La CNIL cadre les recherches internes en santé : obligations RGPD

La CNIL a publié le 6 novembre un questions-réponses sur les recherches internes en santé. Ce n'est pas un texte contraignant nouveau : c'est une clarification des obligations déjà issues du RGPD et de la loi Informatique et Libertés. Si vous gérez les données d'un établissement de santé, l'intérêt est pratique — savoir quand une étude sort du cadre « interne » et déclenche des formalités préalables.

Ce qu'est une recherche « interne »

La qualification repose sur trois conditions cumulatives :

1. l'étude utilise des données collectées lors de la prise en charge des patients ;
2. elle est menée par les personnels qui assurent ce suivi ;
3. elle sert à leur usage exclusif.

Les trois doivent être réunies. Si l'une manque, le projet n'est plus « interne » au sens de la CNIL.

Les obligations si les critères sont remplis

• Aucune formalité préalable auprès de la CNIL. Mais les obligations générales du RGPD restent dues : tenue du registre des traitements et, le cas échéant, une analyse d'impact (AIPD).
• Information des personnes : individuelle par principe, selon une approche à plusieurs niveaux. L'information collective n'est admise, de façon strictement encadrée, que si l'information individuelle exige des efforts disproportionnés.
• Droits des participants maintenus, dont le droit d'opposition.
• Accès réservé à l'équipe de soins (notion définie à l'article L. 1110-12 du Code de la santé publique), sauf si les données sont anonymisées.
• Publication des résultats possible. En revanche, la transmission des résultats ou de données anonymisées à des tiers ne peut pas être le seul objet du projet.

Si les critères ne sont pas remplis

Le projet bascule dans le régime des recherches soumises à formalités : soit une déclaration de conformité à un référentiel (méthodologie de référence), soit une autorisation préalable de la CNIL après avis du comité compétent.

Cadre juridique cité

La CNIL s'appuie sur le RGPD (notamment les articles 2, 12 à 14 et 21, et le considérant 26), la loi Informatique et Libertés, et l'article L. 1110-12 du Code de la santé publique. Elle renvoie aussi aux lignes directrices 02/2026 du CEPD sur l'anonymisation, dont la consultation publique s'est close le 30 octobre — point à surveiller, car la frontière entre anonymisation et pseudonymisation décide si la transmission à un tiers reste dans le cadre.

À retenir

La publication ne crée pas d'obligation nouvelle, mais elle ferme une zone grise récurrente : beaucoup d'équipes traitent comme « interne » une étude qui ne coche pas les trois cases, et qui aurait dû passer par un référentiel ou une autorisation. Pour les DPO et RSSI du secteur santé, le réflexe est de reclasser les projets d'analyse de données de soins contre ces trois critères, et de vérifier que l'accès reste cantonné à l'équipe de soins — c'est là que se jouent la base légale et le risque de sanction.