Ce qui a changé
- La CNIL a précisé trois critères cumulatifs pour que la recherche en santé soit qualifiée de recherche interne dispensée de formalités préalables auprès de la CNIL.
- Les études de santé non internes nécessitent des déclarations de conformité préalables ou une autorisation de la CNIL, tandis que les études internes doivent respecter les règles standard de documentation du RGPD et d'information des patients.
- Les résultats de recherches internes peuvent être publiés ou utilisés dans des travaux académiques si l'accès aux données de santé reste limité à l'équipe de soins ou si les données sont véritablement anonymisées conformément aux lignes directrices du CEPD.
# Comprendre les obligations de conformité pour la recherche interne en santé en France
Les établissements de santé et les professionnels de la santé menant des projets de recherche interne en santé utilisant des données de patients sont confrontés à des exigences réglementaires spécifiques en vertu du droit français et des normes de protection des données de l'Union européenne. Afin de clarifier ces obligations réglementaires, l'autorité française de protection des données (Commission Nationale de l'Informatique et des Libertés, ou CNIL) a publié des lignes directrices rappelant aux professionnels de la santé les critères, les exemptions et les démarches de conformité régissant les activités de recherche interne.
Ce guide explique ce qui qualifie un projet de recherche interne, les formalités réglementaires requises par la CNIL, les obligations relatives à la notification et aux droits des patients, ainsi que les conditions dans lesquelles les résultats de recherche peuvent être publiés ou utilisés à des fins académiques telles que des mémoires ou des thèses.
---
## 1. Qu'est-ce qui définit un projet de « recherche interne » ?
Selon les lignes directrices publiées par la CNIL, un projet de recherche en santé ou une étude interne (« recherches internes » ou « études internes ») doit remplir strictement trois conditions cumulatives pour recevoir cette qualification juridique :
1. **Origine des données** : La recherche doit être effectuée à partir de données personnelles de santé collectées lors du soin médical individuel et du suivi des patients concernés.
2. **Personnel impliqué** : La recherche doit être menée par le personnel de santé qui fournit activement ce soin et ce suivi. Pour la notion précise d'« équipe de soins » (*équipe de soins*), il est fait référence à l'article L 1110-12 du Code de la santé publique français (*Code de la santé publique*).
3. **Usage exclusif** : La recherche doit être menée à l'usage exclusif de ce personnel de santé spécifique.
Si un projet ne satisfait pas à l'un de ces trois critères cumulatifs, il ne peut pas être catégorisé comme recherche interne, et des obligations procédurales différentes s'appliquent.
---
## 2. Formalités réglementaires et exigences de la CNIL
### Exemption de formalités préalables
Les projets qui satisfont aux trois critères de la recherche interne ne sont **pas** tenus de se soumettre à des formalités préalables ni de présenter des demandes d'autorisation préalable à la CNIL.
Toutefois, l'exemption de démarches préalables n'exonère pas les organismes des obligations générales de conformité découlant du Règlement général sur la protection des données (RGPD) de l'UE. Les entités de santé doivent toujours satisfaire aux mandats généraux de protection des données, qui comprennent :
- **Documentation interne** : L'inscription de l'activité de traitement dans le registre des traitements de l'entité (*registre des traitements*).
- **Analyse d'impact relative à la protection des données (AIPD)** : La réalisation d'une AIPD (*analyse d'impact relative à la protection des données*) lorsque la loi l'exige.
- **Obligations d'information** : L'information des patients dont les données sont traitées à des fins de recherche.
### Exigences pour les projets de recherche non internes
Si un projet de recherche en santé ne répond pas strictement aux trois critères de la recherche interne, des formalités préalables auprès de la CNIL deviennent obligatoires. Dans ces cas de figure, l'entité responsable du traitement doit soumettre soit :
- Une **déclaration de conformité** (*déclaration de conformité*) s'alignant sur un cadre de référence existant (*référentiel*) ; ou
- Une **demande d'autorisation préalable** (*autorisation préalable*) auprès de la CNIL, après avis du comité compétent concerné, si le projet ne se conforme pas entièrement et sous tous ses aspects à un cadre de référence existant.
Il convient de noter qu'un engagement de conformité à un cadre de référence ne doit pas être soumis pour chaque projet de recherche individuel. Un seul engagement couvre l'ensemble des activités de traitement effectuées par le même responsable du traitement qui entrent dans le champ d'application de ce cadre spécifique.
---
## 3. Information des patients et droits des participants
### Obligations d'information (articles 12 à 14 du RGPD)
Les projets de recherche interne en santé restent soumis aux principes d'information énoncés aux articles 12, 13 et 14 du RGPD. Les patients doivent recevoir des informations concernant le traitement de leurs données de santé sous une forme concise, transparente, compréhensible et aisément accessible.
La CNIL recommande de mettre en œuvre une **approche d'information par niveaux** :
- **Information de premier niveau** : Fournie directement et individuellement à chaque patient, par exemple au moyen d'une notice d'information remise systématiquement aux patients suivis au sein de l'établissement.
