AgentPublic/cnil huggingface dataset:
Lorsque les données à caractère personnel sont recueillies oralement, le professionnel intervenant dans la recherche remet ou fait préalablement parvenir aux personnes concernées par la recherche et/ou leurs représentants légaux un document contenant ces informations.
	S'agissant du cas particulier des recherches impliquant la personne humaine mentionnées au 2° de l'article L. 1121-1 du CSP et réalisées selon les conditions prévues à l' article L. 1122-1-4 du CSP, l'information des personnes concernées peut être collective et les personnes concernées peuvent exercer leur droit d'opposition, conformément au paragraphe ci-dessous. Les modalités et le contenu de l'information sont évalués par le comité de protection des personnes.
	2.5.2. Modalités d'exercice des droits des personnes se prêtant à la recherche
	Le droit d'accès, prévu par l'article 15 du RGPD peut être exercé à tout moment auprès du professionnel intervenant dans la recherche, directement ou par l'intermédiaire d'un professionnel désigné à cet effet par la personne concernée.
	Conformément aux dispositions de l'article 16 du RGPD, la personne concernée a le droit d'obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes et le droit d'obtenir que les données à caractère personnel incomplètes soient complétées, y compris en fournissant une déclaration complémentaire.
La personne qui entend s'opposer au traitement des données à caractère personnel la concernant à des fins de recherche dans le domaine de la santé peut exprimer, à tout moment et sans avoir à justifier sa décision, son opposition par tout moyen auprès soit du responsable de la recherche ou de l'établissement ou auprès du professionnel détenteur de ces données, conformément à la loi informatique et libertés .
	Le droit à l'effacement prévu par l'article 17 du RGPD s'applique lorsque la personne concernée exerce son droit d'opposition et demande l'effacement des données la concernant déjà collectées. Sous réserve d'une information préalable appropriée par le responsable de traitement, certaines données préalablement collectées peuvent cependant ne pas être effacées, si cette suppression est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs de la recherche.
	Le droit à la limitation du traitement prévu par l'article 18 du RGPD s'exerce conformément aux dispositions de cet article.
	Conformément à l'article 12 du RGPD, le responsable de traitement s'engage à mettre en œuvre des procédures permettant qu'il soit donné suite à ces demandes dans un délai maximal d'un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Cette prolongation est portée à la connaissance de la personne dans un délai d'un mois à compter de la réception de la demande.
2.6. Durée de conservation
	Les données à caractère personnel relatives aux personnes se prêtant à une recherche, et traitées à cette fin, ne peuvent être conservées dans les systèmes d'information du responsable de traitement, du centre investigateur ou du professionnel intervenant dans la recherche que jusqu'à deux ans après la dernière publication des résultats de la recherche ou, en cas d'absence de publication, jusqu'à la signature du rapport final de la recherche. Elles font ensuite l'objet d'un archivage sur support papier ou informatique pour une durée de vingt ans maximum ou pour une durée conforme à la réglementation en vigueur.
	Les personnes énumérées à l'article 2.3 peuvent en tant que de besoin accéder à ces données afin d'effectuer des analyses complémentaires ou dans le cadre de nouvelles demandes d'enregistrement auprès des autorités compétentes des médicaments, dispositifs et produits visés, dès lors que les traitements ainsi mis en œuvre le sont pour une finalité compatible avec la finalité initiale, conformément à l'article 5, paragraphe 1, point b) du RGPD et font l'objet de formalités préalables distinctes.
Titre III : TRAITEMENTS RELATIFS AUX DONNÉES DES PROFESSIONNELS INTERVENANT DANS LA RECHERCHE 3.1. Finalité des traitements
Les traitements de données des professionnels intervenant dans la recherche doivent avoir pour seule finalité la mise en place, la réalisation de la recherche et le respect des obligations légales du responsable de traitement.
	Les données à caractère personnel des professionnels intervenant dans la recherche peuvent alimenter d'autres traitements de données à caractère personnel mis en œuvre par le responsable de traitement et relatifs à la gestion des ressources humaines et de la formation.
