Recherches en santé : encadrer le contrôle qualité des données et la conformité CNIL

1. Contexte juridique du contrôle qualité des données dans les recherches en santé

1. La délibération n° 2026-052 du 19 mars 2026 de la Commission nationale de l’informatique et des libertés (CNIL), publiée au Journal officiel de la République française du 23 mai 2026 (Texte 88 sur 124), homologue une annexe « contrôle qualité » applicable aux méthodologies de référence (MR) relatives aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé (« recherche en santé »). Cette annexe complète l’annexe sécurité homologuée par la délibération n° 2026-049 du 19 mars 2026.

2. Le cadre juridique de cette annexe repose sur le règlement (UE) 2016/679 du 27 avril 2016 (RGPD), le code de la santé publique (CSP) et la loi n° 78-17 du 6 janvier 1978 modifiée dite loi « informatique et libertés ». L’article 73 de cette loi permet à la CNIL d’homologuer des méthodologies de référence auxquelles les responsables de traitement peuvent se conformer pour certains traitements, notamment ceux mis en œuvre dans le cadre de recherches en santé.

3. La CNIL souligne que la mission de contrôle qualité, aussi appelée « monitoring », implique le traitement de données à caractère personnel particulièrement sensibles, issues notamment des dossiers médicaux et autres documents sources. Il est donc nécessaire de préciser les mesures juridiques, techniques et organisationnelles à mettre en œuvre pour garantir la protection des droits et libertés des personnes concernées.

4. L’annexe « contrôle qualité » est conçue comme un document unique auquel les MR 001, 002, 003 et 004 peuvent renvoyer. Un responsable de traitement d’une recherche en santé peut mettre en œuvre une mission de contrôle qualité dans le cadre d’une déclaration de conformité à une MR dès lors que : (i) la MR concernée prévoit la réalisation de cette mission, (ii) la mission est réalisée dans des conditions conformes à l’annexe « contrôle qualité », et (iii) les autres conditions de mise en œuvre de la recherche sont conformes à la MR applicable.

2. Définitions clés pour le contrôle qualité dans les recherches en santé

5. L’annexe définit précisément les notions utilisées afin d’encadrer les traitements de données à caractère personnel dans le cadre du contrôle qualité. Les données à caractère personnel sont celles visées au 1° de l’article 4 du RGPD. L’information RGPD désigne les informations à fournir, en application des articles 12 à 14 du RGPD et des articles 69 à 71 de la loi « informatique et libertés », aux personnes concernées par un traitement de leurs données dans le cadre d’une recherche, ou à leurs représentants légalement désignés.

6. Le lieu de recherche est le lieu dans lequel la recherche est réalisée conformément aux réglementations sectorielles, par exemple le service d’un établissement de santé, à l’exclusion du domicile du patient. La personne se prêtant à la recherche est la personne participant à une recherche conformément aux réglementations sectorielles applicables et dont les données à caractère personnel sont traitées.

7. La mission de contrôle qualité est définie comme l’activité consistant à vérifier : (i) le respect des réglementations sectorielles applicables et du protocole d’une recherche, et (ii) l’exhaustivité et l’authenticité des données collectées dans le cadre de la recherche et transmises par le professionnel intervenant dans la recherche au responsable de traitement ou à ses sous-traitants.

8. Le professionnel intervenant dans la recherche est la personne physique qui collecte les données, dirige ou surveille la réalisation de la recherche : investigateur et ses collaborateurs, professionnel de santé et ses collaborateurs, personnel médical, ou encore personnes qualifiées au sens des réglementations sectorielles.

9. La notion de recherche couvre l’ensemble des recherches incluses dans le périmètre d’une méthodologie de référence : recherches impliquant la personne humaine (articles L. 1121-1 et suivants du CSP), essais cliniques sur des médicaments à usage humain (règlement (UE) n° 536/2014), investigations cliniques concernant des dispositifs médicaux (règlement (UE) n° 2017/745), études de performances concernant les dispositifs médicaux de diagnostic in vitro (règlement (UE) n° 2017/746), ainsi que les recherches n’impliquant pas la personne humaine.

