RGPD et essai clinique : une nécessaire articulation

Secteur fortement réglementé, la recherche scientifique a été directement impactée par l’entrée en application du RGPD. La directive 2001/20/CE, remplacée en 2020 par le règlement 536/2014 relatif aux essais cliniques de médicaments à usage humain, doit ainsi s’articuler avec les nouvelles dispositions relatives à la protection des données personnelles.

1. L’encadrement spécifique des méthodologies de référence

La CNIL, dans un souci de simplification des démarches relatives à la recherche dans le domaine de la santé, a adopté en 2018 cinq méthodologies de référence (ou MR). Ces dernières ont pour objectif de créer un cadre protecteur et favorable à la recherche médicale.

Chaque MR offre ainsi un encadrement pour des traitements spécifiques au domaine de la recherche :

• La MR-001 concerne les recherches dans le domaine de la santé avec recueil du consentement ;
• La MR-003 concerne les recherches dans le domaine de la santé sans recueil du consentement ;
• La MR-004 encadre les recherches n’impliquant pas la personne humaine, études et évaluations dans le domaine de la santé ; et
• Les MR-005 et MR-006 pour les recherches impliquant un accès au Programme de médicalisation des systèmes d’information (PMSI).

Lorsque le promoteur d’un essai souhaite mettre en place une nouvelle étude, il doit effectuer un engagement attestant de la conformité de l’essai à la MR correspondante. En revanche, si le traitement n’est pas conforme, une demande d’autorisation doit être déposée auprès de la CNIL pour les recherches impliquant la personne humaine. Un dossier doit être déposé auprès de l’INDS (Institut National des Données de Santé) pour les projets n’impliquant pas la personne humaine.

Outre la déclaration de conformité et pour respecter le principe d’accountability, le protocole de recherche établi doit notamment détailler l’ensemble des données traitées pour en justifier le traitement. Les MR offrent alors un cadre, le protocole de recherche permet de spécifier quelles données sont spécifiquement traitées dans l’étude.

2. L’information du patient participant à un essai clinique

L’autre versant méritant l’attention des laboratoires pharmaceutiques concerne la mise à jour des notices d’information à destination des patients participant à un essai clinique. En effet, au préalable à sa participation à une étude, le patient doit être informé des différentes modalités des traitements effectuées sur ses données.

Pour les recherches impliquant la personne humaine, les notices d’information doivent être mises à jour au regard des nouvelles obligations du RGPD. Doivent figurer sur celles-ci :

• l’identité du responsable de traitement (dans la plupart des cas rencontrés, le responsable de traitement sera le promoteur de l’étude) ;
• les coordonnées du DPO désigné ou de l’agence RGPD choisie ;
• la base légale fondant le traitement de données. Sur ce point, il est intéressant d’étudier la place laissée au consentement dans l’étude clinique. En effet, l’avis de l’European Data Protection Board (EPDB) sur les études cliniques clarifie la distinction entre le consentement au sens du RGPD qui est un consentement au traitement de données personnelles et le consentement du règlement CTR spécifique aux essais cliniques. L’étude de la base légale la plus adaptée à la recherche médicale s’avère nécessaire. Le consentement n’est pas le fondement à privilégier surtout lorsque le patient est en « position de faiblesse » de par son appartenance à un groupe social-économique désavantagé ou de graves problèmes de santé. L’exécution d’une mission d’intérêt public ou l’intérêt légitime sont des bases à favoriser dans le cadre des essais cliniques ;
• la durée de conservation des données ;
• les droits des personnes concernées, y compris ceux érigés par le RGPD ;
• les transferts de données hors de l’Union européenne le cas échéant ; et
• la MR concernée ou l’autorisation délivrée par la CNIL.

Un équilibre doit évidemment être trouvé entre l’information relative à la protection des données et celle faisant l’objet de la notice, à savoir l’étude clinique en elle-même.

Une fois la notice d’information rédigée, la nouvelle version doit être soumise aux comités de protection des personnes (CPP) pour validation. Des modifications peuvent alors être demandées par le CPP sollicité.

L’articulation entre le RGPD et les règles spécifiques du secteur de la recherche médicale est encore à éclaircir au regard des nombreuses zones d’ombre en la matière. Les différentes strates de règlementation renforcent cette confusion chez les praticiens du secteur médical et juridique. Il sera alors intéressant d’étudier les nouveaux apports en la matière car non, la conformité RGPD n’a pas rendu la recherche médicale impossible.

Nous vous invitons à consulter cet article sur le droit à l’oubli

-Laetitia Charles