	3.2. Origine et nature des données
	3.2.1. Nécessité du recours à des données personnelles
	Le suivi des professionnels intervenant dans la recherche ne peut s'opérer qu'au moyen de données à caractère personnel comportant des données directement identifiantes.
	3.2.2. Origine des données
	Les données relatives aux professionnels intervenant dans la recherche proviennent des intéressés eux-mêmes, de listes publiques ou de toute autre liste constituée à cette fin dans le respect des dispositions applicables.
	3.2.3. Nature des données
	En application de l'article 5, paragraphe 1, point c) du RGPD, les données traitées doivent être adéquates, pertinentes, et limitées à ce qui est strictement nécessaire au regard des finalités du traitement. À cet égard, le responsable de traitement s'engage à ne collecter que les données strictement nécessaires et pertinentes au regard des objectifs de la recherche.
Les seules catégories de données à caractère personnel relatives aux professionnels intervenant dans la recherche pouvant faire l'objet du traitement sont les suivantes :
	- identité : nom, prénom(s), sexe, coordonnées professionnelles postales, électroniques et téléphoniques, coordonnées bancaires ;
	- formation-diplôme(s) ;
	- vie professionnelle (notamment cursus professionnel, mode et type d'exercice, éléments nécessaires à l'évaluation des connaissances dont ils disposent pour réaliser la recherche) ;
	- le cas échéant, numéro d'identification dans le répertoire partagé des professionnels de santé ;
	- montant des indemnités et rémunérations perçues ;
	- collaboration à d'autres études ;
	- historique des accès et des connexions aux données médicales des personnes participant à une recherche.
	3.3. Destinataires des données à caractère personnel traitées
	Sous la responsabilité du responsable de traitement ou en application de dispositions légales ou réglementaires spécifiques, ont accès aux données traitées, dans les limites de leurs habilitations au regard de leur fonction et dans des conditions conformes à la réglementation, les catégories de personnes suivantes :
	- le responsable de traitement et ses sous-traitants, y compris les administrateurs systèmes et les responsables de la sécurité du système d'information ;
	- le responsable scientifique de la recherche et ses collaborateurs ;
- les professionnels intervenant dans la recherche et les personnels agissant sous leur responsabilité ;
	- les personnes chargées des affaires réglementaires et de l'enregistrement de la recherche auprès des autorités compétentes agissant pour le compte du responsable du traitement ou appartenant aux sociétés de son groupe ;
	- le personnel des sociétés du groupe auquel appartient le responsable de traitement ;
	- le personnel d'autorités sanitaires et d'autorités publiques de contrôle légalement habilités, dans le cadre d'une mission particulière ou de l'exercice d'un droit de communication ;
	- le personnel habilité agissant sous la responsabilité de l'organisme d'assurance garantissant la responsabilité civile du promoteur, notamment en application de l' article L. 1121-10 du CSP.
	Ces catégories de personnes, soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal, peuvent relever du responsable de traitement, des lieux de recherche ou de structures agissant pour le compte du responsable de traitement.
	3.4. Information et droits des professionnels intervenant dans la recherche
	3.4.1. Information des professionnels intervenant dans la recherche
	L'information est délivrée par une mention figurant sur des documents remis aux personnes concernées ou sur les conventions signées par les professionnels intervenant dans la recherche. Cette information reprend les mentions prévues à l'article 13 du RGPD.
3.4.2. Modalités d'exercice des droits des professionnels intervenant dans la recherche
	Le droit d'accès, de rectification, le droit à l'effacement, le droit à la limitation du traitement, le droit à la portabilité des données et le droit d'opposition s'exercent à tout moment auprès du responsable de traitement, conformément aux dispositions des articles 15, 16, 17, 18, 20 et 21 du RGPD.
	3.5. Durée de conservation
	Les données à caractère personnel des professionnels intervenant dans la recherche ne peuvent être conservées au-delà d'un délai de quinze ans après la fin de la dernière recherche à laquelle ils ont participé.
