Article 37 : Lorsque les données à caractère personnel permettent l’identification directe ou indirecte des personnes concernées, elles sont anonymisées autant que possible avant leur transmission. Toutefois, il peut être dérogé à cette obligation lorsque le traitement de données est associé à des études de pharmacovigilance menées avec l’accord des personnes concernées, ou à des protocoles de recherche réalisés dans le cadre d’études coopératives nationales ou internationales et qu’il est impossible de réaliser la finalité des recherches avec des données anonymisées. Il peut également y être dérogé si une particularité de la recherche l’exige avec le consentement de la personne. En tout état de cause, la présentation des résultats de la recherche ne doit, en aucun cas permettre l’identification directe ou indirecte des personnes concernées dont les résultats sont présentés sous forme agrégée. Les données de santé permettant l’identification directe ou indirecte des personnes physiques doivent être hébergées sur le territoire national sauf dérogation prévue à l’article 56 de la présente loi. Article 38 : La demande d’autorisation comporte la justification scientifique et technique de la dérogation prévue à l’article 37 ci-dessus. Les données individuelles transmises ne peuvent être conservées sous une forme permettant l’identification directe ou indirecte des personnes concernées au-delà de la durée nécessaire à la recherche, sauf autorisation motivée de l’autorité de contrôle donnée après avis du Comité d’éthique pour la recherche en santé. Article 39 : Les données à caractère personnel sont reçues par le responsable de la recherche désigné à cet effet par la personne physique ou morale autorisée à mettre en œuvre leur traitement. Ce responsable veille à la sécurité des informations, notamment à leur confidentialité, ainsi qu’à la sécurité de leur traitement et au respect de la finalité de celui-ci. 19