Délibération n° 2017-179 du 15 juin 2017 portant avis sur un projet d’arrêté relatif au référentiel déterminant les critères de confidentialité, d’expertise et d’indépendance pour les laboratoires de recherche et bureaux d’études.
(demande d’avis n° 17008126)
Type : Avis
Date : 2017-06-15
État juridique : VIGUEUR

La Commission nationale de l'informatique et des libertés, Saisie par le ministère des affaires sociales et de la santé d’une demande d’avis concernant un projet d’arrêté relatif au référentiel déterminant les critères de confidentialité, d’expertise et d’indépendance pour les laboratoires de recherche et bureaux d’études ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, notamment son article 193 ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé " Système national des données de santé " ; Vu l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé ; Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations, Émet l’avis suivant : La Commission a été saisie, le 5 avril 2017, d’une demande d’avis sur un projet d’arrêté relatif au référentiel déterminant les critères de confidentialité, d’expertise, et d’indépendance pour les laboratoires de recherche et bureaux d’études (ci-après le " projet "). La définition du référentiel par voie d’arrêté est prévue par le 2° du II de l’article L. 1461-3 du code de la santé publique, créé par l’article 193 de la loi de modernisation de notre système de santé du 26 janvier 2016. Il a pour objet de permettre à certains organismes du secteur privé et entreprise de mener des recherches, études ou évaluations à partir des données du Système national des données de santé (SNDS). Sur l’utilisation du terme " commanditaire " Le ministère indique, dans son courrier de saisine, que le projet a pour objet " de garantir un dispositif homogène des conditions de traitement des données et des règles à respecter par les laboratoires de recherche et bureaux d’études quant aux commanditaires et aux finalités interdites ". Le projet vise également à organiser les relations entre les personnes prenant l’initiative d’une recherche, et qui définissent ainsi les finalités et les moyens du traitement, et les laboratoires et bureaux d’études qui accéderont aux données à leur demande en qualité de prestataire La commission relève que le projet ne fait pas usage de la notion de responsable du traitement de données, mais mentionne à plusieurs reprises le " commanditaire " de la recherche, de l’étude ou de l’évaluation réalisée à partir des données du SNDS. Dans sa délibération n° 2016-317 du 13 octobre 2016 portant avis sur le projet de décret en Conseil d’Etat modifiant le décret n° 2005-1309 pris pour application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifié, la Commission s’interrogeait sur le sens du terme " commanditaire de la recherche " et suggérait que ce terme soit explicité. La Commission estime nécessaire que le projet précise que le client du laboratoire de recherche ou du bureau d’étude sera responsable du traitement de données en ce qu’il prend l’initiative de la réalisation d’une recherche, étude ou évaluation et définit à ce titre les finalités et les moyens du traitement de données à caractère personnel. A ce titre, la Commission propose que le terme " commanditaire " soit remplacé par le terme " responsable de traitement ". Cependant, dans le cas où le ministère infirmerait cette analyse, elle demande que le terme " commanditaire " soit défini plus précisément dans le projet. Sur ce point, la Commission prend acte de l’engagement du ministère de modifier le projet afin de préciser le terme " commanditaire ", qui désigne l’industriel ou l’assureur concerné par l’article L. 1461-3 du code de la santé publique, responsable du traitement de données à caractère personnel. Le projet précisera par ailleurs que le commanditaire, qui définit les finalités et les moyens du traitement et a recours à un intermédiaire en application de la loi, n’accédera pas aux données et ne recevra que les résultats globaux de l’étude. Sur le contrat liant le laboratoire de recherche ou bureau d’études et le responsable du traitement L’article 2 du projet dresse la liste des informations devant figurer dans le contrat conclu entre le commanditaire et le laboratoire de recherche ou bureau d’études. La Commission relève que le contrat devra notamment préciser les traitements envisagés. Dans la mesure où les chercheurs interrogent régulièrement les services de la Commission sur la notion de traitement et opèrent souvent une confusion entre " traitement de données " et " traitement médical ", la Commission prend acte de l’engagement du ministère de préciser, par souci de clarté, qu’il s’agira des traitements de données à caractère personnel envisagés. La Commission prend également