Réglementation Rech NIPH - Fév 2024 PDF

Les recherches n’impliquant pas la personne humaine, au sens de la loi Jardé Pr Camille JUNG Département Data Recherche Innovation Information Médicale (DRIIM) CHI Créteil 29/02/2024 CRC-CH...

Les recherches n’impliquant pas la personne humaine, au sens de la loi Jardé Pr Camille JUNG Département Data Recherche Innovation Information Médicale (DRIIM) CHI Créteil 29/02/2024 CRC-CHIC® Points abordés Le cadre réglementaire Les différentes étapes La question de recherche L’information patient Les démarches réglementaires Quelques situations particulières Loi Jardé - CRC-CHIC® Le cadre réglementaire  1-Recherche recherche organisée en vue du développement NON des connaissances biologiques ou médicales? Hors champs 2-Personne humaine impliquée? RGPD OUI NON CEL Recherches impliquant la personne Recherches n’impliquant humaine= cadre JARDE / règlements EU pas la personne humaine= Med ou Dispositifs médicaux hors cadre JARDE Données non collectées habituellement Recherches évaluant -Les mécanismes de fonctionnement de l'organisme humain, MR (CNIL) + RGPD normal ou pathologique ; -L'efficacité et la sécurité de la réalisation d'actes ou de l'utilisation Ou CEREES -CNIL + RGPD ou de l'administration de produits dans un but de diagnostic, de CEL traitement ou de prévention d'états pathologiques. -les essais médicaments -les investigations cliniques impliquant un DM Types de recherches: recherches organisées en vue du développement des connaissances biologiques ou médicales (« bio-médicales ») n’impliquant pas la personne humaine Recherches sur les données issues du soin Données du dossier médical, de cohortes de suivi, d’entrepôt de données de santé Prospective: sur des critères définis avant le démarrage de l’étude Rétrospective: sur des données déjà collectées Recherche sur les échantillons de collections biologiques existantes Notamment la requalification pour la recherche d’échantillons collectés lors du soin Types de recherche: recherche organisée en vue du développement des connaissances biologiques ou médicales et n’impliquant pas la personne humaine (« bio-médicale ») Il s’agit d’études exclues du champ d’étude sur la personne humaine interventionnelle ou non interventionnelle Personnes concernées Personnes dites malades ou saines/malades La recherche s’intéresse à Des activités de prévention De diagnostic/investigation des soins Modalités de prise en charge thérapeutique: traitements et soins prodigués Physio/physiopathologie Types de recherche: recherches impliquant la personne humaine mais non « bio-médicales » Recherche dont les objectifs sont sociologiques ou en sciences humaines Ex: perception de la valeur travail Vécu des victimes d’attentats Recherche sur l’implication écologique d’un groupe d’individu (par exemple les jeunes de 18-25 ans) MAIS, la distinction entre les études rentrant dans le champ des études « bio- médicales » et celles hors champ est souvent délicate, notamment dans un contexte hospitalier ou de soins. Ex: Etude sur les perceptions, les représentations sociales et le vécu du cancer du poumon Entretiens réalisés par une psychologue Est-ce une RIPH de type 3 ou une étude HLJ en SHS? Si les objectifs de l’étude sont socio-anthropologique => SHS => Hors champ Jardé Si les objectifs de l’études sont médicaux (prise en charge des patients) => Loi Jardé s’applique  Le cadre réglementaire des recherches n’impliquant pas la personne humaine Traitement des données à caractères personnels Règlement Général sur la Protection des Données (RGPD) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (en vigueur depuis le 25 mai 2018) Loi Informatique et Liberté du 6 janvier 1978 modifiée Règlement européen: « Le règlement est un acte juridique européen, de portée générale, obligatoire dans toutes ses dispositions. Les États membres sont tenus d'appliquer ces dispositions telles qu’elles sont définies par le règlement. Le règlement est donc directement applicable dans l’ordre juridique des États membres. Il s’impose à tous les sujets de droit : particuliers, personnes morales, États, institutions. » www.vie-publique.fr  Le cadre réglementaire des recherches n’impliquant pas la personne humaine Règlement Général sur la Protection des Données (RGPD) Données personnelles: toute information se rapportant à une personne physique identifiée ou identifiable Traitement des données: collecte, enregistrement, structuration, analyse, effacement, destruction, etc. Responsable de traitement: personne responsable de l’étude, qui en assure la gestion et vérifie que le financement de l’étude est prévu. Si étudiant, il s’agit de l’université par exemple. Délégué à la Protection des Données (DPO): professionnel en charge de la protection des données au sein et de la conformité au RGPD de son organisme Règlement général sur la protection des données L’article 9 du RGPD définit ce que sont les données sensibles comme suit : “Le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits.