Les essais cliniques au cœur des défis RGPD européens
À retenir :
- L'EDPB et l'EDPS recommandent une harmonisation des essais cliniques sous une loi biotech européenne, tout en renforçant la protection des données sensibles
- Un seul cadre légal pour le traitement des données personnelles clarifiera les responsabilités des acteurs impliqués
- La pseudonymisation et des garde-fous spécifiques sont essentiels pour préserver la confiance des participants aux essais
- La cohérence avec la future régulation IA doit être assurée pour éviter les lacunes de protection
Les essais cliniques représentent un enjeu stratégique majeur pour l'innovation médicale européenne, mais ils soulèvent des questions cruciales en matière de protection des données personnelles. En mars 2026, le Conseil européen de la protection des données (EDPB) et le Contrôleur européen de la protection des données (EDPS) ont adopté un avis conjoint sur la proposition de loi biotech européenne. Cet avis met l'accent sur un défi central : comment harmoniser le cadre réglementaire des essais cliniques sans réduire le niveau de protection des participants, dont les données de santé et génétiques sont particulièrement sensibles ?
La fragmentation actuelle du cadre réglementaire
Actuellement, les essais cliniques en Europe sont régis par le Règlement sur les essais cliniques (REC), mais son application varie d'un État membre à l'autre. Cette fragmentation crée des obstacles pour les sponsors et chercheurs, qui doivent naviguer entre plusieurs interprétations nationales du droit applicable. La proposition de loi biotech vise à établir un seul socle légal unique pour le traitement des données personnelles par les sponsors et les investigateurs.
Cette harmonisation présente des avantages indéniables : elle clarifierait les obligations RGPD, réduirait les coûts de conformité et accélèrerait les processus de recherche. Cependant, comme le souligne le CEPD, « l'ambition de l'Europe en matière d'innovation médicale doit s'accompagner de confiance ». Cette clarification légale ne doit pas s'opérer au détriment des droits fondamentaux des participants.
La sensibilité des données de santé et génétiques
Un traitement encadré par le RGPD
Les données de santé et les données génétiques figurent parmi les catégories les plus sensibles selon l'article 9 du RGPD. Leur traitement n'est autorisé que de manière exceptionnelle et sous des conditions strictes. Dans le contexte des essais cliniques, les données collectées peuvent inclure des informations diagnostiques, des résultats de tests génétiques, et des historiques médicaux détaillés.
L'EDPB et l'EDPS insistent sur le fait que cette sensibilité requiert des mesures de protection accrues. La simple harmonisation du cadre légal ne suffit pas : il faut que chaque disposition soit pensée pour maximiser la protection des participants, qui sont souvent vulnérables (patients atteints de maladies graves, participants à des études de phase précoce).
Durée de conservation et proportionnalité
Un enjeu particulier concerne la conservation des données. La proposition fixe une période minimale obligatoire de 25 ans. Or, l'EDPB et l'EDPS recommandent que cette durée de 25 ans s'applique uniquement au dossier maître de l'essai, c'est-à-dire aux documents critiques pour l'intégrité scientifique, et non à l'ensemble des données personnelles collectées. Cette distinction est essentielle pour respecter le principe RGPD de limitation du stockage : les données ne doivent être conservées que le temps nécessaire à la finalité poursuivie.
Clarifier les rôles et responsabilités
Une des recommandations majeures porte sur la clarification des rôles de contrôleur de données. Dans un essai clinique, plusieurs acteurs interviennent : le sponsor (souvent une entreprise pharmaceutique), les investigateurs locaux, les établissements de santé, les autorités réglementaires. Chacun doit avoir une responsabilité clairement définie.
Selon les principes du RGPD, un contrôleur est la personne physique ou morale qui détermine les finalités et les moyens du traitement. L'EDPB recommande que la future loi biotech précise qui agit en tant que contrôleur unique ou responsables conjoints. Cette clarification est indispensable pour :
- Garantir que chaque acteur connaît ses obligations légales
- Permettre aux participants d'identifier auprès de qui exercer leurs droits (accès, rectification, suppression)
- Éviter les « vides » de responsabilité où personne n'assume la conformité RGPD
Le traitement secondaire des données d'essai
La proposition prévoit de créer une base légale pour le traitement secondaire des données collectées lors d'essais cliniques, notamment pour d'autres essais ou pour la recherche scientifique. C'est une avancée intéressante pour maximiser la valeur des données collectées. Cependant, elle pose des risques de déviance.
L'EDPB et l'EDPS demandent que la loi biotech définisse précisément les finalités autorisées pour ce traitement secondaire et établisse des garde-fous spécifiques. Par exemple, le traitement des données pour un essai clinique en oncologie ne devrait pas automatiquement autoriser leur utilisation pour tout type de recherche. L'accord des participants (ou au minimum une base légale robuste) doit être requis pour chaque nouvelle finalité.
