Règlement (UE) 2016/679, articles 9.2 j) et 89

DPO externalisé pour la recherche clinique et les essais

La recherche sur données de santé repose sur une exception distincte de celle du soin : c'est le point j) de l'article 9.2 du règlement (UE) 2016/679, complété par les garanties de l'article 89. Confondre les deux est l'écart structurant du secteur, parce qu'il fait reposer un protocole de recherche sur une base légale qui ne le couvre pas.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Soigner et chercher ne reposent pas sur la même exception

Une donnée collectée pour soigner l'est au titre de l'article 9.2 h). La réutiliser dans un protocole de recherche est un traitement ultérieur, qui doit trouver sa propre exception : l'article 9.2 j), qui vise les finalités de recherche scientifique, sous réserve des garanties appropriées prévues à l'article 89.1. Ces garanties ne sont pas déclaratives : l'article 89.1 cite expressément la pseudonymisation et impose des mesures techniques et organisationnelles assurant le respect du principe de minimisation.

L'article 5.1 b) du règlement prévoit par ailleurs qu'un traitement ultérieur à des fins de recherche scientifique n'est pas considéré comme incompatible avec les finalités initiales, dès lors que les garanties de l'article 89.1 sont réunies. Cette présomption de compatibilité est précieuse, mais elle est conditionnelle : c'est la mise en œuvre effective des garanties qui l'ouvre, pas l'intitulé du protocole.

Le consentement à la recherche n'est pas la base légale du traitement

La recherche impliquant la personne humaine suppose le recueil du consentement ou de la non-opposition de la personne qui s'y prête. Cette exigence relève du droit de la recherche, et non du règlement : elle protège l'intégrité de la personne, pas ses données. Les deux régimes coexistent et ne se remplacent pas.

Il en résulte une conséquence que les protocoles omettent souvent : le retrait du consentement à participer à la recherche met fin à la participation, mais n'emporte pas automatiquement l'effacement des données déjà collectées, dont la conservation peut rester nécessaire à l'intégrité scientifique de l'étude. L'information remise à la personne doit dire exactement ce qui se passe dans cette hypothèse, sous peine de promettre un effacement qui ne sera pas exécuté.

Qui est responsable de quoi

La qualification des rôles est le point où les protocoles multicentriques se compliquent, et elle ne peut pas être tranchée par une clause contractuelle prise isolément : elle dépend de qui détermine réellement les finalités et les moyens, au sens de l'article 4.7 du règlement.

Le promoteur

Il définit le protocole, les données collectées et leur destination : il détermine les finalités et les moyens essentiels du traitement de recherche, et répond donc en qualité de responsable du traitement.

Le centre investigateur

Il reste responsable du traitement pour les données de soin de ses patients, qu'il traite au titre du point h. Sur les données du protocole, sa qualification dépend de sa latitude réelle : suivre un protocole sans marge d'appréciation n'est pas déterminer une finalité.

Le prestataire de recherche

L'organisme qui exécute des travaux pour le compte du promoteur, sans déterminer de finalité propre, est sous-traitant au sens de l'article 4.8, et le contrat doit porter les clauses de l'article 28.3.

Ce que la CNIL attend d'un dossier de recherche

La CNIL a adopté des méthodologies de référence auxquelles un traitement de recherche peut être déclaré conforme, ce qui allège la formalité préalable. Cette déclaration de conformité n'est pas un régime déclaratif de complaisance : elle engage le responsable sur le respect intégral de la méthodologie choisie, et un écart constaté lors d'un contrôle fait tomber le bénéfice de la déclaration pour l'ensemble du traitement.

Le dossier attendu comporte, au minimum, le protocole, la note d'information remise aux personnes, l'analyse d'impact lorsque le traitement porte à grande échelle sur des données de l'article 9, la description des mesures de pseudonymisation, et la cartographie des destinataires et des flux, transferts vers des pays tiers compris. Ces pièces se constituent au fil de l'étude ; reconstituées après coup, elles n'établissent rien.

Questions fréquentes

Peut-on réutiliser des données de soin pour une recherche sans en informer les patients ?

La réutilisation doit reposer sur l'article 9.2 j) et respecter les garanties de l'article 89.1 du règlement (UE) 2016/679. L'information des personnes reste due au titre de l'article 14 lorsque les données n'ont pas été collectées auprès d'elles pour cette finalité, sous réserve des exceptions prévues au paragraphe 5 de ce même article, dont l'appréciation doit être motivée par écrit et non présumée.

La pseudonymisation suffit-elle à sortir du champ du RGPD ?

Non. Le considérant 26 du règlement énonce que les données pseudonymisées, susceptibles d'être attribuées à une personne physique par le recours à des informations supplémentaires, restent des données à caractère personnel. La pseudonymisation est une garantie exigée par l'article 89.1, pas une sortie du champ d'application. Seule une anonymisation irréversible produit cet effet.

Un promoteur établi hors de l'Union relève-t-il du RGPD ?

L'article 3.2 a) du règlement soumet au texte le responsable établi hors de l'Union qui traite des données de personnes se trouvant dans l'Union en lien avec une offre de biens ou de services. Une étude conduite dans des centres situés dans l'Union entre dans ce champ, et l'article 27 impose alors, sauf exception, la désignation d'un représentant dans l'Union.

Une analyse d'impact est-elle obligatoire pour un essai clinique ?

L'article 35.3 b) du règlement l'impose pour les traitements à grande échelle de données de l'article 9, ce qui couvre la plupart des essais. L'analyse porte sur le traitement tel qu'il est réellement mis en œuvre, flux vers les prestataires et les pays tiers compris, et elle est révisée lorsque le protocole est amendé sur un point qui modifie le risque.

Ce que ce régime déclenche ailleurs

Un promoteur établi hors de l'Union qui conduit une étude dans des centres européens relève de l'article 3.2 et doit, sauf exception, désigner un représentant au titre de l'article 27.

Désigner un représentant dans l'Union

Questionnaires de santé, tarification et profilage, distinction entre assureur et intermédiaire, sollicitation et durées : la conformité d'un porteur de risque et de son réseau.

Assurance

Obligations de vigilance et principe de minimisation, décision automatisée sur l'octroi, sous-traitance en cascade et articulation avec DORA pour les entités financières.

Fintech

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.