<?xml version="1.0" encoding="UTF-8"?>
<ARTICLE>
<META>
<META_COMMUN>
<ID>JORFARTI000054125968</ID>
<ANCIEN_ID/>
<ORIGINE>JORF</ORIGINE>
<URL>article/JORF/ARTI/00/00/54/12/59/JORFARTI000054125968.xml</URL>
<NATURE>Article</NATURE>
</META_COMMUN>
<META_SPEC>
<META_ARTICLE>
<NUM/>



<MCS_ART/>

<DATE_DEBUT>2999-01-01</DATE_DEBUT>
<DATE_FIN>2999-01-01</DATE_FIN>


<TYPE>AUTONOME</TYPE>


</META_ARTICLE>
</META_SPEC>
</META>
<CONTEXTE>
<TEXTE cid="JORFTEXT000054125963" date_publi="2026-05-23" date_signature="2026-03-19" nature="DELIBERATION" nor="CNIS2613682X" num="2026-052" num_parution_jo="0120">
<TITRE_TXT c_titre_court="Délibération n°2026-052 du 19 mars 2026" debut="2999-01-01" fin="2999-01-01" id_txt="JORFTEXT000054125963">Délibération n° 2026-052 du 19 mars 2026 portant homologation de l'annexe « contrôle qualité » pour les méthodologies de référence relatives aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé</TITRE_TXT>
<TM>
<TITRE_TM debut="2999-01-01" fin="2999-01-01" id="JORFSCTA000054125967">Annexe</TITRE_TM>
</TM>
</TEXTE>
</CONTEXTE>

<VERSIONS>
<VERSION etat="">
<LIEN_ART debut="2999-01-01" etat="" fin="2999-01-01" id="JORFARTI000054125968" num="" origine="JORF"/>
</VERSION>
</VERSIONS>
<SM>
<CONTENU/>
</SM>
<BLOC_TEXTUEL>
<CONTENU>
<p>
<br/>ANNEXE<br/>CONTRÔLE QUALITÉ<br/>POUR LES MÉTHODOLOGIES DE RÉFÉRENCE (MR)<br/>Version avril 2026<br/>1. Table des matières</p>
<p>
<br/>1. Table des matières<br/>2. Définitions<br/>3. Introduction<br/>4. Périmètre de l'annexe<br/>A. - Qu'est-ce que le contrôle qualité lors d'une recherche en santé ?<br/>B. - Champ d'application de l'annexe<br/>5. Les conditions communes applicables au contrôle qualité (sur site ou à distance)<br/>A. - Choisir un type de contrôle qualité et consulter les parties intéressées<br/>B. - Encadrer le périmètre du contrôle qualité et ses caractéristiques essentielles<br/>C. - Minimiser les données traitées par rapport à l'objectif poursuivi<br/>D. - Déterminer les personnes habilitées à réaliser le contrôle qualité<br/>E. - Informer les personnes et respecter leurs droits<br/>F. - Mettre en place des mesures de sécurité adaptées<br/>6. Les conditions complémentaires applicables au contrôle qualité à distance<br/>A. - Choisir un type de contrôle qualité à distance, consulter les parties intéressées et les former<br/>B. - Encadrer le contrôle qualité à distance et ses caractéristiques essentielles<br/>C. - Mettre en place des mesures de sécurité adaptées<br/>7. Mesures complémentaires pour un outil de vidéoconférence<br/>8. Mesures complémentaires pour une plateforme sécurisée<br/>9. Annexe - Liste des exigences applicables</p>
<p>
<br/>2. Définitions</p>
<p>
<br/>Aux fins de la présente annexe, les termes suivants sont ainsi définis :<br/>Données à caractère personnel : telles que définies au 1° de l'article 4 du RGPD ;<br/>Information RGPD : les informations à fournir, en application des articles 12 à 14 du RGPD ainsi que des articles 69 à 71 de la loi « informatique et libertés », aux personnes concernées par un traitement de leurs données à caractère personnel dans le cadre d'une recherche, ou à leurs représentants légalement désignés ;<br/>Lieu de recherche : lieu dans lequel la recherche est réalisée conformément aux règlementations sectorielles, comme par exemple le service d'un établissement de santé, à l'exclusion du domicile du patient ;<br/>Mission de contrôle qualité : l'activité consistant à vérifier :</p>
<p>
<br/>- le respect des réglementations applicables et du protocole d'une recherche ;<br/>- l'exhaustivité et l'authenticité des données collectées dans le cadre de la recherche et transmises par le professionnel intervenant dans la recherche au responsable de traitement ou à ses sous-traitants ;</p>
<p>
<br/>Personne se prêtant à la recherche la personne participant à une recherche conformément aux règlementations sectorielles applicables et dont les données à caractère personnel sont traitées ;<br/>Professionnel intervenant dans la recherche la personne physique qui collecte les données, dirige ou surveille la réalisation de la recherche. Il s'agit notamment :</p>
<p>
