LA PROTECTION DES DONNEES DE SANTE DANS LE NOUVEAU CADRE JURIDIQUE DE LA RECHERCHE IMPLIQUANT OU NON LA PERSONNE HUMAINE

Transcription

1 LA PROTECTION DES DONNEES DE SANTE DANS LE NOUVEAU CADRE JURIDIQUE DE LA RECHERCHE IMPLIQUANT OU NON LA PERSONNE HUMAINE Elisabeth LANDROS-FOURNALÈS Maître de conférences de droit public Toulouse III, IUT A Rangueil, CERTOP I - LA DONNÉE DE SANTÉ BÉNÉFICIE D UN RÉGIME PROTECTEUR SPÉCIFIQUE DANS LEQUEL DOIT S INSCRIRE L'ACTIVITÉ DE RECHERCHE II - LE TRAITEMENT DES DONNÉES DE SANTÉ DANS UNE PERSPECTIVE DE RECHERCHE EST AUJOURD HUI FACILITÉ, MALGRÉ SES CONTRAINTES FORTES DE MISE EN ŒUVRE 1

2 35 de l exposé des motifs du règlement (UE) 2016/679 du 27 avril 2016 dit «règlement général sur la protection des données» La donnée de santé est toute information concernant, par exemple, une maladie, un handicap, un risque de maladie, les antécédents médicaux, un traitement clinique ou l'état physiologique ou biomédical de la personne concernée, indépendamment de sa source, qu'elle provienne par exemple d'un médecin ou d'un autre professionnel de la santé, d'un hôpital, d'un dispositif médical ou d'un test de diagnostic in vitro. 2

3 I - LA DONNÉE DE SANTÉ BÉNÉFICIE D UN RÉGIME PROTECTEUR SPÉCIFIQUE DANS LEQUEL DOIT S INSCRIRE L'ACTIVITÉ DE RECHERCHE 1. Les données de santé touchent à l essence de la vie privée et de la liberté personnelle 2. Le recueil et l usage des données de santé ne doivent jamais préjudicier à leur titulaire 3. Le «titulaire» des données de santé doit pouvoir maîtriser leur utilisation dans le cadre de la recherche en santé 3

4 I - LA DONNÉE DE SANTÉ BÉNÉFICIE D UN RÉGIME PROTECTEUR SPÉCIFIQUE DANS LEQUEL DOIT S INSCRIRE L'ACTIVITÉ DE RECHERCHE 1. Les données de santé touchent à l essence de la vie privée et de la liberté personnelle Au niveau constitutionnel Au niveau des engagements européens de la France Au niveau législatif 4

5 I - LA DONNÉE DE SANTÉ BÉNÉFICIE D UN RÉGIME PROTECTEUR SPÉCIFIQUE DANS LEQUEL DOIT S INSCRIRE L'ACTIVITÉ DE RECHERCHE 1. Les données de santé touchent à l essence de la vie privée et de la liberté personnelle 2. Le recueil et l usage des données de santé ne doivent jamais préjudicier à leur titulaire Les règles protectrices de nature administrative Les règles protectrices de nature pénale Les voies de recours permettant la protection des droits du titulaire sur ses données 5

6 RESPONSABILITÉ PÉNALE LIÉE A LA VIOLATION DES DROITS RELATIFS A LA VIE PRIVÉE INFRACTION Atteinte à l intimité de la vie privée BASE LÉGALE (CODE PÉNAL) Art Art Art Art CRITÈRES DE QUALIFICATION Atteinte volontairement portée à l'intimité de la vie privée d'une personne en captant, en enregistrant ou en transmettant au moyen d'un procédé quelconque, sans son consentement, ses paroles prononcées à titre privé ou confidentiel. Le consentement est présumé si ces actes de captation ou d enregistrement ont été réalisé au vu et au su de l intéressé sans qu il ne s y oppose. Diffusion au public ou à un tiers ou utilisation de quelque manière que ce soit d un enregistrement ou document obtenu dans les conditions exposées ci-dessus PEINE ENCOURUE 1 an de prison et d amende + Interdiction d'exercer l'activité professionnelle ou sociale dans l'exercice ou à l'occasion de laquelle l'infraction a été commise 6

