CNIL et recherche clinique constituent aujourd’hui un cadre incontournable pour tous les acteurs impliqués dans les essais cliniques en France. Avec la montée en puissance de l’utilisation des données de santé, la conformité au RGPD et aux exigences de la CNIL est devenue un enjeu technique incontournable.
Dans ce contexte, les promoteurs doivent intégrer très en amont les contraintes liées à la protection des données personnelles.
CNIL et recherche clinique : un cadre juridique structuré
Les interactions entre la CNIL et la recherche clinique reposent sur plusieurs textes de référence :
- le RGPD (Règlement UE 2016/679)
- la loi Informatique et Libertés modifiée
- la loi Jardé (recherches impliquant la personne humaine)
Le RGPD classe les données de santé comme des données sensibles (article 9), dont le traitement est en principe interdit sauf exceptions, notamment pour la recherche scientifique.
https://www.cnil.fr/fr/reglement-europeen-protection-donnees
En parallèle, la CNIL encadre précisément les traitements de données dans la recherche via des méthodologies de référence .
Les méthodologies de référence (MR) de la CNIL
Les méthodologies de référence définies par la CNIL distinguent deux grands types de recherches en santé :
1. Recherches impliquant la personne humaine (RIPH)
- MR-001 : recherches nécessitant le consentement des participants
- MR-002 : études non interventionnelles
- MR-003 : recherches ne nécessitant pas de consentement
Elles couvrent l’essentiel des essais cliniques et des recherches observationnelles.
2. Recherches n’impliquant pas la personne humaine (RNIPH)
- MR-004 : recherches hors RIPH sur données existantes
- MR-005 : accès aux données du PMSI via l’ATIH
- MR-006 : accès au PMSI pour les industriels de santé
Ces méthodologies sont centrales pour les analyses en vie réelle.
3. Recherches nécessitant un accès à la base principale du SNDS
– MR007 : accès à la base du SNDS par organismes agissant dans le cadre de leur mission d’intérêt public
– MR008 : accès à la base du SNDS par organismes agissant dans le cadre de leurs droits légitimes
Ces méthodologies permettent aux promoteurs de :
- déclarer leur conformité
- éviter une demande d’autorisation individuelle
- standardiser les pratiques
En revanche, tout projet sortant de ce cadre nécessite une autorisation spécifique de la CNIL.
Consentement et base légale : une distinction essentielle
Dans le contexte de la CNIL et recherche clinique, il est crucial de distinguer :
- le consentement à participer à l’étude
- la base légale du traitement des données
Contrairement à une idée reçue, le traitement des données repose souvent sur :
- une mission d’intérêt public
- ou l’intérêt légitime du promoteur
Les participants doivent néanmoins recevoir une information complète sur :
- la finalité du traitement
- le type de données collectées
- la durée de conservation
- leurs droits (accès, rectification, opposition, limitation)
Minimisation, pseudonymisation et sécurité
Dans la recherche clinique, la CNIL impose des exigences fortes en matière de sécurité.
Principes clés :
1. Minimisation des données
Seules les données strictement nécessaires doivent être collectées.
2. Pseudonymisation
Les données doivent être traitées sans identification directe des patients.
3. Sécurité technique
Les promoteurs doivent mettre en place :
- chiffrement
- gestion des accès
- traçabilité
https://www.cnil.fr/fr/securite-des-donnees
Ces exigences sont renforcées dans le contexte des essais cliniques où les données sont particulièrement sensibles.
Durée de conservation et archivage
- durée active pendant l’étude
- archivage intermédiaire pour obligations réglementaires
- suppression ou anonymisation à terme
https://www.cnil.fr/fr/les-durees-de-conservation-des-donnees
La CNIL encadre également la durée de conservation des données de recherche clinique :
Dans les essais cliniques, les durées peuvent être longues en raison :
- des obligations réglementaires
- des audits
- de la pharmacovigilance
Réutilisation des données et recherche secondaire
Avec le développement du Real World Evidence (RWE), la CNIL doit gérer la réutilisation des données de recherche clinique.
Conditions principales :
- compatibilité avec la finalité initiale
- information des patients
- encadrement juridique adapté
https://www.cnil.fr/fr/reutilisation-des-donnees-de-sante
Dans certains cas, une nouvelle autorisation CNIL peut être nécessaire.
CNIL et recherche clinique : un enjeu stratégique
Aujourd’hui, les interactions de la CNIL et de la recherche clinique dépassent le simple cadre réglementaire.
Elles deviennent un levier pour :
- sécuriser les essais cliniques
- renforcer la confiance des patients
- faciliter l’accès aux données
Dans un environnement de plus en plus compétitif, notamment au niveau européen, la conformité aux exigences CNIL est un facteur clé de succès.
Conclusion
Les interactions de la CNIL et de la recherche clinique structurent profondément l’utilisation des données de santé en France. Entre RGPD, méthodologies de référence et exigences de sécurité, les acteurs doivent intégrer ces contraintes dès la conception des études.
