Lecture rapide

L’annexe « sécurité » fixe l’état de l’art pour la protection des données dans les recherches en santé : gouvernance de la protection des données, analyse des risques, minimisation, pseudonymisation, chiffrement, gestion des accès, journalisation, sécurisation des équipements, encadrement des sous-traitants, sauvegardes, archivage et destruction sécurisée. Elle prévoit aussi des exigences spécifiques pour l’envoi électronique des notes d’information et la mise à disposition des données pour la revue des résultats.

Analyse juridique

1. Cadre juridique de l’annexe « sécurité » pour les recherches en santé

1.1. La Commission nationale de l’informatique et des libertés (CNIL) a adopté la délibération n° 2026-049 du 19 mars 2026, publiée au Journal officiel de la République française du 23 mai 2026 (Texte 85 sur 124), portant homologation de l’annexe « sécurité » pour les méthodologies de référence (MR) relatives aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé. Cette annexe constitue un référentiel opérationnel de mesures de sécurité à l’état de l’art pour les projets de recherche en santé.

1.2. La délibération s’inscrit dans le cadre du règlement (UE) 2016/679 du 27 avril 2016, dit règlement général sur la protection des données (RGPD), du code de la santé publique et de la loi n° 78-17 du 6 janvier 1978 modifiée, dite loi « informatique et libertés ». Conformément à l’article 73 de cette loi, la CNIL peut homologuer des référentiels dédiés aux traitements ayant pour finalité la recherche, les études et les évaluations dans le domaine de la santé. L’annexe « sécurité » vient compléter ces référentiels en détaillant les exigences de sécurité applicables.

1.3. L’objectif affiché est de faciliter la conformité des responsables de traitement en regroupant dans un document commun les mesures générales de sécurité et les exigences spécifiques liées à la note d’information électronique, à la revue et publication des résultats et au code non signifiant. La CNIL précise que ces mesures constituent un état de l’art auquel tout responsable de traitement de données dans le cadre de recherches en santé peut se référer, y compris au-delà des seules méthodologies de référence homologuées.

2. Objectif et portée de l’annexe « sécurité »

2.1. L’annexe sécurité pour les méthodologies de référence (MR), version avril 2026, s’applique aux traitements mis en œuvre dans le cadre des méthodologies de référence homologuées par la CNIL en application de l’article 73 de la loi « informatique et libertés » qui renvoient expressément à ce document. Ces méthodologies peuvent également comporter des mesures de sécurité spécifiques complémentaires.

2.2. L’annexe est structurée en cinq volets : mesures générales de sécurité, mesures de sécurité pour la délivrance de la note d’information au format électronique, mesures de sécurité pour la revue et la publication des résultats, et exigences relatives au code non signifiant. Chaque exigence est identifiée par un numéro (par exemple MR-SEC-01, MR-INF-01, MR-PUB-01, MR-CNS-01) et associe un titre à une exigence de sécurité précise.

2.3. En pratique, l’annexe fournit un cadre détaillé pour la préparation et la conception des projets, la minimisation et la pseudonymisation des données, la protection des données (chiffrement, gestion des accès, journalisation), la sécurisation des outils et équipements, l’encadrement des sous-traitants, la documentation et la sensibilisation, la gestion des incidents et des sauvegardes, ainsi que la fin de cycle (archivage et destruction sécurisée).

3. Mesures générales de sécurité : gouvernance, risques et minimisation

3.1. La section « Préparation et conception » impose de piloter la protection des données (MR-SEC-01) en identifiant les acteurs compétents en matière de protection des données et de sécurité informatique, dont le délégué à la protection des données (DPO) et le responsable de la sécurité des systèmes d’information. Le projet de recherche doit être conforme à la politique générale de protection des données de l’organisme, ce qui implique une articulation entre gouvernance institutionnelle et exigences spécifiques de la recherche.

3.2. L’exigence MR-SEC-02 consacre la sécurité dès la conception (« privacy by design ») : la protection des données et les mesures de sécurité doivent être intégrées dès la phase de conception de la recherche. Les acteurs compétents en matière de protection des données et de sécurité informatique doivent être associés à la conception des protocoles de recherche et au suivi du projet, ce qui renforce l’approche pluridisciplinaire.

