Annexe JORFARTI000054125952
MÉTHODOLOGIE DE RÉFÉRENCE - MR-003
MÉTHODOLOGIE DE RÉFÉRENCE RELATIVE AUX TRAITEMENTS DE DONNÉES À CARACTÈRE PERSONNEL MIS EN ŒUVRE DANS LE CADRE DES RECHERCHES DANS LE DOMAINE DE LA SANTÉ NE NÉCESSITANT PAS LE RECUEIL DU CONSENTEMENT DE LA PERSONNE CONCERNÉE EN VUE DE LA PARTICIPATION À LA RECHERCHE
Version avril 2026
Table des matières
I. - Définitions
II. - Responsables de traitement concernés
III. - Traitements de données à caractère personnel inclus dans le champ d'application de la méthodologie
IV. - Objectifs poursuivis par le traitement (finalités)
V. - Base légale du traitement
VI. - Données personnelles concernées (nécessité, origine et nature)
A. - Concernant les données à caractère personnel des personnes se prêtant à la recherche
1. Identification de la personne se prêtant à la recherche
2. Nature des données
3. Origine des données à caractère personnel
B. - Concernant les données à caractère personnel des professionnels intervenant dans la recherche
1. Nature des données à caractère personnel
2. Origine des données à caractère personnel
VII. - Destinataires
A. - Les principes généraux applicables à tout destinataire
B. - Les dérogations admises au regard des missions des destinataires des données de la personne se prêtant à la recherche
1. Dérogation pour la mission de suivi des personnes
2. Dérogation pour les missions administratives
3. Dérogation pour la mission d'information
4. Dérogation pour la mission de contrôle qualité
C. - Les conditions particulières associées au cumul de plusieurs missions
1. Les professionnels intervenant dans la recherche qui exercent au sein d'un lieu de recherche, à l'exclusion du domicile de la personne
2. Les établissements de santé établis en France, qualifiés de responsable de traitement, réalisant plusieurs missions
3. Les personnes morales, qualifiées de sous-traitant, réalisant plusieurs missions
VIII. - Information des personnes concernées
A. - Concernant la personne se prêtant à la recherche
1. La temporalité de l'information
2. Les modalités de délivrance de l'information
3. Les récipiendaires de l'information
4. Le contenu de l'information RGPD
B. - Concernant les professionnels intervenant dans la recherche
IX. - Droits des personnes
A. - Les principes généraux
B. - Les dispositions spécifiques pour les droits des personnes se prêtant à la recherche
C. - Les dispositions spécifiques pour les droits des professionnels intervenant dans la recherche
X. - Durée de conservation
XI. - Publication des résultats
XII. - Sécurité
XIII. - Système fils incluant des données issues du SNDS
XIV. - Transfert de données en dehors de l'Union européenne
XV. - Sous-traitant
XVI. - Mise en œuvre du principe de responsabilité
A. - Documentation de la conformité : analyse d'impact sur la protection des données (AIPD) et registre des traitements
B. - Désignation d'un délégué à la protection des données (DPD/DPO)
C. - Formalités
D. - Principe de transparence
XVII. - Entrée en vigueur
I. - Définitions
Aux fins de la présente méthodologie de référence, les termes suivants sont ainsi définis :
Aidant : personne qui vient en aide, à titre non professionnel, pour accomplir tout ou partie des actes ou des activités de la vie quotidienne de la personne se prêtant à la recherche ;
Comité d'éthique : organisme indépendant légalement compétent habilité à examiner les aspects éthiques de la recherche et à émettre des avis, conformément aux réglementations sectorielles applicables. En France, il s'agit du comité de protection des personnes (CPP) ;
Destinataire : tel que défini au 9° de l'article 4 du RGPD. La communication des données peut notamment prendre la forme d'une transmission, d'une diffusion, d'une consultation par accès sécurisé ou toute autre forme de mise à disposition de tout ou partie des données ;
Données à caractère personnel : telles que définies au 1° de l'article 4 du RGPD ;
Données génétiques : telles que définies au 13° de l'article 4 du RGPD ;
Information RGPD : les informations à fournir, en application des articles 12 à 14 du RGPD ainsi que des articles 69 à 71 de la loi « informatique et libertés », aux personnes concernées par un traitement de leurs données à caractère personnel dans le cadre d'une recherche ou à leurs représentants légalement désignés ;
Lieu de recherche : lieu dans lequel la recherche est réalisée conformément aux règlementations sectorielles, comme par exemple le service d'un établissement de santé ou le domicile du patient ;
Missions administratives nécessaires à la réalisation de la recherche : les activités réalisées à des fins :
- de prise en charge ou de remboursement des frais de transport, d'hébergement ou de restauration des personnes ou le versement d'indemnités ;
- les activités préalables et/ou accessoires au suivi des personnes concernées tel qu'il est précisé dans le protocole de recherche ;
- la livraison et la récupération à domicile de produits de santé, du matériel ou d'échantillons nécessaires à la réalisation de la recherche ;
Mission de contrôle qualité : l'activité consistant à vérifier :
- le respect des réglementations applicables et du protocole d'une recherche ;
- l'exhaustivité et l'authenticité des données collectées dans le cadre de la recherche et transmises par le professionnel intervenant dans la recherche au responsable de traitement ou à ses sous-traitants.
