Délibération n° 2024-064 du 12 septembre 2024 portant approbation du code de conduite européen porté par la fédération EUCROF (European Contract Research Organisation Federation)
(Demande d’approbation n° 21000034)
Nature: Autre autorisation

La Commission nationale de l'informatique et des libertés,
 
Saisie par la fédération EUCROF d’une demande d’approbation de son projet de code de conduite destiné aux prestataires de services en recherche clinique,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ("Règlement" ou "Règlement général sur la protection des données" ou "RGPD"), notamment son article 40 ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
 
Vu l’avis 12/2024 du Comité européen de la protection des données relatif au code de conduite européen porté par l’EUCROF au titre des articles 63 et 64 du RGPD, adopté le 18 juin 2024 ;
Après avoir entendu le rapport de Madame Marie Zins, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
L’article 40.5 du RGPD prévoit que les associations et autres organismes représentatifs d’un secteur d’activité qui ont l'intention d'élaborer un code de conduite soumettent leur projet à l'autorité de contrôle compétente en vertu de l'article 55 du RGPD. L'autorité de contrôle rend un avis sur la question de savoir si le projet de code respecte le Règlement et approuve ce projet de code si elle estime qu'il offre des garanties appropriées suffisantes.
 
L'article 40.7 du RGPD prévoit que lorsque le projet concerne des activités de traitement menées dans plusieurs États membres, l'autorité de contrôle saisie soumet le projet, avant approbation, au Comité européen de la protection des données (CEPD), conformément au mécanisme de "contrôle de la cohérence".
 
Le 18 mars 2021, la CNIL a été saisie par la fédération EUCROF d’une demande d’approbation portant sur un projet de code de conduite transnational et ce conformément aux dispositions de l’article 40.5 du RGPD.
 
Le 5 février 2024, la CNIL a soumis ce projet de code à l’avis du CEPD, qui a adopté un avis favorable relatif à ce projet le 18 juin 2024.
Le code de conduite répond aux exigences prévues par l’article 40.2 du RGPD : il démontre la représentativité du porteur du code de conduite, précise le champ d’application matériel et le champ d’application géographique de celui-ci et identifie la CNIL comme autorité de contrôle compétente conformément aux dispositions de l’article 40.5 du RGPD. Enfin, il détaille les modalités de consultation des professionnels du secteur et développe une procédure de contrôle de la bonne application du code de conduite par les adhérents.
 
Le code de conduite précise les modalités d’application du RGPD et prend en compte les besoins des professionnels du secteur de la recherche clinique sous contrat conformément aux dispositions de son article 40.1. Par ailleurs, il illustre et apporte des exemples concrets permettant l’application effective du RGPD par les adhérents. Enfin, il comprend de manière claire et précise l’obligation pour les professionnels adhérents de se conformer aux exigences du code de conduite qui est juridiquement contraignant.
Le code de conduite comprend un mécanisme permettant à l’organisme de contrôle de mettre en œuvre ses missions de contrôle de la bonne application du code de conduite par les professionnels adhérents, conformément aux dispositions de l’article 40.4 du RGPD. L’organisme de contrôle désigné par le code de conduite fera l’objet d’un agrément par la CNIL conformément aux dispositions de l’article 41.1 du RGPD.
Le code de conduite comprend une procédure permettant sa mise à jour selon les évolutions juridiques et techniques conformément aux dispositions de l’article 40.2 du RGPD.
 
Conformément aux dispositions de l’article 40.1 du RGPD, le code de conduite contribue à sa bonne application, compte tenu de la spécificité du secteur concerné.
Décide :
De l’approbation du code de conduite européen pour les prestataires de services en recherche clinique porté par l’association EUCROF (European Contract Research Organisation Federation) et annexé à la présente délibération.
 
En cas de modification du code, la CNIL, après en avoir été informée par le porteur du code, décidera si une nouvelle procédure d’approbation est nécessaire conformément aux dispositions de l’article 40.2 du RGPD.
Cette décision sera publiée sur le site Légifrance.
 
 
La présidente,
 
M.-L. Denis
 
Annexe: code de conduite EUCROF