Retour aux articles

Recherches sur le Covid-19 : mobilisation de la CNIL

Affaires - Immatériel
26/03/2020
Plusieurs acteurs de la santé souhaitant mettre en œuvre rapidement des projets de recherche portant sur le Covid-19, la Commission nationale de l'informatique et des libertés (CNIL) se mobilise en conséquence pour instruire en priorité, dans des délais extrêmement courts, ces demandes d’autorisation dans l’hypothèse où les traitements de données envisagés ne seraient pas conformes aux méthodologies de référence.
On retiendra que si le projet de recherche est une recherche interne, aucune formalité n’est requise. Le responsable de traitement doit inscrire le traitement de données concerné dans son registre des activités de traitement.

Si le projet de recherche est conforme aux dispositions d’une méthodologie de référence, il faut réaliser (si cela n’a pas déjà été fait) une déclaration de conformité à la méthodologie de référence correspondante. Il peut être mis en œuvre dès que cette formalité est effectuée.
A cette fin, il faut voir la liste des méthodologies de référence, procéder à une déclaration de conformité., penser à documenter la conformité de votre traitement à la MR.

Si le projet de recherche n’est pas conforme aux dispositions d’une méthodologie de référence, il faut déposer une demande d’autorisation « recherche ».
En plus des éléments habituellement requis (avis du comité compétent, protocole de recherche et son résumé, document d’information destiné aux patients, etc.), la CNIL recommande, afin de faciliter l’instruction en urgence de la demande de détailler les points de non-conformité du projet de traitement à la méthodologie de référence (ex : impossibilité d’informer les personnes concernées, accès du responsable de traitement à des données directement identifiantes) ; vérifier que le protocole ou tout document présentant l’étude précise clairement : les destinataires des données directement identifiantes ; la durée de conservation des données et, le cas échéant, des échantillons biologiques, exprimée en années (en base active et en archivage) ; transmettre, en cas d’inclusion en situation d’urgence et en situation d’urgence vitale immédiate : la note d’information à destination du proche ou de la personne de confiance (patient hors d'état d'exprimer sa volonté) ; la note d'information de poursuite à destination du patient ; la note d'information de poursuite à destination du proche ou de la personne de confiance (inclusion en situation d'urgence vitale immédiate).

La CNIL précise également les modalités à suivre d’une demande d’autorisation « recherche ».
Le dépôt d’un dossier de demande d’autorisation recherche « impliquant la personne humaine (RIPH) » s’effectue via le formulaire disponible sur le site web de la CNIL.
Le dépôt d’un dossier de demande d’autorisation recherche « n’impliquant pas la personne humaine (RNIPH) » s’effectue via le formulaire disponible sur le site web de la plateforme des données de santé.
Il faut faire figurer les termes « COVID-19 » dans la partie « finalité » ou « dénomination » du formulaire afin de permettre aux services de la CNIL d’identifier votre dossier comme prioritaire.

La CNIL précise enfin ce qu’il convient de faire si le dossier est incomplet.
S’il manque encore certaines pièces, par exemple l’avis d’un CPP, la demande et les éléments d’ores et déjà finalisés peuvent être adressés aux services de la CNIL en vue de leur pré-instruction, à l’adresse suivante : recherchecovid19[@]cnil.fr
Cette adresse est strictement réservée à la transmission d’informations et de pièces préalablement à une demande d’autorisation portant sur des traitements contenant des données de santé et relatifs au Covid-19, en vue de leur pré-instruction.
L’envoi d’éléments via cette messagerie ne dispense pas le responsable de traitement du dépôt ultérieur d’une demande d’autorisation.
Toute modification apportée aux éléments déjà transmis devra nous être signalée lors du dépôt de la demande d’autorisation.
CNIL, 26 mars 2020
Source : Actualités du droit