Source: https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000037187498&categorieLien=id
Timestamp: 2019-12-07 11:11:37+00:00
Document Index: 235436336

Matched Legal Cases: ["l'article 5", "l'article 14", "l'article 35", "l'article 1", "l'article 2", "l'article 5", "l'article 2", "l'article 13", "l'article 14", "l'article 14", "l'article 15", "l'article 17", "l'article 2", "l'article 5", "l'article 5", "l'article 13", "l'article 28"]

Délibération n° 2018-155 du 3 mai 2018 portant homologation de la méthodologie de référence relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches n'impliquant pas la personne humaine, des études et évaluations dans le domaine de la santé (MR-004) | Legifrance
Vous êtes dans : Accueil> Les autres textes législatifs et réglementaires> Délibération n° 2018-155 du 3 mai 2018 portant homologation de la méthodologie de référence relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches n'impliquant pas la personne humaine, des études et évaluations dans le domaine de la santé (MR-004)
NOR: CNIL1818709X
Le Règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après « le règlement général sur la protection des données » - RGPD) et notamment l'article 5, point 2, prévoit que le responsable de traitement doit être en mesure de démontrer que les principes du règlement sont respectés. L'article 9, paragraphe 4 du RGPD précise que les États membres peuvent maintenir ou introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques ou des données concernant la santé.
- donnée à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée ») ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;
- responsable de traitement : la personne physique ou morale qui, seule ou conjointement avec d'autres, est responsable d'une recherche, étude ou évaluation n'impliquant pas la personne humaine, en assure la gestion, vérifie que son financement est prévu et qui détermine les finalités et les moyens des traitements nécessaires à celle-ci ;
- responsable scientifique ou responsable de la mise en œuvre de la recherche : la personne désignée par le responsable de traitement, et agissant sous sa responsabilité, veillant à la qualité, l'intégrité et la sécurité des informations et de leur traitement, ainsi qu'au respect de la finalité de celui-ci ;
- sous-traitant : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement. Il s'agit par exemple du centre participant, d'une société de recherche sous contrat ou d'un prestataire de services informatiques, de centres de ressources biologiques ou d'hébergeurs de données de santé ;
- professionnel(s) intervenant dans la recherche : la (ou les) personne(s) physiques qui collecte(nt) les données, dirige(nt) ou surveille(nt) la réalisation de la recherche dans un centre participant. Il s'agit notamment des professionnels de santé, du personnel médical et de personnes qualifiées ;
- centre participant : organisme détenant, collectant et/ou transmettant des données et/ou des échantillons biologiques utilisés dans le cadre de la recherche, de l'étude ou de l'évaluation ;
- protocole : document indiquant notamment la méthodologie de la recherche, l'objectif du traitement des données à caractère personnel, les catégories de personnes concernées par le traitement, l'origine, la nature et la liste des données à caractère personnel utilisées et la liste des justifications de recours à celles-ci, la durée et les modalités d'organisation de la recherche, de l'étude ou de l'évaluation, la méthode d'analyse des données, ainsi que, lorsque les caractéristiques de l'étude, de la recherche ou de l'évaluation l'exigent, la justification du nombre de personnes et la méthode d'observation ou d'investigation retenue ;
- recherche : recherche n'impliquant pas la personne humaine, étude ou évaluation dans le domaine de la santé ;
Seuls peuvent faire l'objet d'un engagement de conformité à la présente méthodologie de référence les traitements de données à caractère personnel ayant pour finalité la réalisation de recherches, études et évaluations dans le domaine de la santé ne répondant pas à la définition des recherches impliquant la personne humaine telles que définies à l'article L. 1121-1 du CSP et présentant un caractère d'intérêt public. Un protocole de recherche doit être rédigé et validé scientifiquement par le responsable de traitement avant le début de la mise en œuvre du traitement des données.
