Confidentialité

Un soin tout particulier a été apporté au projet Gazel pour veiller au respect de la confidentialité absolue des données individuelles, mais aussi aux aspects éthiques vis-à-vis des participants et des structures internes à EDF et GDF et à la déontologie dans les rapports avec les médecins.

Le projet Gazel a reçu l'accord de la Commission Nationale Informatique et Libertés, du Conseil National de l'Ordre des Médecins et du Comité Consultatif National d'Ethique pour les Sciences de la Vie et de la Santé.

Le respect d'une confidentialité absolue a imposé la conception et la réalisation de circuits de collecte et de gestion des données individuelles des volontaires de la cohorte Gazel qui garantissent l'impossibilité à toute personne physique, quelle qu'elle soit, d'accéder de façon nominative (directe ou indirecte) à d'autres données que celles qu'elle a elle-même fournies de façon nominative. Le projet Gazel a reçu un avis favorable de la Commission Nationale de l'Informatique et des Libertés (CNIL).

Le principe général qui a été retenu pour l'architecture du système de recueil et de gestion des données repose sur la seule méthode qui permette d'assurer de façon certaine la confidentialité des données : la séparation physique, sans aucune connexion «en ligne» des différents ordinateurs destinés à assurer la fourniture, le stockage et l'accès aux données ; cette séparation physique s'accompagne d'une spécialisation des ordinateurs selon les données qu'ils gèrent.

Le coeur du système repose sur l'existence d'un fichier de correspondance entre l'identité des volontaires et un numéro d'anonymat : le «numéro de cohorte permanent» ou NCP. Ce fichier est constitué et géré par la Division Informatique du Service Central d'Appui Santé et Travail (SCAST) d'EDF et GDF ; bien entendu astreint au secret médical et statistique. Ce fichier ne contient aucune autre information et est installé sur un ordinateur indépendant, qui n'est connecté à aucun autre ordinateur. La base de données Gazel, qui contient les données individuelles des participants de la cohorte, est, quant à elle, gérée sur un ordinateur situé à l'Unité 687 de l'INSERM. Cet ordinateur n'est, lui non plus, connecté à aucun autre ordinateur. La base de données Gazel est identifiée uniquement par le NCP. Ainsi le SCAST possède l'identification des volontaires, mais ne peut avoir accès aux données les concernant ; l'Unité 687 de l'INSERM connaît les données, mais ne peut avoir accès à l'identification des sujets.

Le schéma du système se complexifie évidemment du fait des multiples transferts de données en provenance des diverses sources d'information concernant les participants de la cohorte Gazel. Le SCAST est le seul point du circuit où l'identité des participants et le NCP sont simultanément connus : c'est donc de ce point que partent les informations nominatives permettant de recueillir les données individuelles à chaque source. Par sécurité supplémentaire, le NCP n'est pas utilisé pour la sollicitation des sources internes à EDF et GDF, et divers «Numéros de Transfert» (NT), pour lesquels existent des tables de correspondance avec les NCP, ont été établis à cet effet.

 

Circuit de l'autoquestionnaire

Avant l'envoi du questionnaire annuel aux volontaires de la cohorte Gazel, le SCAST met à jour les adresses de ceux-ci. Le SCAST crée alors un fichier associant le NCP de l'agent et ses coordonnées ; ce fichier est transmis à un imprimeur-routeur (extérieur à EDF et GDF) qui imprime les questionnaires sur lesquels ne figure aucune information identifiante, mais où sont pré-imprimés les NCP des volontaires. Il adresse alors le questionnaire aux volontaires. Lorsque ceux-ci ont rempli leur questionnaire, ils l'adressent directement à l'Unité 687 de l'INSERM, où les questionnaires sont saisis et intégrés à la base de données Gazel sous le NCP des sujets.

circuitAQ

Circuit des données extraites des services internes d'EDF et GDF

De façon périodique, l'Unité 687 de l'INSERM reçoit des données de divers services d'EDF et GDF. A la mise en place de ces recueils de données, chaque volontaire s'est vu attribué un numéro d'anonymat autre que le NCP, appelé Numéro Temporaire de Transfert (NTT). C'est par l'intermédiaire de ce NTT que sont transmises les données des différents services d'EDF et GDF à l'Unité 687. Cette multiplication de numéros d'anonymat, dont la correspondance avec le NCP est gérée uniquement à l'Unité 687, a pour objectif de renforcer la protection de la confidentialité.