10. La réglementation sectorielle recouvre notamment : le règlement (UE) n° 536/2014 et l’article L. 1124-1 du CSP pour les essais cliniques de médicaments, le règlement (UE) n° 2017/745 et les articles L. 1125-1 à L. 1125-31 du CSP pour les dispositifs médicaux, le règlement (UE) n° 2017/746 et les articles L. 1126-1 à L. 1126-29 du CSP pour les dispositifs médicaux de diagnostic in vitro, ainsi que les articles L. 1121-1 et suivants du CSP pour les recherches impliquant la personne humaine, et les réglementations sectorielles applicables dans un territoire ou pays tiers lorsque le responsable de traitement est établi en France.

11. Le responsable de traitement, au sens du 7° de l’article 4 du RGPD, est notamment le promoteur de la recherche. Il est responsable des différentes opérations de traitement dans le cadre d’une recherche, dont la mission de contrôle qualité. Le sous-traitant, au sens du 8° de l’article 4 du RGPD, est une entité juridique distincte du responsable de traitement, disposant de la personnalité juridique. Les différents services d’une même personne morale ne peuvent pas être considérés comme des sous-traitants distincts.

3. Finalité et périmètre du contrôle qualité dans les recherches en santé

12. Le contrôle qualité constitue une étape indispensable dans le cadre des recherches dans le domaine de la santé. Il permet de vérifier l’exhaustivité et l’exactitude des données cliniques collectées, et contribue à garantir la fiabilité et la robustesse des résultats de la recherche. Traditionnellement, ce contrôle est réalisé sur site, lors d’une visite au sein d’un lieu de recherche.

13. Avec le développement des solutions numériques dans le domaine des recherches en santé, le contrôle qualité est de plus en plus réalisé à distance par voie dématérialisée. La crise sanitaire liée à la covid-19 a fortement développé ce recours au contrôle qualité à distance, conduisant la CNIL à adopter des recommandations provisoires applicables jusqu’au 31 décembre 2021, puis mises à jour et soumises à consultation publique entre mai et juillet 2024.

14. L’annexe « contrôle qualité » s’adresse à toutes les personnes physiques ou morales amenées à organiser ou mettre en œuvre une mission de contrôle qualité dans le cadre d’une recherche : responsables de traitement, sous-traitants (centre investigateur, personne chargée de réaliser le contrôle qualité, éditeur de logiciel, etc.). Les exigences décrites, identifiées par des références du type [CQ-XXX-XX-00], sont applicables aux traitements mis en œuvre dans le cadre des méthodologies de référence homologuées par la CNIL qui renvoient expressément à ce document.

15. En l’absence de conformité aux exigences de l’annexe, une demande d’autorisation devra être sollicitée préalablement à la mise en œuvre de la recherche. L’annexe couvre : (i) le contrôle qualité sur site réalisé lors d’une visite au sein d’un lieu de recherche, et (ii) le contrôle qualité à distance réalisé soit via un outil de vidéoconférence, soit via une plateforme sécurisée permettant la mise à disposition des données strictement nécessaires.

16. L’annexe exclut de son champ : (i) la mission de contrôle qualité réalisée à distance par un accès direct au dossier médical ou au dossier patient informatisé (DPI), (ii) l’accès direct aux services ou outils numériques dans lesquels sont traitées des données permettant l’identification directe des personnes concernées (données administratives notamment) ou qualifiés de service numérique en santé au sens de l’article L. 1470-1 du CSP (par exemple une application mobile de télésuivi), et (iii) le contrôle portant sur les formulaires de consentement recueillis ou signés par voie électronique.

4. Choix du type de contrôle qualité et encadrement contractuel

17. Le choix des modalités de réalisation du contrôle qualité relève du responsable de traitement, après consultation de son délégué à la protection des données (DPD) et, le cas échéant, de son responsable de la sécurité des systèmes d’information (RSSI) (paragraphe 9). Ce choix doit intégrer les enjeux de protection des données et les contraintes opérationnelles des lieux de recherche.

18. Le responsable de traitement est tenu de s’assurer que son sous-traitant est en capacité de mettre en œuvre les mesures techniques et organisationnelles nécessaires pour garantir la protection des données, notamment celles détaillées dans l’annexe [CQ-COM-JUR-1]. Cette vérification suppose que le responsable de traitement communique sur le type de contrôle qualité souhaité, ses caractéristiques essentielles et ses conséquences opérationnelles, et que le sous-traitant transmette toutes les informations pertinentes sur la manière dont l’activité sera réalisée (paragraphe 10).

