Votre établissement emploie des professionnels de santé qui mènent des recherches internes ? La CNIL rappelle les règles.
Qu’est-ce qu’un projet de recherche interne ?
Pour être qualifié d’« interne », un projet de recherche doit remplir trois conditions cumulatives :
- être réalisé à partir de données recueillies dans le cadre de la prise en charge individuelle des patients concernés ;
- par des personnels assurant ce suivi (pour la notion d’équipe de soins, se référer à l’article L 1110-12 du Code de la santé publique) ;
- pour l’usage exclusif de ces personnels.
On parle parfois de « recherches internes » ou d'« études internes ».
Les recherches internes doivent-elles faire l’objet de formalités préalables auprès de la CNIL ?
Non, les recherches internes ne sont pas soumises à l’obligation de réaliser des auprès de la CNIL.
Attention : Les recherches internes restent soumises aux obligations générales du RGPD applicables aux traitements de données personnelles, dont notamment :
- les obligations de documentation interne (ajout au registre des traitements de l’organisme, réalisation éventuelle d’une analyse d’impact relative à la protection des données, etc.) ;
- l’obligation d’informer les personnes concernées.
Que faire si un projet de recherche ne remplit pas strictement les critères de la recherche interne ?
La réalisation de formalités préalables s’impose dans ce cas. Il peut s’agir :
- d’une déclaration de conformité à un référentiel existant ;
- ou, à défaut de conformité en tous point à un référentiel, d’une autorisation préalable de la CNIL, après avis du comité compétent.
À noter : l’engagement de conformité à un référentiel n’est pas à réaliser pour chaque recherche. Il vaut pour l’ensemble des traitements d’un même entrant dans le champ du même référentiel.
Comment les participants à une recherche interne doivent-ils être informés ?
Les recherches internes sont soumises à l’obligation d’information des articles 12 à 14 du RGPD : les personnes concernées doivent être informées de façon concise, transparente, compréhensible et aisément accessible. Il est recommandé d’adopter une approche à plusieurs niveaux :
- une information « de premier niveau » remise individuellement à chaque patient (par exemple, dans une notice systématiquement remise aux patients venant réaliser un suivi dans l’établissement) ;
- et une information « de second niveau », accessible depuis ce premier support d’information. Elle peut par exemple figurer sur le portail de transparence de l’établissement, auquel renvoie la notice remise aux patients.
Excerpt from the official page. The original is authoritative. Continue reading at CNIL - Health Data ↗