Guide d’utilisation de la plateforme de soumission d’un traitement de données à caractère personnel dans le cadre d’une recherche, étude ou évaluation en santé n’impliquant pas la personne humaine

Périmètre des études, recherches ou évaluations concernées

Sont concernées les recherches dans le domaine de la santé qui relèvent du chapitre IX de la loi Informatique et Libertés et qui n’appartiennent pas aux recherches impliquant la personne humaine. Sont en particulier visés les projets reposant sur la réutilisation de données de santé à caractère personnel (par exemple celles issues de dossiers médicaux, d’un registre agréé, de cohortes existantes ou du Système National des Données de Santé (SNDS) et ses composantes) qui ne seraient pas éligibles à la méthodologie de référence MR-003.

Ce formulaire ne concerne pas les recherches interventionnelles ou non interventionnelles en santé impliquant la personne humaine au sens de l’article R. 1121-1 du code de la santé publique. Ces recherches sont prises en charge par la Commission Nationale des Recherches Impliquant la Personne Humaine (CNRIPH) avant transmission à un Comité de Protection des Personnes (CPP).

Les recherches, études ou évaluations qui avaient été autorisées dans le cadre de l’ancienne procédure peuvent être modifiées auprès de l’INDS grâce à un formulaire spécifique. Pour plus de détails, consultez la FAQ sur le site de l’INDS.

Point de vigilance

La loi n°2016-41 de modernisation de notre système de santé du 26 janvier 2016 ayant fait de la notion d’intérêt public un critère de l’accès aux données de santé, l’INDS pourra en outre émettre un avis sur le caractère d’intérêt public de votre étude au plus tard dans un délai d’1 mois dans le cas d’une saisine par le Ministère de la Santé, de la CNIL ou d’une auto-saisine de l’Institut. Dans ce dernier cas, l’auto-saisine devra intervenir au plus tard dans les 7 jours suivant l’avis du CEREES. Il est donc important qu’un argumentaire sur ce critère soit développé dans le résumé et le protocole d’étude accompagnant votre demande.

Concernant les données à caractère personnel du SNDS1, deux finalités de traitement sont interdites selon les termes de cette même loi :

« 1° La promotion des produits mentionnés au II de l'article L. 5311-1 en direction des professionnels de santé ou d'établissements de santé ; 2° L'exclusion de garanties des contrats d'assurance et la modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque. »

Version du 21112017

Pour toutes questions :info@indsante.fr - 01.45.18.43.90

1

Table des matières

1. Composition de votre dossier et circuit d’instruction.......................................................................3

Pièces constitutives du dossier et éléments de bonne soumission............................................................3 Comment l’INDS prend en charge votre dossier ?......................................................................................3

2. Quelques éléments clés pour vous aider à déposer votre demande.................................................4 Qui doit déposer la demande ?...................................................................................................................4 Qui doit signer la déclaration publique d’intérêt ?.....................................................................................5

3. Guide utilisation de la plateforme TPS.............................................................................................6

4. GLOSSAIRE....................................................................................................................................15

5. ANNEXES.......................................................................................................................................17

1. Composition de votre dossier et circuit d’instruction Le dossier de demande requiert un certain nombre d’informations obligatoires prévues par le décret d’application de la loi Informatique et Libertés tel que modifié le 26 décembre 2016.

Version du 21112017 2

Pièces constitutives du dossier et éléments de bonne soumission

Sont attendus pour un dossier complet, outre le présent formulaire complété et signé :

- Un résumé de l'étude, recherche ou évaluation selon la grille retenue par le CEREES (cf. Partie « Pièce jointe » en fin de formulaire - Document « Résumé de la recherche, de l’étude ou l’évaluation » ). Ce résumé doit impérativement être rédigé en français (5 pages maximum)

- Un protocole scientifique incluant au moins les précisions demandées dans le résumé. Le protocole peut être soumis en anglais

- La / les déclaration(s) d’intérêt du(es) responsable(s) de traitement et/ou du responsable de la recherche (cf. Partie « Pièce jointe » - « Déclaration publique d’intérêt »)

- La demande d’autorisation CNIL pré-remplie (cf. Partie « Pièce jointe » -« Demande d’autorisation CNIL » et « Annexe CNIL hors UE »).

