2.1. Finalité des traitements
Les traitements de données à caractère personnel des personnes se prêtant à des recherches doivent avoir pour seule finalité la réalisation des recherches décrites à l'article 1.2 ci-dessus.
Ces traitements incluent la gestion des données relatives aux personnes se prêtant à des recherches, en vue de permettre le recueil, la saisie des cahiers d'observation, le contrôle de validité et de cohérence et l'analyse statistique des données recueillies au cours de la recherche.
2.2. Origine et nature des données
2.2.1. Nécessité du recours à des données à caractère personnel
L'identification des personnes se prêtant à des recherches ne peut être réalisée, dans un traitement visé par les présentes dispositions, qu'au moyen d'un numéro d'ordre ou d'un code alphanumérique, établi conformément à l'article 2.2.3, et à l'exclusion de toute donnée à caractère personnel directement identifiante.
Ce mode d'identification est nécessaire pour :
- certifier que, pour chaque personne se prêtant à des recherches, les informations recueillies successivement au cours de la recherche et susceptibles de provenir de plusieurs sources la concernent ;
- permettre au responsable de traitement d'identifier les personnes concernées par une modification ou une interruption du traitement en cours de recherche, en vue de la confrontation d'informations provenant de plusieurs professionnels de santé intervenant dans la recherche, des progrès ou des résultats de recherches parallèles et d'en informer le ou les professionnels de santé intervenant dans la recherche, qui sont les seuls à pouvoir contacter rapidement et sans erreur les personnes concernées ;
- vérifier, par la réalisation de contrôles de validité et de cohérence, la concordance des données recueillies au cours de la recherche avec celles des documents sources auxquels seul le professionnel de santé intervenant dans la recherche peut accéder ;
- satisfaire aux obligations réglementaires en tenant à jour un registre des événements ou effets indésirables qui peuvent survenir en cours de recherche.
2.2.2. Origine des données
Les données relatives aux personnes se prêtant à des recherches proviennent des intéressés eux-mêmes et des professionnels de santé intervenant dans la recherche.
2.2.3. Nature des données
En application de l'article 6 (3°) de la loi informatique et libertés, les données traitées doivent être pertinentes, adéquates et non excessives au regard des finalités du traitement. A cet égard, le responsable de traitement s'engage à ne collecter que les données strictement nécessaires et pertinentes au regard des objectifs de la recherche. Dès lors, chacune des catégories de données ne peut être collectée que si leur traitement est justifié scientifiquement dans le protocole de recherche.
Les seules catégories de données à caractère personnel relatives aux personnes se prêtant à la recherche pouvant faire l'objet du traitement sont les suivantes :
- identification : numéro d'ordre ou code alphanumérique à l'exclusion des nom(s), prénom(s) et du numéro d'inscription au répertoire national d'identification des personnes physiques. Lorsque le code alphanumérique se compose de lettres correspondant aux nom et prénom des personnes se prêtant à la recherche, il peut correspondre aux deux premières lettres du nom et à la première lettre du prénom. Il est toutefois recommandé de se limiter aux seules initiales, c'est-à-dire à la première lettre du nom et à la première lettre du prénom. Ces initiales peuvent être complétées d'un numéro d'inclusion et/ou d'un numéro de centre participant ;
- santé : les données strictement nécessaires à la réalisation de la recherche et relatives à la santé de la personne qui s'y prête, par exemple : poids, taille, thérapie suivie dans le cadre de la recherche et concomitante, résultats d'examens, suivi et traitement des données relatives aux effets et événements indésirables survenant au cours de la recherche, antécédents personnels ou familiaux, maladies ou événements associés ;
- informations signalétiques : âge ou date de naissance (mois et année de naissance, voire jour de naissance si ce dernier est nécessaire à la réalisation d'une recherche impliquant des personnes âgées de moins de deux ans), lieu de naissance, sexe ;
- images : photographie et/ou vidéo ne permettant pas l'identification des personnes se prêtant à la recherche (par exemple avec masquage du visage, des signes distinctifs) et recueillies dans des conditions conformes aux dispositions applicables en matière de droit à l'image et de droit à la voix ;
