Transferts de données entre l'UE et le Royaume-Uni : conséquences pour le secteur européen des soins de santé

Lors du séminaire en ligne organisé le 6 mai par le European Health Stakeholder Group (EHSG), la DG JUST et des représentants du secteur de la santé ont discuté des implications du partage des données entre l'UE et le Royaume-Uni pour les soins de santé et les patients européens.

La reconnaissance de l'adéquation du régime britannique de protection des données est vitale pour le fonctionnement du secteur européen de la santé. Les experts ont parlé des mesures strictes qui sont déjà en place pour assurer la plus grande protection des données personnelles dans ce secteur.

Une décision d'adéquation est essentielle pour faire face aux menaces sanitaires transfrontalières telles que la COVID-19. Elle permettra également la circulation des professionnels et facilitera la recherche, le développement et la coopération. La collaboration européenne, soutenue par les transferts de données, améliore les résultats pour les patients et finalement, sauve des vies.

Il est vital que les députés européens considèrent les implications réelles et les impacts de leur décision sur les citoyens européens.

Le Royaume-Uni a déjà légiféré pour considérer les pays de l'UE et de l'EEE, ainsi que les autres pays tiers actuellement considérés comme adéquats par l'UE, comme "adéquats" aux fins du Royaume-Uni. Cela signifie que les données peuvent circuler librement du Royaume-Uni vers ces pays. Sans une décision d'adéquation pour les flux de données de l'UE vers le Royaume-Uni, les patients, les professionnels, les chercheurs et l'industrie de l'UE seront les premiers à être affectés, et ce de manière disproportionnée.

Protéger les avantages de la libre circulation des données de santé personnelles doit être une priorité absolue, tout en veillant à ce que les données de santé personnelles restent protégées. La Commission européenne a procédé à une analyse approfondie du régime britannique de protection des données et le Conseil européen de la protection des données a reconnu que la législation britannique en la matière était parfaitement alignée sur celle de l'UE.

Le temps presse. L'accord provisoire de partage des données conclu dans le cadre de l'accord de commerce et de coopération expirera le 30 juin 2021. Il est essentiel que le processus de ratification de l'accord d'adéquation britannique soit conclu avant cette date, afin d'offrir aux patients et au secteur de la santé la sécurité juridique dont ils ont tant besoin.

Le Groupe européen des parties prenantes dans le domaine de la santé exhorte maintenant les députés européens et les États membres à protéger le secteur européen des soins de santé en approuvant les projets de décisions d'adéquation du Royaume-Uni, comme il l'a fait pour un certain nombre de pays tiers.

Pendant l'événement, les panélistes ont fait les commentaires suivants au nom de leur secteur de la santé européenne.

Patients

Sara Badreh, responsable principale des projets de santé et de recherche, Coalition européenne des patients atteints de cancer.

"Le partage des données améliore fondamentalement les soins pour les patients. Les flux de données UE-Royaume-Uni sont nécessaires au partage des connaissances entre les cliniciens, aux soins de santé transfrontaliers et à la sécurité des patients."

"Les clauses contractuelles standard pour les transferts de données sont complexes, lourdes et coûteuses, elles constituent une alternative mais peuvent être excessives pour les services aux patients et auront un impact sur les soins aux patients."

"Le recrutement des patients pour les essais cliniques, en particulier ceux portant sur les maladies rares ou infantiles, repose sur les transferts de données transfrontaliers pour atteindre le nombre nécessaire de patients. La dépendance à l'égard des données internationales et du recrutement des patients ne devrait que croître, car les futurs essais cliniques examineront de plus en plus des méthodes de traitement innovantes et regrouperont les patients en fonction de profils génétiques spécifiques et rares."

Recherche

Roxana Albu, déléguée principale à la protection des données, Organisation européenne pour la recherche et le traitement du cancer.

"Se retrouver sans mécanisme de transfert de données après juin compromet la sécurité des patients, car les données de sécurité des essais circulent de l'UE vers le Royaume-Uni."

"Le premier impact sera directement sur les patients".

"Nous sommes encore en train de nous remettre de l'impact de Covid-19 sur les études que nous menons."

"L'absence de décision d'adéquation aura un gros impact sur l'innovation. Les études devront être mises en attente. L'[EOTRC] a plus de 200 études pour lesquelles nous aurions besoin d'évaluer l'interruption des transferts de données sur le cancer vers le Royaume-Uni. L'absence d'adéquation au Royaume-Uni entraînerait une telle complexité que nous ne serions même pas en mesure de la cartographier et nous en verrions les conséquences pendant des années."

Industrie

Brendan Barnes, directeur de la propriété intellectuelle et de la protection des données, Fédération européenne d'associations et d'industries pharmaceutiques, a déclaré que :

"Nous sommes dans une situation extraordinaire où nous ne sommes pas sûrs de la base sur laquelle nous pouvons transférer les données de sécurité des médicaments aux autorités."