- les recherches impliquant la personne humaine, telles que définies aux articles L. 1121-1 et R. 1121-1 et suivants du code de la santé publique ;
- les recherches en génétique dont l'objet, principal ou secondaire, est l'identification ou la ré-identification des personnes par leurs caractéristiques génétiques ;
- les recherches, études ou évaluations nécessitant un traitement des données depuis des bases médico-administratives, notamment celles du SNDS et de ses composantes ;
- les recherches nécessitant un appariement par le responsable de traitement entre les données déjà existantes d'un même individu issues de plusieurs centres participants ;
- les recherches pour lesquelles, s'agissant de l'information des personnes concernées, il est fait application de l'exception prévue à l'article 14, paragraphe 5, point b) du RGPD ;
- les recherches pour lesquelles l'analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel (« analyse d'impact relative à la protection des données ») indique que le traitement présenterait, malgré les mesures prises en application de l'article 35 du RGPD pour atténuer le risque un risque résiduel élevé pour les droits et libertés des personnes concernées ;
Les traitements de données à caractère personnel des personnes concernées doivent avoir pour seule finalité la réalisation des recherches n'impliquant pas la personne humaine, études ou évaluations présentant un intérêt public décrites à l'article 1.2 ci-dessus.
L'identification des personnes concernées ne peut être réalisée, dans les bases de données comportant des données de santé à caractère personnel constituées pour la réalisation de la recherche, qu'au moyen d'un numéro d'ordre ou d'un code alphanumérique, établi conformément à l'article 2.2.3, et à l'exclusion de toute donnée à caractère personnel directement identifiante.
Seuls les professionnels et ses collaborateurs intervenant dans la recherche dans un centre peuvent conserver le lien entre l'identité codée des personnes concernées par la recherche et leurs nom(s) et prénom(s) (table de correspondance conservée de façon sécurisée).
L'identification des personnes concernées au moyen d'un numéro d'ordre ou d'un code alphanumérique est nécessaire pour :
- certifier que, pour chaque personne concernée, les informations recueillies successivement au cours de la recherche la concernent ;
- vérifier, par la réalisation de contrôles de validité et de cohérence, la concordance des données recueillies au cours de la recherche avec celles des documents sources.
S'agissant des recherches portant sur la réutilisation de données :
- seules les personnes habilitées initialement à accéder aux données nominatives peuvent détenir la correspondance ;
- le numéro d'ordre affecté à la personne pour l'étude est différent du numéro identifiant le patient dans la base initiale. La correspondance, si nécessaire, sera détenue par le responsable de la base de données initiale.
Les données relatives aux personnes concernées doivent provenir exclusivement :
En application de l'article 5, paragraphe 1, point c) du RGPD, les données traitées doivent être pertinentes, adéquates et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données). À cet égard, le responsable de traitement s'engage à ne collecter ou traiter que les données strictement nécessaires et pertinentes au regard des objectifs de la recherche. Dès lors, chacune des catégories de données ne peut être traitée que si leur traitement est justifié scientifiquement dans le protocole de recherche.
Les seules catégories de données à caractère personnel relatives aux personnes incluses dans la recherche pouvant faire l'objet du traitement sont les suivantes :
- âge ou date de naissance (mois et année de naissance, voire jour de naissance si ce dernier est nécessaire à la réalisation d'une recherche impliquant des personnes âgées de moins de deux ans), lieu de naissance, sexe, pays et département de résidence ; numéro d'ordre ou code alphanumérique à l'exclusion des nom(s), prénom(s) et du numéro d'inscription au répertoire national d'identification des personnes physiques. Lorsque le code alphanumérique se compose de lettres correspondant aux nom et prénom des personnes concernées par la recherche, il peut correspondre aux deux premières lettres du nom et à la première lettre du prénom. Il est toutefois recommandé de se limiter aux seules initiales, c'est-à-dire à la première lettre du nom et à la première lettre du prénom. Ces initiales peuvent être complétées d'un numéro d'inclusion et/ou d'un numéro de centre participant ;
- dans le strict respect des conditions prévues à l'article 2.3.2. de la présente méthodologie : données administratives d'identification des personnes concernées (nom, prénom, coordonnées postales, électroniques et téléphoniques, coordonnées bancaires) ;
- santé : les données strictement nécessaires à la réalisation de la recherche et relatives à la santé de la personne qui s'y prête (par exemple : poids, taille, thérapie suivie dans le cadre de la recherche et concomitante, résultats d'examens, résultats issus d'analyse d'échantillons biologiques, imagerie médicale, données relatives aux effets et événements indésirables, antécédents personnels ou familiaux, maladies ou événements associés, données relatives à un état de santé susceptible d'influencer les résultats ou de rendre impossible la participation en application de contre-indications médicales) ;
