Coronavirus (COVID-19) : 3 types de projets de recherche à distinguer

En ce qui concerne les projets de recherche sur le COVID-19, 3 situations sont à distinguer, vis-à-vis de la CNIL, eu égard aux données personnelles collectées pour mener à bien ces projets.

Il y a tout d’abord le projet de « recherche interne » : le médecin-chercheur va mener le projet sur ses propres patients (bien sûr, avec leur accord). Ici, aucune formalité à l’égard de la CNIL n’est à effectuer et le responsable du traitement des données collectées doit simplement inscrire le nouveau traitement de données relatif au projet de recherche dans le registre des activités de traitement qu’il tient.

Ensuite, il y a le projet de recherche conforme à une « méthodologie de référence ». Vous pouvez consulter la liste des méthodologies à l’adresse suivante : https://www.cnil.fr/fr/liste-des-normes-et-des-dispenses?field_norme_numerotation_type_value_1=6.

Dans cette situation, il faut réaliser (si ce n’est pas déjà fait), une déclaration de conformité à la méthodologie de référence correspondante. Une fois cette déclaration effectuée, le projet de recherche peut démarrer. Le registre des activités de traitement doit faire mention du projet de recherche.

Enfin, il existe le cas des projets de recherche qui ne sont pas conformes à une méthodologie de référence. Il faut alors déposer une demande d’autorisation de recherche :

• à la CNIL, si des êtres humains sont impliqués, à l’adresse suivante : https://www.cnil.fr/fr/declarer-un-fichier ;
• à l’Institut National des Données de Santé (INDS), si aucun être humain n’est impliqué, à l’adresse suivante : https://www.indsante.fr/fr.

Notez que la CNIL a indiqué qu’elle se mobilise pour instruire en priorité les demandes d’autorisation de recherche. Pour faciliter le traitement de votre demande, il est conseillé, outre les éléments habituellement requis (avis du comité compétent, protocole de recherche et son résumé, document d’information destiné aux patients, etc.) :

• de détailler les points de non-conformité du projet de traitement à la méthodologie de référence (ex : impossibilité d’informer les personnes concernées, accès du responsable de traitement à des données directement identifiantes) ;
• de vérifier que le protocole ou tout document présentant l’étude précise clairement :

• ○ les destinataires des données directement identifiantes ;
• ○ la durée de conservation des données et, le cas échéant, des échantillons biologiques, exprimée en années ;

• de transmettre, en cas d’inclusion d’une personne dans le projet en situation d’urgence et en situation d’urgence vitale immédiate :

• ○ la note d’information à destination du proche ou de la personne de confiance (patient hors d’état d’exprimer sa volonté) ;
• ○ la note d’information de poursuite à destination du patient ;
• ○ la note d’information de poursuite à destination du proche ou de la personne de confiance (inclusion dans le projet en situation d’urgence vitale immédiate).

Par ailleurs, veillez à faire figurer les termes « COVID-19 » dans la partie « finalité » ou « dénomination » du formulaire afin de permettre aux services de la CNIL ou de l’INDS d’identifier votre dossier comme prioritaire.

Source : Communiqué de la CNIL du 26 mars 2020

Coronavirus (COVID-19) : le point (juridique) sur les projets de recherche © Copyright WebLex – 2020