<br/>- de l'investigateur et ses collaborateurs agissant sous sa responsabilité et son autorité ;<br/>- du professionnel de santé et ses collaborateurs agissant sous sa responsabilité et son autorité ;<br/>- du personnel médical ;<br/>- des personnes qualifiées, au sens des règlementations sectorielles ;</p>
<p>
<br/>Recherche : notion générique qui couvre les recherches incluses dans le périmètre d'une méthodologie de référence, notamment :</p>
<p>
<br/>- les recherches impliquant la personne humaine visées aux articles L. 1121-1 et suivants du code de la santé publique ;<br/>- les essais cliniques sur des médicaments à usage humains visés par le règlement (UE) n° 536/2014 ;<br/>- les investigations cliniques concernant des dispositifs médicaux visées par le règlement (UE) n° 2017/745 ;<br/>- les études de performances concernant les dispositifs médicaux de diagnostic in vitro visées par le règlement (UE) n° 2017/746 ;<br/>- les recherches n'impliquant pas la personne humaine ;</p>
<p>
<br/>Règlementation sectorielle : la règlementation applicable aux recherches couvertes par une méthodologie de référence ou applicable à certains actes. Il s'agit notamment :</p>
<p>
<br/>- du règlement (UE) n° 536/2014 relatif aux essais cliniques de médicaments à usage humain et de l'article L. 1124-1 du code de la santé publique ;<br/>- du règlement (UE) n° 2017/745 relatif aux dispositifs médicaux et des articles L. 1125-1 à L. 1125-31 du code de la santé publique ;<br/>- du règlement (UE) n° 2017/746 relatif aux dispositifs médicaux de diagnostic in vitro et des articles L. 1126-1 à L. 1126-29 du code de la santé publique ;<br/>- des articles L. 1121-1 et suivants du code de la santé publique, s'agissant des recherches impliquant la personne humaine ;<br/>- des règlementations sectorielles applicables dans un territoire ou pays tiers, lorsque le responsable de traitement est établi en France ;</p>
<p>
<br/>Responsable de traitement : tel que défini au 7° de l'article 4 du RGPD. Il s'agit notamment du promoteur de la recherche conformément aux règlementations sectorielles. Il est responsable des différentes opérations de traitement dans le cadre d'une recherche, dont la mission de contrôle qualité ;<br/>Sous-traitant : tel que défini au 8° de l'article 4 du RGPD. Il s'agit d'une entité juridique distincte du responsable de traitement, qui doit disposer de la personnalité juridique. Ainsi les différents services, directions, départements, etc. d'une même personne morale ne peuvent pas être considérés comme des sous-traitants distincts les uns des autres ;<br/>Traitement : tel que défini au 2° de l'article 4 du RGPD.</p>
<p>
<br/>3. Introduction</p>
<p>
<br/>1. Le contrôle qualité, aussi appelé « monitoring », constitue une étape indispensable dans le cadre de recherche dans le domaine de la santé. Il permet notamment de vérifier l'exhaustivité et l'exactitude des données cliniques collectées.<br/>2. Traditionnellement, le contrôle qualité est réalisé sur site, c'est-à-dire lors d'une visite au sein d'un lieu de recherche. Avec le développement de solutions numériques dans le domaine des recherches en santé, celui-ci est de plus en plus réalisé à distance par voie dématérialisée.</p>
<p>
<br/>4. Périmètre de l'annexe</p>
<p>
<br/>3. Cette annexe s'adresse à toutes les personnes physiques ou morales qui sont amenées à organiser ou mettre en œuvre une mission de contrôle qualité dans le cadre d'une recherche. Plus particulièrement, elle est destinée au(x) responsable(s) de traitements qui mettent en œuvre une recherche ainsi qu'aux sous-traitants intervenant pour la mise en œuvre d'une mission contrôle qualité (centre investigateur, personne chargée de réaliser le contrôle qualité, éditeur de logiciel, etc.).<br/>4. Les exigences décrites dans cette annexe, indiquées comme [CQ-XXX-XX-00], sont applicables aux traitements mis en œuvre dans le cadre des méthodologies de référence homologuées par la CNIL en application de l'article 73 de la loi « informatique et libertés » qui renvoient expressément à ce document. En l'absence de conformité aux exigences de la présente annexe, une demande d'autorisation devra être sollicitée préalablement à la mise en œuvre de la recherche.</p>
<p>
