.avif)
Avant toute recherche en médecine impliquant des données de santé, il est impératif de vérifier votre conformité au RGPD et aux recommandations CNIL : cadre, responsabilités, données, sécurité et hébergement. Voici les vérifications indispensables.
Résumé de l’article
En France, une recherche en médecine impliquant des données de santé ne peut pas démarrer sans un cadrage rigoureux au regard du RGPD et de la CNIL. Avant même le premier patient, plusieurs vérifications sont essentielles : qualification du projet, choix de la formalité CNIL, définition des responsabilités… auxquels s’ajoutent des exigences spécifiques liées à l’hébergement HDS, à l’identitovigilance ou encore à l’utilisation d’entrepôts de données de santé. Cet article propose une lecture claire et opérationnelle des points à sécuriser pour éviter les erreurs coûteuses et démarrer sur des bases solides.
Avant toute chose, il faut qualifier précisément le projet. C’est cette étape qui détermine l’ensemble du cadre réglementaire. Une recherche interventionnelle, une étude de cohorte ou une recherche non-interventionnelle ne relèvent en effet pas des mêmes exigences. Une qualification approximative peut conduire à appliquer un cadre inadapté, avec des conséquences directes sur la conformité. Par ailleurs, certains projets qualifiés d’études internes ne nécessitent aucune formalité CNIL.
Cela dépend du type de recherche :
Un projet bien cadré sur le papier peut rapidement se fragiliser si les responsabilités ne sont pas clairement définies.
Le responsable de traitement décide pourquoi et comment les données sont utilisées et le sous-traitant agit pour son compte (ex : éditeur, hébergeur HDS). Si plusieurs acteurs décident ensemble, ils sont co-responsables.
Comment le démontrer ?
Le registre de traitement doit refléter fidèlement le projet : finalités, données, durées, sécurité. En cas d’audit, ce sera le premier élément analysé.
Un DPO intégré en amont permet d’anticiper les risques et d’éviter des ajustements tardifs. Trop souvent, il intervient alors que les choix structurants sont déjà faits.
La conformité repose sur un principe simple : ne collecter que ce qui est nécessaire. On parle ici de minimisation. Chaque donnée doit être justifiée par le protocole. Une collecte trop large, même par prudence, fragilise le projet au regard du RGPD.
Données de santé, données indirectement identifiantes, échantillons biologiques : plus la sensibilité est élevée, plus les exigences le sont. Cette réalité doit être anticipée dès la conception.
L’identitovigilance est essentielle pour garantir la qualité des données. L'identification du patient (INS) relève du système de soins et de la prise en charge. Dans le cadre d'un projet de recherche, les données directement identifiantes doivent être séparées des données de recherche, pseudonymisées et leur accès réservé aux personnes habilitées ; un rapprochement sur la base du NIR/INS n'est possible que dans un cadre spécifiquement autorisé par la CNIL.
Les participants doivent être informés de ce qui est fait de leurs données, pourquoi et pendant combien de temps elles vont être utilisées. Cette information est généralement fournie via une notice d’information individuelle en amont, puis rappelée au moment du recueil (formulaire ou questionnaire). En cas de modification du projet, une mise à jour est nécessaire.
Le consentement n’est pas systématiquement requis. Il dépend du type de recherche : il est obligatoire notamment pour les recherches impliquant la personne humaine (RIPH). Dans d’autres cas, par exemple pour certaines recherches non-interventionnelles, une simple information des participants peut suffire.
Lorsqu’il est requis, le consentement doit être libre, éclairé et traçable. Il faut conserver une trace fiable de son recueil et il doit être possible de le retirer.
Les données de santé doivent être hébergées, dans la plupart des cas, par un prestataire certifié HDS. Mais cette certification doit être analysée finement, notamment sur son périmètre réel et les responsabilités associées.
Pseudonymisation, gestion des habilitations, traçabilité : ces mécanismes doivent être en place dès le départ. Ils ne peuvent pas être ajoutés a posteriori sans fragiliser l’ensemble.
Dans un environnement interopérable, les échanges de données se multiplient. Chaque flux (API, HL7, FHIR) doit être sécurisé pour éviter toute faille dans la chaîne de traitement. Il faut déterminer qui envoie quoi, à qui, et dans quelles conditions de sécurité.
Lorsque les projets s’étendent, les règles évoluent.
Dès lors qu’une base est constituée dans le but d’être réutilisée pour de multiples études, elle peut relever du cadre des entrepôts de données de santé (EDS). Cela implique des exigences spécifiques en matière de gouvernance et de conformité.
Le Système National des Données de Santé (SNDS) offre un potentiel important, mais son accès est strictement encadré. Les délais et les exigences doivent être intégrés dès la phase de conception.
