Source: https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000037187443&dateTexte=&oldAction=rechJO&categorieLien=id&idJO=JORFCONT000037186583
Timestamp: 2018-11-15 09:36:43+00:00
Document Index: 233063562

Matched Legal Cases: ["l'article 5", "l'article 30", '§2', "l'article 5", "l'article 2", "l'article 2", "l'article 5", "l'article 5", "l'article 35", "l'article 45", "l'article 46", "l'article 13", "l'article 37"]

Délibération n° 2018-154 du 3 mai 2018 portant homologation de la méthodologie de référence relative au traitement des données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé ne nécessitant pas le recueil du consentement de la personne concernée (MR-003) et abrogeant la délibération n° 2016-263 du 21 juillet 2016 | Legifrance
Vous êtes dans : Accueil> Rechercher un numéro du JO depuis 1990> Délibération n° 2018-154 du 3 mai 2018 portant homologation de la méthodologie de référence relative au traitement des données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé ne nécessitant pas le recueil du consentement de la personne concernée (MR-003) et abrogeant la délibération n° 2016-263 du 21 juillet 2016
NOR: CNIL1818705X
Vu la décision n° 2016-263 du 21 juillet 2016 portant homologation d'une méthodologie de référence relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé ne nécessitant pas le recueil du consentement exprès ou écrit de la personne concernée (MR-003) ;
Le Règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après « le règlement général sur la protection des données » - RGPD) et notamment l'article 5, point 2, prévoit que le responsable de traitement doit être en mesure de démontrer que les principes du règlement sont respectés. L'article 9, paragraphe 4 du RGPD précise que les Etats membres peuvent maintenir ou introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques ou des données concernant la santé.
Ainsi, en application de la loi du 6 janvier 1978 modifiée (ci-après « loi informatique et libertés »), les traitements de données à caractère personnel à des fins de recherche, étude ou évaluation dans le domaine de la santé sont autorisés par la Commission nationale de l'informatique et des libertés.
En 2016, la Commission a adopté une méthodologie de référence relative aux recherches dans le domaine de la santé ne nécessitant pas le recueil du consentement de la personne concernée.
Titre Ier : DÉFINITIONS ET CHAMP D'APPLICATION 1.1. Définitions
- responsable scientifique de la recherche : la personne désignée par le responsable de traitement, et agissant sous sa responsabilité, veillant à la qualité, l'intégrité et la sécurité des informations et de leur traitement, ainsi qu'au respect de la finalité de celui-ci. Il peut s'agir de l'investigateur coordonnateur ;
- professionnel(s) intervenant dans la recherche : la (ou les) personne(s) physique(s) qui collecte(nt) les données, dirige(nt) ou surveille(nt) la réalisation de la recherche dans un lieu de recherche. Il s'agit notamment de l'investigateur, des collaborateurs de l'investigateur agissant sous sa responsabilité, des professionnels de santé, du personnel médical et des personnes qualifiées, au sens des dispositions des articles L.1121-5 et L. 1121-3 du CSP ;
- lieu de recherche : le lieu dans lequel la recherche est réalisée. Il est considéré comme sous-traitant au sens des principes de la loi informatique et libertés et du règlement général sur la protection des données.
Seuls peuvent faire l'objet d'un engagement de conformité à la présente méthodologie de référence, les traitements de données à caractère personnel présentant un caractère d'intérêt public ayant pour finalité la réalisation de recherches dans lesquelles l'inclusion d'une personne suppose qu'elle et/ou ses représentants légaux ou les personnes, organes ou autorités chargées de les assister, de les représenter ou d'autoriser la recherche ne se soit pas opposée(s) à sa participation à la recherche après avoir été dûment informée(és).
