AgentPublic/cnil huggingface dataset:
Les données relatives aux personnes se prêtant à des recherches proviennent des intéressés eux-mêmes et des investigateurs. A cet égard, le responsable du traitement doit vérifier auprès d'eux l'absence d'inclusion simultanée dans plusieurs recherches, s'assurer des périodes d'exclusion et vérifier le montant annuel des indemnités, le cas échéant.
1.2.3. Nature des données
Les organismes de recherche s'engagent à ne collecter que les données strictement nécessaires et pertinentes au regard des finalités des recherches définies à l'article 1er.Les données traitées relatives aux personnes se prêtant à la recherche biomédicale peuvent relever exclusivement des catégories suivantes :- identité : numéro et/ou code alphanumérique (1), à l'exclusion du nom complet et du numéro de sécurité sociale ;- santé : thérapie suivie dans le cadre de la recherche et concomitante, résultats d'examens, événements indésirables, antécédents personnels ou familiaux, maladies ou événements associés ;- informations signalétiques : âge ou date de naissance, lieu de naissance, sexe, poids, taille ;- date d'inclusion dans la recherche ;- origine ethnique (dans les seuls cas où elle est justifiée par la finalité de la recherche) ;- variations génétiques incluant les polymorphismes génétiques et/ou variations de l'expression des gènes, en relation à la réponse à un médicament ou à un produit (dans le cadre de la recherche pharmaco-génétique) ou avec la thérapeutique, dans les seuls cas où la collecte de ces données est nécessaire au regard de la finalité de la recherche ;- situation familiale :- célibataire, vie maritale, veuf(veuve), divorcé(e) ;- foyer : seul, couple (avec ou sans enfants, nombre d'enfants et nombre d'enfants vivant au foyer), vivant avec d'autres personnes ;- nombre de personnes à charge ;- niveau de formation (primaire, secondaire, supérieur) ;-
catégorie socioprofessionnelle (catégories INSEE) ;- situation économique et financière : mode de protection sociale, existence d'une assurance complémentaire (mutuelle, assurance privée) ;- affiliation à un régime de la sécurité sociale à l'exclusion du numéro de sécurité sociale ;- montant des indemnités perçues ;- participation à d'autres recherches ;- vie professionnelle : profession actuelle, historique, chômage, trajets et déplacements professionnels ;- déplacement (vers le lieu de soin : mode, durée, distance) ;- consommation de tabac, alcool, drogues ;- habitudes de vie et comportements :- dépendance (seul, en institution, autonome, grabataire) ;- assistance (aide ménagère, familiale) ;- exercice physique (intensité, fréquence, durée) ;- régime et comportement alimentaire ;- mode de vie : urbain, semi-urbain, nomade, sédentaire ; habitat (maison particulière ou immeuble, étage, ascenseur) ;- vie sexuelle (dans les seuls cas où elle est justifiée par la finalité de la recherche) ;- échelle de qualité de vie validée.(1) Une précision : le code alphanumérique peut correspondre aux trois premières lettres du nom. Il est toutefois recommandé de se limiter aux seules initiales, c'est-à-dire à la première lettre du nom et à la première lettre du prénom dès lors qu'un numéro est également attribué à l'inclusion de la personne.
1.3. Analyse des données1.3.1. Méthode d'analyse
La méthode d'analyse des données doit répondre précisément aux objectifs de la recherche.
1.3.2. Description générale des traitements
Les fonctions assurées par les traitements réalisés dans le cadre des recherches biomédicales sont les suivantes :
a) Informatisation des données relatives aux personnesse prêtant à des recherches biomédicales
Saisie des cahiers d'observation  papier  remplis par les investigateurs.Saisie par l'investigateur des cahiers d'observation au moyen d'un outil de recueil électronique accessible sur un site internet, intranet ou un extranet à la stricte condition que l'accès à ce site soit sécurisé.Les résultats des mesures et les données rassemblées tout au long d'une recherche biomédicale sont consignés par les investigateurs dans les cahiers d'observation.Lors de la saisie, chaque cahier d'observation est identifié par un numéro ou un code alphanumérique.L'ensemble des informations contenues dans ces cahiers est saisi soit au fur et à mesure de l'avancement de la recherche, soit globalement lorsque, pour un patient donné, la recherche est terminée.Cette saisie est effectuée sous la responsabilité du promoteur, soit dans ses locaux et par son personnel, soit dans une structure chargée de la saisie, pour le compte du promoteur.Elle peut également être réalisée par les investigateurs, les laboratoires d'analyses biologiques ou les autres intervenants au sens de l'article L. 1121-10 du code de la santé publique et peut résulter en particulier d'enregistrements automatiques de paramètres d'examens complémentaires.
