La CNIL modernise ses référentiels santé : simplification administrative mais vigilance accrue sur les traitements non conformes
Situation
La CNIL finalise la mise à jour de ses référentiels MR-003 et MR-004 encadrant les traitements de données de santé pour la recherche, et prépare un téléservice pour les demandes d'autorisation des traitements non conformes, visant à réduire le nombre de dossiers à examiner.
Contexte
Depuis le printemps 2024, la CNIL a engagé une révision complète de ses référentiels santé pour les adapter aux nouvelles pratiques de recherche et à l'évolution des outils numériques. Les référentiels MR-003 (recherches impliquant la personne humaine sans recueil du consentement) et MR-004 (études n'impliquant pas la personne humaine, notamment la réutilisation des données) sont prioritaires. Ces cadres permettent, sous conditions strictes, de réaliser des traitements sans autorisation spécifique de la CNIL.
Ce qui est confirmé
Les mises à jour des référentiels MR-003 et MR-004 sont attendues à la mi-avril 2026 (soit dans les jours suivant cette publication). Elles élargiront le nombre de traitements éligibles et incluront des modifications sur le périmètre des recherches, les données collectables, les modalités d'information des personnes, les destinataires des données, ainsi que deux annexes sur les mesures de sécurité et de contrôle qualité. Un téléservice pour les demandes d'autorisation des traitements non conformes est en préparation.
Ce qui pose question
Le principal risque réside dans la qualification des traitements : un dépassement même minime des limites fixées par les référentiels (finalité, échelle, durée, sécurisation) peut requalifier le traitement et imposer une demande d'autorisation complète, avec des délais incertains. La complexité technique des nouvelles annexes sécurité pourrait constituer une barrière pour les petites structures. Enfin, l'élargissement des traitements éligibles soulève des questions sur le niveau de protection des données, notamment pour les études de réutilisation à grande échelle.
L'impact financier & organisationnel
Pour les structures de recherche, le respect strict des référentiels mis à jour permet une simplification administrative et une réduction des coûts liés aux démarches d'autorisation. À l'inverse, les traitements non conformes devront passer par le nouveau téléservice, dont les délais de traitement par la CNIL restent à évaluer. Les établissements devront investir dans la mise en conformité technique (mesures de sécurité) et former leurs équipes aux nouvelles exigences, avec un risque de fragmentation entre grands centres bien dotés et structures plus modestes.
Le regard du Cercle
Cette modernisation est une réponse nécessaire à l'évolution rapide de la recherche en santé, notamment avec l'essor de l'IA et des mégadonnées. La CNIL cherche un équilibre entre facilitation de la recherche d'intérêt public et protection renforcée des données sensibles. Le piège caché est double : une interprétation trop restrictive des référentiels pourrait freiner l'innovation, tandis qu'une application trop laxiste exposerait à des sanctions RGPD. La date limite de mise en conformité est implicite : dès la publication officielle des référentiels à la mi-avril 2026, les nouveaux traitements devront s'y conformer, et les traitements existants devront être révisés.
Recommandations
Responsable d'un projet de recherche impliquant des données de santé : Dès la publication officielle des référentiels MR-003 et MR-004 sur cnil.fr (rubrique Professionnels > Santé > Référentiels, attendue mi-avril 2026), vérifier en moins de 15 jours si les traitements en cours entrent dans le champ des référentiels actualisés. Tout traitement ne remplissant pas les nouvelles conditions doit faire l'objet d'une demande d'autorisation via le téléservice CNIL avant toute poursuite du traitement. Former les équipes de recherche et les DPO à la frontière subtile entre traitement conforme (déclaration simplifiée) et non conforme (demande d'autorisation via téléservice).
Sources
Traçabilité : APM (TICsanté)
