Recherche en santé : la CNIL adopte deux méthodologies de référence permettant l’accès à la base principale du SNDS

La CNIL a adopté deux nouvelles méthodologies de référence pour permettre aux organismes publics (MR-007) et privés (MR-008), à l’exception des assureurs, de traiter les données de la base principale du Système National des Données de Santé (SNDS), au-delà du seul programme de médicalisation des systèmes d'information (PMSI).

Des outils opérationnels et pédagogiques, réalisés en concertation par la Plateforme des données de santé, la CNIL et la CNAM, afin d’accompagner les porteurs de projets pas à pas dans la mise en œuvre de ces procédures simplifiées, sont disponibles sur le site de la PDS. Le kit MR-007 et le kit MR-008 proposent chacun un guide pédagogique dédié, des modèles de documents (protocole, information, expression de besoins, etc.), ainsi qu’une checklist de conformité du projet.

Pourquoi de nouvelles méthodologies de référence ?

Le périmètre du SNDS a été élargi, à la fois par la loi relative à l’organisation et à la transformation du système de santé et par la modification de son décret d’application. Ces évolutions, couplées à un intérêt croissant des acteurs pour ces informations, ont conduit la CNIL à adopter de nouveaux cadres de référence permettant un accès à l’ensemble des données de la base principale du SNDS.

Ces nouvelles méthodologies de référence s’inscrivent dans la continuité des MR-005 et MR-006, qui encadrent l’accès aux données du PMSI par les établissements de santé et leurs fédérations, ainsi que par les industriels de santé. Afin de proposer des outils adaptés à leurs besoins, elles intègrent les retours issus de la consultation des acteurs du secteur.

Les nouveautés apportées par les MR-007 et 008

Ces méthodologies de référence présentent quelques nouveautés par rapport à celles adoptées précédemment par la CNIL et notamment par rapport aux MR-005 et 006.

Responsables de traitement

La base légale du traitement envisagé constitue le critère permettant de déterminer quelle MR sera applicable, entre la MR-007 et la MR-008 :

• La MR-007 concerne les organismes pour lesquels la mise en œuvre de la recherche, étude ou évaluation dans le domaine de la santé est nécessaire à l’exécution d’une mission d’intérêt public ou relève de l’exercice de l’autorité publique dont ils sont investis.
• Alors que la MR-008 concerne les organismes pour lesquels la mise en œuvre de la recherche, étude ou évaluation dans le domaine de la santé est nécessaire à la poursuite d’un intérêt légitime. Les traitements mis en œuvre par les « assureurs » (notamment les sociétés d’assurance et les mutuelles) sont toutefois exclus de son champ d’application.

Finalités des traitements

• La MR-007 reprend les finalités des traitements admises dans le cadre de la MR-005 et y ajoute le ciblage des centres et/ou réalisation d'études de faisabilité pour la réalisation d'une recherche impliquant ou n'impliquant pas la personne humaine.
• En revanche, les finalités poursuivies dans le cadre de la MR-008 diffèrent de celles mentionnées dans la MR-006. La liste des finalités de traitements de la MR-008 est limitative.
• Les finalités énumérées, présumées d’intérêt public, sont identiques à celles mentionnées dans le référentiel encadrant la mise à disposition de l’échantillon du SNDS (ESND).

Avis préalable expressément favorable du CESREES

En raison de l’important volume de données mis à disposition et de la complexité des bases disponibles, les MR-007 et 008 exigent que le projet ait fait l’objet d’un avis expressément favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES).

Par ailleurs, en cas d’avis favorable avec recommandations, le responsable de traitement doit s’engager à les prendre en compte et à modifier son dossier en conséquence, préalablement à la mise en œuvre du traitement.

Expression de besoins

Afin de faciliter le travail de mise à disposition des données par la CNAM, les MR-007 et 008 prévoient que le responsable de traitement adosse à son protocole une expression de besoins, c’est-à-dire un document indiquant :

• les composantes de la base principale du SNDS concernées par la demande d’accès ;
• la population ciblée ;
• la période de ciblage ;
• les données ou catégories de données nécessaires ;
• la profondeur historique des données, dans la limite de neuf ans en plus de l’année en cours ;
• la durée d’accès demandée, qui ne peut excéder cinq ans à compter de la dernière mise à disposition effective des données.

Conditions de mise à disposition des données

• Dans le cadre des MR-007 et 008, les données traitées doivent exclusivement et directement provenir de la Caisse nationale d’Assurance maladie (CNAM).
• Les modalités d’accès à ces données étant multiples, tout environnement maîtrisé remplissant les conditions prévues par les MR-007 et 008 peut héberger les données dans le cadre des projets de recherche visés.

Exception à l’obligation d’information individuelle

Dans la continuité de ce que prévoient les MR-005 et 006, s’agissant exclusivement de données provenant du SNDS, il est admis que les responsables de traitements feront valoir une exception à l’obligation d’information individuelle.

En contrepartie, les organismes déclarant la conformité de leurs traitements à la MR-007 ou MR-008 doivent prendre des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.

Réalisation d’un bilan

Tous les trois ans, les organismes mettant en œuvre des traitements sur le fondement des MR-007 et 008 devront faire parvenir à la CNIL un bilan de leurs pratiques et de leur utilisation de la MR concernant l’ensemble de leurs traitements.

La CNIL bénéficiera ainsi d’un retour d’expérience des acteurs, utile à la mise à jour de ses cadres de référence.