b) Contrôle de validité et de cohérence
Avant l'analyse statistique, les données doivent répondre à des critères de qualité et les contrôles de validité et de cohérence doivent permettre de s'en assurer.
c) Analyse statistique
L'ensemble des données saisies et contrôlées fait l'objet de traitements statistiques et donne lieu à l'édition de résultats.1.4. Catégories de personnes appelées à mettre en oeuvre le traitement de données personnelles et catégories de personnes ayant accès aux données enregistrées dans le traitementLes données doivent être reçues par le  responsable de la recherche  désigné à cet effet par la personne physique ou morale autorisée à mettre en oeuvre le traitement. Ce responsable veille à l'intégrité des informations et au respect de leur confidentialité dans le cadre de la finalité de la recherche.Le responsable de la recherche est une personne nommément désignée par le promoteur, responsable du traitement de données personnelles au sens de l'article 3 de la loi du 6 janvier 1978 modifiée.Sous la responsabilité du  responsable de la recherche  désigné par chaque organisme, les catégories de personnes suivantes sont appelées à mettre en oeuvre le traitement ou à avoir accès aux données :
1.4.1. Catégories de personnes mettant en oeuvre le traitement
Les personnes assurant la coordination et le suivi des recherches.Les intervenants visés par l'article L. 1121-10 du code de la santé publique, c'est-à-dire les promoteurs.Les personnes assurant la saisie et la gestion des données ainsi que le traitement statistique.Ces catégories de personnes peuvent relever de l'organisme demandeur, de sociétés du même groupe, de partenaires contractuels (dans le cadre de partenariats de recherche ou d'accords de licence), des centres investigateurs ou de structures agissant pour le compte du promoteur.
1.4.2. Catégories de personnes ayant accès au traitement
Les personnes, au sein des organismes de recherche, responsables de l'assurance de qualité, c'est-à-dire chargées de contrôler et d'évaluer la qualité et l'authenticité des données contenues dans les études réalisées, et notamment par la comparaison des données enregistrées avec le contenu des documents sources.Ces personnes veillent également au respect des dispositions relatives à l'intégrité et à la protection des personnes.Les personnes chargées des affaires réglementaires et de l'enregistrement auprès des autorités compétentes des médicaments, dispositifs et produits visés par le premier paragraphe de l'article 1er de la présente méthodologie.Ces catégories de personnes peuvent relever de l'organisme demandeur, des sociétés du même groupe, de partenaires contractuels (dans le cadre de partenariats de recherche ou d'accords de licence), de centres investigateurs ou de structures agissant pour le compte du promoteur.Les inspecteurs d'autorités sanitaires et d'autorités publiques de contrôle légalement habilités, dans le cadre d'une mission particulière ou de l'exercice d'un droit de communication.
