Par quatre délibérations en date du 19 mars 20261, la Commission nationale de l’informatique et des libertés (CNIL) a actualisé ses « méthodologies de référence » MR-001 et MR-003, qui encadrent les traitements de données mis en œuvre dans le cadre des recherches en santé. Au-delà d’une simple mise à jour rédactionnelle, la réforme adapte ces référentiels aux nouvelles pratiques numériques, élargit leur champ d’application et rehausse le niveau d’exigence, en particulier en matière de sécurité.
Publiées au Journal officiel le 23 mai 2026, les nouvelles méthodologies sont entrées en vigueur dès leur publication. Pour mémoire, la MR-001 concerne les recherches nécessitant le recueil du consentement de la personne tandis que la MR-003 vise celles qui ne nécessitent pas le recueil du consentement.
Le présent article en synthétise les évolutions majeures, le calendrier d’application et les conséquences pratiques pour les structures concernées.
I. Les méthodologies de référence et leurs deux nouvelles annexes
Les méthodologies de référence permettent au responsable de traitement de déclarer la conformité d’une recherche lorsque cette dernière respecte l’intégralité de la méthodologie applicable : dans ce contexte, une simple déclaration de conformité suffit. À défaut, dès qu’une seule de ces dispositions n’est pas respectée, une demande d’autorisation auprès de la CNIL sera obligatoire.
La principale nouveauté structurelle tient à l’introduction de deux annexes communes aux deux méthodologies2, l’une relative à la sécurité, l’autre au contrôle qualité. Ces annexes ne sont pas de simples recommandations : leur respect conditionne la conformité. En effet, une recherche n’est conforme à sa méthodologie que si elle respecte également ces deux documents.
II. Un périmètre clarifié
1. Les recherches conduites à l’étranger
La méthodologie admet désormais expressément les recherches conduites à l’étranger³ : peut en bénéficier la recherche mise en œuvre par un responsable de traitement établi en France et portant sur des personnes ne résidant pas en France, dès lors que la règlementation sectorielle applicable dans leur pays de résidence n’impose pas le recueil du consentement pour la MR-003 (ou, à l’inverse, l’impose pour la MR-001). Pour le reste, la méthodologie demeure applicable selon les critères de rattachement de la loi « informatique et libertés » : établissement du responsable de traitement en France ou résidence en France de tout ou partie des personnes concernées.
2. La responsabilité conjointe entre responsables de traitement
Les délibérations intègrent aussi la responsabilité conjointe entre plusieurs responsables de traitement3. Conformément à l’article 26 du RGPD, ceux-ci doivent définir de manière transparente leurs obligations respectives.
3. Une ouverture aux produits de santé propres à la MR-001
La MR-001 couvre désormais explicitement les investigations cliniques de dispositifs médicaux et les études de performances de dispositifs médicaux de diagnostic in vitro (DM-DIV) nécessitant le recueil du consentement4. À la différence de la MR-001, la MR-003 ne vise pas les investigations cliniques de dispositifs médicaux ni les études de performances de DM-DIV.
Les exclusions du champ sont précisées : consentement requis, risque résiduel élevé, appariement avec des bases régies par un acte législatif ou réglementaire et le SNDS central, traitement du NIR.
III. Des données élargies, des accès cloisonnés
La liste des données mobilisables au titre des MR s’enrichit : orientation sexuelle, origine géographique et lieu de résidence, revenus du foyer par tranches, ou encore recherche du statut vital par consultation du fichier des décès de l’INSEE. Cet élargissement appelle une vigilance renforcée sur les principes de nécessité et de minimisation : chaque catégorie de données traitée doit rester justifiée au regard de la finalité de la recherche, conformément aux dispositions du RGPD.
En contrepartie, l’accès aux données est plus rigoureusement encadré5. La logique d’une liste limitative de destinataires est abandonnée au profit d’un accès déterminé par les missions confiées (suivi, missions administratives, information, contrôle qualité). Des principes généraux s’imposent à tout destinataire : habilitation, accès limité aux seules données nécessaires à la mission, secret professionnel et sécurité. Surtout, un même acteur ne peut en principe accéder simultanément aux données administratives et aux données de la recherche et tout cumul de missions suppose des mesures de séparation physique, organisationnelle et de cloisonnement. Pour de nombreuses structures, cela impose de réexaminer les schémas d’habilitation entre équipes cliniques, fonctions support et prestataires.
IV. Une information des personnes modernisée
Les nouvelles méthodologies consacrent la possibilité de délivrer l’information par voie dématérialisée, alignant le droit sur des pratiques déjà répandues6. Une information différée aux représentants légaux de la personne concernée est prévue, lorsque le patient n’est pas en état de recevoir l’information. Une dérogation encadre l’information des deux titulaires de l’autorité parentale lorsque le second ne peut être consulté dans des délais compatibles avec la recherche. De nouvelles mentions RGPD sont par ailleurs ajoutées.
Cet assouplissement des modalités ne réduit pas le niveau de preuve attendu : le responsable de traitement doit rester en mesure de démontrer une information effective, intelligible et sécurisée.
V. Sécurité, sous-traitance et transferts : un niveau d’exigence rehaussé
La prise en compte des aspects relatifs à la sécurité des données constitue le poste le plus exigeant de la réforme. L’annexe dédiée regroupe des mesures jusque-là dispersées et en ajoute de nouvelles, parmi lesquelles le recours à un code non signifiant pour l’identification des participants et l’authentification multi facteur. Le contexte actuel explique ce durcissement : en effet la CNIL a recensé 547 notifications de violations de données en santé en 2024, contre 16 en 20187.