3.3. L’exigence MR-SEC-03 impose une évaluation des risques pour les droits et libertés des personnes concernées. À partir de cette analyse, le responsable de traitement doit définir un plan d’action et mettre en œuvre des mesures techniques et organisationnelles spécifiques pour assurer la protection des données. L’analyse de risques doit être revue régulièrement, notamment en cas de modification du système ou du contexte du traitement, ce qui traduit une exigence de mise à jour continue.

3.4. La section « Minimisation et pseudonymisation » commence par l’exigence MR-SEC-04 relative à la minimisation des données. Les données traitées doivent être minimisées (filtrage, transformation, réduction, agrégation, purge, etc.) dès que possible et à toutes les étapes de la recherche. Cette minimisation est un principe central du RGPD, appliqué ici de manière opérationnelle à la recherche en santé.

3.5. L’exigence MR-SEC-05 impose une séparation par nature de donnée dans les recherches nécessitant un suivi individuel des personnes se prêtant à la recherche : les données administratives (nom, prénom, identifiant patient permanent, etc.) doivent être séparées des données de santé. Cette séparation structurelle réduit les risques de réidentification et facilite la mise en œuvre de la pseudonymisation.

3.6. L’exigence MR-SEC-06 impose la pseudonymisation des données de recherche par indexation à l’aide d’un code non signifiant, en appliquant les exigences MR-CNS-01 à 04. Les modalités de réidentification des personnes se prêtant à la recherche doivent être définies, ce qui implique une gestion rigoureuse des tables de correspondance ou des clés secrètes.

3.7. L’exigence MR-SEC-07 traite spécifiquement des images médicales. Celles-ci doivent être pseudonymisées par masquage des données identifiantes et suppression des métadonnées identifiantes. L’évaluation des risques doit prendre en compte la présence de particularités visuelles permettant la réidentification (tatouages, prothèses, malformations) et conduire à des mesures appropriées (exclusion de certaines images, masquage des particularités non utiles à la recherche).

3.8. L’exigence MR-SEC-08 impose la purge des données : les données doivent être effacées de la base active à l’expiration de leur durée de conservation. Cette exigence s’inscrit dans la logique de limitation de la conservation et de maîtrise du cycle de vie des données.

4. Protection des données : chiffrement, accès, journalisation et supports

4.1. La section « Protection des données » commence avec MR-SEC-09 sur le chiffrement des données. Les données doivent être sécurisées au repos et en transit à l’aide de chiffrement ou de mesures de sécurité équivalentes. Les algorithmes cryptographiques utilisés doivent être à l’état de l’art, reconnus et sûrs. Une politique de gestion des clés secrètes doit être définie, les clés devant être protégées par des droits d’accès restrictifs et des mots de passe sûrs.

4.2. L’exigence MR-SEC-10 impose une identification des utilisateurs par un identifiant unique et interdit les comptes partagés. Cette individualisation des comptes est indispensable pour la traçabilité et la responsabilisation des accès aux données de santé.

4.3. L’exigence MR-SEC-11 renvoie à la recommandation de la CNIL relative aux mots de passe (délibération 2022-100 du 21 juillet 2022). Les mots de passe doivent respecter ces recommandations, ce qui implique des exigences en termes de longueur, de complexité, de renouvellement et de stockage sécurisé.

4.4. L’exigence MR-SEC-12 impose une authentification multifacteur pour l’accès aux données à caractère personnel des personnes se prêtant à la recherche. Cette authentification doit faire intervenir au moins deux facteurs d’authentification distincts, au sens défini au 2.2 de la recommandation relative à l’authentification multifacteur (délibération 2025-019 du 20 mars 2025). Cette exigence renforce significativement la sécurité des accès.

