Les méthodologies de référence MR-001, -003, -004, -005 et -006 sont explicitées dans une publication de la Cnil.
Les nouvelles méthodologies de référence
Il s’agit des méthodologies de référence, adoptées cette année, relatives au traitement de données de santé dans le cadre de la recherche. Ces nouvelles méthodologies tendent à simplifier ces traitements pour encourager la recherche et l’innovation. Ces nouvelles méthodologies visent également à se mettre à jour du nouveau cadre juridique créé par le Règlement européen pour la protection des données personnelles (RGPD) et la nouvelle loi Informatique et libertés (2).
Les méthodologies de référence modifiées sont les suivantes :
- la MR-001 qui concerne dorénavant les traitements de données personnelles effectués dans le cadre de recherches impliquant la personne humaine avec recueil du consentement obligatoire ;
- la MR-003 qui concerne dorénavant les traitements de données personnelles effectués dans le cadre de recherches impliquant la personne humaine sans recueil du consentement obligatoire.
Les méthodologies de référence créées sont les suivantes
- la MR-004 qui concerne les traitements de données personnelles à des fins d’étude, d’évaluation ou de recherche n’impliquant pas la personne humaine ;
- la MR-005 qui encadre l’accès par des établissements de santé et des fédérations hospitalières aux données du Programme de médicalisation des systèmes d’information (PMSI) et aux RPU (Résumé de passage aux urgences) mises à disposition sur la plateforme sécurisée de l’Agence technique de l’information sur l’hospitalisation (ATIH) pour réaliser des études ;
- et enfin la MR-006 qui encadre l’accès par des industriels de santé aux données du Programme de médicalisation des systèmes d’information (PMSI) de l’Agence technique de l’information sur l’hospitalisation (ATIH) pour réaliser des études.
Les enjeux liés à ces nouvelles méthodologies de référence
En principe, les traitements de données à caractère personnel ayant pour finalité la recherche dans le domaine de la santé ne peuvent être réalisés qu’après autorisation de la Cnil. En revanche, la Cnil dispose de la possibilité de publier des méthodologies de référence (comme l’y autorise l’article 11, I, 2° a) bis de la loi Informatique et libertés).
L’intérêt d’une méthodologie de référence est de simplifier les formalités préalables pour les responsables de traitement. Ainsi, au lieu d’une demande d’autorisation auprès de la Cnil, les responsables de traitement concernés procèdent à une déclaration de conformité, au terme de laquelle ils s’engagent à se conformer en tous points avec cette dernière.
Il n’est d’ailleurs pas nécessaire de refaire une déclaration de conformité, si une demande a déjà été réalisée pour l’ancienne version, sous réserve d’être conforme au nouveau texte.
Dans l’hypothèse où le traitement ne répond pas en tous points aux dispositions de la nouvelle méthodologie de référence :
- une demande d’autorisation auprès de la Cnil redevient nécessaire pour les recherches impliquant la personne humaine ;
- le dépôt d’un dossier auprès de l’INDS (Institut National des Données de Santé) est nécessaire pour les recherches n’impliquant pas la personne humaine.
Il convient alors, pour les acteurs du milieu, de connaître les modifications et apports de ces nouvelles méthodologies, afin d’apprécier leur conformité.
Les principales modifications à retenir
Les changements principaux apportés par ces nouvelles méthodologies de référence peuvent être résumés par les points suivants :
- le RGPD impose directement certaines modifications pour les MR-001, 003 et 004, en particulier :
- l’obligation pour le responsable de traitement de désigner un délégué à la protection des données (DPO) ;
- l’information des personnes, dont le contenu doit être conforme aux dispositions de l’article 13 ou 14 du RGPD ;
- l’exclusion du champ de la méthodologie de référence, lorsque l’analyse d’impact indique que le traitement présenterait, malgré les mesures prises en application de l’article 35 du RGPD pour atténuer le risque, un risque résiduel élevé pour les droits et libertés des personnes concernées ;
- les dispositions relatives aux transferts des données hors Union européenne.
- Il existe dorénavant un aménagement de l’information individuelle des personnes en cas de réutilisation de données (données déjà collectées pour une recherche antérieure ou au fil de l’eau, dans le cadre de la prise en charge du patient : MR-004) ou lorsque l’information délivrée lors de la collecte des données et/ou échantillons biologiques renvoie à un dispositif spécifique d’information, auquel les personnes concernées pourront se reporter avant la mise en œuvre de chaque futur traitement (par exemple : un site Internet).
- Les méthodologies de référence incluent dorénavant la possibilité, pour le sous-traitant du responsable de traitement, de traiter des données directement identifiantes, sous certaines conditions et pour des missions précises (remboursement des frais, indemnités, suivi des personnes, livraison des produits). En revanche, le traitement de données directement identifiantes et de données de santé par le même sous-traitant reste exclu de la méthodologie de référence (à l’exception du nom de l’organisme responsable de traitement, quand bien même ce dernier pourrait révéler un domaine de santé).
Autres nouveautés
- Les méthodologies de référence incluent dorénavant le traitement du département de résidence (le traitement de la commune de résidence et les données de géocodage demeurent exclus).
- Il est maintenant possible de communiquer des données à des experts ou chercheurs indépendants chargés de ré-analyser les données, à condition de limiter la communication à de la simple consultation (par un procédé technique empêchant toute extraction de données).
- Les méthodologies de référence incluent dorénavant de nouveaux types de recherches, notamment les recherches à risques et contraintes minimes, pour lesquelles l’information peut être collective en fonction des exigences méthodologiques de la recherche et sous réserve d’un avis favorable du Comité de protection des personnes (CPP) (article L. 1122-1-4 du code de la santé publique) (MR-003).
- Il existe dorénavant une dérogation au principe du consentement écrit (MR-003 & MR-004) lors d’un examen des caractéristiques génétiques lorsque, conformément à l’article L. 1131-1-1 du CSP, il s’agit d’une recherche scientifique réalisée à partir d’éléments du corps d’une personne prélevés à l’origine d’autres fins que la recherche, à condition que la personne soit dûment informée et puisse exercer un droit d’opposition. En revanche, dans l’hypothèse où l’information des personnes n’est pas possible et que le traitement requiert alors l’avis du CPP (tel que prévue à l’article L. 1131-1-1 du CSP), la méthodologie de référence ne s’applique plus et une demande d’autorisation auprès de la Cnil redevient nécessaire.
Le site de la Cnil présente ces modifications dans leurs intégralités (3). Il convient de s’y reporter avant d’effectuer une déclaration de conformité.
Enfin, une nouvelle version de la MR-002 qui concerne les études non interventionnelles de performances de dispositifs médicaux de diagnostic in vitro, apparaitra d’ici la fin de l’année 2018.
Marguerite Brac de La Perrière
Amélie Salvat
Lexing Droit de la santé
Notes
(1) Cnil, Publication du 16 juillet 2018.
(2) Loi n°78-17 du 6 janvier 1978 modifiée par loi n°2018-493 du 20 juin 2018.
(3) Cnil, seconde publication du 16 juillet 2018.