Cette mission est réalisée dans des conditions conformes à l'annexe contrôle qualité ;
Mission d'information : l'activité d'envoi de l'information RGPD, y compris de manière dématérialisée ;
Mission de suivi de la personne se prêtant à la recherche : les activités réalisées exclusivement au sein d'un lieu de recherche, correspondant à :
- la collecte de données à caractère personnel dans le cadre d'une interaction directe entre le professionnel intervenant dans la recherche et la personne se prêtant à la recherche ;
- la transmission de données à caractère personnel entre des professionnels intervenant dans la recherche, pour les activités nécessaires au suivi de la personne se prêtant à la recherche.
Cette mission de suivi peut exclusivement être réalisée par des professionnels intervenant dans la recherche. Cette mission inclut la recherche du statut vital par consultation du fichier des personnes décédées de l'Institut national de la statistique et des études économiques (INSEE) ;
Personne se prêtant à la recherche : la personne participant à une recherche conformément aux règlementations sectorielles applicables et dont les données à caractère personnel sont traitées ;
Professionnel intervenant dans la recherche : la personne physique qui collecte les données, dirige ou surveille la réalisation de la recherche. Il s'agit notamment :
- de l'investigateur et ses collaborateurs agissant sous sa responsabilité et son autorité ;
- des professionnels de santé et leurs collaborateurs agissant sous leur responsabilité et leur autorité ;
- de psychologues ou de psychothérapeutes ;
- des personnes qualifiées, au sens des règlementations sectorielles ;
Recherche : la recherche ne nécessitant pas le recueil du consentement en vue de la participation de la personne ;
Règlementation sectorielle : la règlementation applicable aux recherches couvertes par la méthodologie de référence. Il s'agit notamment :
- du règlement (UE) n° 536/2014 relatif aux essais cliniques de médicaments à usage humain et de l'article L. 1124-1 du code de la santé publique ;
- des articles L. 1121-1 et suivants du code de la santé publique, s'agissant des recherches impliquant la personne humaine ;
- des règlementations sectorielles applicables dans un territoire ou pays tiers, lorsque le responsable de traitement est établi en France ;
Représentant légalement désigné : le représentant légal de la personne se prêtant à la recherche ainsi que les personnes habilitées à autoriser la recherche conformément aux règlementations sectorielles applicables ;
Responsable de traitement : tel que défini au 7° de l'article 4 du RGPD. Il s'agit notamment du promoteur de la recherche conformément aux règlementations sectorielles ;
Responsable scientifique de la recherche : la personne désignée par le responsable de traitement, et agissant sous sa responsabilité, veillant à la qualité, l'intégrité et à la sécurité des données et de leur traitement, ainsi qu'au respect de la finalité de celui-ci. Il peut s'agir de l'investigateur coordonnateur ;
SNDS central : tel que défini par le référentiel de sécurité applicable au système national des données de santé (SNDS) ;
Sous-traitant : tel que défini au 8° de l'article 4 du RGPD. Il s'agit d'une entité juridique distincte du responsable de traitement, qui doit disposer de la personnalité juridique. Ainsi les différents services, directions, départements, etc. d'une même personne morale ne peuvent pas être considérés comme des sous-traitants distincts les uns des autres ;
Système fils : tel que défini par le référentiel de sécurité applicable au SNDS ;
Traitement : tel que défini au 2° de l'article 4 du RGPD.
II. - Responsables de traitement concernés
1. Peut bénéficier de cette méthodologie de référence le responsable de traitement qui met en œuvre des traitements de données correspondant à ceux visés à la partie III.
2. Dans le cas d'une responsabilité conjointe de traitement, les organismes doivent définir de manière transparente leurs obligations respectives, conformément à l'article 26 du RGPD.
III. - Traitements de données à caractère personnel inclus dans le champ d'application de la méthodologie
3. Peuvent bénéficier de la méthodologie les recherches auxquelles la loi « informatique et libertés » est applicable, dès lors que l'un des critères suivants est rempli :
- le responsable de traitement est établi en France ;
- tout ou partie des personnes concernées par le traitement réside en France.
4. Les traitements concernés par la méthodologie doivent être justifiés et poursuivre une finalité d'intérêt public de recherche, d'étude ou d'évaluation dans le domaine de la santé.
5. Les recherches pouvant bénéficier de la méthodologie sont celles pour lesquelles les règlementations sectorielles n'imposent pas de recueillir le consentement de la personne se prêtant à la recherche ou de ses représentants légalement désignés. Ces recherches correspondent :
- aux recherches impliquant la personne humaine mentionnées au 2° de l'article L. 1121-1 du code de la santé publique, dont les caractéristiques et les conditions de réalisation sont prévues à l'article L. 1122-1-4 du code de la santé publique ;
- aux recherches impliquant la personne humaine telles que définies au 3° de l'article L. 1121-1 du code de la santé publique, c'est-à-dire les recherches non interventionnelles qui ne comportent aucun risque ni contrainte dans lesquelles tous les actes sont pratiqués et les produits utilisés de manière habituelle ;
- aux recherches visant à évaluer les soins courants soumises aux dispositions antérieures à la loi n° 2012-300 du 5 mars 2012 relative aux recherches impliquant la personne ;
- aux essais cliniques pour lesquels la personne ne s'oppose pas à sa participation, dans le respect des conditions prévues par l'article 30 du règlement UE n° 536/2014 du Parlement européen et du Conseil du 16 avril 2014 relatif aux essais cliniques de médicaments à usage humain et abrogeant la directive 2001/20/CE (essais cliniques par grappes).