7 RESPONSABILITÉ PÉNALE LIÉE A LA VIOLATION DES DROITS RELATIFS A LA VIE PRIVÉE INFRACTION Atteintes aux droits de la personne résultant des fichiers ou traitements informatiques BASE LÉGALE (CODE PÉNAL) Art Art Art Art Art Art Art Art Art Art Art Art Art Art Art CRITÈRES DE QUALIFICATION Réalisation d un traitement de données à caractère personnel sans respecter les formalités prévues par la loi CNIL, y compris par simple négligence Collecte des données à caractère personnel par un moyen frauduleux, déloyal ou illicite Enregistrement informatisé, hors consentement exprès de l intéressé ou cas prévu par la loi, de ses données personnelles de santé Réalisation d un traitement de données personnelles dans une finalité de recherche en santé, sans respecter l obligation préalable des personnes dont les données sont collectées ou sans leur consentement lorsqu il est exigé, ou encore en dépit de son opposition L usage détourné de données personnelles au regard de la finalité au titre de laquelle la loi ou le règlement a permis qu elles soient collectées et traitées PEINE ENCOURUE 5 ans d emprisonnement et d amende + Injonction d effacement des données du traitement source de l infraction + Interdiction d'exercer l'activité professionnelle ou sociale dans l'exercice ou à l'occasion de laquelle l'infraction a été commise 7

8 I - LA DONNÉE DE SANTÉ BÉNÉFICIE D UN RÉGIME PROTECTEUR SPÉCIFIQUE DANS LEQUEL DOIT S INSCRIRE L'ACTIVITÉ DE RECHERCHE 1. Les données de santé touchent à l essence de la vie privée et de la liberté personnelle 2. Le recueil et l usage des données de santé ne doivent jamais préjudicier à leur titulaire 3. Le «titulaire des données de santé doit pouvoir maîtriser leur utilisation dans le cadre de la recherche en santé Droit d information préalable Droit d opposition et consentement Droit d accès et de rectification 8

9 II - LE TRAITEMENT DES DONNÉES DE SANTÉ DANS UNE PERSPECTIVE DE RECHERCHE EST AUJOURD HUI FACILITÉ, MALGRÉ SES CONTRAINTES FORTES DE MISE EN ŒUVRE 1. Le cadre adapté de la recherche impliquant la personne humaine et les données de santé 2. Le cadre renouvelé de la recherche n impliquant pas la personne humaine et les données de santé 3. Les obligations des chercheurs dans la mise en œuvre de traitements de données de santé 9

10 II - LE TRAITEMENT DES DONNÉES DE SANTÉ DANS UNE PERSPECTIVE DE RECHERCHE EST AUJOURD HUI FACILITÉ, MALGRÉ SES CONTRAINTES FORTES DE MISE EN ŒUVRE 1. Le cadre adapté de la recherche impliquant la personne humaine et les données de santé Un régime d autorisation différencié de l activité de recherche impliquant la personne humaine Les conditions d utilisation et de collecte des données de santé 10

11 Une recherche implique la personne humaine si trois conditions cumulatives sont remplies : 1. les recherches sont organisées et pratiquées sur des personnes volontaires saines ou malades; 2. ( ) en vue du développement des connaissances biologiques ou médicales; 3. ( ) visent à évaluer les mécanismes de fonctionnement de l organisme humain, normal ou pathologique OU ( ) visent à évaluer l efficacité et la sécurité de la réalisation d actes ou de l utilisation ou de l administration de produits dans un but de diagnostic, de traitement ou de prévention d états pathologiques. A contrario, sont hors champ les recherches organisées et pratiquées sur des personnes saines ou malades ayant pour finalité la réalisation d enquête de satisfaction auprès des patients ou la réalisation d expérimentations en sciences humaines et sociales dans le domaine de la santé. 11