- dates relatives à la conduite de la recherche (notamment la date d'inclusion et les dates de visites) ;
- origine ethnique ;
- données génétiques strictement nécessaires pour répondre aux objectifs ou finalités de la recherche, ne permettant pas par elles-mêmes une identification directe ou indirecte de la personne. Ces données ne pourront en aucun cas être utilisées aux fins d'identification ou de réidentification des personnes ;
- situation familiale ;
- niveau de formation (par exemple, primaire, secondaire, supérieur) ;
- catégorie socioprofessionnelle (par exemple, les catégories INSEE) ;
- vie professionnelle : profession actuelle, historique, chômage, trajets et déplacements professionnels ;
- régime d'affiliation à la sécurité sociale à l'exclusion du numéro d'inscription au répertoire national d'identification des personnes physiques, assurance complémentaire (mutuelle, assurance privée) ;
- participation à d'autres recherches ou études (oui ou non) ;
- déplacements (vers le lieu de soin : mode, durée, distance) ;
- consommation de tabac, alcool, drogues ;
- habitudes de vie et comportements, par exemple : dépendance (seul, en institution, autonome, grabataire), assistance (aide-ménagère, familiale), exercice physique (intensité, fréquence, durée), régime et comportement alimentaire ;
- mode de vie : par exemple urbain, semi-urbain, nomade, sédentaire ; habitat (maison particulière ou immeuble, étage, ascenseur, etc.) ;
- vie sexuelle ;
- statut vital, lorsque cette information figure dans le document source ;
- montant annuel des indemnités perçues ;
- échelle de qualité de vie.
Seul le professionnel de santé qui dirige la réalisation de la recherche dans un centre peut conserver le lien entre l'identité codée des personnes se prêtant à la recherche et leurs nom(s) et prénom(s).
2.3. Destinataires des données à caractère personnel traitées
Sous la responsabilité du responsable de traitement ou en application de dispositions légales ou réglementaires spécifiques, ont accès aux données traitées, dans les limites de leurs habilitations au regard de leur fonction et dans des conditions conformes à la réglementation, les catégories de personnes suivantes :
- le responsable de traitement et les personnes agissant pour son compte ;
- le responsable scientifique de la recherche ;
- les professionnels de santé intervenant dans la recherche et les personnels agissant sous leur responsabilité ;
- les personnes, au sein des centres participant à la recherche, responsables de l'assurance de qualité, c'est-à-dire chargées de contrôler et d'évaluer la qualité et l'authenticité des données collectées, et notamment par la comparaison des données enregistrées avec le contenu des documents sources. Ces personnes veillent également, sous la responsabilité du responsable de traitement, au respect des dispositions relatives à l'intégrité et à la protection des personnes.
S'agissant des contrôles menés pour s'assurer de la qualité de la recherche et notamment de l'accès des attachés de recherche clinique (ARC) et techniciens d'étude clinique (TEC) aux dossiers médicaux des patients, ils doivent répondre aux règles suivantes en matière de confidentialité :
• être réalisés sous la direction et la surveillance d'un professionnel de santé intervenant dans la recherche ;
• les personnes doivent être habilitées par le responsable de traitement ;
• les personnes concernées doivent en être informées et donner leur accord ;
• la personne chargée du contrôle qualité ne peut avoir accès qu'aux données individuelles nécessaires à ce contrôle, préalablement identifiées par le responsable scientifique de la recherche ;
• les données consultées servent à vérifier l'authenticité et la cohérence des informations recueillies dans le cahier d'observation et si nécessaire à les corriger, compléter, pour autant que les règles de confidentialité soient respectées ;
- les personnes chargées des affaires réglementaires et de l'enregistrement de la recherche auprès des autorités compétentes ;
- les personnels d'autorités sanitaires et d'autorités publiques de contrôle légalement habilités, dans le cadre d'une mission particulière ou de l'exercice d'un droit de communication ;
- les personnes chargées des analyses statistiques ;
- les personnels habilités agissant sous la responsabilité de l'organisme d'assurance garantissant la responsabilité civile du promoteur, notamment en application de l'article L. 1121-10 du code de la santé publique.
