Dernière mise à jour le 17 août 2026
L’essentiel
- La Commission nationale de l’informatique et des libertés (CNIL) a publié en mai 2026 une mise à jour des méthodologies de référence (MR) MR-001 et MR-003, qui encadrent les traitements de données personnelles dans le cadre des recherches impliquant la personne humaine.
- Ces nouvelles versions apportent un cadre actualisé pour accompagner les pratiques actuelles du secteur de la recherche en santé : études à l’étranger, information dématérialisée, contrôle qualité à distance, accès aux données identifiantes…
Certains traitements de données de santé sont soumis à l’accomplissement de formalités préalables auprès de la CNIL. Selon les cas, il peut s’agir d’une déclaration ou d’une demande d’autorisation.
Les méthodologies de référence (MR) s’appliquent aux études nécessitant l’accès aux données personnelles de santé. Il existe huit méthodologies de référence : les trois premières MR (MR-001, MR-002 et MR-003) concernent les recherches impliquant la personne humaine (RIPH). La CNIL a également développé des méthodologies spécifiques pour les recherches n’impliquant pas la personne humaine (MR-004), les études utilisant certaines bases médico-administratives (MR-005 à MR-008).
Pourquoi actualiser les MR ?
La CNIL a décidé d’améliorer ses référentiels pour simplifier la démarche des organismes de recherche en santé. Aussi a-t-elle lancé en mai 2024 une consultation publique auprès des différents acteurs de la recherche en santé. L’ANRS MIE ainsi que l’Inserm ont réalisé conjointement un travail de fonds pour recenser les problématiques récurrentes inhérentes à la protection des données dans leurs projets de recherche.
La contribution de l’ANRS MIE et de l’Inserm
La délégation à la protection des données (DPD) de l’Inserm a collecté les remarques des chercheurs et chercheuses de l’Institut pour rendre compte de leurs difficultés les plus fréquentes rencontrées dans le cadre de l’examen des différents dossiers soumis à la CNIL.
De son côté, l’ANRS MIE et, plus particulièrement, les référentes DPO (Data Protection Officer pour Délégué à la protection des données) ont sollicité les chefs de projets de l’agence ainsi que les centres de méthodologie et de gestion (CMG), qui sont impliqués dans la coordination et la valorisation des études cliniques. Ont, notamment, été reportées les difficultés liées aux catégories de données collectées et à l’application des réglementations sectorielles pour les recherches menées à l’étranger, la réutilisation secondaire des données et l’impossibilité d’attribuer un nouveau code identifiant lors d’une réutilisation des données et des échantillons. Très concernée par les projets se déroulant à l’étranger, l’ANRS MIE a notamment insisté sur les délais d’obtention d’autorisation CNIL. La mise à jour des MR devrait dorénavant faciliter leur démarrage.
A noter que le Pôle Recherche Clinique de l’Inserm, France Cohortes, l’IRD et les autres directions de recherche de l’Inserm, ont aussi participé à la consultation publique.
Les MR-001 et MR-003 actualisées ont été publiées au Journal officiel le 23 mai 2026 et sont entrées en vigueur le 24 mai 2026.
Qui est concerné par les MR-001 et MR-003 actualisées ?
Toutes les organisations, publiques ou privées, menant des recherches en santé impliquant des participants vivant en France, y compris les promoteurs situés à l’étranger, qu’ils soient établis ou non dans l’Espace économique européen (EEE).
Il permet également d’assurer une application cohérente des règles européennes, même lorsque les participants des recherches sont à l’étranger et que l’organisme responsable de la recherche est établi dans l’EEE.
Quelles sont les principales évolutions ?
Nouvelle modalité dans la collecte de certaines données
Dans le cadre des MR actualisées, il n’est plus nécessaire d’obtenir l’autorisation de la CNIL pour collecter les données relatives à l’orientation sexuelle et au genre des participants des recherches. Toutefois, il reste nécessaire d’indiquer dans l’analyse d’impact à la protection des données (AIPD), la pertinence de la collecte de ces données sensibles au regard du principe de minimisation.
