Retours de la Cnil sur l’application du RGPD dans les essais cliniques dans le contexte de pandémie

Pandémie de COVID-19 oblige, pour poursuivre les essais cliniques mais aussi en initier de nouveaux, tous les acteurs de la recherche clinique ont dû adapter leurs procédures. Les agences réglementaires ont publié dès le mois de mars 2020 des recommandations pour tenir compte du contexte de pandémie. À l’exemple des Agences du médicament européenne (European medicines agency, EMA) et américaine (Food & drug administration, FDA) qui ont publié des guides ouvrant notamment la voie à l’utilisation de la vidéo pour le suivi des patients ou proposant d’adapter les mesures de recueil du consentement tout en en rappelant les limites réglementaires. Au cours d’une conférence du Printemps de la recherche clinique organisé par l’Association française des prestataires de la recherche clinique (Afcros), le 25 mars 2021, Erik Boucher de Crevecoeur, ingénieur expert en technologie de l’information à la Commission nationale de l’informatique et des libertés (Cnil), a détaillé les travaux de l’organisme sur le sujet ainsi que les discussions en cours pour pérenniser certaines pratiques.

Les modalités d’information des patients

“Ce n’est pas parce qu’un dossier est urgent et relatif à la pandémie que ce n’est pas un dossier habituel”, a-t-il d’emblée souligné avant d’énumérer les points regardés par la Cnil dans les “dossiers COVID-19” : la conformité des modalités d’information des patients aux dispositions du code de la santé publique, le respect des droits des personnes, le respect du principe de minimisation, les mesures de sécurité appropriées comme la gestion des habilitation et la focalisation sur les points de non conformité aux MR (méthodologies de référence). Erik Boucher de Crevecoeur a ainsi indiqué : “il fallait concilier les besoins des chercheurs et de la protection de la vie privée des patients”, notant que la question des modalités d’information s’est “posée fréquemment”. “Il était important de pouvoir inclure un maximum de patients mais parfois ils arrivaient déjà en réanimation”, donc “hors d’état d’être informés au moment de l’inclusion”, a-t-il ajouté. Il a alors été autorisé d’inclure ces patients “avec une information différée (au moment du réveil) moyennant un effacement systématique des données en cas d’opposition du patient”. 

Une autre question “très fréquente” a concerné “la possibilité d’envoyer la note d’information par e-mail dans le cadre de certains projets de recherche”, a-t-il cité. Si la possibilité a été accordée “quand elle ne révèle aucune information sur l’état de santé, réel ou supposé, des participants à l’étude”, l’expert de la Cnil a alors émis des réserves sur des documents qui pourraient contenir “des informations de santé extrêmement sensibles” via des messageries grand public. Une solution a été de “sécuriser cet envoi avec un moyen de dépôt, un code de sécurité…” Si des adaptations ont été mises en oeuvre pour l’information aux patients, l’utilisation du consentement électronique est, elle, toujours un sujet de discussions au sein de la Cnil, comme l’a rappelé Erik Boucher de Crevecoeur : “le consentement pose des questions très importantes de savoir qui est derrière l’ordinateur pour signer, si la personne a bien lu, etc. Cela pose des questions technicojuridiques”.

Les précautions autour du suivi à distance

Erik Boucher de Crevecoeur a par ailleurs noté le besoin de “souplesse à trouver dans la manière de conduire des études dans un contexte de télétravail”. Il a ainsi rappelé que “s’est posée la question du monitoring à distance”. Après avoir partagé les lignes directrices de l’EMA sur la gestion des essais cliniques pendant la crise sanitaire et qui prévoyaient ce monitoring à distance, il a recommandé de “privilégier toute forme de monitoring n’incluant pas la consultation de données sources à distance dès que cela est possible et suffisant” et de prévoir “la possibilité de consultation à distance des données sources d’un patient sous réserve de conditions strictes”. Erik Boucher de Crevecoeur a ensuite expliqué que “le monitoring à distance ne répond pas strictement aux dispositions des MR actuelles”. Une étude existante qui passerait à distance ferait donc l’objet “d’une modification substantielle” et devrait demander un avis préalable au CPP (comité de protection des personnes). 

Pourtant, il a détaillé deux cas pour lesquels “il pourrait être envisagé à titre dérogatoire et temporaire de dispenser d’une demande d’autorisation”. Le premier est que le monitoring à distance soit le seul écart à une MR. Le deuxième repose sur le fait de suivre un certain nombre de recommandations sur l’information préalable et la non opposition des personnes concernées, la consultation du DPO (délégué à la protection des données) et la documentation de ce changement (solution retenue, garanties mises en place…), les précautions et le secret professionnel de l’ARC (attaché de recherche clinique), les conditions de sécurité générales et la vidéoconférence avec le centre d’investigation. Sur ces différents points, il a cité, entre autres, la mise en place de mesures de confidentialité renforcées et la formation spécifique de l’ARC qui doit par exemple s’assurer de consulter son ordinateur “dans un endroit clos sans passage de tiers et également d’utiliser uniquement du matériel informatique fourni par le promoteur et sécurisé”. Il a aussi mentionné l’hébergement, le traitement et l’administration des outils “depuis l’Union européenne” ainsi que le fait de faire appel à des “prestataires soumis aux juridictions européennes”.

Une publication dans les prochaines semaines ?

Toutes les recommandations partagées par Erik Boucher de Crevecoeur sont issues de “discussions en cours” avec les instances compétentes (Commission nationale des recherches impliquant la personne humaine, CNRIPH, Agence nationale de sécurité du médicament et des produits de santé, ANSM) et “à prendre sous réserve” d’aboutissement de ces discussions – “d’ici une à deux semaines” – qui pourraient faire l’objet d’une publication.