La Cnil publie LE 20/08/18 sur son site une page concernant la « modification d’un traitement de données ayant pour finalité une recherche, une étude ou une évaluation dans le domaine de la santé« .
Si les modifications ont un impact sur le traitement des données à caractère personnel ou les droits des personnes concernées, elles nécessitent une nouvelle autorisation.
Le document présente les cas de figure les plus courants de modifications du traitement de données et leurs conséquences en termes de formalités. La commission souligne que seules les modifications substantielles sont concernées.
La procédure varie en fonction de plusieurs critères : la catégorie de recherche mise en œuvre et les formalités préalables effectuées auprès de la Cnil.
Seules les modifications substantielles sont concernées.
Il s’agit des modifications portant sur les caractéristiques principales du traitement de données à caractère personnel (par exemple : ajout de nouvelles finalités, ajout de la collecte de données sensibles, etc.). Les comités compétents (CPP pour les recherches biomédicales ou recherches de soins courants ou les recherches impliquant la personne humaine ; CEREES pour les recherches n’impliquant pas la personne humaine) et la CNIL ne se prononceront pas sur les modifications non substantielles du traitement de données. Elles n’ont pas à leur être transmises et font uniquement l’objet d’une documentation en interne. Afin de vous aider, un tableau présentant des exemples de modifications avec les procédures à suivre est disponible ci-après. Un arbre décisionnel est également publié en même temps que le présent document.