主要变化
- CNIL明确了健康研究认定为免除CNIL事前手续的“内部研究”所须同时满足的三项标准。
- 非内部健康研究须提交事前合规声明或取得CNIL授权，而内部研究则须遵循标准GDPR文档记录及患者告知规则。
- 若健康数据的访问权限仅限于医疗团队，或数据已根据欧洲数据保护委员会（EDPB）指南进行了真实匿名化处理，则内部研究结果可予以公开发布或用于学术著作。
# 深入理解法国内部健康研究的合规义务
医疗机构和医疗专业人员利用患者数据开展内部健康研究项目时，面临着法国法律及欧盟数据保护标准下的特定监管要求。为澄清这些监管义务，法国国家信息技术与自由委员会（Commission Nationale de l'Informatique et des Libertés，简称 CNIL）发布了相关指南，就规范内部研究活动的认定标准、豁免情形及合规步骤对医疗专业人员进行了提示。
本指南阐述了构成内部研究项目的条件、CNIL要求的事前监管手续、患者告知与权利保护义务，以及研究成果可公开发布或用于学位论文等学术用途的适用条件。
---
## 1. 如何界定“内部研究”项目？
根据 CNIL 发布的指南，健康研究项目或内部研究（“recherches internes”或“études internes”）必须严格同时满足以下三项累积条件，方可获得该法定资格：
1. **数据来源**：研究必须使用在对相关患者进行个人医疗护理和随访过程中收集的个人健康数据开展。
2. **参与人员**：研究必须由积极提供上述护理和随访的医疗人员开展。关于“医疗团队”（*équipe de soins*）的精准概念，参见法国《公共卫生法典》（*Code de la santé publique*）第 L 1110-12 条。
3. **专属使用**：研究必须仅供上述特定医疗人员专属使用。
若某项目未能满足上述三项累积标准中的任何一项，则不能归类为内部研究，并将适用不同的程序性义务。
---
## 2. 监管手续与 CNIL 要求
### 事前手续的豁免
满足内部研究全部三项标准的项目，**无需**向 CNIL 履行事前手续或提交事前授权申请。
但是，豁免事前申报并不免除机构在欧盟《通用数据保护条例》（GDPR）下的通用合规义务。医疗实体仍须满足通用数据保护要求，包括：
- **内部文档记录**：将处理活动记录在实体的处理活动登记簿（*registre des traitements*）中。
- **数据保护影响评估（DPIA）**：依法在需要时开展数据保护影响评估（*analyse d'impact relative à la protection des données*）。
- **告知义务**：向其数据被用于研究处理的患者履行告知义务。
### 非内部研究项目的要求
若健康研究项目未能严格满足内部研究的三项标准，则必须向 CNIL 履行事前手续。在这种情况下，处理实体必须提交以下二者之一：
- 符合现有标准框架（*référentiel*）的**合规声明**（*déclaration de conformité*）；或
- 在项目未能全盘符合现有参考框架的所有要求时，在取得相关主管部门意见后向 CNIL 提交的**事前授权申请**（*autorisation préalable*）。
需要注意的是，无需针对每一个独立研究项目分别提交对参考框架的合规承诺。单次承诺即可覆盖同一数据控制者开展的属于该特定框架范围内的所有处理活动。
---
## 3. 患者信息告知与参与者权利
### 告知义务（GDPR 第 12 至 14 条）
内部健康研究项目仍须遵守 GDPR 第 12、13 及 14 条规定的信息告知原则。患者必须以简明、透明、易懂且易于获取的形式收到有关其健康数据处理情况的信息。
CNIL 建议采用**分级信息告知方式**：
- **第一层级信息**：直接单独提供给每位患者，例如通过向在机构内接受随访护理的患者系统性发放信息通知单。
- **第二层级信息**：可通过第一层级通知单获取，例如在机构透明度门户网站上发布的详细信息。
虽然单独告知是必备原则，但例外情况允许进行**集中告知**（如在机构场所内张贴公告或在媒体上发布声明）。该例外仅在单独告知需要付出不成比例的努力时严格适用——综合考虑相关人员数量、告知成本相对于机构资源的比例以及参与者联系方式的可获取性等因素。
### 参与者权利与反对权
内部研究项目的参与者保留《通用数据保护条例》（GDPR）第 12 条及后续条款规定的数据保护权利。至关重要的一点是，GDPR 第 21 条规定的**反对权**直接适用于内部健康研究的数据处理活动。必须告知患者并允许其行使反对将其数据用于此类内部研究的权利。
---
## 4. 学术利用、发表与匿名化
### 研究结果与学位论文的发表
将项目归类为内部研究与其结果的发表或研究人员在学术论文或学位论文中的使用之间不存在本质上的互斥。然而，机构和研究人员必须遵守两个关键的合规核查点：
1. **受限的数据访问**：除非数据已实现完全匿名化，否则对参与者健康数据的访问必须严格限制在护理团队内部。
2. **区分匿名化与去标识化（假名化）**：去标识化数据仍属于受法律监管的个人数据。相比之下，真正匿名化的数据不属于 GDPR（前言第 26 条）和法国《数据保护法》（*loi Informatique et Libertés*）的管辖范围。匿名化过程必须确保数据主体不可被识别且不再可能被识别。CNIL 引用了欧洲数据保护委员会（EDPB / CEPD）关于匿名化的第 02/2026 号指南，该指南公开征求意见截止至 2026 年 10 月 30 日。
虽然“专属使用”条件并不禁止共享研究成果以告知公众和科学界，但研究项目的唯一目的不能仅仅是向第三方传输其结果或匿名化数据。
---
## 5. 常见问题解答（FAQ）
**Q1：内部健康研究项目是否需要事先获得 CNIL 的批准或向其提交申请？**
**答：** 不需要。同时满足所有三项累积条件的内部健康研究项目无需向 CNIL 办理事先手续。然而，GDPR 的一般义务（例如维护数据处理登记簿和向患者提供告知书）仍旧适用。
**Q2：如果某项健康研究未能满足内部研究的所有条件，会怎样？**
**答：** 项目在实施前必须完成事先手续。这包括在现有的 CNIL 参考框架（*référentiel*）下提交合规声明，或在经主管委员会审查后取得 CNIL 的事先授权。
**Q3：能否用公共公告代替对患者的单独告知？**
**答：** 单独告知是一般原则。仅当单独告知需要付出不成比例的努力（根据患者数量、成本和联系方式可获取性严格评估）时，才允许将集中告知（如海报或新闻公告）作为例外情况使用。
**Q4：是否允许在医学论文或期刊上发表内部研究的结果？**
**答：** 允许。只要数据访问权限仍仅限于护理团队或数据已完全匿名化，且项目的唯一目的不仅是向第三方传输数据，发表研究结果或在论文中使用这些结果就与内部研究相兼容。
受影响对象
在法国为内部健康研究处理患者数据的医疗保健专业人员、医院、医学研究机构及护理团队。
跨境背景
在欧盟通用数据保护条例（GDPR）框架下，适用于作为欧盟成员国的法国境内。
后续关注事项
- 核实内部健康研究是否严格满足 CNIL 设定的三项累积条件。
- 检查是否符合 GDPR 数据处理登记簿、DPIA（数据保护影响评估）要求以及患者告知方案。
- 审查 EDPB 关于匿名化的第 02/2026 号指南中有关公众征求意见的细节以及匿名化与去标识化（假名化）标准的规定。
本文仅提供一般性信息，不构成法律意见。必要时请查阅官方文本并根据您的具体情况寻求专业建议。