CNIL, communiqué de presse du 9 novembre 2016
Délibérations de la CNIL n°2016-262 et n°2016-263 du 21 juillet 2016

À l’occasion de ses travaux de simplification en matière de recherche dans le domaine de la santé, la CNIL a procédé à une refonte de la méthodologie de référence MR-001 et adopté une MR-003 (ne nécessitant pas le recueil du consentement exprès du patient).

Ces nouvelles méthodologies tiennent comptes des récentes évolutions réglementaires dans ce domaine et posent un nouveau cadre plus favorable, avec des formalités allégées en contrepartie d’un strict respect de la vie privée du patient.

1. Finalités de traitement

La méthodologie de référence MR-001 (qui requière le consentement du patient) concerne :

– les recherches interventionnelles ou biomédicales, comprenant également les recherches à risques et contraintes minimes ;
– les essais cliniques de médicaments ;
– les recherches nécessitant la réalisation d’un examen des caractéristiques génétiques.

La méthodologie de référence MR-003 (qui ne requière  le consentement exprès du patient.) concerne :

– les essais cliniques par grappes ;
– les recherches visant à évaluer les soins courants ;
– les recherches non interventionnelles.

Sont exclues, les recherches qui :

– nécessitent l’identité des personnes concernées (nom, prénom…) ;
– nécessitent une association avec des données issues des bases médico-administrative ;
– portent sur des données génétiques qui ont pour objet ou pour effet d’identifier ou de ré-identifier les personnes.

2. Une utilisation limitée des données personnelles concernées

Chaque méthodologie de référence énumère les données du patient qui peuvent être utilisées. Le protocole de recherche doit scientifiquement en justifier le recours.

Les données utilisées ne doivent être qu’indirectement identifiantes. Seul le professionnel de santé qui prend en charge le patient peut avoir accès aux données nominatives. De même, les personnes ayant accès aux données sont précisément énumérées dans les méthodologies de référence.

Une analyse des risques pour la vie privée du patient doit être menée afin que le responsable de traitement définisse des mesures adéquates pour assurer la sécurité et la confidentialité des données collectées.

3. Durée de conservation

Les données des patients peuvent être conservées jusqu’à : (i) la mise sur le marché du produit étudié ; (ii) le rapport final de recherche ; ou (iii) la publication des résultats de la recherche.

Les données des professionnels de santé intervenant dans la recherche, peuvent être conservées jusqu’à cinq ans après la recherche à laquelle ils ont participé.

Ces données sont ensuite archivées sur support papier ou informatique pour la durée de droit commun.

Dans l’hypothèse où les données seraient réutilisées dans le cadre de nouvelles recherches, elles devront faire l’objet (i) de nouvelles formalités préalables auprès de la CNIL (déclaration, demande d’autorisation…) ; et (ii) d’une information spécifique auprès des personnes concernées.

4. Une obligation d’information écrite et individuelle des patients

Chaque patient doit avoir accès à une information générale concernant les activités de recherches dans l’établissement (par voie d’affichage, livret d’accueil, etc.), et recevoir une information individuelle concernant la recherche à laquelle il est invité à participer.

Les méthodologies de référence énumèrent les informations qui doivent être portées à la connaissance du patient pour chaque recherche.

5. Transfert hors de l’Union européenne

Le transfert hors de l’UE des données des patients participant à la recherche, n’est autorisé au titre de ces méthodologies que pour les données anonymes ou indirectement identifiantes (codées, pseudonymisées).

6. Formalités allégées

Les responsables de traitements n’ont désormais plus qu’à adresser à la CNIL leur engagement de conformité à une de ces méthodologies et, après obtention du récépissé de la CNIL, lancer l’ensemble des recherches entrant dans le champ d’application de la méthodologie de référence.

Il n’est plus nécessaire d’obtenir un avis du Comité consultatif sur le traitement de l’information en matière de recherche dans le domaine de la santé (CCTIRS).

7. Mise en conformité des traitements en cours

Les responsables de traitement ayant procédé à un engagement de conformité à la MR-001 dans sa version antérieure et qui ne respectent pas les conditions fixées par la nouvelle MR-001 disposent d’un délai de douze mois à compter de la publication de celle-ci pour mettre leur traitement en conformité. Il n’est pas nécessaire que ces organismes procèdent à un nouvel engagement de conformité.
Contact : stephanie.faber@squirepb.com