<br/>A. - Qu'est-ce que le contrôle qualité lors d'une recherche en santé ?</p>
<p>
<br/>5. La mission de contrôle qualité contribue à garantir la fiabilité et la robustesse des résultats de la recherche menée. Elle peut notamment consister en la vérification, par un attaché de recherche clinique (ARC) pour le compte du responsable de traitement, des documents sources (dossiers médicaux, comptes rendus d'analyses de laboratoires, etc.) en comparaison des données collectées par l'investigateur dans le cahier d'observation papier (CRF) ou électronique (eCRF).</p>
<p>
<br/>B. - Champ d'application de l'annexe</p>
<p>
<br/>6. L'annexe couvre :</p>
<p>
<br/>- le contrôle qualité sur site réalisé lors d'une visite au sein d'un lieu de recherche ;<br/>- le contrôle qualité à distance réalisé soit :<br/>- via un outil de vidéoconférence ;<br/>- via une plateforme sécurisée permettant la mise à disposition des données strictement nécessaires.</p>
<p>
<br/>7. Cette annexe ne couvre pas la mission de contrôle qualité réalisée à distance :</p>
<p>
<br/>- par un accès direct au dossier médical ou dossier patient informatisé (DPI) ;<br/>- par accès direct aux services ou outils numériques dans lesquels sont traitées des données permettant l'identification directe des personnes concernées (données administratives notamment) ou qui sont qualifiés de service numérique en santé au sens de l'article L. 1470-1 du code de la santé publique (par exemple : application mobile de télésuivi) ;<br/>- portant sur les formulaires de consentement recueillis ou signés par voie électronique par les personnes en vue de leur participation à la recherche.</p>
<p>
<br/>5. Les conditions communes applicables au contrôle qualité (sur site ou à distance)</p>
<p>
<br/>8. Les exigences décrites ci-dessous sont applicables à la mission de contrôle qualité, quelle que soit sa forme.</p>
<p>
<br/>A. - Choisir un type de contrôle qualité et consulter les parties intéressées</p>
<p>
<br/>9. Le choix des modalités de réalisation du contrôle qualité relève du responsable de traitement, après consultation de son délégué à la protection des données (DPD) et de son responsable de la sécurité des systèmes d'information (RSSI), le cas échéant.<br/>10. Le responsable de traitement est tenu de s'assurer que son sous-traitant est en capacité de mettre en œuvre les mesures techniques et organisationnelles nécessaires pour garantir la protection des données, notamment celles détaillées dans cette annexe [CQ-COM-JUR-1]. Cette vérification suppose que :</p>
<p>
<br/>- le responsable de traitement communique sur le type de contrôle qualité souhaité, ses caractéristiques essentielles et les conséquences notamment opérationnelles pour ses sous-traitants ;<br/>- le sous-traitant transmette au responsable de traitement toute information pertinente sur la manière dont cette activité sera réalisée.</p>
<p>
<br/>11. Pour les recherches en cours, la modification du type du contrôle qualité réalisé (sur site ou à distance) constitue une modification substantielle du traitement de données lié. La mise en œuvre de cette modification nécessite la consultation préalable de chaque organisme qualifié de lieu de recherche concerné afin de garantir qu'il est en capacité de mettre en œuvre les mesures appropriées pour la protection des données. Cette consultation suppose l'intervention des profils métiers adéquats et notamment le DPD et, le cas échéant, le RSSI.</p>
<p>
<br/>B. - Encadrer le périmètre du contrôle qualité et ses caractéristiques essentielles</p>
<p>
<br/>12. Lorsque la mission de contrôle qualité implique l'intervention d'un ou plusieurs sous-traitants, un contrat conforme l'article 28 du RGPD est conclu avec chaque sous-traitant y participant (par exemple le centre investigateur, la société de recherche sous contrat - CRO - et, le cas échéant, le prestataire proposant la solution numérique utilisée) [CQ-COM-JUR-2].<br/>13. Au regard des risques spécifiques associés à la mission de contrôle qualité, il est recommandé que le contrat de sous-traitance prévoie spécifiquement les éléments suivants :</p>
<p>
