<?xml version="1.0" encoding="UTF-8"?>
<ARTICLE>
<META>
<META_COMMUN>
<ID>JORFARTI000054125977</ID>
<ANCIEN_ID/>
<ORIGINE>JORF</ORIGINE>
<URL>article/JORF/ARTI/00/00/54/12/59/JORFARTI000054125977.xml</URL>
<NATURE>Article</NATURE>
</META_COMMUN>
<META_SPEC>
<META_ARTICLE>
<NUM/>



<MCS_ART/>

<DATE_DEBUT>2999-01-01</DATE_DEBUT>
<DATE_FIN>2999-01-01</DATE_FIN>


<TYPE>AUTONOME</TYPE>


</META_ARTICLE>
</META_SPEC>
</META>
<CONTEXTE>
<TEXTE cid="JORFTEXT000054125963" date_publi="2026-05-23" date_signature="2026-03-19" nature="DELIBERATION" nor="CNIS2613682X" num="2026-052" num_parution_jo="0120">
<TITRE_TXT c_titre_court="Délibération n°2026-052 du 19 mars 2026" debut="2999-01-01" fin="2999-01-01" id_txt="JORFTEXT000054125963">Délibération n° 2026-052 du 19 mars 2026 portant homologation de l'annexe « contrôle qualité » pour les méthodologies de référence relatives aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé</TITRE_TXT>
<TM>
<TITRE_TM debut="2999-01-01" fin="2999-01-01" id="JORFSCTA000054125967">Annexe</TITRE_TM>
</TM>
</TEXTE>
</CONTEXTE>

<VERSIONS>
<VERSION etat="">
<LIEN_ART debut="2999-01-01" etat="" fin="2999-01-01" id="JORFARTI000054125977" num="" origine="JORF"/>
</VERSION>
</VERSIONS>
<SM>
<CONTENU/>
</SM>
<BLOC_TEXTUEL>
<CONTENU>
<p>
<br/>9. Annexe - Liste des exigences applicables</p>
<div>
<div align="center">