Extension du périmètre des MR
Les recherches se déroulant dans les pays à revenu faible ou intermédiaire (PRFI) pourront se conformer aux MR-001 et MR-003 dès lors que la réglementation locale est respectée et sous réserve de vérification des autres points lors l’instruction de l’analyse d’impact relative à la protection des données (AIPD), par le responsable de traitement/promoteur.
Ce point est d’importance pour l’ANRS MIE. Anciennement une recherche se déroulant dans un PRFI devait forcément faire l’objet d’une autorisation auprès de la CNIL. La démarche est désormais facilitée.
Accès élargi aux données directement identifiantes
De nouvelles catégories de professionnels (infirmiers, psychologues, coordonnateurs de santé…), peuvent dans le cadre des recherches, et ceci sous certaines conditions, accéder aux données de santé directement identifiantes.
Ces changements vont faciliter la mise en place de volets en sciences humaines et sociales de la santé dans les projets de l’ANRS MIE, ou encore, la réalisation de prélèvements à domicile dans le cadre d’essai clinique.
Contrôle qualité à distance
Les MR actualisées autorisent maintenant, sous certaines conditions, la réalisation de contrôles qualité à distance, une révolution pour les recherches décentralisées, comme les essais cliniques en télémédecine, par exemple. Cette mesure répond à la dématérialisation croissante des études, notamment depuis la pandémie de Covid-19.
Renforcement de la sécurité des données
Les MR-001 et MR-003 2026 intègrent une annexe portant sur la sécurité (MR-SEC), imposant des mesures renforcées pour protéger les données de santé, classées comme données sensibles au sens du Règlement général sur la protection des données (RGPD).
Les exigences techniques principales concernent le chiffrement des données, la journalisation (logging), la gestion des accès (principe du moindre privilège et authentification forte), des sauvegardes sécurisées et des tests d’intrusion.
En pratique, comment vérifier la conformité d’un projet de recherche ?
Si l’ANRS MIE est promoteur d’une recherche, il faut se rapprocher du chef de projet chargé de l’étude à l’ANRS MIE afin qu’il suive les procédures adéquates. L’AIPD reste obligatoire, au titre de l’article 35 du RGPD. Il est rappelé que tant qu’une conformité à une MR ou qu’une autorisation CNIL n’a pas été obtenue, les inclusions ou la collecte de données ne pourront débuter.
La CNIL a créé outils d’aide à la vérification vérifier en amont la conformité des projets de recherche par rapport aux référentiels :
- la grille de conformité « MR-001 », applicable aux recherches dans le domaine de la santé nécessitant le recueil du consentement en vue de la participation à la recherche ou pour la réalisation d’un acte spécifique ;
- la grille de conformité « MR-003 », applicable aux recherches dans le domaine de la santé ne nécessitant pas le recueil du consentement en vue de la participation à la recherche.
Ces grilles ne remplacent pas le circuit de relecture et d’instruction par les référentes DPO de l’ANRS MIE et la validation, lorsqu’elle est nécessaire, par la cellule DPO Inserm.
Quel est le calendrier d’application ?
L’ensemble des mesures décrites dans cette annexe devront être mises en œuvre pour les recherches initiées à compter du 23 mai 2026, dès lors que le responsable souhaite s’inscrire dans le cadre d’une déclaration de conformité. Pour les recherches en cours à cette date, les responsables de traitement sont invités à définir un plan d’actions visant la mise en œuvre de ces mesures dès que possible et au plus tard dans un délai d’un an (mai 2027).
Quels sont les bénéfices attendus pour l’ANRS MIE ?
Une projection a été réalisée sur la base des projets promus par l’Inserm ANRS MIE entre 2021 et 2025 pour évaluer les bénéfices des méthodologies de référence mises à jour.
Avec la mise à jour des MR, l’estimation montre que le nombre de demandes d’autorisation auprès de la CNIL pourrait diminuer de 30 %. On observe également une forte augmentation des conformités aux MR-001 et MR-003.