	Elles font ensuite l'objet d'un archivage sur support papier ou informatique pour une durée conforme à la réglementation en vigueur.
	Les personnes énumérées à l'article 3.3 peuvent en tant que de besoin accéder à ces données afin d'effectuer des analyses complémentaires ou dans le cadre de nouvelles demandes d'enregistrement auprès des autorités compétentes ou pour solliciter la personne pour participer à de nouveaux travaux de recherche.
Titre IV : MISE EN ŒUVRE ET SÉCURITÉ
 
	La mise en œuvre de traitements de données à caractère personnel intervenant dans le cadre de la recherche s'effectue sous la responsabilité du responsable de traitement, et/ou chez des tiers agissant pour son compte, dans le respect des dispositions des articles 25, 32 à 35 du RGPD.
- tous les échanges électroniques de messages comprenant des données à caractère personnel des personnes se prêtant à la recherche doivent s'effectuer de manière sécurisée (par exemple : envoi d'un fichier chiffré ou protégé par un mot de passe, messagerie sécurisée, plate-forme dédiée appliquant des droits d'accès spécifiques, etc.) ;
	- les outils d'exploitation des données recueillies doivent tenir compte du risque de réidentification des personnes en limitant les possibilités de recherches ciblées et les listes de résultats détaillées.
	Le traitement automatisé une fois achevé, les données sont récupérées au format défini par le service en charge du traitement des données de la recherche et sont stockées temporairement - le temps de préparer notamment l'archivage - sur un répertoire dont l'accès est techniquement restreint aux personnes dûment habilitées et authentifiées.
Titre V : SYSTÈMES FILS INCLUANT DES DONNÉES ISSUES DU SNDS
 
	Dans le cadre de la présente méthodologie, seules peuvent faire l'objet d'une utilisation les données provenant de systèmes fils conformes aux dispositions des articles L. 1461-1 et suivants du code de la santé publique, ainsi qu'au référentiel de sécurité applicable au SNDS prévu par l'arrêté du 22 mars 2017.
	L'utilisation de telles données dans le cadre des recherches visées par la présente méthodologie est soumise aux dispositions précitées.
Titre VI : TRANSFERTS DE DONNÉES HORS DE L'UNION EUROPÉENNE
Les données indirectement identifiantes des personnes se prêtant à la recherche et les données directement ou indirectement identifiantes des professionnels intervenant dans la recherche peuvent faire l'objet d'un transfert hors de l'Union européenne lorsque le transfert est strictement nécessaire à la mise en œuvre de la recherche ou à l'exploitation de ses résultats et dans les conditions prévues au Chapitre V du règlement général sur la protection des données.
	Le transfert peut être effectué dans le cadre de l'engagement de conformité à la présente méthodologie de référence lorsque l'une des conditions suivantes est réunie :
	- le transfert s'effectue à destination d'un pays ou une organisation internationale reconnus par la Commission européenne comme assurant un niveau de protection adéquat, conformément à l'article 45 du RGPD (décision d'adéquation) ;
	- le transfert s'effectue moyennant des garanties appropriées, listées à l'article 46, paragraphe 2 du RGPD (notamment : clauses contractuelles types approuvées par la commission européenne, règles d'entreprise contraignantes, code de conduite, mécanisme de certification) ;
	- en l'absence d'une décision d'adéquation ou de garanties appropriées, le transfert peut être fondé sur l'une des exceptions prévues à l'article 49 du RGPD lorsqu'un tel transfert n'est pas répétitif, massif ou structuré.
Le responsable de traitement doit avoir préalablement informé les personnes concernées du transfert de leurs données à caractère personnel vers des pays tiers à l'Union européenne, de l'existence ou de l'absence d'une décision d'adéquation ou de garantie appropriée et enfin des moyens d'en obtenir une copie conformément à l'article 13, paragraphe 1, point f du règlement général sur la protection des données.
Titre VII : SOUS-TRAITANTS
 
	Lorsque le responsable de traitement fait appel à un ou des sous-traitants, il s'assure que celui-ci présente des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du RGPD, de la loi informatique et libertés et garantisse la protection des droits de la personne concernée.
