Les recherches internes en santé échappent à toute formalité préalable auprès de la CNIL. La Commission nationale de l’informatique et des libertés l’a rappelé le 6 novembre 2026. Sa fiche, Recherches internes : quelles sont les obligations pour les professionnels de santé ?, s’adresse aux établissements et aux professionnels de santé.
Cette dispense a un prix. En effet, le RGPD continue de s’appliquer en entier : registre, analyse d’impact si elle s’impose, information des patients, droit d’opposition. De plus, la qualification tient à peu de chose. Un questionnaire ajouté, un financeur intéressé, un confrère d’un autre hôpital : le projet bascule alors vers une méthodologie de référence ou une autorisation.
Recherche interne CNIL : quand un projet en relève
La définition posée par la loi
Une recherche est « interne » si elle remplit des conditions cumulatives. D’abord, elle repose sur des données recueillies lors de la prise en charge individuelle des patients. Ensuite, les personnels qui assurent ce suivi la mènent eux-mêmes. Enfin, elle sert à leur usage exclusif. Pour la notion d’équipe de soins, la CNIL renvoie à l’article L. 1110-12 du code de la santé publique.
Le fondement se trouve à l’article 65, 2° de la loi Informatique et Libertés. Ce texte vise les études faites « à partir des données recueillies » lors des soins. Il pose ensuite une double exigence : des études « réalisées par les personnels assurant ce suivi et destinées à leur usage exclusif ». On parle aussi d’études internes.
Les exemples retenus et les cas exclus
La CNIL donne des exemples concrets. Ainsi, un cardiologue hospitalier peut étudier ses taux de rémission ou de survie sur les dossiers de ses propres patients. De même, un interne en médecine peut travailler sur les patients suivis dans le service pendant son internat. Il agit alors sous la responsabilité de son chef de service.
À l’inverse, la CNIL exclut une recherche sur des patients suivis dans plusieurs établissements. Elle exclut aussi le travail d’un étudiant non rattaché au service. Le même sort attend une étude qui ajoute une collecte de données, comme un questionnaire. Enfin, une recherche lancée par un organisme qui reçoit les données d’un professionnel sort du cadre.
Le questionnaire mérite votre attention. En pratique, l’équipe y voit un simple complément au dossier. Pour la CNIL, il crée une collecte nouvelle, donc une recherche soumise à formalité. Posez la question avant d’imprimer le moindre formulaire.
Recherche dans le domaine de la santé : quand une formalité s’impose
Méthodologie de référence ou autorisation
Hors recherche interne, le principe s’applique. Tout projet de recherche dans le domaine de la santé qui traite des données de santé exige une formalité préalable. La fiche Recherches dans le cadre de la santé : quelles sont les formalités ? en décrit la mécanique.
La voie simple consiste à déclarer la conformité à une méthodologie de référence (MR). Par exemple, les MR-001 et MR-003 couvrent les recherches impliquant la personne humaine. Les MR-004 à MR-008 couvrent les autres, dont les études rétrospectives sur dossiers. La CNIL les présente sur sa page Traitements de données dans le domaine de la santé : les référentiels pour simplifier vos démarches.
Les équipes y gagnent : l’engagement de conformité ne se renouvelle pas à chaque étude. Il vaut pour tous les traitements du même responsable de traitement qui entrent dans le champ de la même MR.
En revanche, un seul écart à la MR impose une autorisation de la CNIL, après avis du comité compétent. Pour une recherche impliquant la personne humaine, un comité de protection des personnes (CPP) rend cet avis. Pour les autres, la Plateforme des données de santé saisit d’abord le comité éthique et scientifique (CESREES). La page Demande d’autorisation d’une recherche en santé liste les pièces attendues.
Le cas des prothèses connectées
La CNIL illustre la frontière avec un cas précis. Un centre hospitalier implante des prothèses connectées. Seuls ses soignants accèdent aux données de leurs patients. Le fabricant propose ensuite, contre rémunération, de recevoir ces données consolidées et anonymisées pour améliorer ses produits. Ce projet ne sert plus l’usage exclusif des soignants : il exige donc une formalité.
Un entrepôt de données de santé relève aussi d’un autre régime, même s’il prépare de futures recherches. Notre article sur la distinction entre entrepôt de données de santé et recherche détaille ce point. Classez donc chaque projet avant de choisir la formalité.
Ce que les recherches internes en santé exigent malgré tout
Registre et analyse d’impact
La CNIL rappelle les obligations de documentation interne. Inscrivez d’abord le traitement au registre des traitements. Indiquez sa finalité, les personnes habilitées et la durée de conservation. Pour cette durée, la CNIL a publié un référentiel propre à la recherche en santé.
Pour l’analyse d’impact (AIPD), la fiche parle d’une réalisation « éventuelle ». Toutefois, la liste des traitements pour lesquels une AIPD est requise vise déjà les données de santé traitées par les établissements pour la prise en charge des personnes. Or une étude menée à l’hôpital réutilise ces mêmes données. Nous recommandons donc d’ouvrir la question avec votre DPO. Consignez ensuite la décision, quelle qu’elle soit.
