1. Cadre général de la nouvelle méthodologie de référence MR-003

1.1. La délibération n° 2026-051 du 19 mars 2026 de la Commission nationale de l’informatique et des libertés (CNIL), publiée au Journal officiel de la République française du 23 mai 2026 (Texte 87 sur 124), homologue une nouvelle méthodologie de référence relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé ne nécessitant pas le recueil du consentement de la personne concernée en vue de la participation à la recherche, dite MR-003, et abroge la délibération n° 2018-154 du 3 mai 2018.

1.2. Cette méthodologie s’inscrit dans le cadre du règlement (UE) 2016/679 du 27 avril 2016 (RGPD), de la loi n° 78-17 du 6 janvier 1978 modifiée dite loi « informatique et libertés », du code de la santé publique et des textes sectoriels applicables aux recherches dans le domaine de la santé. Elle prend également en compte la délibération n° 2026-049 portant homologation de l’annexe « sécurité » et la délibération n° 2026-052 portant homologation de l’annexe « contrôle qualité », qui complètent la MR-003.

1.3. La CNIL rappelle que certains traitements de données à caractère personnel dans le domaine de la santé restent soumis à des formalités préalables : par principe, une déclaration de conformité à un référentiel homologué, et, par exception, une demande d’autorisation lorsque le traitement ne respecte pas l’ensemble des exigences du référentiel applicable. La MR-003 constitue l’un de ces référentiels, spécifiquement dédié aux recherches, études et évaluations dans le domaine de la santé ne nécessitant pas le consentement.

1.4. Depuis l’entrée en vigueur du RGPD, la CNIL a adopté treize référentiels, dont huit méthodologies de référence pour la recherche en santé. Une consultation publique menée à l’été 2024 sur ces référentiels a mis en évidence la nécessité d’actualiser la MR-003 pour tenir compte de l’évolution du cadre légal et réglementaire, de la numérisation des pratiques de recherche clinique, de la menace pesant sur la sécurité des systèmes d’information en recherche et de l’état de l’art en matière de sécurité informatique.

1.5. Le responsable de traitement d’une recherche relevant du champ de la MR-003 peut se prévaloir de cette méthodologie par une déclaration de conformité, à condition que le traitement soit conforme à l’ensemble de ses dispositions, y compris celles de l’annexe « sécurité » et de l’annexe « contrôle qualité ». À défaut, une procédure d’autorisation spécifique demeure nécessaire.

1.6. La méthodologie de référence entre en vigueur à compter de sa publication au Journal officiel, à l’exception de la mesure MR-SEC-12 relative à l’authentification multifacteur, qui s’appliquera à partir du 1er janvier 2027 pour les services numériques de recherche accessibles via internet, et du 1er janvier 2028 pour l’ensemble des services numériques, systèmes d’information ou outils numériques utilisés dans la recherche, qu’ils soient ou non accessibles via internet.

2. Champ d’application, responsables de traitement et recherches éligibles

2.1. La MR-003 s’applique aux responsables de traitement qui mettent en œuvre des traitements de données à caractère personnel correspondant aux recherches visées à la partie III de la méthodologie. En cas de responsabilité conjointe, les organismes doivent définir de manière transparente leurs obligations respectives, conformément à l’article 26 du RGPD.

2.2. Peuvent bénéficier de la méthodologie les recherches dans le domaine de la santé auxquelles la loi « informatique et libertés » est applicable, dès lors que le responsable de traitement est établi en France ou que tout ou partie des personnes concernées résident en France. Les traitements doivent poursuivre une finalité d’intérêt public de recherche, d’étude ou d’évaluation dans le domaine de la santé.

2.3. La MR-003 vise les recherches pour lesquelles les réglementations sectorielles n’imposent pas le recueil du consentement de la personne se prêtant à la recherche ou de ses représentants légalement désignés. Sont notamment concernées : les recherches impliquant la personne humaine mentionnées au 2° de l’article L. 1121-1 du code de la santé publique, les recherches non interventionnelles du 3° de ce même article, les recherches visant à évaluer les soins courants soumises aux dispositions antérieures à la loi n° 2012-300 du 5 mars 2012, ainsi que certains essais cliniques par grappes relevant de l’article 30 du règlement (UE) n° 536/2014.

2.4. Peuvent également entrer dans le champ de la MR-003 des recherches mises en œuvre par un responsable de traitement établi en France lorsque les personnes concernées ne résident pas en France, à condition que les réglementations sectorielles applicables dans le pays de résidence n’imposent pas non plus le recueil du consentement pour la participation à la recherche.

