Nécessité d’un accord et d’une information honnête et accessible réaffirmée par les textes

20 Il est rappelé, à titre liminaire, que le consentement des personnes n’est pas systématiquement requis pour les traitements de données personnelles réalisés à des fins de recherche scientifique. Le RGPD prévoit que chaque traitement de données personnelles repose sur une ou plusieurs conditions qui en fondent la licéité, des conditions dont la liste est précisée à l’article 6. Le consentement est l’une de ces bases légales au même titre que l’exécution d’une mission d’intérêt public dont est investi le responsable du traitement, tout comme le sont le respect d’une obligation légale ou l’intérêt légitime du responsable du traitement. S’agissant du traitement des données de santé, l’objectif de recherche scientifique est un critère de licéité indépendant du consentement (art. 9.2.j).

21 Le point de savoir si le consentement de la personne est requis dépend donc de la qualification réglementaire de la recherche. Mais le consentement à la participation à la recherche lorsqu’il est requis ne constitue pas pour autant nécessairement la base légale du traitement.

22 Rappelons qu’un consentement à la participation à la recherche (opt-in) est requis pour les recherches impliquant la personne humaine (RIPH) [9] relevant des catégories 1° [10] ou 2° [11], des recherches qui présentent par définition des risques ou des contraintes, et pour les recherches nécessitant l’analyse des caractéristiques génétiques. Les études non interventionnelles (RIPH relevant de la catégorie 3 [12]), de même que les recherches portant exclusivement sur des données ou des échantillons biologiques déjà acquis (NRIPH) sont soumises, quant à elles, à un régime d’opposition de la personne (op-out).

23 Enfin, si à l’occasion d’une recherche, il est envisagé de constituer un « entrepôt de données » [13], c’est-à-dire une base de données ouverte à des fins de recherches menées ultérieurement, il est recommandé de recueillir le consentement exprès des personnes concernées par cette réutilisation secondaire des données et/ou échantillons biologiques. En effet, si l’entrepôt n’est pas fondé sur le recueil du consentement, une autorisation de la CNIL sera nécessaire (LIL, art. 65.2°), à défaut de conformité au référentiel homologué par cette autorité. Le consentement, s’il est recueilli, ne couvrira pas les recherches ultérieures qui nécessiteront une information spécifique préalable assortie d’un droit d’opposition, mais il sera de nature à fonder la constitution de l’« entrepôt ».

24 Quels que soient la qualification réglementaire de la recherche et le régime du recueil de l’accord des personnes, l’information de ces dernières est essentielle. En matière de recherche en santé humaine, cette transparence est une garantie reconnue aux participants en contrepartie de la levée du secret professionnel. Elle leur permet de comprendre les objectifs de la recherche, les modalités de leur participation, la portée de l’accord qu’ils donnent et de maîtriser l’utilisation qui sera faite de leurs données. Elle conditionne et facilite l’exercice effectif de leurs droits. Elle permet de développer la compréhension et d’instaurer une relation de confiance avec les chercheurs et l’organisme dont ils dépendent.

25 Par principe, l’information doit être délivrée individuellement à chaque personne participant à la recherche, que les données soient recueillies directement auprès d’elle ou par l’intermédiaire de tiers (LIL, art. 58). L’information individuelle doit être doublée d’une information générale dans les structures de soins qui transmettent des données personnelles de leurs patients pour permettre des activités de recherche (affichage dans leurs locaux, mention dans le livret d’accueil, etc.).

26 Si le RGPD favorise l’utilisation de ces données à des fins de recherches scientifiques en posant le principe d’une présomption de compatibilité des traitements ultérieurs (RGPD, art. 5 b), il impose cependant que les personnes concernées en soient individuellement informées [14]. L’information doit être réalisée pour chaque projet auquel le patient participe ou pour lequel les données du patient feront l’objet d’un traitement.

