RGPD et données de santé sont aujourd’hui indissociables de la conduite d’une recherche clinique. Antécédents médicaux, résultats biologiques, imagerie, données génétiques, traitements, événements indésirables ou données issues d’objets connectés : les informations recueillies sont particulièrement sensibles. Leur utilisation est indispensable à la recherche, mais elle doit respecter un cadre strict. En France, la protection des données fait partie des éléments réglementaires à anticiper dans un essai clinique. Le règlement européen sur les essais cliniques inclut notamment dans la partie II du dossier les éléments relatifs au respect des règles de protection des données personnelles.
RGPD et données de santé : pourquoi une protection renforcée ?
Les données concernant la santé appartiennent aux catégories particulières de données personnelles protégées par l’article 9 du RGPD. Leur traitement nécessite donc d’identifier une base juridique au titre de l’article 6, ainsi qu’une condition permettant de traiter ces données sensibles. Un point mérite une attention particulière en recherche clinique : le consentement du participant à l’essai ne doit pas être automatiquement confondu avec la base juridique utilisée pour traiter ses données personnelles. Le promoteur doit documenter son analyse et définir clairement les responsabilités des différents acteurs : responsable de traitement, responsables conjoints éventuels et sous-traitants.
RGPD et données de santé : identifier la méthodologie de référence applicable
En France, les recherches dans le domaine de la santé sont soumises, sauf exceptions, à des formalités spécifiques auprès de la CNIL. Les méthodologies de référence MR-001 et MR-003 ont été actualisées en 2026. La MR-001 concerne notamment les recherches nécessitant le recueil du consentement pour participer à la recherche ou pour réaliser un acte spécifique. La MR-003 encadre les recherches ne nécessitant pas ce consentement. Avant le démarrage d’un projet, il est donc essentiel de vérifier que celui-ci respecte intégralement les exigences de la méthodologie applicable. Dans le cas contraire, une demande d’autorisation auprès de la CNIL peut être nécessaire.
Limiter la collecte aux données réellement nécessaires
Le principe de minimisation constitue l’un des principaux points de vigilance en matière de RGPD et données de santé. Le protocole ne doit prévoir que les informations nécessaires aux objectifs scientifiques définis. Chaque variable collectée doit pouvoir être justifiée, les finalités doivent être précises et les durées de conservation définies. Une attention particulière est nécessaire lorsque les données peuvent être réutilisées pour des analyses secondaires, de futures recherches ou des projets intégrant de l’intelligence artificielle. Le simple fait qu’une information puisse être utile ultérieurement ne suffit pas à justifier sa collecte systématique.
Pseudonymisation et sécurité : des mesures indispensables
La pseudonymisation dans le cadre du RGPD et données de santé est une mesure essentielle en recherche clinique, mais elle ne transforme pas les informations en données anonymes. Dès lors qu’une réidentification reste possible à l’aide d’informations complémentaires, le RGPD continue de s’appliquer. Les mesures de sécurité doivent être adaptées aux risques : gestion des habilitations, traçabilité des accès, sauvegardes, chiffrement lorsque cela est pertinent et procédures en cas de violation de données. Les versions 2026 des MR-001 et MR-003 comportent d’ailleurs une annexe dédiée à la sécurité. Elles prévoient notamment une authentification multifacteur pour les outils accessibles via le web à compter du 1er janvier 2027.
RGPD et données de santé : garantir une information claire aux participants
La transparence reste un principe fondamental. Les participants doivent comprendre quelles données sont recueillies, pourquoi elles le sont, qui peut y accéder, pendant combien de temps elles sont conservées et quels droits ils peuvent exercer. Cette information doit être claire, accessible et compréhensible, sans être noyée dans un document excessivement juridique. Les évolutions 2026 des méthodologies de référence prennent également davantage en compte les modalités d’information dématérialisées, en cohérence avec le développement des essais décentralisés et des parcours numériques.
Anticiper les transferts internationaux de données
Les essais multicentriques font fréquemment intervenir des CRO, laboratoires centraux, plateformes ePRO/eCOA, hébergeurs ou équipes d’analyse situés dans différents pays. La cartographie précise des flux de données est donc indispensable. Tout transfert hors de l’Espace économique européen doit être encadré conformément au RGPD, en tenant compte du pays destinataire, des garanties disponibles et, lorsque cela est nécessaire, de mesures supplémentaires. Cette analyse doit être réalisée avant le démarrage du traitement et actualisée si les prestataires, les outils ou les circuits de données évoluent.
RGPD et données de santé : intégrer la conformité dès la conception
La conformité ne doit pas être vérifiée uniquement au moment de la soumission réglementaire. Une démarche de « privacy by design » permet d’intégrer les exigences relatives à la protection des données dès la rédaction du protocole, le choix des outils numériques et la sélection des prestataires. Le registre des traitements doit être tenu à jour et une analyse d’impact relative à la protection des données (AIPD) doit être réalisée lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Le DPO, les équipes cliniques, juridiques, data et sécurité doivent donc travailler ensemble.
Les points de vigilance à retenir
Pour maîtriser les enjeux liés au RGPD et données de santé dans la recherche clinique, les équipes doivent vérifier la qualification du traitement, la méthodologie de référence applicable, la minimisation des informations collectées, les durées de conservation, les mesures de sécurité, l’information des participants, les contrats avec les prestataires et les transferts internationaux. La documentation est également essentielle : être conforme ne suffit pas, il faut pouvoir démontrer cette conformité. Dans un environnement de recherche de plus en plus numérique et international, la protection des données devient ainsi un véritable élément de qualité du projet clinique, au même titre que la robustesse méthodologique et la sécurité des participants.
Sources et liens utiles
- CNIL – Mise à jour 2026 des MR-001 et MR-003
- CNIL – Méthodologie de référence MR-001
- CNIL – Méthodologie de référence MR-003
- EUR-Lex – Règlement général sur la protection des données
Si vous souhaitez recevoir nos articles et activités régulièrement, inscrivez-vous à notre Newsletter .
