Bonjour, Dans le cadre de la méthodologie MR-006, je vois qu’il est indiqué que « Tous les 3 ans, le responsable de traitement doit réaliser un audit externe indépendant en vue de s’assurer du respect des principes portés par la loi de modernisation de notre système de santé du 26 janvier 2016. L’audit porte sur les finalités poursuivies et sur l’utilisation des résultats des études réalisées. Le rapport d’audit devra être transmis au président du comité d’audit du SNDS. »
Est-ce qu’il y a une liste des auditeurs établie par le HDH ou la CNIL? Comment choisir cet auditeur?
Bonjour,
Nous vous remercions de votre message.
A date, les services de la Cnil nous ont indiqué qu’ils n’avaitent pas d’éléments à nous partager permettant de préciser les modalités de mise en œuvre de cette obligation.
S’ils n’ont pas de prestataires à conseiller, ils ont néanmoins souligné qu’une CRO indépendante du responsable de traitement pourrait réaliser un tel audit.
Interrogé sur le périmètre de cet audit et s’il s’agissait d’évaluer si une finalité interdite peut être poursuivie à partir des résultats restitués ou si l’objet était de produire un rapport certifiant le cloisonnement des services au sein du responsable de traitement et la non transmission des résultats à d’autres services susceptibles de les utiliser pour des finalités interdites, la Cnil a précisé qu’elle n’avait pas encore de doctrine sur ce sujet.
Nous retenons de cet échange qu’en l’absence de dispositions précises, un responsable de traitement qui ferait réaliser par un bureau d’étude / CRO indépendant une analyse de la finalité de l’étude et des résultats obtenus qui conclurait à une impossibilité de faire des actions entrant dans le champ des finalités interdites répondrait à cette obligation d’audit.
A noter que la Cnil a mis en consultation publique en début de cette année des projets de MR005 et MR006 modifiés proposant une révision du périmètre de données et des modalités d’accès. Même si ces projets ne comportaient pas initialement d’éléments signifiants sur les modalités de mise en oeuvre de cet audit, elle pourrait s’appuyer sur ces révisions pour préciser ce point. Nous n’avons cependant pas d’information quant aux suites données à ces projets de MR.
Restant à votre disposition.
Bien cordialement.
L’AFCRO définit CRO, selon l’acronyme anglophone pour Contract Research Organization. Cela désigne une entreprise privée qui fournit, sur une base contractuelle, des services dans le domaine de la recherche biomédicale pour l’industrie pharmaceutique, biotechnologique et du dispositif médical ainsi que pour les organismes de recherche publics ou parapublics (fondations) qui œuvrent dans ce domaine. On parle aussi de société de recherche contractuelle. L’intervention des CRO peut se retrouver à toutes phases de la recherche et développement depuis les études précliniques, jusqu’à la commercialisation et la pharmacovigilance en passant par la conduite d’essais cliniques, l’assistance dans la conduite de travaux de recherche ou des démarches réglementaires inhérentes.”
Cette structure agissant en qualité de sous-traitant ne doit pas avoir de conflits d’intérêts avec l’objet du traitement ni être en situation de dépendance économique à l’égard du responsable du traitement à l’origine de la recherche.
Restant à votre disposition.
Bien cordialement.
L’audit externe indépendant ne peut pas être réalisé par le DPO de votre société. Il faut impérativement que celui-ci soit réalisé par une personne extérieure au responsable de traitement de l’origine de la recherche.