Comment les entreprises pharmaceutiques européennes peuvent partager les données d’essais cliniques à l’international tout en préservant la souveraineté européenne

Les entreprises pharmaceutiques européennes évoluent dans l’un des secteurs les plus gourmands en données et les plus réglementés du continent. Un essai clinique multinational génère des dossiers médicaux de patients, des données génomiques, des rapports d’événements indésirables, des résultats de laboratoire et des documents d’investigateurs qui doivent circuler entre les sites d’essai dans plusieurs États membres de l’UE, les CRO (organisations de recherche sous contrat), les autorités réglementaires et parfois des partenaires ou filiales hors d’Europe. Chacun de ces transferts implique certaines des informations personnelles les plus sensibles que le RGPD vise à protéger : des données de santé de catégorie spéciale appartenant à des participants ayant consenti à la recherche, et non à la surveillance de gouvernements étrangers.

L’environnement réglementaire encadrant ces données s’est nettement complexifié ces deux dernières années. Le règlement européen sur les essais cliniques (536/2014) s’applique désormais pleinement, tous les essais devant passer par le Clinical Trials Information System (CTIS) depuis janvier 2025. Le règlement sur l’Espace européen des données de santé (EHDS) est entré en vigueur en mars 2025, instaurant un cadre pour la réutilisation secondaire des données de santé, y compris celles des essais cliniques, qui s’appliquera à partir de 2031. La tension fondamentale entre les exigences de transfert du RGPD et le US CLOUD Act reste non résolue pour toute entreprise pharmaceutique européenne partageant des données d’essais via des plateformes opérées par des prestataires ayant leur siège aux États-Unis.

Ce guide explique comment les entreprises pharmaceutiques européennes peuvent préserver leur souveraineté sur les données d’essais cliniques tout en répondant aux exigences de partage transfrontalier qu’impose la recherche multinationale.

Résumé Exécutif

Idée principale : Les entreprises pharmaceutiques européennes doivent partager les données d’essais cliniques au-delà des frontières avec les CRO, les sites d’essai, les régulateurs et les partenaires de recherche : c’est une fonction essentielle de leur activité. Le défi n’est pas de savoir s’il faut partager ces données, mais comment le faire sans renoncer à la souveraineté sur les dossiers de santé des participants, les résultats de recherche propriétaires et les données sensibles sur les essais. Lorsque les plateformes de partage de fichiers, les systèmes de messagerie et les services de transfert sécurisé de fichiers utilisés sont opérés par des prestataires soumis au US CLOUD Act, chaque échange de données transfrontalier crée une voie d’accès potentielle qu’aucune clause contractuelle ou DPA ne peut techniquement empêcher.

Pourquoi c’est important : Les données d’essais cliniques se situent à l’intersection de l’obligation réglementaire, de la confidentialité des patients, de la sensibilité commerciale et de la propriété intellectuelle. Une seule structure moléculaire peut représenter des années d’investissement en R&D. Les données d’événements indésirables au niveau patient impliquent à la fois des obligations de reporting réglementaire et des enjeux majeurs de confidentialité. Les résultats propriétaires déterminent le succès ou l’échec commercial. L’EHDS exigera des entreprises pharmaceutiques qu’elles partagent certaines données de santé à des fins secondaires tout en maintenant une gouvernance stricte. Les entreprises incapables de prouver leur souveraineté architecturale sur leurs données cliniques s’exposent à la fois à des risques réglementaires au titre du RGPD et à des risques concurrentiels liés à la fuite de propriété intellectuelle via des vulnérabilités d’accès au niveau des plateformes.