- La lettre / notice d’information aux personnes concernées, de non opposition et/ou de consentement le cas échéant

- La liste des financeurs de l’étude, le cas échéant - L’avis émis par le comité scientifique et/ ou éthique qui a / ont évalué le projet et la composition

de ce(s) comité(s), le cas échéant

L’ensemble de ces éléments doit être déposé sur la plateforme de dépôt de dossier accessible depuis le site de l’INDS : http://www.indsante.fr/Afin que votre dossier puisse être instruit, il est rappelé que les experts du CEREES doivent pouvoir disposer d’un délai minimal de 14 jours avant la session mensuelle de ce comité auquel il convient d’ajouter le délai d’enregistrement de l’INDS et de saisine du CEREES.

Comment l’INDS prend en charge votre dossier ?

A la suite du dépôt de votre dossier auprès de l’INDS, ce dernier :

- L’enregistre, vérifie sa bonne orientation et sa complétude. A défaut, l’INDS se rapprochera du demandeur pour disposer des compléments ;

- Le transmet ensuite sous 7 jours au Comité d’Expertise pour les Recherches les Etudes et les Evaluations dans le domaine de la Santé (CEREES) pour évaluation et avis. A l’expiration d’un délai d’1 mois à compter de la date de réception du dossier complet par le comité, l’avis dudit comité est réputé favorable ;

- Réceptionne l’avis du CEREES et le transmet au demandeur : Si l’avis émis par le CEREES est favorable avec ou sans recommandations : l’INDS dépose

votre dossier à la CNIL pour autorisation ; Si l’avis émis par le CEREES est réservé ou défavorable, le demandeur peut soit :

Compléter son dossier en vue d’un nouvel examen par le comité ; Demander à l’INDS de saisir la CNIL pour autorisation.

Dans tous les cas de soumission à la CNIL, l’avis émis par le CEREES sera transmis par l’INDS.

Aux différentes étapes de ce circuit, l’INDS vous tiendra informé(e) de l’avancement de votre dossier.

Version du 21112017 3

2. Quelques éléments clés pour vous aider à déposer votre demande

Qui doit déposer la demande ?

La demande doit être déposée et signée soit par le responsable de traitement de l’étude, recherche ou évaluation, soit par le responsable de sa mise en œuvre pour le compte du responsable de traitement dans le cas d’une étude sous-traitée à ce dernier ou un service mandaté à cet effet.

Qui est le responsable de traitement ?Le « responsable de traitement » pour les études, recherches ou évaluations n’impliquant pas la personne humaine est l’équivalent du « promoteur » pour les recherches impliquant la personne humaine. Il détermine l’objectif du projet et les moyens de l’atteindre mais cela ne veut pas nécessairement dire qu’il accède aux données et qu’il réalise lui-même la recherche. C’est lui qui est juridiquement responsable de l’étude. L’autorisation de la CNIL, le cas échéant, sera libellée à son attention.

Qui est le responsable de la mise en œuvre ?

Le responsable de la mise en œuvre est le responsable scientifique, l’équivalent de « l’investigateur coordonnateur » pour les recherches impliquant la personne humaine. C’est généralement la personne physique qui rédige le protocole scientifique et supervise la manipulation des données. Dans le cadre d’une prestation par exemple, il peut, pour le compte du responsable de traitement, être amené à déposer un dossier auprès de l’INDS.

Qui est le financeur ?

Le financeur est l’organisme qui fournit tout ou partie des capitaux nécessaires à la réalisation de l’étude, recherche ou évaluation. S’il est identique au responsable de traitement, ce champ n’est pas à remplir.

Que veut dire « autorité publique à l’origine de la demande » ?Il s’agit principalement de l’ensemble des études, recherches ou évaluations règlementaires demandées par une autorité publique telle que, par exemple, la HAS, l’ANSM, le CEPS, le plus souvent en vue de la mise sur le marché ou le remboursement de médicaments ou dispositifs médicaux. L’autorité est à l’origine de la demande, mais ne la finance pas ni n’en assume la responsabilité scientifique.

Version du 21112017 4

Etude commanditée,

financée et mise en œuvre par une équipe de recherche d’un

CHU

Etude demandée par le CEPS à un

laboratoire pharmaceutique et réalisée par un bureau d’études

Etudefinancée dans le

cadre d’un appel à projets, conçue et mise en œuvre par

une unité INSERM

Etude commanditée

par une association, financée en

partie par cette dernière et mise en œuvre par un bureau d’études

Responsable de traitement

CHU

Laboratoire pharmaceutique

INSERMAssociation

Responsable de la mise en œuvre Bureau d’études Bureau d’études

Financeur = Responsable de traitement

Organisme de l’appel d’offre

Association et fondation

Autorité publique Non concerné CEPS Non concerné Non concerné

Qui doit signer la déclaration publique d’intérêt ?