- les recherches impliquant la personne humaine telles que définies au 3° de l'article L. 1121-1 du code de la santé publique, c'est-à-dire les recherches non interventionnelles qui ne comportent aucun risque ni contrainte dans lesquelles tous les actes sont pratiqués et les produits utilisés de manière habituelle ;
- les recherches impliquant la personne humaine mentionnées au 2° de l'article L. 1121-1 du CSP, dont les caractéristiques et les conditions de réalisation sont prévues à l'article L. 1122-1-4 du CSP ;
- les recherches visant à évaluer les soins courants soumises aux dispositions législatives et réglementaires antérieurement à l'entrée en vigueur de la loi n° 2012-300 du 5 mars 2012 relative aux recherches impliquant la personne humaine ;
- les essais cliniques pour lesquels la personne ne s'oppose pas à sa participation, dans le respect des conditions prévues par l'article 30 du règlement UE n° 536/2014 du Parlement européen et du Conseil du 16 avril 2014 relatif aux essais cliniques de médicaments à usage humain et abrogeant la directive 2001/20/CE (essais cliniques par grappes).
- les recherches nécessitant le recueil d'un consentement exprès de la personne concernée ;
- les recherches nécessitant des traitements de données génétiques dont l'objet, principal ou secondaire, est l'identification ou la réidentification des personnes par leurs caractéristiques génétiques ;
- les recherches, études ou évaluations nécessitant un traitement des données depuis des bases médico-administratives nationales, notamment celles du SNDS et de ses composantes ;
- les recherches pour lesquelles l'information n'est pas conforme au §2.5.1 de la présente méthodologie de référence ou pour lesquelles il est envisagé de déroger à l'obligation d'information des titulaires de l'autorité parentale s'agissant du traitement de données à caractère personnel de personnes mineures ;
Titre II : TRAITEMENTS RELATIFS AUX DONNÉES DES PERSONNES CONCERNÉES PAR DES RECHERCHES 2.1. Finalité des traitements
- de communiquer à la personne les informations concernant sa santé conformément à l'art. L1122-1 du code de la santé publique.
- des intéressés eux-mêmes et/ou de leur(s) représentant(s) légal(-aux) ;
En application de l'article 5, paragraphe 1, point c du RGPD, les données traitées doivent être pertinentes, adéquates et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données). À cet égard, le responsable de traitement s'engage à ne collecter que les données strictement nécessaires et pertinentes au regard des objectifs de la recherche. Dès lors, chacune des catégories de données ne peut être collectée que si leur traitement est justifié scientifiquement dans le protocole de recherche.
- dans le strict respect des conditions prévues à l'article 2.3.2. de la présente méthodologie : données administratives d'identification des personnes se prêtant à la recherche (nom, prénom, coordonnées postales, électroniques et téléphoniques, coordonnées bancaires) ;
- données génétiques strictement nécessaires pour répondre aux objectifs ou finalités de la recherche, ne pouvant en aucun cas être utilisées aux fins d'identification ou de réidentification des personnes, et dont le traitement s'effectue dans les conditions suivantes :
- réutilisation de données génétiques, obtenues dans le cadre de la prise en charge médicale ou lors d'une recherche antérieure selon les dispositions législatives applicables alors en vigueur ou,
- réalisation d'un examen des caractéristiques génétiques selon les conditions prévues au premier alinéa de l'article L. 1131-1-1 du CSP ;
- échelle de qualité de vie ou autre information sur la qualité de vie de la personne.
Sous la responsabilité du responsable de traitement ou en application de dispositions légales ou réglementaires spécifiques, les catégories de personnes décrites ci-après ont accès aux données traitées, dans les limites de leurs habilitations au regard de leurs fonctions et dans des conditions conformes à la réglementation.
