Édition

Ceci est une édition permanente. Elle reprend le briefing tel que publié à cette date et ne change pas.

La CNIL clarifie les obligations de protection des données pour les projets internes de recherche en santé

La CNIL a rappelé le 6 novembre 2026 les règles applicables aux établissements dont les professionnels de santé mènent des recherches internes à partir des données de leurs patients.

Le régulateur détaille les conditions cumulatives requises pour qu'un projet de recherche médicale soit qualifié d'interne. Les organismes de santé doivent veiller à ce que les données utilisées proviennent strictement de la prise en charge individuelle des patients, que les recherches soient menées directement par l'équipe de soins dispensant ce traitement, et que l'accès comme l'utilisation demeurent intégralement restreints à ces professionnels de santé. Pour ces recherches internes, aucune formalité préalable auprès de la CNIL n'est requise, mais le projet doit être inscrit au registre des traitements, faire l'objet d'une analyse d'impact si nécessaire et donner lieu à l'information des personnes concernées.

La CNIL encadre les conditions de réutilisation interne des dossiers de soins des patients par les équipes médicales.

Qui cela engage
Établissements de santé, hôpitaux, cliniques et praticiens menant des recherches cliniques internes à partir de données de patients en France.
Ce qui a changé
Les études qui ne remplissent pas strictement ces critères exigent une déclaration de conformité à un référentiel ou une autorisation préalable de la CNIL.

La question du jour

Selon la CNIL, quelle démarche n'est pas exigée pour une recherche interne en santé qui remplit les trois critères cumulatifs ?

  1. L'inscription du projet au registre des traitements de l'organisme
  2. Une formalité préalable auprès de la CNIL avant le lancement
  3. L'information des patients dont les données sont réutilisées
  4. Une analyse d'impact lorsque le traitement l'impose

Répondre à cette question sur le site

À savoir également

  1. La CNIL publie des recommandations de conformité pour les outils de session replay

    Ces recommandations définissent les attentes de conformité pour les logiciels qui enregistrent et reconstituent la navigation, les mouvements de souris, les clics, le défilement et les saisies dans les formulaires des utilisateurs. L'autorité clarifie les obligations relatives aux technologies de traçage, insistant sur la nécessité d'aligner les pratiques d'enregistrement de session sur les exigences de protection de la vie privée et de sécuriser les données des utilisateurs lors du diagnostic d'incidents techniques ou de l'évaluation de l'expérience en ligne.

  2. Perry Johnson Companies conclut un accord avec quatre États après la violation de plus de 13 millions de dossiers

    Les state attorneys general du Connecticut, du New Jersey, de New York et du Michigan ont clôturé leur enquête conjointe relative à cet incident. L'enquête a établi que le prestataire avait omis de chiffrer les dossiers médicaux des clients et négligé les contrôles d'accès fondamentaux, permettant à un attaquant de naviguer sans être détecté au sein de ses systèmes internes durant des mois. Aux termes de l'accord, le fournisseur doit refondre ses programmes de cybersécurité et vérifier les contrôles d'accès. Les équipes chargées de la protection des données évaluant des sous-traitants du secteur de la santé doivent contrôler si les prestataires tiers de transcription et de facturation appliquent l'authentification multifacteur de manière universelle. Les contrats doivent imposer aux prestataires de chiffrer l'ensemble des informations de santé protégées au repos et de tester continuellement la journalisation des accès pour repérer toute utilisation anormale d'identifiants.

  3. L'OPC synthétise des recherches indépendantes sur les appareils connectés et la FemTech

    Les priorités de recherche publiées par l'OPC désignent la télémétrie des véhicules connectés et les systèmes d'écoute biométrique comme des cibles privilégiées pour les futures actions fédérales d'application de la loi et de révision des politiques au titre de la législation canadienne sur la protection des renseignements personnels.

Compilé ce matin là à partir de sources officielles, judiciaires et réglementaires. Les sources primaires sont liées sur chaque sujet.