Information des patients à deux niveaux
Les articles 12 à 14 du RGPD s’appliquent. L’information doit donc être concise, transparente, compréhensible et facile d’accès. La CNIL recommande une approche à plusieurs niveaux. Le premier niveau est remis à chaque patient, par exemple dans une notice donnée lors du suivi. Le second, accessible depuis cette notice, peut figurer sur le portail de transparence de l’établissement.
L’information reste individuelle par principe. Une information collective, par affichage ou par voie de presse, reste une exception. Elle suppose des efforts disproportionnés pour informer chacun. La CNIL précise que cette exception s’apprécie strictement.
Son exemple parle aux praticiens libéraux. Une recherche comporte un volet rétrospectif sur un très grand nombre d’anciens patients. Une partie de leurs coordonnées est incomplète ou peu fiable. Elle comporte aussi un volet prospectif sur les patients suivis. Pour le premier volet, le praticien documente l’effort disproportionné et compense par une information collective. Pour le second, chaque patient reçoit en revanche une information individuelle.
Droit d’opposition et sécurité
Les participants gardent leurs droits sur leurs données. La CNIL insiste en particulier sur le droit d’opposition de l’article 21 du RGPD. Prévoyez donc la procédure avant l’inclusion : qui reçoit la demande, comment le dossier sort de l’étude, où la trace est conservée.
Côté sécurité, la CNIL donne des précautions utiles dans sa fiche sur les thèses et mémoires dans le domaine de la santé. Chiffrez le disque des ordinateurs portables. Stockez les données sur un espace sauvegardé du réseau interne plutôt que sur le poste. Limitez aussi les clés USB à l’indispensable. Enfin, signalez sans délai toute violation de données à l’établissement.
Publier les résultats sans perdre la qualification
Pour la CNIL, publier les résultats ne fait pas perdre la qualification de recherche interne. Une revue scientifique, une thèse ou un mémoire restent donc possibles. En effet, l’usage exclusif n’interdit pas d’informer le public et la communauté scientifique.
L’accès aux données de santé reste toutefois réservé à l’équipe de soins, sauf anonymisation. Ainsi, l’éditeur d’une revue ou son expert n’accède jamais aux données brutes. De plus, le projet ne peut pas viser la seule transmission de résultats à des tiers. Une exploitation lucrative par un financeur rompt aussi la condition d’usage exclusif.
Ne confondez pas anonymisation et pseudonymisation. Des données pseudonymisées, avec un numéro à la place du nom, restent des données personnelles. Seules des données anonymisées sortent du RGPD (considérant 26) et de la loi Informatique et Libertés. La personne ne doit alors plus être identifiable. Sur ce point, la CNIL renvoie aux lignes directrices 02/2026 du Comité européen de la protection des données (CEPD). Ce texte sur l’anonymisation était soumis à consultation publique jusqu’au 30 octobre 2026.
La vérification à mener avant de lancer l’étude
Avant le premier export, faites valider la qualification par écrit. Une réunion avec votre DPO suffit souvent. Elle vous évite de découvrir une formalité manquée au moment de publier. Cette étape rejoint la démarche décrite sur notre page RGPD en santé et médico-social.
- Vérifiez l’origine des données : des dossiers de patients suivis par l’équipe, dans le même établissement.
- Listez les personnes qui accèdent aux données identifiantes et confirmez leur place dans l’équipe de soins.
- Contrôlez l’absence de collecte ajoutée pour l’étude : questionnaire, examen ou entretien.
- Identifiez les destinataires des résultats et l’éventuel financeur.
- Inscrivez le traitement au registre et tranchez la question de l’AIPD.
- Préparez la notice, la page de second niveau et la procédure d’opposition.
Une seule réponse négative suffit : le projet sort des recherches internes en santé. Orientez-le alors vers la méthodologie de référence adaptée ou vers une demande d’autorisation.
Sources
La fiche de la CNIL du 6 novembre 2026, Recherches internes : quelles sont les obligations pour les professionnels de santé ?, fournit la définition, les règles d’information des patients, le droit d’opposition et les conditions de publication.
La fiche Recherches dans le cadre de la santé : quelles sont les formalités ? donne les exemples et les exclusions. Les MR sont présentées sur la page Traitements de données dans le domaine de la santé : les référentiels pour simplifier vos démarches.
L’article 65 est cité dans la version de la loi Informatique et Libertés publiée par la CNIL. La fiche Recherche, étude ou évaluation dans le domaine de la santé : comment procéder pour une thèse ou un mémoire ? détaille les mesures de sécurité.
Enfin, les cas d’AIPD obligatoire figurent dans la liste des types d’opérations de traitement pour lesquelles une analyse d’impact est requise.
