{"id":13931,"date":"2015-11-04T19:18:12","date_gmt":"2015-11-04T18:18:12","guid":{"rendered":"https:\/\/blogdelarechercheclinique.com\/?p=13931"},"modified":"2024-05-23T09:09:17","modified_gmt":"2024-05-23T07:09:17","slug":"safe-harbor-transfert-donnees-personnelles","status":"publish","type":"post","link":"https:\/\/blogdelarechercheclinique.com\/en\/safe-harbor-transfert-donnees-personnelles\/","title":{"rendered":"Safe Harbor : transfert de donn\u00e9es personnelles non valid\u00e9"},"content":{"rendered":"

Article r\u00e9dig\u00e9 par la Soci\u00e9t\u00e9 Pharmaspecific, sp\u00e9cialiste en recherche clinique<\/i><\/span><\/p>\n

Invalidation du Safe Harbor, que faire ?04<\/strong><\/h2>\n

\"InvalidationTu as des \u00e9tudes en cours et tu transf\u00e8res certaines informations aux Etats-Unis, que ce soit le promoteur ou des sous-traitants (eCRF, CRO, remboursement patients, ou autre) ? Savais tu que l\u2019accord commercial reliant l\u2019Espace Economique Europ\u00e9en et les Etats-Unis avait \u00e9t\u00e9 invalid\u00e9 et que les transferts de donn\u00e9es personnelles r\u00e9alis\u00e9s dans le cadre du Safe Harbor n\u2019\u00e9taient plus autoris\u00e9s ? Voici concr\u00e8tement ce que cela implique pour tes essais.<\/p>\n

<\/p>\n

    \n
  1. \n

    Qu\u2019est-ce qu\u2019il s\u2019est pass\u00e9\u00a0?<\/strong><\/h2>\n<\/li>\n<\/ol>\n

    Le Safe Harbor ou \u00ab\u00a0Sph\u00e8re de s\u00e9curit\u00e9\u00a0\u00bb \u00e9tait un des moyens possibles pour les entreprises am\u00e9ricaines de transf\u00e9rer l\u00e9galement des donn\u00e9es de l\u2019Espace Economique Europ\u00e9en vers les Etats-Unis. Le Safe Harbor \u00e9tait un ensemble de principes \u00e0 respecter auxquels les entreprises am\u00e9ricaines adh\u00e9raient de fa\u00e7on volontaire. Ces principes \u00e9taient bas\u00e9s sur l\u2019information des personnes, la possibilit\u00e9 de s\u2019opposer au transfert de ses donn\u00e9es personnelles ou \u00e0 l\u2019utilisation de ses donn\u00e9es pour une finalit\u00e9 diff\u00e9rente, la n\u00e9cessit\u00e9 d\u2019un consentement explicite pour les donn\u00e9es dites sensibles, droit d\u2019acc\u00e8s et de rectification et la s\u00e9curit\u00e9 des donn\u00e9es.\u00a0 La liste des entreprises ayant adh\u00e9r\u00e9 au Safe Harbor \u00e9tait consultable sur le site internet du d\u00e9partement du commerce am\u00e9ricain<\/a>. Cependant, la Cour de Justice Europ\u00e9enne (CJUE) a invalid\u00e9 cet accord le 6 octobre 2015. En effet, il a \u00e9t\u00e9 mis en \u00e9vidence par la CJUE que les autorit\u00e9s publiques Etats-uniennes pouvaient acc\u00e9der aux donn\u00e9es sans assurer une protection juridique efficace aux personnes concern\u00e9es. En effet, les entreprises Etats-Uniennes sont tenues de se soumettre aux exigences des lois des Etats-Unis et donc, ne pas appliquer les clauses du Safe Harbor qui leur seraient contraires.\u00a0 \u00a0La CNIL et ses homologues europ\u00e9ens (G29) se sont r\u00e9unis et ont demand\u00e9 aux institutions europ\u00e9ennes et aux gouvernements concern\u00e9s de trouver des solutions juridiques et techniques avant le 31 janvier 2016. Voici les deux communiqu\u00e9s de la CNIL \u00e0 ce sujet en cliquant ici<\/a>\u00a0et l\u00e0<\/a>.<\/p>\n

      \n
    1. \n

      Interdiction de transf\u00e9rer des donn\u00e9es personnelles<\/strong><\/h2>\n<\/li>\n<\/ol>\n

      Selon les articles 68 et 69 de la loi informatique et libert\u00e9s du 6 janvier 1978 modifi\u00e9e<\/a>, les transferts de donn\u00e9es personnelles \u00e0 l\u2019\u00e9tranger sont interdits hormis dans le cas o\u00f9 le pays dans lequel se situe l\u2019entreprise destinataire offre un niveau de protection des donn\u00e9es suffisant.<\/p>\n

