1.1 Le présent référentiel encadre les entrepôts de données de santé, c’est‑à‑dire des traitements de données à caractère personnel mis en œuvre dans le domaine de la santé afin de permettre la réutilisation des données pour des finalités déterminées. Il s’inscrit dans le cadre juridique du RGPD et de la loi « informatique et libertés », en particulier ses articles 65, 66 et 72 et suivants, ainsi que les dispositions du code de la santé publique (notamment l’article L. 1461‑1 relatif au Système national des données de santé et l’article L. 1130‑5 sur la réutilisation de données génétiques).
1.2 Ce référentiel vise à concilier la constitution d’entrepôts de données de santé avec la protection des droits et libertés des personnes concernées, en imposant des exigences fortes en matière de finalités, de gouvernance, de bases légales, de minimisation des données, de durées de conservation, d’information et de droits des personnes, ainsi que de sécurité, de sous‑traitance, de transferts de données et d’analyse d’impact sur la protection des données (AIPD).
2.1 Le référentiel s’adresse aux responsables de traitement qui, dans le cadre de leurs missions d’intérêt public, souhaitent réunir des données de santé en vue de leur réutilisation pour les finalités mentionnées au point 3.1. Les traitements concernés sont désignés comme « entrepôts de données de santé ».
2.2 Le référentiel s’applique également aux responsables conjoints qui définissent leurs obligations respectives conformément à l’article 26 du RGPD. Il ne couvre pas : (1) les entrepôts mis en œuvre par une société privée sur le fondement de son intérêt légitime ; (2) les traitements mis en œuvre uniquement aux fins de médecine préventive, de diagnostics médicaux, d’administration de soins ou de traitements, ou de gestion de services de santé (par exemple les dossiers médicaux dématérialisés) ; (3) les traitements fondés sur le consentement explicite des personnes ; (4) les entrepôts appariés avec la base principale du Système national des données de santé au sens de l’article L. 1461‑1 du code de la santé publique.
2.3 Les responsables de traitement peuvent, lorsqu’ils respectent strictement les exigences du référentiel, effectuer une déclaration de conformité auprès de la Commission et sont alors autorisés à mettre en œuvre l’entrepôt. Tout traitement non strictement conforme doit faire l’objet d’une demande d’autorisation spécifique sur le fondement de l’article 66 III de la loi « informatique et libertés ».
2.4 Les responsables doivent mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir la protection des données dès la conception et par défaut (article 25 du RGPD) et inscrire l’entrepôt dans le registre des activités de traitement (article 30 du RGPD). Les principes du référentiel constituent une aide à la réalisation de l’AIPD (point 13).
2.5 Les entrepôts mis en œuvre après recueil du consentement conforme à l’article 7 du RGPD, sur la base de l’article 9.2.a, ne sont pas soumis à autorisation préalable ni à déclaration de conformité, mais les principes et mesures du référentiel peuvent néanmoins leur être appliqués. Les traitements de recherche, d’étude ou d’évaluation mis en œuvre à partir des données de l’entrepôt constituent des traitements distincts soumis aux formalités prévues aux articles 66 et 72 et suivants de la loi « informatique et libertés ».
3.1 Les entrepôts de données de santé ont pour objectif principal la réutilisation des données qu’ils contiennent. Lorsqu’ils sont utilisés exclusivement par les personnels habilités du responsable de traitement et pour son usage exclusif, ils peuvent servir à : (1) la production d’indicateurs et le pilotage stratégique de l’activité, sous la responsabilité du médecin responsable de l’information médicale (DIM), par exemple pour des analyses médico‑économiques de parcours de soins ou l’évaluation de la qualité et de la pertinence des prises en charge ; (2) l’amélioration de la qualité de l’information médicale ou l’optimisation du codage dans le cadre du PMSI ; (3) le fonctionnement d’outils d’aide au diagnostic médical ou à la prise en charge ; (4) la réalisation d’études de faisabilité (pré‑screening).
3.2 Les données peuvent aussi être réutilisées à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé. Ces traitements doivent soit respecter une méthodologie de référence et faire l’objet d’une déclaration de conformité, soit obtenir une autorisation recherche sur le fondement de l’article 66 III de la loi « informatique et libertés ».
