A la demande de la Commission européenne, le Comité européen de la protection des données (CEPD) s’est prononcé sur l’interaction entre la réglementation de l’Union européenne sur les essais cliniques et le Règlement Général sur la Protection des Données (RGPD). En effet, la Commission européenne travaille actuellement à concilier le RGPD et le règlement (UE) n° 536/2014 du Parlement européen et du Conseil du 16 avril 2014 relatif aux essais cliniques de médicaments à usage humain et abrogeant la directive 2001/20/CE. Avant de publier ses questions/réponses (qui n’ont pas encore été rendues publiques), la Commission a demandé l’avis du CEPD à ce sujet, qui a adopté un avis le 23 janvier 2019.

Le CEPD s’est prononcé uniquement sur les aspects relatifs à la base légale et à l’utilisation secondaire des données personnelles.

Quelle base légale dans le cadre des essais cliniques ?

Quant à la base légale des traitements de données à caractère personnel mis en oeuvre dans le cadre des essais cliniques, le raisonnement du CEPD est le suivant :

• Un traitement de données à caractère personnel peut être mis en oeuvre à condition qu’il ait une base légale (article 6 du RGPD).
• Lorsque des données sensibles sont collectées et traitées (données de santé par exemple), un régime plus strict s’applique, c’est-à-dire que le traitement de données sensibles est interdit à moins que des dérogations spécifiques ne s’appliquent (article 9 du RGPD). L’une de ces dérogations est le consentement explicite des personnes concernées.
• Quant aux essais cliniques, la réglementation européenne impose que les participants donnent leur consentement éclairé pour y participer. Le but de ce consentement éclairé est de protéger l’individu. Or, le RGPD prévoit que les personnes ayant donné leur consentement peuvent le retirer.
• Cela s’oppose à la pratique des essais cliniques. Si les participants retirent leurs consentement et exigent que les données personnelles les concernant ne soient pas utilisées, la qualité des résultats de l’essai clinique en serait affectée.

Dans ce contexte, le CEPD distingue deux types d’opérations de de traitement dans le cadre d’essais cliniques, celles liées à la fiabilité et à la sécurité, et les activités de recherche en tant que telles. Les opérations liées à la fiabilité et à la sécurité relèveraient des bases légales suivantes : le respect d’une ou plusieurs obligations légales ou une mission d’intérêt public. Quant aux opérations liées aux recherches en tant que telles, le CEPD précise qu’elles ne peuvent relever d’une obligation légale. Il propose trois bases légales différentes dans ce cas : le consentement de la personne concernée, une mission d’intérêt public ou bien un intérêt légitime.

Quelle utilisation secondaire des données ?

En matière d’essais cliniques, un « protocole » est rédigé, notamment afin de décrire les objectifs et donc les finalités des traitements de données mis en oeuvre. Ces informations sont transmises aux participants. Il s’agit cependant de garder à l’esprit que les essais cliniques peuvent durer plusieurs années et leur périmètre peut évoluer. Or, la Commission semble estimer que dans l’hypothèse où des scientifiques souhaiteraient utiliser les données à caractère personnel collectées et traitées dans le cadre d’un essai clinique pour un autre essai clinique, une nouvelle base légale devrait être trouvée. Cependant, après plusieurs années, comment informer les participants de l’évolution du protocole et notamment de la nouvelle base légale ? Les données devraient-elles être supprimées alors même que les scientifiques souhaiteraient les utiliser pour poursuivre des recherches similaires par exemple ?

Le CEPD utilise la notion de « présomption de compatibilité » (article 5 du RGPD) afin d’expliquer que certains types d’utilisations secondaires ne nécessitent pas de nouvelle base légale. A titre d’illustration, la réalisation de statistiques, l’archivage dans l’intérêt public, etc. Le CEPD invite la Commission européenne à fournir davantage de précisions à ce sujet.

A ce stade, nous ne sommes pas en mesure de savoir si la Commission européenne suivra l’avis du CEPD, ni la date de publication des questions et réponses.

Mathias Avocats vous tiendra informés des évolutions en la matière.