Partage de données d'essais cliniques : guide de conformité

Le partage de données d'essais cliniques consiste à déplacer des dossiers patients pseudonymisés, des résultats biologiques, des rapports d'événements indésirables et des formulaires de recueil de données entre sponsors, CRO, sites investigateurs et autorités réglementaires, tout en respectant HIPAA, le RGPD article 9, les BPC ICH E6(R3) et le 21 CFR Partie 11. Les fichiers concernés — exports CSV pseudonymisés de données CRF, datasets SDTM/ADaM en .xpt, formulaires de consentement scannés en PDF, imagerie DICOM — exigent un chiffrement de bout en bout, des pistes d'audit vérifiables et des contrôles de rétention capables de survivre à une inspection réglementaire des années après la clôture de l'essai. La CNIL a publié des recommandations spécifiques sur la pseudonymisation en recherche clinique, et l'ANSSI préconise AES-256-GCM avec TLS 1.3 pour tout transfert de données de santé hors périmètre organisationnel.

Ce qui rend les données d'essais plus difficiles que les PHI ordinaires

Un dataset d'essai n'est pas simplement une information de santé protégée. C'est un produit réglementé que la FDA, l'EMA ou la PMDA peut auditer dix ans après la clôture. Une étude de Phase III en oncologie peut produire 800 Go de documents sources, 120 Go d'imagerie médicale par site, et une base de données verrouillée qui doit se réconcilier avec chaque journal de transfert. Perdre l'historique de transfert d'un seul fichier d'événement indésirable, et vous vous exposez à une observation Form 483 ou à un constat d'intégrité des données sous le Reflection Paper de l'EMA.

C'est pourquoi la limite de 250 Mo d'Outlook ou l'approche de lien public de Dropbox ne suffisent pas. Vous avez besoin d'une preuve cryptographique que le fichier A a quitté le site, est arrivé intact chez le sponsor, et n'a pas été modifié en transit.

Cartographier vos données sur le cadre réglementaire approprié

Avant de choisir une méthode de transfert, classifier ce que vous déplacez réellement.

Les documents sources (CRF, consentements, rapports d'EIG) relèvent du 21 CFR Partie 11 pour les dossiers électroniques. La Partie 11.10(e) exige des pistes d'audit sécurisées, générées par ordinateur et horodatées. Les datasets patients pseudonymisés sont des données pseudonymes au sens de l'Article 4(5) du RGPD — toujours des données personnelles, nécessitant toujours une base légale au titre de l'Article 6 et des garanties au titre de l'Article 32. Les données de publication anonymisées déposées dans des référentiels comme ClinicalStudyDataRequest.com ou Vivli doivent respecter les recommandations ICH E3 sur le partage de données. Les données de l'UE quittant l'EEE déclenchent les règles du Chapitre V. Les clauses contractuelles types au titre de la Décision de la Commission européenne de 2021 constituent le mécanisme par défaut.

Cartographier chaque type de fichier sur sa réglementation de référence avant d'ouvrir l'outil de transfert.

Un chiffrement qui résiste à l'examen réglementaire

Les régulateurs n'acceptent plus « nous utilisons SSL ». Ils veulent des spécificités. Le référentiel HHS OCR sur HIPAA cite le NIST SP 800-111 pour les données au repos et le NIST SP 800-52 Rev. 2 pour les données en transit. Plancher pratique : TLS 1.3 pour le canal de transfert (TLS 1.2 avec chiffres AEAD est acceptable ; SSLv3 et TLS 1.0/1.1 ne le sont pas) ; AES-256-GCM pour le chiffrement des fichiers au repos avec chiffrement authentifié ; PBKDF2-SHA256 avec 600 000 itérations minimum ou Argon2id pour les clés dérivées de passphrases ; chiffrement côté client pour les fichiers à risque le plus élevé, de sorte que le fournisseur de transfert ne détienne jamais le texte en clair.

HexaTransfer exécute AES-256-GCM dans le navigateur avant l'upload, ce qui correspond au modèle zéro-connaissance que les régulateurs attendent de plus en plus pour les données d'essais transfrontaliers.

Exigences de piste d'audit sous ICH E6(R3) et la Partie 11

Votre système de transfert doit produire une piste d'audit qu'un inspecteur FDA peut reconstituer sans appeler le support de votre fournisseur. Les champs minimaux : identité de l'utilisateur (authentifié, pas simplement « site03@hopital.org ») ; hash de fichier (SHA-256) à l'upload et au téléchargement ; horodatages en UTC avec fuseau horaire source ; adresse IP de l'expéditeur et du destinataire ; statut de succès ou d'échec ; méthode d'échange de mot de passe ou de clé.

Sous la Section 4.2.5 d'ICH E6(R3), les sponsors doivent conserver les dossiers de tous les transferts de données pendant la durée de l'essai plus la période de rétention — généralement 25 ans pour les dossiers d'autorisation de mise sur le marché en vertu de l'Article 58 du Règlement UE 536/2014. Si votre fournisseur supprime les journaux après 90 jours, vous avez une lacune de conformité.

