Autorisations CNIL en santé : le nouveau téléservice qui doit accélérer vos dossiers hors référentiel

La CNIL a mis en ligne une nouvelle version de son formulaire de demande d'autorisation pour les traitements de données de santé — et, plus largement, tout traitement sensible qui ne rentre pas dans les cases d'une méthodologie de référence. Objectif affiché : des dossiers plus clairs, des délais d'instruction plus courts, et moins d'allers-retours avec les porteurs de projets.

Ce qui s'est passé

La Plateforme des données de santé (PDS) et le service santé de la CNIL ont présenté ce nouveau téléservice lors d'un webinaire diffusé le 14 avril 2026, dont la CNIL vient de remettre en avant la rediffusion. Le formulaire couvre deux cas de figure : les demandes d'autorisation pour la recherche en santé, et les demandes « hors recherche » — c'est-à-dire tout traitement de données sensibles qui doit passer par une autorisation individuelle de la CNIL faute de pouvoir s'appuyer sur une méthodologie de référence (MR-001 ou MR-003 notamment).

Concrètement, la nouvelle mouture intègre les dernières évolutions juridiques applicables aux données de santé et propose des fonctionnalités pensées pour guider le porteur de projet : identification plus lisible des points clés du dossier, signalement des zones de vigilance avant dépôt, et une structure censée réduire les délais d'instruction côté CNIL.

Pourquoi c'est important

Ce téléservice ne sort pas de nulle part. Il arrive quelques semaines après la refonte par la CNIL de ses méthodologies de référence MR-001 et MR-003, qui a redéfini le statut des sites de recherche, clarifié les bases légales mobilisables et durci les exigences de sécurité — authentification multifacteur obligatoire dès janvier 2027. Or toutes les recherches ne peuvent pas se caler sur ces référentiels : dès qu'un protocole s'en écarte, même légèrement, il bascule dans le régime de l'autorisation individuelle, plus lourd et plus long.

C'est précisément ce couloir « hors référentiel » que la CNIL cherche à fluidifier. Le traitement de données de santé relève de l'article 9 du RGPD, qui pose un principe d'interdiction assorti d'exceptions strictement encadrées : consentement explicite, intérêt public dans le domaine de la santé, recherche scientifique avec garanties appropriées. À chaque exception correspond un formalisme différent, et une autorisation CNIL mal préparée se traduit presque systématiquement par des demandes de compléments qui rallongent l'instruction de plusieurs mois.

Ce que ça change pour les organisations

Pour les DPO, promoteurs d'études, entrepôts de données de santé et éditeurs de solutions dans le secteur, ce nouveau téléservice change surtout la façon de préparer le dossier en amont, pas les règles de fond. Trois réflexes à intégrer :

Vérifier en premier lieu si le projet peut réellement s'inscrire dans une méthodologie de référence à jour — la bascule vers l'autorisation individuelle doit rester un choix éclairé, pas une conséquence d'un dossier mal cadré dès le départ. Documenter, ensuite, les points d'attention que le nouveau formulaire fait remonter avant même le dépôt : ce sont souvent les mêmes que ceux qui motivent des demandes de compléments côté CNIL, qu'il s'agisse de la analyse d'impact (AIPD), de la base légale retenue ou des durées de conservation. Enfin, garder à l'esprit que ces obligations nationales s'articulent avec le cadre européen : l'EDPB a publié ses propres lignes directrices sur la recherche scientifique, qui posent six critères de qualification et influenceront à terme la doctrine française.

Les éditeurs de logiciels RGPD dédiés au secteur santé ont également intérêt à suivre cette évolution : un téléservice plus structurant côté CNIL rehausse implicitement le niveau d'exigence attendu sur la documentation interne — registre des traitements, cartographie des sous-traitants, preuve de conformité.

Ce que Leto pense de cette décision

C'est un signal positif, mais qui ne doit pas faire illusion. Simplifier le formulaire ne simplifie pas le droit : les exigences de fond sur les données de santé restent parmi les plus strictes du RGPD, et la bascule récente des méthodologies de référence a plutôt tendance à durcir le cadre qu'à l'alléger. Le vrai bénéfice de ce téléservice sera surtout de raccourcir les délais pour les dossiers déjà bien préparés — ce qui replace, une fois de plus, la charge sur l'anticipation en amont plutôt que sur l'outil de dépôt lui-même.

Sources : CNIL — Revoir le webinaire : nouveau téléservice santé et recherche