À l'occasion de la Journée européenne de la protection des données, ce 28 janvier 2025, l’Institut du Cerveau met la protection des données personnelles à l’honneur par l’intermédiaire de sa Déléguée à la Protection des Données (DPD ou DPO pour Data Protection Officer). Dans ce portrait, Frédérique Lesaulnier qui est également membre du Comité d’éthique et de déontologie de l’Institut, revient sur son parcours, explique les enjeux de la protection des données et comment l’Institut du Cerveau s’engage en faveur de cette problématique.
Quel est votre parcours ?
Je suis juriste spécialiste de protection des données de santé. Mon intérêt pour le droit de la protection des données n’est pas nouveau puisque je suis l’auteure d’une thèse de doctorat sur la notion de données personnelles, soutenue en 2005 à l’Université Panthéon-Assas.
Mon goût pour l’enseignement et pour la recherche, mes années passées à enseigner le droit, comme assistante, puis comme attachée temporaire d’enseignement et de recherche (ATER) à l’Université de Paris XI, me destinaient à une carrière universitaire, mais un stage effectué à la Commission nationale de l’informatique et des libertés (CNIL) en a décidé autrement.
J’ai passé près de dix années passionnantes à la Direction des affaires juridique de la CNIL, comme juriste puis coordinatrice du pôle Santé. En accompagnant les acteurs, la CNIL élabore avec eux un droit vivant qui ne sacrifie ni les principes, ni les activités et cette « souplesse rigoureuse » a toujours été ma ligne de conduite. Après avoir couvert l’ensemble des problématiques du pôle et représenté la commission auprès des instances représentatives du secteur, j’ai voulu aller sur le terrain et me rapprocher des communautés de recherche.
C’est tout naturellement que je me suis adressée à l’Inserm, organisme public national de recherche dédié à la santé humaine, où les enjeux en matière de protection des données sont importants et dont les dossiers avaient compté parmi les plus intéressants que j’ai eu à instruire. J’y ai passé sept années intenses et fructueuses comme chargée de mission auprès de la Direction de l’ITMO Santé publique et associée au dynamisme de l’Institut pour favoriser l’accès des chercheurs au Système National des Données de Santé (SNDS), puis comme DPO auprès de la Direction. J’ai reçu le prix de l’innovation 2020 pour ma mobilisation dans le contexte de la crise sanitaire ; Il fallait monter des projets solides en urgence et pour ce faire, impliquer dès le départ l’ensemble des compétences nécessaires, scientifiques bien sûr, mais aussi techniques et réglementaires, dont la protection des données, dans l’esprit même du RGPD !
L’Institut du Cerveau, que j’ai rejoint en 2021, est précisément conçu et organisé pour favoriser cette méthode de travail assurant réactivité et efficacité au service des chercheurs, des patients et des personnes à risque. C’est très stimulant pour moi de contribuer à l’effet facilitateur de la Fondation ICM, dans la recherche en neurosciences, dans le respect de la protection des données.
Quels sont les enjeux de la protection des données à l’Institut du Cerveau ?
Dans le cadre de ses activités, l’Institut du Cerveau est amené à traiter des données personnelles, concernant ses personnels, ses donateurs, mais aussi des données concernant la santé des participants aux études. Dans ce cadre, l’Institut du Cerveau se fixe un devoir de vigilance et d’exemplarité concernant l’utilisation de ces données de manière à protéger les libertés fondamentales des individus. Et c’est encore plus vrai quand il s’agit de données de santé qui sont des données sensibles soumises à des règles de protection renforcées.
Les données personnelles de santé et leur protection sont bien sûr, un enjeu de premier plan pour l’Institut. Elles sont le matériau de recherche de bases pour les scientifiques qu’il s’agisse de données cliniques, associées ou non à des échantillons biologiques, données d’imagerie médicale, données de la recherche, données de l’assurance maladie … Leur exploitation, permet chaque jour de nouvelles avancées dans la compréhension du fonctionnement du cerveau, des maladies, des facteurs de risque, mais aussi une amélioration de la prise en charge et de la prévention.