- **Information de second niveau** : Accessible via la notice de premier niveau, telle que des informations détaillées publiées sur le portail de transparence de l'établissement.
Bien que l'information individuelle soit le principe requis, une exception permet une **information collective** (telle que des affichages dans les locaux de l'établissement ou des annonces dans la presse). Cette exception s'applique strictly lorsque l'information individuelle nécessiterait des efforts disproportionnés — en tenant compte de facteurs tels que le nombre de personnes concernées, le coût de l'information par rapport aux ressources de l'organisme ou l'accessibilité des coordonnées des participants.
### Droits des participants et droit d'opposition
Les participants à des projets de recherche interne conservent leurs droits en matière de protection des données en vertu des articles 12 et suivants du RGPD. Élément essentiel, le **droit d'opposition** prévu à l'article 21 du RGPD s'applique directement aux activités de traitement liées à la recherche interne en santé. Les patients doivent être informés de leur droit d'opposition à l'utilisation de leurs données pour ces études internes et être en mesure de l'exercer.
---
## 4. Utilisation académique, publication et anonymisation
### Publication des résultats de recherche et thèses
Il n'y a pas d'incompatibilité inhérente entre la qualification d'un projet en tant que recherche interne et la publication de ses résultats ou son utilisation par un chercheur dans le cadre d'une thèse universitaire ou d'un mémoire. Toutefois, les organismes et les chercheurs doivent respecter deux points de contrôle de conformité clés :
1. **Accès restreint aux données** : L'accès aux données de santé des participants doit rester strictement limité à l'équipe de soins, à moins que les données n'aient été entièrement anonymisées.
2. **Distinction entre anonymisation et pseudonymisation** : Les données pseudonymisées restent des données à caractère personnel soumises à la réglementation applicable. En revanche, les données véritablement anonymisées échappent au champ d'application du RGPD (considérant 26) et de la loi Informatique et Libertés. Le processus d'anonymisation doit garantir que la personne concernée n'est pas et ne peut plus être identifiable. La CNIL se réfère aux lignes directrices 02/2026 du Comité européen de la protection des données (EDPB / CEPD) sur l'anonymisation, soumises à consultation publique jusqu'au 30 octobre 2026.
Bien que la condition d'« utilisation exclusive » n'interdise pas le partage des résultats de recherche pour informer le public et la communauté scientifique, l'objectif unique d'un projet de recherche ne peut pas être la simple transmission de ses résultats ou de données anonymisées à des tiers.
---
## 5. Foire aux questions (FAQ)
**Q1 : Les projets de recherche interne en santé nécessitent-ils une autorisation préalable ou un dépôt auprès de la CNIL ?**
**R :** Non. Les projets de recherche interne en santé qui remplissent l'ensemble des trois critères cumulatifs sont dispensés de formalités préalables auprès de la CNIL. Cependant, les obligations générales du RGPD (telles que la tenue d'un registre des traitements et la mise à disposition de notices d'information aux patients) restent applicables.
**Q2 : Que se passe-t-il si une étude en santé ne remplit pas l'ensemble des critères de la recherche interne ?**
**R :** Le projet doit accomplir des formalités préalables avant sa mise en œuvre. Cela implique soit de soumettre une déclaration de conformité au titre d'un référentiel existant de la CNIL, soit d'obtenir une autorisation préalable de la CNIL après avis d'un comité compétent.
**Q3 : L'information individuelle des patients peut-elle être remplacée par des avis publics généraux ?**
**R :** L'information individuelle est la règle générale. L'information collective (par exemple, affiches ou annonces dans la presse) n'est autorisée qu'à titre d'exception lorsque l'information individuelle exige des efforts disproportionnés, évalués de manière stricte en fonction du nombre de patients, des coûts et de l'accessibilité des coordonnées.
**Q4 : Est-il permis de publier les résultats d'une recherche interne dans une thèse médicale ou une revue scientifique ?**
**R :** Oui. La publication des résultats ou leur utilisation dans une thèse est compatible avec la recherche interne, à condition que l'accès aux données reste limité à l'équipe de soins ou que les données soient entièrement anonymisées, et sous réserve que le projet n'ait pas eu pour seul objectif le simple transfert de données à des tiers.
Qui peut être concerné
Professionnels de santé, hôpitaux, institutions de recherche médicale et équipes de soins en France traitant des données de patients dans le cadre d'études internes en santé.
Contexte transfrontalier
S'applique en France en tant qu'État membre de l'UE dans le cadre du Règlement général sur la protection des données (RGPD) de l'UE.
Points à vérifier ensuite
- Vérifier si les études internes en santé respectent strictement les trois critères cumulatifs définis par la CNIL.
- Vérifier la conformité avec le registre des traitements du RGPD, les exigences d'AIPD et les protocoles d'information des patients.
- Consulter les lignes directrices 02/2026 du CEPD sur l'anonymisation concernant les détails de la consultation publique et les normes d'anonymisation par opposition à la pseudonymisation.
Cet article fournit des informations générales et ne constitue pas un conseil juridique. Consultez le texte officiel et obtenez des conseils adaptés à votre situation si nécessaire.