27 Le rôle des patients ou des personnes à l’origine des données est majeur et leurs droits à être informés et à donner leur accord à la réutilisation de ces données et échantillons doivent être respectés. Pourtant, l’exigence d’une information individuelle et spécifique à chaque projet issu de ces données et/ou échantillons est difficilement compatible avec le fonctionnement des biobanques, des cohortes, notamment celles financées par le programme d’investissements d’avenir, qui ont vocation à créer une ressource pour la communauté des chercheurs.

À la faveur du numérique, des modalités d’exercice des droits plus souples et plus dynamiques

28 Comme le souligne Georges Dagher au sujet des biobanques, « […] Il est temps de repenser le rôle des personnes-sources plus largement en termes de participation et de contribution à la recherche. Le nouveau paradigme développé par l’utilisation des collections biologiques et visant à créer une ressource pour la recherche invite à une évolution du cadre réglementaire et éthique qui régit la question de la participation des patients aux projets de recherche » [15].

29 De plus en plus, les patients ou leurs représentants au travers des associations intègrent les organes de gouvernance des infrastructures qui permettent l’utilisation secondaire des données (cohortes, biobanques, entrepôts de données…). Ils contribuent ainsi à la définition des orientations stratégiques, des principes directeurs et des procédures d’accès aux données qui seront mises en place. Ils participent également à la relecture des documents remis aux participants et sont informés régulièrement des résultats globaux des recherches. Les responsables de cohortes soulignent l’importance de cette dimension participative dans le fonctionnement en routine des cohortes, une dimension qui résulte du contrat de confiance qui lie le scientifique aux volontaires.

30 En outre, il n’est pas toujours réaliste ni éthique de recontacter trop fréquemment les personnes concernées, en particulier quand elles sont atteintes de maladies graves ou incurables, pour les informer de chaque utilisation de leurs données et leur permettre, à cette occasion, de s’y opposer. Une telle information ne permet pas à une personne constamment sollicitée de disposer d’une vue d’ensemble de l’utilisation des données qui la concernent.

31 À la faveur du numérique, d’autres modes d’information et de recueil du consentement voient le jour et sont développés, tels que la mise en place dans la durée de « portails de transparence », qui sont assortis d’une communication régulière sur l’utilisation des données et d’un droit de retrait dynamique, permettant d’adapter, le cas échéant, le consentement initial de façon flexible.

32 Il faut saluer le pragmatisme de la CNIL sur ce point, illustré par la rédaction de la méthodologie de référence MR004 [16]. Celle-ci admet que des données et/ou des échantillons biologiques puissent faire l’objet d’une réutilisation et que l’information puisse être considérée comme valablement délivrée sans qu’il soit besoin de procéder à une nouvelle information individuelle des personnes : cela nécessite que l’information délivrée lors de la collecte initiale des données mentionne clairement la possibilité de les réutiliser et renvoie à un support d’information dynamique tel qu’un site Internet, centralisant les informations relatives à l’ensemble des projets menés et leurs caractéristiques et auquel les personnes pourront se reporter pour, notamment, exercer leur droit de retrait s’ils le souhaitent. Ce type d’approche, conforme au rapport du 15 septembre 2017 du Comité international de bioéthique (CIB) [17], apparaît de nature à favoriser l’utilisation des données en matière de recherche, tout en préservant l’autonomie des patients qui deviennent des parties prenantes au projet.

33 Cette souplesse suppose toutefois que le devenir des données personnelles et des échantillons biologiques collectés dans le cadre d’un projet initial ait été anticipé et que les personnes aient été renvoyées vers un « portail de transparence », dont elles ont été informées de la localisation de façon claire et précise.

34 À défaut, il faudra recontacter les personnes pour les informer de l’utilisation secondaire des données. Une dérogation à l’obligation d’information sera possible, mais une absence d’information des personnes rendra les recherches subséquentes non éligibles aux mesures facilitatrices concernant les traitements jugés les plus courants, que sont les méthodologies de référence. Une demande d’autorisation, spécialement motivée, devra être effectuée auprès de la CNIL, ce qui sera de nature à retarder la mise en œuvre à l’échelle nationale ou internationale de projets de collaboration qui présentent des enjeux de santé publique.

