La mise en œuvre de traitements de données à caractère personnel intervenant dans le cadre de l'étude s'effectue sous la responsabilité du responsable de traitement, et du laboratoire de recherche ou bureau d'études agissant pour son compte, dans le respect des dispositions des articles 24, 25, 28, 32 à 35 du RGPD, ainsi que de l'arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS et de l'arrêté du 17 juillet 2017 relatif au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études.
Les systèmes mettant à disposition les données du PMSI doivent ainsi être conformes au référentiel de sécurité applicable au SNDS précité ; deux modalités de mise à disposition sont incluses dans le cadre de cette méthodologie de référence :
- les données sont mises à disposition du laboratoire de recherche ou bureau d'études par l'intermédiaire du prestataire d'accès sécurisé désigné par l'ATIH ;
- les données sont exportées vers un laboratoire de recherche ou un bureau d'études disposant d'une solution sécurisée et ayant conclu une convention avec l'ATIH.
La Commission rappelle qu'il appartient au responsable de traitement, conformément au référentiel fixé par l'arrêté du 17 juillet 2017 précité, de s'assurer que le contrat conclu avec le laboratoire de recherche ou bureau d'études précise les mesures et les conditions de sécurité attestant de la conformité à l'arrêté du 22 mars 2017 précité.