Protection des données en recherche clinique : nLPD, LRH et BPC pour les formulaires électroniques

Demandez à une équipe d'étude suisse quelle loi régit ses données et vous obtiendrez généralement une seule réponse. En réalité il y en a au moins trois, elles s'appliquent simultanément, et elles ont été écrites par des personnes différentes pour des raisons différentes. La loi relative à la recherche sur l'être humain et ses ordonnances régissent la recherche elle-même — autorisation, consentement, protection des participants. La nLPD régit les données personnelles, y compris tout ce dont les règles de recherche ne parlent pas. Et les BPC (ICH-GCP) régissent la manière dont le promoteur attend que les données soient produites et conservées. La plupart des manquements dans ce domaine ne violent aucune de ces trois sources ; ils vivent dans les coutures entre elles.

Quelles règles s'appliquent, et dans quel ordre

Commencez par classer le projet, car la réponse détermine ce que vous devez. Un essai clinique de médicament, un essai de dispositif médical, une étude non interventionnelle, un projet de réutilisation d'échantillons et de données existants et une enquête qualité interne à un hôpital sont cinq animaux réglementaires distincts, et seuls certains d'entre eux nécessitent une autorisation avant de commencer.

Une discipline utile : pour chaque formulaire de l'étude, notez sous laquelle de ces quatre lignes il se trouve. Le formulaire de consentement et le cahier d'observation relèvent des quatre. Un formulaire de recrutement, un questionnaire de retour destiné aux centres ou un formulaire logistique pour les visites ne relèvent souvent que de la nLPD — et c'est précisément pour cela qu'ils sont si souvent construits dans l'outil le plus proche, sans que personne ne les relise.

Codé n'est pas anonymisé — la distinction qui décide de tout

C'est le malentendu le plus lourd de conséquences du domaine, et il est presque toujours de bonne foi. Dans le langage courant, remplacer un nom par « Sujet 014 » a des airs d'anonymisation. En droit, non : les données codées sont des données dont le lien avec la personne a été remplacé par une clé, et tant que la clé existe, elles restent attribuables et donc personnelles. Les données anonymisées sont celles dont la réidentification est impossible moyennant un effort raisonnable — ce qui suppose normalement que la clé soit détruite et que le jeu de données restant ait été examiné pour les identifiants indirects qui trahiraient les personnes de toute façon.

• Codées — une clé relie « Sujet 014 » à une personne. Données personnelles, nLPD intégrale, droits des personnes, annonce des violations. L'écrasante majorité des données de recherche est ici.
• Anonymisées — la clé est détruite et le jeu de données lui-même ne singularise personne. Ce ne sont plus des données personnelles, la nLPD cesse de s'appliquer. C'est le seul statut qui réduit réellement vos obligations.
• « Anonymisées » au sens mou — la clé a été gardée « au cas où », ou le jeu contient un diagnostic rare, une date de naissance et un canton. Ce sont des données codées avec une étiquette optimiste, et c'est la version qui apparaît le plus souvent dans la documentation d'étude.

Cette distinction pilote aussi le consentement. Selon l'art. 32 LRH, la réutilisation de données personnelles liées à la santé à des fins de recherche dépend de ce statut : les données non codées exigent un consentement éclairé, les données codées un consentement qui peut être donné de manière générale pour la réutilisation, et les données anonymisées peuvent être utilisées si la personne, une fois informée, ne s'y est pas opposée. Se tromper de statut ne fait donc pas qu'étiqueter un jeu de données de travers — cela place le projet sur la mauvaise base de consentement, et c'est le genre de constat qui arrête une soumission éthique.

Consentement à l'étude et information sur la protection des données ne sont pas le même document

Le consentement au sens de la LRH porte sur la participation : nature, but, durée et risques prévisibles du projet, droit de refuser et de révoquer à tout moment sans préjudice. La transparence de l'art. 19 nLPD porte sur le traitement : qui est le responsable, ce qu'il advient des données, qui les reçoit, vers quels États elles pourraient être communiquées et combien de temps elles sont conservées. En pratique, les deux sont généralement fondus dans une feuille d'information — ce qui convient, à condition que les deux contenus y soient réellement.

