Contact
Nous contacter

Entrepôts de données de santé

Sécuriser la création, la gouvernance et l’utilisation des entrepôts de données de santé

AUMANS AVOCATS accompagne les établissements de santé, organismes de recherche, entreprises et acteurs de la HealthTech dans la conception, la mise en place et la gouvernance de leurs entrepôts de données de santé (EDS).

La constitution d’un entrepôt permet de rassembler et de conserver, sur une période longue, des volumes importants de données afin de permettre leur utilisation pour différentes finalités, notamment le pilotage des activités, la recherche, les études et les évaluations dans le domaine de la santé.

Ces projets présentent cependant des enjeux juridiques et réglementaires spécifiques en raison de la sensibilité des données traitées, de la durée de leur conservation, de la multiplicité de leurs sources et des possibilités de réutilisation ultérieure.

AUMANS AVOCATS accompagne ses clients dans la définition du cadre juridique de l’entrepôt, sa mise en conformité avec le RGPD, la loi Informatique et Libertés et le référentiel de la CNIL relatif aux entrepôts de données de santé ainsi que dans la définition du cadre applicable aux recherches et autres réutilisations ultérieures des données.

Conformité
Accompagnement des CRO
IA et Santé
Formation

Définir le cadre juridique de l’entrepôt

La mise en place d’un entrepôt de données de santé suppose, en premier lieu, d’identifier précisément la nature du projet, ses finalités, les catégories de données concernées, leurs sources et les utilisations envisagées.

Il convient notamment de distinguer la constitution d’un entrepôt, destiné à permettre plusieurs utilisations ultérieures de données sur une période prolongée, de la constitution d’une base de données pour les besoins d’un projet de recherche déterminé.

AUMANS AVOCATS accompagne ses clients notamment pour :

  • qualifier le projet et déterminer s’il constitue un entrepôt de données de santé ;

  • identifier le responsable du traitement et les responsabilités des différents acteurs impliqués ;

  • déterminer les finalités de l’entrepôt et les bases juridiques applicables ;

  • analyser les catégories et les sources de données susceptibles d’alimenter l’entrepôt ;

  • déterminer les conditions dans lesquelles les données peuvent être collectées, versées et conservées dans l’entrepôt ;

  • identifier les dispositions du RGPD, de la loi Informatique et Libertés et, lorsqu’elles sont applicables, du Code de la santé publique ;

  • analyser les conditions d’utilisation de données provenant du Système national des données de santé (SNDS) ou d’autres bases de données ;

  • déterminer les formalités préalables nécessaires auprès de la CNIL ;

  • réaliser ou revoir l’analyse d’impact relative à la protection des données (AIPD).

Conformité au référentiel « entrepôts de données de santé » de la CNIL

La CNIL a adopté un référentiel spécifique relatif aux traitements de données à caractère personnel mis en œuvre aux fins de création d’entrepôts de données dans le domaine de la santé.

Lorsque le projet entre dans son champ d’application et respecte l’ensemble de ses exigences, le responsable de traitement doit s’engager à respecter ce référentiel. En cas de non conformité, une demande d’autorisation auprès de la CNIL devra être déposée.

AUMANS AVOCATS accompagne ses clients dans l’analyse détaillée de la conformité de leur projet au référentiel de la CNIL, notamment concernant :

  • les finalités de l’entrepôt ;

  • la base juridique du traitement ;

  • la nature et la provenance des données intégrées ;

  • les catégories de données collectées ;

  • les destinataires et les conditions d’accès aux données ;

  • les durées de conservation ;

  • l’information des personnes concernées et l’exercice de leurs droits ;

  • les mesures de pseudonymisation et, le cas échéant, d’anonymisation ;

  • les conditions d’hébergement et de sécurité des données ;

  • la traçabilité des accès et des opérations réalisées ;

  • la gouvernance de l’entrepôt ;

  • les procédures permettant d’encadrer les réutilisations des données.

