Enquête sur la fin de vie en France (2010)

ENQUETE PILOTE
L'enquête pilote (octobre 2008-mars 2009) a concerné les médecins certificateurs d'environ 600 décès survenus en septembre 2008 auprès de quatre directions départementales d'action sanitaire et sociale (DDASS). Elle avait six objectifs :

• évaluation des conditions de la collecte des données à partir des certificats de décès ;
• mise en place de la logistique de l'enquête (courrier de présentation, suivi des retours, relances) ;
• vérification du dispositif informatique permettant d'assurer le suivi de l'enquête et l'anonymisation des réponses ;
• estimation de la proportion de médecins ne répondant pas à une enquête sur internet et mise au point d'une procédure de substitution ;
• estimation de l'utilité et du coût des relances téléphoniques ;
• pertinence, acceptation du questionnaire.
  Le pilote a pu démontrer la faisabilité de l'enquête réelle.

DISPOSITIFS MIS EN PLACE POUR GARANTIR L'ANONYMAT
Un fichier nominatif a été constitué par le SES de l'Ined à partir des informations fournies par CépiDC-Inserm pour sélectionner l'échantillon de la collecte. Il a été ensuite anonymisé (suppression des variables nominatives et constitution de groupes d'âge) et a servi à l'analyse des biais dû à la non-réponse. Il a été détruit après la fin de la collecte.
Dans le fichier nominatif, chaque couple médecin/décès correspondait à un identifiant alphanumérique (login), ainsi qu'un mot de passe. L'identifiant et le mot de passe (ID1) ont été communiqués aux médecins par courrier. Chaque médecin a reçu autant d'identifiants que des décès certifiés. Une fois le questionnaire reçu, le médecin pouvait choisir d'y répondre sur internet ou bien en renvoyant le questionnaire papier joint à l'envoi de la lettre de présentation et de certaines relances.

Questionnaire internet
Un logiciel, conçu par EpiConcept et testé lors de l'enquête pilote, a assuré le respect de l'anonymat de la personne décédée, ainsi que la confidentialité des réponses données par les médecins, lors de la collecte des données. Ceci a été possible grâce à la création de deux serveurs : un serveur qui stockait les questionnaires vierges et un autre serveur qui recevait les réponses aux questionnaires et ceci sans retour possible.
Les questionnaires vierges étaient accessibles sur un site sécurisé ("enquetefindevie2010.org") et stockés sur un serveur (dit "serveur A"), hébergé par la société EpiConcept. Cette société recevait de l'Ined uniquement la liste des login et des mots de passe (ID1), sans connaître donc ni le nom ni l'adresse des médecins, ni les caractéristiques des personnes décédées. Elle tenait un état des connexions pour chacun des identifiants et le communiquait au SES pour que les relances soient effectuées uniquement auprès des médecins n'ayant pas répondu. Le serveur A ne stockait pas les réponses au questionnaire.
Le deuxième serveur (dit "serveur B") était géré par le Service informatique (SI) de l'Ined. Le navigateur du médecin anonymisait les données en créant un nouvel identifiant (ID2) au moyen d'une clé (ou fonction) informatique connue uniquement d'EpiConcept. Le nom du fichier envoyé par le navigateur du médecin était à nouveau transformé (ID3), lors de la réception du fichier sur le serveur B, avec une seconde clé connue seulement du Service des méthodes statistiques de l'Ined (SMS). Ce processus permettait d'anonymiser totalement les réponses sans reconstruction inverse possible. Pour parfaire l'anonymisation, les fichiers étaient tous stockés avec la même date de création. De plus, les traces de log du serveur n'étaient pas activées de sorte que ni les adresses IP des médecins ni leur horaire de connexion n'étaient connus. Lorsqu'un médecin souhaitait compléter ou modifier sa réponse à une question, il pouvait à nouveau demander le chargement de la page vierge.
Le SI de l'Ined, responsable de la mise à disposition des fichiers aux chercheurs, a créé par hachage un nouvel identifiant (ID4) dont la clé n'etait connue que par le SI. Ce nouvel identifiant avait pour objectif de ne pas permettre l'identification éventuelle des médecins retardataires.

Questionnaire papier
On demandait aux médecins souhaitant répondre avec le questionnaire papier, de mettre le questionnaire rempli dans une enveloppe "blanche", vierge de toute indication et ensuite la glisser dans une autre enveloppe (l'enveloppe T) comportant l'identifiant du couple médecin - personne décédée, et d'envoyer le tout au tiers de confiance, le DIM-MRAP. Le tiers de confiance séparait les deux enveloppes. Il communiquait l'identifiant au SES-Ined et détruisait l'enveloppe T. Ainsi le SES-Ined pouvait envoyer les relances aux médecins n'ayant pas encore répondu.
Une fois qu'un certain nombre d'enveloppes blanches a été atteint, suffisant pour qu'il soit impossible de mettre en relation un identifiant et le questionnaire correspondant, le tiers de confiance a ouvert les enveloppes contenant les questionnaires. Il a vérifié qu'il n'y avait aucun signe distinctif sur les questionnaires (tampon du médecin par exemple), effacé le cas échéant. Il a également assuré leur saisie et puis destruction à la fin de la collecte.
Le tiers de confiance a attribué un nouvel identifiant à chaque questionnaire (ID1bis) et fait la saisie du questionnaire via le même logiciel Internet que celui utilisé par les médecins qui répondaient par Internet. De ce fait, elle a bénéficié des mêmes protocoles de sécurité que le questionnaire électronique (via un système de hachage des identifiants).