La déclaration publique d’intérêt complétée et signée par le responsable de traitement et le responsable de mise en œuvre de traitement constituent des pièces constitutives de tout dossier de soumission.

Cas particulier des études faisant l’objet d’une prestation :Les laboratoires de recherche ou bureaux d’études (LRBE) réalisant des études, recherches ou évaluations nécessitant l’utilisation des données du SNDS pour le compte d’un industriel ou d’un assureur sont soumis aux dispositions de l’arrêté du 17 juillet 2017 portant référentiel applicable aux LRBE. Ce dernier prévoit en son article 5 que le responsable du LRBE communique à l’appui du dossier de demande d’accès au SNDS une « déclaration d’intérêts en rapport avec l’objet du traitement » selon le modèle annexé à l’arrêté et reproduit sur la plateforme (cf. Partie « Pièce jointe » - « Déclaration publique d’intérêt)

Il est précisé que les salariés du LRBE ou prestataires impliqués dans la mise en œuvre du projet attestent dans la même déclaration de l’absence de conflit d’intérêts avec l’objet du traitement.

3. Guide d’utilisation de la plateforme TPS

Connexion au formulaire de demande d’études ou de recherches n’impliquant pas la personne humaine

Version du 21112017 5

La plateforme « TPS » sert de socle à différents formulaires d’organismes publics. Dans le cadre d’un dossier de recherche, étude ou évaluation dans le domaine de la santé, il est recommandé de se connecter avec l’adresse mail professionnelle afin d’éviter que des identifiants privés soient recueillis.

Page d’accueil Plateforme TPS

Tous les champs marqués d’une * sont obligatoires. Pour autant, dans la page ci-dessus, la date de naissance peut être remplacée par une suite de « 0 ». N’oubliez pas de cocher la case « Vos informations personnelles ne seront jamais utilisées dans un but lucratif ou commercial. Elles ne pourront être

Version du 21112017

Connexion au portail TPS via un identifiant Ameli, une adresse laposte.net, identifiant impôts

Connexion au portail TPS via une adresse mail. S’il s’agit d’une 1ère connexion inscription préalable via le bouton « créer un compte »

6

communiquées à de tierces personnes sans votre accord préalable. Elles pourront en revanche être communiquées aux administrations compétentes afin d'instruire votre dossier, conformément à la déclaration CNIL effectuée par le service TPS.

Accès notice d’information

Version du 21112017

Via cet onglet vous pouvez accéder à l’intégralité de la procédure de demande d’étude ou de recherche n’impliquant pas la personne humaine

7

Le « responsable de traitement » pour les recherches n’impliquant pas la personne humaine est l’équivalent du « promoteur » pour les recherches impliquant la personne humaine. Il détermine l’objectif du projet et les moyens de l’atteindre mais cela ne veut pas nécessairement dire qu’il accède aux données et qu’il réalise lui-même la recherche. C’est lui qui est juridiquement responsable de l’étude. L’autorisation de la CNIL, le cas échéant, sera libellée à son attention.

Version du 21112017 8

Le responsable scientifique du projet est l’équivalent de « l’investigateur coordonnateur» pour les recherches impliquant la personne humaine. C’est généralement la personne physique qui rédige le protocole scientifique et supervise la manipulation des données.

L’article 193 de la loi de modernisation de notre système de santé a instauré une procédure particulière d’accès aux données du SNDS et à ses composantes (parmi lesquelles le PMSI) pour les industriels et les assureurs. Ces derniers ont en effet la possibilité de réaliser des traitements avec ces données en ayant recours à des laboratoires de recherche ou bureaux d’études. Les laboratoires de recherche ou bureaux d’études doivent alors se conformer à un référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance.Ce référentiel a été publié par arrêté :https://www.legifrance.gouv.fr/affichTexte.do;jsessionid=EA205D3AC9FD6C2DEA787774A9144208.tpdila17v_1?cidTexte=JORFTEXT000035268202&dateTexte=&oldAction=rechJO&categorieLien=id&idJO=JORFCONT000035268151

