Lecture rapide

Les transferts de données hors de l’Union européenne sont possibles s’ils respectent le chapitre V du RGPD, une décision d’adéquation ou des garanties appropriées. Les personnes sont informées du pays de destination et des moyens d’obtenir une copie des garanties. Le responsable de traitement doit encadrer contractuellement les sous-traitants, réaliser une AIPD, tenir un registre, désigner un DPO et adresser une déclaration de conformité à la CNIL.

Analyse juridique

Transferts de données de santé hors de l’Union européenne dans le cadre des recherches

1. Les données administratives des personnes se prêtant à la recherche peuvent faire l’objet d’un transfert hors de l’UE dans les conditions prévues au chapitre V du RGPD. Le texte précise que ces transferts sont encadrés afin de garantir un niveau de protection adéquat des données à caractère personnel utilisées dans le cadre des recherches dans le domaine de la santé.

2. Le point 75 indique que les données administratives des personnes se prêtant à la recherche peuvent être transférées hors de l’Union européenne dans deux hypothèses principales. D’une part, lorsque le transfert s’effectue à destination d’une organisation internationale ou d’un pays tiers, d’un territoire ou d’un ou plusieurs secteurs déterminés dans ce pays tiers, reconnus par la Commission européenne comme assurant un niveau de protection adéquat, conformément à l’article 45 du RGPD (décision d’adéquation). D’autre part, dans le cas particulier où la recherche est conduite dans un pays tiers par un responsable de traitement établi en France, le transfert peut être effectué vers ce même pays tiers, dans les conditions prévues au chapitre V du RGPD.

3. Le point 76 précise qu’un transfert de données hors de l’UE ne peut être réalisé que s’il est strictement nécessaire à la mise en œuvre de la recherche ou à l’exploitation de ses résultats. Ce caractère de stricte nécessité constitue une exigence forte : le transfert doit être justifié par les objectifs scientifiques de la recherche et ne pas aller au-delà de ce qui est requis. En outre, ces transferts doivent respecter les dispositions de la partie VII « destinataires », ce qui implique un contrôle sur les entités qui reçoivent les données et sur les conditions dans lesquelles elles les traitent.

4. Le point 77 renforce le principe de transparence à l’égard des personnes concernées. Celles-ci doivent être préalablement informées du transfert de leurs données, du pays de destination, de l’existence ou de l’absence d’une décision d’adéquation ou de garantie appropriée, ainsi que des moyens d’en obtenir une copie. Cette information préalable permet aux personnes de comprendre les risques potentiels liés à un transfert hors UE et les mécanismes de protection mis en place, conformément aux exigences du RGPD en matière d’information et de droits des personnes.

Sous-traitant et garanties dans le cadre des recherches en santé

5. La section XV – Sous-traitant – encadre le recours à des prestataires dans le cadre des traitements de données de santé liés à la recherche. Le point 78 impose au responsable de traitement de s’assurer que les sous-traitants, ainsi que les sous-traitants ultérieurs, présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées pour répondre aux exigences du RGPD et de la loi « informatique et libertés ». Le responsable de traitement doit également réaliser un audit de chaque sous-traitant, ce qui implique une évaluation régulière de la conformité et de la sécurité des traitements externalisés.

6. Le point 79 précise que l’adhésion, par un sous-traitant, à un code de conduite approuvé par une autorité de contrôle peut servir d’élément pour démontrer qu’il met en œuvre des garanties suffisantes. Cette référence aux codes de conduite approuvés par les autorités de contrôle s’inscrit dans la logique du RGPD, qui encourage ces instruments comme moyens de démontrer la conformité et de structurer les bonnes pratiques sectorielles, notamment dans le domaine de la santé.

7. Le point 80 impose l’établissement, entre le responsable de traitement et le sous-traitant, d’un contrat ou d’un autre acte juridique précisant les obligations de chaque partie et reprenant les exigences de l’article 28 du RGPD. Ce contrat doit notamment encadrer les finalités du traitement, la nature des données, les mesures de sécurité, les conditions de recours à des sous-traitants ultérieurs et les modalités de coopération avec le responsable de traitement en cas d’exercice des droits par les personnes concernées ou de violation de données.

8. Le point 81 détaille des obligations spécifiques pesant sur le sous-traitant. Premièrement, il doit, le cas échéant, désigner un délégué à la protection des données (DPD/DPO) conformément à l’article 37 du RGPD. Deuxièmement, il doit tenir un registre des catégories de traitements effectués pour le compte du responsable de traitement, conformément à l’article 30 du RGPD. Troisièmement, il doit tenir et mettre à jour les informations relatives aux sous-traitants ultérieurs engagés. Ces exigences renforcent la traçabilité et la maîtrise de la chaîne de sous-traitance, essentielle dans les recherches impliquant des données de santé.