19. Pour les recherches en cours, la modification du type de contrôle qualité (passage du sur site au à distance ou inversement) constitue une modification substantielle du traitement de données. Sa mise en œuvre nécessite la consultation préalable de chaque organisme qualifié de lieu de recherche concerné, afin de garantir sa capacité à mettre en œuvre les mesures appropriées pour la protection des données, avec l’intervention des profils métiers adéquats, notamment le DPD et, le cas échéant, le RSSI (paragraphe 11).

20. Lorsque la mission de contrôle qualité implique un ou plusieurs sous-traitants, un contrat conforme à l’article 28 du RGPD doit être conclu avec chacun d’eux (centre investigateur, CRO, prestataire de solution numérique, etc.) [CQ-COM-JUR-2] (paragraphe 12). Compte tenu des risques spécifiques, il est recommandé que ce contrat précise : le type de contrôle qualité retenu (sur site et/ou à distance), la recherche concernée et ses principales caractéristiques (catégories de personnes concernées, données strictement nécessaires), une clause de confidentialité spécifique et les instructions détaillées sur la réalisation de la mission (paragraphe 13).

21. La clause de confidentialité doit tenir compte des risques liés aux modalités de réalisation du contrôle qualité et prévoir notamment que les personnes chargées du contrôle qualité s’engagent à ne pas effectuer d’impression écran ou de photos, à consulter les données dans un endroit clos sans passage de tiers, et à utiliser uniquement du matériel informatique maîtrisé à usage strictement professionnel.

5. Principe de minimisation des données et finalités du contrôle qualité

22. Les données à caractère personnel consultées dans le cadre d’une mission de contrôle qualité servent exclusivement à : (i) vérifier le respect des réglementations sectorielles applicables et du protocole (par exemple le respect des critères d’inclusion), (ii) vérifier, le cas échéant, l’authenticité et la cohérence des formulaires de consentement recueillis au format papier, et (iii) vérifier l’authenticité et la cohérence des informations recueillies dans le cadre de la recherche par rapport aux documents sources (paragraphe 14).

23. Conformément au principe de minimisation des données, seules les données strictement nécessaires pour atteindre ces objectifs peuvent être traitées [CQ-COM-JUR-3] (paragraphe 15). Le contrôle qualité ne justifie pas un accès à l’ensemble du dossier médical de la personne concernée. Les personnes chargées du contrôle qualité ont accès uniquement aux données : (i) relatives à la personne concernée par la recherche, et (ii) ayant un lien direct avec la recherche concernée.

24. Conformément aux bonnes pratiques cliniques, le contrôle qualité peut être réalisé sur des données permettant l’identification directe de la personne concernée (données administratives notamment) (paragraphe 16). Cette possibilité renforce la nécessité de mesures de sécurité et de confidentialité renforcées.

6. Habilitation, secret professionnel et information des personnes

25. Les personnes chargées du contrôle qualité peuvent être toute personne agissant sous l’autorité du responsable de traitement : personnel habilité ou sous-traitant (paragraphe 17). Elles doivent disposer des qualifications et de l’expérience nécessaires à la réalisation de cette activité [CQ-COM-JUR-4], être soumises au secret professionnel en application des réglementations sectorielles et de l’article 68 de la loi « informatique et libertés », et être mandatées et habilitées [CQ-COM-JUR-5] (paragraphe 18).

26. Les personnes concernées doivent être informées lors de leur inclusion dans la recherche de la possibilité de réalisation d’un contrôle qualité, de ses modalités (sur site et/ou à distance), du fait que ce contrôle peut conduire des tiers à avoir accès à des données permettant leur identification directe (données administratives notamment), et de l’existence d’un droit d’opposition à la réalisation de ce contrôle [CQ-COM-JUR-6] (paragraphe 19).

27. Cette information est insérée dans l’information RGPD et/ou dans la note d’information relative à la recherche prévue par la réglementation sectorielle applicable (paragraphe 20). Aucun contrôle qualité ne peut être effectué sur les données d’une personne qui s’y est opposée [CQ-COM-JUR-7] (paragraphe 21). Pour les recherches en cours, la modification des modalités de réalisation du contrôle qualité constitue une modification substantielle dont les personnes concernées doivent être informées (paragraphe 22).