4.5. L’exigence MR-SEC-13 encadre la gestion des accès. Des profils d’accès doivent être définis en séparant les tâches et les domaines de responsabilité, afin de limiter l’accès aux seules données strictement nécessaires. Toute demande d’attribution de profil doit être validée par un responsable hiérarchique. L’accès aux outils et interfaces d’administration fonctionnelle doit être limité aux seules personnes autorisées. Les profils doivent être modifiés en cas de changement de mission ou de fin de contrat, et une revue régulière des droits d’accès doit être réalisée au moins une fois par an.

4.6. L’exigence MR-SEC-14 impose une journalisation des activités : activités métier des utilisateurs, interventions techniques, anomalies et événements liés à la sécurité. Les données de santé éventuellement présentes dans les traces doivent être identifiées, minimisées et sécurisées. Les traces doivent être analysées de manière proactive, en temps réel ou à court terme, pour détecter la survenue d’un incident. Cette approche renforce la capacité de détection et de réaction.

4.7. L’exigence MR-SEC-15 rappelle la nécessité de sécuriser les documents papier (stockage, transmission, destruction). Même dans un environnement numérique, la présence de supports physiques contenant des données de santé impose des mesures de sécurité adaptées.

5. Sécurisation des outils, équipements et environnement technique

5.1. L’exigence MR-SEC-16 vise la sécurisation du parc informatique. Elle impose l’activation du verrouillage automatique des appareils avec exigence d’un secret pour les déverrouiller, le chiffrement des appareils, la désactivation de l’exécution automatique de programmes et la limitation au strict besoin opérationnel des droits d’administration. Ces mesures réduisent la surface d’attaque et les risques d’accès non autorisé.

5.2. L’exigence MR-SEC-17 concerne la sécurité physique : les accès physiques aux locaux hébergeant les données doivent être restreints et contrôlés. La sécurité des données de santé ne se limite pas aux mesures logicielles, mais inclut la protection des infrastructures.

5.3. L’exigence MR-SEC-18 impose une protection contre les logiciels malveillants : installation et mise à jour régulière d’antivirus, de pare-feu et de systèmes de détection d’intrusions sur l’ensemble des serveurs et postes de travail maîtrisés par le responsable de traitement. Les mises à jour de sécurité doivent être déployées rapidement, en particulier lorsqu’elles corrigent des failles critiques publiques.

5.4. L’exigence MR-SEC-19 impose un cloisonnement des données de santé par rapport au reste du système d’information de l’organisme. Il est recommandé d’utiliser des logiciels dédiés à la recherche (cahiers d’observation électroniques, questionnaires, etc.) hébergés sur des serveurs dédiés à la recherche. Ce cloisonnement limite les risques de propagation d’incidents et de fuites de données.

5.5. L’exigence MR-SEC-20 encadre la gestion des supports amovibles. L’utilisation de supports non maîtrisés (clés USB, disques durs externes, etc.) doit être interdite. En cas d’utilisation de supports maîtrisés, les données doivent être chiffrées et supprimées après utilisation. Des solutions doivent être déployées pour inspecter le contenu des supports dès leur connexion, afin de prévenir l’introduction de logiciels malveillants ou de fuites de données.

5.6. L’exigence MR-SEC-21 traite des équipements non maîtrisés, notamment le « bring your own device ». L’utilisation d’équipements personnels pour l’accès aux données de la recherche doit être interdite. En cas d’utilisation de matériels professionnels non contrôlés par le responsable de traitement, les risques doivent être évalués, des mesures spécifiques de réduction des risques définies, et les données et applications accessibles limitées. Les responsabilités et précautions doivent être formalisées par écrit.

6. Collaboration, sous-traitance, documentation et sensibilisation

6.1. La section « Collaboration et sous-traitance » commence avec MR-SEC-22 sur l’encadrement des sous-traitants. Les obligations des parties concernant la sécurité du traitement doivent être prévues dans le contrat avec les sous-traitants. Ceux-ci doivent être contractuellement tenus de notifier sans délai toute anomalie ou incident de sécurité au responsable de traitement. Cette exigence renforce la chaîne de responsabilité.