<table border="1">
<tr>
<th>
<br/>Site</th>
<th>
<br/>Visio</th>
<th>
<br/>PF</th>
<th>
<br/>Référence</th>
<th>
<br/>Exigence</th>
</tr>
<tr>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-COM-JUR-1]</td>
<td align="justify">
<br/>S'assurer que les sous-traitants sont en capacité de mettre en œuvre les mesures techniques et organisationnelles nécessaires pour garantir la protection des données à caractère personnel, notamment celles détaillées dans l'annexe.</td>
</tr>
<tr>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-COM-JUR-2]</td>
<td align="justify">
<br/>Conclure un contrat de sous-traitance conforme à l'article 28 du RGPD avec l'ensemble des organismes participant à une mission de contrôle qualité.</td>
</tr>
<tr>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-COM-JUR-3]</td>
<td align="justify">
<br/>Minimiser les données : seules celles strictement nécessaires pour atteindre les objectifs du contrôle qualité peuvent être traitées dans ce cadre.</td>
</tr>
<tr>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-COM-JUR-4]</td>
<td align="justify">
<br/>S'assurer que les personnes chargées du contrôle qualité disposent des qualifications et de l'expérience nécessaire à la réalisation de cette activité.</td>
</tr>
<tr>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-COM-JUR-5]</td>
<td align="justify">
<br/>Mandater et habiliter formellement les personnes chargées du contrôle qualité.</td>
</tr>
<tr>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-COM-JUR-6]</td>
<td align="justify">
<br/>Informer les personnes concernées lors de leur inclusion de la réalisation d'un contrôle qualité et de leur droit d'opposition.</td>
</tr>
<tr>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-COM-JUR-7]</td>
<td align="justify">
<br/>Exclure les données des personnes concernées qui se sont opposées au contrôle qualité sur leurs données.</td>
</tr>
<tr>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-COM-SEC-1]</td>
<td align="justify">
<br/>Mettre en œuvre les mesures MR-SEC-XX de l'annexe de sécurité en les complétant avec les exigences de cette annexe.</td>
</tr>
<tr>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="left"/>
<td align="center">
<br/>[CQ-COM-SEC-2]</td>
<td align="justify">
<br/>Réaliser le contrôle qualité sous la direction et la surveillance d'un professionnel intervenant dans la recherche qui exerce dans le lieu de recherche concerné.</td>
</tr>
<tr>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-COM-SEC-3]</td>
<td align="justify">
<br/>En complément de la MR-SEC-10, prévoir des comptes nominatifs.</td>
</tr>
<tr>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-COM-SEC-4]</td>
<td align="justify">
<br/>En complément de la MR-SEC-13, prévoir des profils spécifiques, un accès en lecture seule et des restrictions de la durée des habilitations d'accès.</td>
</tr>
<tr>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-COM-SEC-5]</td>
<td align="justify">
<br/>En complément des MR-SEC-16 à MR-SEC-21, sécuriser le poste de travail des personnes chargées du contrôle qualité.</td>
</tr>
<tr>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-COM-SEC-6]</td>
<td align="justify">
<br/>En complément de la MR-SEC-27, mettre en place des procédures spécifiques de gestion et de traitement des incidents de sécurité et des violations des données personnelles.</td>
</tr>
<tr>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-COM-SEC-7]</td>
<td align="justify">
<br/>Bloquer les possibilités d'impression, de copie d'écran, d'export ou de téléchargement des données consultées.</td>
</tr>
<tr>
<td align="left"/>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-DIST-JUR-1]</td>
<td align="justify">
<br/>Vérifier, par le biais notamment d'audits, que la solution de contrôle qualité à distance offre un niveau de protection appropriée et conforme aux exigences de cette annexe.</td>
</tr>
<tr>
<td align="left"/>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-DIST-JUR-2]</td>
<td align="justify">
<br/>Former les professionnels intervenant dans la recherche, ou les personnes placées sous leur autorité, à l'utilisation de la solution technique de contrôle qualité à distance.</td>
</tr>
<tr>
<td align="left"/>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-DIST-JUR-3]</td>
<td align="justify">
<br/>Si le responsable de traitement souhaite vérifier la véracité ou la complétude des données mises à disposition, cette vérification prend la forme d'un contrôle qualité sur site.</td>
</tr>
<tr>
<td align="left"/>
<td align="center">
<br/>X</td>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-DIST-JUR-4]</td>
<td align="justify">
<br/>Assurer l'hébergement de la solution de contrôle qualité à distance dans l'Union européenne (UE), dans l'espace économique européen ou dans un pays disposant d'un niveau de protection adéquat. Cette exigence n'est pas applicable pour les données conservées par un organisme qualifié de lieu de recherche établi hors UE.</td>
</tr>
<tr>
<td align="left"/>
<td align="center">
<br/>X</td>
<td align="left"/>