Ces catégories de personnes, soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal, peuvent relever du responsable de traitement, des centres participants à la recherche ou de structures agissant pour le compte du responsable de traitement.
Les données peuvent être transmises aux sociétés du groupe auquel appartient le responsable de traitement et à ses partenaires contractuels, sous une forme qui ne doit pas permettre l'identification directe ou indirecte des personnes se prêtant à la recherche.
Conformément au troisième alinéa de l'article 55 de la loi informatique et libertés, la présentation des résultats du traitement de données ne peut en aucun cas permettre l'identification directe ou indirecte des personnes se prêtant à la recherche.
2.4. Information et droits des personnes se prêtant à la recherche
2.4.1. Information des personnes
Outre une information générale sur l'éventualité que leurs données puissent être utilisées à des fins de recherche, en application de l'article 59 de la loi informatique et libertés, les personnes se prêtant à la recherche et/ou leurs représentants légaux sont, en application de l'article 57 de cette même loi, préalablement et individuellement informés du traitement de leurs données à caractère personnel, notamment :
- de la nature des informations transmises ;
- de la finalité du traitement de données ;
- des personnes physiques ou morales destinataires des données ;
- du droit d'accès et de rectification institués aux articles 39 et 40 de la loi informatique et libertés ;
- du droit d'opposition institué aux premier et troisième alinéas de l'article 56 de la loi informatique et libertés.
Les personnes se prêtant à la recherche et/ou leurs représentants légaux sont également préalablement informés du caractère facultatif de leur participation et des modalités d'exercice des droits d'accès, de rectification et d'opposition.
Dans l'hypothèse de recueil d'informations par questionnaire remis à la personne se prêtant à la recherche et/ou à ses représentants légaux, les mêmes informations sont mentionnées sur le questionnaire ou la lettre jointe.
2.4.2. Modalités d'exercice des droits des personnes se prêtant à la recherche
Le droit d'accès peut être exercé à tout moment auprès du professionnel de santé intervenant dans la recherche, directement ou par l'intermédiaire d'un médecin désigné à cet effet par la personne concernée.
Le droit de rectification prévu par l'article 40 de la loi informatique et libertés vise la correction de données inexactes, incomplètes ou équivoques au moment de leur collecte. La rectification de ces données pourra être effectuée à tout moment auprès du professionnel de santé intervenant dans la recherche.
La personne qui entend s'opposer au traitement des données à caractère personnel la concernant à des fins de recherche dans le domaine de la santé peut exprimer, à tout moment, son opposition par tout moyen auprès soit du responsable de la recherche, soit de l'établissement ou du professionnel de santé détenteur de ces données.
Le responsable de traitement s'engage à mettre en œuvre des procédures permettant qu'il soit donné suite à ces demandes dans un délai maximal de deux mois.
2.5. Durée de conservation
Les données à caractère personnel relatives aux personnes se prêtant à une recherche, et traitées à cette fin, ne peuvent être conservées dans les systèmes d'information du responsable de traitement, du centre participant ou du professionnel de santé intervenant dans la recherche que jusqu'à la mise sur le marché du produit étudié ou jusqu'au rapport final de la recherche ou jusqu'à la publication des résultats de la recherche.
Elles font ensuite l'objet d'un archivage sur support papier ou informatique pour une durée conforme à la réglementation en vigueur.
Les personnes énumérées à l'article 2.3 peuvent en tant que de besoin accéder à ces données afin d'effectuer des analyses complémentaires ou dans le cadre de nouvelles demandes d'enregistrement auprès des autorités compétentes des médicaments, dispositifs et produits visés, dès lors que les traitements ainsi mis en œuvre le sont pour une finalité compatible avec la finalité initiale, conformément à l'article 6 de la loi informatique et libertés et font l'objet des formalités préalables distinctes auprès de la commission.