1. Cadre général de la méthodologie de référence MR-001 pour les recherches en santé avec consentement

1.1 La Commission nationale de l’informatique et des libertés (CNIL) a adopté la délibération no 2026-050 du 19 mars 2026 portant homologation d’une nouvelle méthodologie de référence MR-001 relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé nécessitant le recueil du consentement de la personne concernée. Cette délibération abroge la délibération no 2018-153 et s’inscrit dans le cadre du règlement (UE) 2016/679 (RGPD), de la loi no 78-17 du 6 janvier 1978 modifiée dite « informatique et libertés », du code de la santé publique et du code civil.

1.2 La CNIL rappelle que certains traitements de données à caractère personnel dans le domaine de la santé demeurent soumis à des formalités préalables. En principe, ces formalités prennent la forme d’une déclaration de conformité à un référentiel homologué (ici la méthodologie de référence MR-001) et, par exception, d’une demande d’autorisation lorsque le traitement ne répond pas à l’ensemble des exigences du référentiel applicable. Depuis l’entrée en vigueur du RGPD, treize référentiels ont été adoptés, dont huit méthodologies de référence dédiées aux recherches, études et évaluations dans le domaine de la santé.

1.3 À l’été 2024, une consultation publique sur l’ensemble des référentiels applicables aux formalités préalables dans le domaine de la santé a permis d’identifier les besoins prioritaires des acteurs. Les réponses recueillies, dont les conclusions ont été rendues publiques, ont mis en évidence la nécessité d’adapter la MR-001 de 2018 à l’évolution du cadre légal et réglementaire, des pratiques de recherche clinique (notamment leur numérisation), de la menace pesant sur la sécurité des systèmes d’information en recherche et de l’état de l’art en matière de sécurité informatique.

1.4 La nouvelle MR-001 est indissociable de deux annexes homologuées par la CNIL : l’annexe « sécurité » (délibération no 2026-049) et l’annexe « contrôle qualité » (délibération no 2026-052). Le responsable de traitement d’une recherche relevant du champ de la MR-001 peut se prévaloir d’une déclaration de conformité dès lors que le traitement est conforme à la méthodologie, y compris aux mesures prévues par ces annexes.

1.5 La méthodologie de référence MR-001 entre en vigueur à compter de sa publication au Journal officiel de la République française. Une mesure spécifique, MR-SEC-12 relative à l’authentification multifacteur, bénéficie d’une entrée en vigueur différée : au 1er janvier 2027 pour les services numériques, systèmes d’information ou outils numériques de recherche accessibles via internet, et au 1er janvier 2028 pour l’ensemble des services numériques de recherche, qu’ils soient accessibles ou non via internet.

2. Champ d’application, responsables de traitement et finalités de MR-001

2.1 La MR-001 s’applique aux responsables de traitement qui mettent en œuvre des traitements de données à caractère personnel correspondant à ceux visés dans la partie III de la méthodologie. En cas de responsabilité conjointe, les organismes doivent définir de manière transparente leurs obligations respectives, conformément à l’article 26 du RGPD.

2.2 Peuvent bénéficier de la méthodologie les recherches dans le domaine de la santé auxquelles la loi « informatique et libertés » est applicable, dès lors que le responsable de traitement est établi en France ou que tout ou partie des personnes concernées résident en France. Les traitements doivent être justifiés et poursuivre une finalité d’intérêt public de recherche dans le domaine de la santé.

2.3 La MR-001 couvre les recherches nécessitant le recueil du consentement de la personne se prêtant à la recherche ou de ses représentants légalement désignés, lorsque les réglementations sectorielles l’imposent. Sont notamment visées : les recherches impliquant la personne humaine au sens de l’article L. 1121-1 du code de la santé publique (recherches interventionnelles comportant une intervention non justifiée par la prise en charge habituelle, recherches interventionnelles à risques et contraintes minimes), les essais cliniques de médicaments au sens du règlement (UE) no 536/2014, les investigations cliniques de dispositifs médicaux (règlement (UE) no 2017/745), les études de performances de dispositifs médicaux de diagnostic in vitro (règlement (UE) no 2017/746), les recherches nécessitant la collecte d’échantillons biologiques pour l’examen des caractéristiques génétiques (article 16-10 du code civil, article 75 de la loi « informatique et libertés ») et les recherches biomédicales soumises à la loi no 2012-300 du 5 mars 2012.

