Depuis la loi n°2016-41 du 26 janvier 2016 de modernisation de notre système de santé, les traitements de données à caractère personnel mis en œuvre dans le cadre d’une recherche, d’une étude ou d’une évaluation dans le domaine de la santé doivent poursuivre une finalité d’intérêt public.
Ainsi, le premier alinéa du I de l’article 54 de la loi Informatique et Libertés (LIL) est rédigé en ces termes :
« I.- Les traitements de données à caractère personnel ayant une finalité d’intérêt public de recherche, d’étude ou d’évaluation dans le domaine de la santé sont autorisés par la Commission nationale de l’informatique et des libertés, dans le respect des principes définis par la présente loi et en fonction de l’intérêt public que la recherche, l’étude ou l’évaluation présente. »
Cet intérêt public de la recherche doit être contrôlé par la CNIL ou, le cas échéant, cette dernière peut saisir l’Institut national des données de santé (INDS) qui examinera le caractère d’intérêt public que présente la recherche, l’étude ou l’évaluation justifiant la demande de traitement et émettra un avis. Cet examen peut également être sollicité par le ministère de la santé.
Ainsi, en dehors de l’existence d’une finalité d’intérêt public pour une recherche, une étude ou une évaluation, point d’autorisation d’un tel traitement !
Cette nécessité d’intérêt public de la recherche se retrouve dans de nombreux textes réglementaires et notamment récemment dans le Décret n° 2017-884 du 9 mai 2017 modifiant certaines dispositions réglementaires relatives aux recherches impliquant la personne humaine qui précisaient que les études rétrospectives (c’est-à-dire portant sur des données issues d’un traitement existant) n’étaient pas des recherches impliquant la personne humaine !
« 3° Ne sont pas des recherches impliquant la personne humaine au sens du présent titre les recherches ayant une finalité d’intérêt public de recherche, d’étude ou d’évaluation dans le domaine de la santé conduites exclusivement à partir de l’exploitation de traitement de données à caractère personnel mentionnées au I de l’article 54 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés et qui relèvent de la compétence du comité d’expertise pour les recherches, les études et les évaluations prévu au 2° du II du même article.»
Mais comment faisait-on avant l’adoption de ces dispositions législatives, niant les autres finalités pouvant justifier la mise en œuvre d’un traitement à des fins de recherche ou d’évaluation ?
Peut-on encore mener une recherche portant sur un produit de santé afin d’améliorer les connaissances sur ce produit ? Est-ce qu’une telle recherche poursuit un intérêt public ou un intérêt privé ?
S’il s’agit d’un intérêt privé, la recherche, ou du moins le traitement de données personnelles mis en œuvre dans le cadre de cette recherche, ne peut pas être autorisée. L’article 54 précité ne prévoit qu’une hypothèse pour permettre à titre dérogatoire le traitement de données sensibles dans le cadre de recherche : la poursuite d’un intérêt public !
Voilà encore une grande avancée législative, nouvelle source d’insécurité juridique pour nos promoteurs et chercheurs, dont les projets de recherche sont suspendus à l’interprétation que feront la CNIL et l’INDS de la notion « d’intérêt public ».
Dans une société où l’intérêt public ne semble pas toujours correspondre à l’intérêt général, il serait souhaitable d’élargir les finalités dans lesquelles des traitements mis en œuvre dans le cadre de recherches, d’évaluation ou d’étude peuvent être autorisés.
Ainsi, dans le cadre d’une prochaine modification législative, il conviendrait de s’inspirer des termes du Règlement Général sur la Protection des Données (RGPD) sans en faire une lecture trop superficielle, voire dogmatique !
En effet, les dispositions du RGPD ne se limitent pas à la nécessité de l’existence d’une finalité d’intérêt public pour autoriser les traitements à des fins de recherches portant sur des données sensibles … Elles évoquent également la finalité visant à garantir des normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux !
« Article 9
Traitement portant sur des catégories particulières de données à caractère personnel
1. Le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits.
2. Le paragraphe 1 ne s’applique pas si l’une des conditions suivantes est remplie :
(…)
3. i) le traitement est nécessaire pour des motifs d’intérêt public dans le domaine de la santé publique, tels que la protection contre les menaces transfrontalières graves pesant sur la santé, ou aux fins de garantir des normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux, sur la base du droit de l’Union ou du droit de l’État membre qui prévoit des mesures appropriées et spécifiques pour la sauvegarde des droits et libertés de la personne concernée, notamment le secret professionnel; (…) »
Ainsi, à court terme, nous pouvons espérer que nos législateurs offriront à leurs concitoyens une véritable sécurité juridique dans le développement de leurs activités et modifieront l’article 54 de la LIL comme suit :
« I.- Les traitements de données à caractère personnel mis en œuvre dans le cadre de recherches, d’études ou d’évaluations dans le domaine de la santé, ayant une finalité d’intérêt public ou aux fins de garantir des normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux, sont autorisés par la Commission nationale de l’informatique et des libertés, dans le respect des principes définis par la présente loi et le règlement n°2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE. »
L’espoir fait vivre !
