Dans une fiche du 6 novembre, la CNIL rappelle trois critères cumulatifs d’une recherche interne : données recueillies pendant les soins, projet conduit par les personnels assurant le suivi et usage exclusif de ces personnels.
Ce régime dispense des formalités préalables auprès de la CNIL, sans supprimer l’information des patients ni les obligations générales du RGPD.
Publier les résultats ne donne pas accès aux dossiers
Une publication scientifique reste possible, mais ne permet pas à une revue ou à son expert extérieur d’accéder aux données brutes non anonymisées.
À l’inverse, transmettre des données à un fabricant pour améliorer ses prothèses connectées sort du cadre d’usage exclusif, dans l’exemple donné par la CNIL. La finalité du projet compte donc aussi.
Commencer par décrire les accès et les usages
Le registre des activités de traitement permet de documenter la finalité du projet, les catégories de données et leurs destinataires. Pour une équipe qui prépare une étude, mettre à plat ces éléments aide à repérer un changement de périmètre : un partenaire supplémentaire, un nouvel usage ou une circulation de données prévue dès le départ.
Il faut aussi distinguer anonymisation et pseudonymisation. Comme le rappelle la CNIL dans ses explications sur ces deux techniques, remplacer un nom par un code ne rend pas nécessairement la personne non identifiable. Une donnée pseudonymisée reste une donnée personnelle.
La question à poser avant de partager un fichier est donc précise : qui pourra accéder à quoi, pour quel objectif ? Elle permet d’aborder la qualification avec le délégué à la protection des données, plutôt que de s’en remettre au seul intitulé « étude interne ». Si les critères ne sont pas remplis, les formalités de recherche en santé doivent être examinées dans le cadre approprié.
Ce rappel donne une traduction concrète aux enjeux de régulation des données de santé suivis dans la feuille de route de la CNIL.
Signaler une erreur