6. Peuvent également bénéficier de la méthodologie, les recherches répondant aux critères cumulatifs suivants :
- elles sont mises en œuvre par un responsable de traitement établi en France ;
- les personnes concernées ne résident pas en France ;
- les règlementations sectorielles applicables dans le territoire ou pays où résident les personnes concernées, autres que celles visées au paragraphe 5, n'imposent pas de recueillir le consentement de la personne se prêtant à la recherche ou de ses représentants légalement désignés en vue de la participation à la recherche.
7. Ne peuvent pas bénéficier de la méthodologie :
- les recherches pour lesquelles les règlementations sectorielles imposent de recueillir le consentement de la personne se prêtant à la recherche en vue de sa participation ;
- les recherches pour lesquelles l'analyse d'impact relative à la protection des données (AIPD) indique que le traitement présenterait, malgré les mesures prises en application de l'article 35 du RGPD pour atténuer le risque, un risque résiduel élevé pour les droits et libertés des personnes concernées ;
- les recherches nécessitant un appariement des données avec les données d'une ou plusieurs bases créées ou régies par un acte de nature législatif ou réglementaire ainsi que le SNDS central (base principale et base catalogue) ;
- les recherches nécessitant le traitement du numéro d'inscription au répertoire national d'identification des personnes physiques (NIR).
IV. - Objectifs poursuivis par le traitement (finalités)
8. Le traitement de données à caractère personnel :
- des personnes se prêtant à la recherche a pour seule finalité la réalisation d'une recherche dans le domaine de la santé. Ce traitement inclut la gestion des données relatives aux personnes se prêtant à la recherche, en vue de permettre la collecte, la saisie, le contrôle de validité et de cohérence ainsi que l'analyse des données recueillies au cours de la recherche ;
- des professionnels intervenant dans la recherche a pour seule finalité la mise en place de la recherche, sa réalisation et le respect des règlementations sectorielles.
9. Le traitement ne peut pas avoir pour finalité l'identification ou la réidentification par leurs caractéristiques génétiques des personnes se prêtant à la recherche.
V. - Base légale du traitement
10. Le traitement de données à caractère personnel, pour les finalités mentionnées ci-dessus doit répondre à l'une des conditions prévues à l'article 6 du RGPD.
11. Le traitement de données sensibles pour les finalités mentionnées ci-dessus doit répondre à l'une des conditions prévues à l'article 9 du RGPD.
VI. - Données personnelles concernées (nécessité, origine et nature)
12. Conformément au c du 1 de l'article 5 du RGPD (principe de minimisation), les données traitées doivent être pertinentes, adéquates et limitées à ce qui est nécessaire au regard des objectifs de la recherche.
A. - Concernant les données à caractère personnel des personnes se prêtant à la recherche
1. Identification de la personne se prêtant à la recherche
13. Dans le cadre de la recherche, il peut s'avérer nécessaire de relier entre elles les données se rapportant à une même personne à l'aide d'identifiants uniques associés à la personne concernée.
14. Dans cette hypothèse, le responsable de traitement met en place des mesures pour limiter les risques de réidentification des personnes concernées, notamment en veillant au respect des principes généraux fixés dans la partie VII « destinataire ».
15. L'identification de la personne se prêtant à la recherche est réalisée au moyen d'un identifiant appelé « numéro d'inclusion ». Il est généré conformément aux exigences MR-CNS-01 à 04 de l'annexe sécurité. Par exception aux exigences MR-CNS-01 à 03, le numéro d'inclusion peut contenir la référence de la recherche, une référence correspondant à l'organisme qualifié de lieu de recherche (numéro de centre participant) et un numéro correspondant à un ordre d'inclusion dans la recherche (numéro d'ordre). Le numéro d'inclusion répond en outre aux exigences suivantes :
- le numéro d'inclusion ne révèle pas d'information sur la personne se prêtant à la recherche ou des identifiants préexistants liés à cette personne, à l'exception de la référence de la recherche, du numéro de centre participant et du numéro d'ordre ;
- en particulier, le numéro d'inclusion ne contient pas d'information liée aux traits d'identité des personnes concernées (par exemple, les initiales, la date de naissance), au soin (NIR, identifiant national de santé (INS), identifiant permanent du patient (IPP), identifiant de l'épisode de soin (IEP)), à la phase de collecte des données (numéro de tube d'un prélèvement biologique) ou à l'identifiant dans un jeu de données source ;
- le numéro d'inclusion est généré spécifiquement pour le jeu de données. Lorsque certaines données sont issues d'une base de données ou d'une collection d'échantillons biologiques existante, le numéro d'inclusion associé à la personne se prêtant à la recherche est différent de l'identifiant utilisé dans la base source. La correspondance, si nécessaire, est détenue par le responsable de la base source.
16. Par exception, la première lettre du prénom et la première lettre du nom de la personne se prêtant à la recherche peuvent être temporairement accolées au numéro d'inclusion, à condition que cet accolement soit justifié pour la réalisation de certaines étapes spécifiques de la recherche. La justification doit figurer dans le protocole. Cet accolement est réalisé pour une durée n'excédant pas celle nécessaire pour atteindre l'objectif annoncé.
17. Le cas échéant, le responsable de traitement documente spécifiquement, au sein de l'AIPD liée à la recherche, les risques de réidentification de la personne se prêtant à la recherche, induits par la présence des initiales, et met en place des mesures techniques et organisationnelles appropriées pour limiter ces risques.