1.5. Personnes ou service auprès desquelles ou duquel s'exercele droit d'accès et mesures relatives à l'exercice de ce droit1.5.1. Information
En application des dispositions des articles L. 1122-1 et suivants du code de la santé publique, les personnes doivent recevoir de l'investigateur une information préalable et écrite sur la recherche biomédicale, leur permettant de donner un consentement éclairé et libre.Il est possible de réaliser l'information concernant les traitements de données personnelles par l'intermédiaire de la note remise aux personnes en application de l'article L. 1122-1 du code de la santé publique dans sa rédaction issue de la loi du 9 août 2004.Dans ce cas, la note doit être complétée par les informations devant leur être communiquées en application de l'article 57 de la loi du 6 janvier 1978, c'est-à-dire :- la nature des données transmises ;- la finalité du traitement des données ;- les personnes physiques ou morales destinataires des données ;- l'existence du droit d'accès de rectification et d'opposition.La formule suivante doit donc être insérée dans les notes d'information : Dans le cadre de la recherche biomédicale à laquelle [nom du promoteur] vous propose de participer, un traitement de vos données personnelles va être mis en oeuvre pour permettre d'analyser les résultats de la recherche au regard de l'objectif de cette dernière qui vous a été présenté.A cette fin, les données médicales vous concernant et les données relatives à vos habitudes de vie ainsi que, dans la mesure ou ces données sont nécessaires à la recherche, vos origines ethniques ou des données relatives à votre vie
sexuelle seront transmises au promoteur de la recherche ou aux personnes ou sociétés agissant pour son compte, en France ou à l'étranger. Ces données seront identifiées par un numéro de code et/ou vos initiales ou les trois premières lettres de votre nom [à préciser selon les cas]. Ces données pourront également, dans des conditions assurant leur confidentialité, être transmises aux autorités de santé françaises ou étrangères, à d'autres entités de [nom du promoteur]. Conformément aux dispositions de la loi relative à l'informatique aux fichiers et aux libertés, vous disposez d'un droit d'accès et de rectification. Vous disposez également d'un droit d'opposition à la transmission des données couvertes par le secret professionnel susceptibles d'être utilisées dans le cadre de cette recherche et d'être traitées.Vous pouvez également accéder directement ou par l'intermédiaire d'un médecin de votre choix à l'ensemble de vos données médicales en application des dispositions de l'article L. 1111-7 du code de la santé publique.Ces droits s'exercent auprès du médecin qui vous suit dans le cadre de la recherche et qui connaît votre identité. Dans l'hypothèse de recueil d'informations par questionnaire remis au patient au cours de la recherche biomédicale, la même formule d'information doit être mentionnée sur ce questionnaire.Dans le cas d'inscription au fichier national des personnes qui se prêtent à une recherche biomédicale, la formule suivante peut être insérée dans la note
d'information : Nous vous informons que vous serez inscrit dans le fichier national des personnes qui se prêtent à des recherches biomédicales prévu à l'article L. 1121-16 du code de la santé publique. Vous avez la possibilité de vérifier auprès du ministre chargé de la santé l'exactitude des données vous concernant présentes dans ce fichier et la destruction de ces données au terme du délai prévu par le code de la santé publique.
1.5.2. Le recueil du consentement
Outre le consentement libre et éclairé exigé par les dispositions de l'article L. 1122-1-1 du code de la santé publique, un consentement particulier est requis dès lors que la recherche nécessite le recueil et le traitement de données génétiques conformément au deuxième alinéa de l'article 56 de la loi du 6 janvier 1978 modifiée (prélèvement biologique identifiant).Vous devez utiliser la formule de consentement suivante : J'accepte que les données enregistrées à l'occasion de cette recherche comportant des données génétiques puissent faire l'objet d'un traitement informatisé par le promoteur ou pour son compte. J'ai bien noté que le droit d'accès prévu par la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (art. 39) s'exerce à tout moment auprès du médecin qui me suit dans le cadre de la recherche et qui connaît mon identité. Je pourrai exercer mon droit de rectification et d'opposition auprès de ce même médecin, qui contactera le promoteur de la recherche. 
1.5.3. Personnes auprès desquelles s'exerce le droit d'accès
Le droit d'accès peut être exercé à tout moment soit directement auprès de l'investigateur, soit auprès de l'investigateur par l'intermédiaire d'un médecin désigné à cet effet par l'intéressé.Le droit de rectification prévu par l'article 40 de la loi du 6 janvier 1978 vise la correction de données inexactes, incomplètes ou équivoques au moment de leur collecte. La rectification de ces données pourra être effectuée à tout moment pendant la durée de la recherche chez l'investigateur.L'organisme de recherche auquel sont transmises de telles demandes s'engage à y donner suite dans un délai de deux mois maximum.
1.6. Durée de conservation
Les données personnelles ne peuvent être conservées sur les systèmes d'information de l'organisme de recherche que jusqu'à obtention de la première autorisation de mise sur le marché ou jusqu'au rapport final de la recherche ou jusqu'à la publication des résultats de la recherche.Elles font ensuite l'objet d'un archivage sur support papier ou informatique. Les personnes énumérées à l'article 1.4 peuvent en tant que de besoin accéder à ces données afin d'effectuer des analyses complémentaires ou dans le cadre de nouvelles demandes d'enregistrement ou d'extension des autorisations de mise sur le marché auprès des autorités compétentes des médicaments, dispositifs et produits visés par le paragraphe 1 de l'article 1er.