5 points clés à retenir

1. Les flux de données d’essais cliniques sont par nature transfrontaliers et multipartites. Un essai multinational implique promoteurs, CRO, sites d’essai, comités d’éthique, autorités nationales et EMA. Chaque échange de données entre organisations et zones géographiques exige des contrôles de souveraineté vérifiables, et pas seulement des garanties contractuelles.
2. Le CLOUD Act crée une faille structurelle que les contrats ne peuvent combler. Lorsque les données d’essais transitent par des plateformes opérées par des prestataires ayant leur siège aux États-Unis, ces données sont soumises aux demandes d’accès du gouvernement américain, quel que soit l’emplacement des serveurs ou le contenu des DPA. Seul le chiffrement contrôlé par le client élimine ce risque d’exposition.
3. L’EHDS va renforcer les obligations de partage de données tout en durcissant la gouvernance. À partir de 2031, les données d’essais cliniques seront soumises à des règles de réutilisation secondaire imposant aux entreprises pharmaceutiques de partager les données via des environnements de traitement sécurisés et des contrôles d’accès stricts. Il faut dès aujourd’hui disposer d’une infrastructure souveraine pour répondre à ces exigences lorsqu’elles entreront en vigueur.
4. Les échanges de données avec les CRO constituent la principale faille de souveraineté. Les entreprises pharmaceutiques externalisent une part importante des opérations cliniques auprès des CRO, générant des flux de données entre organisations où protocoles, données patients et résultats intermédiaires transitent par des plateformes partagées. La sécurité de ces échanges conditionne la souveraineté de l’ensemble du programme d’essai.
5. L’architecture souveraine protège à la fois la confidentialité des patients et la propriété intellectuelle. Le chiffrement contrôlé par le client, la résidence des données en Europe et des journaux d’audit complets répondent à la conformité RGPD, à la préparation à l’EHDS et à la protection de la propriété intellectuelle par une seule décision architecturale, et non par des démarches de conformité séparées.

Paysage réglementaire des données d’essais cliniques

Règlement européen sur les essais cliniques et CTIS

Le règlement européen sur les essais cliniques (536/2014) a remplacé la directive précédente par un cadre harmonisé s’appliquant directement dans tous les États membres. Depuis janvier 2025, tous les essais cliniques dans l’UE doivent respecter le CTR et être soumis via le Clinical Trials Information System (CTIS), portail centralisé géré par l’EMA. Le CTIS permet aux promoteurs de déposer une demande unique pour les essais multinationaux et propose un processus d’évaluation coordonné, remplaçant la nécessité de naviguer jusqu’à 27 procédures nationales distinctes.

Le CTR introduit des exigences de transparence importantes. La plupart des informations du CTIS sont accessibles au public, sauf si le promoteur justifie la confidentialité pour des raisons commerciales ou de protection des données personnelles. Les règles de transparence révisées du CTIS, applicables depuis juin 2024, imposent la publication de dossiers de demande d’essai clinique quasiment complets, tout en autorisant la censure des éléments réellement confidentiels. Les entreprises pharmaceutiques doivent donc gérer avec soin les données versées dans le CTIS et la préparation des documents, afin de protéger les données personnelles tout en respectant les obligations de transparence.

Les bénéfices de l’harmonisation du CTR s’accompagnent d’enjeux de gestion des données. Un essai multinational génère désormais une évaluation coordonnée unique pour tous les États membres participants, mais les données sous-jacentes (dossiers patients, rapports de sécurité, documents d’investigateurs) continuent de circuler entre sites d’essai, promoteurs, CRO et régulateurs dans plusieurs juridictions. La question des plateformes utilisées pour transporter ces données et de l’accès à ces plateformes au niveau de l’infrastructure n’est pas traitée par le CTR lui-même.

L’Espace européen des données de santé

Le règlement EHDS, publié en mars 2025 et entré en vigueur le 26 mars 2025, instaure le cadre le plus abouti à ce jour pour le partage des données de santé dans l’UE. Pour les entreprises pharmaceutiques, les dispositions sur la réutilisation secondaire sont particulièrement importantes. À partir de mars 2029, la plupart des catégories de données de santé électroniques seront soumises à ces règles. Les données d’essais cliniques et les données génétiques humaines bénéficient d’un délai supplémentaire, les dispositions de réutilisation secondaire s’appliquant à partir de mars 2031.

Avec l’EHDS, les entreprises pharmaceutiques peuvent devenir à la fois détentrices de données (tenues de partager certaines données de santé sur demande via les Health Data Access Bodies) et utilisatrices de données (accédant à des données de santé d’autres sources pour la R&D). Le règlement couvre les données d’essais cliniques, les données génomiques, les registres de santé, les données de remboursement, et les données issues de dispositifs médicaux. Les entreprises détentrices de ces données pourront être contraintes de les mettre à disposition à des fins secondaires approuvées, notamment la recherche scientifique, les activités réglementaires et le développement d’IA pour dispositifs médicaux.