3.3 Le référentiel interdit explicitement l’exploitation des données à des fins de promotion de produits de santé (article L. 5311‑1 du code de la santé publique) auprès des professionnels ou établissements de santé, ainsi qu’à des fins d’exclusion de garanties de contrats d’assurance, de modification de cotisations ou de primes d’assurance d’un individu ou d’un groupe présentant un même risque.
3.4 La gouvernance de l’entrepôt repose sur deux instances. Une première instance (comité de pilotage ou équivalent) définit les orientations stratégiques et scientifiques, tient une liste exhaustive des données de l’entrepôt et justifie leur nécessité dans la limite des données listées au point 5.2. Dans les structures dotées d’un DIM, cette instance associe le DIM et un représentant de la commission ou conférence médicale d’établissement.
3.5 Une seconde instance (comité scientifique et éthique ou équivalent) rend un avis préalable et motivé sur tout projet nécessitant la réutilisation des données de l’entrepôt. Seuls les projets examinés peuvent recourir à l’entrepôt, et l’avis est communiqué sans délai au porteur de projet. Une liste des traitements examinés est transmise au moins une fois par an au délégué à la protection des données. Pour les traitements relevant du point 3.1.3, le comité peut rendre un avis unique pour des dossiers similaires et peut ne pas se prononcer systématiquement pour les recherches internes au sens de l’article 65.2° de la loi « informatique et libertés ».
3.6 Cette instance comprend au minimum : (1) une personne impliquée dans l’éthique en santé ; (2) une personne indépendante du responsable de traitement ; (3) des professionnels de santé et médico‑sociaux ; (4) des chercheurs ; (5) un représentant des usagers ou d’une association de patients. Cette composition vise à garantir un contrôle éthique, scientifique et sociétal de la réutilisation des données.
4.1 Le référentiel ne s’applique qu’aux entrepôts dont la constitution repose sur l’exercice d’une mission d’intérêt public au sens de l’article 6‑1‑e du RGPD. L’entrepôt doit être nécessaire à l’exécution de cette mission ou à l’exercice de l’autorité publique dont est investi le responsable de traitement.
4.2 Le caractère d’intérêt public de la mission du responsable de traitement doit être distingué de l’exigence d’intérêt public imposée pour les finalités des traitements mis en œuvre dans le domaine de la santé, conformément à l’article 66 de la loi n° 78‑17 modifiée. Cette distinction structure la légalité de la constitution de l’entrepôt et celle des traitements de recherche, d’étude ou d’évaluation qui en découlent.
5.1 Le référentiel impose le respect du principe de minimisation des données (article 5.1.c du RGPD) : seules des données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités peuvent être collectées. Le responsable de traitement ne peut traiter que : (1) des données figurant dans le dossier médical et administratif ou le dossier unique informatisé de la personne, justifiées par sa prise en charge ; et/ou (2) des données issues de projets de recherches, études et évaluations dont la durée de conservation n’a pas expiré.
5.2 Les données relatives aux patients comprennent, d’une part, des données directement identifiantes et administratives (nom, prénoms, sexe, genre, civilité, statut matrimonial, date et lieu de naissance, date, lieu et cause de décès, coordonnées, IPP, IEP, NIR‑INS) devant être conservées dans un espace distinct. D’autre part, elles incluent des données sensibles : poids, taille, comptes rendus médicaux, résultats d’examens, imagerie, données relatives aux effets et événements indésirables, prescriptions, observations médicales et paramédicales, données issues de dispositifs médicaux, antécédents personnels ou familiaux, données médico‑administratives issues du PMSI local, données génétiques strictement nécessaires et préalablement interprétées, données relatives à la vie sexuelle, à l’origine ethnique, photographies, vidéos ou enregistrements vocaux ne permettant pas l’identification directe, données relatives à la vie professionnelle, au niveau de formation, au régime d’affiliation à la sécurité sociale et à l’assurance complémentaire, données sur les déplacements, la consommation de tabac, alcool, drogues, les habitudes de vie et comportements, le mode de vie et l’habitat, le statut vital, les échelles de qualité de vie et l’exposition à des risques sanitaires.