18. Pour les étapes de la recherche au cours desquelles le numéro d'inclusion n'est pas ou plus strictement nécessaire à la réalisation de la recherche ou au suivi de la personne qui s'y prête, il est remplacé par un code non signifiant généré conformément aux exigences MR-CNS-01 à 04 de l'annexe sécurité. Plusieurs codes non signifiants peuvent être générés pour les différentes étapes de la recherche ou lorsque les données sont partagées avec de nouveaux destinataires.
19. La table de correspondance permettant de faire le lien entre le numéro d'inclusion et les données administratives est conservée par les professionnels intervenant dans la recherche qui assurent une mission de suivi et qui exercent au sein d'un lieu de recherche, à l'exception du domicile du patient. Les informations (table de correspondance ou clé secrète utilisée) permettant de faire un lien entre un code non signifiant, les données administratives, le numéro d'inclusion ou d'autres identifiants la concernant sont conservées conformément à l'exigence MR-CNS-04 de l'annexe sécurité.
2. Nature des données
20. Seules peuvent être traitées les catégories de données à caractère personnel relatives à la personne se prêtant à la recherche :
- dont la collecte, scientifiquement justifiée dans le protocole de la recherche, a été considérée comme pertinente par un comité d'éthique et ;
- qui relèvent de la liste ci-dessous.
Liste des données à caractère personnel susceptibles d'être traitées :
21. Identifiants :
- numéro d'inclusion, généré conformément aux exigences précisées aux paragraphes 15 à 17 ;
- codes non signifiants, générés conformément aux exigences spécifiques de l'annexe sécurité (MR-CNS-01 à 04).
22. Données administratives :
- noms, prénoms ;
- coordonnées postales, électroniques et téléphoniques ;
- coordonnées bancaires ;
- date de naissance complète (jour, mois et année de naissance) si cette dernière est nécessaire à la recherche du statut vital au sein du fichier des décès de l'INSEE dans le cadre d'une mission de suivi de la personne se prêtant à la recherche ou à la prise en charge/remboursement des frais dans le cadre d'une mission administrative nécessaire à la réalisation de la recherche ;
- régime d'affiliation à la sécurité sociale (à l'exclusion du numéro d'inscription au répertoire national d'identification des personnes physiques), assurance complémentaire (mutuelle, assurance privée) ;
- remboursement des frais engagés par la personne concernée, liés à la recherche ;
- montant annuel des indemnités perçues.
Ces données sont traitées dans le strict respect des conditions prévues par la méthodologie et notamment celles précisées dans la partie VII « destinataires ».
23. Données de la recherche :
- âge ou date de naissance (mois et année de naissance) ;
- jour de naissance si ce dernier est nécessaire à la réalisation d'une recherche impliquant des personnes âgées de moins de deux ans ;
- lieu de naissance et origine géographique ;
- pays, région ou département de résidence ;
- mentions de sexe et de genre ;
- toute donnée relative à la santé ;
- dates relatives à la conduite de la recherche ;
- origine ethnique ;
- données génétiques ;
- situation familiale ;
- déterminants sociaux : niveau de formation, catégorie socioprofessionnelle, vie professionnelle, revenus du foyer par catégories/tranches, échelle de soutien social perçu ;
- participation à d'autres recherches, en vue de s'assurer du respect des critères d'inclusion ;
- usage de tabac, alcool, drogues ;
- habitudes de vie et comportements, dont les déplacements ;
- mode de vie ;
- vie sexuelle, orientation sexuelle ;
- statut vital et date de décès, lorsque cette information figure dans le document source, est connue du professionnel intervenant dans la recherche ou est obtenue après consultation du fichier des personnes décédées de l'INSEE ;
- échelle de qualité de vie ou autres informations sur la qualité de vie de la personne ;
- photographies, vidéos ou enregistrements vocaux ne permettant pas l'identification des personnes se prêtant à la recherche et recueillies dans des conditions conformes aux dispositions applicables en matière de droit à l'image et de droit à la voix.
Ces données doivent être minimisées et pseudonymisées, conformément aux paragraphes 13 à 19 et aux mesures MR-SEC-04 et MR-SEC-06 de l'annexe sécurité.
3. Origine des données à caractère personnel
24. Les données relatives à la personne se prêtant à la recherche proviennent exclusivement :
- des intéressés eux-mêmes, de leurs représentants légalement désignés et/ou de leur aidant, sous réserve que cette dernière modalité soit expressément prévue au sein du protocole validé par le comité d'éthique ;
- des professionnels intervenant dans la recherche ;
- des bases de données ou de collections d'échantillons biologiques, légalement constituées et ayant fait l'objet des formalités nécessaires auprès des autorités compétentes.
25. S'agissant des données issues d'une base de données ou d'une collecte d'échantillons biologiques existante :
- seules les personnes initialement habilitées à accéder aux données administratives peuvent détenir la table de correspondance ;
- le numéro d'inclusion est différent de l'identifiant utilisé dans la base source. La correspondance, si nécessaire, sera détenue par le responsable de la base source.
B. - Concernant les données à caractère personnel des professionnels intervenant dans la recherche
1. Nature des données à caractère personnel
26. Seules peuvent être traitées les catégories de données à caractère personnel relatives aux professionnels intervenant dans la recherche suivantes :
- données d'identité : noms, prénoms, état civil, coordonnées professionnelles (postales, électroniques, téléphoniques et bancaires), le cas échéant, numéro d'identification dans le répertoire partagé des professionnels de santé ;
- formation, diplômes ;
- vie professionnelle (notamment cursus professionnel, mode et type d'exercice, éléments nécessaires à l'évaluation des connaissances dont ils disposent pour réaliser la recherche) ;
- montant des indemnités et rémunérations perçues ;
- collaboration à d'autres études ;
- historique des accès et des modifications apportées aux données de la personne se prêtant à la recherche.