<br/>- le type de contrôle qualité retenu (sur site et/ou à distance) ;<br/>- la recherche pour laquelle le contrôle est réalisé et ses principales caractéristiques permettant de déterminer les catégories de personnes concernées et les données strictement nécessaires à sa réalisation ;<br/>- une clause de confidentialité spécifique, tenant compte des risques liés aux modalités de réalisation du contrôle qualité. Cette clause précise notamment que les personnes chargées du contrôle qualité s'engagent à ne pas effectuer d'impression écran ou de photos, à consulter les données dans un endroit clos sans passage de tiers, à utiliser uniquement du matériel informatique maîtrisé à usage strictement professionnel ;<br/>- les instructions détaillées sur la réalisation de la mission ou à défaut, les modalités selon lesquelles ces instructions seront précisées aux acteurs qui y participent.</p>
<p>
<br/>C. - Minimiser les données traitées par rapport à l'objectif poursuivi</p>
<p>
<br/>14. Les données à caractère personnel consultées dans le cadre d'une mission de contrôle qualité servent exclusivement à :</p>
<p>
<br/>- vérifier le respect des réglementations sectorielles applicables et du protocole (par exemple le respect des critères d'inclusion) ;<br/>- le cas échéant, vérifier l'authenticité et la cohérence des formulaires de consentement recueillis au format papier ;<br/>- vérifier l'authenticité et la cohérence des informations recueillies dans le cadre de la recherche conformément au protocole notamment par rapport au contenu des documents sources.</p>
<p>
<br/>15. Seules les données strictement nécessaires pour atteindre les objectifs précités peuvent être traitées [CQ-COM-JUR-3]. Le contrôle qualité ne justifie pas un accès à l'ensemble du dossier médical de la personne concernée. Ainsi, les personnes chargées de ce contrôle ont accès uniquement aux données à caractère personnel :</p>
<p>
<br/>- relatives à la personne concernée par la recherche ;<br/>- et qui ont un lien direct avec la recherche concernée.</p>
<p>
<br/>16. Conformément aux bonnes pratiques cliniques, le contrôle qualité peut être réalisé sur des données permettant l'identification directe de la personne concernée (données administratives notamment).</p>
<p>
<br/>D. Déterminer les personnes habilitées à réaliser le contrôle qualité</p>
<p>
<br/>17. Les personnes chargées du contrôle qualité peuvent être toute personne agissant sous l'autorité du responsable de traitement. Il peut s'agir de son personnel habilité ou d'un sous-traitant.<br/>18. Les personnes chargées du contrôle qualité :</p>
<p>
<br/>- doivent disposer des qualifications et de l'expérience nécessaires à la réalisation de cette activité [CQ-COM-JUR-4] ;<br/>- sont soumises au secret professionnel en application des règlementations sectorielles (1) et de l'article 68 de la loi « informatique et libertés » ;<br/>- doivent être mandatées et habilitées [CQ-COM-JUR-5].</p>
<p>
<br/>E. Informer les personnes et respecter leurs droits</p>
<p>
<br/>19. Les personnes concernées doivent être informées lors de leur inclusion dans la recherche [CQ-COM-JUR-6] de ce que :</p>
<p>
<br/>- un contrôle qualité pourra être réalisé et les modalités de ce contrôle (sur site et/ou à distance) ;<br/>- ce contrôle qualité peut conduire des tiers à avoir accès aux données permettant leur identification directe (données administratives notamment) ;<br/>- elles disposent d'un droit d'opposition à sa réalisation.</p>
<p>
<br/>20. Cette information est insérée dans l'information RGPD et/ou dans la note d'information relative à la recherche prévue par la règlementation sectorielle applicable (2).<br/>21. Aucun contrôle qualité ne peut être effectué sur les données à caractère personnel d'une personne qui s'y est opposée [CQ-COM-JUR-7].<br/>22. Pour les recherches en cours, la modification des modalités de réalisation du contrôle qualité constitue une modification substantielle dont les personnes concernées doivent être informées.<br/>23. Les autres droits des personnes concernées par une mission de contrôle qualité s'exercent conformément aux dispositions de la méthodologie de référence applicable.</p>
<p>
<br/>F. Mettre en place des mesures de sécurité adaptées</p>
<p>
