6.1. Formalités
Chaque responsable de traitement désigne un délégué à la protection des données, en application de l'article 37 du RGPD. Ce délégué à la protection des données aura notamment pour mission de contrôler le respect de la conformité des traitements mis en œuvre selon la présente méthodologie.
Les responsables de traitement adressent à la Commission un seul engagement de conformité à la présente méthodologie pour l'ensemble des traitements qu'ils mettent en œuvre dès lors qu'ils sont réalisés en conformité avec l'ensemble des dispositions de la méthodologie. Une demande d'avis auprès du comité d'expertise pour les études dans le domaine de la santé (CEREES) n'est pas requise.
Conformément à l'article 30 du RGPD, le responsable de traitement tient à jour, au sein du registre des activités de traitement, la liste des traitements mis en œuvre dans le cadre de la présente méthodologie.
6.2. Principe de transparence
La mise à disposition des données du SNDS et de ses composantes est conçue de façon à rendre compte de leur utilisation à la société civile. A cette fin, l'article L. 1461-3 du CSP subordonne l'accès aux données du SNDS et de ses composantes à la communication à l'INDS de plusieurs éléments par le responsable de traitement, avant et après l'étude.
Ainsi, le responsable du traitement s'engage à enregistrer auprès du répertoire public tenu par l'INDS chaque étude réalisée dans le cadre de cette méthodologie de référence. Cet enregistrement, à effectuer par le responsable de traitement ou la personne agissant pour son compte, avant le début de chaque étude, s'accompagne de la transmission à l'INDS d'un dossier comportant :
- le protocole, incluant la justification de l'intérêt public, ainsi qu'un résumé, selon le modèle mis à disposition par l'INDS ;
- en rapport avec l'objet de l'étude, la déclaration d'intérêts du responsable du traitement et celle du laboratoire de recherche ou du bureau d'études, telle que prévue par l'article 5 de l'arrêté du 17 juillet 2017 précité.
A la fin de l'étude, la méthode et les résultats obtenus devront être communiqués à l'INDS en vue de leur publication dans le respect du secret des affaires et de la propriété intellectuelle.
L'enregistrement du traitement et la transmission des résultats sont effectués conformément aux modalités définies par l'INDS.
6.3. Audits externes
Le responsable de traitement s'engage à faire réaliser en son sein tous les trois ans un audit externe indépendant à compter de l'engagement de conformité à la présente méthodologie de référence puis tous les trois ans après le premier audit réalisé, en vue de s'assurer du respect des principes portés par la loi, en particulier le respect des finalités interdites. L'audit porte sur les finalités poursuivies et sur l'utilisation par le responsable de traitement des résultats des études réalisées.
Le rapport d'audit est transmis au président du comité d'audit du SNDS prévu par la loi informatique et libertés.