LES DONNÉES DE SANTÉ DES ESSAIS CLINIQUES : APPORTS DU BIOTECH ACT

La proposition de la Commission européenne du règlement européen Biotech Act du 16 décembre 2025 s’inscrit dans une dynamique de simplification et d’harmonisation globale du droit européen (en droit de la santé ou droit du numérique).

Parmi les réformes envisagées, la révision de l’article 93 du règlement sur les essais cliniques 536/2014 soulève des enjeux majeurs en matière de protection des données dans les essais cliniques, de responsabilités RGPD des promoteurs et investigateurs et de réutilisation des données d’essais cliniques. Disparition annoncée des méthodologies de référence ? Clarification réelle ou inachevée des rôles RGPD entre promoteurs et investigateurs ?

Portée par la tendance législative inflationniste européenne en matière de numérique et de santé (Omnibus ACT, Règlement SoHO, Règlement EHDS, Règlement IA, Règlement simplification DM/DMDIV, Paquet pharmaceutique etc..), la Commission européenne a proposé un nouveau texte le 16 décembre 2025 : le projet de règlement Européen Biotech Act.

Cette proposition a pour objectif de renforcer la compétitivité et d’accélérer l’entrée sur le marché européen des innovations biotechnologiques, tout en maintenant des normes de sécurité élevées. Ces objectifs généraux se traduisent à travers 7 chapitres détaillant l’ensemble des mesures pour renforcer la compétitivité des biotechnologies en santé.

En plus de ces sept chapitres, le Biotech Act modifie plusieurs règlements européens dont notamment le règlement relatif aux essais cliniques 536/2014 (ci-après « REC »).

Parmi les révisions proposées du REC, la révision de l’article 93 « Protection des données » mérite une attention particulière.

Les marges de manœuvres laissées aux Etats membres dans l’application du RGPD en matière de santé (conformément au considérant 10 RGPD) ont conduit à une certaine fragmentation dans son application.

En France, cela s’est traduit par l’adoption d’un régime juridique spécifique consacré aux traitements des données de santé (structuré autour de la section 3 de la Loi Informatique et Libertés). En matière de recherche, ce cadre impose notamment le recours à des méthodologies de référence (ci-après « MR »), auxquelles les promoteurs et investigateurs doivent se conformer pour bénéficier d’un régime déclaratif allégé.

C’est précisément dans ce contexte que s’inscrit la portée du nouvel article 93 paragraphe 7 qui dispose que « Par dérogation à l’article 9, paragraphe 4, du règlement (UE) 2016/679, les États membres ne peuvent maintenir ou introduire d’autres conditions, y compris des limitations, en ce qui concerne le traitement des données à caractère personnel, y compris les données génétiques ou les données relatives à la santé dans le cadre d’essais cliniques réalisés conformément au présent règlement. »

La portée de cette disposition est radicale. Si elle était définitivement adoptée, elle consacrerait la fin des régimes nationaux dérogatoires en matière de données de santé pour les essais cliniques. En France, cela signifierait donc la disparition des méthodologies de référence

Lors de projets de recherche européens, les acteurs se trouvent souvent en difficulté lorsque qu’il s’agit de définir les responsabilités RGPD de chaque acteur. En France le promoteur est qualifié de responsable de traitement et le centre investigateur « sous-traitant ». Mais en Allemagne, il est souvent admis que le promoteur et le centre définissent ensemble les moyens et les finalités du traitement, ils concluent alors un accord de responsabilité conjointe (Joint Controller Agreement). Dans ce type de situations, les divergences nationales ralentissent inévitablement la conclusion des accords de consortium entre partenaires européens. A cet égard, le Comité européen de la protection des données (ci-après CEPD) ne s’est jamais positionné de manière claire sur la responsabilité RGPD du promoteur et du centre investigateur en recherche clinique.

C’est ainsi que les paragraphes 1 et 2 du nouvel article 93 du règlement CTR viendraient mettre fin à ces difficultés d’interprétation en dressant une énumération des traitements pour lesquels le promoteur et l’investigateur traitent chacun respectivement des données à caractère personnel dans le cadre d’un essai clinique en qualité de responsable de traitement.