2.5. La méthodologie exclut explicitement certaines catégories de recherches : celles pour lesquelles les textes sectoriels imposent le recueil du consentement de la personne se prêtant à la recherche, celles pour lesquelles l’analyse d’impact relative à la protection des données (AIPD) fait apparaître un risque résiduel élevé pour les droits et libertés malgré les mesures d’atténuation, celles nécessitant un appariement avec des bases créées ou régies par un acte législatif ou réglementaire (y compris le SNDS central) et celles nécessitant le traitement du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR).

3. Finalités et bases légales des traitements de données de santé

3.1. La MR-003 encadre strictement les finalités des traitements. Pour les personnes se prêtant à la recherche, le traitement a pour seule finalité la réalisation d’une recherche dans le domaine de la santé, incluant la gestion des données nécessaires à la collecte, la saisie, le contrôle de validité et de cohérence, ainsi que l’analyse des données recueillies. Pour les professionnels intervenant dans la recherche, la finalité est limitée à la mise en place de la recherche, à sa réalisation et au respect des réglementations sectorielles.

3.2. La méthodologie interdit que le traitement ait pour finalité l’identification ou la réidentification par leurs caractéristiques génétiques des personnes se prêtant à la recherche. Cette interdiction renforce la protection des données génétiques, considérées comme particulièrement sensibles au sens de l’article 9 du RGPD.

3.3. Sur le plan juridique, la MR-003 rappelle que tout traitement doit reposer sur une base légale conforme à l’article 6 du RGPD (par exemple, l’exécution d’une mission d’intérêt public) et, pour les données sensibles, sur l’une des conditions de l’article 9 du RGPD (notamment les traitements nécessaires à des fins de recherche scientifique ou de santé publique dans l’intérêt public).

4. Données personnelles traitées, minimisation et pseudonymisation

4.1. La MR-003 met en avant le principe de minimisation prévu au c du 1 de l’article 5 du RGPD : les données doivent être pertinentes, adéquates et limitées à ce qui est nécessaire au regard des objectifs de la recherche. Cette exigence s’applique tant aux données des personnes se prêtant à la recherche qu’aux données des professionnels intervenant dans la recherche.

4.2. L’identification de la personne se prêtant à la recherche repose sur un numéro d’inclusion généré conformément aux exigences MR-CNS-01 à 04 de l’annexe sécurité. Ce numéro d’inclusion ne doit pas révéler d’information sur la personne (pas d’initiales, de date de naissance, de NIR, d’INS, d’IPP, d’IEP, ni de numéro de tube ou d’identifiant source) et doit être spécifique au jeu de données. Lorsque des données proviennent d’une base de données ou d’une collection d’échantillons biologiques existante, le numéro d’inclusion doit être différent de l’identifiant source, la correspondance étant conservée par le responsable de la base source.

4.3. Par exception, la première lettre du prénom et la première lettre du nom peuvent être temporairement accolées au numéro d’inclusion, si cette modalité est scientifiquement justifiée et documentée dans le protocole. Cette pratique doit être limitée dans le temps et faire l’objet d’une analyse spécifique des risques de réidentification dans l’AIPD, avec des mesures techniques et organisationnelles appropriées pour limiter ces risques.

4.4. Pour les étapes de la recherche où le numéro d’inclusion n’est plus strictement nécessaire, celui-ci est remplacé par un code non signifiant, généré selon les exigences MR-CNS-01 à 04. Plusieurs codes non signifiants peuvent être utilisés pour différentes étapes ou pour le partage avec de nouveaux destinataires, renforçant la pseudonymisation et la séparation des usages.

4.5. La table de correspondance entre le numéro d’inclusion et les données administratives est conservée par les professionnels intervenant dans la recherche qui assurent une mission de suivi au sein d’un lieu de recherche (à l’exclusion du domicile du patient). Les informations permettant de relier un code non signifiant aux données administratives ou à d’autres identifiants sont conservées conformément à l’exigence MR-CNS-04 de l’annexe sécurité.

4.6. La liste des données administratives susceptibles d’être traitées inclut notamment les noms, prénoms, coordonnées postales, électroniques et téléphoniques, coordonnées bancaires, la date de naissance complète lorsque nécessaire pour la recherche du statut vital dans le fichier des décès de l’INSEE ou pour la prise en charge des frais, le régime d’affiliation à la sécurité sociale (à l’exclusion du NIR), les informations relatives au remboursement des frais et le montant annuel des indemnités perçues.