“ Exceptions dans le paragraphe 9.2 qui vient compléter la définition de ce que sont les données sensibles en décrivant les différentes conditions dans lesquels l’interdiction de traitement ne s’applique pas : -la personne concernée a donné son consentement au traitement de ses données […] -le traitement est nécessaire aux fins de la médecine préventive ou de la médecine du travail ; -le traitement est nécessaire pour des motifs d’intérêt public dans le domaine de la santé publique -le traitement est nécessaire à des fins de recherche scientifique… Loi Jardé - CRC-CHIC®  Objectif du Transparence Données sensibles traitement de et recherche, du traitement en résumé Sécurité ces données : Adéquates Traitées de manière licite, Mesures de sécurité Pertinentes Loyale renforcées Limitées à ce qui est nécessaire au regard des Transparente au regard finalités pour lesquelles de la personne concernée elles sont traitées Loi Jardé - CRC-CHIC®  Le cadre réglementaire des recherches n’impliquant pas la personne humaine Logique d’auto-responsabilité: les responsables de traitement doivent veiller au respect de la réglementation et s’être posés les bonnes questions notamment sur la finalité, l’information et la sécurité des traitements En France, la CNIL (Commission nationale de l’Informatique et des Libertés) est l’autorité administrative indépendante compétente en ce qui relève des données personnelles Homologue et publie des méthodologies de référence établies en concertation avec le Comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé (CEREES) Démarches à faire dans le cadre d’une RNIPH Pour une R non Impliquant la PH, il faudra… Promoteur: non nécessaire Responsable de traitement: personne responsable de l’étude, qui en assure la gestion et vérifie que le financement de l’étude est prévu Délégué à la protection des données (DPO) Trouver une structure recherche qui prendra en charge le projet Protocole, note information Financement de la recherche Respecter la MR-004 de la CNIL ou autorisation CNIL + CEREES Respecter le RGPD et notamment enregistrer ce traitement dans le registre des traitements, faire une analyse d’impact (PIA) Enregistrer sa recherche dans le répertoire public des projets du Health Data Hub CRC-CHIC®  La conformité méthodologie de référence MR-004 Champ concerné: Recherches n’impliquant pas la personne humaine, études et évaluations dans le domaine de la santé « La méthodologie de référence MR-004 encadre les traitements de données à caractère personnel à des fins d’étude, évaluation ou recherche n’impliquant pas la personne humaine. Il s’agit plus précisément des études ne répondant pas à la définition d’une recherche impliquant la personne humaine, en particulier les études portant sur la réutilisation de données. La recherche doit présenter un caractère d’intérêt public. Le responsable de traitement s’engage à ne collecter que les données strictement nécessaires et pertinentes au regard des objectifs de la recherche. » https://www.cnil.fr/fr/declaration/mr-004-recherches-nimpliquant-pas-la-personne-humaine-etudes-et-evaluations-dans-le  Cadre de la MR-004 1. Finalités du traitement Recherches, études, évaluations dans le domaine de la santé (hors loi Jardé/RE) 2. Données personnelles concernées Pertinentes, adéquates et limitées au regard des finalités de la recherche Justifier scientifiquement leur recueil / traitement Ne peuvent pas être recueillies: les données identifiantes (géocodage, numéro de sécurité sociale); opinions religieuses, opinions politiques, données relatives aux infractions Les données type nom, prénom, date de naissance, numéro de téléphone, mail, RIB…peuvent être recueillies SI justification précise (ex: remboursement