35 Dans un contexte évolutif et longitudinal où prévaut l’hétérogénéité des acteurs, il est également nécessaire d’envisager d’autres modes de consentement pour assurer durablement l’équilibre entre le respect des droits des personnes et la dynamique des usages des données personnelles.

36 Une réflexion en lien avec les chercheurs et les partenaires doit être menée sur l’objet du consentement à la réutilisation des données/échantillons et les modalités de son recueil et de son maintien dans le temps [18]. Le RGPD permet le recueil d’un consentement « pour une ou plusieurs finalités spécifiques » (art. 6.1.a), ce qui suppose que les finalités aient été déterminées et que la personne concernée en ait été informées. Il résulte de la lecture du considérant 33 du Règlement qu’une finalité spécifique est compatible avec un consentement global. Ce considérant prévoit en effet que les personnes concernées devraient pouvoir donner leur consentement « pour ce qui concerne certains domaines de la recherche scientifique dans le respect des normes éthiques reconnues en matière de recherche scientifique. »

37 Les attributs de la personne humaine étant indisponibles, une personne ne devrait pas pouvoir consentir à l’utilisation de ses données à des fins de recherche scientifique sans autre précision [19]. En revanche, la personne concernée pourrait être en mesure d’accepter que ses données soient utilisées dans le cadre de différents projets de recherche susceptibles d’être menés dans une branche ou un domaine particuliers pour lesquels elle autorise l’utilisation de ses données (par exemple, la recherche en oncologie) ou encore dans le cadre d’une infrastructure qu’elle aura choisie selon des modalités de partage définies [20].

38 On pourrait également imaginer un consentement à options, la personne pouvant, par exemple, accepter un partage de ses données avec des organismes académiques, mais pas avec des industriels ; ou un partage de ses données quand leur utilisation reste au sein de l’Union européenne, mais pas quand elles circulent en dehors de cet espace.

39 Les algorithmes sont susceptibles de constituer de précieux outils d’aide à la décision [21]. Ils constituent également un sujet de réflexion pour la recherche. Outre les questions des données personnelles et de la qualité et de la fiabilité des sources des données issues d’un traitement algorithmique, se pose la question de la clarté et de l’intelligibilité nécessaires à l’explicabilité qui pèse sur les concepteurs, afin que les professionnels de santé utilisateurs puissent effectivement exercer un contrôle sur les résultats du traitement dans le respect de la garantie qu’apporte une intervention humaine (CSP, art. L. 4001-3).

Un environnement juridique complexe

45 La lisibilité du droit pour les acteurs de la recherche n’est pas facile. Le RGPD doit être articulé avec la loi « Informatique et libertés » française [23] qui maintient un régime d’autorisation pour les recherches, études ou évaluations réalisées dans le domaine de la santé, dès lors qu’elles ne sont pas conformes à une méthodologie de référence (art. 66 III). Cette même loi doit aussi être articulée avec d’autres dispositions de l’UE et nationales applicables à la recherche [24], notamment les dispositions du Code de la santé publique applicables aux recherches impliquant la personne humaine et au système national des données de santé (SNDS), et les dispositions du Code civil. De nouveaux règlements européens sont en cours d’élaboration qui devront, eux aussi, s’articuler avec le cadre juridique existant [25].

46 La préparation et l’instruction réglementaire des dossiers de demandes d’autorisation pour des études sont devenues plus complexes ; elles requièrent une expertise juridique et technique toujours plus importante. Les procédures administratives demeurent complexes, faisant intervenir une multiplicité d’organismes selon que la recherche implique ou non la personne humaine.

47 Dans ce contexte, les chercheurs doivent pouvoir bénéficier d’un accompagnement expert qui leur assure, en amont de la soumission, une conformité de leurs dossiers à la réglementation et aux attentes de la CNIL et qui, finalement, facilite l’obtention des autorisations dans des délais compatibles avec ceux parfois très contraints des recherches (projets sur l’étude de la pandémie de Covid-19…). En parallèle de cette évolution, le respect des contraintes réglementaires évoquées précédemment devient un élément déterminant pour la participation à des projets internationaux et européens.

