Les données personnelles jouent un rôle essentiel dans les recherches dans le domaine de la santé.
Les données utilisées dans le cadre des recherches en santé sont souvent collectées directement auprès de personnes. Leur analyse permet de faire évoluer nos connaissances sur le fonctionnement du corps humain, des produits de santé, des techniques de soin…
Pour les acteurs impliqués dans la conduite de ces recherches, il est impératif de respecter le cadre juridique et réglementaire qui permet l’utilisation de ces données ; le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD), la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (LIL), et les autres textes et obligations qui en découlent, sont devenus incontournables.
Ce cadre légal et réglementaire s’additionne aux nombreuses autres exigences applicables aux recherches en santé telles que :
Naviguer entre tous ces textes peut vite devenir complexe.
Une donnée personnelle est toute information qui se rapporte à une personne identifiée ou identifiable.
Dans le cas des recherches en santé, les données utilisées permettent généralement d’identifier directement ou indirectement les personnes :
Ces informations utilisées relatent l’état de santé des individus et sont, au sens du RGPD, des données sensibles (article 9 du RGPD).
Elles requièrent un haut niveau de protection et l’accomplissement de formalités préalables à leur utilisation.
Le RGPD et la LIL interdisent par principe le traitement des données de santé (Article 9, RGPD et Article 6, LIL).
Des exceptions existent, et la recherche en santé peut en faire partie sous certaines conditions (Article 9, 2. j), RGPD et Article 44, LIL).
En effet, la loi Informatique et Libertés prévoit qu’à l’exception des études dites « internes » – menées par les professionnels de santé à partir des données issues du suivi médical individuel des patients et pour leur usage exclusif (Articles 65 et 44, LIL) – toutes les recherches dans le domaine de la santé qui utilisent des données de santé doivent faire l’objet d’une formalité préalable auprès de la Commission nationale de l’informatique et des libertés (CNIL) (Article 66, LIL).
Ainsi, pour conduire une recherche dans le domaine de la santé, il est nécessaire soit de réaliser une déclaration de conformité à un référentiel homologué par la CNIL soit de demander une autorisation auprès de la CNIL.
La CNIL propose des référentiels dits « Méthodologies de Référence (MR) » qui fixent un cadre préétabli pour la conduite de certaines recherches, et dont il faut respecter les conditions. Les Méthodologies de Référence permettent de simplifier les formalités pour le traitement des données de santé dans le cadre des recherches.
Ces MR couvrent différents types de recherches :
Si le projet de recherche est conforme à la Méthodologie de Référence qui lui est applicable, alors il n’est pas nécessaire de demander une autorisation préalable de la CNIL (articles 66 et 73 de la LIL). La recherche pourra être mise en œuvre dans le cadre d’une déclaration de conformité à ce référentiel, à réaliser sur le site de la CNIL.
Toutefois, si le projet de recherche n’est pas conforme à une Méthodologie de Référence, alors le projet devra faire l’objet d’une autorisation préalable par la CNIL avant d’être mis en œuvre.
Deux cas de figure sont à distinguer :
Le cadre juridique français de la protection des données dans le cadre de recherches en santé s’inscrit dans une logique européenne. Au niveau européen, le Règlement général sur la protection des données (RGPD) constitue un socle commun et obligatoire à l’ensemble des États membres de l’Union européenne.
Toutefois, le RGPD laisse aux États membres une marge de manœuvre pour le traitement des données sensibles. Les États membres peuvent mettre en place des mécanismes nationaux spécifiques (c’est le cas de la France avec les Méthodologies de Référence notamment).
Les formalités à accomplir, les bases légales mobilisables ou les exigences documentaires peuvent ainsi varier d’un État à l’autre. Ainsi, dans le cadre de recherches multicentriques, il est nécessaire d’identifier les particularités réglementaires de chaque pays concerné.
Au-delà de l’Union européenne, la diversité des régimes juridiques est encore plus marquée. Certains pays disposent de réglementations spécifiques sur les données de santé, d’autres s’appuient sur des régimes généraux de protection des données. Dans ce contexte, les recherches internationales doivent intégrer dès leur phase de conception ces exigences européennes et locales.
En concertation avec les acteurs du secteur, la CNIL a initié en 2024 une révision de ses Méthodologies de Référence. L’objectif est de les adapter aux évolutions technologiques (intelligence artificielle, big data), aux nouveaux usages (décentralisation des recherches, accroissement de la réutilisation de données) et aux exigences des différentes réglementations applicables.
Lors d’une consultation publique conduite du 16 mai 2024 au 12 juillet 2024[2], la CNIL a identifié les axes de travail suivants[3] :
Les premières MR révisées pourraient être publiées courant 2026.
Il est important de suivre de près les publications de la CNIL et de se faire accompagner pour anticiper les impacts de ces évolutions sur les projets en cours ou à venir.
Le cadre européen de la protection des données personnelles, bien que structuré autour du RGPD, continue d’évoluer sous l’impulsion des institutions européennes et des autorités nationales.
Parmi les développements récents, la publication en janvier 2025 d’une proposition de mise à jour des lignes directrices du CEPD (Comité européen de protection des données) sur la pseudonymisation marque une étape importante[4]. Ces lignes directrices, encore en projet, visent à clarifier les conditions techniques et juridiques permettant de considérer une donnée comme pseudonymisée. Pour rappel :
La Cour de justice de l’Union européenne (CJUE) a rendu, en septembre 2025, une décision sur la notion de données à caractère personnel dans le contexte d’un transfert de données pseudonymisées à des tiers[5].
La position de la CJUE diffère de celle du CEPD énoncée dans les lignes directrices et plus généralement du RGPD tel qu’on le connaît actuellement.
La CJUE a énoncé qu’une donnée pseudonymisée pouvait perdre son caractère personnel en fonction de la personne qui la détient. Si le destinataire des données ne dispose d’aucun moyen raisonnable pour réidentifier les personnes concernées, alors les données, peuvent être considérées comme étant non personnelles. Elle estime ainsi que le caractère personnel des données pseudonymisées doit être apprécié au moment de la collecte des données et du point de vue du responsable de traitement.
Cette divergence d’interprétation souligne la complexité du cadre réglementaire et les enjeux liés aux données personnelles.
Le 19 novembre 2025, la Commission européenne a présenté une proposition de Règlement, dite Digital Omnibus, visant à simplifier la règlementation européenne relative au numérique. Ce texte prévoit notamment des modifications du RGPD ainsi que d’autres réglementations-clés (Digital Services Act, Digital Markets Act, Data Act, Data Governance Act).
Le projet, encore en discussion, suscite de nombreux débats au sein de l’Union européenne. Son adoption pourrait entraîner des ajustements significatifs pour les acteurs de la recherche en santé.
Dans ce contexte en pleine mutation, il est crucial de suivre de près les actualités réglementaires et jurisprudentielles.
La protection des données dans la recherche en santé est un sujet complexe et ne s’improvise pas. Elle nécessite une maîtrise des outils juridiques réglementaires et une coordination étroite entre les équipes scientifiques, juridiques et techniques et une veille réglementaire, juridique et jurisprudentielle continue.
Pour sécuriser les projets, il est essentiel de :
Pour vous accompagner dans la protection des données, Sunnikan propose :
N’hésitez pas à nous contacter, nous serions ravis d’échanger avec vous et de vous accompagner selon vos besoins !
https://www.sunnikan.net/fr/contact/
Almaz Lecoq, Consultant Juriste, 3 mars 2026
_____
