Intervention de Marie-Laure Denis

Je suis très honorée de pouvoir m'exprimer devant votre commission spéciale, dans le cadre de la préparation de la révision de la loi de bioéthique. Je vous remercie de donner à la CNIL l'occasion de venir présenter les points de vigilance qu'elle a exprimés dans son avis rendu par son collège, le 11 juillet dernier. Nos réflexions se sont nourries de différents travaux, notamment ceux du Comité consultatif national d'éthique. Je tiens également à souligner ici l'investissement du collège de la CNIL et celui de notre rapporteur, Mme Valérie Peugeot, avec l'éclairage des services de la CNIL. Nous nous sommes prononcés dans des délais extrêmement contraints, comme l'a également regretté le Conseil d'État.

Je commencerai par quelques remarques de contexte sur l'action de la CNIL dans le domaine de la bioéthique. C'est la deuxième fois que le collège de la CNIL est appelé à se prononcer formellement sur un projet de loi de bioéthique, mais elle n'avait plus eu l'occasion de le faire depuis les toutes premières lois de 1994. L'avis de la CNIL marque une nouvelle dimension dans ces débats situés aux confins du rapport entre l'identité humaine, le numérique et les nouvelles technologies. De manière plus générale, la CNIL intervient depuis longtemps sur des sujets d'ordre bioéthique, depuis la loi sur la République numérique et aussi, en octobre 2016, au titre de la mission qui lui a été confiée de conduire une réflexion sur les problèmes éthiques et les questions de société soulevées par l'évolution des technologies numériques.

J'illustrerai mon propos par trois enjeux d'ordre bioéthique, dans la mesure où ils trouvent un écho dans ce projet de loi. Premièrement, les possibilités d'exploitation des données génétiques sont en plein essor. Nous regardons de près cette évolution, car ce sont des données très sensibles, pluripersonnelles, à fort potentiel prédictif et indélébiles. Jusqu'à présent, leur exploitation était très bornée et bénéficiait d'un cadre juridique protecteur. Aujourd'hui, en raison des évolutions technologiques (potentiels de calcul, possibilités de conservation sans altération), leur usage est bien plus aisé, comme en témoignent les nombreux projets de recherche en santé reposant sur la constitution de grandes bases de données génétiques, ainsi que d'autres usages qui se développent, comme les tests dits « récréatifs » accessibles sur Internet.

La deuxième évolution est la montée du recours à l'intelligence artificielle en santé. L'intelligence artificielle soulève en tant que telle des enjeux considérables, a fortiori appliqués au domaine de la santé. La CNIL a rendu public en 2017 un rapport intitulé Comment permettre à l'homme de garder la main ? ; appliqué au domaine de la santé, il s'agit de garder la main sur notre intimité. Ce rapport a mis en évidence deux principes fondateurs. Le premier est un principe de loyauté, selon lequel un algorithme ne doit pas entrer en opposition avec les intérêts des utilisateurs et des citoyens et doit offrir une certaine transparence. Le second principe cardinal est l'obligation de vigilance, qui entend permettre l'organisation d'une forme de questionnement régulier, méthodique et délibératif à l'égard des algorithmes.

Enfin, le dernier exemple d'enjeu bioéthique est la massification des données de santé et les potentialités de la recherche sur ces données. Les données de santé traitées dans le cadre des projets de recherche proviennent de différentes sources : les dossiers patients, les entrepôts de données, etc. Ces données peuvent également provenir d'échantillons biologiques et en cela, les collections d'échantillons représentent des sources de données presque illimitées, dans la mesure où les techniques de conservation et d'analyse sont en constante évolution et se perfectionnent. C'est un formidable potentiel, mais il soulève de multiples questions « informatique et libertés », que nous abordons à la CNIL avec la constante préoccupation de faire émerger des pratiques éthiquement responsables, tout en favorisant l'innovation et en garantissant la qualité de la recherche en France. Pour vous donner une indication, dans le domaine de la santé, la CNIL a délivré 360 autorisations de recherche. C'est à peu près une par jour, avec des dossiers de plus en plus complexes.

Sur le projet de loi, Madame la vice-présidente, vous avez précisé le champ de notre saisine, à la suite d'une consultation qui était obligatoire. La CNIL n'a pas eu à se prononcer sur ce qui n'était pas dans son champ de compétences, notamment sur les dispositions relatives à l'ouverture de l'assistance médicale à la procréation. Notre intervention a été centrée sur la vérification des conditions de la bonne application du cadre juridique « informatique et liberté » et a porté sur les articles que vous avez cités.