2.4 La méthodologie peut également s’appliquer à des recherches mises en œuvre par un responsable de traitement établi en France lorsque les personnes concernées ne résident pas en France, à condition que les réglementations sectorielles du territoire ou pays tiers imposent le recueil du consentement. En revanche, sont exclues les recherches pour lesquelles l’analyse d’impact relative à la protection des données (AIPD) révèle un risque résiduel élevé pour les droits et libertés malgré les mesures d’atténuation, celles nécessitant un appariement avec des bases législatives ou réglementaires (dont le SNDS central) et celles nécessitant le traitement du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR).

2.5 Les finalités sont strictement encadrées. Le traitement des données des personnes se prêtant à la recherche a pour seule finalité la réalisation d’une recherche dans le domaine de la santé, incluant la gestion des données (collecte, saisie, contrôle de validité et de cohérence, analyse). Le traitement des données des professionnels intervenant dans la recherche a pour seule finalité la mise en place de la recherche, sa réalisation et le respect des réglementations sectorielles. Il est expressément interdit de viser comme finalité l’identification ou la réidentification par les caractéristiques génétiques des personnes se prêtant à la recherche.

3. Bases légales et principe de minimisation des données

3.1 La MR-001 rappelle que tout traitement de données à caractère personnel doit reposer sur l’une des conditions de licéité prévues à l’article 6 du RGPD, et que le traitement de données sensibles (notamment les données de santé et les données génétiques) doit répondre à l’une des conditions de l’article 9 du RGPD. Le consentement visé par la méthodologie est celui requis par les réglementations sectorielles (code de la santé publique, règlements européens sur les essais cliniques et dispositifs médicaux, code civil), distinct du consentement au sens strict de l’article 6 du RGPD, même si les deux peuvent coexister.

3.2 Conformément au principe de minimisation (c du 1 de l’article 5 du RGPD), les données traitées doivent être pertinentes, adéquates et limitées à ce qui est nécessaire au regard des objectifs de la recherche. La méthodologie détaille les catégories de données pouvant être traitées pour les personnes se prêtant à la recherche et pour les professionnels intervenant dans la recherche, en insistant sur la nécessité d’une justification scientifique dans le protocole et d’une validation par un comité d’éthique.

3.3 Pour les personnes se prêtant à la recherche, les données administratives (noms, prénoms, coordonnées, coordonnées bancaires, date de naissance, régime d’affiliation à la sécurité sociale hors NIR, assurance complémentaire, remboursement des frais, montant des indemnités) ne peuvent être traitées que dans le strict respect des conditions de la partie VII « destinataires ». Les données de la recherche peuvent inclure l’âge ou la date de naissance, le lieu de naissance, l’origine géographique, le pays, région ou département de résidence, les mentions de sexe et de genre, toute donnée relative à la santé, les dates relatives à la conduite de la recherche, l’origine ethnique, les données génétiques, la situation familiale, les déterminants sociaux (niveau de formation, catégorie socioprofessionnelle, vie professionnelle, revenus par tranches, échelle de soutien social perçu), la participation à d’autres recherches, l’usage de tabac, alcool, drogues, les habitudes de vie et comportements (dont les déplacements), le mode de vie, la vie sexuelle et l’orientation sexuelle, le statut vital et la date de décès, ainsi que des photographies, vidéos ou enregistrements vocaux ne permettant pas l’identification. Ces données doivent être minimisées et pseudonymisées, conformément aux paragraphes 13 à 19 et aux mesures MR-SEC-04 et MR-SEC-06 de l’annexe sécurité.