1.7. Sécurité des traitements
La mise en oeuvre de traitements automatisés de données personnelles intervenant dans le cadre de la recherche clinique s'effectue chez le promoteur et/ou chez des tiers agissant pour son compte, selon des modalités garantissant la confidentialité et l'intégrité des données. Ces modalités sont les suivantes :- l'établissement d'une politique de confidentialité, de protection et de sécurisation des données, avec la mise en place de formations par rapport aux thèmes ci-dessus et un système de documentation qui trace ces formations ;- des locaux dédiés à l'informatique et un personnel spécialement affecté à sa maintenance ;- des moyens informatiques sécurisés physiquement par l'installation d'alarmes, digicode, gardiennage et logiquement par la sécurisation des accès aux bases de données avec au minimum un mot de passe individualisé par utilisateur ;- un administrateur informatique pour gérer les mots de passe ;- un mot de passe doit avoir une longueur minimale et être réactualisé régulièrement, les derniers mots de passe ne doivent pas être réutilisés, et l'accès doit être verrouillé en cas de frappes successives incorrectes, le poste informatique doit se verrouiller automatiquement au bout de quelques minutes d'inactivité, l'accès au réseau informatique du prestataire ne doit pas être accessible à quelqu'un de l'extérieur (firewalls) ;- une journalisation des connexions ;Un audit peut être effectué pour tout projet commencé avec un nouveau prestataire. Le plan de l'audit
couvre notamment la vérification du plan qualité de l'entreprise, la validation des systèmes informatiques avec l'existence d'un système de sauvegarde et de récupération des données.Le traitement automatisé une fois achevé, les données sont récupérées au format défini par le service en charge du traitement des données cliniques et sont stockées temporairement - le temps de préparer notamment l'archivage - sur un répertoire dont l'accès est restreint aux personnes dûment habilitées. L'accès à ce répertoire n'est possible que par un mot de passe.
1.8. Transfert des données à l'étranger
Seules des données anonymes ou codées selon les modalités définies à l'article 1.2.3 peuvent être transmises au sein de l'Union européenne ou hors de l'Union européenne.
2. Seconde partie
Les traitements de données des investigateurs et autres professionnels intervenant dans la mise en oeuvre de la recherche biomédicale
2.1. Finalité des traitements
Les traitements de données doivent avoir pour seules finalités la mise en place et le déroulement de la recherche auprès des différents professionnels intervenant dans la recherche.
2.2. Origine et nature des données2.2.1. Nécessité du recours à des données personnelles
Le suivi des intervenants ne peut s'opérer qu'au moyen de données personnelles comportant l'identité complète des personnes.
2.2.2. Origine des données
Les données relatives aux intervenants proviennent des intéressés eux-mêmes et des autres intervenants, ou de listes publiques.
2.2.3. Nature des données
Les organismes de recherches s'engagent à ne collecter que les données strictement nécessaires et pertinentes au regard des finalités des recherches définies à l'article 2.2.1.Les données traitées relatives aux intervenants dans les recherches biomédicales doivent relever exclusivement des catégories suivantes :- identité : nom, prénom, sexe, adresse, adresse électronique, téléphone ;- formation - diplôme ;- montant des indemnités et rémunérations perçues ;- participation à d'autres recherches ;- vie professionnelle : cursus professionnel.
2.3. Analyse des données
Les données peuvent alimenter d'autres traitements de données personnelles mis en oeuvre par le déclarant et relatifs à la gestion des ressources humaines et de la formation.2.4. Catégories de personnes appelées à mettre en oeuvre le traitement de données personnelles et catégories de personnes ayant accès aux données enregistrées dans le traitementLes données doivent être reçues par le  responsable de la recherche  désigné à cet effet par la personne physique ou morale autorisée à mettre en oeuvre le traitement de données personnelles. Ce responsable veille à l'intégrité des informations et au respect de leur confidentialité dans le cadre de la finalité de la recherche.Le responsable de la recherche est une personne nommément désignée par le promoteur, responsable du traitement de données personnelles au sens de l'article 3 de la loi du 6 janvier 1978.Sous la responsabilité du  responsable de la recherche  désigné par chaque organisme, les catégories de personnes suivantes sont appelées à mettre en oeuvre le traitement ou à avoir accès aux données :
2.4.1. Catégories de personnes mettant en oeuvre le traitement
- les personnes assurant la coordination et le suivi des recherches ;- les intervenants visés par l'article L. 1121-10 du code de la santé publique ;- les personnes assurant la saisie et la gestion des données ainsi que le traitement statistique ;- les personnes exerçant dans les services comptables ;- les personnes exerçant dans les services administratifs dûment habilités dans le cadre de l'exercice de leur mission.Ces catégories de personnes peuvent relever de l'organisme demandeur, de sociétés du même groupe, de partenaires contractuels (dans le cadre de partenariats de recherche, ou d'accords de licence), des centres investigateurs ou de structures agissant pour le compte du promoteur.
