1.1. Définitions
Au sens de la présente méthodologie, les termes suivants sont ainsi définis :
- donnée à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée »). Est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;
- traitement : toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ;
- responsable de traitement : la personne physique ou morale qui, seule ou conjointement avec d'autres, est responsable d'une recherche impliquant la personne humaine, en assure la gestion, vérifie que son financement est prévu et qui détermine les finalités et les moyens des traitements nécessaires à celle-ci. Il s'agit du promoteur de la recherche ;
- responsable scientifique de la recherche : la personne désignée par le responsable de traitement, et agissant sous sa responsabilité, veillant à la qualité, l'intégrité et à la sécurité des informations et de leur traitement, ainsi qu'au respect de la finalité de celui-ci. Il peut s'agir de l'investigateur coordonnateur ;
- sous-traitant : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement. Il s'agit par exemple du lieu de recherche, d'une société de recherche sous contrat ou d'un prestataire de services informatiques, de centres de ressources biologiques ou d'hébergeurs de données de santé ;
- professionnel(s) intervenant dans la recherche : la (ou les) personne(s) physique(s) qui collecte(nt) les données, dirige(nt) ou surveille(nt) la réalisation de la recherche dans un lieu de recherche. Il s'agit notamment de l'investigateur, des collaborateurs de l'investigateur agissant sous sa responsabilité, des professionnels de santé, du personnel médical et des personnes qualifiées, au sens des dispositions des articles L. 1121-5 et L. 1121-3 du code de la santé publique ;
- lieu de recherche : le lieu dans lequel la recherche est réalisée. Il est considéré comme sous-traitant au sens des principes de la loi « Informatique et Libertés » et du règlement général sur la protection des données ;
- données génétiques : données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d'une personne physique qui donnent des informations uniques sur la physiologie ou l'état de santé de cette personne physique et qui résultent, notamment, d'une analyse d'un échantillon biologique de la personne physique en question ;
- consentement : manifestation de volonté libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par un acte positif clair, sa participation à la recherche y compris l'examen des caractéristiques génétiques. Il est écrit ou exprès selon les cas prévus par la loi ;
- système fils : système hébergeant ou mettant à disposition des données directement extraites du Système national des données de santé (SNDS) central ou d'un système source ou d'un autre système fils ; un système fils fait partie du « SNDS élargi » ;
1.2. Traitement de données à caractère personnel inclus dans le champ d'application de la présente méthodologie
Seuls peuvent faire l'objet d'un engagement de conformité à la présente méthodologie de référence, les traitements de données à caractère personnel présentant un caractère d'intérêt public et ayant pour finalité la réalisation de recherches dans lesquelles l'inclusion d'une personne requiert le recueil de son consentement, ou celui de ses représentants légaux ou les personnes, organes ou autorités chargés de les assister, de les représenter ou d'autoriser la recherche.
Les recherches pouvant bénéficier de la présente méthodologie sont les suivantes :
- les recherches impliquant la personne humaine telles que définies au 1° de l'article L. 1121-1 du code de la santé publique, c'est-à-dire les recherches interventionnelles qui comportent une intervention sur la personne non justifiée par sa prise en charge habituelle ;
- les recherches impliquant la personne humaine telles que définies au 2° de l'article L. 1121-1 du CSP, c'est-à-dire les recherches interventionnelles qui ne comportent que des risques et des contraintes minimes, dont la liste est fixée par arrêté du ministre chargé de la santé, après avis du directeur général de l'Agence nationale de sécurité du médicament et des produits de santé ;
- les recherches nécessitant la réalisation d'un examen des caractéristiques génétiques héréditaires ou acquises ;
- les recherches biomédicales soumises aux dispositions réglementaires antérieurement à l'entrée en vigueur de la loi n° 2012-300 du 5 mars 2012 relative aux recherches impliquant la personne humaine ;
- les essais cliniques tels que définis par le règlement (UE) n° 536/2014 du Parlement européen et du Conseil du 16 avril 2014 relatif aux essais cliniques de médicaments à usage humain et abrogeant la directive 2001/20/CE, à l'exception des essais cliniques pour lesquels la personne ne s'oppose pas à sa participation, dans le respect des conditions prévues par l'article 30 du règlement (essais cliniques par grappes).
Ne peuvent bénéficier de la présente méthodologie de référence :
- les recherches nécessitant un traitement de données génétiques dont l'objet, principal ou secondaire, est l'identification ou la réidentification des personnes par leurs caractéristiques génétiques ;
- les recherches, études ou évaluations nécessitant un traitement des données depuis des bases médico-administratives nationales, notamment celles du système national des données de santé (SNDS) et de ses composantes ;
- les recherches pour lesquelles l'information et le recueil du consentement ne sont pas conformes au paragraphe 2.5.1 de la présente méthodologie de référence ou pour lesquelles il est envisagé de déroger à l'obligation d'information des titulaires de l'autorité parentale s'agissant du traitement de données à caractère personnel de personnes mineures ;
- les recherches pour lesquelles l'analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel (« analyse d'impact relative à la protection des données ») indique que le traitement présenterait, malgré les mesures prises en application de l'article 35 du RGPD pour atténuer le risque, un risque résiduel élevé pour les droits et libertés des personnes concernées ;
- les recherches nécessitant le traitement du numéro d'inscription au répertoire national d'identification des personnes physiques (NIR).