28. Les autres droits des personnes concernées (accès, rectification, limitation, etc.) s’exercent conformément aux dispositions de la méthodologie de référence applicable (paragraphe 23). L’ensemble de ces exigences renforce la transparence et la maîtrise par les personnes de l’usage de leurs données à caractère personnel dans le cadre du contrôle qualité.

7. Mesures de sécurité communes au contrôle qualité sur site et à distance

29. La mission de contrôle qualité nécessite le respect des exigences de l’annexe sécurité, complétées par celles de l’annexe « contrôle qualité » [CQ-COM-SEC-1] (paragraphe 24). Elle est réalisée sous la direction et la surveillance d’un professionnel intervenant dans la recherche exerçant dans le lieu de recherche concerné [CQ-COM-SEC-2] (paragraphe 25).

30. Les mesures techniques et organisationnelles suivantes doivent être mises en œuvre (paragraphe 26) : (i) mise en place de comptes nominatifs en application de l’exigence MR-SEC-10 [CQ-COM-SEC-3], (ii) création de profils spécifiques pour les personnes chargées du contrôle qualité, accès en lecture seule aux données strictement nécessaires et restriction de la durée des habilitations (exigence MR-SEC-13, [CQ-COM-SEC-4]), (iii) sécurisation du poste de travail des personnes chargées du contrôle qualité, en particulier consultation dans un endroit clos sans passage de tiers, blocage des captures d’écran et désactivation des assistants IA (exigences MR-SEC-16 à MR-SEC-21, [CQ-COM-SEC-5]).

31. D’autres mesures complètent ce dispositif : (i) mise en place de procédures spécifiques de gestion et de traitement des incidents de sécurité et des violations de données personnelles (exigence MR-SEC-27, [CQ-COM-SEC-6]), (ii) blocage applicatif des possibilités d’impression, de copie d’écran, d’export ou de téléchargement des données consultées pendant le contrôle qualité [CQ-COM-SEC-7]. Ces exigences s’appliquent à la fois au contrôle qualité sur site et au contrôle qualité à distance.

8. Conditions complémentaires pour le contrôle qualité à distance

32. En complément des exigences communes, des conditions spécifiques s’appliquent au contrôle qualité à distance (paragraphe 27). Lorsque le responsable de traitement décide d’y recourir, il doit vérifier, notamment par des audits, que la solution technique retenue offre un niveau de protection approprié et conforme aux exigences de l’annexe [CQ-DIST-JUR-1] (paragraphe 28). Il est recommandé de réaliser un audit lors de la sélection d’un nouvel outil, puis au moins tous les trois ans.

33. Le responsable de traitement s’assure que les professionnels intervenant dans la recherche sont formés à l’utilisation de la solution technique retenue pour la réalisation du contrôle qualité à distance [CQ-DIST-JUR-2] (paragraphe 29). Le choix de recourir à un contrôle qualité à distance doit faire l’objet d’échanges entre le responsable de traitement et ses sous-traitants, en particulier les lieux de recherche concernés, ainsi que leurs DPD et RSSI (paragraphe 30).

34. L’annexe précise que la mission de contrôle qualité réalisée via un outil de vidéoconférence a l’avantage de se rapprocher d’un contrôle qualité sur site (paragraphe 31). Outre les éléments contractuels déjà mentionnés, il est recommandé que le contrat de sous-traitance précise les spécifications détaillées de la solution technique, le dossier de validation des systèmes informatisés, la procédure en cas de doute sur la véracité ou la complétude des données sources, et les modalités de vérification (paragraphe 32).

35. En cas de doute sur la véracité ou la complétude des données mises à disposition, si le responsable de traitement souhaite procéder à une vérification, celle-ci doit prendre la forme d’un contrôle qualité sur site [CQ-DIST-JUR-3] (paragraphe 33). La solution de contrôle qualité à distance doit être hébergée au sein de l’Union européenne, de l’Espace économique européen ou dans un pays disposant d’un niveau de protection adéquat au sens de l’article 45 du RGPD [CQ-DIST-JUR-4] (paragraphe 34), sauf pour les données conservées par un organisme qualifié de lieu de recherche établi hors UE.