- photographie et/ou vidéo et/ou enregistrements vocaux ne permettant pas l'identification des personnes concernées par la recherche (par exemple avec masquage du visage, des yeux, des signes distinctifs) et recueillies dans des conditions conformes aux dispositions applicables en matière de droit à l'image et de droit à la voix ;
- dates relatives à la conduite de la recherche (notamment la date d'inclusion et les dates de visites ou de recueil des données) ;
- réalisation d'un examen des caractéristiques génétiques selon les conditions prévues au premier alinéa de l'article L.1131-1-1 du CSP ;
- mode de vie, par exemple : urbain, semi-urbain, nomade, sédentaire ; habitat (maison particulière ou immeuble, étage, ascenseur, etc.) ;
2.3. Destinataires des données à caractere personnel traitées
Peuvent être destinataires de données indirectement identifiantes relatives aux personnes concernées par la recherche :
- le responsable de traitement et ses sous-traitants ;
- le personnel des sociétés du groupe auquel appartient le responsable de traitement et participant au recueil et à l'analyse des données dans le cadre de la recherche ;
- le personnel habilité agissant sous la responsabilité de l'organisme d'assurance garantissant la responsabilité civile du responsable de traitement ;
Peuvent être destinataires de données directement identifiantes relatives aux personnes concernées par la recherche :
- les professionnels intervenant dans la recherche et les personnels agissant sous leur responsabilité ou leur autorité, concernant les personnes dont ils assurent la prise en charge ;
- les personnes responsables du contrôle et de l'assurance de qualité, lors de la visite ou du contrôle au sein des centres investigateurs chargées de contrôler et d'évaluer la qualité et l'authenticité des données collectées, et notamment par la comparaison des données enregistrées avec le contenu des documents sources. Ces personnes veillent également, sous la responsabilité du responsable de traitement, au respect des dispositions relatives à l'intégrité et à la protection des personnes. Ainsi, les contrôles menés pour s'assurer de la qualité de la recherche (par exemple : accès des attachés de recherche clinique (ARC) et techniciens d'étude clinique (TEC) aux dossiers médicaux des patients) doivent répondre aux règles suivantes en matière de confidentialité :
- la personne concernée par la recherche est préalablement informée et ne s'oppose pas à la réalisation du contrôle ;
- les données consultées servent à vérifier l'authenticité et la cohérence des informations recueillies et si nécessaire à les corriger, compléter, pour autant que les règles de confidentialité soient respectées ;
- le personnel habilité agissant sous la responsabilité de l'organisme d'assurance garantissant la responsabilité civile du promoteur.
Les sous-traitants agissant pour le compte du responsable de traitement, et n'ayant pas la qualité de centre participant, peuvent être destinataires des données administratives d'identification des personnes concernées par la recherche (nom, prénom, coordonnées postales, électroniques et téléphoniques et coordonnées bancaires) dans le strict respect des conditions cumulatives suivantes :
- le remboursement des frais de transport des personnes concernées ou ;
- le suivi des personnes concernées tel qu'il est précisé dans le protocole de recherche (par exemple : envoi d'un message textuel (SMS) pour compléter un questionnaire en ligne, activation d'un compte informatique en vue de l'utilisation d'une application connectée) ;
- le sous-traitant n'a pas accès aux données de santé relatives aux personnes concernées par la recherche. A l'exception de l'identité du responsable de traitement, la référence de la recherche transmise à l'organisme ne doit pas permettre de révéler une pathologie ou un état de santé sur les personnes concernées ;
- les personnes concernées par la recherche ont été préalablement informées de l'identité du sous-traitant, des catégories de données à caractère personnel les concernant auxquelles il aura accès et des missions qui lui ont été confiées par le responsable de traitement ;
- une table de correspondance spécifique à la réalisation de ces missions est établie et conservée de manière sécurisée par le sous-traitant.
Conformément aux dispositions de la loi « informatique et libertés », la présentation des résultats du traitement de données ne peut en aucun cas permettre l'identification directe ou indirecte des personnes concernées par la recherche.
- par la mise en œuvre de mesures de traçabilité des accès aux données.
- que les données ne contiennent aucune donnée directement identifiante et que le principe de minimisation des données est respecté. À cet effet, les mesures suivantes doivent être mises en place :
- remplacer toutes les dates par des délais par rapport à une date charnière de l'étude (inclusion, randomisation, etc.) ;
2.5. Information et droits des personnes concernees par la recherche
En application des dispositions de la loi informatique et libertés, une information générale sur l'éventualité que les données des personnes puissent être utilisées à des fins de recherche, doit être assurée dans tout établissement ou centre où s'exercent des activités de prévention, de diagnostic et de soins.
