Expertises des Systèmes d'information - Novembre 2020 - N°462 - Le mensuel du droit de l'informatique et du multimédia - 393

organisme de recherches tel
que le CNRS, l'INRA, l'Inserm,
etc.) qui prend l'initiative de la
recherche, en assure la gestion
et vérifie que son financement
est prévu ; et
■	 le ou les établissements de santé
au sein duquel ou desquels est
menée la recherche.
Cette «  convention-type  » est
dénommée « convention unique ».

Ce que recouvre
la convention unique
La convention unique, dont le cadre
est fixé par le décret n°2016-1538
en date du 16 novembre 2016,
a été publiée par un arrêté de la
même date. Deux modèles de
convention sont proposés : un pour
l'établissement
coordonnateur
de la recherche et un pour les
établissements associés.
Le but de la convention unique
est de simplifier les procédures
administratives, faciliter la transparence et accélérer la signature
des conventions liant promoteurs
et établissements de santé, en
proposant un modèle unique
encadrant les coûts et surcoûts
de mise en œuvre des recherches
entre le promoteur, l'établissement de santé, et le cas échéant,
une structure tierce destinataire
de contreparties, participant à
une même recherche. Rendue
obligatoire pour les recherches
interventionnelles, la convention
unique est le seul contrat à titre
onéreux qui puisse être conclu
entre le promoteur de la recherche
et l'établissement de santé.
Le fait que cette convention
unique soit obligatoire et ne
puisse être remplacée par un autre
contrat rend toutefois malaisé le
respect des obligations du RGPD.

Cohabitation malaisée entre
RGPD et convention unique
A peine une année et demie
après son adoption, le modèle de
convention unique est devenu
obsolète lors de l'entrée en application du RGPD, le 25 mai 2018. A titre
d'exemple, l'article 28 du RGPD

prévoit que lorsqu'un traitement de
données personnelles est réalisé
pour le compte d'un responsable
de traitement, le traitement doit
être régi par un contrat prévoyant
un certain nombre de dispositions
obligatoires  : l'objet et la durée du
traitement, la nature et la finalité
du traitement, le type de données
personnelles et les catégories de
personnes concernées, les obligations et les droits du responsable
du traitement, l'obligation pour
le sous-traitant de ne traiter
les données personnelles que
sur instructions documentées
du responsable de traitement,
l'obligation de confidentialité du
personnel traitant les données, les
modalités d'audit, de gestion des
droits des personnes concernées et
de destruction ou de restitution des
données, l'assistance du sous-traitant pour les analyses d'impact
et en cas de violation de données
personnelles, etc.
Ces dispositions ne figurent pas
dans la convention unique qui ne
prévoit pas non plus de possibilité de les intégrer. Le modèle de
convention unique, qui est une
annexe d'un arrêté ministériel, ne
peut en effet pas être modifié et doit
être utilisé tel quel. Il n'est donc pas
possible d'y introduire de nouvelles
dispositions, notamment celles
requises par le RGPD.
Or, dans le cadre des relations entre
promoteurs et établissements de
santé, il est primordial de définir la
qualification des parties (responsable
de traitement ou sous-traitant) et
leurs obligations selon l'article 28
du RGPD, ce que ne permet pas le
modèle de convention unique.
La seule référence de la convention
unique aux données personnelles
est de plus très limitée car elle
vise uniquement le cas de la
déclaration des liens d'intérêts. Les
conventions uniques étant visées
par les obligations de transparence
prévues à l'article L1453-1 et
suivants du code de la santé
publique, le promoteur doit en effet
déclarer la convention sur le site
EXPERTISES Novembre 2020

du ministère de la Santé dédié à la
transparence des liens d'intérêts
entre notamment les industries
de santé et les établissements de
santé. Dans ce cadre, des données
personnelles peuvent être traitées
par les promoteurs des recherches
concernées, afin de permettre
aux promoteurs de se conformer
à leurs obligations en matière de
transparence.
Il n'est en outre pas possible d'ajouter
les dispositions manquantes du
RGPD en annexe de la convention
unique car quatre possibilités
d'annexes seulement sont prévues
par le décret. Ces quatre annexes
pouvant être intégrées à la
convention unique portent sur les
listes et coordonnées de contacts,
les matrices de calcul des coûts
et surcoûts, les contreparties et
la mise à disposition de matériel.
Elles ne concernent donc pas les
dispositions relatives à la protection
des données personnelles.
Seul un contrat supplémentaire
semble donc pouvoir permettre
d'intégrer les dispositions requises
du RGPD.

Pistes de réflexion pour
concilier convention unique
et exigences du RGPD
Une solution envisageable est
en effet de proposer un accord
de
protection
des
données
personnelles ou Data Processing
Agreement (DPA) à son co-contractant, afin de pallier les manquements de la convention unique.
Il est cependant souvent ardu de
réussir à convaincre son partenaire
contractuel de la nécessité d'un
tel contrat supplémentaire, car
ce dernier va inévitablement
nécessiter des négociations et peut
retarder le processus de signature
et d'avancement du projet, allant à
l'encontre de l'objectif principal de
la convention unique.
En outre, il est d'autant plus difficile
d'argumenter sur la nécessité
d'un tel contrat en complément
de la convention unique et d'en
convaincre son co-contractant
car la Foire aux questions (FAQ)

393
Expertises des Systèmes d'information - Novembre 2020 - N°462 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Novembre 2020 - N°462 - Le mensuel du droit de l'informatique et du multimédia