<td align="center">
<br/>[CQ-VISIO-SEC-1]</td>
<td align="justify">
<br/>En complément de l'exigence MR-SEC-12, mettre en place une authentification conforme à la recommandation de la CNIL.</td>
</tr>
<tr>
<td align="left"/>
<td align="center">
<br/>X</td>
<td align="left"/>
<td align="center">
<br/>[CQ-VISIO-SEC-2]</td>
<td align="justify">
<br/>Par dérogation à CQ-VISIO-SEC-1, prévoir soit :<br/>- une authentification de chaque personne participant à une vidéoconférence ou à défaut, définir un code secret spécifique pour chaque session de vidéoconférence et utiliser une zone d'attente permettant à l'hôte de valider l'entrée de chaque participant ;<br/>- un mot de passe ou un code secret conforme à la recommandation de la CNIL pour se connecter à la plateforme de vidéoconférence.</td>
</tr>
<tr>
<td align="left"/>
<td align="center">
<br/>X</td>
<td align="left"/>
<td align="center">
<br/>[CQ-VISIO-SEC-3]</td>
<td align="justify">
<br/>En complément de la MR-SEC-14, conserver les données de journalisation des accès, si la solution de vidéoconférence le permet, ou tenir une main courante par l'organisme qualifié de lieu de recherche détaillant les horaires et personnes ayant participé aux vidéoconférences.</td>
</tr>
<tr>
<td align="left"/>
<td align="center">
<br/>X</td>
<td align="left"/>
<td align="center">
<br/>[CQ-VISIO-SEC-4]</td>
<td align="justify">
<br/>En complément de CQ-COM-SEC-2, assurer la présence d'un professionnel intervenant dans la recherche pendant toute la durée de la vidéoconférence.</td>
</tr>
<tr>
<td align="left"/>
<td align="center">
<br/>X</td>
<td align="left"/>
<td align="center">
<br/>[CQ-VISIO-SEC-5]</td>
<td align="justify">
<br/>Prévoir le recours à la fonctionnalité partage d'écrans permettant de respecter l'exigence [CQ-COM-JUR-3].</td>
</tr>
<tr>
<td align="left"/>
<td align="center">
<br/>X</td>
<td align="left"/>
<td align="center">
<br/>[CQ-VISIO-SEC-6]</td>
<td align="justify">
<br/>Bloquer les fonctionnalités de type « prise en main à distance » et « partage de documents ».</td>
</tr>
<tr>
<td align="left"/>
<td align="center">
<br/>X</td>
<td align="left"/>
<td align="center">
<br/>[CQ-VISIO-SEC-7]</td>
<td align="justify">
<br/>Ne pas permettre l'enregistrement de la session de vidéoconférence ou de retranscription automatique de la session de vidéoconférence.</td>
</tr>
<tr>
<td align="left"/>
<td align="left"/>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-PF-SEC-1]</td>
<td align="justify">
<br/>En complément de MR-SEC-09, mettre en œuvre le chiffrement au repos des données déposées sur la plateforme, et des sauvegardes, par des algorithmes cryptographiques à l'état de l'art.</td>
</tr>
<tr>
<td align="left"/>
<td align="left"/>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-PF-SEC-2]</td>
<td align="justify">
<br/>En complément de MR-SEC-12, mettre en place une authentification multifacteur conforme à la recommandation de la CNIL pour se connecter à la plateforme.</td>
</tr>
<tr>
<td align="left"/>
<td align="left"/>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-PF-SEC-3]</td>
<td align="justify">
<br/>En complément de MR-SEC-19, mettre en place un cloisonnement des données entre différentes recherches.</td>
</tr>
<tr>
<td align="left"/>
<td align="left"/>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-PF-SEC-4]</td>
<td align="justify">
<br/>En complément de MR-SEC-14, mettre en place la journalisation et la surveillance des actions de la personne chargée de réaliser le contrôle qualité par l'organisme qualifié de lieu de recherche.</td>
</tr>
<tr>
<td align="left"/>
<td align="left"/>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-PF-SEC-5]</td>
<td align="justify">
<br/>Par dérogation à l'exigence CQ-COM-SEC-2, la surveillance des opérations de contrôle qualité est réalisée par une analyse détaillée de la journalisation requise par CQ-PF-SEC-4.</td>
</tr>
<tr>
<td align="left"/>
<td align="left"/>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-PF-SEC-6]</td>
<td align="justify">
<br/>Limiter la durée de conservation des données déposées sur la plateforme à la stricte durée du contrôle qualité.</td>
</tr>
<tr>
<td align="left"/>
<td align="left"/>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-PF-SEC-7]</td>
<td align="justify">
<br/>S'assurer qu'aucun fichier, même temporaire, contenant des données personnelles relatives à la personne se prêtant à la recherche ne soit conservé sur le terminal de la personne chargée de réaliser le contrôle qualité après une session de contrôle qualité à distance.</td>
</tr>
<tr>
<td align="left"/>
<td align="left"/>
<td align="center">
<br/>X</td>
<td align="center">
<br/>[CQ-PF-SEC-8]</td>
<td align="justify">
<br/>Recourir à un hébergeur de données de santé (HDS) si les données déposées sur la plateforme sont nominatives et/ou issues de la prise en charge du patient, et sinon recourir à un prestataire certifié ISO/IEC 27001 : 2022 ou qui présente des garanties de sécurité équivalentes.</td>
</tr>
</table>

</div>
</div>
</CONTENU>
</BLOC_TEXTUEL>
<LIENS/>
</ARTICLE>