4.7. Les données de la recherche peuvent comprendre l’âge ou la date de naissance (mois et année, voire jour pour les moins de deux ans), le lieu de naissance et l’origine géographique, le pays, la région ou le département de résidence, les mentions de sexe et de genre, toute donnée relative à la santé, les dates relatives à la conduite de la recherche, l’origine ethnique, les données génétiques, la situation familiale, les déterminants sociaux (niveau de formation, catégorie socioprofessionnelle, vie professionnelle, revenus par tranches, échelle de soutien social perçu), la participation à d’autres recherches, l’usage de tabac, alcool, drogues, les habitudes de vie et comportements (dont les déplacements), le mode de vie, la vie sexuelle et l’orientation sexuelle, le statut vital et la date de décès, ainsi que des photographies, vidéos ou enregistrements vocaux ne permettant pas l’identification des personnes.

4.8. Ces données doivent être minimisées et pseudonymisées, conformément aux paragraphes 13 à 19 de la méthodologie et aux mesures MR-SEC-04 et MR-SEC-06 de l’annexe sécurité. Les origines des données sont strictement encadrées : elles proviennent des intéressés, de leurs représentants légalement désignés ou de leur aidant (si prévu par le protocole), des professionnels intervenant dans la recherche, ou de bases de données et collections d’échantillons biologiques légalement constituées.

4.9. Pour les professionnels intervenant dans la recherche, les données traitées portent sur l’identité (noms, prénoms, état civil, coordonnées professionnelles, numéro d’identification dans le répertoire partagé des professionnels de santé), la formation et les diplômes, la vie professionnelle (cursus, mode et type d’exercice, éléments nécessaires à l’évaluation des connaissances), le montant des indemnités et rémunérations, la collaboration à d’autres études et l’historique des accès et des modifications apportées aux données des personnes se prêtant à la recherche.

5. Destinataires, missions et cloisonnement des accès

5.1. La MR-003 consacre une partie importante à la notion de destinataire (au sens du 9° de l’article 4 du RGPD) et aux missions qui leur sont confiées. Chaque destinataire doit être habilité, ne recevoir que les données strictement nécessaires à l’exercice de sa mission, être soumis au secret professionnel (articles 226-13 et 226-14 du code pénal ou réglementation équivalente dans un pays tiers), mettre en œuvre des mesures de sécurité appropriées et conserver les données pour une durée limitée à la mission.

5.2. En principe, un destinataire ne peut pas avoir simultanément accès aux données administratives et aux données de la recherche, ni aux données administratives et au numéro d’inclusion. Le respect de ce principe peut nécessiter l’attribution d’un code non signifiant à la personne se prêtant à la recherche, afin de dissocier les informations d’identité des données scientifiques.

5.3. Des dérogations sont toutefois prévues en fonction des missions : les destinataires assurant une mission de suivi de la personne se prêtant à la recherche peuvent accéder aux données administratives, aux identifiants et aux données de la recherche de la personne suivie. Ceux qui assurent des missions administratives nécessaires à la réalisation de la recherche peuvent accéder aux données administratives, aux codes non signifiants et aux données de santé strictement nécessaires à l’organisation de la mission.

5.4. Les destinataires chargés d’une mission d’information peuvent accéder aux données administratives et aux éléments de l’information RGPD susceptibles de révéler des informations sur l’état de santé de la personne. Les destinataires assurant une mission de contrôle qualité peuvent accéder aux données à caractère personnel dans des conditions conformes à l’annexe contrôle qualité, afin de vérifier le respect des réglementations et du protocole, ainsi que l’exhaustivité et l’authenticité des données collectées.

5.5. La méthodologie encadre également le cumul de missions. Les professionnels intervenant dans la recherche exerçant au sein d’un lieu de recherche (hors domicile) peuvent cumuler les missions de suivi, les missions administratives nécessaires, les missions d’information et contribuer aux missions de contrôle qualité, mais uniquement pour les personnes qu’ils prennent en charge et, pour l’information, pour les personnes dont ils connaissaient l’identité avant le début de la recherche.

5.6. Les établissements de santé établis en France, lorsqu’ils sont promoteurs de la recherche et donc responsables de traitement, peuvent réaliser les missions de suivi, d’information, administratives et de contrôle qualité. Ils doivent toutefois mettre en place une séparation physique et organisationnelle entre les équipes (procédures d’habilitation distinctes) et un cloisonnement des bases de données et des applications, avec des droits d’accès différenciés.

5.7. Les sous-traitants (personnes morales distinctes du responsable de traitement) peuvent également cumuler plusieurs missions (suivi, information, missions administratives, contrôle qualité), sous réserve de mettre en œuvre les mêmes mesures de séparation organisationnelle et de cloisonnement des données, afin que chaque personne n’accède qu’aux données nécessaires à la mission qui lui est confiée.