L’EHDS impose que les données soient traitées dans des environnements sécurisés avec des contrôles d’accès stricts. Les entreprises pharmaceutiques incapables de prouver leur contrôle souverain sur leur infrastructure de données cliniques auront du mal à répondre à ces exigences. Il leur faut dès maintenant cartographier leurs données pour identifier toutes les données de santé électroniques concernées et leur localisation, déterminer quelles entités de leur groupe seront considérées comme détentrices de données, et construire ou moderniser l’infrastructure technique pour répondre aux standards d’interopérabilité et de sécurité de l’EHDS.

Défis des transferts transfrontaliers RGPD

Les données d’essais cliniques franchissent régulièrement les frontières par nécessité opérationnelle. Un promoteur européen menant un essai multinational peut recueillir des données patients dans des sites en Allemagne, France, Pays-Bas et Espagne, traiter ces données via une CRO basée en Irlande, soumettre des rapports de sécurité aux régulateurs nationaux de chaque pays participant et à l’EMA, partager des analyses intermédiaires avec une filiale ou un partenaire basé aux États-Unis, et transmettre des données d’efficacité et de sécurité à la FDA pour une autorisation de mise sur le marché américaine.

Au sein de l’UE/EEE, le RGPD autorise la libre circulation des données personnelles. La complexité réside dans les transferts hors de cette zone et, surtout, dans les plateformes utilisées pour les transferts internes. Lorsqu’une entreprise pharmaceutique européenne utilise un fournisseur de messagerie ou une plateforme collaborative cloud ayant son siège aux États-Unis pour partager des données d’essais entre sites européens, les données peuvent ne jamais quitter les serveurs européens, mais les obligations du fournisseur au titre du CLOUD Act permettent aux autorités américaines d’exiger l’accès à ces données, quelle que soit leur localisation. Les clauses contractuelles types et les DPA encadrent la relation contractuelle mais ne peuvent prévaloir sur les obligations légales du fournisseur en droit américain.

Cela pose un défi particulier pour l’industrie pharmaceutique, car les données d’essais incluent des données de catégorie spéciale RGPD (santé, génétique, biométrie) soumises au niveau de protection le plus élevé. Les lignes directrices de la Commission européenne sur les essais cliniques et le RGPD confirment explicitement que les exigences de transfert international s’appliquent aux données pseudonymisées si une réidentification est possible, ce qui couvre la quasi-totalité des données d’essais détenues par les promoteurs et les CRO.

Où la souveraineté des essais cliniques est-elle la plus menacée ?

Échanges de données promoteur-CRO

L’externalisation massive dans l’industrie pharmaceutique signifie que les données cliniques circulent fréquemment entre promoteurs et CRO, souvent via des plateformes partagées que ni l’un ni l’autre ne contrôle totalement. Les CRO agissent généralement comme sous-traitants au sens du RGPD, opérant selon les instructions du promoteur mais avec leur propre infrastructure IT. Si une CRO utilise une plateforme cloud ayant son siège aux États-Unis pour gérer les données d’essais, la souveraineté du promoteur dépend entièrement des choix d’infrastructure de la CRO.

Le développement pharmaceutique moderne repose sur de nombreux partenariats. Les biotechs émergentes, qui représentent 63 % des lancements d’essais cliniques, n’ont souvent pas d’infrastructure IT interne et dépendent fortement des plateformes des CRO pour la gestion et le transfert des données. Cela crée une chaîne de dépendances où les données patients peuvent transiter par plusieurs environnements cloud, chacun potentiellement soumis à une juridiction étrangère, avant d’atteindre les systèmes du promoteur.

Coordination d’essais multi-sites

Un essai clinique multinational nécessite des échanges de données continus entre les sites d’essai et le centre coordinateur. Les investigateurs soumettent des CRF, téléchargent des résultats de laboratoire, signalent des événements indésirables et échangent des amendements de protocole. Le monitoring implique un accès à distance aux données d’essai et des visites de vérification sur site qui génèrent d’autres documents. Chacune de ces activités implique le partage de fichiers et des communications via des plateformes transportant des données de santé des participants.

Le processus d’évaluation harmonisé du CTR implique une coordination accrue entre pays par rapport à la directive précédente. Un État membre rapporteur coordonne l’évaluation pour tous les pays participants, ce qui nécessite l’agrégation et le partage de données au-delà des frontières réglementaires. Ce bénéfice opérationnel de l’harmonisation augmente le volume et la fréquence des flux de données cliniques transfrontaliers, rendant la souveraineté de l’infrastructure de communication plus cruciale que jamais.

