Un soin tout particulier a été apporté au projet Gazel pour veiller au respect de la confidentialité absolue des données individuelles, mais aussi aux aspects éthiques vis-à-vis des participants et des structures internes à EDF et GDF et à la déontologie dans les rapports avec les médecins.
Le projet Gazel a reçu l'accord de la Commission Nationale Informatique et Libertés, du Conseil National de l'Ordre des Médecins et du Comité Consultatif National d'Ethique pour les Sciences de la Vie et de la Santé.
Le principe général qui a été retenu pour l'architecture du système de recueil et de gestion des données repose sur la seule méthode qui permette d'assurer de façon certaine la confidentialité des données : la séparation physique, sans aucune connexion «en ligne» des différents ordinateurs destinés à assurer la fourniture, le stockage et l'accès aux données ; cette séparation physique s'accompagne d'une spécialisation des ordinateurs selon les données qu'ils gèrent.
Le cœur du système repose sur l'existence d'un fichier de correspondance entre l'identité des volontaires et un numéro d'anonymat : le « numéro de cohorte permanent » ou NCP. Ce fichier est constitué et géré par le service en charge de la médecine du travail des entreprises, le SCAST (Service Central d'Appui en Santé au Travail), bien entendu astreint au secret médical et statistique, qui joue le rôle de « tiers de confiance ». Ce fichier ne contient aucune autre information et est installé sur un ordinateur indépendant, qui n'est connecté à aucun autre ordinateur. La base de données Gazel, qui contient les données individuelles des participants de la cohorte, est, quant à elle, gérée sur un ordinateur situé à l’UMS 11 de l'INSERM. Cet ordinateur n'est, lui non plus, connecté à aucun autre ordinateur. Les informations concernant les volontaires dans la base de données Gazel sont identifiées uniquement par le NCP. Ainsi le tiers de confiance possède l'identification des volontaires, mais ne peut avoir accès aux données les concernant ; l'UMS 11 de l'INSERM connaît les données, mais ne peut avoir accès à l'identification des sujets.
Le schéma du système se complexifie évidemment du fait des multiples transferts de données en provenance des diverses sources d'information concernant les participants de la cohorte Gazel. Le tiers de confiance est le seul point du circuit où l'identité des participants et le NCP sont simultanément connus : c'est donc de ce point que partent les informations nominatives permettant de recueillir les données individuelles à chaque source. Par sécurité supplémentaire, le NCP n'est pas utilisé pour la sollicitation des sources de données qui alimentent la base de données de la cohorte, et divers «Numéros de Transfert» (NT), pour lesquels existent des tables de correspondance avec les NCP, ont été établis à cet effet.
Circuit de l'autoquestionnaire
Avant l'envoi du questionnaire annuel aux volontaires de la cohorte Gazel, le SCAST met à jour les adresses de ceux-ci. Le SCAST crée alors un fichier associant le NCP de l'agent et ses coordonnées ; ce fichier est transmis à un imprimeur-routeur (extérieur à EDF et GDF) qui imprime les questionnaires sur lesquels ne figure aucune information identifiante, mais où sont pré-imprimés les NCP des volontaires. Il adresse alors le questionnaire aux volontaires. Jusqu’en 2016, lorsque ceux-ci ont rempli leur questionnaire, ils l'adressent directement à l’UMS 11 de l'INSERM, où les questionnaires sont saisis et intégrés à la base de données Gazel sous le NCP des sujets. Depuis 2017, la saisie des questionnaires a été externalisée à l’Imprimerie nationale, organisme public soumis au secret le plus strict (https://www.ingroupe.com/fr/accueil-groupe.html) où ils sont désormais envoyés directement par les volontaires ; les données saisies sont alors envoyées à l’UMS 11.
Circuit des données extraites des services internes d'EDF et GDF
De façon périodique, l'UMS 11 de l'INSERM reçoit des données de divers services d'EDF et GDF. A la mise en place de ces recueils de données, chaque volontaire s'est vu attribué un numéro d'anonymat autre que le NCP, appelé Numéro Temporaire de Transfert (NTT). C'est par l'intermédiaire de ce NTT que sont transmises les données des différents services d'EDF et GDF à l'UMS 11. Cette multiplication de numéros d'anonymat, dont la correspondance avec le NCP est gérée uniquement à l'UMS 11, a pour objectif de renforcer la protection de la confidentialité.