Le cabinet peut également réaliser un audit de conformité de l’entrepôt au référentiel de la CNIL, identifier les éventuels écarts et accompagner la définition et la mise en œuvre d’un plan de remédiation.

Une question ? Contactez-nous !

Gouvernance de l’entrepôt et accès aux données

La conformité d’un EDS ne repose pas uniquement sur son architecture juridique et technique. Elle suppose également la mise en place d’une gouvernance permettant de contrôler les données intégrées dans l’entrepôt et les projets pour lesquels elles seront ensuite utilisées.

AUMANS AVOCATS accompagne ses clients dans la définition et la formalisation de cette gouvernance, notamment pour :

  • définir les rôles et responsabilités des différentes instances ;

  • organiser le comité de pilotage et les instances scientifiques ou éthiques compétentes ;

  • définir les procédures de demande d’accès aux données ;

  • établir les critères d’examen et d’autorisation des projets ;

  • organiser la documentation et la traçabilité des décisions ;

  • définir les différents niveaux d’accès aux données ;

  • encadrer les accès accordés aux chercheurs, partenaires et prestataires ;

  • organiser le suivi des projets autorisés ;

  • établir les chartes, politiques et procédures internes applicables à l’entrepôt.

Cette gouvernance doit permettre de concilier la valorisation scientifique des données avec la protection des personnes et la maîtrise des utilisations qui en sont faites.

Information des patients et exercice des droits

L’information des personnes constitue un élément essentiel de la conformité d’un entrepôt de données de santé.

Les personnes concernées doivent être informées de la constitution de l’entrepôt, des catégories de données susceptibles d’y être versées, des finalités poursuivies, de la durée de conservation des données et des modalités d’exercice de leurs droits.

AUMANS AVOCATS accompagne ses clients dans :

  • la définition de la stratégie d’information des patients ;

  • la rédaction et la revue des notices d’information ;

  • l’organisation de l’information lors de la collecte directe ou indirecte des données ;

  • la mise en place d’un portail de transparence relatif à l’entrepôt et aux projets réalisés à partir de ses données ;

  • la définition des procédures d’exercice des droits ;

  • l’organisation du droit d’opposition lorsque celui-ci est applicable ;

  • l’articulation entre l’information relative à l’entrepôt et celle requise pour les recherches ultérieures.

L’information des personnes doit être envisagée dès la conception de l’entrepôt afin de permettre, par la suite, la réalisation de projets de recherche dans un cadre juridiquement sécurisé.

Encadrer les recherches et réutilisations ultérieures

La constitution de l’entrepôt et la réalisation de recherches à partir de ses données constituent deux étapes juridiquement distinctes.

La conformité de l’entrepôt au référentiel de la CNIL ou l’autorisation obtenue pour sa constitution ne permet donc pas, à elle seule, de réaliser librement l’ensemble des recherches envisagées à partir des données qu’il contient.

Chaque projet de recherche, d’étude ou d’évaluation doit faire l’objet d’une analyse spécifique afin de déterminer son cadre juridique et les formalités applicables.

AUMANS AVOCATS accompagne ses clients pour :

  • qualifier chaque projet de recherche ou de réutilisation ;

  • déterminer la base juridique applicable ;

  • identifier la méthodologie de référence éventuellement applicable ;

  • analyser la conformité aux MR-001, MR-003, MR-004 ou aux autres cadres pertinents ;

  • préparer les engagements de conformité requis ;

  • préparer, lorsque cela est nécessaire, les demandes d’autorisation auprès de la CNIL ;

  • analyser les conditions d’information des personnes pour chaque projet ;

  • encadrer les extractions et mises à disposition de données ;

  • organiser les accès sécurisés aux données ;

  • rédiger et négocier les Data Access Agreements, Data Transfer Agreements et autres contrats nécessaires ;

  • encadrer les projets impliquant plusieurs établissements ou partenaires ;

  • analyser les projets de recherche internationaux et les transferts de données associés.