<br/>24. La mission de contrôle qualité nécessite de respecter les exigences de l'annexe de sécurité complétées par les exigences de cette annexe [CQ-COM-SEC-1].<br/>25. La mission de contrôle qualité est réalisée sous la direction et la surveillance d'un professionnel intervenant dans la recherche qui exerce dans le lieu de recherche concerné [CQ-COM-SEC-2].<br/>26. Quelle que soit la modalité de contrôle qualité envisagée, les mesures techniques et organisationnelles suivantes sont mises en œuvre :</p>
<p>
<br/>- l'exigence MR-SEC-10 s'applique en particulier avec la mise en place de comptes nominatifs [CQ-COM-SEC-3] ;<br/>- l'exigence MR-SEC-13 s'applique en particulier avec la mise en place [CQ-COM-SEC-4] :<br/>- de profils spécifiques pour les personnes chargées du contrôle qualité ;<br/>- d'un accès en lecture seule aux données strictement nécessaires au contrôle qualité ;<br/>- d'une restriction de la durée des habilitations d'accès (ex. : désactivation des droits d'accès à la fin d'une phase de consultation des données, désactivation du compte à la fin de l'étude) ;<br/>- les exigences MR-SEC-16 à MR-SEC-21 s'appliquent en particulier avec la sécurisation du poste de travail des personnes chargées du contrôle qualité [CQ-COM-SEC-5]. Il est notamment recommandé que la consultation ait lieu dans un endroit clos sans passage de tiers, qu'il soit opéré sur le poste de travail un blocage des possibilités de capture d'écran ainsi que la désactivation des assistants IA ;<br/>- l'exigence MR-SEC-27 s'applique en particulier avec la mise en place de procédures spécifiques de gestion et de traitement des incidents de sécurité et des violations de données personnelles [CQ-COM-SEC-6] ;<br/>- il est prévu un blocage applicatif des possibilités d'impression, de copie d'écran, d'export ou de téléchargement des données consultées pendant le contrôle qualité [CQ-COM-SEC-7].</p>
<p>
<br/>6. Les conditions complémentaires applicables au contrôle qualité à distance</p>
<p>
<br/>27. En complément des exigences décrites dans la partie 4, les exigences ci-dessous sont applicables pour le contrôle qualité réalisé à distance.</p>
<p>
<br/>A. - Choisir un type de contrôle qualité à distance, consulter les parties intéressées et les former</p>
<p>
<br/>28. Lorsque le responsable de traitement décide de recourir à un contrôle qualité à distance, celui-ci sera tenu de vérifier, par le biais notamment d'audits, que la solution technique retenue offre un niveau de protection approprié et conforme aux exigences de cette annexe [CQ-DIST-JUR-1]. Il est recommandé de réaliser un audit lors de la sélection d'un nouvel outil, puis au moins tous les trois ans si celui-ci est conservé.<br/>29. Le responsable de traitement s'assure que les professionnels intervenant dans la recherche sont formés à l'utilisation de la solution technique retenue pour la réalisation du contrôle qualité à distance [CQ-DIST-JUR-2].<br/>30. Au regard des enjeux liés à la protection des données, il est recommandé que le choix de recourir à un contrôle qualité à distance fasse l'objet d'échanges entre le responsable de traitement et ses sous-traitants, plus particulièrement les lieux de recherche concernés (dont leur DPD et RSSI).<br/>31. Il est précisé que la mission de contrôle qualité réalisée via un outil de vidéoconférence a l'avantage de correspondre davantage à un contrôle qualité sur site.</p>
<p>
<br/>B. - Encadrer le contrôle qualité à distance et ses caractéristiques essentielles</p>
<p>
<br/>32. Outre les éléments mentionnés au paragraphe 16, il est recommandé que le contrat de sous-traitance précise :</p>
<p>
<br/>- les spécifications détaillées de la solution technique retenue ainsi que, le cas échéant, le dossier de validation des systèmes informatisés mis à disposition des sous-traitants ;<br/>- la procédure à suivre en cas de doute sur la véracité ou la complétude des données sources mises à disposition par le professionnel intervenant dans la recherche qui exerce dans le lieu de recherche concerné par le contrôle qualité ;<br/>- les modalités de vérification liées. Les pratiques suivantes devraient a minima être mises en place :<br/>- les personnes chargées du contrôle qualité manifestent l'existence d'un doute, pendant la réalisation du contrôle qualité ;<br/>- cette information est transmise au responsable de traitement qui détermine les suites à donner.</p>