2. Origine des données à caractère personnel
27. Les données relatives aux professionnels intervenant dans la recherche proviennent :
- des intéressés eux-mêmes ;
- de listes publiques ;
- de toute autre liste licitement constituée à cette fin.
VII. - Destinataires
28. La mise en œuvre de traitements de données à caractère personnel peut nécessiter la communication des données concernées à des destinataires. Cette communication intervient conformément :
- aux principes généraux applicables à tout destinataire ;
- aux dérogations admises au regard des missions de certains destinataires ;
- ainsi qu'aux conditions particulières applicables aux destinataires souhaitant cumuler la réalisation de plusieurs missions confiées par le responsable de traitement.
29. Les principes généraux et dérogations décrits ci-dessous n'excluent pas :
- la communication volontaire par la personne des données la concernant pour l'exercice de ses droits, conformément à la partie IX « Droits des personnes » ;
- la communication au personnel habilité agissant sous l'autorité de l'organisme d'assurance garantissant la responsabilité civile du responsable de traitement, le cas échéant.
A. - Les principes généraux applicables à tout destinataire
30. Chaque destinataire :
- est habilité dans des conditions conformes à la réglementation ;
- reçoit communication des données à caractère personnel strictement nécessaires à l'exercice de ses fonctions en lien avec la mission confiée ;
- est soumis au secret professionnel, dans les conditions définies par les articles 226-13 et 226-14 du code pénal ou les règlementations sectorielles du pays tiers où se déroule la recherche ;
- met en place des mesures techniques et organisationnelles garantissant la sécurité des données ;
- conserve les données à caractère personnel pendant une durée qui n'excède pas celle nécessaire à la réalisation de la mission confiée.
31. En dehors des cas prévus dans la partie B « les dérogations », un destinataire ne peut pas concomitamment accéder ou avoir communication :
- des données administratives et des données de la recherche ;
- des données administratives et du numéro d'inclusion. Le respect de ce principe peut nécessiter l'attribution d'un code non signifiant à la personne se prêtant à la recherche.
B. - Les dérogations admises au regard des missions des destinataires des données de la personne se prêtant à la recherche
1. Dérogation pour la mission de suivi des personnes
32. Les destinataires qui assurent une mission de suivi peuvent accéder aux données administratives, aux identifiants et aux données de la recherche de la personne suivie.
2. Dérogation pour les missions administratives
33. Les destinataires qui assurent des missions administratives nécessaires à la réalisation de la recherche peuvent accéder aux données administratives, aux codes non signifiants et aux données de santé strictement nécessaires à l'organisation de cette mission.
3. Dérogation pour la mission d'information
34. Les destinataires qui assurent une mission d'information peuvent accéder aux données administratives ainsi qu'aux éléments contenus dans l'information RGPD, qui sont susceptibles de révéler des informations sur l'état de santé de la personne se prêtant à la recherche.
4. Dérogation pour la mission de contrôle qualité
35. Les destinataires qui assurent une mission de contrôle qualité peuvent accéder aux données à caractère personnel dans des conditions conformes à l'annexe contrôle qualité.
C. - Les conditions particulières associées au cumul de plusieurs missions
36. Sous réserve de respecter les principes généraux et les dérogations précitées, des personnes physiques ou morales peuvent cumuler plusieurs missions dans le respect des conditions décrites ci-après.
1. Les professionnels intervenant dans la recherche qui exercent au sein d'un lieu de recherche, à l'exclusion du domicile de la personne
37. Ces professionnels peuvent réaliser les missions de suivi, les missions administratives nécessaires à la réalisation de la recherche, les missions d'information et contribuer aux missions de contrôle qualité. Ce cumul est admis uniquement pour les personnes qu'ils prennent en charge dans le cadre de la recherche et s'agissant de la mission d'information, pour les personnes dont ils connaissaient l'identité avant le début de la recherche.
2. Les établissements de santé établis en France, qualifiés de responsable de traitement, réalisant plusieurs missions
38. Lorsqu'ils sont promoteurs de la recherche, ces établissements peuvent réaliser les missions de suivi, les missions d'information, les missions administratives et contribuer aux missions de contrôle qualité.
39. En cas de cumul de plusieurs missions, ils mettent en place des mesures garantissant la séparation physique et organisationnelle entre les personnes chargées de réaliser ces différentes missions (équipes et procédures d'habilitation séparées) et un cloisonnement entre les données traitées dans le cadre de chaque mission (bases de données et applications disjointes, avec des droits d'accès différents). Ils s'assurent que chaque personne chargée de réaliser une mission n'a accès qu'aux données nécessaires à la réalisation de sa mission.
3. Les personnes morales, qualifiées de sous-traitant, réalisant plusieurs missions
40. Ces personnes morales peuvent réaliser les missions de suivi, les missions d'information, les missions administratives et les missions de contrôle qualité.
