Pour s’adapter aux enjeux du numérique en santé et apporter une régulation agile à l’innovation, la CNIL lance un appel à projets “bac à sable”. Présentation.
Dans une logique de régulation agile et ouverte sur des problématiques innovantes, la CNIL lance un appel à projets « bac à sable » RGPD. Ce dispositif permettra aux trois lauréats de cette première édition de bénéficier d’un accompagnement renforcé pour aboutir à une solution technologique conforme à la règlementation et respectueuse de la vie privée.
Dans une approche de modernisation et d’adaptation aux enjeux du numérique en santé, la CNIL a souhaité compléter ses instruments traditionnels d’appui à l’innovation par la mise en place d’un « bac à sable ». Il fournira un accompagnement renforcé, pendant une durée déterminée, à des porteurs de projets emblématiques en termes de protection des données personnelles.
Ce bac à sable ne pourra pas conduire à lever les contraintes réglementaires, même temporairement, car les textes européens en matière de protection des données (RGPD) ne prévoient pas de dérogation pour ce motif. Cependant, il a bien une vocation expérimentale, de test, pour lever une difficulté ou une incertitude, identifiée de manière partenariale avec le porteur de projet.
Le bac à sable est ouvert à tous les projets innovants, quel qu’en soit leur statut (public ou privé), la taille, la maturation (start-up ou acteur déjà existant), ou le secteur (industrie, services…). Cette démarche expérimentale vise à mettre en œuvre le « privacy by design » à un stade précoce du développement du projet. Ainsi, il ne vise pas des projets opérationnels ou déjà lancés.
Un appel à projets dans la santé numérique
En 2021, pour sa première année, le bac à sable de la CNIL est ouvert à trois projets innovants dans le domaine de la santé numérique. L’actualité démontre en effet chaque jour l’intérêt de disposer, dans ce domaine, de solutions techniques sécurisées, de services donnant au patient confiance dans les nouveaux usages, et de règles claires en matière d’information, de consentement et de réutilisation des données.
Pour sélectionner les lauréats, un appel à projets est ouvert jusqu’au 2 avril 2021.
Information et dépôt des dossiers sur cnil.fr
Les critères de sélection porteront sur :
- Le bénéfice pour le public : le projet doit répondre à un enjeu de santé publique ou contribuer à un intérêt collectif en termes de service rendu (y compris en alternative à un service existant) ;
- L’intérêt pour la protection des données : a CNIL souhaite retenir des dossiers permettant de mettre en lumière ou d’établir des bonnes pratiques sectorielles (résolution d’une question juridique nouvelle ou importante ou définition de choix techniques, permettant de préciser la doctrine de la CNIL). Dans le domaine concerné, des projets relevant de la télé-santé, de l’accès aux données de recherche, de partage des informations entre professionnels de santé ou de l’intelligence artificielle en santé (notamment jeux de données d’apprentissage, prévention et gestion des biais, transparence et explicabilité), par exemple, seraient un plus.
- Le projet devra enfin témoigner d’un engagement fort dans son approche de la conformité RGPD : seront privilégié des projets ayant déjà développé des réflexions en la matière, avec un réel engagement de tenir compte des recommandations apportées et ayant des moyens opérationnels suffisants à y consacrer, à la mesure du fort investissement des services de la CNIL pour le projet.
Après examen des candidatures, un comité d’évaluation comprenant des personnalités extérieures expertes se réunira pour auditionner les porteurs de projet correspondant le mieux aux priorités de la CNIL. Trois critères principaux seront pris en compte : le bénéfice pour le public, l’intérêt pour la protection des données, et un engagement fort du porteur de projet dans la démarche.
Pour les trois projets en santé numérique retenus, portant sur un bien ou un service innovant en lien avec le traitement de données de santé, l’accompagnement renforcé aura vocation à durer jusqu’à la fin de l’année 2021.
Source : CNIL