"Les règles d'entreprise contraignantes et l'utilisation de clauses contractuelles types seraient une alternative à une décision d'adéquation des données, mais il existe des lacunes dans les processus".

"Les mécanismes alternatifs et les clauses contractuelles types représenteront un effort encore plus lourd pour les petites entreprises, les chercheurs et le secteur public."

Professionnels

Dr Michel Coleman, Professeur d'épidémiologie et de statistiques vitales, Affaires européennes de la British Medical Association :

"Après le Brexit, il est toujours possible pour les professionnels de santé européens de se rendre au Royaume-Uni pour travailler, que ce soit pour une expérience clinique ou de recherche. Il est toutefois important que l'établissement d'accueil britannique puisse évaluer les qualifications et l'expérience d'un candidat, en s'adressant à des personnes de référence ou aux institutions européennes dont il est originaire. Ce type d'échange ne peut se faire de manière fiable sans la liberté de transférer légalement des données de l'UE vers le Royaume-Uni. Si cela n'était pas possible, les professionnels de santé européens n’auraient plus accès à ce type d’expérience au Royaume-Uni."

"Je suis engagé dans la recherche multilatérale entre le Royaume-Uni et l'UE sur la survie des patients atteints de cancer depuis plus de 20 ans. Le programme CONCORD pour la surveillance mondiale de la survie au cancer détient plus de 10 millions de dossiers individuels de patients des pays européens sous la plus haute sécurité possible, et nous travaillons avec plus de 140 registres du cancer basés sur la population et dispersés dans toute l'Europe. CONCORD produit des estimations de la survie au cancer que l'UE utilise déjà dans le cadre de son plan "vaincre le cancer". Si une décision d'adéquation n'est pas adoptée par la Commission, ce programme de recherche sera totalement désactivé. Nous n'avons pas la capacité d'établir et de maintenir un contrat selon le mécanisme de la clause contractuelle standard avec chacun de ces 140 registres."

"Il faut reconnaître que le régime de protection des données au Royaume-Uni est incroyablement bien géré. Comme le souligne la DG JUST, le Royaume-Uni a adopté le GDPR, et l'a inscrit dans le droit britannique. Tous les principes, toutes les garanties, toutes les responsabilités sont identiques."

Note d'information

1) Qu'est-ce qu'une décision d'adéquation des données ?

La Commission européenne a le pouvoir de déterminer, sur la base de l'article 45 du règlement (UE) 2016/679, si un pays extérieur à l'UE offre un niveau adéquat de protection des données. L'effet d'une telle décision est que les données personnelles peuvent circuler de l'UE (et de la Norvège, du Liechtenstein et de l'Islande) vers ce pays tiers sans qu'aucune garantie supplémentaire ne soit nécessaire. En d'autres termes, les transferts vers le pays en question seront assimilés à des transmissions de données intra-UE.

2) Une décision d'adéquation britannique : Que s'est-il passé jusqu'à présent?

• La Commission européenne n'a pas été en mesure d'achever son évaluation du régime britannique de protection des données avant le 31 décembre 2020. Par conséquent, l'accord de coopération commerciale entre le Royaume-Uni et l'UE comprend une disposition qui permet de poursuivre la libre circulation des données à caractère personnel de l'UE, de l'Espace économique européen et des États de l'Association européenne de libre-échange (EEE et AELE) vers le Royaume-Uni jusqu'à l'adoption des décisions d'adéquation, ou au plus tard le 30 juin 2021.
• Le 19 février 2021, la Commission a lancé la procédure d'adoption de deux décisions d'adéquation pour les transferts de données à caractère personnel vers le Royaume-Uni, en vertu respectivement du règlement général sur la protection des données (RGPD) et de la directive relative à l'application de la loi (LED). La publication de ces projets de décisions a marqué le début d'un processus en vue de leur adoption.
• Le 13 avril 2021, le Conseil européen de la protection des données a adopté un avis non contraignant sur le projet de décision d'adéquation du Royaume-Uni, notant une "forte harmonisation" entre les cadres de protection des données de l'UE et du Royaume-Uni.

3) Une décision d'adéquation britannique : Que se passe-t-il ensuite?

• Le 10 mai 2021, la Commission des libertés civiles, de la justice et des affaires intérieures du Parlement européen confirmera sa position sur le projet de décision d'adéquation du Royaume-Uni.
• La Commission des libertés civiles, de la justice et des affaires intérieures est l'une des vingt commissions parlementaires. Le Parlement européen devrait discuter de l'adéquation du Royaume-Uni lors de la session plénière du 17 au 20 mai 2021, ce qui donnera lieu à la publication d'un rapport global non contraignant du Parlement européen.
• L'approbation finale des projets de décisions d'adéquation reviendra aux représentants des États membres de l'UE. Le Comité devrait prendre sa décision contraignante au début du mois de juin.• L'accord provisoire de partage des données entre l'UE et le Royaume-Uni expire le 30 juin 2021.