Posted by Convention unique Promoteur -Etablissement coordonnateur/Convention Etablissement associé
Focus sur la protection des données à caractère personnel
Eléonore Scaramozzino, Avocat Partenaire, Constellation Avocats
Arrêté du 28 mars 2022 fixant le modèle de convention unique prévu à l’article R. 1121-3-1 du code de la santé publique : entré en vigueur le 10 avril 2022
L’arrêté du 28 mars 2022 prévoit une nouvelle version de la Convention Unique entre le promoteur et l’établissement/ centre de santé coordinateur de la recherche et une version pour les établissements associés, pour les recherches à finalité commerciale impliquant la personne humaine, un essai clinique de médicaments ou une investigation clinique de dispositifs médicaux (art R 1121-3-1 CSP). Il abroge l’arrêté du 16 novembre 2016 fixant le modèle de convention unique prévu à l’article R 1121-4 CSP .
Convention Promoteur – Coordinateur de la recherche art R 1121-3-1 CSP
L’entreprise ne conclura aucun autre contrat à titre onéreux avec l’investigateur coordonnateur pour la réalisation des missions objet de la présente convention (même interdiction de contrat à titre onéreux avec l’investigateur associé pour l’établissement associé pour la réalisation des missions objet de la présente convention).
Les établissements, maisons ou centres de santé associés à la recherche concluent chacun une convention comportant des stipulations identiques à la convention conclue avec l’établissement coordinateur. La définition des contreparties est librement convenue entre le promoteur et chaque établissement, maison ou centre de santé participant à la recherche.
Les modèles de convention en vigueur antérieurement au 10 avril 2022 restent applicables à l’établissement, la maison ou le centre de santé concluant une convention l’associant à une structure ayant conclu une convention avant le 10 avril 2022.
Respect du RGPD et de la loi Informatique et liberté
Les parties s’engagent à respecter le règlement (UE) no 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ( « Règlement général sur la protection des données » (RGPD) et la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée ( « Loi informatique et libertés modifiée »).
Traitements des données à caractère personnel relatifs à la gestion de la convention ainsi qu’aux relations et contacts entre les parties.
L’article 11 bis 1 prévoit qu’afin d’assurer la gestion de la convention ainsi que les relations et contacts entre elles, le Promoteur et le coordonnateur sont Responsables de traitement (RT) au sens de l’article 4.7 du RGPD. Ils traitent, pour leur propre compte, les données à caractère personnel (DCP) :
- des personnes physiques signant et visant la convention
- du personnel concerné par l’exécution de la convention.
Ces deux catégories de personnes constituent les « personnes concernées par les traitements »
Traitements des données à caractère personnel relatifs à l’investigateur coordonnateur (Article 11 bis 2 ).
Investigateur coordonnateur est défini comme l’investigateur désigné comme tel par le promoteur conformément à l’article L. 1121-1 du code de la santé publique.
Finalités des traitements des données à caractère personnel de l’investigateur coordonnateur
Les données à caractère personnel relatives à l’investigateur coordonnateur font l’objet de traitements par l’entreprise ayant pour finalités
- la mise en place et la réalisation de la recherche, ainsi que le respect des obligations légales de l’entreprise au titre de la transparence des liens issu de l’article L. 1453-1 du code de la santé publique ;
- la gestion des ressources humaines et de la formation.
Droits de l’investigateur coordonnateur
L’investigateur coordonnateur dispose, selon les cas,
- du droit d’accès,
- du droit de rectification,
- du droit d’effacement de ses données,
- du droit à la limitation du traitement,
- du droit d’opposition au traitement de ses données.
Droit d’information (art 13)
L’entreprise remet à l’investigateur coordonnateur une information conforme aux dispositions prévues aux articles 13 et svts du RGPD, précisant notamment les coordonnées auxquelles l’investigateur coordonnateur peut exercer ses droits.
Convention de sous-traitance dans le cadre de la réalisation de la recherche (art 11.3 bis)
Le contrat de sous-traitance, dont les obligations à la charge du RT et du SST définies à l’article 28 du RGPD est inclus dans la Convention unique à l’Annexe 3, qui précise les conditions dans lesquelles le sous-traitant s’engage à effectuer pour le compte du responsable de traitement les opérations de traitement de données à caractère personnel pour réaliser les missions définies dans la Convention.
- Responsable de traitement : l’entreprise promoteur (art 4.7 RGPD) (RT) ;
- Sous-Traitant : L’établissement coordonnateur et le cas échéant l’entreprise tierce agissent en qualité de Sous-traitant (art 4.8 RGPD) (SST) Le «sous-traitant» est la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement
- Les traitements sur les DCP mis en œuvre dans le cadre d’une sous-traitance devront être précisés :
- Le RT et le SST doivent se communiquer les coordonnées de leur DPO et tout changement éventuel.
- Documentation : Le sous-traitant met à la disposition du responsable de traitement la documentation nécessaire pour démontrer le respect de toutes ses obligations et pour permettre la réalisation d’audits, y compris des inspections, par le responsable du traitement ou un autre auditeur qu’il a mandaté, et contribuer à ces audits ;
- Catégories des personnes concernées : personnes se prêtant à la recherche ou souhaitant se prêter à la recherche ;
- Catégorie de DCP : Collectées dans le cadre du protocole, cahier d’observation, ou tout autre support utilisé dans le cadre de la recherche ;
- Durée de conservation : La convention RT-SST étant une annexe de la convention unique, la durée est alignée sur celle définie à l’article 10 de la convention, de même que les conditions de résiliation de plein droit, les cas de résiliation pour inexécution des obligations et les modifications de la durée (accord préalable écrit entre les parties sans que cela nécessite la rédaction d’un avenant).
Les obligations du responsable de traitement
Le responsable de traitement s’engage à :
1- mettre à disposition du SST les documents liés à la recherche dans la dernière version en vigueur suivants :
- le protocole de la recherche ;
- les cahiers d’observation ;
- les notes d’information et/ou le formulaire de recueil du consentement ;
- les avis et autorisations des autorités compétentes et, le cas échéant, le récépissé de la déclaration de conformité de la recherche à la méthodologie de référence applicable.
Sous réserve que ces documents existent.
2. Documenter par écrit toute instruction concernant le traitement des données par le sous-traitant ;
3. Veiller, au préalable et pendant toute la durée du traitement, au respect par le sous-traitant des obligations prévues par RGPD de la part du sous-traitant ;
4. Superviser le traitement y compris,
- la réalisation d’audits
- la réalisation d’inspections auprès du sous-traitant.
Les obligations du SST vis-à-vis du RT
Mesures de sécurité à respecter par le SST
La convention impose au SST soit d’adopter les mesures de sécurité suivantes soit de justifier de leur équivalence ou de ne pas y avoir besoin, ou se trouver dans l’impossibilité d’y recourir
Le sous-traitant s’engage également à mettre en œuvre les mesures de sécurité prévues par le protocole, les bonnes pratiques cliniques et, le cas échéant, la méthodologie de référence applicable.