Il faut donc favoriser l’utilisation et le partage encadrés de ces ressources précieuses produites dans l’intérêt général, qui ont bénéficié d’une mise en qualité indispensable à leur exploitation pertinente et garantir le respect de la confiance accordée par les personnes concernées, en tirant de leur effort de participation tout le parti qu’elles pourraient souhaiter. C’est particulièrement vrai dans le cas de maladies rares, parfois très sévères, qui nécessitent de disposer d’un nombre suffisant de données et/ou d’échantillons biologiques relatifs à des patients pour pousser les analyses et donc de mettre en place des collaborations.
Le maniement de ces données sensibles nécessite toutefois toute la rigueur, l’expertise et l’esprit critique nécessaires, le tout dans le respect du cadre éthique, légal et réglementaire. C’est pourquoi le respect des droits des participants aux recherches et la sécurité de leurs données doivent constituer des exigences permanentes dans l’organisation du travail scientifique et dans le développement d’écosystèmes permettant l’accès et l’exploitation de données, exigences que le droit garantit. C’est une question de conformité à la réglementation et c’est essentiel, mais c’est aussi un gage de qualité de la science et de confiance des personnes qui concourent à son progrès.
Comment l'Institut du Cerveau s'engage-t-il pour assurer la protection des données personnelles ?
La Direction de l’Institut a mis en place une politique de protection des données personnelles fondée sur la recherche de l’adhésion de tous et la responsabilisation de chacun qui a été largement diffusée. Pour aider les scientifiques et les personnels à intégrer les bonnes pratiques dans leurs activités professionnelles et permettre à l’institut de relever les défis juridiques et techniques posées par la réglementation, l’Institut s’est doté d’équipes pluridisciplinaires dédiées et développe les synergies indispensables, dans l’institut et avec les partenaires.
Ce renforcement du support de proximité est passé notamment par le renforcement de la fonction de DPO, point de contact de l’Institut avec la CNIL.
La réglementation est complexe et en constante évolution ; elle est d’autant mieux appliquée qu’elle est comprise des personnels qui traitent les données. Des campagnes d’information et de formation au RGPD et à ses contraintes sont réalisés régulièrement afin de sensibiliser les personnels, chercheurs comme administratifs, services supports et référents.
La DPO met également à la disposition des équipes, des supports pédagogiques (guides, supports sur l’intranet d’entreprise, etc.), réalisés au plus près des besoins opérationnels, permettant aux personnels de s’approprier le cadre juridique, d’acquérir les bons réflexes et de les guider dans leur démarche de mise en conformité.
Le rôle des participants aux recherches est majeur et leur droit à être informés de l’utilisation de leurs données doit être respecté. Un guide permet, ainsi, de rédiger des notices d’information claires et conformes à la réglementation. Un « Portail de transparence » destiné à l’information des personnes participant aux recherches complète le dispositif.
La préparation et l’instruction réglementaire des dossiers de demandes d’autorisation pour des études sont devenues complexes : l’anticipation est clé pour éviter les « erreurs d’aiguillage », couteuses en temps et en énergie. En rencontrant les chercheurs dès la phase de conception de leurs projets, nous les aidons à identifier la bonne procédure, à intégrer les contraintes de la réglementation dans leur méthodologie et à construire des dossiers solides, capable de conduire à des autorisations dans des délais très brefs et qui sont aussi des "feuilles de route" pour les chercheurs.
Enfin, l’Institut du Cerveau et les chercheurs ont une voix à faire entendre dans l’élaboration des normes qui leur sont applicables. Grâce aux échanges constants de la Délégation avec les chercheurs, la cellule RIPH, les autres DPO, l’Institut a notamment participé à la consultation lancée par la CNIL sur les référentiels santé. Nous poursuivrons avec enthousiasme ces travaux pour bâtir tous ensemble, les décideurs publics et les acteurs concernés, un droit exigeant et efficace qui fluidifie l’activité de recherche au bénéfice de la santé des populations tout en assurant la promotion d’une recherche responsable.