La lacune qui revient dans les soumissions réelles est le paragraphe sur les destinataires et les transferts. « Les données seront traitées de manière confidentielle » n'est pas une indication de destinataires. Un CRO à l'étranger, la base centrale d'un promoteur, une statisticienne dans une seconde université, la région cloud d'un fournisseur de cahier électronique et un coursier pour le matériel biologique sont tous des destinataires ou des transferts, et chacun a sa place dans la feuille — comme dans le registre des traitements que le promoteur ou l'institution doit tenir. Pour la rédaction, voir le consentement éclairé à l'ère numérique ; pour l'analyse des transferts, quelles données de formulaires peuvent légalement quitter la Suisse.

Cahier électronique, données sources et ce que les BPC attendent d'un formulaire

La ligne directrice révisée ICH-GCP E6(R3) énonce explicitement que la gouvernance des données couvre tout le cycle de vie et que les systèmes informatisés utilisés dans un essai doivent être adaptés à l'usage prévu, le promoteur devant pouvoir le démontrer. Cette exigence retombe directement sur tout outil servant à capturer des données d'essai — et elle est bien plus lourde que « le fournisseur a l'ISO 27001 ».

• Adéquation démontrée à l'usage. Validation proportionnée au risque, configuration documentée, et preuves que le système fait ce que le protocole exige — pas une page marketing.
• Piste d'audit. Qui a saisi ou modifié quoi, quand et pourquoi, la valeur d'origine restant visible. Un outil de formulaires qui écrase silencieusement une réponse ne peut pas produire de données d'essai.
• Contrôle d'accès par rôle, avec une liste à jour et vérifiable de qui détient quelle permission dans chaque centre, et un retrait rapide lors des changements de personnel.
• Une source définie. Si l'enregistrement électronique est la source, cela doit être déclaré et le système doit pouvoir tenir cette position en inspection. Si le papier est la source, l'étape de transcription exige ses propres contrôles.
• ALCOA+ comme norme que les données doivent atteindre — attribuable, lisible, contemporain, original et exact, plus complet, cohérent, durable et disponible. La plupart sont des propriétés du système, pas de la personne qui saisit.
• Archivage. L'enregistrement doit rester lisible et intact pendant la durée de conservation, qui pour la documentation d'essai se situe dans l'ordre de dix ans selon les règles suisses sur les essais cliniques — vérifiez la durée exacte et son point de départ pour votre catégorie d'essai, et vérifiez que l'export de votre fournisseur survit au fournisseur.

Où une plateforme de formulaires chiffrés a réellement sa place

Il existe autour d'une étude un ensemble réel et mal desservi de points de collecte qui ne sont pas le cahier d'observation, ne sont pas inspectés comme des enregistrements d'essai, et tournent aujourd'hui sur n'importe quel outil générique — souvent un outil qui stocke des données de santé lisibles par le fournisseur.

1. Recrutement et présélection. Des personnes envoient symptômes, diagnostics et listes de médicaments avant d'être participantes et avant qu'un protocole ne les couvre. Ce sont des données sensibles au sens ordinaire de la nLPD, collectées à découvert, et c'est le formulaire le plus exposé de la plupart des études.
2. Manifestations d'intérêt et registres de volontaires, qui accumulent des informations de santé pendant des années sans étude pour les justifier et souvent sans aucune règle de conservation.
3. Questionnaires destinés aux participants hors cahier d'observation — satisfaction, charge, retours sur les visites — où l'identification est inutile et souvent nuisible à la qualité des réponses.
4. Formulaires pour centres et investigateurs — retours, signalements d'écarts au protocole avant qu'ils ne deviennent des enregistrements formels, logistique et planification — dont le contenu est confidentiel sans être un enregistrement d'essai.
5. Collecte post-commercialisation et pharmacovigilance auprès des patients et des professionnels de santé, détaillée dans notre cas d'usage pharmacovigilance.

