Durées de conservation des données de recherche en santé : MR CNIL et RGPD

Lecture rapide

La proposition de loi sur les recherches dans le domaine de la santé et la durée de conservation des données, déposée au Sénat le 18 juin 2020, encadre les traitements de données pour les recherches impliquant ou non la personne humaine. Elle renvoie aux méthodologies de référence MR-001, MR-003, MR-004, MR-005 et MR-006, et impose au responsable de traitement de fixer une durée proportionnée, contrôlée par la CNIL.

Analyse juridique

1. Cadre général des durées de conservation dans les recherches dans le domaine de la santé

1.1. Le référentiel des durées de conservation pour les recherches dans le domaine de la santé s’inscrit dans le respect du principe de limitation de la conservation posé par l’article 5.1 e) du RGPD. Les durées prévues par les textes cités sont des durées obligatoires imposées par la réglementation, auxquelles s’ajoutent les durées prévues par les méthodologies de référence (MR), que le responsable de traitement doit respecter dès lors qu’il s’engage à s’y conformer.

1.2. Le responsable de traitement (RT) doit définir une durée de conservation proportionnée aux finalités de la recherche. Cette proportionnalité est appréciée par la CNIL lors de l’instruction de la demande d’autorisation du projet. La durée retenue figure dans l’autorisation délivrée par la CNIL et le responsable de traitement est tenu de la respecter. Les durées sont distinguées entre base active et archives intermédiaires, en articulation avec la réglementation sectorielle applicable (notamment le code de la santé publique, les arrêtés tels que l’arrêté du 8 novembre 2006 relatif aux bonnes pratiques cliniques, et le règlement (UE) n° 536/2014 sur les essais cliniques).

2. Recherches impliquant la personne humaine (RIPH) avec consentement – MR-001

2.1. Les recherches impliquant la personne humaine (RIPH) nécessitant le recueil du consentement de la personne concernée recouvrent : les recherches interventionnelles, y compris celles à risques et contraintes minimes, les essais cliniques de médicaments (hors essais par grappes) et les recherches nécessitant un examen des caractéristiques génétiques. Lorsqu’elles sont conformes à la MR-001 (définie par la délibération n° 2018-153 du 3 mai 2018), des règles précises de conservation s’appliquent aux données des personnes se prêtant à la recherche et aux données des professionnels intervenant.

2.2. Pour les données des personnes se prêtant à la recherche dans le cadre d’une recherche conforme à la MR-001, la conservation en systèmes d’information du RT, du centre investigateur ou du professionnel intervenant est prévue jusqu’à la mise sur le marché du produit étudié ou jusqu’à deux ans à compter de la dernière publication des résultats. En l’absence de publication, la conservation se poursuit jusqu’à la signature du rapport final de la recherche. L’archivage se fait sur support papier ou informatique pour une durée conforme à la réglementation en vigueur, en cohérence avec le code de la santé publique et les textes sectoriels.

2.3. Pour les données des professionnels intervenant dans la recherche dans le cadre de la MR-001, la durée de conservation en base active est de 15 ans au maximum après la fin de la dernière recherche à laquelle ces professionnels ont participé. L’archivage, là encore sur support papier ou informatique, doit respecter la réglementation en vigueur. Cette durée longue vise à couvrir les besoins de traçabilité scientifique, de contrôle et de gestion d’éventuels contentieux, tout en restant encadrée par le principe de limitation de la conservation.

2.4. Lorsque la recherche n’est pas conforme à la MR-001, les données des personnes se prêtant à la recherche et les données des professionnels intervenant sont conservées pendant une durée définie par le responsable de traitement, qui ne doit pas excéder celle nécessaire au regard des finalités de la recherche. L’archivage reste soumis à une durée conforme à la réglementation en vigueur. L’article 5 du RGPD (principe de limitation de la conservation) encadre cette marge d’appréciation : la durée proposée par le RT est examinée par la CNIL lors de la demande d’autorisation et figure dans l’autorisation, que le RT doit strictement respecter.

3. RIPH sans consentement – MR-003

3.1. Les recherches impliquant la personne humaine ne nécessitant pas le recueil du consentement comprennent : les recherches non interventionnelles, les recherches interventionnelles à risques et contraintes minimes assorties d’une information collective après avis du comité de protection des personnes, ainsi que les essais de médicaments par grappes. La MR-003 (délibération n° 2018-154 du 3 mai 2018) encadre ces traitements.