3.4 Pour les professionnels intervenant dans la recherche, seules certaines catégories de données peuvent être traitées : données d’identité (noms, prénoms, état civil, coordonnées professionnelles, numéro d’identification dans le répertoire partagé des professionnels de santé), formation et diplômes, vie professionnelle (cursus, mode et type d’exercice, éléments nécessaires à l’évaluation des connaissances), montant des indemnités et rémunérations, collaboration à d’autres études, et historique des accès et des modifications apportées aux données des personnes se prêtant à la recherche. Les données proviennent des intéressés eux-mêmes, de listes publiques ou de toute autre liste licitement constituée.

4. Identification, pseudonymisation et gestion des identifiants

4.1 La MR-001 encadre de manière précise l’identification de la personne se prêtant à la recherche. Il peut être nécessaire de relier entre elles les données se rapportant à une même personne à l’aide d’identifiants uniques. Dans ce cas, le responsable de traitement doit mettre en place des mesures pour limiter les risques de réidentification, en veillant au respect des principes généraux de la partie VII « destinataires ».

4.2 L’identification est réalisée au moyen d’un « numéro d’inclusion », généré conformément aux exigences MR-CNS-01 à 04 de l’annexe sécurité. Par exception, ce numéro peut contenir la référence de la recherche, une référence correspondant au lieu de recherche (numéro de centre participant) et un numéro d’ordre d’inclusion. Le numéro d’inclusion ne doit pas révéler d’information sur la personne (traits d’identité, données de soin comme le NIR, l’INS, l’IPP, l’IEP, numéro de tube, identifiant dans un jeu de données source). Il est généré spécifiquement pour le jeu de données, et lorsqu’il existe une base source, l’identifiant de la base source doit être différent, la correspondance étant détenue par le responsable de la base source.

4.3 Par exception, la première lettre du prénom et la première lettre du nom de la personne se prêtant à la recherche peuvent être temporairement accolées au numéro d’inclusion, si cela est justifié dans le protocole pour certaines étapes spécifiques. Cette association est limitée dans le temps à ce qui est nécessaire pour atteindre l’objectif annoncé. Le responsable de traitement doit documenter dans l’AIPD les risques de réidentification induits par la présence de ces initiales et mettre en place des mesures techniques et organisationnelles appropriées.

4.4 Pour les étapes de la recherche où le numéro d’inclusion n’est plus strictement nécessaire, il doit être remplacé par un code non signifiant, généré conformément aux exigences MR-CNS-01 à 04. Plusieurs codes non signifiants peuvent être générés pour différentes étapes ou pour le partage avec de nouveaux destinataires. La table de correspondance entre le numéro d’inclusion et les données administratives est conservée par les professionnels intervenant dans la recherche qui assurent une mission de suivi au sein d’un lieu de recherche (hors domicile du patient). Les informations permettant de faire le lien entre un code non signifiant, les données administratives, le numéro d’inclusion ou d’autres identifiants sont conservées conformément à l’exigence MR-CNS-04 de l’annexe sécurité.

4.5 Lorsque des données proviennent de bases de données ou de collections d’échantillons biologiques existantes, seules les personnes initialement habilitées à accéder aux données administratives peuvent détenir la table de correspondance. Le numéro d’inclusion utilisé pour la recherche doit être différent de l’identifiant de la base source, la correspondance étant, le cas échéant, détenue par le responsable de la base source. Cette organisation vise à limiter les risques de réidentification et à respecter le principe de minimisation.

5. Destinataires, missions et cloisonnement des accès

5.1 La mise en œuvre de traitements de données à caractère personnel dans le cadre de la MR-001 implique la définition précise des destinataires et de leurs missions. Chaque destinataire doit être habilité, ne recevoir que les données strictement nécessaires à l’exercice de ses fonctions, être soumis au secret professionnel (articles 226-13 et 226-14 du code pénal ou réglementations sectorielles des pays tiers), mettre en place des mesures de sécurité et conserver les données pour une durée limitée à la mission confiée.

5.2 En principe, un destinataire ne peut pas accéder simultanément aux données administratives et aux données de la recherche, ni aux données administratives et au numéro d’inclusion. Le respect de ce principe peut nécessiter l’attribution d’un code non signifiant à la personne se prêtant à la recherche. Des dérogations sont toutefois prévues en fonction des missions : mission de suivi, missions administratives nécessaires à la réalisation de la recherche, mission d’information et mission de contrôle qualité.