36. Les transferts de données hors UE doivent être conformes aux dispositions du référentiel ou de la méthodologie de référence applicable à la recherche, ou faire l’objet d’une demande d’autorisation. Tout accès distant aux données (y compris une simple visualisation) depuis l’extérieur du territoire de l’UE constitue un transfert hors UE (paragraphe 35).

9. Mesures complémentaires pour l’usage d’un outil de vidéoconférence

37. Pour le contrôle qualité à distance via un outil de vidéoconférence, le responsable de traitement doit recourir à des solutions sécurisées dont il maîtrise les risques (paragraphe 36). Il est recommandé de privilégier des solutions ayant fait l’objet d’une certification appropriée (par exemple par l’ANSSI) ou couvertes par des référentiels existants (par exemple le socle interministériel des logiciels libres).

38. Les mesures suivantes doivent être mises en œuvre (paragraphe 37) : (i) mise en place d’une authentification multifacteur conforme à la recommandation de la CNIL (délibération n° 2025-019 ou sa version la plus récente) [CQ-VISIO-SEC-1], ou, par dérogation, authentification de chaque participant ou définition d’un code secret spécifique pour chaque session et utilisation d’une zone d’attente permettant à l’hôte de valider l’entrée de chaque participant, avec un mot de passe ou code secret conforme à la recommandation relative aux mots de passe (délibération n° 2022-100) [CQ-VISIO-SEC-2].

39. Il convient également de : (i) conserver les données de journalisation de la solution de vidéoconférence, si celle-ci le permet, ou tenir une main courante détaillant les horaires et les personnes ayant participé aux vidéoconférences (exigence MR-SEC-14, [CQ-VISIO-SEC-3]), (ii) assurer la présence d’un professionnel intervenant dans la recherche pendant toute la durée de la vidéoconférence, en complément de l’exigence [CQ-COM-SEC-2] [CQ-VISIO-SEC-4].

40. D’autres mesures visent à limiter les risques : (i) recours à la fonctionnalité de partage d’écran permettant d’afficher uniquement les documents sources nécessaires, afin de respecter l’exigence de minimisation des données [CQ-VISIO-SEC-5], (ii) blocage des fonctionnalités de type « prise en main à distance » et « partage de documents » [CQ-VISIO-SEC-6], (iii) blocage des possibilités d’enregistrement ou de retranscription automatique de la session de vidéoconférence [CQ-VISIO-SEC-7]. Ces mesures visent à éviter la constitution de nouvelles copies de données sensibles et à limiter les risques de fuite.

10. Mesures complémentaires pour une plateforme sécurisée de visualisation

41. Lorsque le contrôle qualité à distance repose sur une plateforme sécurisée, la sensibilité des données impose une solution technique particulièrement robuste (paragraphe 38). Les données mises à disposition de la personne chargée du contrôle qualité par les professionnels intervenant dans un lieu de recherche ne doivent pas lui être envoyées directement, mais déposées sur une plateforme intermédiaire de visualisation de données (paragraphe 39).

42. Cette plateforme ne doit contenir que les données strictement nécessaires au contrôle qualité et doit permettre une traçabilité exhaustive des actions de la personne chargée de le réaliser (paragraphe 40). Les mesures suivantes doivent être mises en œuvre (paragraphe 41) : (i) chiffrement au repos des données déposées sur la plateforme et de leurs sauvegardes, par des algorithmes cryptographiques à l’état de l’art (exigence MR-SEC-09, [CQ-PF-SEC-1]), (ii) authentification multifacteur conforme à la recommandation de la CNIL pour se connecter à la plateforme (exigence MR-SEC-12, [CQ-PF-SEC-2]).

43. La plateforme doit également assurer : (i) un cloisonnement des données entre différentes recherches pour lesquelles elle est utilisée (exigence MR-SEC-19, [CQ-PF-SEC-3]), (ii) la journalisation et la surveillance, par l’organisme qualifié de lieu de recherche, des actions de la personne chargée de réaliser le contrôle qualité, avec conservation des données de journalisation permettant un audit complet des accès et des actions (auteur individuellement identifié, horodatage, nature de l’opération, référence des documents consultés) (exigence MR-SEC-14, [CQ-PF-SEC-4]).