L’encadrement de la sous-traitance est également renforcé : audit de chaque sous-traitant, reconnaissance des codes de conduite comme outil de démonstration des garanties apportées par les sous-traitants, et obligation pour le sous-traitant direct de tenir à jour les informations relatives aux sous-traitants ultérieurs. En matière de transferts hors de l’Union européenne, le transfert des données administratives est admis sous conditions, dans le respect du chapitre V du RGPD.
VI. Calendrier d’application et conséquences pratiques
1. Le calendrier d’application
Les nouvelles méthodologies ne concernent pas uniquement les recherches futures8. Au contraire, il convient de distinguer plusieurs situations.
- Recherches engagées à compter du 23 mai 2026. Elles doivent être conformes aux nouvelles méthodologies et à leurs annexes (§ 91).
- Recherches en cours déclarées sous la version de 2018. Elles peuvent se poursuivre dans le respect des dispositions de la version 2018 (§ 90). Le passage à la version 2026 n’est pas imposé à ce titre.
- Déclaration de conformité antérieure à 2018. Le responsable de traitement n’est pas tenu de déclarer à nouveau sa conformité, sous réserve que les recherches engagées après l’entrée en vigueur respectent la nouvelle méthodologie (§ 91).
- Modification substantielle d’une recherche effectuée à la suite d’une autorisation. Lorsqu’une recherche antérieurement autorisée par la CNIL fait l’objet d’une modification substantielle et devient conforme à la nouvelle méthodologie, aucune nouvelle demande d’autorisation n’est nécessaire (§ 92).
| Échéance | Obligation |
|---|---|
| 23 mai 2026 | Entrée en vigueur. Les recherches engagées à compter de cette date respectent les nouvelles méthodologies et leurs annexes. |
| 1ᵉʳ janvier 2027 | Authentification multifacteur requise pour les accès via le web. |
| Mai 2027 | Échéance du plan d’actions sécurité pour les recherches en cours. |
| 1ᵉʳ janvier 2028 | Authentification multifacteur requise pour les autres accès. |
2. Les conséquences pratiques pour les structures
Promoteurs, établissements de santé, prestataires et industriels de la recherche ont intérêt à engager sans tarder une revue de leurs dispositifs. Les principaux chantiers sont les suivants :
- Qualifier chaque recherche au regard de la MR-001 ou de la MR-003, en vérifiant l’éligibilité des recherches conduites à l’étranger et, pour la MR-001, de celles portant sur des dispositifs médicaux.
- Prioriser la sécurité : déployer l’authentification multifacteur dans les délais, mettre en œuvre le code non signifiant, le chiffrement, la gestion des accès et la journalisation, et établir un plan d’actions pour les recherches en cours.
- Revoir les habilitations et le cloisonnement des accès entre missions, afin d’identifier et de corriger les zones de cumul jusqu’alors peu visibles.
- Mettre à jour l’information des personnes : notices, mentions RGPD, information dématérialisée et dérogations applicables.
- Sécuriser la sous-traitance : auditer les sous-traitants, encadrer les sous-traitants ultérieurs et envisager l’adhésion à un code de conduite.
- Sécuriser les transferts hors UE de données administratives par des garanties appropriées.
- Actualiser la documentation : registre des traitements, analyse d’impact et grille de conformité.
VII. Anticiper la mise en conformité
La mise en conformité en matière de sécurité constitue le poste le plus exigeant, en raison du calendrier de l’authentification multi facteur et du plan d’actions imposé pour les recherches en cours.
La conformité à une méthodologie suppose désormais le respect de ses deux annexes. Ces exigences doivent être intégrées dès la conception de la recherche, le plus en amont possible.
Le cabinet Aumans Avocats, spécialisé en droit des données de santé, accompagne les acteurs de la recherche dans la mise en conformité de leurs traitements aux MR-001 et MR-003 : qualification des recherches, revue des accès et de la sous-traitance, documentation et anticipation des échéances de sécurité.
- Délibérations n° 2026-049 (annexe sécurité), n° 2026-050 (MR-001, abrogeant la délibération n° 2018-153), n° 2026-051 (MR-003, abrogeant la délibération n° 2018-154) et n° 2026-052 (annexe contrôle qualité) du 19 mars 2026, publiées au Journal officiel le 23 mai 2026. ↩︎
- Annexe « sécurité » : délibération n° 2026-049 ; annexe « contrôle qualité » : délibération n° 2026-052. ↩︎
- Référentiels, partie II, § 2 (responsabilité conjointe au sens de l’article 26 du RGPD). ↩︎
- La MR-001 vise, au titre de la règlementation sectorielle, les règlements (UE) n° 2017/745 (dispositifs médicaux) et n° 2017/746 (DM-DIV) ; la MR-003 ne les vise pas. ↩︎
- Référentiels, partie VII, § 28 à 41 (principes généraux applicables à tout destinataire au § 30 ; interdiction d’accès simultané au § 31 ; cumul de missions aux § 36 à 41). ↩︎
- Référentiels, partie VIII, § 45 à 54. ↩︎
- Annexe « sécurité » (délibération n° 2026-049). Statistiques communiquées par la CNIL. ↩︎
- Référentiels, partie XVII, § 89 à 92. ↩︎