	Le responsable de traitement établit avec le sous-traitant un contrat ou un autre acte juridique précisant les obligations de chaque partie et reprenant les dispositions de l'article 28 du règlement général sur la protection des données. En particulier, le contrat doit prévoir que le sous-traitant :
	- ne traite les données que sur instruction documentée du responsable de traitement et prend toutes les mesures de sécurité requises ;
	- ne sous-traite pas sans autorisation écrite du responsable de traitement ;
- aide le responsable de traitement à garantir le respect de ses diverses obligations (droits des personnes, sécurité du traitement, notification de violation, analyses d'impact, etc.) ;
	- met à disposition du responsable de traitement toutes les informations nécessaires pour démontrer le respect de ses obligations et pour permettre la réalisation d'audits ;
	- informe immédiatement le responsable de traitement en cas d'instruction qui, selon lui, constitue une violation du règlement général sur la protection des données ou de la loi informatique et libertés .
	En outre, le sous-traitant :
	- désigne, le cas échéant, un délégué à la protection des données conformément à l'article 37 du RGPD ;
	- tient un registre des catégories de traitements effectués pour le compte du responsable de traitement, conformément à l'article 30 du RGPD.
	Pour tout projet commencé avec un nouveau sous-traitant (n'ayant pas la qualité de lieu de recherche), un audit est effectué. Il couvre notamment la vérification des plans qualité et sécurité de l'entreprise, la validation des systèmes informatiques avec l'existence d'un système de sauvegarde et de récupération des données, et de mesures destinées à garantir leur confidentialité et leur intégrité.
Titre VIII : MISE EN ŒUVRE DU PRINCIPE DE RESPONSABILITÉ
Chaque responsable de traitement désigne un délégué à la protection des données, en application de l'article 37 du RGPD. Ce délégué à la protection des données aura notamment pour mission de vérifier le respect de la conformité des traitements mis en œuvre selon la présente méthodologie.
	Les responsables de traitement adressent à la Commission nationale de l'informatique et des libertés un seul engagement de conformité à la présente méthodologie pour l'ensemble des traitements qu'ils mettent en œuvre dans le cadre des recherches dès lors qu'ils sont réalisés en conformité avec l'ensemble des dispositions de la méthodologie.
	Conformément à l'article 30 du RGPD, le responsable de traitement tient à jour, au sein du registre des activités de traitement, la liste des traitements mis en œuvre dans le cadre de la présente méthodologie.
	Les recherches impliquant la personne humaine et leurs résultats sont inscrits dans le répertoire d'accès public mentionné à l' article L. 1121-15 du CSP.
	L'engagement de conformité à la présente méthodologie ne dispense pas le responsable de traitement de réaliser les démarches nécessaires prévues par les dispositions du code de la santé publique, notamment auprès d'un comité de protection des personnes.
Titre IX : ENTRÉE EN VIGUEUR
 
	La présente méthodologie de référence entre en vigueur à compter de sa publication au Journal officiel de la République française.
La délibération n° 2016-263 du 21 juillet 2016 portant homologation d'une méthodologie de référence relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé ne nécessitant pas le recueil du consentement exprès ou écrit de la personne concernée (MR-003) est abrogée.
	Les traitements de données mis en œuvre en application de la délibération précitée peuvent se poursuivre dans le respect des dispositions de cette délibération.
