Recherches sur le COVID-19 : la CNIL se mobilise

Dans le contexte de crise sanitaire actuelle, plusieurs acteurs de la santé souhaitent mettre en œuvre rapidement des projets de recherche portant sur le COVID-19

La CNIL se mobilise donc pour instruire en priorité, dans des délais extrêmement courts, ces demandes d’autorisation dans l’hypothèse où les traitements de données envisagés ne seraient pas conformes aux méthodologies de référence.

Si votre projet de recherche est une recherche interne

Aucune formalité n’est requise. Le responsable de traitement doit inscrire le traitement de données concerné dans son registre des activités de traitement.

Si votre projet de recherche est conforme aux dispositions d’une méthodologie de référence

Vous devez réaliser (si cela n’a pas déjà été fait) une déclaration de conformité à la méthodologie de référence correspondante. Votre projet de recherche peut être mis en œuvre dès que cette formalité est effectuée.

• Voir la liste des méthodologies de référence.
• Procéder à une déclaration de conformité.
• Pensez à documenter la conformité de votre traitement à la MR.

Si votre projet de recherche n’est pas conforme aux dispositions d’une méthodologie de référence

Vous devez déposer une demande d’autorisation « recherche ». En plus des éléments habituellement requis (avis du comité compétent, protocole de recherche et son résumé, document d’information destiné aux patients, etc.), vous êtes invités, afin de faciliter l’instruction en urgence de votre demande :

• à détailler les points de non-conformité du projet de traitement à la méthodologie de référence (ex : impossibilité d’informer les personnes concernées, accès du responsable de traitement à des données directement identifiantes) ;
• vérifier que le protocole ou tout document présentant l’étude précise clairement :
  
  • les destinataires des données directement identifiantes ;
  • la durée de conservation des données et, le cas échéant, des échantillons biologiques, exprimée en années (en base active et en archivage) ;
• transmettre, en cas d’inclusion en situation d’urgence et en situation d’urgence vitale immédiate :
  
  • la note d’information à destination du proche ou de la personne de confiance (patient hors d'état d'exprimer sa volonté) ;
  • la note d'information de poursuite à destination du patient ;
  • la note d'information de poursuite à destination du proche ou de la personne de confiance (inclusion en situation d'urgence vitale immédiate).

Comment effectuer une demande d’autorisation « recherche » ?

• Le dépôt d’un dossier de demande d’autorisation recherche « impliquant la personne humaine (RIPH) » s’effectue via le formulaire disponible sur le site web de la CNIL.

• Le dépôt d’un dossier de demande d’autorisation recherche « n’impliquant pas la personne humaine (RNIPH) » s’effectue via le formulaire disponible sur le site web de la plateforme des données de santé.

Faites figurer les termes « COVID-19 » dans la partie « finalité » ou « dénomination » du formulaire afin de permettre aux services de la CNIL d’identifier votre dossier comme prioritaire.

Que faire si votre dossier est incomplet ?

S’il vous manque encore certaines pièces, par exemple l’avis d’un CPP, votre demande et les éléments d’ores et déjà finalisés peuvent être adressés aux services de la CNIL en vue de leur pré-instruction, à l’adresse suivante : recherchecovid19[@]cnil.fr

Cette adresse est strictement réservée à la transmission d’informations et de pièces préalablement à une demande d’autorisation portant sur des traitements contenant des données de santé et relatifs au COVID-19, en vue de leur pré-instruction.

L’envoi d’éléments via cette messagerie ne dispense pas le responsable de traitement du dépôt ultérieur d’une demande d’autorisation (cf. Comment effectuer une demande d’autorisation « recherche » ?).

Toute modification apportée aux éléments déjà transmis devra nous être signalée lors du dépôt de la demande d’autorisation.