Voici enfin l’occasion d’étaler un peu de culture (juridique) par une belle locution latine : « specialia generalibus derogant ». En des termes plus contemporains : « Les lois spéciales dérogent aux lois générales ».
Il est intéressant de constater le nombre de personnes qui soudainement, depuis le 25 mai 2018, se déclarent spécialistes de la protection des données et donc en capacité de mettre en œuvre et de faire respecter un référentiel juridique, en l’occurrence le Règlement Général sur la Protection des Données (RGPD).
Le RGPD est utilisé souvent de façon non pertinente et malheureusement de manière très peu pragmatique. Dans la bouche de ces néojuristes il faut appliquer le RGPD à la lettre : « si le RGPD le dit alors il faut respecter la bonne parole à la virgule près ! », mais il n’y a pas que le RGPD dans la vie !
Le système juridique n’est pas un système binaire, c’est un système plus complexe.
Que faut-il faire par exemple lorsque deux cadres juridiques s’appliquent à une situation et que ces cadres juridiques semblent se contredire ? Que faire par exemple, si un texte vient contrer une certitude gravée dans le sacro-saint RGPD ? L’ignorer ?
Bien avant nous, quelques anciens sages ont su trancher cette question et ont décrété : « specialia generalibus derogant ». Si deux lois sont susceptibles de s’appliquer à une même situation, c’est la loi spéciale qui va prendre le pas sur la loi générale.
Dans le cas qui nous intéresse nous considérons que le RGPD est le cadre juridique général. Son titre même l’atteste d’une manière incontestable : « Règlement GENERAL sur la protection des données ».
Le cadre juridique spécifique sera donc la réglementation applicable aux recherches cliniques et pour plus de commodités nous prendrons en compte celle encadrant les essais cliniques.
Le RGPD précise donc en son article 13 que lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès d’elle, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, une série d’informations dont son identité et ses coordonnées et, le cas échéant [s’il est nommé], les coordonnées de son délégué à la protection des données (DPO).
Le même principe est imposé par l’article 14 lorsque les données n’ont pas été collectées auprès de la personne concernée. Cette disposition concerne en particulier les usages secondaires et/ou les changements de finalité.
A noter d’ores et déjà une petite subtilité en matière de recherche clinique qui ne permet pas de respecter scrupuleusement le RGPD. En effet, cette information ne sera par fournie directement par le responsable de traitement, « au moment où les données en question sont obtenues ».
C’est en effet l’investigateur qui est en contact direct avec la personne concernée, qui l’informera oralement et lui remettra une fiche d’information, préparée par le promoteur en lien souvent avec l’investigateur coordonnateur.
A aucun moment le promoteur n’aura de contact avec la personne concernée ni ne connaîtra son identité. L’information des personnes concernées passe donc par un intermédiaire, l’investigateur, c’est-à-dire la personne physique qui dirige et surveille la réalisation d’un essai.
Depuis le 25 mai 2018, nous n’avons heureusement pas constaté des modifications de fiches d’information venant préciser que l’information doit impérativement être fournie par le promoteur.
En revanche, nombreux sont ceux qui considèrent, depuis cette même date, que les fiches d’information doivent mentionner l’identité et les coordonnées du DPO du promoteur.
Cette mention permettrait ainsi aux personnes se prêtant à la recherche, en application du 4 de l’article 38 du RGPD, de prendre contact avec le DPO du promoteur au sujet de toute question relative au traitement de leurs données à caractère personnel et surtout à l’exercice des droits que leur confère le RGPD.
Pour ceux qui œuvrent dans le secteur de la recherche clinique depuis quelques années, cette situation ne vous paraît-elle pas choquante ?
Le DPO du promoteur pourrait ainsi être en contact direct avec des volontaires, des patients participant à une recherche clinique, conduite par un investigateur qui est, en principe, un médecin.
Quand bien même le DPO est soumis au secret professionnel et doit exercer ses missions en toute indépendance, est-il utile qu’il soit destinataire d’informations relatives à la santé de personnes participant à un essai clinique ? Que va-t-il faire de ces informations ? Il n’aura d’autres choix que d’inviter la personne concernée à se rapprocher de l’investigateur car seul ce dernier a accès aux données du volontaire et notamment aux données brutes et aux cahiers d’observation. Il sera le seul, avec son équipe, à pouvoir assurer l’exercice de son droit d’accès, de son droit de rectification, de son droit d’opposition, de son droit à la limitation du traitement ou encore, sous certaines limites, de son droit à l’effacement.
Dans ces conditions, est-il utile de multiplier les intermédiaires et de dévoiler au DPO du promoteur, qu’il soit interne ou externe, l’identité d’une personne participant à un essai clinique et testant, par exemple, une nouvelle chimiothérapie ?
Cette solution conduit finalement à accentuer les risques de violation des données et donc contribue à une diminution de la protection des données des personnes participant à un essai clinique.
Pour limiter ces risques et donc les effets pervers du RGPD, il convient de rappeler l’existence de règles spécifiques dont la première d’entre elles, s’agissant du traitement de données de santé, le respect du secret médical !
Ce secret s’applique également en matière de recherche clinique puisqu’une telle investigation est conduite sous la responsabilité d’un médecin agissant en qualité d’investigateur.
Un tel investigateur demeure médecin et est garant du respect du secret médical. Rappelons à cet égard les dispositions du Code de la santé publique et de son article R. 4127-4 du CSP:
« Le secret professionnel institué dans l’intérêt des patients s’impose à tout médecin dans les conditions établies par la loi.