6.2. L’exigence MR-SEC-23 encadre les échanges distants, notamment les téléconsultations et entretiens à distance. Les flux et enregistrements doivent être protégés, l’identité des personnes contactées vérifiée, et l’envoi dématérialisé de documents (notes d’information, contrôle qualité à distance) sécurisé. Ces mesures visent à préserver la confidentialité et l’intégrité des échanges.

6.3. L’exigence MR-SEC-24 porte sur la transmission de données. Les échanges de données (par exemple, transferts depuis les centres investigateurs) doivent être sécurisés. En cas d’envoi sur un réseau public (internet, messagerie électronique), les données doivent être chiffrées avec des algorithmes à l’état de l’art. La clé de chiffrement doit être transmise via un canal distinct pour garantir sa confidentialité.

6.4. La section « Documentation et sensibilisation » commence avec MR-SEC-25 sur la documentation. Les procédures d’exploitation des données doivent être documentées, tenues à jour et mises à disposition de tous les utilisateurs concernés, dans un langage clair et adapté à chaque catégorie d’utilisateurs. Cette formalisation est essentielle pour l’appropriation des mesures de sécurité.

6.5. L’exigence MR-SEC-26 impose une sensibilisation des utilisateurs (internes et externes) travaillant avec des données personnelles. Ils doivent être informés des risques liés aux libertés et à la vie privée, des obligations liées au secret médical et au traitement de données de santé, des mesures prises pour traiter ces risques et des conséquences potentielles en cas de manquement. Il convient de s’assurer qu’ils ont assimilé les bonnes pratiques relatives à la protection des données personnelles à mettre en œuvre au quotidien.

7. Gestion des incidents, sauvegardes et fin de cycle des données

7.1. La section « Gestion des incidents et sauvegardes » commence avec MR-SEC-27 sur la gestion des incidents. La conduite à tenir et la liste des personnes à contacter en cas de violation de données, d’incident de sécurité ou d’événement inhabituel touchant aux systèmes d’information doivent être diffusées à tous les utilisateurs. Ceux-ci doivent être sensibilisés à l’importance de signaler tout événement suspect, ce qui conditionne la réactivité de l’organisation.

7.2. L’exigence MR-SEC-28 impose des sauvegardes régulières. Des sauvegardes fréquentes des données doivent être effectuées et protégées avec des mesures de sécurité appropriées, pour un niveau de risque équivalent à celui des données d’exploitation. L’intégrité des sauvegardes et la capacité de les restaurer doivent être vérifiées régulièrement. Les sauvegardes doivent être supprimées une fois la durée de conservation expirée.

7.3. La section « Fin de cycle » aborde la gestion des données après publication (MR-SEC-29). Une politique d’archivage sécurisé doit être définie, précisant les durées de conservation, les conditions d’accès et les procédures de purge ou de versement aux Archives nationales. Cette politique encadre la phase post-publication, souvent négligée mais cruciale pour la conformité.

7.4. L’exigence MR-SEC-30 impose la destruction sécurisée des données. À la fin du projet de recherche, les données présentes sur l’ensemble du matériel informatique (poste de travail, serveur, disque dur) doivent être effacées de façon sécurisée, en ne conservant que les données prévues par la politique d’archivage (MR-SEC-29). En cas de réaffectation ou de mise au rebut d’un matériel au cours du projet, les données doivent être effacées préalablement de façon sécurisée.

8. Note d’information électronique : exigences de sécurité spécifiques

8.1. La section III est consacrée aux mesures de sécurité pour la délivrance de la note d’information au format électronique. L’exigence MR-INF-01 prévoit que l’information individuelle des personnes se prêtant à la recherche peut être délivrée au format électronique, sous réserve du respect des exigences MR-INF-02 à 04. Il s’agit de concilier dématérialisation et protection de la confidentialité.

8.2. L’exigence MR-INF-02 encadre l’information par courrier électronique simple. Lorsque la note d’information ne révèle aucune information sur l’état de santé de la personne, elle peut être transmise par simple courriel, à condition que les coordonnées électroniques constituent une adresse personnelle et individuelle effectivement utilisée par la personne ou ses représentants légalement habilités. Cette condition vise à éviter l’envoi à des boîtes partagées ou non contrôlées.

