CERFA 10769-03 : Demande d'autorisation d'un traitement de recherche dans le domaine de la santé

Comprendre le CERFA 10769*03, demande d'autorisation d'un traitement de recherche dans le domaine de la santé

Le CERFA 10769*03 correspond à la demande d'autorisation d'un traitement de recherche dans le domaine de la santé. Il s'adresse à un public professionnel, en particulier aux promoteurs de recherche, établissements de santé, organismes de recherche, structures universitaires, sociétés savantes, investigateurs et, plus largement, à toute entité qui met en œuvre un traitement de données à caractère personnel dans le cadre d'une recherche en santé.

Ce formulaire s'inscrit dans un cadre particulièrement sensible, car il porte sur des données de santé, parfois associées à des données directement identifiantes, à des prélèvements biologiques, à des données issues de l'assurance maladie, ou encore à des informations sur le statut vital des personnes. La demande d'autorisation relève historiquement de la CNIL et le formulaire mentionne aussi l'avis du Comité consultatif sur le traitement de l'information en matière de recherche dans le domaine de la santé, appelé CCTIRS dans le document source.

Le titre officiel du formulaire est clair : il ne s'agit pas d'une simple déclaration administrative, mais bien d'une demande d'autorisation. Cela implique un dossier complet, argumenté, cohérent sur le plan scientifique, juridique et technique.

Le formulaire demande notamment d'identifier :

• le demandeur, c'est-à-dire le responsable du traitement ou le promoteur de la recherche,
• l'investigateur et, le cas échéant, le responsable scientifique,
• le service chargé de la mise en œuvre concrète du traitement,
• la finalité précise de la recherche,
• les catégories de données traitées, leur origine, leur durée de conservation et leurs destinataires,
• l'existence éventuelle d'un transfert de données hors de l'Union européenne,
• les mesures de sécurité, de confidentialité, de sauvegarde, d'authentification et de journalisation,
• les modalités d'information des personnes concernées et l'exercice de leurs droits.

Le niveau d'exigence est donc élevé. Une imprécision sur la finalité, une durée de conservation mal justifiée, une sécurité technique trop sommairement décrite, ou une information incomplète des personnes concernées peuvent fragiliser le dossier.

Dans quels cas utiliser ce formulaire

Le CERFA 10769*03 est utilisé lorsqu'un projet de recherche dans le domaine de la santé nécessite une autorisation de traitement de données personnelles. Il concerne les recherches qui exploitent des informations relatives à des personnes physiques, vivantes ou décédées, lorsque ces informations relèvent du champ de la santé ou de catégories de données sensibles.

Le contenu du formulaire montre qu'il peut viser des situations variées, par exemple :

• une recherche clinique ou épidémiologique impliquant des patients identifiés ou identifiables,
• une étude reposant sur des dossiers médicaux, des bases hospitalières ou des registres,
• une recherche avec collecte de données directement auprès des personnes concernées,
• un protocole comportant des prélèvements biologiques identifiants, notamment des données génétiques,
• une étude croisant des données de santé avec des données issues de l'assurance maladie ou du statut vital,
• un traitement réalisé par le promoteur lui-même ou confié à un prestataire ou sous-traitant.

Le formulaire ne doit pas être abordé comme un simple support administratif. Il matérialise la traduction opérationnelle du protocole de recherche sur le terrain de la protection des données. En pratique, le contenu déclaré doit être cohérent avec les documents scientifiques et éthiques du projet.

Les informations à préparer avant de remplir le CERFA 10769*03

Identification du demandeur et des intervenants

La première partie du formulaire vise l'identification du responsable du traitement ou promoteur de la recherche. Il faut réunir les coordonnées de l'organisme, le numéro SIRET, le code APE, les coordonnées du service concerné et l'identité de la personne à contacter pour toute demande de complément.

Le formulaire demande également l'identification de l'investigateur et, si nécessaire, du responsable de la recherche. Il faut donc disposer d'informations administratives exactes et à jour, en particulier les adresses électroniques, souvent utilisées pour les échanges relatifs au dossier.

Avis du CCTIRS et dossier scientifique

Le formulaire comporte une rubrique dédiée à l'avis rendu par le CCTIRS, avec le numéro d'avis et sa date. Le document source précise qu'il convient de transmettre cet avis et, en cas d'avis réservé, les réponses apportées aux réserves formulées.

Il est aussi demandé de joindre le dossier présenté au CCTIRS, comportant notamment le protocole de recherche. Cette mention est essentielle : la demande d'autorisation ne repose pas uniquement sur le CERFA lui-même, mais sur un ensemble documentaire que l'administration doit pouvoir analyser dans sa globalité.