2.4.2. Catégories de personnes ayant accès au traitement
Les personnes, au sein des organismes de recherche, responsables de l'assurance de qualité, c'est-à-dire chargées de contrôler et d'évaluer la qualité et l'authenticité des données contenues dans les études réalisées, et notamment par la comparaison des données enregistrées avec le contenu des documents sources.Les inspecteurs d'autorités sanitaires et d'autorités publiques de contrôle légalement habilités, dans le cadre d'une mission particulière ou de l'exercice d'un droit de communication..Les personnes chargées des affaires réglementaires et de l'enregistrement auprès des autorités compétentes des médicaments, dispositifs et produits visés par le premier paragraphe de l'article 1er de la présente méthodologie.Ces catégories de personnes peuvent relever de l'organisme demandeur, des sociétés du même groupe, de partenaires contractuels (dans le cadre de partenariat de recherche ou d'accords de licence), de centres investigateurs ou de structures agissant pour le compte du promoteur.2.5. Personnes ou service auprès desquelles ou duquel s'exercent le droit d'accès et les mesures relatives à l'exercice de ce droit
2.5.1. Information
L'information des personnes se fait par une mention figurant sur des documents remis ou sur les conventions signées par les intervenants.Conformément à l'article 32-I de la loi du 6 janvier 1978, l'information doit préciser :- l'identité du responsable du traitement ;- la finalité du traitement des données ;- les personnes physiques ou morales destinataires des données ;- l'existence du droit d'accès, de rectification et d'opposition ;- les transferts éventuels hors de l'Union européenne.
2.5.2. Personnes auprès desquelles s'exerce le droit d'accès
Le droit d'accès peut être exercé à tout moment auprès du promoteur.
2.6. Durée de conservation
Les données ne peuvent être conservées au-delà d'un délai de cinq ans après la fin de la dernière recherche à laquelle a participé la personne.Elles font ensuite l'objet d'un archivage sur support papier ou informatique. Les personnes énumérées à l'article 2.4 peuvent en tant que de besoin accéder à ces données afin d'effectuer des analyses complémentaires ou dans le cadre de nouvelles demandes d'enregistrement auprès des autorités compétentes des médicaments, dispositifs et produits visés par le paragraphe 1 de l'article 1er ou pour solliciter la personne pour participer à de nouveaux travaux de recherche.
2.7. Transfert des donnéesvers un pays hors de l'Union européenne
Tout transfert de données à caractère personnel vers une personne morale établie dans un pays non membre de l'Union européenne n'accordant pas une protection suffisante au sens de l'article 68 de la loi du 6 janvier 1978 modifiée doit s'opérer conformément aux dispositions spécifiques de la loi du 6 janvier 1978 modifiée relatives aux transferts internationaux de données, et notamment son article 69, alinéa 8.Il est satisfait à ces dispositions lorsque la personne morale au sein de laquelle travaille le destinataire des données a adhéré au Safe Harbor.Il est également satisfait à ces dispositions lorsque le destinataire a conclu un contrat de transfert basé sur les clauses contractuelles types émises par la Commission européenne dans ses décisions du 15 juin 2001 ou du 27 décembre 2004, ou lorsque le groupe auquel appartiennent les entités concernées a adopté des règles internes dont la CNIL a préalablement reconnu qu'elles garantissent un niveau de protection suffisant de la vie privée et des droits fondamentaux des personnes. S'il est satisfait à ces conditions, et si le traitement dont le transfert est issu est par ailleurs conforme à l'ensemble des autres dispositions de la présente méthodologie, l'engagement de conformité à la présente méthodologie porte également autorisation du transfert envisagé en application de l'article 69, alinéa 8, de la loi du 6 janvier 1978 modifiée.
3. Formalités
Les traitements mis en oeuvre dans le cadre des recherches biomédicales conformes aux présentes dispositions font uniquement l'objet d'un engagement de conformité adressé, selon le modèle joint en annexe à la présente méthodologie, à la Commission nationale de l'informatique et des libertés.
Le président,
A. Türk