Soumission réglementaire et reporting de sécurité

Les entreprises pharmaceutiques doivent soumettre des données de sécurité à plusieurs autorités réglementaires simultanément. Les SUSAR (Suspected Unexpected Serious Adverse Reactions) nécessitent un reporting accéléré aux autorités nationales compétentes et à l’EMA via EudraVigilance. Les rapports annuels de sécurité, les amendements de protocole et les notifications de fin d’essai impliquent aussi des transferts de données de santé au niveau participant ou agrégées vers les organismes réglementaires. Lorsque ces soumissions sont préparées et transmises via des plateformes dépourvues d’architecture souveraine, l’environnement de préparation devient lui-même un point de vulnérabilité, même si la soumission finale est transmise via des canaux sécurisés.

Propriété intellectuelle et sensibilité commerciale

Les données d’essais cliniques sont à la fois des données de santé personnelles et une propriété intellectuelle à forte valeur commerciale. Les structures moléculaires propriétaires, les résultats d’efficacité non publiés, les données de procédés de fabrication et les informations concurrentielles sur les essais représentent des investissements de plusieurs millions, voire milliards, en R&D. L’EHDS reconnaît explicitement que les données de santé peuvent être protégées par des droits de propriété intellectuelle et des secrets d’affaires, et les Health Data Access Bodies peuvent rejeter les demandes d’accès présentant un risque sérieux pour la propriété intellectuelle. Mais cette protection dépend du maintien par l’entreprise pharmaceutique d’un contrôle souverain sur les données dès le départ. Des données déjà accessibles via des failles au niveau des plateformes ne peuvent plus être protégées a posteriori.

Construire une architecture souveraine pour les données d’essais cliniques

Le chiffrement contrôlé par le client comme fondation

La décision architecturale la plus déterminante pour la souveraineté des données d’essais cliniques consiste à mettre en place un chiffrement contrôlé par le client, où l’entreprise pharmaceutique génère, gère et conserve les clés de chiffrement dans son propre module de sécurité matériel (HSM) ou système de gestion de clés. Dans ce modèle, le prestataire traite les données chiffrées mais ne peut pas les déchiffrer. Ainsi, même si le prestataire est soumis à une demande au titre du CLOUD Act, à une ordonnance FISA ou à toute autre contrainte légale étrangère, il ne peut fournir de données lisibles car il ne détient pas les clés de déchiffrement.

Pour les entreprises pharmaceutiques, cela couvre plusieurs dimensions de risque à la fois. Les données de santé des patients sont protégées contre tout accès non autorisé, quelle que soit la juridiction du prestataire. Les données de recherche propriétaires et les structures moléculaires ne sont pas accessibles via des failles au niveau des plateformes. Les soumissions réglementaires et les rapports de sécurité sont protégés lors de leur préparation. L’entreprise peut ainsi prouver aux autorités de contrôle RGPD, aux comités d’éthique et aux participants qu’elle conserve un contrôle technique réel sur la confidentialité des données.

Déploiement européen et résidence des données

Les données d’essais cliniques doivent résider sur une infrastructure européenne dédiée, avec un géorepérage technique empêchant toute sortie des données hors des frontières désignées. Pour les essais multinationaux menés dans plusieurs États membres, cela signifie s’assurer que les plateformes de communication et de partage de fichiers fonctionnent dans l’UE, et pas seulement que certains data centers sont localisés en Europe.

Le déploiement à locataire unique, où l’instance de la plateforme de l’entreprise pharmaceutique fonctionne sur une infrastructure dédiée et non partagée, offre une garantie supplémentaire que les données d’essais ne sont pas mélangées à celles d’autres organisations. C’est particulièrement pertinent pour les entreprises actives dans des domaines thérapeutiques concurrentiels où l’existence même et les paramètres d’essais en cours peuvent constituer des informations sensibles.

Journaux d’audit complets pour la preuve réglementaire

Les essais cliniques font l’objet d’inspections par les autorités nationales compétentes, l’EMA et potentiellement la FDA pour les essais visant une AMM américaine. Les journaux d’audit retraçant chaque accès, modification et transfert de données d’essais sont indispensables. Le CTR exige l’archivage des données d’essai pendant au moins 25 ans après la fin de l’essai, et les promoteurs doivent prouver l’intégrité des données sur toute cette période.