	Il n'est pas nécessaire que les responsables de traitement ayant déjà réalisé un engagement de conformité à la MR 003 précitée procèdent à un nouvel engagement de conformité à la présente méthodologie de référence, sous réserve que les traitements mis en œuvre y soient conformes.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) n° 536/2014 du Parlement européen et du Conseil du 16 avril 2014 relatif aux essais cliniques de médicaments à usage humain et abrogeant la directive 2001/20/CE ;
Vu le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2012-300 du 5 mars 2012 modifiée relative aux recherches impliquant la personne humaine ;
Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé ;
Vu l' ordonnance n° 2016-800 du 16 juin 2016 relative aux recherches impliquant la personne humaine ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2016-1537 du 16 novembre 2016 relatif aux recherches impliquant la personne humaine ;
Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé système national des données de santé ;
Vu le décret n° 2017-884 du 9 mai 2017 modifiant certaines dispositions réglementaires relatives aux recherches impliquant la personne humaine ;
Vu l'arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé ;
Vu la décision du 5 janvier 2006 portant homologation d'une méthodologie de référence pour les traitements de données personnelles opérés dans le cadre des recherches biomédicales (méthodologie de référence MR-001) ;
Vu la décision n° 2016-262 du 21 juillet 2016 portant modification de la méthodologie de référence pour les traitements de données personnelles opérés dans le cadre des recherches biomédicales (méthodologie de référence MR-001) ;
 
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après le règlement général sur la protection des données - RGPD) et notamment l'article 5, point 2, prévoit que le responsable de traitement doit être en mesure de démontrer que les principes du règlement sont respectés. L'article 9, paragraphe 4, du RGPD précise que les Etats membres peuvent maintenir ou introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques ou des données concernant la santé.
Ainsi, en application de la loi du 6 janvier 1978 modifiée (ci-après loi Informatique et Libertés ), les traitements de données à caractère personnel à des fins de recherche, étude ou évaluation dans le domaine de la santé sont autorisés par la Commission nationale de l'informatique et des libertés.
La Commission peut homologuer et publier des méthodologies de référence, établies en concertation avec le Comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé (ci-après le CEREES) ainsi qu'avec les organismes publics et privés représentatifs des acteurs concernés.
Ces méthodologies, destinées à simplifier la procédure d'autorisation, portent sur les catégories les plus usuelles de traitements automatisés ayant pour finalité les recherches, études ou évaluations dans le domaine de la santé.
Dès 2006, la Commission a adopté une méthodologie de référence relative aux recherches biomédicales, qui a été mise à jour par une délibération n° 2016-262 du 21 juillet 2016. Les recherches, études ou évaluations dans le domaine de la santé nécessitant le recueil du consentement de la personne concernée sont en effet conduites dans le cadre d'exigences législatives et réglementaires strictes selon des méthodologies standardisées.
Compte tenu de l'évolution du cadre légal et réglementaire de la recherche dans le domaine de la santé et des propositions effectuées par les organismes acteurs de la recherche, il est apparu nécessaire de l'actualiser.
Les responsables de traitement qui adressent un engagement de conformité à cette méthodologie de référence sont autorisés à mettre en œuvre les traitements dès lors que ceux-ci répondent aux conditions prévues par ces dispositions.
Décide :
Titre Ier : DÉFINITIONS ET CHAMP D'APPLICATION
 
	1.1. Définitions
	Au sens de la présente méthodologie, les termes suivants sont ainsi définis :
- responsable scientifique de la recherche : la personne désignée par le responsable de traitement, et agissant sous sa responsabilité, veillant à la qualité, l'intégrité et à la sécurité des informations et de leur traitement, ainsi qu'au respect de la finalité de celui-ci. Il peut s'agir de l'investigateur coordonnateur ;
	- sous-traitant : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement. Il s'agit par exemple du lieu de recherche, d'une société de recherche sous contrat ou d'un prestataire de services informatiques, de centres de ressources biologiques ou d'hébergeurs de données de santé ;
	- professionnel(s) intervenant dans la recherche : la (ou les) personne(s) physique(s) qui collecte(nt) les données, dirige(nt) ou surveille(nt) la réalisation de la recherche dans un lieu de recherche. Il s'agit notamment de l'investigateur, des collaborateurs de l'investigateur agissant sous sa responsabilité, des professionnels de santé, du personnel médical et des personnes qualifiées, au sens des dispositions des articles L. 1121-5 et L. 1121-3 du code de la santé publique ;
	- lieu de recherche : le lieu dans lequel la recherche est réalisée. Il est considéré comme sous-traitant au sens des principes de la loi Informatique et Libertés et du règlement général sur la protection des données ;