Concertation CNIL : la CNIL a lancé en 2024 une large concertation visant à réviser ses référentiels santé, un ensemble de documents qui encadrent les traitements de données personnelles dans le domaine sanitaire. Cette mise à jour concerne directement les acteurs menant des recherches en santé, y compris celles impliquant des dispositifs médicaux (DM) ou des dispositifs médicaux numériques collectant ou traitant des données de santé.
L’objectif est clair : adapter le cadre CNIL aux évolutions rapides des pratiques de recherche, à la multiplication des sources de données et au développement des technologies numériques pour les dispositifs médicaux.
Pourquoi la concertation CNIL concerne directement les dispositifs médicaux
La recherche impliquant des dispositifs médicaux repose de plus en plus sur des données issues :
- d’appareils connectés,
- de logiciels embarqués,
- de plateformes d’analyse,
- de données en vie réelle.
Or, ces données relèvent de la catégorie des données de santé, données dites sensibles protégées par le RGPD et la loi Informatique et Libertés.
Les référentiels et méthodologies de référence CNIL forment le cadre pratique qui conditionne les formalités, les durées de conservation, l’information des patients et les possibilités de réutilisation des données issues des essais DM.
Avec l’entrée en vigueur du règlement européen sur les dispositifs médicaux, il devient nécessaire d’aligner ce cadre CNIL sur les nouvelles catégories d’investigations, y compris les études post‑marketing, de vie réelle ou décentralisées.
Enfin, les choix qui seront faits dans les nouveaux référentiels (MR concernées, niveaux de risque, besoins d’autorisation) auront un impact direct sur la charge réglementaire, les délais et la faisabilité opérationnelle des projets de recherche clinique portant sur les dispositifs médicaux.
La concertation CNIL sur les référentiels santé : un tournant pour la recherche
En décembre 2024, la CNIL a publié la synthèse de sa consultation publique sur les référentiels santé. Cette consultation a recueilli les contributions diverses comme celles d’établissements de soins, industriels, chercheurs et associations, avec un constat partagé : les référentiels doivent être mis à jour pour tenir compte notamment :
- des nouveaux usages numériques ;
- de la montée en puissance des dispositifs médicaux connectés ;
- de l’intégration de l’IA ;
- de la complexité croissante des projets de recherche ;
- du développement des bases de données massives.
Référence : Synthèse CNIL – Consultation 2024
https://www.cnil.fr/sites/cnil/files/2024-12/consultation_referentiels_sante_synthese_des_contributions.pdf
La CNIL annonce la constitution de groupes de travail en 2025 pour réviser les référentiels et les MR existantes.
Conséquences pour la recherche clinique impliquant des dispositifs médicaux
Les révisions à venir impacteront directement les études portant sur des dispositifs médicaux, notamment les DM intégrant un logiciel, une fonction numérique ou collectant des données à distance. Les principales implications concernent :
Le choix du cadre réglementaire applicable
Un promoteur devra déterminer si son étude peut s’inscrire dans :
- une méthodologie de référence existante (ex. MR-001 pour les recherches avec consentement, MR-003 pour les recherches sans consentement),
ou - un futur référentiel mis à jour par la CNIL.
Si aucun cadre ne correspond, une demande d’autorisation CNIL reste obligatoire , la CNIL se prononce dans un délai de deux mois.
Référence MR-001 :
https://www.cnil.fr/fr/declaration/mr-001-recherches-dans-le-domaine-de-la-sante-avec-recueil-du-consentement
Les exigences en matière de gouvernance et de sécurité des données
Tout projet impliquant un DM manipulant des données de santé doit intégrer :
- une analyse d’impact (DPIA) lorsque le risque est élevé ;
- des mesures de sécurité adaptées ;
- une documentation précise du traitement ;
- une gestion des sous-traitants conforme au RGPD ;
- des modalités d’information et d’exercice des droits.
Référence : CNIL – Formalités pour les traitements de données de santé
https://www.cnil.fr/fr/quelles-formalites-pour-les-traitements-de-donnees-de-sante
La question spécifique des dispositifs médicaux numériques (DMN)
En complément du cadre CNIL, les DM comportant une dimension numérique peuvent être soumis au Référentiel d’Interopérabilité et de Sécurité des Dispositifs Médicaux Numériques (DMN) publié par l’Agence du Numérique en Santé.
Référence : Référentiel DMN
https://industriels.esante.gouv.fr/sites/default/files/media/document/REF_IS_DMN_FR_V1.2.2_0.pdf
Il s’agit d’un cadre distinct des méthodologies CNIL, mais complémentaire pour garantir que le dispositif soit à la fois conforme sur le plan réglementaire et sur le plan technique.
Les implications pour les investigations cliniques de DM
Dans le cas d’une investigation clinique de DM soumise au règlement (UE) 2017/745, la conformité aux référentiels CNIL ou MR reste un prérequis, notamment lorsque :
- le dispositif collecte des données via une application, un capteur ou une plateforme,
- les données sont transférées vers un système d’analyse,
- des données sensibles sont croisées pour l’évaluation performance/sécurité.
Le responsable de traitement doit alors articuler :
- les obligations du règlement DM ;
- les exigences de protection des données ;
- les référentiels CNIL applicables.
Analyse juridique sur l’impact du RGPD sur les dispositifs médicaux :
https://info.haas-avocats.com/droit-digital/quelles-sont-les-consequences-du-rgpd-sur-les-dispositifs-medicaux
Quel impact pour les industriels dans les mois à venir ?
- modifier les durées de conservation autorisées ;
- préciser les modalités de pseudonymisation ou d’anonymisation ;
- renforcer les exigences de DPIA ;
- redéfinir les règles de sous-traitance ;
- intégrer de nouveaux types de traitements liés aux DM numériques.
La mise à jour des référentiels pourra :
Les promoteurs devront donc suivre attentivement les publications de la CNIL en 2025 pour ajuster leurs procédures internes, leurs notices d’information et leurs analyses d’impact.
Conclusion : un cadre en mouvement pour des pratiques en pleine évolution
Les référentiels CNIL jouent un rôle stratégique dans la recherche en santé, car ils permettent de sécuriser juridiquement les traitements de données tout en simplifiant les démarches lorsque les conditions sont réunies.
Pour les acteurs des dispositifs médicaux, numériques ou non, la concertation en cours marque une transition importante : le cadre va évoluer, et il faudra s’y adapter pour garantir la conformité, la sécurité et la transparence des projets de recherche.