5.3 Les destinataires assurant une mission de suivi peuvent accéder aux données administratives, aux identifiants et aux données de la recherche de la personne suivie. Les destinataires chargés de missions administratives peuvent accéder aux données administratives, aux codes non signifiants et aux données de santé strictement nécessaires à l’organisation de la mission (par exemple, prise en charge ou remboursement des frais de transport, d’hébergement, de restauration, versement d’indemnités, activités préalables ou accessoires au suivi, livraison et récupération à domicile de produits de santé, matériel ou échantillons).

5.4 Les destinataires assurant une mission d’information peuvent accéder aux données administratives et aux éléments contenus dans l’information RGPD susceptibles de révéler des informations sur l’état de santé de la personne se prêtant à la recherche. Les destinataires chargés d’une mission de contrôle qualité peuvent accéder aux données à caractère personnel dans des conditions conformes à l’annexe contrôle qualité, afin de vérifier le respect des réglementations applicables, du protocole, ainsi que l’exhaustivité et l’authenticité des données collectées.

5.5 La méthodologie prévoit des conditions particulières pour le cumul de plusieurs missions. Les professionnels intervenant dans la recherche exerçant au sein d’un lieu de recherche (hors domicile) peuvent cumuler mission de suivi, missions administratives, mission d’information et contribution au contrôle qualité, mais uniquement pour les personnes qu’ils prennent en charge et, pour l’information, pour les personnes dont ils connaissaient l’identité avant la recherche. Les établissements de santé établis en France, lorsqu’ils sont promoteurs, peuvent également cumuler ces missions, à condition de mettre en place une séparation physique et organisationnelle (équipes et procédures d’habilitation séparées, cloisonnement des bases de données et des applications, droits d’accès différenciés). Les sous-traitants personnes morales peuvent aussi cumuler plusieurs missions, sous réserve de mesures analogues de séparation et de cloisonnement.

6. Information des personnes concernées et droits au titre du RGPD

6.1 La MR-001 consacre une section importante à l’information des personnes concernées. Conformément à l’article 12 du RGPD, le responsable de traitement doit informer individuellement la personne se prêtant à la recherche et/ou ses représentants légalement désignés de l’existence d’un traitement de données à caractère personnel. L’information RGPD doit être concise, transparente, compréhensible, aisément accessible et rédigée dans des termes clairs et simples, adaptés aux capacités de compréhension des personnes concernées.

6.2 Par principe, l’information est délivrée préalablement à l’inclusion dans la recherche. Par exception, lorsque la personne n’est pas en état de recevoir l’information avant son inclusion, celle-ci est délivrée dès que possible à ses représentants légalement désignés, puis à la personne elle-même dès que son état de santé le permet. La personne ou ses représentants sont informés du droit de s’opposer à l’utilisation des données recueillies, conformément à la réglementation sectorielle.

6.3 L’information RGPD peut être remise en main propre, adressée par voie postale ou par voie électronique. En cas de support électronique, plusieurs conditions cumulatives doivent être respectées : absence d’opposition de la personne ou de ses représentants à ce mode de délivrance, disponibilité des moyens d’accès au support électronique, mise à disposition pendant toute la durée de la recherche, possibilité d’obtenir à tout moment une version papier sur demande, et mise en œuvre des mesures de sécurité spécifiques prévues dans l’annexe sécurité (MR-INF-01 à 04). Les modalités de transmission et d’accès doivent rester conformes aux exigences de la partie VII « destinataires ».

6.4 L’information doit être délivrée à la personne sollicitée et/ou à ses représentants légalement désignés. Les personnes mineures et les majeurs protégés sont informés dans des conditions conformes à l’article 70 de la loi « informatique et libertés ». Pour certaines recherches (notamment celles visées au paragraphe 6 de la méthodologie et celles mentionnées au 2o de l’article L. 1121-1 du code de la santé publique), lorsque le second titulaire de l’autorité parentale ne peut être consulté dans des délais compatibles avec les exigences méthodologiques, une note d’information RGPD à son intention doit être transmise via le titulaire présent lors de l’inclusion.

