Méthodologies de référence pour les recherches en santé : vérifier sa conformité aux MR-001 et MR-003

La CNIL publie deux grilles de conformité :

• la grille de conformité « MR-001 », applicable aux recherches dans le domaine de la santé nécessitant le recueil du consentement en vue de la participation à la recherche ou pour la réalisation d’un acte spécifique ;
• la grille de conformité « MR-003 », applicable aux recherches dans le domaine de la santé ne nécessitant pas le recueil du consentement en vue de la participation à la recherche.

Pourquoi compléter une grille de conformité ?

La grille de conformité facilite les échanges entre les personnes impliquées dans la conception d’une recherche et le suivi des actions requises pour en assurer la conformité aux exigences de la MR applicable.

Une fois complétée, la grille de conformité permet au responsable de traitement :

• soit d’attester de sa conformité à la MR applicable ;
• soit de faciliter l’instruction de la demande d’autorisation « recherche » par la CNIL, en identifiant et en justifiant les points de non-conformité.

Que contient la grille de conformité ?

Chaque grille de conformité liste les exigences portant sur le traitement des données relatives aux participants à la recherche, telles que définies dans la MR-001  et de la MR-003.

Les grilles de conformité ne couvrent pas :

• Les exigences portant sur les traitements de données relatives aux professionnels intervenant dans la recherche. 
  La conformité de ces traitements peut être documentée sur un support distinct, conformément aux process habituels du responsable de traitement (par exemple dans le registre des traitements, une grille de conformité dédiée, etc.) ;
   
• Les exigences de l’annexe « sécurité ». 
  Les acteurs peuvent s’appuyer sur la liste des exigences applicables disponible dans les parties 2 à 5 de l’annexe « sécurité ».
   
• Les exigences de l’annexe « contrôle qualité ». 
  Les acteurs peuvent s’appuyer sur la liste des exigences applicables disponible dans la partie 8 de l’annexe « contrôle qualité ».

Qui complète la grille de conformité ?

La grille de conformité peut être complétée par toute personne impliquée dans un projet de recherche, sous la responsabilité du responsable de traitement.

Elle peut être renseignée par une seule personne, chargée de centraliser l’ensemble des informations nécessaires, ou résulter d’un travail collaboratif associant plusieurs personnes (chef de projet, rédacteur médical, délégué à la protection des données (DPO), juriste, etc.).

Le responsable de traitement peut également solliciter l’appui de ses sous-traitants pour compléter la grille, notamment le prestataire de service en recherche clinique ou CRO (contract research organization).

Quand compléter la grille de conformité ?

La CNIL recommande que la grille de conformité soit complétée dès les premières étapes d’un projet de recherche, afin d’intégrer les exigences de la MR dès la conception du traitement de données.

La grille de conformité pourra être actualisée pendant toute la phase de conception du projet de recherche, pour guider les équipes opérationnelles dans les actions à mener afin de se conformer aux dispositions de la MR (par exemple s’assurer que le protocole de recherche inclut la justification scientifique des données collectées, anticiper le contenu et les modalités de remise de l’information RGPD, etc.).

Enfin, la modification substantielle d’une recherche en cours peut impliquer l’apparition ou la correction d’un ou plusieurs points de non-conformité à la MR concernée. Ces évolutions peuvent être documentées dans une version ultérieure de la grille de conformité.

Comment compléter la grille de conformité ?

Une valeur doit être attribuée à chaque exigence de la MR listée dans la grille de conformité : « vrai » (conforme), « faux » (non conforme) ou « N/A » (non applicable).

Si une réponse n’est que partiellement positive, il convient de cocher la case « faux » (non-conforme).

Les réponses doivent exclusivement correspondre à la valeur « vrai » ou « N/A » pour que le projet de recherche soit considéré comme conforme à la MR.

Les cases à cocher insérées dans la colonne « Exigences » ont une valeur indicative et visent à aider le responsable de traitement à documenter les caractéristiques de sa recherche et à compléter la grille.

La colonne « Commentaires » permet d’étayer ou clarifier certaines réponses, de documenter et suivre les actions menées et/ou de justifier les éventuels points de non-conformité à la MR.

Que faire en cas de non-conformité à la MR ?

Plusieurs cas de figure sont envisageables :

• La non-conformité est justifiée au regard des objectifs de la recherche ou des caractéristiques du traitement.
  
  Exemple : un responsable de traitement souhaite collecter des photographies représentant le visage des participants et cette collecte est scientifiquement justifiée dans le protocole de la recherche.
  
  Dans ce cas, le responsable de traitement est invité à justifier précisément ce point de non-conformité et les mesures mises en place pour y remédier dans la colonne « Commentaires » de la grille de conformité.
   
• La non-conformité porte sur une caractéristique essentielle de la recherche.
  
  Exemple : le projet de recherche ne relève pas des règlementations sectorielles visées par la MR.
  
  Dans ce cas, le modèle de grille MR n’est pas adapté et il convient de se rapprocher du DPD ou, en l’absence de DPD désigné, d’un service interne compétent (Direction juridique, Direction recherche et innovation, etc.)
   
• La non-conformité n’est pas justifiée au regard des objectifs de la recherche ou des caractéristiques du traitement.
  
  Exemple : un responsable de traitement envisage de ne pas procéder à une analyse d’impact sur la protection des données au seul motif que cela retarderait le lancement des inclusions.
  
  Une non-conformité de cette nature ne sera pas autorisée ; le responsable de traitement doit nécessairement la rectifier.

À qui transmettre la grille de conformité, une fois complétée ?

S’il apparaît que le projet de recherche est conforme en tout point à la MR applicable et ses annexes, la recherche peut être menée sur la base d’une déclaration de conformité à cette MR auprès de la CNIL. Dans ce cas, la grille de conformité est conservée par le responsable de traitement avec sa documentation interne et mise à disposition de la CNIL, en cas de contrôle.

S’il apparaît que le projet de recherche n’est pas conforme à la MR applicable ou à ses annexes, le responsable de traitement doit soumettre une demande d’autorisation à la CNIL pour réaliser sa recherche. Dans ce cas, la CNIL recommande que la grille de conformité dûment complétée soit jointe au dossier de demande d’autorisation.