5.3 Les données relatives aux professionnels de santé comprennent des données d’identification (nom, prénom, titre), la fonction, le service et l’unité d’exercice, les coordonnées professionnelles et le numéro ADELI ou RPP. Le référentiel impose que ces données soient pseudonymisées (SEC‑PSE‑3).
5.4 Aucune donnée ne peut être collectée uniquement pour alimenter l’entrepôt : est proscrit le versement de données dont la collecte ne serait pas scientifiquement justifiée par la prise en charge sanitaire ou médico‑sociale ou par un projet de recherche, d’étude ou d’évaluation prévu par un protocole. Le recours à chaque catégorie de données pour une réutilisation doit être justifié dans la demande soumise à la gouvernance de l’entrepôt.
5.5 Les données directement identifiantes ne peuvent être réunies dans l’entrepôt que pour des finalités limitées : (1) recontacter les patients pour leur proposer de participer à des études ou les informer de projets de recherche n’impliquant pas la personne humaine ; (2) recontacter à la suite de découvertes de caractéristiques génétiques justifiant des mesures de prévention ou de soins, sauf opposition préalable (article L. 1130‑5 du code de la santé publique) ; (3) recontacter à la suite de découvertes annexes liées à des facteurs de risques ou à des identifications syndromiques susceptibles de modifier la prise en charge ; (4) avertir une personne d’un risque sanitaire auquel elle est exposée.
5.6 L’usage de ces données identifiantes doit être strictement nécessaire à la finalité : par exemple, le jour de naissance ne peut être utilisé que s’il est indispensable à une recherche impliquant des enfants de moins de deux ans. La pertinence des données doit être réévaluée régulièrement par la gouvernance, et les données devenues non nécessaires doivent être supprimées.
5.7 Lorsque des données directement identifiantes, des tables de correspondance, des données génétiques ou des données de suivi de localisation sont versées dans l’entrepôt, elles doivent être stockées séparément des données pseudonymisées, conformément aux exigences SEC‑LOG‑4 à SEC‑LOG‑6, avec des clés de chiffrement distinctes et des profils d’habilitation différenciés.
6.1 Le responsable de traitement doit gérer avec une attention particulière les droits d’accès aux données de l’entrepôt. L’accès et l’usage des données directement identifiantes sont restreints aux finalités listées au point 5.5 et aux seules personnes chargées des opérations nécessaires à ces finalités.
6.2 Peuvent être destinataires de données pseudonymisées, strictement nécessaires à leurs projets de recherche, d’étude ou d’évaluation validés par la gouvernance, les équipes de recherche internes ou externes habilitées. Le personnel interne habilité peut également recevoir des données pseudonymisées nécessaires à l’accomplissement de ses missions correspondant aux finalités de l’entrepôt.
6.3 Lorsque les données font l’objet d’un processus d’anonymisation au sein d’un espace projet, les données anonymes résultantes peuvent être publiées ou transmises à tout destinataire, sous réserve du respect des critères d’anonymisation définis par le G29 ou le CEPD.
7.1 La durée de conservation doit respecter l’article 5.1.e du RGPD : les données ne sont conservées que pendant une durée n’excédant pas celle nécessaire aux finalités. Les données mentionnées au point 5.2.1.2 peuvent être conservées 20 ans maximum à compter de leur collecte dans le cadre des soins ou des recherches.
7.2 Les données directement identifiantes (5.2.1.1) doivent être supprimées lorsque le délai de conservation des données cliniques (5.2.1.2) a expiré. Au‑delà de ces durées, toute donnée doit être anonymisée ou détruite, ce qui implique une gestion rigoureuse des archives et des procédures de purge.
8.1 Les patients doivent être informés que les données collectées lors de leur prise en charge sont versées dans l’entrepôt. Lors de la constitution de l’entrepôt, une première information spécifique est transmise. Les patients admis ou réadmis après la constitution sont informés individuellement (par exemple par courrier), avec l’ensemble des éléments prévus à l’article 13 du RGPD, en mettant particulièrement en avant la réutilisation des données et les modalités d’exercice des droits d’accès et d’opposition.