Mise en œuvre du principe de responsabilité : AIPD, registre des traitements et DPD

9. La section XVI – Mise en œuvre du principe de responsabilité – rappelle que le responsable de traitement doit démontrer sa conformité. La sous-section A est consacrée à la documentation de la conformité, en particulier à l’analyse d’impact sur la protection des données (AIPD) et au registre des traitements. Le point 82 impose au responsable de traitement d’effectuer une AIPD conformément à l’article 35 du RGPD. Cette AIPD doit couvrir en particulier les risques sur les droits et libertés des personnes concernées. Il est précisé qu’une seule AIPD peut porter sur un ensemble d’opérations de traitement similaires qui présentent des risques similaires, ce qui permet une approche mutualisée pour des recherches comparables.

10. Le point 83 rappelle que, conformément à l’article 30 du RGPD, le responsable de traitement doit tenir à jour, au sein du registre des activités de traitement, la liste de chacun des traitements mis en œuvre dans le cadre de la méthodologie. Ce registre constitue un outil central de la gouvernance des données, permettant de recenser les traitements, leurs finalités, les catégories de données, les destinataires, les durées de conservation et les mesures de sécurité.

11. La sous-section B est consacrée à la désignation d’un délégué à la protection des données (DPD/DPO). Le point 84 prévoit que, dans les conditions prévues à l’article 37 du RGPD, chaque responsable de traitement désigne un délégué à la protection des données. Ce DPD a notamment pour mission de vérifier le respect de la conformité des traitements mis en œuvre selon la méthodologie. Dans le contexte des recherches en santé, le rôle du DPD est crucial pour accompagner les équipes de recherche, conseiller sur les analyses d’impact, contrôler les transferts de données et veiller au respect des droits des personnes.

12. La sous-section C – Formalités – précise les démarches à accomplir auprès de la CNIL. Le point 85 indique que le responsable de traitement adresse à la CNIL une seule déclaration de conformité à la méthodologie de référence pour l’ensemble des traitements qu’il met en œuvre en conformité avec cette norme. Le point 86 ajoute qu’en cas de responsabilité conjointe de traitement, chaque responsable adresse à la CNIL une déclaration de conformité. Le point 87 rappelle que la déclaration de conformité ne dispense pas le responsable de traitement de réaliser les démarches nécessaires prévues par les règlementations sectorielles, notamment auprès de l’autorité compétente et/ou d’un comité d’éthique. Ainsi, la méthodologie de référence s’articule avec d’autres cadres réglementaires propres aux recherches en santé.

13. La sous-section D – Principe de transparence – au point 88, impose que les recherches et leurs résultats soient inscrits dans les registres visés par les règlementations sectorielles. Cette inscription contribue à la transparence des recherches, à la traçabilité des projets et à la diffusion contrôlée des résultats, tout en respectant les exigences de protection des données.

Entrée en vigueur de la méthodologie de référence et articulation avec les versions antérieures

14. La section XVII – Entrée en vigueur – précise le cadre temporel d’application de la méthodologie de référence. Le point 89 indique que la méthodologie de référence entre en vigueur à compter de sa publication au Journal officiel de la République française. Cette publication au Journal officiel confère à la méthodologie sa portée normative et permet aux responsables de traitement de s’y référer pour la mise en conformité de leurs recherches.

15. Le point 90 traite de la transition avec les dispositifs antérieurs. Il est indiqué que les traitements de données mis en œuvre en application de la délibération no 2018-154 du 3 mai 2018, portant homologation de la méthodologie de référence relative au traitement des données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé ne nécessitant pas le recueil du consentement de la personne concernée (MR-003) et abrogeant la délibération no 2016-263 du 21 juillet 2016, peuvent se poursuivre dans le respect de ses dispositions. Autrement dit, les traitements déjà engagés sous l’empire de cette délibération peuvent continuer, sous réserve du respect des règles qui leur étaient applicables.

16. Le point 91 précise la situation des responsables de traitement ayant réalisé un engagement ou une déclaration de conformité à la MR-003 dans une précédente version. Ces responsables ne sont pas tenus de déclarer à nouveau leur conformité, à condition que les recherches mises en œuvre à compter de son entrée en vigueur soient conformes à la présente méthodologie. Cette disposition évite une surcharge administrative tout en imposant une mise à niveau des nouvelles recherches par rapport aux exigences actualisées.

17. Enfin, le point 92 indique que lorsqu’une recherche autorisée antérieurement par la CNIL fait l’objet d’une modification substantielle et qu’elle est conforme à la présente méthodologie, il n’est pas nécessaire d’obtenir une nouvelle autorisation de la CNIL. Cette règle facilite l’évolution des protocoles de recherche, dès lors que les modifications restent dans le cadre de la méthodologie de référence et respectent les exigences en matière de protection des données, de transferts hors UE, de sous-traitance, d’AIPD, de registre des traitements et de transparence.

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.