CNIL : refonte des MR-001 et MR-003

Objectifs de la CNIL dans le cadre de la refonte :

• Élargissement du périmètre : les nouvelles versions couvrent désormais explicitement les différentes catégories de recherches (essais cliniques de médicaments, études de performance, etc) ou encore les recherches menées à l’étranger par un responsable de traitement établi en France ou dans l’Union européenne, ainsi que certaines situations de responsabilité conjointe.
• 4 missions peuvent être menées dans le cadre d’une recherche : la mission d’information, la mission de suivi des participants, les missions administratives (gestion des déplacements, des remboursements, etc) et la mission de contrôle qualité. Cette logique par mission remplace une approche auparavant plus figée, fondée sur des catégories d’acteurs parfois insuffisamment définies.
• Architecture plus lisible des données traitées, désormais réparties en trois grandes catégories : données administratives, identifiants et données de la recherche. Cette distinction emporte des conséquences sur la gestion des accès. Le principe posé est qu’un même destinataire ne doit pas, sauf exceptions prévues, accéder à la fois aux données administratives et aux données de la recherche ; il ne doit pas non plus accéder simultanément aux données administratives et au numéro d’inclusion. Cela conduit à un recours renforcé à des codes non signifiants, distincts selon les missions. Les MR clarifient aussi les possibilités de cumul d’activités pour certains acteurs, sous réserve d’un cloisonnement organisationnel et technique effectif.
• Encadrement renforcé de la sous-traitance, en particulier la chaîne de sous-traitance ultérieure, avec un accent mis sur les audits préalables, la formalisation contractuelle et l’application directe des exigences de sécurité aux sous-traitants.
• Transferts hors Union européenne : outre les cas déjà admis, les nouvelles MR permettent désormais, dans un cadre défini, le transfert de certaines données administratives, sous réserve du respect des outils de transfert prévus par le RGPD et des principes de nécessité et de minimisation. Les transferts vers le pays d’origine du participant à la recherche sont également envisagés.
• Modalités de l’information : l’information des personnes peut désormais, sous conditions, être remise de manière dématérialisée ; un différé d’information est envisagé en cas d’urgence vitale lorsque le protocole le prévoit ; et certaines règles sont assouplies, notamment pour l’information des titulaires de l’autorité parentale dans des situations délimitées.
• Création de deux annexes transversales.
• L’annexe « sécurité » fixe un socle commun de mesures techniques et organisationnelles incluant l’authentification multifacteurs (MFA) selon un calendrier progressif, et s’applique à l’ensemble des recherches entrant dans son champ. Elle envisage aussi les mesures de sécurité à mettre en place pour l’information dématérialisée et la mise en place des codes non signifiants. Ces mesures constituent l’état de l’art aujourd’hui des mesures de sécurité minimales.
• L’annexe « contrôle qualité » encadre de façon explicite le contrôle qualité sur site et à distance, tout en excluant certaines pratiques telles que l’accès direct non encadré au dossier médical.

•  Recherches non commencées : les nouvelles MR et les annexes « sécurité » et « contrôle qualité » s’appliquent pleinement. Cela vise les recherches encore en conception, en cours d’instruction, ou déjà autorisées sur le plan réglementaire mais pour lesquelles le traitement de données des participants n’a pas encore débuté.
• Recherches déjà commencées sans modification substantielle : il n’y a pas de nouvelle formalité à accomplir du seul fait de l’entrée en vigueur des nouvelle MR. Les déclarations de conformité antérieures restent valables. En revanche, la CNIL invite à prendre connaissance des annexes « sécurité » et « contrôle qualité » afin d’identifier et corriger progressivement les écarts éventuels car elles reflètent désormais l’état de l’art.
• Recherches déjà commencées avec modification substantielle : il faut raisonner au cas par cas. Si la modification envisagée est conforme aux nouvelles MR et que le reste de la recherche l’est également, le traitement peut en principe continuer à relever du cadre MR. En revanche, si la recherche ou la modification sort du périmètre des nouvelles MR, une demande d’autorisation peut être nécessaire.