Pour chacun, le raisonnement est le même : les données sont sensibles, le nombre de personnes qui doivent les lire est petit et connu, et aucun inspecteur ne demandera jamais à un fournisseur de les produire. C'est exactement la forme de problème que résout le chiffrement de bout en bout, et le cas d'usage recherche et essais cliniques décrit comment nous le traitons.

Ce que la commission d'éthique demandera au sujet de votre outil

Les soumissions à la commission d'éthique cantonale compétente passent par le portail national, et la section protection des données est l'endroit où les réponses génériques reviennent. Les commissions ne réclament pas un livre blanc de sécurité ; elles demandent si vous savez décrire votre propre flux de données. Préparez six réponses avant de soumettre.

Promoteurs, CRO et la question transfrontalière

La recherche multicentrique est transfrontalière par construction : un promoteur dans un pays, un CRO dans un autre, un laboratoire central dans un troisième, un cahier électronique hébergé ailleurs encore. La nLPD ne l'interdit pas — l'art. 16 permet la communication à l'étranger vers les États dont le Conseil fédéral a constaté le caractère adéquat, ou sur la base de clauses types, de règles d'entreprise contraignantes ou d'un traité, avec les exceptions étroites de l'art. 17. Ce qu'elle exige, c'est que vous puissiez nommer le mécanisme pour chaque destinataire, à l'avance, et qu'il figure dans l'information aux participants.

Deux complications propres à la recherche méritent d'être signalées. D'abord, le secret professionnel de l'art. 321 CP se superpose au droit de la protection des données pour les médecins traitants impliqués, et il s'étend à leurs auxiliaires — ce qui inclut le personnel d'un fournisseur ayant accès à des données lisibles. Ensuite, des données codées qui partent à l'étranger restent des données personnelles qui partent à l'étranger ; l'idée répandue selon laquelle la pseudonymisation transforme une communication internationale en quelque chose qui n'a pas besoin de base est fausse.

Cinq constats récurrents

• Le formulaire de recrutement que personne n'a relu. Construit hors protocole, collectant des données de santé auprès de non-participants, conservé indéfiniment, hébergé n'importe où. C'est l'exposition réelle la plus fréquente d'une étude par ailleurs bien menée.
• « Anonymisé » dans le protocole, codé dans les faits. Vérifiez qui détient encore une clé — centre, CRO et portable de la statisticienne compris — avant d'écrire le mot.
• La clé conservée dans le même système que les données. Une liste de codes rangée dans le même dossier, la même base ou la même sauvegarde que le jeu codé rend le codage décoratif.
• Des données de sélection qui survivent à la sélection. Les personnes non incluses ont tout de même leurs données de santé dans vos dossiers. Définissez pour elles une règle de conservation distincte et courte, et appliquez-la.
• Un consentement qui ne colle pas au cahier électronique. La feuille promet la suppression en cas de révocation ; le système ne peut pas supprimer un enregistrement sans casser la piste d'audit. Réglez cela sur le papier avant que cela n'arrive en pratique.

L'essentiel

Trois régimes, un jeu de données, et une distinction qui détermine l'essentiel de vos obligations : les données codées sont des données personnelles, et seule une vraie anonymisation change cela. Classez correctement, nommez vos destinataires et vos mécanismes de transfert, traitez le cahier d'observation comme le système informatisé réglementé qu'il est, et accordez aux formulaires autour de l'étude le même sérieux qu'à ceux qui sont dedans — car le questionnaire de recrutement contient généralement les mêmes données de santé sans aucune gouvernance.

Et soyez sceptique envers tout outil vendu comme la réponse à tout, y compris le nôtre. Un système EDC validé existe pour rendre les données d'essai inspectables ; une plateforme de formulaires chiffrés existe pour rendre une collecte sensible illisible pour quiconque sauf vous. Ce sont des objectifs de conception opposés, et une étude sérieuse emploie chacun là où il appartient.