Recherches internes en santé : la CNIL dispense de formalité, mais pas du registre, de l'information ni du droit d'opposition
Le 6 novembre 2026, la CNIL a publié une page de questions-réponses sur les « recherches internes » menées par les professionnels de santé à partir des données de leurs propres patients. Le message tient en une phrase : pas de formalité préalable auprès de la CNIL, mais toutes les autres obligations du RGPD restent dues. Pour le DPO d'un hôpital, d'une clinique ou d'un groupe de santé, c'est une qualification à contrôler projet par projet, parce que son périmètre est étroit.
Ce que la CNIL entend par recherche interne
La CNIL pose trois conditions cumulatives. Le projet doit être réalisé à partir de données recueillies dans le cadre de la prise en charge individuelle des patients concernés, par les personnels qui assurent ce suivi (la notion d'équipe de soins renvoie à l'article L. 1110-12 du Code de la santé publique), et pour l'usage exclusif de ces personnels.
Exemple type : un soignant qui exploite les données des patients qu'il suit pour améliorer leur prise en charge.
Si une seule condition manque, le régime change : il faut soit une déclaration de conformité à un référentiel existant, soit, à défaut, une autorisation préalable de la CNIL après avis du comité compétent. La CNIL rappelle que l'engagement de conformité à un référentiel vaut pour l'ensemble des traitements d'un même responsable de traitement qui entrent dans son champ, et non recherche par recherche. Pour ces demandes, la CNIL a présenté en juillet son nouveau téléservice santé et recherche.
Pourquoi c'est important
L'absence de formalité préalable n'est pas une dispense de conformité. La CNIL cite explicitement la documentation interne, c'est-à-dire l'inscription au registre des traitements et, le cas échéant, une analyse d'impact relative à la protection des données, ainsi que l'obligation d'informer les personnes au titre des articles 12 à 14 du RGPD.
Sur l'information, la CNIL recommande deux niveaux : une notice remise individuellement à chaque patient, puis une information plus complète accessible depuis cette notice, par exemple sur le portail de transparence de l'établissement. Le principe reste l'information individuelle. L'information collective (affichage, voie de presse) n'est admise que si l'information individuelle exige des efforts disproportionnés, et la CNIL précise que cette exception « s'apprécie strictement ». Dans son exemple d'une recherche avec un volet rétrospectif sur un grand nombre de patients aux coordonnées incomplètes, le caractère disproportionné doit être documenté, tandis que les patients du volet prospectif reçoivent une information individuelle.
Côté droits, les participants disposent des droits des articles 12 et suivants, et la CNIL souligne que le droit d'opposition de l'article 21 s'applique à ces traitements.
Publier les résultats, oui, les céder, non
La CNIL ne voit pas d'incompatibilité de principe entre recherche interne et publication des résultats, y compris dans une revue scientifique, une thèse ou un mémoire. Deux limites cependant :
- l'accès aux données de santé reste réservé à l'équipe de soins, sauf si elles ont été anonymisées. L'éditeur d'une revue ou son expert scientifique ne doivent pas accéder aux données brutes non anonymisées. La CNIL rappelle au passage que des données pseudonymisées restent dans le champ du RGPD, contrairement aux données réellement anonymisées, et renvoie aux lignes directrices 02/2026 du CEPD sur l'anonymisation ;
- l'usage exclusif exclut l'exploitation des résultats par un tiers, financeur de la recherche, à des fins lucratives, voire commerciales. Et l'objectif d'un projet ne peut pas être la seule transmission de résultats ou de données anonymisées à des tiers.
L'exemple retenu par la CNIL parlera aux établissements équipés de dispositifs connectés : un fabricant de prothèses connectées propose au centre hospitalier, contre rémunération, de consolider les données de ses patients et de les lui transmettre anonymisées pour améliorer ses produits. Ce projet n'est pas à l'usage exclusif des soignants et doit passer par les formalités auprès de la CNIL.
Ce que ça change pour les organisations
- Recenser les projets qualifiés de « recherche interne » ou d'« étude interne » et vérifier, pour chacun, les trois conditions cumulatives.
- S'assurer que chacun figure au registre des traitements, avec une décision tracée sur la nécessité d'une AIPD.
- Relire la notice patients et le portail de transparence : la recherche interne doit y apparaître, avec les modalités d'exercice du droit d'opposition.
- Documenter tout recours à l'information collective, projet par projet.
- Passer en revue les conventions avec les fabricants, éditeurs et financeurs : toute clause de remontée de données ou de résultats vers un tiers fait sortir le projet du régime de la recherche interne.
- Vérifier qui accède aux données brutes au moment d'une publication, et distinguer pseudonymisation et anonymisation dans la documentation.
Ce que Leto en pense
La page de la CNIL est utile parce qu'elle referme une lecture trop confortable de la recherche interne : « pas de formalité » ne veut pas dire « pas de documentation ». Pour un DPO, l'enjeu est opérationnel. Il faut savoir que ces projets existent, qui peuvent naître dans un service clinique sans passer par lui, et les rattacher au registre avant qu'un partenariat industriel ne change leur qualification. C'est ce travail de recensement et de traçabilité que Leto outille au quotidien, registre et AIPD compris ; une démo permet de le voir sur vos propres traitements.
Sources
