1.1. La méthodologie de référence impose que la présentation des résultats de la recherche ne permette en aucun cas l’identification directe ou indirecte des personnes se prêtant à la recherche, conformément à la loi « informatique et libertés » (point 68). Cette exigence d’anonymisation s’applique à l’ensemble des publications et communications scientifiques, et s’articule avec les règles de sécurité détaillées dans l’annexe sécurité (MR-PUB-02 et 03), qui encadrent la publication des résultats et la gestion des risques de ré-identification.
1.2. La mise en œuvre d’un traitement de données à caractère personnel dans le cadre des recherches en santé doit respecter les articles 25 et 32 à 35 du RGPD (point 69). L’article 25 consacre la protection des données dès la conception et par défaut, tandis que les articles 32 à 35 portent sur la sécurité du traitement, la notification des violations de données et la réalisation d’analyses d’impact. Le responsable de traitement et ses sous-traitants doivent ainsi prendre toutes les précautions utiles au regard des risques présentés par le traitement pour éviter que les données ne soient déformées, endommagées ou accessibles à des tiers non autorisés (point 70).
1.3. En pratique, la méthodologie impose la mise en œuvre de mesures générales de sécurité prévues par l’annexe sécurité (MR-SEC-01 à 30), complétées par des mesures spécifiques (points 71) : MR-INF-01 à 04 pour l’information, MR-PUB-01 à 03 pour la publication, et MR-CNS-01 à 04 pour la confidentialité. Ces référentiels structurent la gestion des risques, la traçabilité des accès, la pseudonymisation, ainsi que les modalités de diffusion des résultats, afin de garantir une sécurité des données à caractère personnel adaptée aux enjeux des recherches en santé.
2.1. La méthodologie de référence autorise le traitement de données provenant de systèmes fils incluant des données issues du SNDS (Système national des données de santé), à condition que ces systèmes soient conformes aux articles L. 1461-1 et suivants du code de la santé publique et au référentiel de sécurité applicable au SNDS prévu par arrêté (point 72). Cette exigence garantit que les systèmes fils respectent un niveau de sécurité et de gouvernance cohérent avec celui du SNDS, notamment en matière de pseudonymisation, de contrôle d’accès et de traçabilité.
2.2. L’intégration de ces données issues du SNDS dans les recherches encadrées par la méthodologie suppose une articulation stricte avec les règles de sécurité et de confidentialité rappelées dans les annexes (MR-SEC, MR-INF, MR-PUB, MR-CNS). Le recours à des systèmes fils ne doit pas affaiblir les garanties prévues par le référentiel de sécurité applicable au SNDS, en particulier lorsque des transferts de données ou des accès distants sont envisagés.
3.1. Les transferts de données hors de l’UE sont possibles dans le cadre de la méthodologie, mais uniquement lorsque les conditions décrites sont remplies (point 73). Les données des professionnels intervenant dans la recherche, ainsi que les identifiants et les données de la recherche des personnes se prêtant à la recherche, peuvent faire l’objet d’un transfert hors de l’UE dans le respect du chapitre V du RGPD (point 74), qui encadre les transferts internationaux et impose des garanties appropriées.
3.2. Les données administratives des personnes se prêtant à la recherche peuvent également être transférées hors de l’UE dans deux hypothèses (point 75). D’une part, lorsque le transfert est réalisé vers une organisation internationale ou un pays tiers (ou un secteur déterminé de ce pays) reconnu par la Commission européenne comme assurant un niveau de protection adéquat, conformément à l’article 45 du RGPD (décision d’adéquation). D’autre part, dans le cas particulier où la recherche est conduite dans un pays tiers par un responsable de traitement établi en France, le transfert vers ce même pays tiers est possible dans les conditions du chapitre V du RGPD.
