La recherche scientifique étant un domaine très réglementé, elle a été impactée par la mise en application du Règlement Général sur la Protection des Données ou RGPD en mai 2018. Ainsi, l’ancienne directive 2001/20/CE, remplacée par le règlement 536/2014 et liée aux essais cliniques, doit suivre les nouvelles directives du règlement européen.
RGPD essais cliniques : l’encadrement des méthodologies de référence
En vue de simplifier les démarches liées aux recherches médicales, la CNIL a adopté 5 méthodologies de référence ou MR en 2018, en plus de l’utilisation d’un outil rgpd. Elles visent à construire un cadre défenseur et favorable. Chacune de ces MR régit des traitements spécifiques au secteur de la recherche :
La MR-001
La MR-001 est relative aux recherches dans le domaine de la santé avec collecte des consentements.
La MR-003
Elle est relative aux mêmes recherches, mais sans collecte des consentements.
La MR-004
Elle concerne les recherches qui n’incluent pas la personne humaine ainsi que les évaluations et les études dans le secteur sanitaire.
Les MR-005 et MR-006
Elles encadrent les recherches incluant un PMSI ou Programme de Médicalisation des Systèmes d’Information.
Quand le promoteur d’un essai projette de réaliser une nouvelle étude, il est tenu d’effectuer un engagement qui démontre la conformité de l’essai à la MR correspondante. Toutefois, si cette conformité n’est pas attestée, il devra demander une autorisation à la CNIL pour chaque recherche qui inclue la personne humaine. À part la déclaration de conformité, le protocole de recherche doit également présenter toutes les données traitées en détail, ceci afin de justifier le traitement. Si les MR donnent un cadre de référence, celui-ci permet de déterminer quelles données sont traitées au cours de l’étude. Dans tous les cas, la CNIL conseille l’utilisation d’un logiciel rgpd pour respecter les dispositions du RGPD.
Informer le patient qui participe à un essai clinique
La mise à jour des notices d’information, destinée aux patients qui participent à un essai clinique, mérite également l’attention des laboratoires pharmaceutiques. En effet, avant qu’il participe à une étude, le patient doit connaître les modalités de collecte et de traitement de ses données personnelles. Pour toute recherche incluant la personne humaine, ces notices doivent être actualisées selon les directives du RGPD. Elles doivent faire apparaître les éléments suivants :
- l’identité du responsable de traitement (généralement, il s’agit du promoteur de l’étude) ;
- la base légale du traitement des données. Dans ce cas, il est important d’analyser la place du consentement dans l’étude clinique. L’European Data Protection Board ou EDPB donne son avis sur les études cliniques et permet de distinguer le consentement au sens du RGPD et le consentement du règlement CTR qui est spécifique aux essais cliniques. Il est essentiel d’analyser la base légale qui correspond le mieux à la recherche médicale. Quand le patient est en « position de faiblesse » (par exemple, il est atteint d’un grave problème de santé ou appartient à un groupe social économique désavantagé), on ne peut considérer le consentement comme une base légale adaptée. Dans le cadre des essais cliniques, l’intérêt légitime ou l’exécution d’une mission d’intérêt public sont à privilégier ;
- le contact du DPO sélectionné ;
- les droits des personnes concernées ;
- la durée de stockage des données ;
- la MR concernée ou l’autorisation accordée par la CNIL ;
- les transferts des données à l’international, le cas échéant.
Il est important de trouver un équilibre entre l’information liée à la sécurisation des données et à celle faisant l’objet de la notice. En d’autres termes, il s’agit de l’étude clinique elle-même. Lorsque la notice est rédigée, les CPP ou Comités de Protection des Personnes doivent recevoir une nouvelle version, puis la valider. Des modifications peuvent également être nécessaires.
Une mise en relation encore floue
Il existe encore de nombreuses zones d’ombre concernant l’articulation entre le RGPD et les règles du domaine de la recherche médicale. Cette confusion est accentuée par les strates de réglementation chez les praticiens du secteur juridique et médical. Ainsi, il est primordial d’analyser les nouveaux apports en la matière, car la conformité RGPD ne constitue pas un frein à la recherche médicale, contrairement aux idées reçues. Dans tous les cas, la responsabilisation des acteurs doit être une logique. Quel que soit le périmètre de recherche, le responsable de traitement devra être en mesure de démontrer à tout moment que le traitement réalisé est conforme aux exigences du RGPD. Pour cela, il est tenu de retracer toutes les démarches qu’il a entreprises dans un registre des traitements. Il s’agit d’une obligation fondamentale du règlement européen.
Pour en savoir plus sur la protection des données personnelles et la conformité au RGPD, consultez notre page dédiée à : Avocat RGPD.