Cette organisation permet d’intégrer dès la conception de l’EDS un processus de gouvernance des recherches ultérieures, afin de faciliter leur qualification, leur autorisation et leur mise en œuvre.

Sécurité, pseudonymisation et maîtrise des accès

La sensibilité et le volume des données conservées dans un entrepôt imposent un niveau élevé de sécurité et une gouvernance rigoureuse des accès.

Le cabinet accompagne ses clients, en lien avec leurs DPO, RSSI, directions informatiques et prestataires techniques, afin d’intégrer les exigences juridiques de sécurité et de protection des données dans l’architecture de l’entrepôt.

Cette intervention porte notamment sur :

  • les mesures de pseudonymisation ;

  • la distinction entre données pseudonymisées et données anonymisées ;

  • la gestion des habilitations et des droits d’accès ;

  • l’authentification des utilisateurs ;

  • la journalisation et le contrôle des accès ;

  • la séparation des environnements ;

  • les conditions d’hébergement des données de santé ;

  • les relations avec les hébergeurs et prestataires ;

  • les procédures de gestion des incidents et violations de données ;

  • les mesures de protection des données dès la conception et par défaut.

Contrats, partenariats et partage de données

Les EDS sont fréquemment développés dans des environnements impliquant plusieurs établissements, organismes de recherche, industriels, fournisseurs de technologies ou autres partenaires.

AUMANS AVOCATS accompagne ses clients dans la qualification des relations entre ces différents acteurs et dans la rédaction et la négociation des contrats nécessaires au fonctionnement et à l’utilisation de l’entrepôt.

Le cabinet intervient notamment sur :

  • les conventions de partenariat ;

  • les accords de responsabilité conjointe ;

  • les contrats de sous-traitance ;

  • les Data Processing Agreements ;

  • les Data Access Agreements ;

  • les Data Transfer Agreements ;

  • les conventions de mise à disposition de données ;

  • les accords encadrant des projets de recherche multicentriques ;

  • les contrats avec les hébergeurs et prestataires techniques ;

  • les transferts internationaux de données.

Une question ? Contactez-nous !

Anticiper l’Espace européen des données de santé

La création et la gouvernance des EDS doivent désormais être envisagées dans le contexte plus large de l’Espace européen des données de santé (EHDS).

Le nouveau cadre européen va progressivement renforcer et harmoniser les conditions d’accès aux données électroniques de santé et leur utilisation secondaire à des fins notamment de recherche, d’innovation, de santé publique et d’élaboration des politiques publiques.

AUMANS AVOCATS accompagne ses clients dans l’analyse des conséquences de ce nouveau cadre sur leurs entrepôts, leur gouvernance, leurs procédures d’accès aux données et leurs projets de recherche.

Cette anticipation permet d’intégrer dès aujourd’hui, dans les choix juridiques, organisationnels et techniques relatifs à l’EDS, les évolutions qui structureront progressivement l’accès et la réutilisation des données de santé à l’échelle européenne.

Un accompagnement juridique tout au long du cycle de vie de l’EDS

AUMANS AVOCATS accompagne les porteurs d’entrepôts depuis la conception du projet jusqu’à son fonctionnement opérationnel et aux réutilisations ultérieures des données.

Notre intervention associe expertise en matière de protection des données, connaissance de la réglementation de la recherche en santé et compréhension des enjeux opérationnels liés à la gouvernance et à la valorisation des données.

Le cabinet peut ainsi intervenir pour la conception d’un nouvel entrepôt, la préparation d’un engagement de conformité ou d’une demande d’autorisation auprès de la CNIL, l’audit d’un entrepôt existant, la mise en place de sa gouvernance, l’encadrement des recherches réalisées à partir de ses données ou encore l’adaptation de l’EDS aux évolutions réglementaires françaises et européennes.

Une question ? Contactez-nous !

Pour suivre toute l’actualité du Cabinet en droit des Sciences de la vie…

Notre blog E-santé / Données de santé