3.3. Tout transfert de données hors de l’UE doit être strictement nécessaire à la mise en œuvre de la recherche ou à l’exploitation de ses résultats et respecter les dispositions de la partie VII relative aux destinataires (point 76). Cette exigence de nécessité limite les transferts à ce qui est indispensable, en cohérence avec le principe de minimisation des données. Par ailleurs, les personnes concernées doivent être préalablement informées du transfert de leurs données, du pays de destination, de l’existence ou de l’absence d’une décision d’adéquation ou de garantie appropriée, ainsi que des moyens d’en obtenir une copie (point 77). Cette information renforce la transparence et permet aux personnes d’apprécier les risques liés aux transferts internationaux.
4.1. Lorsque le responsable de traitement recourt à un ou plusieurs sous-traitants, il doit s’assurer que ceux-ci, ainsi que les sous-traitants ultérieurs, présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées pour répondre aux exigences du RGPD et de la loi « informatique et libertés » (point 78). Cette obligation inclut la réalisation d’un audit de chaque sous-traitant, afin de vérifier concrètement le niveau de sécurité, la conformité des procédures internes et la capacité à gérer les incidents de sécurité.
4.2. L’adhésion à un code de conduite approuvé par une autorité de contrôle peut constituer un élément de preuve des garanties suffisantes offertes par un sous-traitant (point 79). Ces codes de conduite, prévus par le RGPD, structurent des engagements sectoriels en matière de protection des données et facilitent l’évaluation de la conformité des prestataires, notamment lorsqu’ils interviennent dans des transferts de données de recherche hors UE.
4.3. Le responsable de traitement doit conclure avec chaque sous-traitant un contrat ou un autre acte juridique précisant les obligations de chaque partie et reprenant les exigences de l’article 28 du RGPD (point 80). Ce contrat encadre notamment l’objet du traitement, la durée, la nature des opérations, les catégories de données, les mesures de sécurité, les conditions de recours à des sous-traitants ultérieurs et les modalités de retour ou de destruction des données.
4.4. En outre, le sous-traitant doit, le cas échéant, désigner un délégué à la protection des données (DPD/DPO) conformément à l’article 37 du RGPD, tenir un registre des catégories de traitements effectués pour le compte du responsable de traitement en application de l’article 30 du RGPD, et tenir à jour les informations relatives aux sous-traitants ultérieurs engagés (point 81). Ces obligations renforcent la traçabilité et la responsabilisation des acteurs impliqués dans la chaîne de traitement, en particulier lorsque des transferts de données hors de l’Union européenne sont réalisés via des prestataires techniques.
5.1. La méthodologie insiste sur la mise en œuvre du principe de responsabilité, qui se décline d’abord par une documentation de la conformité via l’analyse d’impact sur la protection des données (AIPD) et le registre des traitements (section XVI.A). Le responsable de traitement doit réaliser une AIPD conformément à l’article 35 du RGPD, en couvrant en particulier les risques sur les droits et libertés des personnes concernées (point 82). Une seule AIPD peut porter sur un ensemble d’opérations de traitement similaires présentant des risques analogues, ce qui permet de rationaliser l’analyse tout en conservant un niveau de détail suffisant.
5.2. Conformément à l’article 30 du RGPD, le responsable de traitement doit tenir à jour, au sein du registre des activités de traitement, la liste de chacun des traitements mis en œuvre dans le cadre de la méthodologie (point 83). Ce registre constitue un outil central de pilotage de la conformité, permettant de recenser les finalités, les catégories de données, les destinataires, les transferts de données hors UE, ainsi que les mesures de sécurité appliquées.
5.3. La désignation d’un délégué à la protection des données (DPD/DPO) est prévue dans les conditions de l’article 37 du RGPD (section XVI.B). Chaque responsable de traitement doit désigner un DPD (point 84), chargé notamment de vérifier le respect de la conformité des traitements mis en œuvre selon la méthodologie. Le DPD joue un rôle de conseil, de contrôle interne et de point de contact avec l’autorité de contrôle, ce qui est particulièrement crucial dans le contexte de recherches en santé impliquant des données sensibles et des transferts internationaux.