41. En cas de cumul de plusieurs missions, le sous-traitant met en place, pour la réalisation des missions confiées, des mesures garantissant la séparation physique et organisationnelle entre les personnes chargées de réaliser ces différentes missions (équipes et procédures d'habilitation séparées) et un cloisonnement entre les données traitées dans le cadre de chaque mission (bases de données et applications disjointes, avec des droits d'accès différents). Il s'assure que chaque personne chargée de réaliser une mission n'a accès qu'aux données nécessaires à la réalisation de sa mission.
VIII. - Information des personnes concernées
A. - Concernant la personne se prêtant à la recherche
42. Conformément à l'article 12 du RGPD, le responsable de traitement est tenu d'informer individuellement la personne se prêtant à la recherche et/ou ses représentants légalement désignés de l'existence d'un traitement de données à caractère personnel la concernant ou concernant une personne dont ils assurent la représentation.
43. L'information RGPD doit être concise, transparente, compréhensible, aisément accessible et rédigée dans des termes clairs et simples adaptés aux capacités de compréhension des personnes concernées.
44. La présente section est sans préjudice des informations à transmettre au titre des règlementations sectorielles applicables, qui devront en tout état de cause être respectées par le responsable de traitement.
1. La temporalité de l'information
45. Par principe, la personne se prêtant à la recherche et/ou ses représentants légalement désignés sont informés, préalablement à l'inclusion au sein de la recherche.
46. Par exception, lorsque la personne se prêtant à la recherche n'est pas en état de recevoir l'information RGPD avant son inclusion, celle-ci est délivrée, dès que possible, à ses représentants légalement désignés.
47. Dès lors que l'état de santé de la personne se prêtant à la recherche le permet, il lui est délivré l'information RGPD. La personne se prêtant à la recherche ou ses représentants légalement désignés seront informés du droit de s'opposer à l'utilisation des données recueillies dans le cadre de la recherche conformément à la règlementation sectorielle.
2. Les modalités de délivrance de l'information
48. L'information RGPD peut être :
- remise en main propre lors d'une consultation ;
- adressée par voie postale ;
- adressée par voie électronique.
49. Lorsqu'elle est adressée par voie électronique, les conditions cumulatives suivantes sont applicables :
- la personne se prêtant à la recherche et/ou ses représentants légalement désignés ne s'opposent pas à cette modalité de délivrance de l'information. En cas d'opposition, le responsable de traitement est tenu de remettre une information RGPD au format papier ;
- la personne se prêtant à la recherche et/ou ses représentants légalement désignés disposent des moyens nécessaires pour accéder au support électronique grâce auquel l'information sera délivrée ;
- l'information RGPD au format électronique est mise à disposition de la personne se prêtant à la recherche et/ou ses représentants légalement désignés pendant toute la durée de la recherche ;
- si la personne se prêtant à la recherche et/ou ses représentants légalement désignés en font la demande, ils peuvent à tout moment obtenir la mise à disposition d'une information RGPD au format papier ;
- les mesures de sécurité spécifiques à la délivrance de l'information au format électronique prévues dans l'annexe sécurité sont mises en œuvre (MR-INF-01 à 04).
50. En tout état de cause, les modalités de transmission et d'accès sont conformes aux exigences prévues par la partie VII « destinataires ».
3. Les récipiendaires de l'information
51. La personne sollicitée pour se prêter à la recherche et/ou ses représentants légalement désignés sont individuellement informés du traitement des données à caractère personnel.
52. Les personnes mineures, et les personnes majeures concernées par une mission de représentation dans le cadre d'une tutelle, d'une habilitation familiale ou d'un mandat de protection future, et/ou leurs représentants légalement désignés sont informés dans des conditions conformes à l'article 70 de la loi « informatique et libertés ».
53. Pour les recherches visées au paragraphe 6 de la méthodologie, lorsque la règlementation sectorielle le prévoit et pour les recherches mentionnées au 2° et au 3° de l'article L. 1121-1 du code de la santé publique, lorsque le second titulaire de l'exercice de l'autorité parentale ne peut pas être consulté dans des délais compatibles avec les exigences méthodologiques de la recherche, une note d'information RGPD à destination du titulaire absent devra être transmise au titulaire présent lors de l'inclusion.
4. Le contenu de l'information RGPD
54. L'information dispensée contient l'ensemble des mentions prévues par le RGPD, complétée des éléments suivants :
- les modalités d'exercice des droits des personnes, notamment les points de contact pour la personne exerçant ses droits et/ou ses représentants légalement désignés et le cas échéant, les informations qu'ils doivent fournir à cet effet ;
- en cas de réutilisation de bases de données et/ou de collections d'échantillons biologiques légalement constituées, la source d'où proviennent les données et les catégories de données concernées ;
- l'inscription au sein du fichier national recensant les personnes ne présentant aucune affection et se prêtant volontairement à une recherche, conformément aux règlementations sectorielles ;
- lorsque le responsable de traitement confie à un sous-traitant une ou plusieurs missions nécessitant la communication ou l'accès à des données administratives, la ou les missions confiées et les catégories de données à caractère personnel dont il sera destinataire.
B. - Concernant les professionnels intervenant dans la recherche
55. L'information RGPD est délivrée par une mention figurant sur des documents remis aux professionnels intervenant dans la recherche ou sur les conventions signées par eux. Cette information contient l'ensemble des mentions prévues par le RGPD.
IX. - Droits des personnes
A. - Les principes généraux
56. Conformément à l'article 12 du RGPD, le responsable de traitement met en œuvre des procédures permettant de donner suite aux demandes d'exercice des droits dans un délai maximal d'un mois à compter de leur réception. Ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Cette prolongation est portée à la connaissance de la personne exerçant ses droits et/ou de ses représentants légalement désignés dans un délai d'un mois à compter de la réception de la demande.