6. Information des personnes concernées et droits au titre du RGPD

6.1. Conformément à l’article 12 du RGPD, le responsable de traitement doit fournir une information RGPD individuelle à la personne se prêtant à la recherche et/ou à ses représentants légalement désignés. Cette information doit être concise, transparente, compréhensible, aisément accessible et rédigée dans des termes clairs et simples, adaptés aux capacités de compréhension des personnes concernées.

6.2. Par principe, l’information est délivrée préalablement à l’inclusion dans la recherche. Par exception, lorsque la personne n’est pas en état de recevoir l’information avant son inclusion, celle-ci est fournie dès que possible à ses représentants légalement désignés, puis à la personne elle-même dès que son état de santé le permet. La personne ou ses représentants sont informés du droit de s’opposer à l’utilisation des données recueillies, conformément à la réglementation sectorielle.

6.3. Les modalités de délivrance de l’information RGPD peuvent être la remise en main propre, l’envoi postal ou l’envoi électronique. En cas d’envoi électronique, plusieurs conditions cumulatives s’appliquent : absence d’opposition de la personne ou de ses représentants, disponibilité des moyens d’accès au support électronique, mise à disposition de l’information pendant toute la durée de la recherche, possibilité d’obtenir à tout moment une version papier, et respect des mesures de sécurité spécifiques prévues par l’annexe sécurité (MR-INF-01 à 04).

6.4. Les récipiendaires de l’information incluent la personne sollicitée pour se prêter à la recherche, ses représentants légalement désignés, les personnes mineures et les majeurs protégés, dans des conditions conformes à l’article 70 de la loi « informatique et libertés ». Pour certaines recherches, lorsque le second titulaire de l’autorité parentale ne peut pas être consulté dans les délais compatibles avec les exigences méthodologiques, une note d’information RGPD à son attention doit être transmise via le titulaire présent lors de l’inclusion.

6.5. Le contenu de l’information RGPD doit comporter l’ensemble des mentions prévues par le RGPD, complétées par des éléments spécifiques : modalités d’exercice des droits (points de contact, informations à fournir), source des données en cas de réutilisation de bases ou de collections d’échantillons biologiques, inscription éventuelle dans un fichier national recensant les personnes se prêtant volontairement à une recherche, et, le cas échéant, missions confiées à un sous-traitant nécessitant l’accès à des données administratives et catégories de données concernées.

6.6. Les professionnels intervenant dans la recherche reçoivent une information RGPD via des mentions figurant sur les documents qui leur sont remis ou sur les conventions qu’ils signent. Cette information doit également respecter les exigences du RGPD.

6.7. En matière de droits des personnes, la MR-003 rappelle que le responsable de traitement doit mettre en place des procédures permettant de répondre aux demandes dans un délai maximal d’un mois, prolongeable de deux mois en cas de complexité ou de nombre élevé de demandes. Les droits d’accès, de rectification, de limitation, d’opposition, de portabilité et d’effacement s’exercent dans les conditions prévues par les articles 15 à 21 du RGPD.

6.8. Le responsable de traitement ne peut pas se prévaloir de l’article 11 du RGPD pour limiter l’exercice des droits au motif qu’il ne disposerait plus de données identifiantes. Même lorsque les réglementations sectorielles n’imposent pas la conservation de données administratives, il doit rester en capacité de répondre aux demandes si la personne fournit des informations complémentaires permettant sa réidentification, en mettant en place un mécanisme de correspondance entre les données fournies et les données traitées dans la recherche.

6.9. La personne se prêtant à la recherche doit être informée de toute restriction de ses droits. Elle peut exercer ses droits à tout moment, directement ou par l’intermédiaire d’un professionnel désigné, auprès du responsable de traitement, du responsable scientifique de la recherche ou d’un professionnel intervenant dans la recherche. Conformément à la loi « informatique et libertés », elle peut s’opposer à tout moment et sans justification au traitement de ses données à des fins de recherche.

6.10. Les professionnels intervenant dans la recherche exercent leurs droits auprès du responsable de traitement, dans les mêmes conditions de délai et de transparence.

7. Durée de conservation, publication des résultats et sécurité

7.1. En application du e du 1 de l’article 5 du RGPD, les données à caractère personnel doivent être traitées pour une durée n’excédant pas celle nécessaire au regard des finalités poursuivies. Pour les personnes se prêtant à la recherche et les professionnels intervenant, les données sont conservées en base active jusqu’à la mise sur le marché du produit de santé étudié, ou deux ans après la dernière publication des résultats, ou, en l’absence de publication, deux ans après la signature du rapport final.

