayant pour but d’éviter qu’un chercheur ait accès à la fois aux informations identifiantes des individus et aux informations recueillies dans un but de recherche. Elles visent également à empêcher que l’on puisse constituer une base de données unique issue des différentes phases de collecte. Il s’agit d’un principe de base en termes de sécurité consistant à « ne pas mettre tous ses œufs dans le même panier ».
Par ailleurs, le système d’information PANDORA fait l’objet d’audits de sécurité (tests d’intrusion et revues de code et de configuration) menés par des prestataires externes. Ces audits seront réalisés régulièrement durant les 20 ans de l’étude.

Conformément à la loi « Informatique et libertés », le système PANDORA a fait l’objet d’une demande d’autorisation auprès de la CNIL (Commission nationale de l’informatique et des libertés) qui a été obtenue le 25 mars 2011. Dans son compte rendu, la CNIL a estimé que le système d’information utilise des mécanismes de sécurité conformes à l’état de l’art. Par ailleurs, chaque enquête fait l’objet d’une demande d’autorisation ou d’avis auprès des instances réglementaires :

• auprès du CCTIRS (Comité Consultatif sur le Traitement de l’Information en matière de Recherche dans le domaine de la Santé) qui rend un avis sur la pertinence des données nominatives à caractère personnel collectées par rapport à l’objectif de recherche ;
• auprès de la CNIL conformément à la loi informatique et liberté ;
• auprès du CNIS (Conseil National de l’Information Statistique) conformément à la loi sur l’obligation, la coordination et le secret en matière de statistiques ;
• auprès du CPP (Comité de Protection des Personnes) qui, conformément au code de santé publique, rend un avis sur la pertinence de la recherche biomédicale menée.