Version du 21112017 9

La CNIL a par ailleurs fait connaître la procédure à suivre pour se déclarer en conformité avec ce référentiel sur son site : https://www.cnil.fr/fr/snds-engagement-de-conformite-au-referentiel *

*Pour plus d’information sur l’engagement de conformité : Veuillez consulter notre site http://www.indsante.fr/ rubrique MR0003

Version du 21112017 10

Le financeur est l’organisme qui fournit les capitaux nécessaires à la réalisation du projet.Si vous n’avez qu’un seul financeur, les zones financeurs 2 et 3 n’ont pas besoin d’être renseignées.

A remplir quand une autorité publique est à l’origine d’un projet, non pas parce qu’elle le finance ou en assume la responsabilité scientifique, mais parce qu’elle l’impose à un industriel ou un organisme (qui veut mettre un produit sur le marché par exemple). Il s’agira le plus souvent de la Haute autorité de santé ou de l’Agence nationale de sécurité du médicament et des produits de santé.

Version du 21112017 11

Version du 21112017

Merci d’indiquer le titre exact de votre étude, ce dernier sera rendu public.Vous pouvez ensuite mentionner l’acronyme Cette rubrique concerne les dates de début et de fin de la période à étudier exemple : 01/01/2010 au 31/12/2016

Date à laquelle vous estimez avoir terminé votre étude

12

Cette rubrique associée au formulaire de demande d’autorisation CNIL (cf. Partie « Pièce jointe » - « Demande d’autorisation CNIL » et « Annexe CNIL hors UE ») permet à l’INDS de déposer votre demande d’autorisation auprès de la CNIL après avis du CEREES.

A chaque étape de votre dossier un mail vous sera adressé automatiquement par la plateforme TPS sur l’adresse mail renseignée lors de votre connexion, afin de vous permettre de connaître l’état d’avancement de celui-ci.

Vous pouvez adresser des mails directement à la personne en charge de l’instruction de votre dossier à l’INDS via la rubrique messagerie de votre dossier. Ces messages seront conservés dans la messagerie de votre dossier.

Cet onglet permet d’écrire directement via la messagerie de la plateforme à la personne en charge de l’instruction de votre dossier. N’hésitez pas à le contacter par ce biais.

4.GLOSSAIRE Autorité publique : Dans le cadre de la procédure d’accès relevant de l’INDS, on entend par autorité publique l’organisme public à l’origine de l’étude, la recherche ou l’évaluation, non pas parce qu’il le finance ou en assume la responsabilité scientifique, mais parce qu’il la demande à des fins réglementaires notamment pour la mise sur le marché ou le remboursement de médicaments ou dispositifs médicaux. Il

Version du 21112017 13

s’agira le plus souvent de la Haute Autorité de Santé (HAS), l’Agence Nationale de Sécurité du Médicament et des produits de santé (ANSM), la Direction générale de la santé (DGS) ou encore le Comité économique des produits de santé (CEPS).

CEIP : Le CEIP est le Comité d'Expertise sur l'Intérêt Public placé auprès de l'INDS. Il a pour mission de conseiller l’INDS sur le caractère d’intérêt public présenté par une recherche, étude ou évaluation dans le domaine de la santé, quand l’INDS est saisi de la question par le Ministère de la santé, la CNIL ou s’il s’autosaisit.

CépiDC : Il s'agit d'une base de données gérée par l'Institut National de la Santé et de la Recherche Médicale (INSERM) en collaboration avec l’Institut National de la Statistique et des Etudes Economiques (Insee) qui reprend l'ensemble des causes médicales de décès par pathologie depuis 1968. Elle est établie à partir des informations collectées dans le certificat de décès.

CEREES : Le CEREES est le Comité d'Expertise pour les Recherches, les Etudes et les Evaluations dans le domaine de la Santé. Il est saisi, préalablement à la CNIL, de toute demande de mise en œuvre des traitements de données à caractère personnel dans le cadre d’une étude, recherche ou évaluation dans le domaine de la santé n’impliquant pas la personne humaine. Le CEREES émet un avis sur la méthodologie retenue, sur la nécessité du recours à des données à caractère personnel, sur la pertinence des données demandées par rapport à la finalité de l'étude et, s’il y a lieu, sur la qualité scientifique du projet.