En outre, les personnes concernées par la recherche et/ou leurs représentants légaux sont préalablement et individuellement informés lors d'un traitement de leurs données à caractère personnel, ayant pour fin une recherche visée dans la présente méthodologie. L'information dispensée est conforme aux dispositions de l'article 13 du règlement général sur la protection des données, lorsque les données sont collectées auprès des personnes concernées. L'information dispensée est conforme aux dispositions de l'article 14 du RGPD, lorsque les données ne sont pas collectées auprès des personnes concernées ou ont été préalablement collectées.
Les personnes concernées par la recherche et/ou leurs représentants légaux sont également préalablement informées du caractère facultatif de leur participation, lorsque les données sont collectées auprès des personnes concernées et des modalités d'exercice de leurs droits.
Dans l'hypothèse du recueil d'informations par questionnaire remis à la personne concernée par la recherche et/ou à ses représentants légaux, ces informations sont mentionnées sur le questionnaire, la lettre jointe ou la note d'information relative à la recherche.
Des données et/ou des échantillons biologiques recueillis non spécifiquement pour la recherche peuvent faire l'objet d'une réutilisation sans qu'il soit procédé à une nouvelle information individuelle des personnes concernées :
- lorsque la personne concernée dispose déjà des informations prévues aux articles 13 ou 14 du RGPD ;
- ou lorsque l'information délivrée lors de la collecte des données et / ou des échantillons biologiques prévoit la possibilité de réutiliser les données et/ou les échantillons, et renvoie à un dispositif spécifique d'information auquel les personnes concernées pourront se reporter préalablement à la mise en œuvre de chaque nouveau traitement de données.
S'agissant du traitement de données de personnes décédées, sous réserve que le professionnel participant à la recherche ait connaissance du statut vital de la personne concernée et qu'elle ne s'y soit pas opposé de son vivant par écrit, les données à caractère personnel qui la concernent peuvent faire l'objet d'un traitement à des fins de recherche.
La présente méthodologie de référence n'est pas applicable dans le cas où, s'agissant de l'information des personnes concernées, il est fait application de l'exception prévue à l'article 14, paragraphe 5, point b) du RGPD.
2.5.2. Modalités d'exercice des droits des personnes concernées par la recherche
Le droit d'accès, prévu par l'article 15 du RGPD, peut être exercé à tout moment auprès du professionnel intervenant dans la recherche, directement ou par l'intermédiaire d'un médecin désigné à cet effet par la personne concernée.
La personne qui entend s'opposer au traitement des données à caractère personnel la concernant à des fins de recherche dans le domaine de la santé peut exprimer, à tout moment et sans avoir à justifier sa décision, son opposition par tout moyen auprès soit du responsable de la recherche, soit du centre participant ou du professionnel détenteur de ces données, conformément à la loi « informatique et libertés ».
Le droit à l'effacement prévu par l'article 17 du RGPD s'applique lorsque la personne concernée exerce son droit d'opposition et demande également l'effacement des données la concernant déjà collectées. Sous réserve d'une information préalable appropriée par le responsable de traitement, certaines données préalablement collectées peuvent cependant ne pas être effacées, si cette suppression est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs de la recherche.
Les données à caractère personnel relatives aux personnes concernées par une recherche et traitées à cette fin ne peuvent être conservées dans les systèmes d'information du responsable de traitement, du centre participant ou du professionnel intervenant dans la recherche que jusqu'à deux ans après la dernière publication des résultats de la recherche ou, en cas d'absence de publication, jusqu'à la signature du rapport final de la recherche. Elles font ensuite l'objet d'un archivage sur support papier ou informatique pour une durée de vingt ans maximum ou pour une durée conforme à la réglementation en vigueur.
Les personnes énumérées à l'article 2.3 peuvent, en tant que de besoin, accéder à ces données afin d'effectuer des analyses complémentaires ou dans le cadre de nouvelles demandes d'enregistrement auprès des autorités compétentes des médicaments, dispositifs et produits visés, dès lors que les traitements ainsi mis en œuvre le sont pour une finalité compatible avec la finalité initiale, conformément à l'article 5, paragraphe 1, point b) du RGPD et font l'objet de formalités préalables distinctes.