44. Par dérogation à l’exigence [CQ-COM-SEC-2], la surveillance des opérations de contrôle qualité peut être réalisée par une analyse détaillée de la journalisation requise par [CQ-PF-SEC-4] [CQ-PF-SEC-5]. Il doit être prévu l’effacement des données déposées sur la plateforme, et de leurs éventuelles sauvegardes, dès la fin du contrôle qualité [CQ-PF-SEC-6], ainsi que la garantie qu’aucun fichier, même temporaire, contenant des données à caractère personnel ne puisse être conservé sur le terminal de la personne chargée de réaliser le contrôle qualité après une session à distance [CQ-PF-SEC-7].

45. Le recours à un hébergeur de données de santé (HDS) est nécessaire dès lors que les données transmises concernent des personnes résidant en France ou ayant été prises en charge par un établissement, un professionnel ou un centre de santé établi en France, et qu’au moins l’une des conditions suivantes est remplie (paragraphe 42) : (i) les données transmises sur la plateforme permettent l’identification directe de la personne concernée, ou (ii) les données transmises sont celles initialement collectées pour une activité de prévention, de diagnostic, de soin, ou de suivi social ou médico-social (par exemple pour la tenue du dossier médical ou le fonctionnement d’un service numérique en santé au sens de l’article L. 1470-1 du CSP).

46. Dans l’hypothèse où le recours à un HDS ne serait pas nécessaire (aucune de ces conditions n’est remplie), le responsable de traitement doit faire appel à un organisme certifié ISO/IEC 27001 : 2022 ou présentant des garanties de sécurité équivalentes [CQ-PF-SEC-8]. Cette exigence renforce la cohérence entre les obligations de sécurité des données de santé et les pratiques de contrôle qualité dans les recherches en santé.

11. Synthèse des exigences applicables au contrôle qualité des données de recherche

47. L’annexe se clôt par une liste des exigences applicables (section 9), présentée sous forme de tableau, indiquant pour chaque exigence si elle s’applique au contrôle qualité sur site (« Site »), au contrôle qualité via visio (« Visio ») ou via plateforme sécurisée (« PF »). Les références [CQ-COM-JUR-1] à [CQ-COM-JUR-7] encadrent les aspects juridiques communs (capacité des sous-traitants, contrats de sous-traitance, minimisation des données, qualifications et habilitations, information et droit d’opposition des personnes).

48. Les références [CQ-COM-SEC-1] à [CQ-COM-SEC-7] portent sur les mesures de sécurité communes (mise en œuvre des exigences MR-SEC-XX, direction et surveillance par un professionnel intervenant dans la recherche, comptes nominatifs, profils spécifiques, sécurisation du poste de travail, gestion des incidents de sécurité, blocage des impressions et exports). Les références [CQ-DIST-JUR-1] à [CQ-DIST-JUR-4] encadrent spécifiquement le contrôle qualité à distance (audits, formation, recours au contrôle sur site en cas de doute, hébergement dans l’UE ou pays adéquat).

49. Les références [CQ-VISIO-SEC-1] à [CQ-VISIO-SEC-7] détaillent les exigences propres à l’outil de vidéoconférence (authentification, mots de passe, journalisation ou main courante, présence d’un professionnel, partage d’écran limité, blocage de la prise en main à distance et du partage de documents, interdiction d’enregistrement ou de retranscription automatique). Les références [CQ-PF-SEC-1] à [CQ-PF-SEC-8] encadrent l’usage d’une plateforme sécurisée (chiffrement, authentification multifacteur, cloisonnement des données, journalisation et surveillance, durée de conservation limitée, absence de fichiers temporaires sur les terminaux, recours à un HDS ou à un prestataire ISO/IEC 27001 : 2022).

50. L’ensemble de ces exigences vise à concilier la nécessité de contrôle qualité pour garantir la fiabilité des recherches en santé avec les impératifs de protection des données à caractère personnel et de conformité CNIL. En structurant les obligations autour des méthodologies de référence, de l’annexe sécurité et de l’annexe « contrôle qualité », la CNIL fournit un cadre opérationnel détaillé pour les responsables de traitement et leurs sous-traitants.

Pour en savoir plus

51. Liste des hébergeurs de données de santé (HDS) certifiés : https://esante.gouv.fr/offres-services/hds/liste-des-hebergeurs-certifies.