CNIL : La CNIL est la Commission Nationale de l’Informatique et des Libertés. La CNIL a pour mission générale de veiller à ce que l’informatique ne porte atteinte ni à l'identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques.Dans le cadre des traitements de données à caractère personnel ayant une finalité d'intérêt public d’étude, de recherche ou d'évaluation dans le domaine de la santé, la CNIL a compétence pour autoriser ou refuser leur mise en œuvre, après avis rendus par le CEREES voire l’INDS.Pour chaque demande de traitement la Commission vérifie les garanties présentées par le demandeur pour l'application des dispositions de la loi Informatique et libertés, la conformité de la demande aux missions du demandeur et elle statue sur la durée de conservation des données nécessaires au traitement.

EGB : L'Echantillon généraliste de bénéficiaires (EGB) est un échantillon représentatif nationalement, sur l’âge et le sexe, au 1/97ème des données du SNIIRAM. L’EGB contient des données de remboursement de soins hospitaliers (principalement sur le champ du MCO) et ambulatoires de plus de 600 000 bénéficiaires de l’ensemble des régimes suivis sur 20 ans.

Financeur : Le financeur est l’organisme qui fournit tout ou partie des capitaux nécessaires à la réalisation de l’étude, la recherche ou l’évaluation. Un projet peut être financé par plusieurs financeurs.

PMSI : Le PMSI est le Programme de Médicalisation des Systèmes d'Information. Il rassemble des informations sur les séjours hospitaliers à partir du recueil de résumés de sortie standardisés par l’Agence Technique de l’Information sur l’Hospitalisation (ATIH).

Responsable de la mise en œuvre de l’étude (responsable scientifique) : Le responsable scientifique de l’étude, recherche ou évaluation est l’équivalent de « l’investigateur coordonnateur » pour les recherches impliquant la personne humaine. C’est généralement la personne physique qui rédige le protocole scientifique et supervise la manipulation des données. Le responsable peut être salarié du responsable de

Version du 21112017 14

traitement, travailler pour un bureau d’étude ou être indépendant dans le cadre par exemple d’une prestation qu’il réalise pour le compte du responsable de traitement.

Responsable de traitement : Le « responsable de traitement » pour les recherches n’impliquant pas la personne humaine est l’équivalent du « promoteur » pour les recherches impliquant la personne humaine. Il détermine l’objectif du projet et les moyens de l’atteindre mais cela ne veut pas nécessairement dire qu’il rédige le protocole scientifique, accède aux données et qu’il réalise lui-même la recherche, l’étude ou l’évaluation. Le responsable de traitement est généralement l’organisme qui finance principalement le projet et est destinataire des résultats. C’est lui qui est juridiquement responsable de l’étude. L’autorisation de la CNIL, le cas échéant, sera libellée à son attention.

SNDS : Le SNDS est le Système National des Données de Santé créé par l’article 193 de la loi de modernisation de notre système de santé du 26 janvier 2016. Il contient pour le moment les données de l'Assurance Maladie (SNIIRAM) chainées avec celles des hôpitaux (PMSI). Les causes médicales de décès (CépiDC), les données relatives au handicap (issues des Maisons Départementales des Personnes handicapées - MPDH) ainsi qu'un échantillon de données en provenance des organismes complémentaires d'assurance maladie complèteront prochainement ce système. Le SNDS est géré par la Caisse Nationale d'Assurance Maladie des Travailleurs Salariés (CNAMTS).Le SNDS a pour finalité la mise disposition de ces données afin de favoriser les études, recherches ou évaluations présentant un caractère d’intérêt public et contribuant à l’une des finalités suivantes :

L’information sur la santé ; La mise en œuvre des politiques de santé ; La connaissance des dépenses de santé ; L’information des professionnels et des établissements sur leurs activités ; L'innovation dans les domaines de la santé et de la prise en charge médico-sociale ; La surveillance, la veille et la sécurité sanitaires.

SNIIRAM : Le SNIIRAM est le Système National d’Information Inter Régimes de l’Assurance Maladie. C’est une base de données médico administratives faiblement médicalisée et comportant peu d’informations sociodémographiques sur les bénéficiaires mais regroupant l'ensemble des prestations remboursées par l'assurance maladie pour l’ensemble de la population française (tous régimes confondus).