3.2.1 Nécessité du recours à des données à caractère personnel
3.2.3 Nature des données
En application de l'article 5, paragraphe 1, point c) du RGPD, les données traitées doivent être adéquates, pertinentes et non excessives et limitées à ce qui est strictement nécessaire au regard des finalités du traitement. A cet égard, le responsable de traitement s'engage à ne collecter que les données strictement nécessaires et pertinentes au regard des objectifs de la recherche.
- identité : nom, prénom(s), sexe, adresse, coordonnées professionnelles postales, électroniques et téléphoniques, coordonnées bancaires ;
Sous la responsabilité du responsable de traitement ou en application des dispositions légales ou réglementaires spécifiques, ont accès aux données traitées, dans les limites de leurs habilitations au regard de leur fonction et dans des conditions conformes à la règlementation, les catégories de personnes suivantes :
- le responsable de traitement, et ses sous-traitants y compris les administrateurs systèmes et les responsables de la sécurité du système d'information ;
- les professionnels intervenant dans la recherche, et les personnels agissant sous leur surveillance ou sous leur autorité ;
- le personnel habilité agissant sous la responsabilité de l'organisme d'assurance garantissant la responsabilité civile du responsable de traitement.
Ces catégories de personnes, soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal, peuvent relever du responsable de traitement, des centres participant à la recherche ou de structures agissant pour le compte du responsable de traitement.
L'information est délivrée par une mention figurant sur des documents remis aux personnes concernées ou sur les conventions signées par les professionnels intervenant dans la recherche. Cette information reprend les mentions prévues à l'article 13 du règlement général sur la protection des données.
Le droit d'accès, de rectification, le droit à l'effacement, le droit à la limitation du traitement, le droit à la portabilité des données et le droit d'opposition s'exercent à tout moment auprès du responsable de traitement, conformément aux articles 15, 16, 17, 18, 20 et 21 du RGPD.
Titre IV : MISE EN ŒUVRE ET SECURITÉ
La mise en œuvre de traitements de données à caractère personnel intervenant dans le cadre de la recherche s'effectue sous la responsabilité du responsable de traitement, et/ou chez des tiers agissant pour son compte, dans le respect des dispositions des articles 25, 32 à 35 du règlement général sur la protection des données.
- tous les échanges électroniques de messages comprenant des données à caractère personnel des personnes concernées par la recherche doivent s'effectuer de manière sécurisée (par exemple : envoi d'un fichier chiffré ou protégé par un mot de passe, messagerie sécurisée, plate-forme dédiée appliquant des droits d'accès spécifiques, etc.) ;
Les données indirectement identifiantes des personnes concernées par la recherche et les données directement ou indirectement identifiantes des professionnels intervenant dans la recherche peuvent faire l'objet d'un transfert hors de l'Union européenne lorsque le transfert est strictement nécessaire à la mise en œuvre de la recherche ou à l'exploitation de ses résultats et dans les conditions prévues au Chapitre V du RGPD.
Le responsable de traitement établit avec le sous-traitant un contrat ou un autre acte juridique précisant les obligations de chaque partie et reprenant les dispositions de l'article 28 du RGPD. En particulier, le contrat doit prévoir que le sous-traitant :
- informe immédiatement le responsable de traitement en cas d'instruction qui, selon lui, constitue une violation du règlement général sur la protection des données ou de la loi informatique et libertés ;
Pour tout projet commencé avec un nouveau sous-traitant (n'ayant pas la qualité de centre participant), un audit est effectué. Il couvre notamment la vérification des plans qualité et sécurité du sous-traitant, la validation des systèmes informatiques avec l'existence d'un système de sauvegarde et de récupération des données, et de mesures destinées à garantir leur confidentialité et leur intégrité.
Les responsables de traitement adressent à la Commission nationale de l'informatique et des libertés un seul engagement de conformité à la présente méthodologie pour l'ensemble des traitements qu'ils mettent en œuvre dès lors qu'ils sont réalisés en conformité avec l'ensemble des dispositions de la méthodologie. Une demande d'avis auprès du CEREES n'est pas requise.
Le responsable de traitement est tenu d'enregistrer son traitement de données auprès du répertoire public mis à disposition par l'Institut national des données de santé.
La présente méthodologie de référence entre en vigueur à compter de sa publication au Journal officiel.