1.1. Définitions
Au sens de la présente méthodologie, les termes suivants sont ainsi définis :
- donnée à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée ») ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;
- traitement : toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ;
- responsable de traitement : la personne physique ou morale qui, seule ou conjointement avec d'autres, est responsable d'une recherche, étude ou évaluation n'impliquant pas la personne humaine, en assure la gestion, vérifie que son financement est prévu et qui détermine les finalités et les moyens des traitements nécessaires à celle-ci ;
- responsable scientifique ou responsable de la mise en œuvre de la recherche : la personne désignée par le responsable de traitement, et agissant sous sa responsabilité, veillant à la qualité, l'intégrité et la sécurité des informations et de leur traitement, ainsi qu'au respect de la finalité de celui-ci ;
- sous-traitant : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement. Il s'agit par exemple du centre participant, d'une société de recherche sous contrat ou d'un prestataire de services informatiques, de centres de ressources biologiques ou d'hébergeurs de données de santé ;
- professionnel(s) intervenant dans la recherche : la (ou les) personne(s) physiques qui collecte(nt) les données, dirige(nt) ou surveille(nt) la réalisation de la recherche dans un centre participant. Il s'agit notamment des professionnels de santé, du personnel médical et de personnes qualifiées ;
- centre participant : organisme détenant, collectant et/ou transmettant des données et/ou des échantillons biologiques utilisés dans le cadre de la recherche, de l'étude ou de l'évaluation ;
- données génétiques : données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d'une personne physique qui donnent des informations uniques sur la physiologie ou l'état de santé de cette personne physique et qui résultent, notamment, d'une analyse d'un échantillon biologique de la personne physique en question ;
- protocole : document indiquant notamment la méthodologie de la recherche, l'objectif du traitement des données à caractère personnel, les catégories de personnes concernées par le traitement, l'origine, la nature et la liste des données à caractère personnel utilisées et la liste des justifications de recours à celles-ci, la durée et les modalités d'organisation de la recherche, de l'étude ou de l'évaluation, la méthode d'analyse des données, ainsi que, lorsque les caractéristiques de l'étude, de la recherche ou de l'évaluation l'exigent, la justification du nombre de personnes et la méthode d'observation ou d'investigation retenue ;
- recherche : recherche n'impliquant pas la personne humaine, étude ou évaluation dans le domaine de la santé ;
- système fils : système hébergeant ou mettant à disposition des données directement extraites du Système National des Données de Santé (SNDS) central ou d'un système source ou d'un autre système fils ; un système fils fait partie du « SNDS élargi » ;
1.2. Traitements de données à caractère personnel inclus dans le champ d'application de la présente méthodologie
Seuls peuvent faire l'objet d'un engagement de conformité à la présente méthodologie de référence les traitements de données à caractère personnel ayant pour finalité la réalisation de recherches, études et évaluations dans le domaine de la santé ne répondant pas à la définition des recherches impliquant la personne humaine telles que définies à l'article L. 1121-1 du CSP et présentant un caractère d'intérêt public. Un protocole de recherche doit être rédigé et validé scientifiquement par le responsable de traitement avant le début de la mise en œuvre du traitement des données.
Ne peuvent bénéficier de la présente méthodologie de référence :
- les recherches impliquant la personne humaine, telles que définies aux articles L. 1121-1 et R. 1121-1 et suivants du code de la santé publique ;
- les recherches en génétique dont l'objet, principal ou secondaire, est l'identification ou la ré-identification des personnes par leurs caractéristiques génétiques ;
- les recherches, études ou évaluations nécessitant un traitement des données depuis des bases médico-administratives, notamment celles du SNDS et de ses composantes ;
- les recherches nécessitant un appariement par le responsable de traitement entre les données déjà existantes d'un même individu issues de plusieurs centres participants ;
- les recherches pour lesquelles, s'agissant de l'information des personnes concernées, il est fait application de l'exception prévue à l'article 14, paragraphe 5, point b) du RGPD ;
- les recherches pour lesquelles l'analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel (« analyse d'impact relative à la protection des données ») indique que le traitement présenterait, malgré les mesures prises en application de l'article 35 du RGPD pour atténuer le risque un risque résiduel élevé pour les droits et libertés des personnes concernées ;
- les recherches nécessitant le traitement du numéro d'inscription au répertoire national d'identification des personnes physiques (NIR).