Finalité de la recherche

La finalité doit être rédigée avec précision. Il faut expliquer l'objectif réel de la recherche, sa justification, la population concernée, les données nécessaires et l'usage concret qui sera fait des informations collectées ou exploitées.

Une formulation trop générale est à éviter. Il faut montrer le lien entre :

• l'objectif scientifique poursuivi,
• les données demandées,
• les personnes qui y auront accès,
• la durée de conservation,
• les mesures de sécurité mises en place.

Cartographie complète des données traitées

Le formulaire prévoit un tableau très détaillé. Pour chaque catégorie de données, il faut préciser le détail des informations concernées, leur origine, la durée de conservation et les destinataires. Les rubriques couvrent notamment :

• l'identité et les données d'identification du patient,
• les données de santé,
• la vie personnelle et la vie professionnelle,
• les prélèvements biologiques identifiants,
• les données particulièrement sensibles, comme les origines ethniques, les opinions ou la vie sexuelle,
• le numéro de sécurité sociale,
• les données relatives aux infractions, condamnations ou mesures de sûreté,
• les difficultés sociales,
• les données sur le décès,
• les données de l'assurance maladie,
• les données d'identification des investigateurs,
• toute autre donnée utile à la recherche.

Avant de compléter cette partie, il est préférable d'établir un inventaire interne des traitements. Cette préparation réduit le risque d'oubli ou d'incohérence. Pour les équipes qui veulent gagner du temps sur la phase documentaire, Startdoc met à disposition une version structurée du CERFA 10769*03 qui facilite la préparation du dossier avant transmission à l'autorité compétente.

Comment remplir le formulaire étape par étape

Étape 1, renseigner le demandeur

Indiquez la raison sociale ou le nom du demandeur, son service, son adresse, son adresse électronique, ainsi que les identifiants administratifs demandés. Les champs signalés comme obligatoires doivent être complétés avec soin. La personne désignée pour les échanges doit être réellement en mesure de répondre aux demandes de précision.

Étape 2, identifier l'investigateur et le lieu de mise en œuvre

Le formulaire distingue l'investigateur du service chargé de la mise en œuvre du traitement. Cette distinction est importante lorsque la recherche mobilise plusieurs acteurs, par exemple un promoteur, un établissement de santé, un laboratoire d'analyse et un sous-traitant informatique.

Si le traitement est assuré par un tiers ou par un service différent du déclarant, il faut le préciser explicitement. Cette information doit ensuite être cohérente avec les mesures de sécurité, les destinataires des données et, si besoin, les transferts de données.

Étape 3, joindre l'avis du CCTIRS

Renseignez le numéro et la date de l'avis. Si l'avis comporte des réserves, il convient d'ajouter les réponses formulées. En pratique, l'absence de pièce jointe ou une pièce incomplète peut retarder l'instruction.

Étape 4, décrire précisément la finalité de la recherche

Exposez l'objet de l'étude de façon claire, sans jargon inutile. Il faut faire apparaître la logique de nécessité : pourquoi ces données sont-elles nécessaires à cette recherche précise, et non à une autre finalité plus large ou indéterminée.

Étape 5, compléter le tableau des données traitées

Pour chaque catégorie, il faut indiquer :

• le détail exact des données concernées,
• leur origine, collecte directe ou indirecte,
• la durée de conservation sur support informatique,
• les destinataires ayant accès aux données.

Cette partie exige une attention particulière, surtout lorsque certaines données ne concernent qu'une partie de la cohorte ou ne sont accessibles qu'à certains intervenants.

Étape 6, déclarer les transferts de données hors de l'Union européenne

Le formulaire demande si des données directement identifiantes sont transmises hors de l'Union européenne vers un pays n'assurant pas un niveau de protection suffisant. Si la réponse est positive, une annexe spécifique doit être complétée.

En cas de doute sur la qualification du transfert ou sur le niveau de protection du pays concerné, il est prudent de vérifier les informations actualisées sur le site de la CNIL.

Étape 7, détailler la sécurité et la confidentialité

Le formulaire attend un niveau de détail technique important. Il faut notamment décrire :

• les supports de collecte et de transmission,
• les systèmes d'exploitation,
• l'architecture informatique, postes, serveurs, hébergement interne ou externalisé,
• les logiciels ou bases de données utilisés,
• les réseaux et mécanismes d'interconnexion,
• les échanges avec des tiers et leurs sécurisations,
• la sécurité physique des locaux,
• les sauvegardes, leur fréquence et leur protection,
• les moyens de prévention des intrusions,
• les règles de développement et de maintenance,
• les mécanismes d'authentification et d'habilitation,
• la journalisation des accès et des actions,
• les procédés d'anonymisation, de chiffrement et de sécurisation des transports.