7.2. Au-delà de cette période, les données font l’objet d’un archivage sur support papier ou informatique pour une durée conforme aux réglementations sectorielles applicables. Cette phase d’archivage doit également respecter les exigences de sécurité et de confidentialité prévues par la méthodologie et par l’annexe sécurité.

7.3. En cas de publication des résultats de la recherche dans un média scientifique, l’accès aux données par un expert indépendant mandaté par un éditeur pour réanalyser les résultats ne peut se faire que via une interface déterminée par le responsable de traitement. Celui-ci doit s’assurer que l’information RGPD mentionne cette catégorie de destinataires, que les données mises à disposition sont strictement nécessaires à la reproduction des statistiques, qu’elles ne contiennent ni numéro d’inclusion, ni codes non signifiants, ni données administratives, et qu’elles respectent la mesure MR-PUB-01 de l’annexe sécurité.

7.4. Le responsable de traitement doit également mettre en œuvre ou rejoindre une solution technique respectant les mesures MR-PUB-02 et MR-PUB-03 de l’annexe sécurité, et, le cas échéant, veiller à la conformité de tout accès distant aux données avec les règles relatives au transfert de données hors de l’Union européenne (partie XIV de la méthodologie). La présentation des résultats ne doit en aucun cas permettre l’identification directe ou indirecte des personnes se prêtant à la recherche.

7.5. Sur le plan de la sécurité, la MR-003 renvoie aux articles 25 et 32 à 35 du RGPD. Le responsable de traitement et ses sous-traitants doivent prendre toutes les précautions utiles pour préserver la sécurité des données et empêcher leur déformation, endommagement ou accès non autorisé. Ils doivent mettre en œuvre les mesures générales MR-SEC-01 à 30 et les mesures spécifiques (MR-INF-01 à 04, MR-PUB-01 à 03, MR-CNS-01 à 04), incluant notamment l’authentification multifacteur (MR-SEC-12) selon le calendrier d’entrée en vigueur.

8. Systèmes fils, SNDS et transferts de données hors de l’Union européenne

8.1. La MR-003 autorise le traitement, dans son cadre, de données provenant de systèmes fils incluant des données issues du Système national des données de santé (SNDS), à condition que ces systèmes fils soient conformes aux articles L. 1461-1 et suivants du code de la santé publique et au référentiel de sécurité applicable au SNDS prévu par arrêté. Cette articulation permet d’intégrer des données de santé de grande ampleur tout en respectant des exigences de sécurité renforcées.

8.2. Les transferts de données en dehors de l’Union européenne sont possibles dans le cadre de la MR-003, sous réserve du respect des conditions décrites dans la partie XIV de la méthodologie. Les données concernées incluent les données des professionnels intervenant dans la recherche ainsi que les identifiants et données de la recherche des personnes se prêtant à la recherche. Ces transferts doivent s’inscrire dans le cadre général du RGPD (décisions d’adéquation, garanties appropriées, clauses contractuelles types, etc.) et être compatibles avec les exigences spécifiques de la méthodologie.

9. Gouvernance, sous-traitance et principe de responsabilité

9.1. La MR-003 consacre une partie à la mise en œuvre du principe de responsabilité (accountability). Le responsable de traitement doit documenter la conformité de ses traitements, notamment via une analyse d’impact sur la protection des données (AIPD) et un registre des traitements. L’AIPD est particulièrement centrale pour évaluer les risques résiduels élevés qui, le cas échéant, excluraient le recours à la méthodologie.

9.2. La désignation d’un délégué à la protection des données (DPD/DPO) est requise dans les cas prévus par le RGPD et la loi « informatique et libertés », ce qui est fréquemment le cas pour les organismes menant des recherches dans le domaine de la santé à grande échelle ou traitant des données sensibles de manière systématique.

9.3. La sous-traitance est encadrée par la définition du 8° de l’article 4 du RGPD : le sous-traitant est une entité juridique distincte du responsable de traitement, disposant de la personnalité juridique. Les différents services ou directions d’une même personne morale ne peuvent pas être considérés comme des sous-traitants distincts. Les contrats de sous-traitance doivent refléter les exigences de la MR-003, notamment en matière de missions confiées, de séparation des missions et de cloisonnement des données.

9.4. Enfin, la méthodologie insiste sur le principe de transparence : les personnes concernées doivent être clairement informées des finalités, des destinataires, des durées de conservation, des droits dont elles disposent et des modalités d’exercice de ces droits, y compris en cas de réutilisation de bases de données ou de collections d’échantillons biologiques. Cette transparence est un élément clé de la légitimité des recherches dans le domaine de la santé ne nécessitant pas le recueil du consentement.