Le référentiel EDS permet le recours aux données identifiantes lorsque l’on découvre des caractéristiques génétiques pouvant être responsables d’une affection justifiant des mesures de prévention ou de soins. Par conséquent, est-ce que cette réidentification relève du traitement MR004 ou d’une fonctionnalité spécifique autorisée et gouverné par l’EDS ? Formulé autrement : Est-ce que dans les cas de figure, figurant au 5.5 du référentiel, permettant la réidentification des patients, les protocoles doivent être soumis à une autorisation de la Cnil ?
Le référentiel relatif aux entrepôts de données de santé (EDS) prévoit, au point 5.5, que les données directement identifiantes mentionnées au 5.2.1.1 ne peuvent être réunies dans l’entrepôt que pour des finalités limitativement énumérées, dont celle de recontacter les patients à la suite de découvertes de caractéristiques génétiques justifiant des mesures de prévention ou de soins (art. L. 1130-5 CSP). Cette réidentification relève de la responsabilité du responsable de traitement de l’EDS. Le référentiel réserve l’accès aux données directement identifiantes, à cette fin, aux seules personnes chargées de la réalisation de cette opération (6.2).
La MR-004 encadre un traitement distinct, le projet de recherche mené à partir des données de l’entrepôt. Dans le cadre de la MR-004, les données génétiques ne peuvent être traitées que pour les besoins de la recherche dans les conditions prévues au point 2.2.3 et ne peuvent en aucun cas servir à l’identification ou à la réidentification des personnes. Si une telle découverte survient au cours d’une recherche encadrée par la MR-004, le responsable de traitement de la recherche ne peut procéder lui-même à la réidentification des personnes concernées. Il doit en informer le responsable de traitement de l’EDS, seul habilité à y procéder.
Nous espérons que ces éléments permettent de répondre à votre question et restons à votre disposition pour toute information complémentaire.