8.3. L’exigence MR-INF-03 encadre l’information par courrier électronique avec un code d’accès lorsque la note d’information est susceptible de révéler des informations sur l’état de santé. Plusieurs conditions cumulatives s’appliquent : le corps et l’objet du message ne doivent contenir aucune information susceptible de révéler l’état de santé ; l’accès à la note doit être conditionné à la possession d’un facteur de connaissance (pièce jointe chiffrée ou lien vers une plateforme sécurisée exigeant un code secret) ; le code de déchiffrement ou de téléchargement doit être transmis par un canal de confiance séparé (remise en main propre, appel téléphonique ou SMS vers un numéro vérifié, pli postal sécurisé) ; enfin, en cas d’utilisation d’une plateforme sécurisée, une durée limitée de mise à disposition doit être paramétrée.

8.4. L’exigence MR-INF-04 prévoit l’information via une plateforme sécurisée lorsque la note d’information est susceptible de révéler des informations sur l’état de santé. La personne se prêtant à la recherche doit disposer d’une connexion authentifiée à cette plateforme, garantissant que le message sera lu uniquement par son destinataire. Une notification doit être envoyée pour l’inviter à se connecter, sans contenir d’information susceptible de révéler l’état de santé. Cette approche renforce la confidentialité tout en permettant une gestion centralisée des informations.

9. Revue et publication des résultats : minimisation, solution sécurisée et restrictions

9.1. La section IV détaille les mesures de sécurité pour la revue et la publication des résultats. L’exigence MR-PUB-01 impose une minimisation des données pour la revue des résultats. Les données mises à disposition des experts indépendants doivent être constituées uniquement des données minimisées (MR-SEC-04) et pseudonymisées (MR-SEC-06) utilisées pour obtenir les résultats publiés, et strictement nécessaires à leur revue. Cette exigence limite l’exposition de données inutiles à la finalité de revue.

9.2. L’exigence MR-PUB-02 impose une solution sécurisée pour la mise à disposition des données lors de la revue. Cette solution doit permettre la délivrance d’habilitations offrant des accès différenciés aux données, une authentification des utilisateurs, le recours à des canaux de communication chiffrés, l’utilisation d’algorithmes de chiffrement et de procédures de gestion des secrets à l’état de l’art, ainsi que la mise en œuvre de mesures de traçabilité des accès. Cette combinaison d’exigences vise à sécuriser l’ensemble de la chaîne de revue.

9.3. L’exigence MR-PUB-03 prévoit des restrictions des possibilités de copie de données. Les personnes accédant aux données mises à disposition ne doivent pas pouvoir procéder à leur copie ou à leur extraction (blocage des copies d’écran, des copier/coller, des téléchargements). Cette limitation réduit le risque de diffusion non contrôlée des données de recherche, tout en permettant la consultation nécessaire à la revue scientifique.

10. Code non signifiant : pseudonymisation robuste et maîtrise de la réidentification

10.1. La section V est consacrée au code non signifiant, élément central de la pseudonymisation dans les recherches en santé. L’exigence MR-CNS-01 impose que, lorsqu’il est nécessaire de relier entre elles les données se rapportant à une même personne au sein d’un jeu de données pseudonymisées ou entre plusieurs jeux, l’indexation se fasse uniquement à l’aide d’un code non signifiant répondant aux exigences MR-CNS-02 à 04.

10.2. L’exigence MR-CNS-02 définit le code non signifiant. Celui-ci ne doit pas révéler d’information sur la personne concernée ni contenir d’identifiants préexistants, ni une troncature ou concaténation de ceux-ci. Il ne doit pas contenir d’information liée aux traits d’identité (initiales, date de naissance), au soin (NIR-INS, IPP, IEP), à la phase de collecte des données (numéro d’inclusion, numéro de tube d’un prélèvement biologique) ou à l’identifiant dans un jeu de données source. Il doit être généré spécifiquement pour le jeu de données, ce qui exclut les réutilisations directes d’identifiants existants.

