Données : La Cnil publie les nouvelles méthodologies de référence

Cinq méthodologies de références (MR) ont été adoptées le 13 juillet par la Commission nationale informatique et libertés (Cnil). Pour certaines il s’agit d’évolution tandis que d’autres sont nouvellement créées. Ces textes ont pour objectif de “créer un cadre sécurisé pour la mise en oeuvre des traitements de recherche dans le domaine de la santé”, selon la Cnil. L’organisme justifie ces évolutions par les changements législatifs : “La loi du 5 mars 2012 relative aux recherches impliquant la personne humaine (RIPH), les modifications de la loi informatique & libertés, la création du Système national des données de santé (SNDS) et enfin, l’entrée en vigueur du Règlement général sur la protection des données (RGPD) ont rendu nécessaire la mise à jour des MR existantes (MR-001 & MR-003) et la création d’une nouvelle MR-004”. Les MR-005 et MR-006 découlent notamment de la création du SNDS. En effet, elles visent à simplifier l’accès aux données hospitalières (PMSI).

Évolutions liées aux MR-001, MR-003 et MR-004

Parmi les principales nouveautés des MR, citées par la Cnil, l’adaptation au RGPD implique, entre autres, la désignation d’un délégué à la protection des données (DPO) et l’exclusion du champ de la MR lorsque l’analyse d’impact indique que le traitement présenterait un risque résiduel élevé pour les droits et libertés des personnes concernées, indique la Cnil. La commission énumère également la possibilité de traitement des données directement identifiantes par des sous-traitants du responsable de traitements sous certaines conditions et pour des missions précises, ou encore la possibilité de traiter le département de résidence. Ces nouvelles méthodologies fournissent également la possibilité de communiquer des données à des experts ou chercheurs indépendants chargés de réanalyser les données. Enfin, la nouvelle MR-004 prévoit un aménagement de l’information individuelle des personnes en cas de réutilisation des données.

Les MR-005 et MR-006 dédiées aux données hospitalières

Ces deux textes encadrent l’accès aux données du PMSI. La première concerne tout établissement de santé ou une des cinq fédérations hospitalières (FHF, FHP, FEHAP, FNEHAD et Unicancer). La seconde est dédiée à “tout organisme produisant ou commercialisant des produits de santé (exemple : laboratoire pharmaceutique, fabricants de dispositifs médicaux), qui réalisent en particulier des études dans le cadre de la préparation des dossiers auprès des autorités sanitaires”. Outre l’exigence de désignation d’un DPO, les études devront être inscrites dans le répertoire public tenu par l’Institut national des données de santé (INDS) et avoir une finalité d’intérêt public. Pour la MR-006, la Cnil précise : “le traitement doit être réalisé via un bureau d’études/laboratoire de recherche, ayant réalisé auprès de la Cnil un engagement de conformité à l’arrêté du 17 juillet 2017”. Le responsable de traitement devra par ailleurs être à l’initiative d’audit externe tous les 3 ans. Avec ces textes, la Cnil clarifie les évolutions autour de l’utilisation des données. Reste la MR-002 qui concerne les études non interventionnelles de performance des dispositifs médicaux de diagnostic in vitro. La mise à jour est annoncée d’ici fin 2018.