Mise en place d’un dispositif de formation des chercheurs et d’autorégulation adapté aux spécificités du RGPD

48 Les organismes de recherche doivent se doter d’équipes pluridisciplinaires dédiées, à même de relever les défis juridiques et techniques posés par la réglementation. La fonction de délégué à la protection des données (DPD, ou DPO pour Data Protection officer) a été rendue obligatoire dans tous les organismes dont l’activité est d’effectuer des traitements à grande échelle de données sensibles. Son rôle est de contribuer, en lien avec l’ensemble des acteurs présents dans l’organisme et les partenaires de celui-ci, à l’élaboration et à la déclinaison de politiques institutionnelles favorisant la protection des données. Il est également de faciliter la tâche des scientifiques pour leur permettre de se consacrer à la production de connaissances utiles à la santé de tous. L’objectif est de diffuser une culture et de bons réflexes, l’enjeu étant la déclinaison opérationnelle de la protection des données personnelles au sein de l’organisme.

49 Pour ce faire, des campagnes d’information et de formation au RGPD et à ses contraintes doivent être réalisées régulièrement afin de sensibiliser les personnels, chercheurs comme administratifs.

50 Par ailleurs, la délégation à la protection des données de chaque organisme doit proposer des supports pédagogiques permettant aux scientifiques de s’approprier le cadre juridique et de les guider de façon didactique dans leur démarche de mise en conformité, tels que des guides de bonnes pratiques assortis de modèles permettant une auto-régulation par la communauté scientifique.

51 Enfin, les dossiers complexes, stratégiques et innovants, qui laissent plus difficilement place à une standardisation des procédures, doivent être évalués en recourant à des compétences scientifiques et juridiques croisées. Il faut capitaliser sur l’expérience acquise pendant la pandémie de Covid-19 et associer les délégations à la protection des données au montage des projets de recherche, et ce dès les premières réunions de cadrage [26]. Ce travail d’anticipation réalisé en équipe, dans l’esprit du RGPD et en conformité avec les lignes directrices du Comité européen de protection des données [27], est essentiel pour éviter les « erreurs d’aiguillage », qui obligent à des allers-retours et à des modifications ultérieures coûteuses en temps et en énergie. Cette écoute en amont des scientifiques permet de bien comprendre leurs besoins et de trouver avec eux les adaptations nécessaires des protocoles permettant de concilier ces besoins avec les exigences de la réglementation. Bien plus, cela permet aux chercheurs de faire des choix méthodologiques mieux éclairés, qui contribueront à l’élaboration plus rapide de dossiers solides permettant ultérieurement une valorisation agile des données personnelles dans le respect de la transparence à l’égard des personnes concernées. Cela facilite également le dialogue qu’entretiennent les DPO avec la CNIL, les partenaires, les participants aux études et les autres acteurs.

Mise en place d’un réseau de proximité constitué de référents spécialisés

52 Pour accompagner les scientifiques au niveau local, il est utile de mettre en place dans les organismes ‒ au sein des centres qui traitent à grande échelle des données sensibles, des plateformes de services, des services support, des directions métier, etc. ‒ des référents spécialisés dans la protection des données personnelles qui constituent autant de relais de proximité et qu’il appartient à la DPO de former et d’animer. Ces référents, dont les compétences diverses contribuent à la richesse du réseau, seront autant de points d’appui au niveau local pour diffuser les bonnes pratiques et faire remonter les questions qui permettront de construire des outils basés sur des retours d’expérience et qui seront adaptés aux réalités du terrain.

53 Face aux contraintes imposées par la réglementation et aux enjeux de la mise en place de politiques institutionnelles de protection des données, un besoin de renforcement des délégations à la protection des données, qui interviennent aux côtés des chercheurs, et de leur gouvernance se fait sentir, tout comme le besoin de la création d’instances locales d’appui à la recherche. Ce nécessaire renforcement s’impose aussi au niveau des services de la CNIL. Tous ensemble, nous pouvons fluidifier l’activité de recherche au bénéfice de la santé des populations, tout en assurant la promotion d’une recherche en santé humaine responsable.