Recherches internes en santé : obligations RGPD

La CNIL rappelle les conditions strictes pour qualifier un projet de recherche de « recherche interne » dans le secteur de la santé. Trois critères cumulatifs doivent être remplis : les données doivent provenir de la prise en charge individuelle des patients, être traitées par les personnels assurant ce suivi, et servir exclusivement à ces mêmes personnels.

Les recherches internes ne nécessitent pas de formalités préalables auprès de la CNIL. Toutefois, elles restent soumises aux obligations générales du RGPD, notamment la tenue d’un registre des traitements, la réalisation éventuelle d’une analyse d’impact relative à la protection des données (AIPD), et l’obligation d’informer les personnes concernées.

Lorsque les critères de la recherche interne ne sont pas strictement remplis, des formalités préalables s’imposent. Il peut s’agir d’une déclaration de conformité à un référentiel existant ou, à défaut, d’une autorisation préalable de la CNIL après avis du comité compétent. Un engagement de conformité à un référentiel couvre l’ensemble des traitements d’un même responsable de traitement entrant dans son champ.

Les participants à une recherche interne doivent être informés conformément aux articles 12 à 14 du RGPD. L’information doit être concise, transparente, compréhensible et aisément accessible. Une approche à plusieurs niveaux est recommandée : une information de premier niveau remise individuellement aux patients, complétée par une information de second niveau accessible via un portail de transparence.

L’information individuelle est la règle, mais une exception existe en cas d’efforts disproportionnés. Dans ce cas, une information collective (affichage, presse) peut être réalisée, sous réserve de documenter le caractère disproportionné et de compenser par des mesures adaptées. Les participants disposent par ailleurs de leurs droits sur le traitement de leurs données, y compris le droit d’opposition.

Les résultats d’une recherche interne peuvent être exploités, notamment pour une publication ou une thèse, sous réserve de respecter deux points de vigilance. D’une part, l’accès aux données de santé doit rester restreint à l’équipe de soins, sauf anonymisation préalable. D’autre part, l’usage exclusif des données par l’équipe de soins ne doit pas être contourné, notamment pour des fins lucratives ou commerciales par un tiers.