<p>
<br/>33. En cas de doute, si le responsable de traitement souhaite vérifier la véracité ou la complétude des données mises à disposition, cette vérification devra prendre la forme d'un contrôle qualité sur site [CQ-DIST-JUR-3].<br/>34. La solution de contrôle qualité à distance est hébergée au sein de l'Union européenne (UE), de l'Espace économique européen ou dans un pays disposant d'un niveau de protection adéquat au sens de l'article 45 du RGPD [CQ-DIST-JUR-4]. Par exception, cette exigence n'est pas applicable à la mission de contrôle qualité réalisée sur les données conservées par un organisme qualifié de lieu de recherche établi hors UE.<br/>35. Le cas échéant, les modalités de transfert hors UE devront être conformes aux dispositions du référentiel ou de la MR applicable à la recherche concernée ou faire l'objet d'une demande d'autorisation. Il est rappelé que tout accès distant aux données (y compris une visualisation) depuis l'extérieur du territoire de l'UE constitue un transfert hors UE.</p>
<p>
<br/>C. - Mettre en place des mesures de sécurité adaptées<br/>7. Mesures complémentaires pour un outil de vidéoconférence</p>
<p>
<br/>36. Le responsable de traitement recourt à des solutions de vidéoconférence sécurisées et dont il maîtrise les risques. Il est recommandé de privilégier des solutions ayant déjà fait l'objet d'une certification appropriée (3) ou, à défaut, qui sont couvertes par des référentiels existants (4).<br/>37. Les mesures suivantes sont également mises en œuvre :</p>
<p>
<br/>- l'exigence MR-SEC-12 s'applique avec une authentification multifacteur au sens de la recommandation de la CNIL (délibération n° 2025-019 ou sa version la plus récente) [CQ-VISIO-SEC-1] ou, par dérogation :<br/>- une authentification est prévue pour chacune des personnes participant à une vidéoconférence ou à défaut, la définition d'un code secret spécifique pour chaque session de vidéoconférence et utilisation d'une zone d'attente permettant à l'hôte de valider l'entrée de chaque participant ;<br/>- le mot de passe ou le code secret nécessaire pour se connecter à la plateforme de vidéoconférence est conforme à la recommandation relative aux mots de passe et autres secrets partagés de la CNIL (délibération n° 2022-100 ou sa version la plus récente) [EX-VISIO-SEC-2] ;<br/>- l'exigence MR-SEC-14 s'applique en particulier par la conservation des données de journalisation de la solution de vidéoconférence, si celle-ci le permet, ou par la tenue d'une main courante par l'organisme qualifié de lieu de recherche détaillant les horaires et les personnes ayant participé aux vidéoconférences [CQ-VISIO-SEC-3] ;<br/>- l'exigence CQ-COM-SEC-2 s'applique en particulier avec la présence d'un professionnel intervenant dans la recherche pendant toute la durée de la vidéoconférence [CQ-VISIO-SEC-4] ;<br/>- il est prévu le recours à la fonctionnalité de partage d'écrans permettant d'afficher uniquement les documents sources dont les personnes chargées du contrôle ont besoin [CQ-VISIO-SEC-5] ;<br/>- il est prévu le blocage des fonctionnalités de type « prise en main à distance » et « partage de documents » [CQ-VISIO-SEC-6] ;<br/>- il est prévu le blocage des possibilités d'enregistrement ou de retranscription automatique de la session de vidéoconférence [CQ-VISIO-SEC-7].</p>
<p>
<br/>8. Mesures complémentaires pour une plateforme sécurisée</p>
<p>
<br/>38. La sensibilité des données susceptibles d'être traitées dans le cadre d'une mission de contrôle qualité impose la mise en place d'une solution technique particulièrement robuste.<br/>39. Ainsi, les données mises à disposition de la personne chargée de réaliser le contrôle qualité par les professionnels intervenant dans un lieu de recherche concerné ne doivent pas lui être envoyées directement mais doivent être déposées sur une plateforme intermédiaire de visualisation de données.<br/>40. Cette plateforme sécurisée ne doit contenir que les données strictement nécessaires au contrôle qualité et doit permettre une traçabilité exhaustive des actions de la personne chargée de le réaliser.<br/>41. Les mesures suivantes sont mises en œuvre sur la plateforme de visualisation :</p>
