Je remercie Raymond Vilain qui m'a transmis les réponses à des questions que j'ai souvent de la part des internes qui font leur thèse. Je ne sais jamais bien répondre, mais il existe une page du site de la CNIL (Commission Nationale de l'Informatique et des Libertés).
Pour les cas les plus fréquents, voici ce que dit la CNIL :
- Si les recherches sont internes, c'est-à-dire menées à partir des données recueillies dans le cadre du suivi thérapeutique ou médical individuel des patients, par les personnels assurant ce suivi et pour leur usage exclusif, la recherche doit être inscrite au registre des traitements de l'Université de rattachement du doctorant.
- Les personnes concernées doivent être informées du traitement de leurs données, lors de la collecte de leurs données ou au plus tard avant le début du traitement.
Je ne sais pas si les Universités ont un registre des traitements (qu'est-ce que c'est encore que ce truc ?).
Ensuite, il y a un autre paragraphe que je copie, en vous demandant de m'expliquer (dans toutes les thèses, des données sont rendues accessibles au jury, dont des membres sont en dehors de l'équipe soins) :
- Si les recherches sont multicentriques ou impliquent que les données sont rendues accessibles à des personnes en dehors de l'équipe de soins, la recherche doit faire l'objet d'une demande d'autorisation de recherche médicale auprès de la CNIL. Si la recherche est conforme à une méthodologie de référence (MR-001, MR-002 ou MR-003), une déclaration simplifiée de conformité à cette norme suffit.
- Les personnes concernées doivent, avant le début du traitement de ces données, être individuellement informées dans les conditions prévues à l'article 57 de la loi n°78-17 modifiée.
Allez lire les autres informations sur le site de la CNIL….. en vous préparant avec courage et résignation….
5 commentaires
Des differences si etude retrospective ? Avec la loi jarde, beaucoup d’internes sont perdu lors de la rédaction memoire ou thèse.
Merci dans tous les cas pour votre blog de qualité
Avec les nouvelles MR (004 notamment), les démarches pour les recherches sur données devraient être plus simples.
Sinon, le problème des données mise à disposition du jury ne concerne que les données identifiantes, pas les résultats agrégés. Charges à ceux qui le peuvent de retourner aux données sources si le besoins s’en fait sentir.
Enfin, ça reste la jungle tout ça, mais on parle quand même de lever le secret médical… ceci explique sans doute cela.
Bonjour,
Je suis le DPO de la SOFCOT (moi-même chirurgien orthopédique) et cela fait plus d’un an maintenant que je me penche sur cette problématique, en pouvant discuter directement avec les juristes de la CNIL.
Pour ce qui concerne l’obtention des données, il y a deux cas :
– soit on les obtient à partir de fichiers, dossiers médicaux, etc., c’est à dire sans contact avec le patient : on est alors en rétrospectif et la demande de recherche (y compris une thèse) passe par l’INDS (qui a un nouveau site depuis début juillet assez bien fait)
– si on a un contact avec le patient (consultation de suivi, mais aussi simple appel téléphonique pour remplir un score), on est en recherche concernant la personne humaine, relevant de la Loi Jardé.
Celle-ci a trois niveaux :
– le 1 : étude de nouveaux médicaments ou matériels médicaux. On est en recherche médicale « pure », avec une procédure anciennement loi Huriet
– le 2 dit RIRCM (Recherche interventionnelle à Risques et Contraintes Modérées), qui inclut des actes « en plus » du suivit habituel du patient (définis par décret, qui a changé trois en un an…) avec certaines contraintes administratives comme une assurance spécifique obligatoire
– le 3 dit RNI (Recherche Non Interventionnelle), anciennement recherche en soins courants
Dans ces trois cas, puisqu’on revoit le patient, d’une manière ou d’une autre, on est en prospectif.
Pour le multicentrique, la CNIL cherche a protéger les données, et, comme le dit Nicolas Griffon, les résultats agrégés, donc non nominatifs, sont toujours accessibles. Mais un centre ne peut accéder qu’à ses seuls dossiers, de façon nominative. D’ou l’intérêt de bien définir dans le protocole le « responsable » de la recherche, qui, lui, a accès à la table de correspondance entre les noms et les fiches anonymisées
L’avantage de passer par les méthodologies de référence (MR-001 pour les RIRCM, MR-003 pour les RNI, MR-004 pour les études de dossiers, MR-005 pour les extractions du PMSI, SNIRAAM) est de ne pas avoir à faire de demande à la CNIL. Mais il faut être rattaché à une structure qui a validé ces MR et qui devient le promoteur de la recherche.
Quand cette structure a un DPO (Data Privacy Officer, anciennement correspondant informatique et libertés), celui-ci doit tenir à jour le registre de tous les traitements informatiques de sa structure (ceux traitant des données sensibles (RGPD), et donc médicales).
Et pour répondre à la question, l’année dernière en tout cas, tous les CHU (je ne sais pas pour les universités) n’avaient pas de CIL/DPO et donc pas de registre, ce que j’ai découvert en répondant aux problèmes qu’avait un orthopédiste du CHU de Toulouse avec la CNIL.
Je reste ouvert à la discussion, car si on ne s’aide pas, on n’y arrivera pas, avec des textes qui changent sans arrêt, mais par e-mail uniquement.
Bonne journée à tous
Ah oui, mon mail pour correspondre : cil@sofcot.fr
Bonjour,
Je suis interne et je suis en effet perdue avec la demande à la CNIL. Pour ma thèse j’ai interrogé les internes de ma faculté, par un questionnaire en ligne, au sujet de la réforme du 3e cycle. Je ne sais pas quelle démarche effectuer. Je pense qu’il s’agit d’une recherche n’impliquant pas la personne humaine. Il faudrait alors que je transmette un dossier à l’INDS d’après ce que j’ai vu. Mais il est dit aussi que la formalité ne doit pas être faite en mon nom propre.
Qu’en pensez-vous ?