Boîte 4 · Module 3
La méthodologie de référence MR004
La MR004 définit un cadre de référence pour certaines recherches en santé qui n’impliquent pas la personne humaine, et les démarches à respecter.
Elle demande un dépôt au répertoire du Health Data Hub et, dans tous les cas, une analyse d’impact menée avec votre délégué à la protection des données. Des contraintes, et un cadre qui structure la démarche.
Environ 16 min en tout. 5 parties, chacune se lit à part.
Par Nicolas Naïditch, sociologue de la santé
Ces contenus proposent une interprétation des textes. Ils ne remplacent pas le regard de votre délégué à la protection des données, ni celui d’un juriste ou d’un comité. Les sources sont citées, pour que vous puissiez les vérifier. Les décisions restent celles de la structure qui porte l’étude ; ExpectPatient n’en est pas responsable. Mentions légales
3 min · 1 démonstration · 3 fiches · 2 ressources
La MR004 ne dispense de rien, elle ordonne les démarches. Un délégué à la protection des données désigné, un engagement de conformité adressé une fois à la CNIL, puis, pour chaque étude, le protocole, la notice, une analyse d’impact, l’inscription au registre et le dépôt au répertoire du Health Data Hub avant le premier recueil. Une même analyse d’impact peut couvrir des études semblables.
Voir
Pour en savoir plus · 3 fiches à dérouler
Fiche 1/3Ce que la MR-004 encadreLa MR-004 encadre les traitements de données à caractère personnel à des fins d’étude, d’évaluation ou de recherche…
La MR-004 encadre les traitements de données à caractère personnel à des fins d’étude, d’évaluation ou de recherche n’impliquant pas la personne humaine, d’intérêt public. Elle s’applique aux études qualitatives et à certaines études quantitatives, et définit les conditions applicables aux traitements qui entrent dans son champ.
Fiche 2/3Trois pièces à préparerLe protocole scientifique la trame de la boîte 1. La notice d’information individuelle le module 2. La déclaration…
- Le protocole scientifiquela trame de la boîte 1.
- La notice d’information individuellele module 2.
- La déclaration d’intérêtsun modèle du Health Data Hub, dans la boîte.
Le projet est enregistré au répertoire public avant sa mise en œuvre.
Health Data Hub, Enregistrer son projet dans le cadre de la MR-004
.
Fiche 3/3Une contrainte qui structureLa MR-004 implique des démarches administratives. Elle structure aussi la démarche, renforce la transparence et la…
La MR-004 implique des démarches administratives. Elle structure aussi la démarche, renforce la transparence et la rigueur des pratiques, et aide à montrer que le traitement respecte son cadre, sans garantir à elle seule sa conformité.
Dans la boîte
5 min · 1 démonstration · 1 exercice · 2 fiches · 3 ressources
Le dépôt se fait en ligne, en treize rubriques. Il est relativement simple quand le projet est bien préparé : la plupart des réponses sont déjà dans le protocole et la notice.
Voir
OutilLe dépôt, rubrique par rubrique
Le formulaire, rubrique par rubrique
Avancez rubrique par rubrique : ce que le formulaire demande, ce qu’on y répond.
Rubrique 1 sur 13
Enregistrement
Ce que demande le formulaire
Le numéro SIRET de l’établissement, le titre complet de l’étude, un titre destiné au public.
Ce qu’on répond, pour une enquête associative
Le SIRET de la structure porteuse ; un titre complet qui dit le design, l’objectif et la population ; un titre court, en mots de tous les jours.
Le titre se construit comme dans la boîte 1 : design, objectif, population.
Rubrique 2 sur 13
Objectifs et intérêt pour la santé publique
Ce que demande le formulaire
La ou les finalités, les objectifs, le domaine médical, et un résumé : intérêt pour la santé publique, objectifs, méthode, population.
Ce qu’on répond, pour une enquête associative
Finalité : recherche, étude, évaluation. Objectif : par exemple, la prise en charge des patients. Le domaine de la pathologie. Un résumé repris du protocole.
Rubrique 3 sur 13
Données
Ce que demande le formulaire
Les catégories de données, leurs sources, un éventuel appariement entre sources, les variables sensibles et leur justification.
Ce qu’on répond, pour une enquête associative
Source : « Autres données », puis « Enquête(s) ». Appariement : non. Variables sensibles : le moins possible, chacune justifiée.
Une variable sensible inutile coûte plus qu’elle ne rapporte : retirez-la du questionnaire avant de la déclarer.
Rubrique 4 sur 13
Plateforme de traitement
Ce que demande le formulaire
Le Système national des données de santé, ou une autre plateforme.
Ce qu’on répond, pour une enquête associative
« Autre » : le logiciel réellement utilisé, Skezia, Microsoft Forms, Excel…
Notez où l’outil traite les données ; la rubrique sur les transferts hors de l’Union européenne en dépend.