L'article 3 sur l'accès à leurs origines des enfants nés de l'assistance médicale à la procréation (AMP) est un article très important du projet de loi qui concilie le principe d'anonymat du don et un droit nouveau et très large de l'enfant d'accéder à des données non nominatives sur le donneur, dites « données non identifiantes », ainsi qu'à son identité. Dans son avis, la CNIL n'a pas arrêté de préférence entre les deux versions du texte qui lui avaient été initialement soumises. En revanche, elle a mis en valeur des points de vigilance. Premièrement, il faut être très clair sur les termes employés, parce que derrière eux se joue le degré d'exposition réelle de la vie privée des donneurs. Le projet de loi utilise la notion de données non identifiantes, pour décrire une série d'informations accessibles, selon les cas, par le médecin ou par l'enfant. Ces termes sont ambigus. Ils laissent entendre qu'il s'agira toujours de données anonymes, c'est-à-dire de données qui ne se rattachent pas ou plus, de manière irréversible, à une personne physique. Or, à ce stade et dans l'attente des textes d'application, nous ne pouvons exclure que selon leur granularité et leurs possibilités de recoupement, certaines de ces données permettent de remonter à une personne physique identifiable. Nous ne pouvons donc exclure qu'elles ne restent pas des données non identifiantes, fût-ce indirectement. C'est un point de vocabulaire, mais c'est également une question de fond qui doit, selon nous, être clarifiée. L'enfant peut vouloir accéder aux données dites non identifiantes, mais qui sont en réalité potentiellement identifiantes, mais pas à l'identité du donneur. Ce choix doit être préservé.

Le deuxième enjeu de l'article 3 est l'information des personnes, notamment du donneur, sur les conséquences de son choix de faire un don. La transparence et la loyauté sont des principes généraux de la loi Informatique et Libertés et du Règlement général sur la protection des données (RGPD). Les personnes doivent être informées des traitements qui seront faits de leurs données de manière intelligible, accessible, claire et non ambiguë. Appliqués à ce contexte et compte tenu de la portée des traitements qui seront mis en œuvre, ces principes prennent une coloration particulière. L'information devra être particulièrement approfondie et mise à la portée des donneurs. Ceux-ci devront être conscients non seulement du couplage entre don et consentement à la transmission des données, mais aussi du fait qu'ils ne pourront pas s'y opposer. En l'état du texte, ils ne pourront pas s'opposer à ce que leurs données soient transmises par la suite. Cette pédagogie particulière est le corollaire de la portée du choix politique qui est fait.

Le dernier enjeu que je souhaiterais souligner sur l'article 3 est celui des futurs textes d'application qui détermineront le calibrage fin du dispositif et la portée réelle des risques pour la vie privée des personnes. Il est essentiel que la CNIL soit consultée sur le futur décret en Conseil d'État.

L'article 11 est quant à lui emblématique des enjeux inédits que dessinent les nouveaux usages des technologies, en particulier les traitements algorithmiques appliqués aux données de santé. Par ces objectifs généraux, cet article rejoint d'ailleurs les préoccupations soulevées par la CNIL dans son rapport de décembre 2017, que j'ai déjà évoqué. Cependant, il nous semble que les dispositions du projet de loi restent au milieu du gué, si je peux me permettre. Je ferai d'abord une remarque liminaire sur la structure de l'article, qui soulève d'importantes difficultés de compréhension. Il est certes question de traitements algorithmiques de données massives, mais à quel stade ? Parle-t-on du stade amont, de la mise au point des algorithmes dans une phase expérimentale ? Autrement dit, ce sont les données utilisées pour effectuer l'apprentissage et le paramétrage de l'algorithme. Parle-t-on, en aval, du stade de leur utilisation au bénéfice d'un patient en particulier ? Nous comprenons que le premier alinéa de l'article 11 vise la phase d'utilisation, mais la lecture du second alinéa est plus incertaine. Cette incertitude doit être levée clairement, parce qu'elle conditionne le sens même de ces dispositions, ainsi que le rôle donné aux médecins.

Cette observation liminaire étant faite, je soulignerai rapidement trois enjeux. Premièrement, le premier alinéa dispose que le recours à un traitement algorithmique de données massives doit être porté à la connaissance de la personne. C'est une contribution importante au principe de loyauté et d'information des personnes, mais le projet de loi ne précise pas la temporalité de cette information. Avant l'usage ou après, au stade de la communication des résultats aux patients ? En toute logique, le principe de transparence devrait conduire à une information préalable. Cela rejoint l'esprit du code de la santé publique prévoyant que les décisions concernant la santé d'un patient sont prises par celui-ci, en ayant en main toutes les informations utiles.

Le deuxième enjeu en matière d'information des personnes se situe au moment de la communication des résultats. Il nous paraît souhaitable de bien distinguer deux niveaux d'information à délivrer aux patients. Il y a d'une part les informations à donner sur le résultat brut du traitement algorithmique, autrement dit ce que donne la machine et d'autre part, il y a les conclusions qu'en tire le professionnel de santé, à savoir son appréciation personnelle sur le résultat. Cette distinction est utile, notamment dans l'optique de préserver l'espace de la décision médicale, dont l'objectif souligné par la CNIL dans son rapport de 2017 de « garder la main », lorsque l'on a recours à des traitements algorithmiques.