10.3. L’exigence MR-CNS-03 encadre les méthodes de génération du code non signifiant. Deux méthodes sont admises : l’utilisation d’un générateur de valeurs aléatoires (générateur de nombres pseudo-aléatoires, PRNG) ou la dérivation à partir d’un identifiant préexistant au moyen d’une fonction de hachage paramétrée par une clé secrète. La fonction de hachage doit être une fonction cryptographique à l’état de l’art, et la clé secrète doit être encadrée par une politique de gestion de clé. Ces exigences visent à garantir la robustesse de la pseudonymisation.

10.4. L’exigence MR-CNS-04 porte sur l’encadrement des moyens de réidentification. Le responsable de traitement doit s’assurer qu’il n’est pas possible de faire le lien entre un code non signifiant et d’autres identifiants concernant les personnes se prêtant à la recherche sans accès à une information supplémentaire : la table de correspondance entre le code et un identifiant préexistant, ou la clé secrète utilisée pour générer le code. Cette information supplémentaire ne doit être conservée que s’il est strictement nécessaire de pouvoir ultérieurement faire le lien. Son accès doit être strictement encadré et limité à un nombre restreint de personnes dûment habilitées. Cette maîtrise de la réidentification est essentielle pour respecter l’équilibre entre exploitation scientifique et protection des personnes.

11. Synthèse : mise en œuvre pas à pas de l’annexe sécurité CNIL en recherche en santé

11.1. L’annexe sécurité homologuée par la délibération n° 2026-049 fournit un cadre complet pour la mise en œuvre de traitements de données à caractère personnel dans le cadre de recherches dans le domaine de la santé, en articulation avec le RGPD et la loi « informatique et libertés ». Elle couvre l’ensemble du cycle de vie des données : préparation et conception, minimisation et pseudonymisation, protection des données, sécurisation des outils et équipements, collaboration et sous-traitance, documentation et sensibilisation, gestion des incidents, sauvegardes, archivage et destruction sécurisée.

11.2. Pour les responsables de traitement, la mise en œuvre « pas à pas » de cette annexe implique de structurer une gouvernance de la protection des données (MR-SEC-01), d’intégrer la sécurité dès la conception (MR-SEC-02), de conduire une évaluation des risques régulière (MR-SEC-03), de mettre en place des mécanismes robustes de minimisation (MR-SEC-04), de séparation des données (MR-SEC-05) et de pseudonymisation via code non signifiant (MR-SEC-06, MR-CNS-01 à 04), de sécuriser les images médicales (MR-SEC-07) et de maîtriser la purge des données (MR-SEC-08).

11.3. La protection opérationnelle repose sur le chiffrement des données (MR-SEC-09), l’identification des utilisateurs (MR-SEC-10), des mots de passe conformes aux recommandations (MR-SEC-11), une authentification multifacteur (MR-SEC-12), une gestion des accès rigoureuse (MR-SEC-13), une journalisation proactive (MR-SEC-14) et la sécurisation des documents papier (MR-SEC-15). La sécurisation du parc informatique (MR-SEC-16), la sécurité physique (MR-SEC-17), la protection contre les logiciels malveillants (MR-SEC-18), le cloisonnement des données de santé (MR-SEC-19), la gestion des supports amovibles (MR-SEC-20) et des équipements non maîtrisés (MR-SEC-21) complètent ce socle.

11.4. Enfin, l’encadrement des sous-traitants (MR-SEC-22), la sécurisation des échanges distants (MR-SEC-23) et de la transmission de données (MR-SEC-24), la documentation (MR-SEC-25), la sensibilisation des utilisateurs (MR-SEC-26), la gestion des incidents (MR-SEC-27), les sauvegardes régulières (MR-SEC-28), la gestion des données après publication (MR-SEC-29) et la destruction sécurisée (MR-SEC-30), ainsi que les exigences spécifiques relatives à la note d’information dématérialisée (MR-INF-01 à 04) et à la revue et publication des résultats (MR-PUB-01 à 03), forment un ensemble cohérent. Cet ensemble permet de concilier les impératifs de la recherche en santé avec une protection élevée des données à caractère personnel et des droits et libertés des personnes concernées.

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.