acte de l’engagement du ministère de compléter le projet afin d’ajouter parmi les éléments devant figurer dans le contrat : les mesures et conditions de sécurité concernant les accès et les échanges de données et de documents entre les différents intervenants mettant en œuvre le traitement de données ou autorisés à accéder aux données, conformes aux exigences du référentiel de sécurité applicable au SNDS ; les procédures et conditions d’habilitation d’accès aux données pour les personnes mettant en œuvre le traitement de données ou autorisées à accéder aux données, conformes aux exigences du référentiel de sécurité applicable au SNDS ; des stipulations particulières en matière de responsabilité et de sécurité en cas de recours à un prestataire. Sur l’expertise et les compétences des laboratoires de recherche et bureaux d’études L’article 4 du projet prévoit l’obligation pour les laboratoires de recherche et bureaux d’études de se doter de compétences en matière de recherche dans les domaines de la santé, de la statistique et en matière de traitement de données à caractère personnel. Il précise par ailleurs qu’il pourront faire appel à des compétences complémentaires notamment en épidémiologie, génétique, biostatistique, environnement, économie, ou sciences humaines et sociales, en fonction du thème de la recherche, étude ou évaluation. La Commission prend acte de l’engagement du ministère de modifier le projet afin d’imposer aux laboratoires de recherche et bureaux d’études l’obligation de disposer ou se doter de compétences en matière d’anonymisation des données. Elle recommande par ailleurs que les laboratoires de recherche ou les bureaux d’études se voient également imposer l’obligation de disposer ou se doter de compétences en matière de sécurité et de confidentialité des données à caractère personnel, conformément aux exigences du référentiel de sécurité applicable au SNDS. Par ailleurs, la Commission relève que le deuxième alinéa l’article 4 du projet prévoit que " les personnes salariées des laboratoires de recherche ou des bureaux d’études ou les prestataires auxquels ils ont recours, accédant aux jeux de données du Système national des données de santé mis à disposition du demandeur doivent avoir suivi une formation spécifique au traitement des données du Système national des données de santé dont le contenu a été validé par le responsable du traitement du Système national des données de santé mentionné au II de l’article L. 1461-1 du code de la santé publique ". La Commission prend acte de l’engagement du ministère de compléter le projet afin qu’il soit fait mention du " laboratoire de recherche ou bureau d’études demandeur " et que ces dispositions ne puissent être interprétées comme permettant un accès par le commanditaire aux jeux de données extraits du SNDS. Sur la confidentialité et la présentation des résultats L’article 3 du projet prévoit que les résultats diffusés ne doivent pas permettre de ré-identifier les personnes auxquelles les données se rapportent. La Commission prend acte de l’engagement du ministère de compléter le projet par un renvoi à la définition établie par l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé, afin de clarifier la notion de ré-identification. Enfin l’article 3 du projet mentionne que la diffusion des résultats peut être publique ou à destination exclusive du commanditaire. La Commission rappelle que l’article L. 1461-3 du code de la santé publique prévoit que l’Institut national des données de santé (INDS) publie les résultats de la recherche, étude ou évaluation et, qu’à ce titre, leur diffusion ne pourra être effectuée à destination exclusive du commanditaire. Elle demande donc de modifier ou de clarifier le projet sur ce point. Sur la transparence et la prévention des conflits d’intérêts Sur la nature des données traitées dans le cadre de la déclaration d’intérêts Le deuxième alinéa de l’article 5 du projet prévoit que le responsable du laboratoire de recherche ou du bureau d’études communique à l’INDS, au moment du dépôt de sa demande d’accès aux données du SNDS, une déclaration d’intérêts en rapport avec l’objet du traitement. Le troisième alinéa de l’article 5 du projet prévoit que " le responsable du laboratoire de recherche ou du bureau d’études ainsi que ses salariés ou les prestataires auxquels il a recours, impliqués dans la mise en œuvre d’une recherche, étude ou évaluation au sens du 1°, I de l’article L. 1461-3 du code de la santé publique, attestent respectivement de l’absence de conflit d’intérêt avec l’objet du traitement dans la déclaration des intérêts du laboratoire de recherche ou du bureau d’études demandeur ". A cette fin, deux projets de formulaires de déclaration sont joints au projet : un " formulaire de déclaration des