Arrêté du 17 juillet 2017 relatif au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études - Article 2

Les engagements respectifs du ou des responsables du traitement de la recherche, étude ou évaluation, lequel ou lesquels n'accèdent pas aux données, et du laboratoire de recherche ou bureau d'études doivent être formalisés, avant le début des travaux, dans un contrat qui précise :

– l'identité du ou des responsables du traitement, destinataires des résultats ;

– les finalités visées dans le respect des finalités mentionnées au III de l'article L. 1461-1 du code de la santé publique et répondant à un motif d'intérêt public ;

– l'intitulé de la recherche, étude ou évaluation, les objectifs principaux et secondaires poursuivis, la responsabilité de la rédaction du protocole d'analyse de la recherche, de l'étude ou de l'évaluation, les personnes impliquées dans la mise en œuvre du traitement et les méthodes d'analyse retenues ;

– les catégories de personnes concernées par le traitement ;

– les traitements de données à caractère personnel envisagés ;

– l'identité du ou des financeur (s) et les modalités du financement de la recherche, de l'étude ou de l'évaluation ;

– l'estimation du coût de la recherche, de l'étude ou de l'évaluation.

La rémunération doit dépendre uniquement de la nature et du volume des prestations définies au sein du contrat et ne pas être conditionnée par les résultats de la recherche.

Le contrat doit par ailleurs préciser les mesures et conditions de sécurité attestant de la conformité à l'arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé, s'agissant notamment :

– des procédures et conditions d'habilitation d'accès aux données pour les personnes mettant en œuvre le traitement de données ;

– des accès et des échanges de données et de documents entre les différents intervenants mettant en œuvre le traitement de données ou autorisés à accéder aux données, des stipulations particulières en matière de responsabilité et de sécurité en cas de recours à un prestataire.

Le contrat doit enfin décrire les droits et obligations des personnes en charge de la recherche, de l'étude, ou de l'évaluation menée et rappeler l'interdiction de traitement des données du Système national des données de santé aux fins mentionnées au V de l'article L. 1461-1 du code de la santé publique.