57. Sous réserve des dispositions spécifiques décrites ci-dessous et de la base légale retenue :
- le droit d'accès s'exerce dans les conditions prévues à l'article 15 du RGPD ;
- le droit de rectification s'exerce dans les conditions prévues à l'article 16 du RGPD ;
- le droit à la limitation s'exerce dans les conditions prévues à l'article 18 du RGPD ;
- le droit d'opposition s'exerce dans les conditions prévues à l'article 21 du RGPD ;
- le droit à la portabilité s'exerce dans les conditions prévues à l'article 20 du RGPD ;
- le droit à l'effacement s'exerce dans les conditions prévues à l'article 17 du RGPD.
58. Le responsable de traitement ne peut pas se prévaloir des dispositions de l'article 11 du RGPD pour limiter l'exercice des droits des personnes concernées. Lorsque les réglementations sectorielles n'imposent pas la conservation de données administratives ou de moyens de correspondance avec l'identité des personnes, le responsable de traitement reste en capacité de répondre aux demandes des personnes si celles-ci fournissent des informations complémentaires permettant leur réidentification. Il devra pour cela mettre en place un mécanisme garantissant la correspondance entre les données transmises par la personne exerçant ses droits et les données à caractère personnel la concernant traitées dans le cadre de la recherche.
B. - Les dispositions spécifiques pour les droits des personnes se prêtant à la recherche
59. La personne se prêtant à la recherche doit être spécifiquement informée de toute restriction de ses droits.
60. Les droits s'exercent à tout moment, directement ou par l'intermédiaire d'un professionnel désigné à cet effet par la personne se prêtant à la recherche, auprès du :
- responsable de traitement ;
- responsable scientifique de la recherche ;
- professionnel intervenant dans la recherche.
61. Conformément aux dispositions de la loi « informatique et libertés », la personne se prêtant à la recherche peut s'opposer à tout moment et sans avoir à justifier sa décision au traitement des données à caractère personnel la concernant à des fins de recherche.
C. - Les dispositions spécifiques pour les droits des professionnels intervenant dans la recherche
62. Les droits s'exercent à tout moment auprès du responsable de traitement.
X. - Durée de conservation
63. Conformément au e du 1 de l'article 5 du RGPD, les données à caractère personnel sont traitées pour une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées et aux besoins de chaque sous-traitant d'en connaître.
64. Les données à caractère personnel relatives aux personnes se prêtant à la recherche et aux professionnels intervenant dans la recherche sont conservées en base active jusqu'à soit :
- la mise sur le marché du produit de santé étudié ;
- deux ans après la dernière publication des résultats de la recherche ;
- en l'absence de publication, deux ans après la signature du rapport final de la recherche.
65. Elles font ensuite l'objet d'un archivage sur support papier ou informatique pour une durée conforme aux règlementations sectorielles applicables.
XI. - Publication des résultats
66. En cas de publication des résultats de la recherche dans un média scientifique, l'accès aux données par un expert indépendant, mandaté notamment par un éditeur scientifique pour la consultation et la manipulation des données aux seules fins de réanalyse des résultats, ne peut s'effectuer que par l'interface mise à disposition ou déterminée par le responsable de traitement.
67. A cet égard, le responsable de traitement doit s'assurer :
- que l'information RGPD des personnes concernées mentionne cette catégorie de destinataires ;
- que les données sont strictement nécessaires pour reproduire les statistiques publiées et qu'elles ne contiennent ni le numéro d'inclusion, ni d'autres codes non signifiants utilisés dans la recherche, ni aucune donnée administrative, en respectant le principe de minimisation et la mesure MR-PUB-01 de l'annexe sécurité ;
- de la mise en œuvre d'une solution technique ou de l'adhésion à une solution technique mutualisée respectant les mesures spécifiques à la publication des résultats prévues par l'annexe sécurité (MR-PUB-02 et 03) ;
- le cas échéant, de la conformité de l'accès distant aux données à caractère personnel aux dispositions relatives au transfert des données hors de l'Union européenne (UE) décrites dans la partie XIV « transfert de données en dehors de l'Union européenne ».
68. Conformément aux dispositions de la loi « informatique et libertés », la présentation des résultats de la recherche ne doit en aucun cas permettre l'identification directe ou indirecte des personnes se prêtant à la recherche.
XII. - Sécurité
69. La mise en œuvre d'un traitement de données à caractère personnel s'effectue dans le respect des dispositions de l'article 25 et des articles 32 à 35 du RGPD.
70. Le responsable de traitement, ainsi que les sous-traitants auxquels il fait appel, prennent toutes les précautions utiles au regard des risques présentés par le traitement pour préserver la sécurité des données à caractère personnel et empêcher qu'elles soient déformées, endommagées ou que des tiers non-autorisés y aient accès.
71. En particulier, il met en œuvre les mesures générales prévues par l'annexe sécurité (MR-SEC-01 à 30) ainsi que les mesures spécifiques (MR-INF-01 à 04, MR-PUB-01 à 03 et MR-CNS-01 à 04).
XIII. - Système fils incluant des données issues du SNDS
72. Peuvent faire l'objet d'un traitement dans le cadre de cette méthodologie, les données provenant de systèmes fils conformes aux dispositions des articles L. 1461-1 et suivants du code de la santé publique, ainsi qu'au référentiel de sécurité applicable au SNDS prévu par arrêté.