intérêts, du laboratoire de recherche ou du bureau d’études " ; un " modèle type de déclaration des intérêts à compléter par le responsable du laboratoire de recherche ou du bureau d’études et par chacune des personnes impliquées dans la recherche, étude ou évaluation ". La Commission comprend du projet que : le responsable du laboratoire de recherche ou du bureau d’études, sera dans l’obligation de procéder à une déclaration d’intérêts pour chaque projet de recherche, étude ou évaluation et d’attester de l’absence de conflit d’intérêts ; les salariés et prestataires du laboratoire de recherche ou bureaux d’études seront également tenus de compléter la déclaration d’intérêts et d’attester l’absence de conflit d’intérêts pour chaque recherche, étude ou évaluation dans laquelle ils sont impliqués. La Commission en prend acte. Elle rappelle cependant que le dossier devra être mis à jour dans le cas où d’autres salariés ou prestataires interviendraient dans la recherche, l’étude ou l’évaluation. Les données à caractère personnel faisant le cas échéant l’objet d’un traitement dans le cadre de la déclaration des intérêts au moyen des formulaires sont les suivantes : des données d’identification : nom, prénom, organisme d’appartenance, fonction ou qualité, rôle dans la mise en œuvre du traitement ; des données relatives aux liens d’intérêts en rapport avec l’objet du traitement concernant les activités principales ou secondaires au cours des trois dernières années, les activités dirigées et activités dirigées par la personne et financées par un organisme à but lucratif dont les activités, les techniques et les produits entrent dans le champ de l’objet du traitement : la structure et les activités bénéficiaires ; le nom de l’entreprise, de l’établissement, de l’organisme, ou de l’employeur ; l’organisme à but lucratif financeur ; le nom de la structure qui met à disposition le brevet, produit… ; l’adresse de l’employeur ; le lieu d’exercice de l’activité ; les fonctions exercées ; le domaine et type de travaux ; le nom du produit de santé ou du sujet traité ; le lieu et l’intitulé de la réunion ; le sujet de l’intervention ; le nom du produit visé ; le nom de l’activité et du brevet, produit… ; la rémunération /intérêt financier direct ou indirect ; la prise en charge des frais de déplacement ; la perception d’un éventuel intéressement ; les dates de début et de fin des activités. La Commission considère que ces données sont légitimes, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l'article 6 (3°) de la loi Informatique et Libertés. Sur l’information des personnes concernées et les modalités d’exercice des droits L’article 6 du projet prévoit que les personnes physiques mentionnées au troisième alinéa de l’article 5, c’est-à-dire le responsable, les salariés et les prestataires des laboratoires de recherche et bureaux d’études, sont informés du recueil et de la publicité des données les concernant par le laboratoire de recherche ou bureau d’études. Il prévoit, par ailleurs, que les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi n° 78-17 du 6 janvier 1978 modifiée s'exercent auprès de l’INDS. La Commission déduit de l’absence de mention du droit d’opposition que le ministère souhaite en écarter l’application. Elle prend acte de ce que le ministère s’est engagé à écarter formellement la possibilité pour les personnes concernées d’exercer leur droit s’opposition en précisant dans le projet que " le droit d’opposition prévu à l’article 38 de la LIL ne s’applique pas au(x) traitement(s) de données à caractère personnel autorisé(s) par le présent arrêté ". La Commission suggère au ministère de modifier cet ajout afin de faire mention des " traitements de données à caractère personnel relatifs à la déclaration d’intérêts ", dans la mesure où l’arrêté n’a pas pour objet d’autoriser la création d’un traitement. En outre, la Commission relève que les deux modèles de formulaire figurant dans le projet ne comportent pas les mentions prévues par l’article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée. Elle demande qu’ils soient complétés en conséquence. Sur l’engagement de conformité au référentiel : Le deuxième alinéa de l’article L. 1461-3-II-2° du code de la santé publique prévoit que les laboratoires de recherche et bureaux d’études présentent à la Commission un engagement de conformité au référentiel prévu par le projet. La Commission prend acte de l’engagement du ministère de mentionner cette obligation dans le projet, en précisant que l’engagement de conformité devra être réalisé auprès de la Commission. Les autres dispositions du projet n'appellent pas, en l'état et au regard de la loi n° 78-17 du 6 janvier 1978 modifiée, d'observation de la Commission. La présidente Isabelle FALQUE-PIERROTIN