8.2 Pour les patients admis antérieurement et n’étant plus suivis, une information individuelle est également prévue, conformément à l’article 14 du RGPD, intégrant la politique de protection des données dans une section dédiée. Le responsable peut invoquer une exception à l’obligation d’information individuelle (article 14.5.b du RGPD) si la fourniture des informations exigerait des efforts disproportionnés, en tenant compte du nombre de personnes concernées, de l’ancienneté des données, du coût et du temps nécessaires. Cette exception doit être précisément justifiée dans l’AIPD.
8.3 En cas d’exception, le responsable rend les informations publiquement disponibles : diffusion de la note d’information sur un site web dans une rubrique dédiée, communication dans les médias régionaux, sur les réseaux sociaux, auprès des associations de patients, et diffusion d’un communiqué de presse. Pour les données issues de la recherche, les personnes doivent être informées individuellement de la réutilisation, avec possibilité d’exception dans les mêmes conditions.
8.4 Les personnes concernées doivent en outre être informées de chacune des réutilisations de leurs données à des fins de recherche, d’étude ou d’évaluation, sauf impossibilité ou efforts disproportionnés. Les professionnels de santé dont les données sont versées dans l’entrepôt sont également informés individuellement et par écrit (article 13 ou 14 du RGPD), avec diffusion complémentaire via les instances médicales, l’intranet et des affichages.
9.1 Le responsable de traitement doit organiser une campagne d’information publique préalable à la mise en place de l’entrepôt, afin de garantir un délai raisonnable (par exemple un mois) entre la notification et le début du traitement, permettant l’exercice effectif du droit d’opposition.
9.2 Les personnes concernées (patients et professionnels) disposent des droits d’accès, de rectification, d’effacement, de limitation du traitement et d’opposition, dans les conditions du RGPD. Le droit d’opposition des professionnels s’exerce dans le cadre de l’article 21 du RGPD, tandis que celui des patients doit pouvoir s’exercer par tout moyen, dès leur information (par exemple via un document papier ou une case à cocher attestant l’exercice du droit).
9.3 Ces droits s’exercent auprès d’une personne spécifiquement formée et habilitée, dont les coordonnées sont communiquées (éventuellement le délégué à la protection des données). Le responsable ne peut se prévaloir de l’article 11 du RGPD pour limiter l’exercice des droits : même en l’absence de données identifiantes conservées, il doit mettre en place un mécanisme de réidentification permettant de répondre aux demandes, sur la base d’informations complémentaires fournies par la personne.
9.4 Les mécanismes d’alimentation de l’entrepôt doivent permettre l’exercice pérenne du droit d’opposition et peuvent servir de moyen de réidentification pour l’exercice des autres droits. La note d’information doit préciser les informations à fournir par la personne pour l’exercice de ses droits.
10.1 Le référentiel détaille un ensemble d’exigences de sécurité (SEC‑RES, SEC‑LOG, SEC‑ALI, SEC‑PSE, SEC‑PHY, SEC‑HAB, SEC‑AUT, SEC‑ESP, SEC‑EXP, SEC‑SEN, SEC‑JOU, SEC‑REI, SEC‑INC) visant à préserver la confidentialité, l’intégrité et la disponibilité des données. Le responsable de traitement et ses sous‑traitants doivent prendre toutes les précautions utiles, notamment lors de la collecte, de la transmission et de la conservation des données.
10.2 Le cloisonnement réseau (SEC‑RES‑1 à SEC‑RES‑3) impose la séparation des flux spécifiques à l’entrepôt, des mesures de filtrage et le chiffrement de toutes les transmissions, conformément à l’annexe B1 du référentiel général de sécurité (RGS). Le cloisonnement logique et cryptographique (SEC‑LOG‑1 à SEC‑LOG‑6) exige le stockage des données de l’entrepôt sur des systèmes distincts de ceux de la prise en charge, le chiffrement au repos et des sauvegardes, la séparation cryptographique des données identifiantes, des tables de correspondance, des données génétiques et de localisation, avec des clés spécifiques et des profils d’habilitation différenciés.
