La documentation de mise en conformité réglementaire des projets

Dans le cadre d’une réutilisation de données à caractère personnel pour une finalité différente de celle pour laquelle elles ont été collectées (traitement ultérieur), une formalité contractuelle est recommandée afin de garantir la conformité au Règlement Général sur la Protection des Données (RGPD) et au Code de la Santé Publique (CSP), notamment lorsque les données sont fournies à une entité autre que le Responsable du traitement initial (Inserm).

Nous avons rédigé un modèle de convention DAA qui encadre les droits et obligations du Responsable du traitement du projet initial (Fournisseur) et du Responsable du traitement du projet ultérieur (Bénéficiaire), ainsi que les modalités de mise à disposition via la plateforme de France Cohortes.

Note : Ce document repose sur le guide pratique "Contrats et données à caractère personnel à l'Inserm" et la trame concernant la réutilisation de données proposés par la Direction des affaires juridiques de l’Inserm.

Les Conditions Générales d’Utilisation (CGU) du système d’information de France Cohortes définissent les règles d'utilisation de la plateforme ainsi que les droits et obligations des utilisateurs et de France Cohortes. Tout utilisateur souhaitant accéder aux données d’un projet hébergée dans France cohortes et dûment autorisé, devra signer ce document. Les CGU couvrent notamment :

• les principes d'accès et d'utilisation des données ;
• les engagements en matière de confidentialité et de protection des données ;
• les responsabilités des utilisateurs et de l'organisme gestionnaire de la plateforme.

Le modèle d'Analyse d'Impact sur la Protection des Données (AIPD), rédigé par la direction à la protection des données (DPD) de l'Inserm et enrichi par France Cohortes, accompagne les porteurs de projets dans la réalisation d'une AIPD lorsque le traitement des données présente un risque élevé pour les droits et libertés des personnes concernées.

Cette AIPD est accompagnée d’un « Guide pour la rédaction d’une AIPD dans le domaine de la recherche en santé ».

Ce modèle propose différents schémas d’appariement des données au SNDS au sein de la plateforme France Cohortes et la description de leur traitement, conformément aux dispositions réglementaires, notamment le référentiel SNDS.

Lorsque le projet de recherche implique l’intégration de données personnelles provenant d’une biobanque, le traitement de données au sein de la plateforme de France Cohortes doit respecter le cadre réglementaire applicable, dont le référentiel SNDS. Nous avons élaboré un schéma de flux de données et la description de ce traitement permettant l’inclusion des données provenant d’une biobanque dans notre plateforme sans porter atteinte aux droits des personnes.

Ce modèle rédigé par la DPD Inserm et enrichi par France Cohortes, accompagne les porteurs de projets dans la réalisation d’une AIPD simplifiée lorsque le traitement concerne une RNIPH et il est conforme à la Méthodologie de référence 004.

Cette AIPD est accompagnée d’une « Check-list de conformité des recherches n’impliquant pas la personne humaine (MR-004) et d’un « Guide pour la rédaction d’une AIPD simplifiée dans le domaine de la recherche en santé ».

Ce formulaire permet de déterminer si un projet constitue un nouveau traitement de données ou un traitement ultérieur (réutilisation) nécessitant des nouvelles démarches réglementaires auprès des autorités compétentes (CPP, CESREES, CNIL) et la rédaction d’une nouvelle AIPD.