      En ce qui concerne les Etats-Unis, les transferts qui s\u2019effectuaient sur la base du Safe Harbor sont bel et bien ill\u00e9gaux. Cependant, d\u2019autres solutions existent, nous les d\u00e9taillerons ci-dessous. Attention, le G29 est en train d\u2019analyser l\u2019impact de l\u2019invalidation du Safe Harbor par la Cour de Justice Europ\u00e9enne sur ces outils. Il n\u2019est donc pas s\u00fbr que ces outils puissent encore \u00eatre utilis\u00e9s s\u2019il s\u2019av\u00e9rait qu\u2019ils posent \u00e9galement des questions de s\u00e9curit\u00e9.<\/p>\n

      Au vu des d\u00e9clarations de la CNIL, pour l\u2019instant, le transfert des donn\u00e9es d\u00e9j\u00e0 r\u00e9alis\u00e9 n\u2019est pas affect\u00e9, il demeure en attente des d\u00e9lib\u00e9rations des autorit\u00e9s concern\u00e9es. Cependant, les nouveaux transferts ne devront plus \u00eatre r\u00e9alis\u00e9s.<\/p>\n

        \n
      1. \n

        Quelles donn\u00e9es sont concern\u00e9es\u00a0? <\/strong><\/h2>\n<\/li>\n<\/ol>\n

        La d\u00e9finition d\u2019une donn\u00e9e personnelle<\/a> est la suivante selon la CNIL :<\/p>\n

        \u00ab\u00a0 Toute information relative \u00e0 une personne physique susceptible d’\u00eatre identifi\u00e9e, directement ou indirectement. Par exemple : un nom, une photo, une empreinte, une adresse postale, une adresse mail, un num\u00e9ro de t\u00e9l\u00e9phone, un num\u00e9ro de s\u00e9curit\u00e9 sociale, un matricule interne, une adresse IP, un identifiant de connexion informatique, un enregistrement vocal, etc.<\/em><\/p>\n

        A noter : pour que ces donn\u00e9es ne soient plus consid\u00e9r\u00e9es comme personnelles, elles doivent \u00eatre rendues anonymes de mani\u00e8re \u00e0 rendre impossible toute identification de la personne concern\u00e9e : noms masqu\u00e9s, visages flout\u00e9s, cryptage, etc.<\/em><\/p>\n

        Attention : s’il est possible par recoupement de plusieurs informations (\u00e2ge, sexe, ville, dipl\u00f4me, etc.) ou par l’utilisation de moyens techniques divers, d’identifier une personne, les donn\u00e9es sont toujours consid\u00e9r\u00e9es comme personnelles.<\/em>\u00a0\u00bb<\/p>\n

        Si ton \u00e9tude est une recherche biom\u00e9dicale (RBM) portant sur un m\u00e9dicament, un dispositif m\u00e9dical, un produit de cosm\u00e9tique ou de tatouage ou une RBM hors produit de sant\u00e9, si ton transfert concerne les donn\u00e9es des personnes se pr\u00eatant \u00e0 une recherche biom\u00e9dicale<\/u> et que les donn\u00e9es sont conformes \u00e0 la partie 1.2.3 de la MR-001<\/a><\/u>, le transfert de ces donn\u00e9es reste toujours possible, car il ne s\u2019agit pas d\u2019une donn\u00e9e personnelle.<\/p>\n

        Si ton \u00e9tude est une \u00e9tude non-interventionnelle portant sur l\u2019\u00e9tude de performance d\u2019un dispositif m\u00e9dical de diagnostic in vitro (DM DIV) et que, conform\u00e9ment \u00e0 la MR-002<\/a>, seules des donn\u00e9es anonymes ou cod\u00e9es des participants \u00e0 l’\u00e9tude non interventionnelle de performances des DM DIV sont transmises hors de l\u2019UE, alors le transfert de ces donn\u00e9es reste possible.<\/p>\n

        Cependant, dans le cadre de ces \u00e9tudes entrant dans le cadre de la MR-001 ou MR-002, les donn\u00e9es personnelles des investigateurs et des membres de leurs \u00e9quipes sont \u00e9galement transf\u00e9r\u00e9es, via leur CV, leurs coordonn\u00e9es, \u2026 Ces informations l\u00e0, quant \u00e0 elles, ne sont pas anonymes et constituent bien des donn\u00e9es personnelles. Leurs transferts vers les Etats-Unis sont donc interdits.<\/p>\n

        Si ton \u00e9tude est un autre type d\u2019\u00e9tude ou une \u00e9tude ne r\u00e9pondant pas aux m\u00e9thodologies de r\u00e9f\u00e9rence de la CNIL, la CNIL a \u00e9valu\u00e9 la nature de ces transferts de donn\u00e9es et fournit une autorisation de transfert. A priori, ces transferts ne sont pas affect\u00e9s pour le moment.<\/p>\n

          \n
        1. \n

          Les autres solutions<\/strong><\/h2>\n<\/li>\n<\/ol>\n

          Il existe deux autres solutions permettant de mettre en \u0153uvre les transferts de donn\u00e9es aux Etats-Unis:<\/p>\n