Cette partie doit être rédigée de façon concrète. Les formules vagues, comme "sécurité assurée" ou "accès réservé", sont insuffisantes si elles ne sont pas accompagnées d'éléments précis sur les dispositifs réellement en place.

Étape 8, préciser l'information des personnes concernées

Le formulaire demande comment les personnes sont informées, par note d'information individuelle, formulaire de recueil du consentement ou autre moyen. Les documents correspondants doivent être joints lorsqu'ils sont requis.

Le contenu de cette information doit être cohérent avec le protocole, la nature des données traitées, les modalités de collecte et les droits reconnus aux personnes concernées.

Pièces et éléments à réunir pour un dossier solide

Le document source mentionne plusieurs pièces ou éléments justificatifs à transmettre. Leur présence est déterminante pour l'instruction du dossier.

Selon la nature du projet, d'autres documents techniques peuvent être utiles, notamment ceux décrivant l'architecture informatique, l'hébergement, les procédures d'habilitation, ou les règles de conservation et d'archivage.

Délais, transmission du dossier et suite de la procédure

Délais à anticiper

Le document source fourni ne fixe pas, à lui seul, un délai chiffré d'instruction. Il faut donc rester prudent et ne pas annoncer de calendrier certain sans vérification complémentaire. En pratique, un projet de recherche impliquant des données de santé nécessite souvent un temps de préparation important, car le dossier doit être complet dès le dépôt.

Il est recommandé d'anticiper :

• le temps de collecte des informations administratives, scientifiques et techniques,
• l'obtention de l'avis consultatif requis lorsqu'il est nécessaire,
• la préparation des annexes et pièces justificatives,
• les éventuelles demandes de compléments formulées pendant l'instruction.

Pour connaître les modalités actualisées, il convient de consulter la fiche officielle liée à l'identifiant DILA R18457 sur Service-Public.fr ou les informations diffusées par la CNIL.

Où envoyer le formulaire

Le formulaire source mentionne la CNIL. Historiquement, les coordonnées de la Commission nationale de l'informatique et des libertés figurent sur le document. Toutefois, les modalités de dépôt peuvent évoluer, notamment en cas de téléservice ou de procédure dématérialisée. Avant l'envoi, il est préférable de vérifier le canal exact de transmission sur la page officielle du service.

Le lien de référence associé à ce formulaire est celui de Service-Public.fr correspondant à l'identifiant R18457. Cette vérification est particulièrement utile si vous travaillez à partir d'une version archivée du CERFA ou si votre établissement suit une procédure interne ancienne.

Que se passe-t-il après l'envoi

Après transmission, le dossier peut faire l'objet d'un examen portant à la fois sur :

• la légitimité et la précision de la finalité de la recherche,
• la proportionnalité des données collectées,
• la justification des catégories de données sensibles,
• la durée de conservation,
• les destinataires et sous-traitants,
• les transferts éventuels hors de l'Union européenne,
• les garanties de sécurité et de confidentialité,
• l'information donnée aux personnes concernées.

Si des compléments sont demandés, la personne de contact mentionnée dans le formulaire doit pouvoir répondre rapidement et de manière documentée. Une réponse incomplète ou contradictoire peut retarder l'issue de la procédure.

Points de vigilance pour éviter un rejet ou une demande de complément

Plusieurs erreurs reviennent souvent dans ce type de démarche :

• une finalité trop large, qui ne permet pas de comprendre l'objet exact de la recherche,
• des catégories de données mentionnées sans justification scientifique suffisante,
• des durées de conservation imprécises ou standardisées sans explication,
• des destinataires indiqués de manière trop générale,
• une sous-traitance non décrite alors qu'un prestataire intervient concrètement,
• des mesures de sécurité formulées de manière abstraite, sans détail technique,
• une note d'information absente ou inadaptée au protocole,
• une incohérence entre le CERFA, le protocole de recherche et les pièces jointes.

Le meilleur réflexe consiste à relire le dossier comme un ensemble unique. Le formulaire, l'avis consultatif, le protocole, les documents d'information et les annexes doivent raconter la même opération de traitement, avec le même périmètre et les mêmes garanties.

Ce qu'il faut retenir sur le CERFA 10769*03

Le CERFA 10769*03 est un formulaire central pour les professionnels qui sollicitent une autorisation de traitement de données dans le cadre d'une recherche en santé. Il ne se limite pas à une formalité administrative, car il exige une présentation complète du projet, des données traitées, des circuits d'accès, des garanties de sécurité et des modalités d'information des personnes.

Un dossier bien préparé repose sur trois exigences : une finalité de recherche clairement formulée, une cartographie rigoureuse des données et une description précise des mesures de confidentialité. Avant tout envoi, il est conseillé de vérifier la version du formulaire, les modalités actualisées de dépôt et les informations officielles disponibles sur Service-Public.fr et auprès de la CNIL.