XIV. - Transfert de données en dehors de l'Union européenne
73. Les transferts de données hors de l'UE peuvent être effectués en conformité avec la méthodologie, lorsque les conditions décrites ci-après sont remplies.
74. Les données des professionnels intervenant dans la recherche ainsi que les identifiants et les données de la recherche des personnes se prêtant à la recherche peuvent faire l'objet d'un transfert hors de l'UE dans les conditions prévues au chapitre V du RGPD.
75. Les données administratives des personnes se prêtant à la recherche peuvent faire l'objet d'un transfert hors de l'UE :
- lorsque ce transfert s'effectue à destination d'une organisation internationale ou d'un pays tiers, d'un territoire ou d'un ou plusieurs secteurs déterminés dans ce pays tiers reconnus par la Commission européenne comme assurant un niveau de protection adéquat, conformément à l'article 45 du RGPD (décision d'adéquation) ; ou
- dans le cas particulier où la recherche est conduite dans un pays tiers par un responsable de traitement établi en France, lorsque le transfert est effectué vers ce même pays tiers, dans les conditions prévues au chapitre V du RGPD.
76. Un transfert de données hors de l'UE peut être effectué s'il est strictement nécessaire à la mise en œuvre de la recherche ou à l'exploitation de ses résultats et si les dispositions de la partie VII « destinataires » sont respectées.
77. Les personnes concernées sont préalablement informées du transfert de leurs données, du pays de destination, de l'existence ou de l'absence d'une décision d'adéquation ou de garantie appropriée et des moyens d'en obtenir une copie.
XV. - Sous-traitant
78. Lorsque le responsable de traitement fait appel à un ou des sous-traitants, il s'assure que ceux-ci, et les sous-traitants ultérieurs, présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées pour répondre aux exigences du RGPD et de la loi « informatique et libertés ». Le responsable de traitement réalise également un audit de chaque sous-traitant.
79. L'adhésion, par un sous-traitant, à un code de conduite approuvé par une autorité de contrôle peut servir d'élément pour démontrer qu'il met en œuvre des garanties suffisantes.
80. Le responsable de traitement établit avec le sous-traitant un contrat ou un autre acte juridique précisant les obligations de chaque partie et reprenant les exigences de l'article 28 du RGPD.
81. En outre, le sous-traitant :
1. Désigne, le cas échéant, un délégué à la protection des données conformément à l'article 37 du RGPD ;
2. Tient un registre des catégories de traitements effectués pour le compte du responsable de traitement, conformément à l'article 30 du RGPD ;
3. Tient et met à jour les informations relatives aux sous-traitants ultérieurs engagés.
XVI. - Mise en œuvre du principe de responsabilité
A. - Documentation de la conformité : analyse d'impact sur la protection des données (AIPD) et registre des traitements
82. Le responsable de traitement effectue une AIPD conformément aux dispositions de l'article 35 du RGPD. Cette AIPD doit couvrir en particulier les risques sur les droits et libertés des personnes concernées. Une seule AIPD peut porter sur un ensemble d'opérations de traitement similaires qui présentent des risques similaires.
83. Conformément à l'article 30 du RGPD, le responsable de traitement tient à jour, au sein du registre des activités de traitement, la liste de chacun des traitements mis en œuvre dans le cadre de la méthodologie.
B. - Désignation d'un délégué à la protection des données (DPD/DPO)
84. Dans les conditions prévues à l'article 37 du RGPD, chaque responsable de traitement désigne un délégué à la protection des données (DPD). Ce DPD aura notamment pour mission de vérifier le respect de la conformité des traitements mis en œuvre selon la méthodologie.
C. - Formalités
85. Le responsable de traitement adresse à la CNIL une seule déclaration de conformité à la méthodologie de référence pour l'ensemble des traitements qu'il met en œuvre en conformité avec cette norme.
86. En cas de responsabilité conjointe de traitement, chaque responsable adresse à la CNIL une déclaration de conformité.
87. La déclaration de conformité ne dispense pas le responsable de traitement de réaliser les démarches nécessaires prévues par les règlementations sectorielles, notamment auprès de l'autorité compétente et/ou d'un comité d'éthique.
D. - Principe de transparence
88. Les recherches et leurs résultats sont inscrits dans les registres visés par les règlementations sectorielles.
XVII. - Entrée en vigueur
89. La méthodologie de référence entre en vigueur à compter de sa publication au Journal officiel de la République française.
90. Les traitements de données mis en œuvre en application de la délibération n° 2018-154 du 3 mai 2018 portant homologation de la méthodologie de référence relative au traitement des données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé ne nécessitant pas le recueil du consentement de la personne concernée (MR-003) et abrogeant la délibération n° 2016-263 du 21 juillet 2016 est abrogée peuvent se poursuivre dans le respect de ses dispositions.
91. Les responsables de traitement ayant réalisé un engagement ou une déclaration de conformité à la MR-003 dans une précédente version ne sont pas tenus de déclarer à nouveau leur conformité, sous réserve que les recherches mises en œuvre à compter de son entrée en vigueur soient conformes à la présente méthodologie.
92. Lorsqu'une recherche autorisée antérieurement par la CNIL fait l'objet d'une modification substantielle et est conforme à la présente méthodologie, il n'est pas nécessaire d'obtenir une nouvelle autorisation de la CNIL.