Lorsqu'une recherche à finalité commerciale impliquant la personne humaine, un essai clinique de médicaments ou une investigation clinique de dispositifs médicaux se déroule dans un établissement de santé, le responsable légal du lieu de la recherche est tenu de conclure avec le promoteur la convention prévue à l'article R. 1121-3-1 du code de la santé publique.

L’arrêté du 28 mars 2022 fixant le modèle de convention unique prévu à l'article R. 1121-3-1 du code de la santé publique s’applique désormais et abroge l’arrêté du 16 novembre 2016 fixant le modèle de convention unique prévu à l’article R 1121-4 du code de la santé publique. Néanmoins, les conventions en vigueur avant le 9 avril 2022 (date d’entrée en vigueur de l’arrêté) restent applicables.

Quatre articles nouveaux ont été intégrés à la convention antérieure. Ils concernent les traitements de données à caractère personnel. Le nouveau modèle invite désormais les parties à s’engager à respecter la loi « Informatique et libertés » (Loi n° 78-17 du 6 janvier 1978) et le règlement général sur la protection des données (RGPD) (règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016).

Plus spécifiquement, l’article 11bis du modèle de la convention prévoit que le promoteur et le coordonnateur sont responsables de traitement (RT) (Art. 4.7 du RGPD). Ils traitent, pour leur propre compte, les données à caractère personnel « des personnes physiques signant et visant la présente convention ainsi que les données à caractère personnel du personnel de l'autre partie ».
Ces personnes disposent de divers droits concernant le traitement leurs données personnelles (accès, rectification, effacement, etc.), qui peuvent être exercés directement auprès des parties à la convention.

Sont aussi rappelés les droits dont disposent l’investigateur coordonnateur et les différentes finalités de traitement de ses données à caractère personnel.
De même, une attention particulière est portée aux diverses obligations des centres d’investigation qui agissent comme sous-traitants du promoteur de la recherche (nouvelle annexe 3).
Désormais, les délégués à la protection des données (DPO) des promoteurs pourront évaluer de manière satisfaisante les analyses d’impact relatives à la protection des données, et ainsi vérifier la conformité du traitement à la réglementation en vigueur.