Circuit des données des Centres d'Examens de Santé
Lors de la mise en place des campagnes d'examens de santé, l'UMS 11 de l'INSERM a généré un numéro temporaire de transfert (NTT) qui est un numéro d'anonymat spécifique à ce recueil de données pour chaque volontaire. Au début de chaque campagne, l'UMS 11 adresse au tiers de confiance, un fichier avec ces NTT et leur NCP respectifs. A partir du NCP, le tiers de confiance génère le fichier d'adresses puis adresse à l'imprimeur-routeur, un fichier avec les coordonnées des volontaires concernés ainsi que le NTT. Les demandes d'inscription, avec le NTT pré-imprimé, sont adressées aux volontaires. Le volontaire retourne le tout une fois rempli au Centre d'Examens de Santé afin que sa demande d'inscription soit effective et qu'un rendez-vous puisse lui être fixé. Une fois les examens pratiqués pour tous les volontaires, les données d'examen clinique identifiées uniquement par le NTT sont transmises à l'UMS 11. En parallèle, des prélèvements effectués pour la constitution de la Banque de Matériel Biologique (BMB) ont été transmis au Centre de Médecine Préventive de Vandoeuvre-lès-Nancy, avec le même numéro NTT ; en 2011, la biobanque a été transférée au Centre de ressources biologiques (CRB) du CHU de Dijon (https://www.canceropole-est.org/la-recherche/annuaire-du-canceropole-est/plateformes/detail?id=37).
Circuit des données dans le cadre d'un projet de recherche
Retour d'information
Organiser un retour d'information suffisant permet d'obtenir une meilleure adhésion des volontaires de la cohorte Gazel et des différents partenaires de celle-ci, tout au long du suivi. C'est aussi une obligation éthique vis-à-vis des participants.
Outre les traditionnelles publications scientifiques (revues, congrès, etc.) portant sur les résultats épidémiologiques, réalisées par les chercheurs associés à la cohorte Gazel, diverses publications régulières sont spécifiquement orientées vers les partenaires du projet Gazel.
- Le journal de la cohorte, publié deux fois par an pendant 30 ans est devenu annuel depuis 2019. Il est adressé aux 20 000 volontaires participant à la cohorte. Ce journal contient des nouvelles régulières des divers aspects du projet (résultats, nouveaux projets, courrier des lecteurs, etc.).
- Chaque année, une brochure intitulée «La Cohorte des 20 000 Volontaires : Année i» est un fichier téléchargeable au format PDF pour les années les plus récentes. Il, présente, pour l'essentiel, des résultats descriptifs détaillés à partir des données de l'année. Des articles concernant le fonctionnement et les résultats sont également publiés régulièrement dans divers médias internes à l'entreprise, destinés à des publics variés.
La Commission Nationale de l'Informatique et des Libertés (CNIL), conformément à la loi, a été saisie du projet avant le lancement du projet Gazel. Tenant compte des dispositifs techniques et organisationnels proposés, la CNIL a donné un avis favorable (Avis numéro 105.728 en date du 28/4/1988) ; elle a d'ailleurs considéré que les dispositifs prévus pour assurer la confidentialité des données et du secret médical étaient suffisamment satisfaisants pour citer le projet comme « exemplaire » dans son rapport d'activité de 19811. En plus du dossier présenté initialement, la CNIL a été saisie pour obtenir l'autorisation d'extensions ultérieures du système de recueil et de gestion des données : accès aux causes médicales de décès auprès du service compétent de l'INSERM (avis favorable du 16/04/92) ; mise en place du circuit impliquant les CMCAS et les Centres d'Examens de Santé de la Sécurité Sociale, et permettant la constitution de la Banque de Matériel Biologique (avis favorable du 21/12/1993 et du 22/10/1999) ; recueil des motifs d'hospitalisation des agents volontaires (avis favorable du 24/11/1997) ; appariement avec le SNIIRAM (autorisation du 16 mars 2010).
Avant la mise en place de la cohorte Gazel, le Conseil National de l'Ordre des Médecins (pour les aspects concernant la déontologie et le respect du secret médical), et le Comité Consultatif National d'Ethique pour les Sciences de la Vie et de la Santé (pour les aspects éthiques), ont également été consultés et ont donné, eux aussi, un avis favorable au projet. Ces deux instances ont ultérieurement été informées des extensions citées plus haut, en parallèle à la CNIL.
Ces autorisations et avis concernent le fonctionnement «de routine» de la cohorte Gazel. Par ailleurs, tous les projets de recherche spécifiques associés à la cohorte font également, sous l'autorité de leur responsable, l'objet d'un dossier qui est soumis aux instances compétentes, selon la nature et les procédures particulières envoyées (CNIL, Comité d'Ethique, etc.), préalablement à leur mise en oeuvre.
1)Commission Nationale de l'Informatique et des Libertés, 9ème Rapport d'Activité, 1988, Paris, La Documentation Française, pp. 158-159.