La fiche 12 du guide CNIL pour les SPST traite des études et enquêtes menées à partir des données du service. Elle pose un principe : anonymisation et agrégation des données. Ce principe demeure.
Le cadre des recherches a toutefois évolué. Les méthodologies de référence de la CNIL ont été mises à jour et élargies en 2024 et 2025, et de nouvelles mesures de sécurité s’appliquent aux recherches engagées à compter du 23 mai 2026.
Ce qui change
Les méthodologies de référence encadrent les recherches dans le domaine de la santé. Une recherche conforme à l’une d’elles peut être mise en œuvre sans autorisation préalable de la CNIL, à condition d’en respecter toutes les exigences. Leur mise à jour en 2024 et 2025 élargit leur champ.
Les nouvelles mesures de sécurité de la CNIL s’appliquent aux recherches engagées à compter du 23 mai 2026. Une étude lancée après cette date doit les intégrer dès sa conception.
La veille apporte une précision utile. Les référentiels santé de la CNIL ne visent pas, comme tels, les services de médecine du travail. Les méthodologies de référence, en revanche, encadrent les recherches qu’un SPST conduit ou auxquelles il participe.
Ce que cela implique pour un SPST
Une étude menée sur des données anonymisées et agrégées sort du champ du RGPD, à condition que l’anonymisation soit réelle et que la réidentification ne soit plus raisonnablement possible. Une recherche sur des données pseudonymisées reste un traitement de données de santé et doit se rattacher à la bonne méthodologie de référence.
La pseudonymisation ne vaut pas anonymisation. Remplacer le nom par un code, en conservant la table de correspondance, laisse les données dans le champ du RGPD. Les données de recherche doivent alors être protégées comme des données de santé, avec des accès limités à l’équipe de recherche.
Chaque étude doit être rattachée à une méthodologie avant son lancement. Le rattachement après coup expose le service à mener une recherche sans base, et à devoir suspendre l’étude.
La date du 23 mai 2026 crée un point de contrôle. Pour chaque étude, le service doit noter la date d’engagement et vérifier, pour celles postérieures, l’application des nouvelles mesures de sécurité.
Les partenaires de recherche, universités, observatoires ou réseaux de services, doivent être qualifiés : responsables conjoints, sous-traitants ou destinataires de données agrégées. La qualification conditionne le contrat à signer.
Comment le traiter dans DPO SUITE
Ouvrez le registre des traitements et créez une fiche par étude ou par programme de recherche. Renseignez la finalité, la méthodologie de référence retenue, la date d’engagement, les catégories de données, le caractère anonymisé ou pseudonymisé des données et les destinataires. Validez la fiche avant le lancement.
Dans le registre des délais de conservation, qualifiez les jeux de données de recherche : point de départ, base légale, durée, localisation. Interrogez le responsable de la donnée, souvent le médecin porteur de l’étude, pour valider ces délais.
Dans le registre des sous-traitants, créez une fiche pour chaque partenaire qui traite les données pour le compte du service et envoyez-lui le questionnaire d’audit. Si l’étude présente un risque élevé, ouvrez une session d’AIPD, avec ses scénarios de risques et son plan d’actions.
Créez une procédure « Lancement d’une étude », approuvez-la et suivez son plan de tâches : choix de la méthodologie, contrôle des mesures de sécurité applicables depuis le 23 mai 2026, pseudonymisation, information des personnes. Pour une étude en cours sans rattachement, ouvrez une non-conformité et une action corrective.
Pour poser ces éléments sur une base saine, testez la création de votre registre dans DPO SUITE.
Repères
- Méthodologies de référence de la CNIL, mises à jour et élargies en 2024 et 2025
- Mesures de sécurité de la CNIL applicables aux recherches engagées à compter du 23 mai 2026
- RGPD, article 4.5 (pseudonymisation) et article 9 (données de santé)
- Guide CNIL SPST, fiche 12