Circuit des données des Centres d'Examens de Santé

Lors de la mise en place des campagnes d'examens de santé, l'Unité 687 de l'INSERM a généré un numéro temporaire de transfert (NTT) qui est un numéro d'anonymat spécifique à ce recueil de données pour chaque volontaire. Au début de chaque campagne, l'Unité 687 adresse au SCAST, un fichier avec ces NTT et leur NCP respectifs. A partir du NCP, le SCAST génère le fichier d'adresses puis adresse à l'imprimeur-routeur, un fichier avec les coordonnées des volontaires concernés ainsi que le NTT. Les demandes d'inscription, avec le NTT pré-imprimé, sont adressées aux volontaires. Le volontaire retourne le tout une fois rempli au Centre d'Examens de Santé afin que sa demande d'inscription soit effective et qu'un rendez vous puisse lui être fixé. Une fois les examens pratiqués pour tous les volontaires, les données d'examen clinique identifiées uniquement par le NTT sont transmises à l'Unité 687. En parallèle, des prélèvements effectués pour la constitution de la Banque de Matériel Biologique (BMB) sont transmis au Centre de Médecine Préventive de Vandoeuvre-lès-Nancy, avec le même numéro NTT.

Circuit des données dans le cadre d'un projet de recherche

Lorsqu'un projet de recherche a obtenu les différents accords, l'équipe associée peut accéder d'une part à la base de données Gazel existante et d'autre part, dans le cadre d'un recueil de données spécifique, adresser un questionnaire aux volontaires de la cohorte.
Afin de préserver leur anonymat, les volontaires sélectionnés pour participer à un projet, se voient attribuer un numéro d'anonymat spécifique pour ce projet, appelé NTT. La correspondance des différents NTT avec le NCP est gérée à l'Unité 687.
Lors d'un recueil de données spécifiques via un questionnaire, le circuit est calqué sur ce qui se fait pour l'autoquestionnaire annuel adressé par l'Unité 88 mais en utilisant le numéro d'anonymat spécifique du projet. Le retour de ces questionnaires se faisant chez le responsable du projet.
Lors d'une extraction de données déjà existantes dans la base Gazel gérée par l'Unité 687, et après avoir établi une liste précise des variables souhaitées, l'Unité 687 adresse ces données avec, comme identification des volontaires, le NTT du projet.

circuitEDF
L'étude épidémiologique de la cohorte Gazel repose sur le volontariat librement consenti des agents d'EDF et de GDF qui acceptent d'y participer. Elle est purement «observationnelle» et ne comporte aucune intervention ou expérimentation auprès des participants. Malgré cela, divers aspects relevant de l'éthique de la recherche sont présents dans le projet Gazel. Ils sont liés au fait que l'ensemble du projet reposant sur la participation des volontaires et la fourniture de données par de nombreux partenaires, il est nécessaire de veiller à une utilisation de ces données respectant les intérêts de chacun, et à un retour d'information suffisant. Diverses structures et activités ont été mises en place à cet effet.