12 FLORILEGE DE RECHERCHES RELEVANT DE LA QUALIFICATION «IMPLIQUANT LA PERSONNE HUMAINE» Recherches interventionnelles Correspond globalement aux anciennes recherches dites «biomédicales», où l intervention sur la personne n est pas justifiée par sa prise en charge habituelle (Art. R CSP) : -Recherches portant sur un médicament (essai clinique) ; -Recherches portant sur un dispositif médical (investigation clinique). Recherches interventionnelles à risques minimes -portant sur l administration de médicaments conformément à leur AMM ; -évaluation des soins «courants» au périmètre élargi (les actes pratiqués et les produits utilisés le sont de façon habituelle, mais des modalités particulières de surveillances sont prévues par un protocole aux fins d évaluation, dispositif ne comportant que des contraintes et risques minimes) ; -recueil et collectes de données au moyens de capteurs et méthodes d imagerie ; -techniques de psychothérapie ou de thérapies cognito-comportementales ; -prélèvements et collectes d échantillons biologiques (fluides ou secrétions corporels, ongles, poils, cheveux, expectorations, liquide céphalo-rachidien, liquide amniotique, biopsies ) ; -constitution directe de produits sanguins ; -entretiens, questionnaires dont les résultats, conformément au protocole, peuvent conduire à une modification de la prise en charge habituelle du participant ou impliquer un certain risque ou des contraintes pour le patient [psychologie/psychiatrie]. Recherches non interventionnelles -à finalité biomédicale : études de cas cliniques, méthode épidémiologique, étude de cohortes ; -recherches observationnelles autour des actes et produits relevant de la pratique courante sur des patients/personnes, sans intervention ni modification de la prise en charge habituelle (permet l observance des traitements, la tolérance à un médicament, les pratiques d un centre de soin par rapport à un autre ) ; -recherche prospective ; -constitution de collections biologiques (réunion de prélèvements de personnes identifiées et sélectionnées en fonction de caractéristiques spécifiques, à des fins scientifiques) ; -à finalités SHS : enquêtes de terrain, questionnaires, sondages, entretien, dans les champs de la sociologie, linguistique, psychologie, communication, si elles ont pour finalité d être associées à des données de santé en vue du développement des connaissances biologiques/médicales. 12

13 REGIME DE VALIDATION ETHIQUE ET SCIENTIFIQUE DU PROJET DE RECHERCHE (RIPH) Recherches interventionnelles Recherches interventionnelles à risques minimes Recherches non interventionnelles Saisine de la Commission nationale des recherches impliquant la personne humaine (CNRIPH) Autorisation de l ANSM Avis favorable requis du CPP Copie de l avis + résumé de la recherche adressé à l ANSM Consultation de l ANSM par le CPP lorsque la recherche figure sur une liste fixée par arrêté du ministre de la santé sur proposition du DG de l ANS En cas de doute sérieux sur la qualification d une recherche au regard des 3 catégories définies par la loi, le CPP saisit l ANSM. Responsabilité pénale (art. L CSP) 1 an de prison et d amende, en cas de recherche pratiquée sans avis favorable du CPP ou autorisation de l ANSM Information plus succincte possible si Information préalable exhaustive et remise d un document écrit résumé concerne l observance de traitement, ou une recherche en psychologie Consentement libre, éclairé, recueilli par écrit Consentement libre, éclairé et exprès Pouvoir d opposition Si les exigences méthodologiques sont incompatibles avec un recueil exprès, le protocole présenté au CPP le mentionne et l information préalable des personnes est assurée sur un mode collectif. Les personnes concernées bénéficient au moins d un droit d opposition (art. L CSP) Responsabilité pénale : Le défaut / retrait de consentement / défaut d exercice du droit d opposition est sanctionné par l article du code pénal (3 ans de prison et d amende) 13

14 REGIME NORMAL D AUTORISATION ADMINISTRATIVE PREALABLE AU TRAITEMENT DE DONNEES DE SANTE Recherches interventionnelles Recherches interventionnelles à risques minimes Recherches non interventionnelles Saisine préalable possible d un CERNI Saisine CPP pour la mise en œuvre du traitement Régime d autorisation CNIL (art. 54) - le silence vaut rejet 14

15 REGIME SIMPLIFIE D AUTORISATION DE TRAITEMENT DE DONNEES DE SANTE Recherches interventionnelles Recherches interventionnelles à risques minimes Recherches non interventionnelles Saisine CPP pour la mise en oeuvre du traitement Engagement de conformité à la méthodologie de référence MR001 réalisé en ligne sur le site de la CNIL (IV de l art. 54) Engagement de conformité à la méthodologie de référence MR003 réalisé en ligne sur le site de la CNIL Récépissé CNIL valant dispense d autorisation Possibilité de procédure de mise à disposition directe des chercheurs de jeux de données agrégées ou des échantillons, homologués préalablement par la CNIL (V de l article 55) [absence d autorisation] 15