Les plateformes de communication souveraines doivent générer des journaux d’audit complets indiquant qui a accédé à quelles données, quand, depuis où et quelles actions ont été réalisées. Ces logs remplissent plusieurs fonctions : prouver la conformité RGPD aux autorités de contrôle, satisfaire aux exigences BPC (Bonnes Pratiques Cliniques) en matière d’intégrité des données, fournir des preuves lors d’inspections réglementaires et permettre à l’entreprise de détecter et de réagir à toute tentative d’accès non autorisé.

Se préparer aux exigences de réutilisation secondaire EHDS

Les dispositions de réutilisation secondaire de l’EHDS ne s’appliqueront aux données d’essais cliniques qu’à partir de mars 2031, mais les entreprises pharmaceutiques doivent s’y préparer dès maintenant. Le règlement impose aux détenteurs de données de soumettre la description de leurs jeux de données aux autorités compétentes et de répondre aux demandes d’accès via les Health Data Access Bodies. Les données doivent être mises à disposition dans des environnements de traitement sécurisés conformes aux spécifications techniques de l’EHDS.

Les entreprises disposant déjà d’une infrastructure souveraine de gouvernance des données seront mieux armées pour répondre à ces exigences. Lorsque les données d’essais sont stockées sur des plateformes avec chiffrement contrôlé par le client, logs d’audit complets et contrôles d’accès granulaires, l’entreprise peut fournir un accès structuré via les mécanismes EHDS tout en gardant la maîtrise de ce qui est partagé, avec qui et dans quelles conditions. Les entreprises dont les données d’essais sont dispersées sur des plateformes de CRO, des services cloud opérés depuis les États-Unis et des systèmes hérités devront suivre un parcours de conformité bien plus complexe.

L’EHDS permet aussi aux individus de s’opposer à la réutilisation secondaire de leurs données de santé. Gérer ces préférences sur des jeux de données couvrant plusieurs essais, aires thérapeutiques et périodes exige une gestion centralisée des données et la capacité technique d’identifier, de signaler et d’exclure les données des participants opposés lors des réponses aux demandes de réutilisation secondaire. Cela est nettement plus simple à mettre en œuvre sur des plateformes souveraines où l’entreprise contrôle toute l’architecture.

Kiteworks aide les entreprises pharmaceutiques européennes à partager les données d’essais cliniques à l’international tout en préservant leur souveraineté

Le Réseau de données privé Kiteworks offre aux entreprises pharmaceutiques l’infrastructure souveraine de communication dont elles ont besoin pour partager les données d’essais cliniques avec les CRO, les sites d’essai, les régulateurs et les partenaires de recherche tout en conservant la souveraineté européenne sur leurs données. Kiteworks fonctionne selon un modèle de chiffrement géré par le client, où l’entreprise pharmaceutique génère et conserve les clés dans son propre système de gestion de clés. Kiteworks n’a pas accès aux données cliniques déchiffrées et ne peut répondre aux demandes de gouvernements étrangers visant à obtenir des informations lisibles sur les essais.

Kiteworks se déploie en mode locataire unique sur une infrastructure européenne dédiée, garantissant l’absence de mélange des données d’essais avec celles d’autres organisations. Le géorepérage appliqué par la politique de la plateforme empêche toute sortie des données hors des frontières désignées, et les logs d’audit complets fournissent la traçabilité exigée par les inspections BPC, les autorités de contrôle RGPD et la future conformité EHDS.

La plateforme unifie le partage sécurisé de fichiers pour la documentation d’essais, la messagerie protégée pour les communications entre investigateurs, le transfert sécurisé de fichiers pour les échanges automatisés entre systèmes promoteur et CRO, et les formulaires web sécurisés pour la collecte structurée de données, le tout dans un cadre de gouvernance zero trust. Les entreprises pharmaceutiques peuvent ainsi sécuriser tous les canaux d’échange de données d’essais cliniques via une seule plateforme, avec chiffrement, contrôles d’accès et preuves d’audit cohérents.

Pour en savoir plus sur la préservation de la souveraineté sur les données d’essais cliniques tout en répondant aux exigences de partage transfrontalier, réservez votre démo personnalisée sans attendre.

Ressources complémentaires 

• Article de blog  
  Souveraineté des données : bonne pratique ou exigence réglementaire ?
• eBook  
  Souveraineté des données et RGPD
• Article de blog  
  Évitez ces pièges de la souveraineté des données
• Article de blog  
  Bonnes pratiques pour la souveraineté des données
• Article de blog  
  Souveraineté des données et RGPD [Comprendre la sécurité des données]