REDCap en France : obligations légales et bonnes pratiques d’hébergement

[Stéphane BéchetAdministrateur]

Développé à l’Université Vanderbilt, REDCap est un logiciel libre désormais déployé dans plusieurs milliers d’institutions à travers le monde. Il convient toutefois de rappeler qu’il ne s’agit que d’un outil applicatif : la responsabilité de la sécurité et de la conformité réglementaire incombe toujours à l’organisme qui l’installe et l’héberge.

En France, la question de l’hébergement certifié HDS (Hébergement de Données de Santé) pour des données de recherche pseudonymisées reste débattue.

• D’un côté, l’article L.1111-8 du Code de la santé publique impose le recours à un hébergeur certifié uniquement pour les activités de soin, prévention et suivi médico-social (https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000049571347)
• De l’autre, la CNIL et l’Agence du Numérique en Santé (ANS) rappellent que la pseudonymisation ne fait pas disparaître le caractère sensible des données (https://esante.gouv.fr/faq/si-jheberge-des-donnees-de-sante-pseudonymisees-suis-je-soumis-lobligation-de-certification-hds) : elles demeurent des données de santé à caractère personnel. Ces instances recommandent donc de privilégier un hébergement HDS (https://esante.gouv.fr/faq/si-jheberge-des-donnees-de-sante-pseudonymisees-suis-je-soumis-lobligation-de-certification-hds), tout en reconnaissant certaines exemptions pour les recherches sans lien direct avec le soin (https://esante.gouv.fr/foire-aux-questions/produits-services/hds).

Dans la pratique, même lorsque la loi pourrait être interprétée de manière à éviter formellement l’obligation, choisir un hébergeur certifié HDS reste la solution la plus solide. Cela garantit :

• une meilleure sécurité technique (sauvegardes, chiffrement, disponibilité),
• une conformité réglementaire alignée avec les recommandations de la CNIL,
• une crédibilité accrue auprès des comités d’éthique et des autorités de contrôle,
• un cadre contractuel clair en cas d’audit ou de réutilisation secondaire des données.

À l’inverse, lorsque les projets ne portent ni sur des données de santé, ni sur des données personnelles sensibles, ou lorsque l’anonymisation a été effectuée de façon irréversible, un hébergement classique peut suffire.

En résumé, pour toute donnée de santé, qu’elle soit directement identifiable ou seulement pseudonymisée, l’hébergement certifié HDS constitue aujourd’hui une démarche de rigueur et de précaution, dans un environnement réglementaire en constante évolution.

[Auteur]

Messages