de frais, envoi d’un questionnaire en ligne) et par un sous-traitant non impliqué dans le traitement des données du projet. => les données doivent être pseudonymisées  Cadre de la MR-004 3. Durées de conservations des données patients 2 ans après la dernière publication 4. Information des participants Information générale des activités de recherche de l’établissement (livret d’accueil, site internet, affiches, etc.) Information individuelle pour chaque projet/plusieurs projets quasi-identiques, ie même responsable de traitement, mêmes finalités, mêmes catégories de données, mêmes destinataires des données Conforme aux articles 13 ou 14 du RGPD Concernant les recherches sur les mineurs : note d’information spécifique pour les représentants légaux (ET les mineurs) Concernant les recherches sur les majeurs protégés : note d’information spécifique pour le représentant légal Concernant les recherches sur les personnes hors d’état de recevoir l’information: membres de la famille ou personne de confiance. Information individuelle dès que l’état de la personne concernée le permet;  Cadre de la MR-004 5. Sécurité et confidentialité Sécurité informatique Plan d’analyse d’impact relative à la protection des données (RGPD) 6. Transferts des données hors de l’Union Européenne Ne peut concerner QUE les données indirectement identifiantes (pseudonymisées) Ou celles des professionnels impliqués dans la recherche Justifiés par la mise en œuvre de la recherche ou l’exploitation des résultats. Le responsable de traitement qui adhère (déclaration CNIL) à cette méthodologie de référence est autorisé à mettre en œuvre son traitement. Ce faisant, il s’engage à la respecter. En l’absence de respect possible de la MR-004, une demande motivée d’autorisation de traitement doit être adressée à la CNIL. L’information patient doit contenir l’identité et les coordonnées du responsable de traitement ; les coordonnées du délégué à la protection des données du responsable de traitement ; la finalité du traitement de données (présentation du projet de recherche) ; la base juridique du traitement ; la nature des informations qui seront utilisées dans la recherche ; les destinataires ou les catégories de destinataires des données ; les droits d’accès, de rectification, d’opposition, à l’effacement, à la limitation du traitement ; les modalités d’exercice de ces droits ; le caractère facultatif de la participation ; le cas échéant, le transfert de données à caractère personnel hors de l’Union européenne et la référence aux garanties appropriées et les moyens d’en obtenir une copie ou l’endroit où elles ont été mises à disposition ; la durée de conservation des données à caractère personnel ou les critères utilisées pour déterminer cette durée ; CRC-CHIC® En cas d’opposition du patient à participer Celui-ci doit pouvoir avoir les coordonnées du délégué à la protection des données (DPO) et lui transmettre son opposition Le responsable de traitement s’engage à ne pas traiter les données de la personne concernée Les différentes étapes  Etape 1: la question de recherche Rédiger un protocole Contexte de la recherche et connaissances actuelles sur le sujet Définir la question de recherche Définir les objectifs de la recherche Définir la méthodologie Cohorte étudiées Données d’analyse Méthodes de traitement et d’analyse des données Faisabilité et calendrier de l’étude Définir les retombées attendues  Etape 1: la question de recherche Contexte: Le virus du SARS-COV-2 a été à l’origine d’une pandémie mondiale depuis mars 2020. 1000 patients ont été hospitalisés dans l’hôpital Y depuis le début de la pandémie. Par ailleurs, la prise en charge des patients avec un COVID-19 symptomatique et nécessitant une hospitalisation a évolué. Plusieurs variants du virus ont circulé et une partie de la population a été vaccinée. Question de recherche: comment les facteurs de risque associés à une forme grave de COVID-19 ont évolué entre mars 2020 et mars 2022? Méthodologie: Cohorte de patients hospitalisés dans l’hôpital Y de mars 2020 et mars 2022 pour COVID-19 Données recueillies: âge, sexe, données cliniques et biologiques à l’entrée Définition des formes graves de COVID-19: passage en réanimation, décès Méthode d’analyse: déterminer les facteurs de risque de formes graves de COVID-19 lors des différentes vagues épidémiques par des méthodes