6.5 Le contenu de l’information RGPD doit comporter l’ensemble des mentions prévues par le RGPD, complétées par des éléments spécifiques : modalités d’exercice des droits (points de contact, informations à fournir), source des données et catégories de données en cas de réutilisation de bases ou de collections d’échantillons biologiques, inscription éventuelle au fichier national recensant les personnes ne présentant aucune affection et se prêtant volontairement à une recherche, et, lorsque des sous-traitants reçoivent des données administratives, la description des missions confiées et des catégories de données concernées. Les professionnels intervenant dans la recherche reçoivent une information RGPD via des documents ou conventions, contenant l’ensemble des mentions requises.

6.6 En matière de droits des personnes, le responsable de traitement doit mettre en œuvre des procédures permettant de répondre aux demandes dans un délai maximal d’un mois, prolongeable de deux mois en cas de complexité ou de nombre élevé de demandes, avec information de la personne dans le mois suivant la réception. Sous réserve de la base légale et des dispositions spécifiques, les droits d’accès, de rectification, de limitation, d’opposition, de portabilité et d’effacement s’exercent dans les conditions des articles 15 à 21 du RGPD. Le responsable de traitement ne peut pas se prévaloir de l’article 11 du RGPD pour limiter ces droits et doit rester en capacité de répondre, y compris lorsque les réglementations sectorielles n’imposent pas la conservation de données administratives, en mettant en place un mécanisme de correspondance permettant la réidentification à partir d’informations fournies par la personne.

6.7 La personne se prêtant à la recherche doit être informée de toute restriction de ses droits avant le recueil de son consentement. Elle peut exercer ses droits à tout moment, directement ou via un professionnel désigné, auprès du responsable de traitement, du responsable scientifique de la recherche ou d’un professionnel intervenant dans la recherche. Conformément à la loi « informatique et libertés », elle peut s’opposer à tout moment et sans justification au traitement de ses données à des fins de recherche. Les professionnels intervenant dans la recherche exercent leurs droits auprès du responsable de traitement.

7. Durée de conservation, publication des résultats et principe de responsabilité

7.1 La MR-001 encadre la durée de conservation des données. Conformément au e du 1 de l’article 5 du RGPD, les données à caractère personnel sont traitées pour une durée n’excédant pas celle nécessaire au regard des finalités et des besoins des sous-traitants. Les données relatives aux personnes se prêtant à la recherche et aux professionnels intervenant sont conservées en base active jusqu’à la mise sur le marché du produit de santé étudié, ou deux ans après la dernière publication des résultats, ou, en l’absence de publication, deux ans après la signature du rapport final. Elles font ensuite l’objet d’un archivage sur support papier ou informatique pour une durée conforme aux réglementations sectorielles.

7.2 En cas de publication des résultats dans un média scientifique, l’accès aux données par un expert indépendant mandaté (notamment par un éditeur scientifique) pour la réanalyse des résultats ne peut s’effectuer que par l’interface mise à disposition ou déterminée par le responsable de traitement. Celui-ci doit s’assurer que l’information RGPD mentionne cette catégorie de destinataires, que les données mises à disposition sont strictement nécessaires pour reproduire les statistiques publiées et qu’elles ne contiennent ni numéro d’inclusion, ni codes non signifiants utilisés dans la recherche, ni données administratives, en respectant le principe de minimisation et la mesure MR-PUB-01 de l’annexe sécurité. Il doit également veiller à la mise en œuvre ou à l’adhésion à une solution technique respectant les mesures spécifiques à la publication.

7.3 La méthodologie s’inscrit dans la logique du principe de responsabilité (accountability) du RGPD. Le responsable de traitement doit documenter la conformité de ses traitements, notamment via une analyse d’impact sur la protection des données (AIPD) et un registre des traitements, désigner un délégué à la protection des données (DPD/DPO) lorsque cela est requis, respecter les formalités prévues et assurer un haut niveau de transparence. L’ensemble de ces exigences, combinées aux annexes sécurité et contrôle qualité, structurent un cadre opérationnel pour sécuriser les traitements de données dans les recherches en santé avec consentement tout en garantissant les droits des personnes concernées.