10.3 Les exigences de constitution et d’alimentation (SEC‑ALI‑1, SEC‑ALI‑2) imposent la sécurisation des circuits de collecte, la purge des répertoires de transit et une authentification forte pour les logiciels de saisie. La pseudonymisation (SEC‑PSE‑1 à SEC‑PSE‑4) interdit la réutilisation de numéros internes comme identifiants, impose un identifiant pseudonyme unique généré par une fonction de hachage ou un générateur de nombres pseudo‑aléatoires cryptographiquement sûr, la pseudonymisation préalable à l’intégration, la pseudonymisation des données des professionnels et le masquage ou suppression des données identifiantes dans les documents non structurés (comptes rendus, imagerie, numérisations, commentaires libres, métadonnées, attributs de fichiers).
10.4 L’accès physique (SEC‑PHY‑1) doit être sécurisé par des mesures de contrôle d’accès aux serveurs et locaux. La gestion des habilitations (SEC‑HAB‑1 à SEC‑HAB‑6) prévoit des profils d’habilitation différenciés, une granularité des accès (données agrégées, pseudonymisées, identifiantes), une validation par la gouvernance ou la hiérarchie, la limitation des accès privilégiés, une revue régulière des habilitations et le retrait immédiat des permissions en cas de départ ou de changement de mission.
10.5 L’authentification (SEC‑AUT‑1 à SEC‑AUT‑3) doit être forte, à deux facteurs au minimum, pour tous les accès internes et externes, et les flux automatiques doivent être réalisés par des serveurs mutuellement authentifiés (certificats ou dispositifs équivalents). Les espaces de travail (SEC‑ESP‑1 à SEC‑ESP‑3) doivent être internes à l’entrepôt, spécifiques à chaque projet, étanches entre eux et avec la base, avec des jeux de données minimisés et des identifiants pseudonymes spécifiques, sauf en cas de suivi de cohorte.
10.6 L’exportation de données (SEC‑EXP‑1 à SEC‑EXP‑5) n’est possible que pour des données anonymes, conformes aux trois critères de l’avis du G29 n° 05/2014 ou d’un avis ultérieur du CEPD, avec une validation préalable, une surveillance des exports et, le cas échéant, une mise en quarantaine et une vérification manuelle. Les systèmes de production d’indicateurs et de pilotage stratégique ne doivent produire que des restitutions anonymes, documentées et, si nécessaire, assorties d’une étude des risques de réidentification.
10.7 La sensibilisation des utilisateurs (SEC‑SEN‑1 à SEC‑SEN‑3) impose une formation au secret médical, la signature d’une charte de confidentialité et la sécurisation des postes de travail (comptes nominatifs, verrouillage automatique, chiffrement, filtrage), y compris via des conventions lorsque les postes ne sont pas sous le contrôle du responsable. La journalisation (SEC‑JOU‑1 à SEC‑JOU‑4) exige la traçabilité des connexions, requêtes et opérations, l’usage éventuel d’un bastion d’administration, un contrôle régulier des traces (au moins bimestriel) et une conservation des journaux entre 6 mois et un an.
10.8 Les procédures de ré‑identification (SEC‑REI‑1 à SEC‑REI‑5) encadrent la levée du pseudonymat pour l’exercice des droits, le recontact des patients pour des recherches ou en cas d’urgence médicale, avec des habilitations réservées à une équipe restreinte et des mesures pour garantir que ces procédures ne soient utilisées que sur demande légitime. La gestion des incidents de sécurité (SEC‑INC‑1 à SEC‑INC‑4) impose une procédure documentée, un registre des violations, la notification à la Commission en cas de risque pour les droits et libertés (article 33 du RGPD) et la communication aux personnes en cas de risque élevé (article 34).
10.9 Ces mesures ne sont pas exhaustives : elles doivent être complétées par les dispositions jugées nécessaires lors de l’AIPD et mises à jour en fonction de la réévaluation régulière des risques, conformément aux articles 5.1.f et 32 du RGPD et à l’état de l’art.