d’apprentissage machine non supervisé. Etape 2: préparer l’information patient L’hôpital Y a une activité de recherche Affiche dans l’hôpital Note d’information sur la possibilité d’utiliser des données de santé de façon pseudonymisée à des fins de recherche Préparer la note d’information patient -> Information en amont, dès les premières hospitalisations -> Information a posteriori. Attention dans ce cas à connaitre le statut vital des personnes Etape 3: déterminer les modalités de mise en œuvre Définir le circuit de la recherche Traitement de la donnée: extraction et stockage traitement des données, outils d’analyse Dans notre exemple: Les données seront issues du Dossier Patient Informatisé et du logiciel de biologie. Une base de données sécurisée sera développée par l’unité de recherche clinique de l’hôpital Y pour constituer le data-set Les données seront analysées par le biostatisticien de l’équipe Etape 4: les déclarations Sur le répertoire public des projets (HDH) Les déclarations Soumettre le projet à Publication sur le site un comité d’éthique internet de l’hôpital Y local: non obligatoire mais préférable. Exemple de cette étude Question de recherche Permettre aux enfants et aux adolescents d’exprimer leurs pensées et leurs sentiments sur le changement climatique et comprendre comment leurs perspectives évoluent. Notre objectif était d’identifier des moyens concrets pour les parents, les éducateurs, les chercheurs et les décideurs de soutenir les jeunes dans le contexte du changement climatique. Classification réglementaire Question n°1 Cette recherche implique-t-elle la personne humaine? Classification réglementaire Question n°2 La finalité de cette étude est-elle le développement des connaissances biologiques ou médicales? Notre objectif était d’identifier des moyens concrets pour les parents, les éducateurs, les chercheurs et les décideurs de soutenir les jeunes dans le contexte du changement climatique. Plutôt une recherche qui s’adresse aux décideurs et politiques Il s’agit donc d’une recherche N’est pas dans le champ des recherches impliquant pas la personne humaine au sens de la loi Jardé Sciences Humaines et Sociales Respecter le RGPD Respecter les critères de ce type de recherche (recherche qualitative) Avis d’un comité d’éthique local Cas particuliers Particularités de certaines bases de recherche: les entrepôts de données de santé Issues des entrepôt de données de santé Diapositive de la société CODOC Etudes sur le Système National de Données de Santé Regroupe les données de les données de l’Assurance Maladie (base SNIIRAM) ; les données des hôpitaux (base PMSI) ; les causes médicales de décès (base du CépiDC de l’Inserm) ; les données relatives au handicap (en provenance des MDPH - données de la CNSA) ; un échantillon de données en provenance des organismes d’Assurance Maladie complémentaire. -> MR-005 ou MR-007 pour les structures de recherche publiques (missions d’intérêt publique) -> MR-006 ou MR-008 pour les structures privées Attention finalités de traitement bien définies, limitées, en particulier, exclusion du champ assurantiel -> exception à l’information individuelle www.snds.gouv.fr Exemple Etude sur un nouveau traitement antibiotique Patient randomisé pour recevoir le traitement A ou le traitement B pendant 10 jours Les patients sont ensuite suivis 3 mois => Etude impliquant la personne humaine. RE Medt. L’avis favorable d’un CPP est nécessaire pour démarrer l’étude Que deviennent ces patients à 1 an, 2 ans? Ont-ils été réhospitalisés? Ont-ils eu des complications? Y a-t-il eu des décès? => Objectif secondaire de l’étude qui nécessitera de connaitre l’identité des patients inclus pour les identifier ultérieurement au niveau du SNDS => Demande d’autorisation à la CNIL pour avoir accès aux données de l’assurance maladie des patients inclus dans l’essai Au total Les recherches « non impliquant la personne humaine », au sens de la loi Jardé, représentent la majorité des études Définies parce qu’elles ne sont pas dans le cadre Jardé (et hors RE Med/DM) Attention particulière pour vérifier que la classification réglementaire est correcte Souvent plus simples sur le plan réglementaire, sauf lorsqu’il s’agit de d’analyse de données sur le SNDS Nécessitent cependant de respecter le RGPD, ce qui implique une définition et une mise en œuvre cadrée des projets.