<p>
<br/>- l'exigence MR-SEC-09 s'applique en particulier avec le chiffrement au repos des données déposées sur la plateforme, et des sauvegardes, par des algorithmes cryptographiques à l'état de l'art [CQ-PF-SEC-1] ;<br/>- l'exigence MR-SEC-12 s'applique, avec une authentification multifacteur au sens de la recommandation de la CNIL (délibération n° 2025-019 ou sa version la plus récente) [CQ-PF-SEC-2] ;<br/>- l'exigence MR-SEC-19 s'applique en particulier avec la mise en place d'un cloisonnement des données entre différentes recherches pour lesquelles la même plateforme est utilisée lors du contrôle qualité [CQ-PF-SEC-3] ;<br/>- l'exigence MR-SEC-14 s'applique en particulier avec la journalisation et la surveillance, par l'organisme qualifié de lieu de recherche concerné, des actions de la personne chargée de réaliser le contrôle qualité [CQ-PF-SEC-4] : conservation des données de journalisation permettant un audit complet des accès et des actions de la personne chargée de réaliser le contrôle qualité (enregistrement comprenant l'auteur individuellement identifié, l'horodatage, la nature de l'opération réalisée ainsi que la référence des documents auxquels la personne chargée de réaliser le contrôle qualité a eu accès) ;<br/>- par dérogation à l'exigence CQ-COM-SEC-2, la surveillance des opérations de contrôle qualité est réalisée par une analyse détaillée de la journalisation requise par CQ-PF-SEC-4 [CQ-PF-SEC-5] ;<br/>- il est prévu l'effacement des données déposées sur la plateforme, et de leurs éventuelles sauvegardes, dès la fin du contrôle qualité [CQ-PF-SEC-6] ;<br/>- il est prévu qu'aucun fichier, même temporaire, contenant des données à caractère personnel mises à disposition par l'organisme qualifié de lieu de recherche pour le contrôle qualité ne puisse être conservé sur le terminal de la personne chargée de réaliser le contrôle qualité après une session de contrôle qualité à distance [CS-PF-SEC-7].</p>
<p>
<br/>42. Le recours à un hébergeur de données de santé (HDS) (5) est nécessaire dès lors que les données transmises concernent des personnes résidant en France ou ayant été prises en charge par un établissement, un professionnel ou centre de santé établi en France et qu'au moins l'une des conditions suivantes est remplie :</p>
<p>
<br/>- les données transmises sur la plateforme permettent l'identification directe de la personne concernée ;<br/>- les données transmises sont celles initialement collectées pour une activité de prévention, de diagnostic, de soin, et de suivi social ou médico-social (par exemple pour la tenue du dossier médical ou le fonctionnement d'un service numérique en santé au sens de l'article L. 1470-1 du code de la santé publique).</p>
<p>
<br/>Dans l'hypothèse où le recours à un HDS ne serait pas nécessaire (aucune de ces conditions n'est remplie), le responsable de traitement fait appel à un organisme certifié ISO/IEC 27001 : 2022 ou qui présente des garanties de sécurité équivalentes [CQ-PF-SEC-8].</p>
<p class="note">
<br/>(1) Il s'agit notamment de l'article L. 1121-3 du code de la santé publique (CSP) s'agissant des recherches impliquant la personne humaine, de l'article L. 1125-6 du CSP pour les investigations cliniques et l'article L. 1126-5 du CSP pour les études de performances.<br/>(2) Ces règlementations sectorielles applicables correspondent notamment à : <br/>- s'agissant des recherches impliquant la personne humaine, l'article L. 1122-1 du CSP ; <br/>- s'agissant des essais cliniques, l'article 29 du règlement n° 536/2014 ;<br/>- s'agissant des investigations cliniques, l'article 63 du règlement UE n° 2017/745 ;<br/>- s'agissant de études de performances, l'article 59 du règlement (UE) n° 2017/746.<br/>(3) Par exemple par l'ANSSI (Agence nationale de sécurité des systèmes d'information).<br/>(4) Par exemple le socle interministériel des logiciels libres.<br/>(5) Liste des hébergeurs certifiés disponible sur le site web de l'Agence du numérique en santé ( https://esante.gouv.fr/offres-services/hds/liste-des-hebergeurs-certifies).</p>
</CONTENU>
</BLOC_TEXTUEL>
<LIENS>






</LIENS>
</ARTICLE>