Rubrique 5 sur 13
Acteurs
Ce que demande le formulaire
Le ou les responsables de traitement, le ou les responsables de mise en œuvre, avec leurs coordonnées.
Ce qu’on répond, pour une enquête associative
Responsable de traitement : votre association, ou la structure qui porte l’étude. Mise en œuvre : la personne ou le prestataire qui collecte, stocke et analyse.
Une déclaration d’intérêts est demandée à chacun ; une seule si c’est la même structure.
Rubrique 6 sur 13
Calendrier
Ce que demande le formulaire
Les dates de début et de fin du projet.
Ce qu’on répond, pour une enquête associative
Les dates du protocole, recueil et analyse compris.
Rubrique 7 sur 13
Destinataires
Ce que demande le formulaire
Qui reçoit les données, et ses coordonnées.
Ce qu’on répond, pour une enquête associative
Les personnes qui accèdent légitimement aux données : en interne, ou un sous-traitant habilité.
Rubrique 8 sur 13
Durée de conservation
Ce que demande le formulaire
La durée de conservation des données aux fins du projet.
Ce qu’on répond, pour une enquête associative
La même que dans la notice. La MR-004 la borne à deux ans après la dernière publication des résultats, ou au rapport final faute de publication, avant un archivage de vingt ans au plus.
Rubrique 9 sur 13
Décision automatisée
Ce que demande le formulaire
Une prise de décision individuelle automatisée est-elle prévue ?
Ce qu’on répond, pour une enquête associative
Non.
Rubrique 10 sur 13
Fondement juridique
Ce que demande le formulaire
L’article 6 du RGPD (licéité du traitement) et l’exception de l’article 9 qui permet de traiter des données de santé.
Ce qu’on répond, pour une enquête associative
Article 6 : (1)(f) intérêts légitimes du responsable de traitement. Article 9 : (2)(i) intérêt public dans le domaine de la santé publique.
C’est le choix de l’exemple de la boîte ; l’intérêt légitime vaut pour les missions statutaires de la structure. À valider avec votre DPO.
Rubrique 11 sur 13
Transfert hors de l’Union européenne
Ce que demande le formulaire
Un transfert de données personnelles vers un pays hors UE est-il envisagé ?
Ce qu’on répond, pour une enquête associative
Le plus souvent non, mais la réponse dépend de l’outil. Avant de répondre, vérifiez dans son contrat où les données sont traitées. La MR-004 n’admet un transfert que pour des données indirectement identifiantes, et s’il est nécessaire.
Rubrique 12 sur 13
Droits des personnes
Ce que demande le formulaire
Comment s’exercent les droits des personnes prévus par le RGPD.
Ce qu’on répond, pour une enquête associative
Accès, rectification, effacement, limitation, opposition, et la réclamation auprès de la CNIL, avec la façon de les exercer. La portabilité ne vaut pas quand la base légale est l’intérêt légitime.
Ce qui est écrit ici doit être exactement ce que dit la notice.
Rubrique 13 sur 13
Délégué à la protection des données
Ce que demande le formulaire
Le nom de l’organisme du DPO, son adresse, le nom et l’adresse électronique du DPO.
Ce qu’on répond, pour une enquête associative
Celui de votre association, ou le prestataire qu’elle a désigné. Puis : déposer le dossier.
Pour en savoir plus · 2 fiches à dérouler
Fiche 1/2Le répertoireLe répertoire des projets du Health Data Hub recense les projets de recherche qui mobilisent des données de santé…
Le répertoire des projets du Health Data Hub recense les projets de recherche qui mobilisent des données de santé, qu’ils utilisent le Système national des données de santé (SNDS) ou non. Le dépôt y est obligatoire. Il permet de suivre les projets en cours, de consulter les études proches, et de documenter la littérature grise : les études qu’on ne publie pas.
Sa navigation n’est pas toujours intuitive, parce que le HDH a d’abord été pensé pour les études sur le SNDS, et certaines fiches manquent de mise à jour. L’enregistrement reste la clé de la transparence et de la traçabilité.
Fiche 2/2La déclaration d’intérêtsTout dépôt demande une déclaration d’intérêts du responsable de traitement et du responsable scientifique, au titre de…
Tout dépôt demande une déclaration d’intérêts du responsable de traitement et du responsable scientifique, au titre de la loi de modernisation de notre système de santé de 2016. Elle couvre les trois dernières années : instances décisionnelles, conseil, travaux scientifiques, interventions financées, brevets, financements par un organisme à but lucratif, dans le champ de l’étude. Elle est publiée, signature exceptée, et s’actualise si la situation change.
Dans la boîte
2 min · 1 démonstration · 2 fiches
Le formulaire demande de nommer des rôles que l’on confond facilement. Les distinguer, c’est savoir qui répond de quoi.