3.2. Pour les données des personnes concernées par des recherches conformes à la MR-003, la conservation dans les systèmes d’information du RT, du centre investigateur ou du professionnel intervenant est prévue jusqu’à deux ans après la dernière publication. En l’absence de publication, la conservation se poursuit jusqu’à la signature du rapport final de la recherche. L’archivage est prévu sur support papier ou informatique pour une durée pouvant aller jusqu’à 20 ans maximum ou pour une durée conforme à la réglementation en vigueur, ce qui reflète l’importance de la traçabilité à long terme dans les recherches non interventionnelles et les essais par grappes.

3.3. Pour les données des professionnels intervenant dans les recherches conformes à la MR-003, la durée de conservation en base active est de 15 ans au maximum à compter de la fin de la dernière recherche à laquelle ils ont participé. L’archivage, sur support papier ou informatique, doit être conforme à la réglementation en vigueur. Cette symétrie avec la MR-001 illustre une approche homogène de la conservation des données des intervenants, quel que soit le niveau d’intervention sur la personne.

3.4. Pour les recherches non conformes à la MR-003, les données des personnes se prêtant à la recherche et les données des professionnels intervenant sont conservées pendant une durée définie par le responsable de traitement, qui ne doit pas excéder celle nécessaire au regard des finalités de la recherche. L’archivage reste aligné sur la réglementation en vigueur. L’article 5 du RGPD s’applique pleinement : la durée proposée est appréciée par la CNIL lors de l’instruction de la demande d’autorisation, puis intégrée à l’autorisation, que le RT doit respecter.

4. Recherches n’impliquant pas la personne humaine (RNIPH) – MR-004

4.1. Les recherches n’impliquant pas la personne humaine (RNIPH) couvrent notamment : les recherches sur des données déjà collectées lors du soin ou de recherches antérieures (réutilisation de données), les données collectées dans le cadre de la prise en charge médicale au fil de l’eau, ainsi que les recherches où la personne participe mais sans répondre à la définition juridique de « recherche impliquant la personne humaine » au sens du code de la santé publique. La MR-004 (délibération n° 2018-155 du 3 mai 2018) encadre ces traitements.

4.2. Pour les données des personnes se prêtant à la recherche dans une recherche conforme à la MR-004, la conservation dans les systèmes d’information du RT, du centre participant ou du professionnel intervenant est prévue jusqu’à deux ans après la dernière publication. En l’absence de publication, la conservation se poursuit jusqu’à la signature du rapport final de la recherche. L’archivage sur support papier ou informatique doit être conforme à la réglementation en vigueur ou limité à 20 ans maximum, ce qui reflète la nécessité de concilier réutilisation scientifique des données et protection des personnes.

4.3. Pour les données des professionnels intervenant dans les recherches conformes à la MR-004, la durée de conservation en base active est de 15 ans au maximum à compter de la fin de la dernière recherche à laquelle ils ont participé. L’archivage, sur support papier ou informatique, doit respecter la réglementation en vigueur. Cette durée permet de documenter les responsabilités et les interventions dans le cadre des recherches sur données déjà collectées ou issues de la prise en charge médicale.

4.4. Pour les recherches non conformes à la MR-004, les données des personnes se prêtant à la recherche et les données des professionnels intervenant sont conservées pendant une durée définie par le responsable de traitement, qui ne doit pas excéder celle nécessaire au regard des finalités pour lesquelles elles sont traitées. L’archivage reste soumis à la réglementation en vigueur. L’article 5 du RGPD encadre cette latitude : la durée est appréciée par la CNIL lors de la demande d’autorisation et figure dans l’autorisation, que le RT doit respecter.

5. Études nécessitant l’accès aux données du PMSI et des RPU – MR-005

5.1. Les études nécessitant l’accès aux données du PMSI (programme de médicalisation des systèmes d’information) et/ou des RPU (résumé de passage aux urgences) par les établissements de santé et les fédérations hospitalières sont encadrées par la MR-005 (délibération n° 2018-256 du 7 juin 2018). Ces études portent sur des données à caractère personnel du PMSI et des RPU, dont la sensibilité justifie des règles strictes de conservation et d’accès.

5.2. Pour les données des personnes concernées par l’étude conforme à la MR-005, les données du PMSI et des RPU ne peuvent pas être conservées en dehors de la plateforme sécurisée mise en place par le responsable de traitement, et leur exportation est interdite. Seuls des résultats anonymes peuvent être exportés. La durée d’accès aux données dans la plateforme sécurisée doit être limitée à la durée nécessaire à la mise en œuvre du traitement. Lorsque le responsable de traitement le justifie, l’accès peut être maintenu à l’issue de l’étude, dans la limite de deux ans à compter de la dernière publication relative aux résultats. Aucune durée d’archives intermédiaires n’est applicable, les données ne pouvant être conservées hors de la plateforme.