Version du 21112017 15

5.ANNEXES

Annexe 1. Rappel de ce que doit comporter tout dossier soumis au guichet unique assuré par l’INDS pour examen par le CEREES (extrait du Décret no 2016-1872 du 26 décembre 2016 modifiant le décret d’application de la loi informatique et libertés) :

« Art. 20. – Dans les cas prévus au II de l’article 54 de la loi du 6 janvier 1978 susvisée, les dossiers de demande d’autorisation de traitement de données à caractère personnel ayant pour fin la recherche, les études et les évaluations dans le domaine de la santé sont signés par la personne qui a qualité pour représenter le responsable de traitement.(…)

Art. 21. - Chaque dossier déposé auprès du secrétariat unique mentionné à l’article 20 doit comporter : «1- L’identité, l’adresse, les titres, expériences, fonctions et déclarations d’intérêt en lien avec l’objet de la recherche du responsable du traitement et du responsable de la recherche, de l’étude ou de l’évaluation, ainsi que, le cas échéant, l’identité et l’adresse du commanditaire de la recherche, de l’étude ou de l’évaluation et de la personne publique qui en a fait la demande. Si ces responsables ou commanditaires ne sont établis ni sur le territoire national, ni sur celui d’un autre Etat membre de l’Union européenne, sont indiquées l’identité, l’adresse et les fonctions de leur représentant en France. « Les missions ou l’objet social de l’organisme concerné sont également précisés ; «2- Les catégories de personnes qui seront appelées à mettre en œuvre le traitement ainsi que celles qui auront accès aux données ; «3- La méthodologie de l’étude ou de l’évaluation ou le protocole de recherche, indiquant notamment l’objectif du traitement de données à caractère personnel, les catégories de personnes concernées par le traitement, l’origine, la nature et la liste des données à caractère personnel utilisées et la justification du recours à celles-ci, la durée et les modalités d’organisation de la recherche, de l’étude ou de l’évaluation, la méthode d’analyse des données, ainsi que, lorsque les caractéristiques de l’étude, de la recherche ou de l’évaluation l’exigent, la justification du nombre de personnes et la méthode d’observation ou d’investigation retenue; «4- Le type de diffusion ou de publication des résultats de l’étude, de la recherche ou de l’évaluation par le demandeur ; «5- S’il y a lieu, les mesures envisagées pour communiquer aux personnes concernées par le traitement les informations figurant à l’article 57 de la loi du 6 janvier 1978 susvisée ainsi que la justification de toute demande de dérogation à cette obligation d’information. Lorsque la demande d’autorisation concerne une recherche, étude ou évaluation impliquant la personne humaine, doit être produit le projet de document d’information mentionné à l’article L. 1122-1 du code la santé publique et les documents de recueil du consentement exprès des personnes concernées conformément à l’article 56 de la même loi ; «6- Les caractéristiques du traitement, notamment la durée de conservation des données ; «7- Le cas échéant, la justification scientifique et technique de toute demande de dérogation à l’interdiction de conservation des données sous une forme nominative au-delà de la durée nécessaire à la recherche ; «8- Les avis rendus antérieurement par des instances scientifiques ou éthiques ; «9- Les rapprochements ou interconnexions envisagés ou toute autre forme de mise en relation des informations ; «10- Les dispositions prises pour assurer la sécurité des traitements et des informations et la garantie des secrets protégés par la loi ;

Version du 21112017 16

«11- Le cas échéant, la mention de toute transmission de données à caractère personnel vers un Etat n’appartenant pas à l’Union européenne ; «12- Le cas échéant, la liste des traitements répondant aux caractéristiques prévues au VI de l’article 54 de la loi du 6 janvier 1978 susvisée. Le dossier précise, en ce cas, les catégories de données, les destinataires ou les catégories de destinataires. »

Annexe 2. Typologie des dossiers de recherches, études et évaluations dans le domaine de la santé et procédures administratives et règlementaires associés : champ d’intervention du CEREES

Les recherches, études et évaluations dans le domaine de la santé font appel par nature à des données de santé. Si les études portant sur des données agrégées sont, sauf exception, sans risque de ré-identification des personnes, ce n’est pas le cas de celles développées à partir de données personnelles, qu’elles soient nominatives ou dé-identifiées par correspondance avec un code.C’est pourquoi la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés prévoit dans son chapitre IX les conditions dans lesquelles les recherches, études et évaluations peuvent faire appel à des « données de santé à caractère personnel ».

