La fiche 12 du guide pratique de la CNIL pour les SPST traite des études et des recherches. Lorsqu’un service participe à une recherche dans le domaine de la santé, il peut s’appuyer sur une méthodologie de référence de la CNIL, qui évite une demande d’autorisation dès lors que la recherche en respecte toutes les conditions.
La CNIL a mis à jour en mai 2026 les méthodologies de référence MR-001 et MR-003, applicables depuis le 23 mai 2026. Elle a remis en ligne le 31 juillet son webinaire de présentation de ces mises à jour, et le 10 juillet celui consacré à son nouveau téléservice de demande d’autorisation en santé.
Ce qui change
La mise à jour renforce la sécurité. La double authentification devient obligatoire au 1er janvier 2027 pour les systèmes accessibles par internet, avec une période transitoire jusqu’en mai 2027. Un service qui participe à une recherche relevant de ces méthodologies, et dont les données sont accessibles à distance, doit donc avoir déployé une authentification forte à ces dates.
La MR-001 concerne les recherches impliquant la personne humaine qui nécessitent un recueil du consentement. La MR-003 concerne celles qui n’en nécessitent pas, avec un droit d’opposition. Un SPST peut être concerné lorsque ses médecins participent à un protocole, ou lorsqu’il fournit des données à un promoteur.
Le nouveau téléservice de demande d’autorisation en santé concerne les recherches qui ne s’inscrivent pas dans une méthodologie de référence. Les services qui envisagent une étude hors cadre trouveront dans le webinaire du 10 juillet la marche à suivre.
L’exigence rejoint celle tirée de la sanction du 21 juillet 2026 contre un établissement de santé : des accès distants protégés par un simple identifiant et un mot de passe ne sont plus acceptables pour des données de santé.
Ce que cela implique pour un SPST
- Recenser les études et recherches en cours ou prévues, et les rattacher à la bonne méthodologie de référence, ou à une demande d’autorisation lorsqu’aucune ne convient.
- Vérifier, pour chacune, si les données sont accessibles par internet : plateforme du promoteur, outil de recueil en ligne, accès distant au dossier.
- Planifier la double authentification sur ces accès avant le 1er janvier 2027, en profitant si nécessaire de la période transitoire, sans la considérer comme un délai supplémentaire acquis.
- Contrôler les engagements de conformité pris auprès de la CNIL pour chaque méthodologie, et leur mise à jour.
- Associer les médecins investigateurs, souvent à l’origine de la participation du service, pour qu’aucune étude ne démarre sans ce contrôle.
La même échéance vaut, par cohérence, pour l’ensemble des accès distants au dossier médical. Un service qui déploie la double authentification pour ses recherches gagne à l’étendre au logiciel métier.
Comment le traiter dans DPO SUITE
- Dans le registre des traitements, créez ou ouvrez une fiche par étude ou recherche et indiquez la méthodologie de référence applicable dans la base légale.
- Dans le module infrastructure, recensez les systèmes utilisés pour ces études qui sont accessibles par internet, et notez l’état de la double authentification.
- Pour chaque système sans double authentification, créez une non-conformité et une action corrective avec une échéance au 1er janvier 2027.
- Si un promoteur ou une plateforme externe intervient, inscrivez-le au registre des sous-traitants et envoyez-lui le questionnaire d’audit.
- Ouvrez une session d’AIPD pour toute recherche qui le nécessite et exportez-la au format PIA si besoin.
- Créez une tâche de rappel avant le 1er janvier 2027 pour vérifier la mise en place effective.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Délibérations de la CNIL mettant à jour les MR-001 et MR-003 (mai 2026, applicables au 23 mai 2026)
- Webinaires de la CNIL remis en ligne les 10 et 31 juillet 2026
- Règlement (UE) 2016/679 (RGPD), articles 9.2.j, 32 et 35
- Guide CNIL SPST, fiche 12