5.3. Pour les données des personnes chargées de réaliser l’étude conforme à la MR-005, la durée de conservation en base active est de cinq ans maximum à compter de la fin de l’étude. Une conservation en archives intermédiaires est possible si le responsable de traitement y est tenu par la réglementation sectorielle ou si les données présentent un intérêt administratif (par exemple en cas de contentieux). Cette articulation permet de documenter les responsabilités tout en limitant la conservation des données d’identification des intervenants.

5.4. Pour les études non conformes à la MR-005, portant sur les données des personnes concernées par l’étude et des personnes chargées de la réaliser, la durée d’accès à la plateforme sécurisée ou de conservation des données dans un système fils doit être limitée à la durée nécessaire au regard de la finalité de l’étude. Cette durée est définie par le responsable de traitement, sous le contrôle de la CNIL au titre de l’article 5 du RGPD. La durée retenue est appréciée lors de la demande d’autorisation et figure dans l’autorisation, que le RT doit respecter.

6. Études nécessitant l’accès aux données du PMSI par les industriels de santé – MR-006

6.1. Les études nécessitant l’accès aux données du PMSI par les industriels de santé sont encadrées par la MR-006 (délibération n° 2018-257 du 7 juin 2018). Elles impliquent des données à caractère personnel du PMSI auxquelles accèdent des laboratoires de recherche ou des bureaux d’études via une solution sécurisée, avec des règles strictes de non-exportation et de limitation de la durée d’accès.

6.2. Pour les données des personnes concernées par l’étude conforme à la MR-006, les données du PMSI ne peuvent pas être conservées en dehors de la solution sécurisée à laquelle le laboratoire ou le bureau d’études a recours. Seuls des résultats anonymes peuvent être exportés. La durée d’accès aux données dans la solution sécurisée doit être limitée à celle nécessaire à la mise en œuvre du traitement. Lorsque le responsable de traitement le justifie, l’accès peut être maintenu à l’issue de l’étude, dans la limite de deux ans à compter de la dernière publication relative aux résultats. Lorsque la solution sécurisée est détenue par le laboratoire ou le bureau d’études, la durée d’accès et de conservation dans cette solution doit être limitée à la durée nécessaire au traitement, avec la même possibilité de prolongation de deux ans maximum. Aucune archive intermédiaire n’est prévue hors de la plateforme sécurisée.

6.3. Pour les données des personnes chargées de réaliser l’étude conforme à la MR-006, la durée de conservation en base active est de cinq ans après la fin de l’étude ou d’une durée supérieure si elle est conforme à la réglementation en vigueur. Une conservation en archives intermédiaires est possible si le responsable de traitement y est obligé par la réglementation sectorielle ou si les données présentent un intérêt administratif (notamment en cas de contentieux).

6.4. Pour les études non conformes à la MR-006, portant sur les données des personnes concernées par l’étude et des personnes chargées de la réaliser, la durée d’accès à la plateforme sécurisée ou de conservation des données dans un système fils doit être limitée à la durée nécessaire au regard de la finalité de l’étude. Cette durée, définie par le responsable de traitement, est encadrée par l’article 5 du RGPD et appréciée par la CNIL lors de la demande d’autorisation. Elle figure dans l’autorisation, que le RT doit respecter.

7. Articulation avec la réglementation sectorielle et rôle de la CNIL

7.1. L’ensemble des durées de conservation et d’archivage décrites pour les RIPH, les RNIPH, les études sur PMSI et RPU s’inscrit dans un cadre juridique composite : RGPD, méthodologies de référence (MR-001, MR-003, MR-004, MR-005, MR-006), code de la santé publique, arrêtés (dont l’arrêté du 8 novembre 2006 sur les bonnes pratiques cliniques) et règlement (UE) n° 536/2014. La réglementation sectorielle applicable impose des durées minimales ou maximales d’archivage, notamment pour les essais cliniques de médicaments et les recherches interventionnelles.

7.2. La CNIL joue un rôle central dans l’appréciation de la proportionnalité des durées de conservation définies par les responsables de traitement, en particulier pour les recherches non conformes aux MR. Lors de l’instruction des demandes d’autorisation, la CNIL vérifie la conformité des durées proposées au principe de limitation de la conservation de l’article 5 du RGPD. La durée validée est ensuite intégrée dans l’autorisation délivrée, qui s’impose au responsable de traitement. Cette articulation garantit un équilibre entre les besoins de recherche scientifique, la traçabilité et la protection des droits des personnes concernées.

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.