2.3.2 Destinataires de données directement identifiantes
- les professionnels de santé intervenant dans la recherche et les personnels agissant sous leur responsabilité ou leur autorité, concernant les personnes dont ils assurent la prise en charge dans le cadre de la recherche ;
- les personnes, responsables du contrôle et de l'assurance de qualité, lors de la visite ou du contrôle au sein des centres investigateurs, chargées de contrôler et d'évaluer la qualité et l'authenticité des données collectées, et notamment par la comparaison des données enregistrées avec le contenu des documents sources. Ces personnes veillent également, sous la responsabilité du responsable de traitement, au respect des dispositions relatives à l'intégrité et à la protection des personnes. Ainsi, les contrôles menés pour s'assurer de la qualité de la recherche (par exemple : accès des attachés de recherche clinique (ARC) et techniciens d'étude clinique (TEC) aux dossiers médicaux des patients) doivent répondre aux règles suivantes en matière de confidentialité :
- les personnes destinataires des données doivent être mandatées et habilitées par le responsable de traitement ;
- les données consultées servent à vérifier l'authenticité et la cohérence des informations recueillies et si nécessaire à les faire corriger, compléter, pour autant que les règles de confidentialité soient respectées ;
- le suivi des personnes concernées tel qu'il est précisé dans le protocole de recherche (par exemple : envoi d'un message textuel (SMS) pour compléter un questionnaire en ligne, activation d'un compte informatique en vue de l'utilisation d'une application connectée) ou ;
- la livraison et la récupération à domicile des produits de santé et/ou du matériel et/ou d'échantillons nécessaire(s) à la réalisation de la recherche ;
- le sous-traitant n'a pas accès aux données de santé relatives aux personnes se prêtant à la recherche. À l'exception de l'identité du responsable de traitement, la référence de la recherche transmise à l'organisme ne doit pas permettre de révéler une pathologie ou un état de santé sur les personnes concernées ;
- les données sont conservées par le sous-traitant pendant une durée qui n'excède pas la durée nécessaire à la réalisation de ses missions ;
Conformément aux dispositions de la loi informatique et libertés, la présentation des résultats du traitement de données ne peut en aucun cas permettre l'identification directe ou indirecte des personnes se prêtant à la recherche.
- le cas échéant de la conformité de l'accès distant aux données aux dispositions relatives au transfert des données hors de l'Union européenne décrites dans la présente méthodologie de référence ;
- remplacer toutes les dates par des délais par rapport à une date charnière de l'étude (inclusion, randomisation,…) ;
- limiter les données transmises aux données utilisées dans la publication ;
2.5.1. Information des personnes
En application des dispositions de la loi « informatique et libertés », une information générale sur l'éventualité que les données des personnes puissent être utilisées à des fins de recherche doit être assurée dans tout établissement ou centre où s'exercent des activités de prévention, de diagnostic et de soins.
En outre, les personnes concernées par la recherche ou, le cas échéant, les personnes, organes ou autorités chargés de les assister, de les représenter ou d'autoriser la recherche au sens de l'article L. 1122-1 du CSP sont préalablement et individuellement informés lors d'un traitement de leurs données à caractère personnel, ayant pour fin une recherche visée dans la présente méthodologie.
Dans le cas de la réalisation d'un examen des caractéristiques génétiques réalisé conformément à l'article L. 1131-1-1 du CSP, les personnes concernées sont également informées du projet de recherche selon les dispositions de cet article.
Les personnes se prêtant à la recherche et/ou les personnes, organes ou autorités chargés de les assister, de les représenter ou d'autoriser la recherche au sens de l'article L. 1122-1 du CSP sont également préalablement informés du caractère facultatif de leur participation et des modalités d'exercice de leurs droits.
Lorsque les données à caractère personnel sont recueillies oralement, le professionnel intervenant dans la recherche remet ou fait préalablement parvenir aux personnes concernées par la recherche et/ou leurs représentants légaux un document contenant ces informations.
S'agissant du cas particulier des recherches impliquant la personne humaine mentionnées au 2° de l'article L. 1121-1 du CSP et réalisées selon les conditions prévues à l'article L. 1122-1-4 du CSP, l'information des personnes concernées peut être collective et les personnes concernées peuvent exercer leur droit d'opposition, conformément au paragraphe ci-dessous. Les modalités et le contenu de l'information sont évalués par le comité de protection des personnes.
La personne qui entend s'opposer au traitement des données à caractère personnel la concernant à des fins de recherche dans le domaine de la santé peut exprimer, à tout moment et sans avoir à justifier sa décision, son opposition par tout moyen auprès soit du responsable de la recherche ou de l'établissement ou auprès du professionnel détenteur de ces données, conformément à la loi « informatique et libertés ».
Les données à caractère personnel relatives aux personnes se prêtant à une recherche, et traitées à cette fin, ne peuvent être conservées dans les systèmes d'information du responsable de traitement, du centre investigateur ou du professionnel intervenant dans la recherche que jusqu'à deux ans après la dernière publication des résultats de la recherche ou, en cas d'absence de publication, jusqu'à la signature du rapport final de la recherche. Elles font ensuite l'objet d'un archivage sur support papier ou informatique pour une durée de vingt ans maximum ou pour une durée conforme à la réglementation en vigueur.