16 II - LE TRAITEMENT DES DONNÉES DE SANTÉ DANS UNE PERSPECTIVE DE RECHERCHE EST AUJOURD HUI FACILITÉ, MALGRÉ SES CONTRAINTES FORTES DE MISE EN ŒUVRE 1. Le cadre adapté de la recherche impliquant la personne humaine et les données de santé 2. Le cadre renouvelé de la recherche n impliquant pas la personne humaine et les données de santé Les conditions d utilisation et de collecte des données de santé applicable Le cas particulier de l accès au SNDS aux fins de recherche 16

17 FLORILEGE DE RECHERCHES EN SANTE HORS CHAMP DE LA LOI JARDE des cohortes, études statistiques, registres, exploitation de données de santé préexistantes disponibles sans implication des personnes concernées des recherches rétrospectives et recueil des données dans les dossiers médicaux des recherches sur des échantillons biologiques existants déjà prélevés des recherches à finalités SHS : enquêtes de terrain, questionnaires, sondages, entretien, dans les champs de la sociologie, linguistique, psychologie, communication, si elles ont une finalité autre que le développement des connaissances biologiques/médicales 17

18 REGIME D AUTORISATION ADMINISTRATIVE D ACCES AUX DONNEES PERSONNELLES DE SANTE (NON RIPH) Régime normal Régime simplifié Saisine INDS L INDS saisit le CEREES (avis sous 1 mois silence = favorable) L INDS peut se prononcer d office sur le caractère d intérêt public que présente une recherche (sous 1 mois) L INDS, si avis favorable CEREES, saisit sans délai la CNIL de la demande d autorisation Autorisation CNIL (art. 54) Engagement de conformité à la méthodologie de référence MR003 réalisé en ligne sur le site de la CNIL Récépissé CNIL valant dispense d autorisation 18

19 19

20 20

21 CONDITIONS D ACCES AUX DONNEES DE SANTE AGREGEES PAR LE SNDS [base médico-administrative] Saisine INDS Si données comportent un risque de ré-identification L INDS saisit le CEREES (avis sous 1 mois silence = favorable) L INDS peut se prononcer d office sur le caractère d intérêt public que présente une recherche L INDS, si avis favorable CEREES, saisit sans délai la CNIL de la demande d autorisation Autorisation CNIL (art. 54) Si données anonymisées Mise à disposition directe des chercheurs Contrôle CNIL éventuel sur les procédés d anonymisation qu elle doit avoir reconnu conformes 21

22 II - LE TRAITEMENT DES DONNÉES DE SANTÉ DANS UNE PERSPECTIVE DE RECHERCHE EST AUJOURD HUI FACILITÉ, MALGRÉ SES CONTRAINTES FORTES DE MISE EN ŒUVRE 1. Le cadre adapté de la recherche impliquant la personne humaine et les données de santé 2. Le cadre renouvelé de la recherche n impliquant pas la personne humaine et les données de santé 3. Les obligations des chercheurs dans la mise en œuvre de traitements de données de santé Des obligations communes au principe même d un traitement de données personnelles Des obligations spécifiques au traitement des données de santé dans le cadre de la recherche 22

23 INFRACTION Atteintes aux droits de la personne résultant des fichiers ou traitements informatiques RESPONSABILITÉ PÉNALE LIÉE AUX OBLIGATIONS DES RESPONSABLES DE TRAITEMENTS DE DONNÉES PERSONNELLES BASE LÉGALE (CODE PÉNAL) Art Art Art Art Art Art Art Art Art Art Art Art CRITÈRES DE QUALIFICATION Conservation des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement, par la demande d'autorisation ou d'avis, ou par la déclaration préalable adressée à la CNIL Traitement de données réalisé sans mise en oeuvre de mesures de précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès Réalisation d un transfert de données à caractère personnel hors Union européenne hors autorisation de la Commission européenne ou de la CNIL. Divulgation de données personnelles, y compris par simple négligence ou imprudence, portant atteinte à la considération de l intéressé ou à l intimité de sa vie privée. PEINE ENCOURUE 5 ans d emprisonnement et d amende + Injonction d effacement des données du traitement source de l infraction + Interdiction d'exercer l'activité professionnelle ou sociale dans l'exercice ou à l'occasion de laquelle l'infraction a été commise 23