L'IA et la cohérence réglementaire
Un défi transversal émerge avec l'essor de l'intelligence artificielle en biotechnologie. Les essais cliniques modernes utilisent de plus en plus l'IA pour analyser les données, prédire les résultats, ou identifier les patients éligibles. La future régulation IA européenne imposera des obligations spécifiques aux systèmes IA à haut risque.
L'EDPB et l'EDPS insistent sur la nécessité d'une cohérence entre la loi biotech et la régulation IA. Les obligations imposées aux sponsors par la loi biotech ne doivent pas entrer en conflit avec celles de la régulation IA. Au contraire, elles doivent se renforcer mutuellement pour assurer un environnement régulateur prédictible et protecteur.
La pseudonymisation, un outil clé de protection
Pour réduire les risques liés au traitement des données sensibles, le RGPD encourage le recours à des mesures techniques comme la pseudonymisation. Cette technique consiste à traiter les données de sorte qu'elles ne puissent être attribuées à une personne identifiée qu'avec l'aide d'informations supplémentaires.
L'EDPB et l'EDPS recommandent que le nouveau cadre exige explicitement l'utilisation de la pseudonymisation chaque fois qu'il n'est pas nécessaire de traiter des données directement identifiantes. Par exemple, pour analyser l'efficacité d'un traitement, il n'est généralement pas utile de connaître le nom du participant. La pseudonymisation réduirait significativement les risques de violation de données et renforcerait la confiance des participants.
Les bacs à sable réglementaires et les dérogations
La proposition introduit le concept de « bacs à sable » (regulatory sandboxes) pour tester des approches innovantes en biotechnologie. Ces espaces de test allègent temporairement certaines règles afin de favoriser l'innovation. Cependant, ils soulèvent des questions de protection des données.
L'EDPB et l'EDPS demandent que, même dans un bac à sable :
- Une base légale explicite soit établie pour tout traitement de données personnelles
- Pour les données sensibles (santé, génétique), une dérogation légale appropriée soit définie
- En dehors du contexte spécifique des essais cliniques, les règles du RGPD s'appliquent sans allègement
Cet équilibre est crucial pour éviter que l'innovation ne devienne un prétexte pour contourner les règles de protection des données.
Questions fréquentes
Pourquoi les données de santé sont-elles plus protégées que les autres données personnelles ?
Le RGPD considère les données de santé comme « sensibles » car elles révèlent des informations intimes sur l'état physique ou mental d'une personne. Leur divulgation ou leur mauvaise utilisation peuvent avoir des conséquences graves : discrimination à l'embauche, à l'assurance, stigmatisation sociale, ou préjudice psychologique. C'est pourquoi le RGPD en interdit le traitement sauf exception (notamment pour la recherche scientifique sous conditions strictes).
Qu'est-ce qu'un contrôleur de données et pourquoi est-ce important dans les essais cliniques ?
Le contrôleur de données est l'entité qui décide quoi traiter, comment le traiter, et à quelle fin. Dans un essai clinique, il peut être le sponsor (la société pharmaceutique), l'hôpital, ou les deux conjointement. C'est important car le contrôleur est responsable de la conformité RGPD et les participants savent auprès de qui demander leurs droits. Sans clarté sur ce point, les responsabilités s'évaporent.
Peut-on réutiliser les données d'un essai clinique pour un autre objectif ?
Oui, mais sous conditions. Le RGPD autorise le traitement secondaire des données si la nouvelle finalité est compatible avec la finalité initiale ou si elle relève d'intérêt public majeur (recherche médicale, par exemple). Cependant, des garanties doivent être mises en place : information claire des participants sur les réutilisations possibles, pseudonymisation si possible, et révision éthique du projet de recherche secondaire. La future loi biotech devra clarifier ces conditions.
Vers un équilibre innovation-protection
L'ambition de la loi biotech est louable : renforcer la compétitivité de l'Europe en biotechnologie par une harmonisation réglementaire. Cependant, l'avis conjoint de l'EDPB et de l'EDPS rappelle une vérité fondamentale : la confiance des citoyens dans l'innovation repose sur la certitude que leurs droits fondamentaux sont respectés.
Les recommandations formulées ne visent pas à freiner l'innovation, mais à l'encastrer dans un cadre robuste et prévisible. Lorsque les participants aux essais savent que leurs données sensibles sont pseudonymisées, que les responsables sont clairement identifiés, que leurs droits RGPD sont garantis, et que les données ne seront réutilisées que pour des finalités acceptables, la confiance augmente. Et la confiance est le carburant de la recherche médicale.
Pour les entreprises et les instituts de recherche, cette clarification offre aussi un bénéfice : une certitude juridique accrue, une réduction des risques de litiges ou de sanctions, et un environnement régulateur plus unifié en Europe. C'est un investissement dans la durabilité et la légitimité de la recherche biomédicale européenne.