Voir
Pour en savoir plus · 2 fiches à dérouler
Fiche 1/2Quatre rôlesLe responsable de traitement l’entité qui décide des finalités et des moyens ; votre association, ou la structure qui…
- Le responsable de traitementl’entité qui décide des finalités et des moyens ; votre association, ou la structure qui porte l’étude.
- Le responsable de mise en œuvrequi gère la collecte, le stockage et l’analyse ; des salariés, ou des prestataires externes.
- Les destinatairestoute personne ou entité qui accède aux données pour des raisons légitimes, en interne ou en sous-traitance habilitée.
- Le délégué à la protection des donnéesil vérifie la conformité et reçoit les demandes d’exercice des droits ; celui de votre association, ou le prestataire qu’elle a désigné.
Fiche 2/2Une déclaration, ou deuxQuand le responsable de traitement est aussi le responsable de mise en œuvre, une seule déclaration d’intérêts suffit.…
Quand le responsable de traitement est aussi le responsable de mise en œuvre, une seule déclaration d’intérêts suffit. Le lien commercial avec le laboratoire ou le bureau d’études qui réalise l’étude n’est pas un lien d’intérêt à déclarer.
2 min · 1 démonstration · 3 fiches · 2 ressources
Sous MR004, l'analyse d’impact relative à la protection des données est obligatoire, quelle que soit l’étude ; une même analyse peut couvrir des études semblables. Fastidieuse, elle est aussi l’occasion de penser toute la chaîne de recueil, de traitement et d’analyse.
Voir
Pour en savoir plus · 3 fiches à dérouler
Fiche 1/3Quand la faireSous MR-004, une analyse d’impact relative à la protection des données (AIPD, ou PIA) est obligatoire dans tous les…
Sous MR-004, une analyse d’impact relative à la protection des données (AIPD, ou PIA) est obligatoire dans tous les cas, études qualitatives comme quantitatives ; une même analyse peut couvrir des études semblables. Elle évalue les risques du traitement pour les personnes, et les mesures qui les réduisent.
Fiche 2/3Fastidieuse, et utileElle structure et clarifie la chaîne de traitement des données. Elle anticipe les vulnérabilités, pour mieux les…
- Elle structure et clarifie la chaîne de traitement des données.
- Elle anticipe les vulnérabilités, pour mieux les corriger.
- Elle renforce la conformité réglementaire du projet.
Votre DPO est l’interlocuteur clé. L’outil PIA de la CNIL, gratuit, en déroule la méthode pas à pas.
Fiche 3/3Le maillon de la diffusionEn qualitatif, le risque le plus sous-estimé est souvent au bout de la chaîne : une citation, même anonymisée, peut…
En qualitatif, le risque le plus sous-estimé est souvent au bout de la chaîne : une citation, même anonymisée, peut faire reconnaître quelqu’un par son entourage quand elle mêle un lieu, un métier et un événement rare. L’anonymisation se vérifie aussi au moment de choisir les extraits.
Dans la boîte
4 min · 2 exercices
Deux exercices : distinguer les rôles, puis explorer le répertoire pour y trouver des études proches de la vôtre.
Le casting
Cinq acteurs d’une enquête associative, quatre badges. Posez sur chacun le rôle qu’il tient.
Mission : explorer le répertoire
Avant de déposer, regardez ce que d’autres ont déposé.
- Ouvrez le répertoire public des projets du Health Data Hub.
- Cherchez un mot-clé de votre sujet : une maladie, un parcours, « expérience patient ».
- Ouvrez une fiche : notez le responsable de traitement, la durée de conservation, le fondement juridique.
- Cette étude ressemble-t-elle à la vôtre ? A-t-elle été publiée ?
Le répertoire documente aussi la littérature grise : des études jamais publiées, qu’aucune base bibliographique ne vous aurait montrées.
La bibliothèque du module
Les références du module
4 références réunies pour ce module, des sources des démonstrations aux lectures conseillées. Chaque dos du rayon mène à sa fiche, et un clic copie la référence, prête à coller dans votre bibliographie.
GUI CNI s. d.Guide
CNIL
Ce qu’il faut savoir sur l’analyse d’impact relative à la protection des données (AIPD)
cnil.fr
GUI HEA s. d.Guide
Health Data Hub
Enregistrer son projet dans le cadre de la MR-004
et le kit MR-004
TXT LOI 2016Texte officiel
Loi n° 2016-41 du 26 janvier 2016
« de modernisation de notre système de santé »
article 193 : la déclaration d’intérêts
TXT RGP 2016Texte officiel
Règlement (UE) 2016/679
« relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel »
dit RGPD
Une étude à conduire sous la MR-004 ? La vérifier avec vous ▸ ou le cadre en place chez ExpectPatient ▸