Le secret couvre tout ce qui est venu à la connaissance du médecin dans l’exercice de sa profession, c’est-à-dire non seulement ce qui lui a été confié, mais aussi ce qu’il a vu, entendu ou compris. »
Nous pouvons également rappeler les termes de l’article L. 1110-4 du même code qui disposent que seule une dérogation expresse prévue par la loi permet de lever ou de partager ce secret.
« Excepté dans les cas de dérogation expressément prévus par la loi ce secret couvre l’ensemble des informations concernant la personne venues à la connaissance du professionnel, de tout membre du personnel de ces établissements, services ou organismes et de toute autre personne en relation, de par ses activités, avec ces établissements ou organismes. Il s’impose à tous les professionnels intervenant dans le système de santé. »
Or, il n’existe aucune disposition spécifique qui permette de partager ce secret avec le DPO du promoteur. Il est à cet égard surprenant que des investigateurs acceptent que les coordonnées du DPO du promoteur soient mentionnées sur les fiches d’informations au regard des risques de violation du secret médical dont ils demeurent les garants dans ces situations.
Les textes nationaux et internationaux encadrant les essais cliniques et notamment les bonnes pratiques cliniques (BPC) sont limpides sur le sujet.
L’identité du volontaire est une information confidentielle qui ne doit pas être dévoilée au promoteur.
« 1.16 Confidentialité
Non-divulgation, à des personnes autres que les personnes autorisées, d’information exclusive au promoteur ou de l’identité d’un sujet. » (BPC ICH E6)
Les BPC prévoient d’ailleurs que seul l’investigateur doit détenir, pendant et à l’issue de l’essai, la liste complète des codes d’identification des volontaires (8.3.21, 8.3.22 et 8.4.3). Cette liste (table de concordance) permet l’identification de tous les sujets ayant participé à l’essai au cas où un suivi serait nécessaire et cette liste doit rester confidentielle.
Seules les autorités de contrôle et les Attaché de recherche clinique (ARC) ou auditeurs peuvent, sous conditions, accéder à l’identité des personnes participant à un essai clinique.
« 5.15 Accès aux dossiers
5.15.1 Le promoteur doit s’assurer que le protocole ou toute autre entente écrite précise que l’investigateur/établissement autorise l’accès direct aux données/documents de base aux fins de la surveillance, de la vérification, de l’examen du CEE/CEI et de l’inspection réglementaire concernant l’essai.
5.15.2 Le promoteur doit s’assurer que tous les sujets ont autorisé, par écrit, l’accès direct à leur dossier médical original aux fins de la surveillance, de la vérification, de l’examen du CEE/CEI et de l’inspection réglementaire concernant l’essai. » (BPC ICH E6)
L’accès direct consiste en la permission d’examiner, d’analyser, de vérifier et de reproduire tous les dossiers et les rapports nécessaires à l’évaluation d’un essai clinique. Toute personne ayant directement accès à ces documents doit prendre toutes les précautions raisonnables, dans les limites des exigences réglementaires applicables, pour assurer la confidentialité de l’identité des sujets.
Aucun texte national, européen ou international n’habilite le DPO du promoteur à accéder à l’identité des personnes se prêtant à une recherche clinique.
Or, en exigeant que la fiche d’information mentionne l’identité et les coordonnées du DPO du promoteur cela revient à permettre à ce dernier d’accéder potentiellement (s’il est contacté par un volontaire) à une information qu’il n’a pas à connaître, à savoir l’identité du volontaire. C’est finalement une forme d’incitation à la violation du secret médical.
Les propos qui précédent peuvent toutefois être nuancés dans une hypothèse particulière qui serait celle où un litige naitrait lors de la conduite d’un essai entre un volontaire et l’investigateur et/ou le promoteur.
Si un volontaire estime avoir subi un préjudice lié à sa participation à l’essai ou que ses droits ne sont pas respectés par l’investigateur, il peut décider de se rapprocher directement du promoteur (dont il connaît l’identité et les coordonnées ainsi que celles de son assurance).
Le volontaire peut également identifier le DPO du promoteur et se rapprocher de ce dernier s’il rencontre des difficultés dans l’exercice de ces droits auprès de l’investigateur. Cette identification est possible puisque le promoteur doit, en application du 7 de l’article 37 du RGPD, publier les coordonnées du DPO et les communiquer à l’autorité de contrôle. En connaissant l’identité du promoteur, il est donc normalement possible d’identifier son DPO.
Il serait d’ailleurs particulièrement intéressant de savoir si les méthodologies de référence visent une telle hypothèse lorsqu’elles évoquent l’hypothèse « où ce dernier [le volontaire] entrerait volontairement en contact avec lui » et qui permettrait ainsi au DPO du promoteur d’être destinataire des données directement identifiantes concernant les personnes participant à la recherche.
Enfin pour conclure et se convaincre de la pertinence de l’adage « specialia generalibus derogant », rappelons juste quelques évidences :
- L’investigateur est responsable de l’information de personnes susceptibles de participer à un essai et, après un délai de réflexion, de recueillir leur consentement.
- L’investigateur, en sa qualité de médecin ou de personne qualifiée, demeure en toute circonstance le garant du secret des informations relatives à l’état de santé de la personne participant à la recherche et ne peut accepter de les partager qu’avec des personnes expressément habilitées par la loi.
- A ce titre, l’investigateur est l’interlocuteur unique et exclusif des personnes participant à une recherche clinique et le volontaire ne peut exercer les droits conférés par le RGPD qu’auprès de l’investigateur.
Ainsi, pour assurer la protection des données des personnes participant à une recherche clinique et respecter le RGPD, il ne faut pas mentionner les coordonnées du DPO du promoteur sur les fiches d’information !