Le troisième enjeu – qui dépasse le cadre du présent article – est celui de l'évaluation de la qualité et de l'efficacité des traitements algorithmiques. Certains peuvent être regardés comme des dispositifs médicaux. Je ne détaille pas, mais ils sont alors mis sur le marché et utilisés dans le cadre d'une législation spécifique. Il n'est pas évident que tous les traitements visés par cet article seront des dispositifs médicaux. Pour ceux qui ne seraient pas susceptibles de recevoir cette qualification, une réflexion devrait être conduite à la lumière des principes éthiques rappelés précédemment sur leur statut et l'existence d'une évaluation scientifique encadrée.

J'en viens à l'article 18 sur les échantillons biologiques et les données génétiques qui sont d'une particulière sensibilité. Ils nécessitent un régime de protection renforcée, car ces échantillons sont des sources de données intarissables, dans un contexte de multiplication des bases de données et de banalisation de l'analyse génétique. Nous sentons bien que, dans ce contexte, le terrain est encore plus propice au risque de réidentification. C'est pourquoi il est là aussi essentiel que la CNIL soit saisie pour avis du décret d'application qui définira les modalités d'information et d'opposition des personnes concernées.

De mon point de vue, il y a deux enjeux de fond en termes « informatique et libertés ». Le premier est l'information des personnes sur l'utilisation de leurs données à des fins de recherche. Le principe dans nos textes est l'information individuelle des personnes. Or, nous constatons que souvent, l'information individuelle n'est pas effective. D'ailleurs, les textes eux-mêmes consacrent des dérogations à ce principe. Dans le projet de loi, cette tendance s'observe également, puisqu'il envisage que les personnes soient informées des programmes de recherche – j'insiste sur le mot « programmes » – qui englobent par principe plusieurs projets de recherche, et non de chaque projet. Dans ce contexte, pour concilier les principes « informatique et libertés » et les enjeux opérationnels, nous recommandons que soient trouvées des solutions adaptées, par exemple en ayant recours à des dispositifs innovants, que nous pourrons détailler le cas échéant. Ce serait par exemple l'information individuelle initiale qui renvoie à un site internet, etc.

S'agissant des droits individuels, après l'information des personnes, le second enjeu est le droit d'opposition. Il est capital d'aménager la possibilité pour la personne d'exprimer son opposition, non seulement à la réalisation de l'examen, comme le précise le projet de loi, mais également à l'utilisation des données obtenues à la suite de l'analyse. Ainsi, il ne doit y avoir aucune ambiguïté à la lecture de l'alinéa 3 de l'article 18. Celui-ci ne saurait tenir en échec le droit d'opposition au traitement des données personnelles, même après la réalisation de l'examen. Ce droit d'opposition, les personnes le tirent directement du RGPD. Il est indispensable que l'exercice de ce droit soit aménagé, en portant clairement à la connaissance des personnes les conditions dans lesquelles il pourra être exercé.

Enfin, la CNIL ne s'est pas prononcée sur un éventuel encadrement des tests génétiques récréatifs et pour cause, puisque le projet de loi ne prévoit pas de disposition en ce sens, comme l'a d'ailleurs rappelé devant vous le président du Comité consultatif national d'éthique. Nous sommes préoccupés par le décalage entre l'interdiction juridique de commercialiser en France des tests ADN grand public et dans la pratique, un recours croissant à ces tests par des dizaines de milliers de Français qui confient leurs données génétiques à des sociétés privées, essentiellement basées hors de l'Union européenne. Ces données génétiques sont les leurs, mais par ricochet, c'est également une partie de celles des membres de leur famille, ascendants ou descendants. En matière de protection de la vie privée, cela pose de nombreuses questions pratiques quant à l'exercice des droits des personnes concernées, mais également des questions éthiques quant à l'exploitation de ces données par des industriels, ainsi que leur conservation et leur sécurité, d'autant que ces données sont particulièrement identifiantes, puisque par nature, elles ne sont pas totalement anonymisées. Le choix appartient au législateur : soit, à droit constant, rappeler vigoureusement les interdictions prévues par la loi et peut-être les accompagner d'une campagne d'information ayant pour objectif d'expliquer clairement au public les risques encourus en recourant à de tels procédés en termes de protection de la vie privée ; soit modifier les textes applicables afin de créer un cadre protecteur dans lequel ces tests pourraient être effectués.

En conclusion, je rappelle que la CNIL a pour ambition de sensibiliser davantage la société à l'enjeu de la protection des données personnelles, de contribuer à faire des citoyens des utilisateurs éclairés et critiques des technologies, sans pour autant nier leur intérêt, de contribuer à nourrir la réflexion des pouvoirs publics dans un contexte d'innovation permanente. L'année dernière nous avons rendu plus de 120 avis sur des projets de textes et avons participé à plus d'une trentaine d'auditions parlementaires. Cette ligne de conduite me paraît particulièrement nécessaire dans le domaine de la bioéthique, car la protection des données personnelles est le moyen d'assurer la défense d'un modèle de développement humaniste, français et européen qui soit garant des droits et des libertés des personnes.