Pseudonymisation avant que les fichiers quittent le site

Le RGPD Article 4(5) définit la pseudonymisation comme un traitement tel que les données ne peuvent plus être attribuées à une personne spécifique sans informations supplémentaires conservées séparément. Pour les transferts d'essais, cela signifie que la clé de réidentification reste au site investigateur, jamais dans le même transfert que le dataset codé.

Workflow pratique : le site envoie des datasets SDTM codés par numéro de sujet (ex. : 1001-0042) tandis que la table de liaison qui fait correspondre les numéros de sujets aux noms et numéros de dossiers médicaux reste dans le système EDC du site derrière un accès basé sur les rôles. Si un ordinateur portable contenant le dataset codé est volé dans un train, il n'y a pas d'exposition directe d'identifiants — même si l'Opinion 28/2024 de l'EDPB traite toujours les données codées comme personnelles.

Transferts transfrontaliers et réalité post-Schrems II

Un site allemand envoyant des données à un sponsor américain après Schrems II (CJUE Affaire C-311/18) a besoin de plus que des CCT. Les Recommandations 01/2020 de l'EDPB exigent une évaluation d'impact sur le transfert documentant des mesures supplémentaires. Le chiffrement où le fournisseur ne peut réellement pas déchiffrer constitue la mesure supplémentaire la plus nette sur la liste de l'EDPB.

Pour les essais impliquant la Chine, la Loi sur la Protection des Informations Personnelles (PIPL) Article 38 requiert soit une évaluation de sécurité CAC, soit une certification, soit un contrat standard. La Russie exige une localisation des données. Ne pas supposer qu'un workflow de transfert unique convient à tous les sites.

Chaîne de garde du site au sponsor jusqu'au régulateur

Une chaîne de garde défendable signifie que vous pouvez indiquer à un régulateur : « Le fichier EIG-0042-v3.pdf a été généré au Site 04 le 2026-03-12 à 14:22 UTC avec le hash SHA-256 8f3a... ; transféré au Monitoring Médical du Sponsor le 2026-03-12 à 14:24 UTC avec un hash identique ; accusé de réception dans la base de données de sécurité à 14:31 UTC. »

Intégrer cette chaîne dans le SOP de transfert, pas comme une réflexion après coup. Des outils comme Medidata Rave, Veeva Vault CDMS et Oracle Clinical One journalisent les événements sources, mais la couche de transfert entre eux et les collaborateurs externes est souvent là où la chaîne de garde se rompt. Un service de transfert qui écrit le SHA-256 dans le journal d'audit et le montre aux deux parties comble cette lacune.

Gérer l'imagerie et les grands datasets

Les lectures radiologiques pour les essais en oncologie, les tracés ECG en cardiologie et les images histologiques de lames entières en pathologie numérique poussent les tailles de fichiers vers des gigaoctets. Un fichier SVS de lame entière typique pèse 2 à 4 Go ; une étude DICOM avec des séquences IRM peut atteindre 500 Mo. L'email est exclu. Le FTP sans TLS est exclu. SFTP fonctionne mais manque du tableau de bord d'audit orienté utilisateur que les auditeurs veulent.

Le transfert web avec uploads reprennables, chiffrement par fichier et liens expirants couvre cette plage. Conserver les transferts individuels sous 10 Go pour qu'un upload échoué ne coûte pas des heures de retransmission, et diviser les soumissions plus importantes en bundles logiques — une visite, un sujet, une lecture.

Rétention, destruction et droit à l'oubli

Le RGPD Article 17 donne aux participants un droit à l'effacement, mais l'Article 17(3)(c) prévoit une exception pour la recherche scientifique lorsque l'effacement compromettrait les objectifs de recherche. Vous avez tout de même besoin d'une politique de suppression pour les artefacts de transfert — les copies sur le serveur de transfert, pas le dossier maître de l'essai.

Configurer les transferts pour qu'ils expirent automatiquement après 7 ou 14 jours. La copie de travail disparaît ; la copie faisant autorité vit dans votre eTMF validé. Documenter cela dans votre Plan de Gestion des Données pour qu'un inspecteur EMA voie une gestion intentionnelle du cycle de vie, pas des restes accidentels dans un outil de partage.

Rendre le workflow pratique pour les sites investigateurs

Les sites investigateurs jonglent avec plusieurs sponsors, chacun avec un portail différent, chacun exigeant une nouvelle connexion. C'est ainsi que les fichiers finissent sur Gmail personnel. Maintenir la simplicité : un workflow de transfert par sponsor, des instructions claires dans le classeur d'initiation du site, et un canal de passphrase séparé du canal de transfert (SMS pour le lien, appel téléphonique pour le mot de passe, ce qui fonctionne).

Pour les transferts ponctuels — un formulaire de consentement arrivé en retard, une demande d'imagerie imprévue — HexaTransfer sans compte supprime la friction. Testez-le sur https://hexatransfer.com — gratuit, sans compte, 10 Go maximum. Ensuite journaliser le transfert dans votre dossier de site de la même manière que vous journaliseriez un envoi par coursier : date, heure, destinataire, description du fichier, numéro de confirmation.

Le partage de données d'essais cliniques n'est pas un problème unique. C'est la pseudonymisation, le chiffrement, l'audit, le droit transfrontalier et la rétention assemblés ensemble. Assembler correctement ces éléments transforme les inspections en révisions documentaires plutôt qu'en crises.