Retour d'information

Organiser un retour d'information suffisant permet d'obtenir une meilleure adhésion des volontaires de la cohorte Gazel et des différents partenaires de celle-ci, tout au long du suivi. C'est aussi une obligation éthique vis-à-vis des participants, et une obligation déontologique vis-à-vis des médecins d'EDF et GDF.
Outre les traditionnelles publications scientifiques (revues, congrès, etc.) portant sur les résultats épidémiologiques, réalisées par les chercheurs associés à la cohorte Gazel, diverses publications régulières sont spécifiquement orientées vers les partenaires du projet Gazel au sein d'EDF et GDF.
  • Le journal de la cohorte, publié deux fois par an est adressé aux 20 000 agents participant à la cohorte, ainsi qu'aux médecins d'EDF et GDF, aux responsables de l'entreprise, aux organisations syndicales, aux instances paritaires nationales (CNHSCT, CNMT), aux CMCAS, etc. Ce journal contient des nouvelles régulières des divers phpects du projet (résultats, nouveaux projets, courrier des lecteurs, etc.).
  • Chaque année, une brochure intitulée «La Cohorte des 20 000 Volontaires : Année i» présente, pour l'essentiel, des résultats descriptifs détaillés à partir des données de l'année. Elle est diffusée systématiquement aux mêmes destinataires que le journal ; cependant pour des raisons de coût, elle n'est envoyée aux volontaires eux-mêmes que sur demande de ceux-ci.
  • Des articles concernant le fonctionnement et les résultats sont également publiés régulièrement dans divers médias internes à l'entreprise, destinés à des publics variés au sein d'EDF et GDF : ensemble des agents, médecins, hiérarchie, etc... Des articles sont également publiés dans la presse syndicale d'EDF et de GDF.
En dehors de ces publications, l'Unité 88 de l'INSERM fournit, sur demande, des données statistiques agrégées correspondant aux agents de la cohorte Gazel d'un «territoire» déterminé (effectif surveillé par un médecin, habitants d'une région, etc.).
L'ensemble du dispositif a été soumis pour autorisation ou avis à diverses instances nationales.

La Commission Nationale de l'Informatique et des Libertés (CNIL), conformément à la loi, a été saisie du projet avant le lancement du projet Gazel. Tenant compte des dispositifs techniques et organisationnels proposés, la CNIL a donné un avis favorable (Avis numéro 105.728 en date du 28/4/1988) ; elle a d'ailleurs considéré que les dispositifs prévus pour assurer la confidentialité des données et du secret médical étaient suffisamment satisfaisants pour citer le projet comme «exemplaire» dans son rapport d'activité de 19881. En plus du dossier présenté initialement, la CNIL a été saisie pour obtenir l'autorisation d'extensions ultérieures du système de recueil et de gestion des données : accès aux causes médicales de décès auprès du service compétent de l'INSERM (avis favorable du 16/04/92) ; mise en place du circuit impliquant les CMCAS et les Centres d'Examens de Santé de la Sécurité Sociale, et permettant la constitution de la Banque de Matériel Biologique (avis favorable du 21/12/1993 et du 22/10/1999) ; recueil des motifs d'hospitalisation des agents volontaires (avis favorable du 24/11/1997).

Avant la mise en place de la cohorte Gazel, le Conseil National de l'Ordre des Médecins (pour les aspects concernant la déontologie et le respect du secret médical), et le Comité Consultatif National d'Ethique pour les Sciences de la Vie et de la Santé (pour les aspects éthiques), ont également été consultés et ont donné, eux aussi, un avis favorable au projet. Ces deux instances ont ultérieurement été informées des extensions citées plus haut, en parallèle à la CNIL.

Ces autorisations et avis concernent le fonctionnement «de routine» de la cohorte Gazel. Par ailleurs, tous les projets de recherche spécifiques associés à la cohorte font également, sous l'autorité de leur responsable, l'objet d'un dossier qui est soumis aux instances compétentes, selon la nature et les procédures particulières envoyées (CNIL, Comité d'Ethique, etc.), préalablement à leur mise en oeuvre.

1)Commission Nationale de l'Informatique et des Libertés, 9ème Rapport d'Activité, 1988, Paris, La Documentation Française, pp. 158-159.