Les personnes énumérées à l'article 2.3 peuvent en tant que de besoin accéder à ces données afin d'effectuer des analyses complémentaires ou dans le cadre de nouvelles demandes d'enregistrement auprès des autorités compétentes des médicaments, dispositifs et produits visés, dès lors que les traitements ainsi mis en œuvre le sont pour une finalité compatible avec la finalité initiale, conformément à l'article 5, paragraphe 1, point b) du RGPD et font l'objet de formalités préalables distinctes.
Titre III : TRAITEMENTS RELATIFS AUX DONNÉES DES PROFESSIONNELS INTERVENANT DANS LA RECHERCHE 3.1. Finalité des traitements
En application de l'article 5, paragraphe 1, point c) du RGPD, les données traitées doivent être adéquates, pertinentes, et limitées à ce qui est strictement nécessaire au regard des finalités du traitement. À cet égard, le responsable de traitement s'engage à ne collecter que les données strictement nécessaires et pertinentes au regard des objectifs de la recherche.
Ces catégories de personnes, soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal, peuvent relever du responsable de traitement, des lieux de recherche ou de structures agissant pour le compte du responsable de traitement.
En particulier, le responsable de traitement effectue une analyse d'impact relative à la protection des données, menée conformément aux dispositions de l'article 35 du règlement général sur la protection des données, qui doit couvrir en particulier les risques sur les droits et libertés des personnes concernées. Il met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté aux risques identifiés. Une seule et même analyse peut porter sur un ensemble d'opérations de traitement similaires qui présentent des risques similaires.
Dans le cadre de la présente méthodologie, seules peuvent faire l'objet d'une utilisation les données provenant de systèmes fils conformes aux dispositions des articles L. 1461-1 et suivants du code de la santé publique, ainsi qu'au référentiel de sécurité applicable au SNDS prévu par l'arrêté du 22 mars 2017.
Les données indirectement identifiantes des personnes se prêtant à la recherche et les données directement ou indirectement identifiantes des professionnels intervenant dans la recherche peuvent faire l'objet d'un transfert hors de l'Union européenne lorsque le transfert est strictement nécessaire à la mise en œuvre de la recherche ou à l'exploitation de ses résultats et dans les conditions prévues au Chapitre V du règlement général sur la protection des données.
- le transfert s'effectue à destination d'un pays ou une organisation internationale reconnus par la Commission européenne comme assurant un niveau de protection adéquat, conformément à l'article 45 du RGPD (décision d'adéquation) ;
- le transfert s'effectue moyennant des garanties appropriées, listées à l'article 46, paragraphe 2 du RGPD (notamment : clauses contractuelles types approuvées par la commission européenne, règles d'entreprise contraignantes, code de conduite, mécanisme de certification) ;
Le responsable de traitement doit avoir préalablement informé les personnes concernées du transfert de leurs données à caractère personnel vers des pays tiers à l'Union européenne, de l'existence ou de l'absence d'une décision d'adéquation ou de garantie appropriée et enfin des moyens d'en obtenir une copie conformément à l'article 13, paragraphe 1, point f du règlement général sur la protection des données.
Lorsque le responsable de traitement fait appel à un ou des sous-traitants, il s'assure que celui-ci présente des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du RGPD, de la « loi informatique et libertés » et garantisse la protection des droits de la personne concernée.
- désigne, le cas échéant, un délégué à la protection des données conformément à l'article 37 du RGPD ;
L'engagement de conformité à la présente méthodologie ne dispense pas le responsable de traitement de réaliser les démarches nécessaires prévues par les dispositions du code de la santé publique, notamment auprès d'un comité de protection des personnes.
La délibération n° 2016-263 du 21 juillet 2016 portant homologation d'une méthodologie de référence relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé ne nécessitant pas le recueil du consentement exprès ou écrit de la personne concernée (MR-003) est abrogée.
Il n'est pas nécessaire que les responsables de traitement ayant déjà réalisé un engagement de conformité à la MR 003 précitée procèdent à un nouvel engagement de conformité à la présente méthodologie de référence, sous réserve que les traitements mis en œuvre y soient conformes.