Paragraphe1 Article 93 : Lorsqu’ils accomplissent les missions qui leur sont confiées en vertu du présent règlement les promoteurs sont tenus de traiter les données à caractère personnel y compris des données génétiques ou des données concernant la santé aux fins suivantes :

1. la soumission des demandes conformément aux articles 5, 11, 14 et 16 ;
2. la réalisation d’activités de recherche dans le cadre d’un essai clinique, conformément au protocole autorisé par les autorités nationales compétentes en application du point D de la partie I de l’annexe I ;
3. l’exécution des activités de sécurité et de déclaration conformément aux articles 41 à 43 et 52 à 54 ;
4. l’enregistrement, le traitement, la gestion et la conservation des informations conformément à l’article 56 ;
5. l’archivage conformément à l’article 58 ;
6. la soumission au portail de l’Union européenne du résumé des résultats de l’essai clinique, du résumé destiné au grand public, du rapport d’étude clinique et, le cas échéant, des données brutes, conformément à l’article 37, paragraphe 4.

Paragraphe 2 Article 93 : Lorsqu’ils accomplissent les missions qui leur sont confiées en vertu du présent règlement les investigateurs sont tenus de traiter des données à caractère personnel, y compris des données génétiques ou des données concernant la santé, aux fins suivantes :

1. la réalisation d’activités de recherche dans le cadre d’un essai clinique, conformément au protocole autorisé par les autorités nationales compétentes en application du point D de la partie I de l’annexe I ;
2. l’exécution des obligations de déclaration en matière de sécurité conformément aux articles 41 et 54
3. l’enregistrement, le traitement, la gestion et la conservation des informations conformément à l’article 56 ;
4. l’archivage conformément à l’article 58.

Un point particulièrement intéressant concerne également le paragraphe 3 de cet article. En effet : « Pour l’évaluation du traitement conduisant à l’autorisation des demandes d’essais cliniques et des opérations visées au présent article, les promoteurs et les investigateurs sont des responsables du traitement au sens de l’article 4, paragraphe 7, du règlement (UE) 2016/679. »

Cette clarification des rôles et responsabilités RGPD est, en soi, bienvenue au regard des difficultés récurrentes rencontrées par les acteurs impliqués dans des projets européens multicentriques européens. Elle demeure toutefois incomplète, voire décevante sur un point central. En effet, si le paragraphe 4 consacre expressément la qualité de responsables du traitement des promoteurs et des investigateurs pour les opérations qu’il vise, il se garde bien de préciser le régime applicable aux traitements relevant du paragraphe 1, lorsque le promoteur est seul à déterminer les finalités et les moyens du traitement. Aucune indication n’est apportée sur la qualification RGPD du centre investigateur dans cette hypothèse : responsable conjoint, responsable distinct ou simple sous-traitant. Cette absence de clarification est regrettable, tant elle laisse subsister une zone grise juridique pourtant au cœur des pratiques opérationnelles lors de projets européens multicentriques.

De même, il n’est pas précisé le rôle du promoteur lorsque le Centre investigateur sera responsable de traitement.

En outre, il convient de souligner que cette nouvelle rédaction de l’article 93 du REC s’inscrit dans la volonté de réutilisation des données. En effet, la réutilisation des données d’essai clinique sera permise pour le même responsable de traitement aux fins d’autres essais cliniques menés ou de recherches scientifiques visant à protéger la santé publique, à améliorer la qualité des soins et à favoriser la capacité d’innovation de la recherche médicale européenne (Article 93 Paragraphe 6).

En pratique, cette possibilité de réutilisation n’est pas une innovation radicale. Le droit positif l’autorise déjà, sous réserve du respect du test de compatibilité prévu par le RGPD. Le Comité européen de la protection des données (CEPD) s’était d’ailleurs explicitement prononcé sur ce point, en précisant les conditions de la réutilisation secondaire des données d’essais cliniques à des fins scientifiques en dehors du protocole initial, dans une FAQ dédiée à l’interaction entre le règlement relatif aux essais cliniques et le RGPD.

Toutefois, une lecture attentive du paragraphe soulève encore une interrogation intéressante. Cette disposition implique-t-elle que les promoteurs ne puissent plus interdire aux centres investigateurs de réutiliser les données pour lesquelles ces derniers sont qualifiés de responsables de traitement c’est-à-dire les situations expressément visées aux Paragraphe 2 Article 93 ? La question demeure ouverte. En effet, dès lors que l’article reconnaît explicitement des situations dans lesquelles le centre investigateur est responsable de traitement, il devient difficilement soutenable de considérer que le promoteur pourrait, par principe, interdire toute réutilisation des données par le centre investigateur pour des recherches ultérieures pour ces finalités. Lorsque le centre est juridiquement responsable de traitement il détient la maîtrise des finalités et des moyens du traitement concerné.

Au regard des enjeux juridiques que représente ce nouveau texte, il conviendra de suivre avec attention son adoption par le législateur européen.