5.4. Sur le plan des formalités (section XVI.C), le responsable de traitement adresse à la CNIL une seule déclaration de conformité à la méthodologie de référence pour l’ensemble des traitements mis en œuvre en conformité avec cette norme (point 85). En cas de responsabilité conjointe de traitement, chaque responsable doit adresser sa propre déclaration de conformité (point 86). Cette déclaration ne dispense pas de réaliser les démarches nécessaires prévues par les réglementations sectorielles, notamment auprès de l’autorité compétente et/ou d’un comité d’éthique (point 87), ce qui souligne l’articulation entre le cadre général de protection des données et les exigences spécifiques du domaine de la santé.
5.5. Le principe de transparence est renforcé par l’obligation d’inscrire les recherches et leurs résultats dans les registres visés par les réglementations sectorielles (section XVI.D, point 88). Cette inscription contribue à la visibilité des projets, à la traçabilité scientifique et à la prévention des biais de publication, tout en s’inscrivant dans le respect des règles d’anonymisation et de sécurité rappelées précédemment.
6.1. La méthodologie de référence entre en vigueur à compter de sa publication au Journal officiel de la République française (section XVII, point 89). Cette date marque le point de départ de l’application des nouvelles exigences en matière de traitements de données à caractère personnel dans le cadre des recherches dans le domaine de la santé avec recueil du consentement.
6.2. Les traitements de données mis en œuvre en application de la délibération n° 2018-153 du 3 mai 2018, portant homologation d’une méthodologie de référence relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé avec recueil du consentement de la personne concernée (MR-001) et abrogeant la délibération n° 2016-262 du 21 juillet 2016, peuvent se poursuivre dans le respect de ses dispositions (point 90). Cette continuité évite une remise en cause immédiate des projets en cours, tout en préparant la transition vers la nouvelle méthodologie.
6.3. Les responsables de traitement ayant déjà réalisé un engagement ou une déclaration de conformité à la MR-001 dans une précédente version ne sont pas tenus de déclarer à nouveau leur conformité, à condition que les recherches mises en œuvre à compter de l’entrée en vigueur de la nouvelle méthodologie soient conformes à la présente méthodologie (point 91). Cette clause limite la charge administrative tout en exigeant une mise à jour des pratiques pour les nouveaux projets.
6.4. Lorsqu’une recherche autorisée antérieurement par la CNIL fait l’objet d’une modification substantielle et qu’elle est conforme à la présente méthodologie, il n’est pas nécessaire d’obtenir une nouvelle autorisation de la CNIL (point 92). Cette disposition favorise l’adaptation des protocoles de recherche (par exemple, extension de la population étudiée, ajustement des méthodes d’analyse) sans alourdir les procédures, dès lors que la conformité au nouveau cadre méthodologique est assurée.
Type d’acte :
Méthodologie de référence
Autorité / organisme :
Commission nationale de l’informatique et des libertés
Date du texte :
Numéro :
Variantes exactes de recherche :
Méthodologie de référence MR-001
méthodologie de référence MR-001 recherches santé avec consentement
MR-001
méthodologie de référence traitements de données à caractère personnel recherches santé nécessitant le recueil du consentement
méthodologie de référence MR-001 version avril 2026
méthodologie de référence recherches santé consentement CNIL
Résumé :
La méthodologie de référence MR-001 précise les conditions de conformité au RGPD et à la loi « informatique et libertés » pour les traitements de données à caractère personnel mis en œuvre dans le cadre de recherches en santé nécessitant le recueil du consentement, en définissant les responsables de traitement concernés, les recherches éligibles ou exclues, les finalités, les catégories et origines de données, les destinataires, l’information et les droits des personnes, les durées de conservation, les conditions de publication des résultats, les mesures de sécurité, les règles de transfert hors UE, de sous-traitance, d’analyse d’impact, de tenue du registre et les formalités de déclaration de conformité auprès de la CNIL.
Approfondir ce sujet :