Deux parcours différents de saisine et d’évaluation sont prévus qui découlent de l’application d’autres textes législatifs définissant :

* D’une part les « recherches impliquant la personne humaine » (loi n° 2012-300 du 5 mars 2012 relative aux recherches impliquant la personne humaine, dite loi Jardé) comprenant notamment les recherches non interventionnelles dites de catégorie 3 sans risques ;

* D’autre part les « recherches, études et évaluations n’impliquant pas la personne humaine », qui portent en particulier sur la réutilisation de données ou d’échantillons. Cette réutilisation de données concerne celles qui sont déjà collectées au sein de bases existantes (cohortes, observatoires, registres, dossiers médicaux...) ainsi que les bases médico-administratives telles que le SNDS. L’ensemble de ces recherches, études et évaluations doivent faire l’objet d’une demande d’autorisation à déposer à l’INDS (Institut national des données de santé) en vue d’un avis du CEREES puis d’une autorisation de la CNIL.

Enfin, il convient de définir plusieurs catégories d’études qui, n’entrant pas dans les deux catégories sus mentionnées, ne relèvent pas du chapitre IX de la loi Informatique et Libertés même si, par ailleurs, elles doivent se conformer à d’autres articles de cette loi.

Le but de cette annexe est de cerner avec le plus de précision possible les trois catégories de recherches, études et évaluations qui viennent d’être rapidement évoquées et de définir à chaque fois la procédure administrative et réglementaire à suivre.

Cette typologie se fonde sur la combinaison de deux éléments de catégorisation :

* La finalité de l’étude qui distingue les recherches relevant de la biologie, de la médecine (y compris la psychologie expérimentale) ou de la santé publique des recherches relevant des sciences humaines et sociales.

* L’origine, la nature et les modalités de collectes des données de santé à caractère personnel :Celles couvertes par le secret médical par opposition à celles fournies par un individu dans le cadre d’un recrutement indépendant d’une prise en charge médicale (enquête) ;

Version du 21112017 17

Celles qui sont recueillies habituellement dans le cadre de la prise en charge par opposition à celles recueillies exclusivement pour la finalité de l’étude ;Celles qui sont collectées dans le cadre du suivi ou de la prise en charge d’un patient, par opposition à celles qui sont déjà existantes et réutilisées avec changement de finalité.

1. S’agissant des recherches impliquant la personne humaine (RIPH) :

Le décret n° 2017-884 du 9 mai 2017 modifiant certaines dispositions réglementaires relatives aux recherches impliquant la personne humaine les définit ainsi :

« Art. R. 1121-1. - I. - Sont des recherches impliquant la personne humaine au sens du présent titre les recherches organisées et pratiquées sur des personnes volontaires saines ou malades, en vue du développement des connaissances biologiques ou médicales qui visent à évaluer :

« 1° Les mécanismes de fonctionnement de l’organisme humain, normal ou pathologique ;« 2° L’efficacité et la sécurité de la réalisation d'actes ou de l’utilisation ou de l'administration de produits dans un but de diagnostic, de traitement ou de prévention d'états pathologiques.

« II. -1°- Ne sont pas des recherches impliquant la personne humaine au sens du présent titre les recherches qui, bien qu’organisées et pratiquées sur des personnes saines ou malades, n’ont pas pour finalités celles mentionnées au I, et qui visent :« a) Pour les produits cosmétiques, conformément à leur définition mentionnée à l’article L.5131-1, à évaluer leur capacité à nettoyer, parfumer, modifier l’aspect, protéger, maintenir en bon état le corps humain ou corriger les odeurs corporelles ;« b) A effectuer des enquêtes de satisfaction du consommateur pour des produits cosmétiques ou alimentaires ;« c) A effectuer toute autre enquête de satisfaction auprès des patients ;« d) A réaliser des expérimentations en sciences humaines et sociales dans le domaine de la santé.

« 2°. - Ne sont pas des recherches impliquant la personne humaine au sens du présent titre les recherches qui ne sont pas organisées ni pratiquées sur des personnes saines ou malades et n’ont pas pour finalités celles mentionnées au I, et qui visent à évaluer des modalités d’exercice des professionnels de santé ou des pratiques d’enseignement dans le domaine de la santé.

