Règle numéro 1 : respecter le cadre légal
Les sources juridiques
Le traitement des données de santé est encadré par le vode de la santé publique, le Règlement Général sur la Protection des Données (RGPD) et la loi informatique et liberté de 1978.
Articles L.1121-1 à L.1128-12 du code de la santé publique
Ces articles encadrent les recherches impliquant la personne humaine (RIPH) et imposent des autorisations.
Le Comité de Protection des Personnes (CPP) est en charge de délivrer un avis sur les conditions de validité de toute recherche impliquant la personne humaine.
La loi informatique et libertés
Elle impose l’anonymisation des données et le respect des méthodologies afin de garantir la sécurité et la confidentialité des données des participants.
La Commission nationale de l’informatique et des libertés (CNIL) s’assure du respect des règles en matière de protection des données.
La notion de donnée de santé se veut très large. Elle s’entend comme toute information relative à la santé physique ou mentale, passée, présente ou future d’une personne. Cela inclut les dossiers médicaux, les résultats d’examens ou encore les données issues d’applications de suivi.
Le principe, prévu à l’article 6 de la loi informatique et liberté, est l’interdiction du traitement des données concernant la santé. Les seuls exceptions sont prévues à l’article 44 de la même loi, sous certaines conditions, dont l’intérêt public porté par un projet de recherche.
"L'article 6 ne s'applique pas si […]
3° Les traitements comportent des données concernant la santé justifiés par l'intérêt public et conformes aux dispositions de la section 3 du chapitre III du présent titre".
Enfin, concernant le traitement des données, la CNIL rappelle que :
"Le principe lors du traitement des données de santé est la collecte de données pertinentes, adéquates et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées".
Les autorisations essentielles
Les autorisations visent à protéger les participants et à garantir que la recherche respecte les standards éthiques et scientifiques. Ces dernières dépendent de 4 catégories distinctes :
- Recherches interventionnelles nécessitant le consentement des participants, l’autorisation du CPP, de la CNIL et éventuellement de l’ANSM.
- Recherches non interventionnelles nécessitant l’information des participants et leur non opposition, l’accord du CPP et suivre l’engagement MR 003 ou obtenir l’avis de la CNIL.
- Recherches non interventionnelles sur la base de données déjà recueillies nécessitent l’information et la non-opposition du patient et suivre l’engagement MR 004 ou obtention de l’avis CNIL.
Le recueil de consentement
- Le consentement écrit est obligatoire pour les recherches interventionnelles. Les participants doivent être informés clairement sur les objectifs, la méthodologie et leurs droits.
- Pour les recherches non interventionnelles, si le recueil du consentement n’est pas prévu par la méthodologie MR 003, il reste une obligation d’information.
Lors de la délivrance de l’information, il doit être tenu compte de la situation personnelle des patients et elle doit être adaptée. Une vigilance particulière est requise pour les mineurs ou majeurs protégés.
Règle numéro 2 : assurer la sécurité des données
Dès lors que vous traitez des données de santé, vous êtes responsable de la sécurité de ces données.
Les bonnes pratiques
- Anonymisez : Supprimez les noms, prénoms et dates de naissance pour éviter tout risque d’identification.
- Attribuez un identifiant unique : Utilisez des numéros pour identifier les participants.
- Stockez séparément : Conservez les correspondances identité-données dans un fichier sécurisé protégé par un mot de passe.
- Cryptez vos fichiers : Utilisez des outils afin de protéger vos bases de données.
- Sauvegardez régulièrement : Préférez des serveurs internes sécurisés ou des disques durs chiffrés.
Ce qu’il faut éviter
- Ne stockez pas les données sur des services cloud non conformes (Google Drive, par exemple).
- Ne transférez jamais de données non cryptées via des supports comme une clé USB car cela expose les données à des risques de fuite.
Besoin d’aide pour vos démarches ?
- Le RGPD introduit la notion de data protection officer (DPO), adressez-vous à la personne désignée au sein de votre établissement en cas d’interrogation sur le respect du RGPD et de la loi informatique et libertés.
- Nous rappelons qu’en votre qualité de doctorant ou d’étudiant, c’est votre établissement qui doit effectuer les démarches auprès de la CNIL afin d’obtenir les autorisations requises.
- Le site de la CNIL regorge également d’informations et de bonnes pratiques.
