Données de santé et recherche : ce que dit le RGPD

En recherche, le RGPD classe les données de santé parmi les catégories particulières de données personnelles, dont le traitement est en principe interdit. Leur utilisation reste possible sous des conditions strictes : un fondement juridique, une finalité précise, une information adaptée et des mesures de sécurité renforcées. En France, la CNIL complète ce cadre pour la recherche en santé.

L’article 9 du RGPD accorde une protection particulière aux données sensibles : santé, données génétiques ou biométriques, origine, opinions politiques ou convictions religieuses.

Leur traitement n’est possible que dans les cas prévus par le règlement. La finalité de recherche scientifique ne constitue pas, à elle seule, une base légale. Le responsable doit identifier un fondement au titre de l’article 6 du RGPD et une exception à l’interdiction prévue par son article 9.

Une donnée de santé ne se limite pas à un diagnostic. Elle comprend les résultats d’examens, les traitements, les antécédents ou toute information révélant l’état physique ou mental d’une personne.

Une divulgation peut porter atteinte à la vie privée ou exposer la personne à une discrimination. Ce risque justifie un régime de protection renforcé.

Toute étude doit reposer sur une base légale identifiée. Pour certains organismes publics, il peut s’agir de l’exécution d’une mission d’intérêt public. D’autres fondements peuvent s’appliquer selon le responsable, la nature du projet et les données utilisées.

La finalité doit être définie à l’avance. Les données collectées doivent être pertinentes et limitées à ce qui est nécessaire. Leur durée de conservation doit également être justifiée.

En France, la CNIL propose plusieurs méthodologies de référence. La MR-001 et la MR-003 concernent certaines recherches impliquant la personne humaine ; la MR-004 encadre notamment des recherches reposant sur la réutilisation de données. Ces référentiels ont été actualisés en 2026.

Lorsqu’un projet respecte intégralement une méthodologie, le responsable peut effectuer un engagement de conformité. Dans le cas contraire, une autorisation de la CNIL peut être nécessaire.

Lorsqu’une étude constitue une recherche impliquant la personne humaine, l’avis d’un Comité de protection des personnes complète les obligations relatives aux données.

Les personnes doivent recevoir une information claire sur la finalité du traitement, les données utilisées, leur durée de conservation, les destinataires, l’identité du responsable et les modalités d’exercice de leurs droits.

Ces droits peuvent comprendre l’accès, la rectification, la limitation ou l’opposition. Leur étendue dépend toutefois de la base légale et du contexte de la recherche. Des limitations sont possibles lorsqu’elles sont prévues par la loi, nécessaires et assorties de garanties appropriées.

Le consentement à participer à une recherche ne doit pas être confondu avec le consentement utilisé comme base légale pour traiter les données. Lorsqu’un traitement repose sur le consentement au sens du RGPD, celui-ci peut être retiré à tout moment. Ce retrait ne remet pas en cause les traitements réalisés auparavant.

Pour exercer ses droits, la personne peut contacter le responsable du traitement ou son délégué à la protection des données.

La pseudonymisation remplace les identifiants directs par un code, mais une réidentification reste possible à l’aide d’informations conservées séparément. L’anonymisation vise à empêcher durablement toute identification par des moyens raisonnablement susceptibles d’être utilisés. Seules les données effectivement anonymisées sortent du champ du RGPD.

Les données de santé exigent des mesures adaptées aux risques : chiffrement, contrôle des accès, authentification, sauvegarde et traçabilité des opérations.

Le recours à un hébergeur certifié HDS est obligatoire lorsque les conditions prévues par le Code de la santé publique sont réunies. Cette obligation ne s’applique pas indistinctement à tout traitement de données de santé.

Les prestataires agissant pour le compte du responsable doivent être liés par un contrat de sous-traitance précisant leurs obligations, notamment en matière de confidentialité et de sécurité.

Le responsable tient un registre des traitements et désigne un délégué à la protection des données lorsque les critères du RGPD l’exigent. Une analyse d’impact doit être réalisée avant les traitements susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes.

Ces démarches permettent de documenter les choix et de démontrer la conformité du projet.

Une étude rigoureuse intègre la protection des données dès sa conception et, par défaut, limite leur utilisation au strict nécessaire.

Confier certaines missions à une structure qui maîtrise déjà ce cadre peut sécuriser le déroulement de l’étude : c’est l’un des rôles de ForceXpert au sein de la Fondation FORCE. Le responsable du traitement reste néanmoins comptable de la conformité, même lorsqu’il recourt à des prestataires.

La qualité documentaire protège les participants et renforce aussi la fiabilité de la recherche.

Oui, dans certains cas. Le traitement peut reposer sur une autre base légale, comme la mission d’intérêt public. L’information reste le principe, sous réserve des exceptions strictement prévues par le RGPD.

La pseudonymisation remplace les identifiants par un code, mais les données restent personnelles. Une anonymisation effective empêche l’identification par des moyens raisonnablement susceptibles d’être utilisés.

La CNIL contrôle le respect de la réglementation. Le CPP examine les recherches impliquant la personne humaine sous l’angle de leur validité et de la protection des participants. Le délégué à la protection des données conseille le responsable en interne.

Soutenez une recherche rigoureuse et respectueuse des données en faisant un don à la Fondation FORCE.