« 3°. Ne sont pas des recherches impliquant la personne humaine au sens du présent titre les recherches ayant une finalité d’intérêt public de recherche, d’étude ou d’évaluation dans le domaine de la santé conduites exclusivement à partir de l’exploitation de traitement de données à caractère personnel mentionnées au I de l'article 54 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés et qui relèvent de la compétence du comité d’expertise pour les recherches, les études et les évaluations prévu au 2° du II du même article. »

En d’autres termes, et afin de clarifier pour le lecteur l’écriture très juridique de cet article, les recherches qui ont pour finalité l’acquisition de connaissances biologiques et médicales et qui, simultanément, impliquent les personnes humaines par le recueil de données spécifiques au regard de cette finalité, données non habituellement collectées dans le parcours de soin ou la prise en charge,

Version du 21112017 18

relèvent de la loi Jardé et donc de la soumission à un CPP puis à la CNIL, sauf si engagement de conformité à une méthodologie de référence.

Sont donc exclues des RIPH :

* De par leur finalité non concordante avec celles de la loi Jardé : les études en cosmétologie, les enquêtes de satisfaction ou d’opinion (hors parcours de soin ou prise en charge), les recherches relevant des sciences humaines et sociales.

* De par l’origine et les modalités de collecte des données : les recherches en biologie, médecine ou santé publique qui, malgré une finalité concordante à celle de la loi Jardé, portent uniquement sur la réutilisation de données (ou d’échantillons) et relèvent à ce titre du CEREES.

Les recherches relevant de la loi Jardé doivent être soumises à l’évaluation d’un CPP pour avis favorable puis à celle de la CNIL pour autorisation de mise en œuvre sauf si elles peuvent bénéficier d’une méthodologie de référence (MR001 ; MR002 ou MR003).

2. S’agissant des recherches, études et évaluations portant sur la réutilisation de données déjà existantes ou d’échantillons déjà existants de collections déclarées et autres recherches n’impliquant pas la personne humaine :

Il s’agit des recherches portant sur des données de santé à caractère personnel :

* Dont la finalité relève de la biologie, de la médecine ou de la santé publique par le biais de la réutilisation de données déjà existantes issues de bases de données locales ou nationales, notamment celles du SNDS. Il convient de noter, à cet égard, que cela concerne aussi bien une étude rétrospective portant sur la réutilisation de données qu’une étude "prospective" qui recueillerait "au fil de l'eau" des données de santé qui seraient de toute façon recueillies indépendamment de l'étude, donc pour laquelle la personne humaine n'est pas impliquée par le recueil spécifique de données pour la finalité de l'étude, et qui serait de ce fait assimilable à une étude rétrospective (car il suffirait d'attendre pour collecter les données pour qu'elle le soit).

* Dont la finalité relève d’une autre catégorie (sciences humaines et sociales par exemple), que la collecte des données couvertes par le secret médical soit rétrospective ou prospective, sachant que ce dernier type de dossier peut se trouver être à la frontière de la loi Jardé (par exemple les études psychologiques).

Ces recherches doivent faire l’objet d’une demande d’autorisation à déposer auprès de l’INDS qui transmettra au CEREES et à la CNIL pour examen.

3. S’agissant des recherches hors champ du chapitre IX de la loi informatique et libertés :

- Ces recherches ne sont soumises à aucune des deux procédures sus mentionnées.

- Elles peuvent présenter des finalités très variées, y compris relevant de la biologie, de la médecine, de la santé publique ou des sciences humaines et sociales.

- Les critères de la qualité des professionnels intervenant dans le projet (professionnels soumis au secret médical ou pas) ainsi que l’origine des données (directement auprès des personnes, sources médicales...) peuvent notamment aider à déterminer si l’on se situe dans le champ de la recherche dans le domaine de la santé.

Version du 21112017 19

En cas de doute, les services de l’INDS, du CEREES ainsi que ceux de la CNIL et de la DGS peuvent être joints pour information.

Version du 21112017 20

Annexe 3. Calendrier des dates de sessions du CEREES

Afin que votre dossier puisse être instruit, il est rappelé que les experts du CEREES doivent pouvoir disposer d’un délai minimal de 14 jours avant la session mensuelle du Comité auquel il convient de rajouter le délai d’enregistrement de l’INDS et de saisine du CEREES.

Les demandeurs sont donc invités à déposer leur dossier au minimum 3 semaines avant chaque date de session du CEREES. Les dates de sessions sont données en annexe

Version du 21112017 21