11.1 En cas de recours à un prestataire, la relation doit respecter l’article 28 du RGPD : un contrat de sous‑traitance précise la répartition des responsabilités, notamment en matière de mesures de sécurité et de gestion des violations de données. Le sous‑traitant doit tenir un registre des activités de traitement (article 30.2 du RGPD).
11.2 Seuls les entrepôts recourant à un sous‑traitant relevant exclusivement des juridictions de l’Union européenne ou d’un pays adéquat au sens de l’article 45 du RGPD sont conformes au référentiel. Lorsque le sous‑traitant assure l’hébergement, le stockage ou la conservation des données de santé, il doit être un hébergeur de données de santé agréé ou certifié selon les dispositions du code de la santé publique.
12.1 Est considéré comme transfert tout accès distant aux données depuis l’extérieur du territoire européen. La mise en place et le fonctionnement d’un entrepôt ne peuvent entraîner le transfert de données directement ou indirectement identifiantes hors de l’Union européenne ou vers un pays ne disposant pas d’un niveau de protection adéquat. Cette interdiction renforce la maîtrise de la localisation des données et la conformité aux exigences de protection des données de santé.
13.1 Le responsable de traitement doit réaliser et documenter une analyse d’impact sur la protection des données pour l’entrepôt. Il peut s’appuyer sur les principes du référentiel et sur les outils méthodologiques proposés par la Commission. Une procédure AIPD peut être élaborée pour impliquer les acteurs pertinents, notamment le délégué à la protection des données (DPD/DPO), qui doit être consulté.
13.2 L’AIPD doit être réexaminée et mise à jour régulièrement, en particulier en cas de changements importants dans le traitement (poursuite d’une finalité supplémentaire, recours à un nouveau sous‑traitant, évolution des risques pour les personnes concernées). Elle constitue un outil central pour démontrer la conformité continue de l’entrepôt de données de santé au RGPD, à la loi « informatique et libertés » et aux exigences spécifiques du référentiel.
Type d’acte, par exemple : décret, arrêté, loi, ordonnance, délibération, recommandation, circulaire, instruction, avis, décision, communiqué, rapport, question ministérielle, réponse ministérielle, autre
Référentiel
Autorité / organisme : Reprendre l’autorité, le ministère, l’institution, l’organisme, l’autorité administrative indépendante ou autorité ayant rendu ce texte officiel
CNIL
Date du texte sous la forme jour mois année, exemple de sortie : 14 avril 2026
6 janvier 1978
Numéro exact du texte sauf si non indiqué
199 unvicies
Variantes exactes de recherche :
référentiel 199 unvicies
référentiel n 199 unvicies
référentiel N° 199 unvicies
référentiel n° 199 unvicies du 6 janvier 1978
référentiel du 6 janvier 1978 entrepôts de données de santé
199 unvicies
n° 199 unvicies
no 199 unvicies
RÉFÉRENTIEL RELATIF AUX TRAITEMENTS DE DONNÉES A CARACTÈRE PERSONNEL MIS EN ŒUVRE A DES FINS DE CRÉATION D’ENTREPÔTS DE DONNÉES DANS LE DOMAINE DE LA SANTÉ
entrepôts de données de santé 199 unvicies
référentiel entrepôts de données de santé
Journal officiel référentiel 199 unvicies
Résumé :
Ce référentiel de la CNIL encadre les traitements de données à caractère personnel mis en œuvre pour constituer des entrepôts de données de santé, en précisant les finalités autorisées, les bases légales, les catégories de données pouvant être traitées, les durées de conservation, les droits des personnes, les conditions de gouvernance et les exigences de sécurité, de pseudonymisation, de sous-traitance et de transferts, en référence notamment au RGPD, à la loi n° 78-17 du 6 janvier 1978 et au code de la santé publique. Il sert de cadre aux déclarations de conformité et aux demandes d’autorisation spécifiques lorsque les traitements ne respectent pas l’ensemble de ses exigences.
Approfondir ce sujet :