RGPD recherche scientifique : consentement, santé

Mis à jour le 7 octobre 2026.

La question qui bloque un protocole n'est pas de savoir si le règlement s'applique — il s'applique dès qu'une variable permet de remonter à une personne — mais de savoir quelle formalité précède la première extraction, et quelles garanties le dossier doit écrire noir sur blanc. Avant le lancement d'un projet de recherche, le responsable de traitement arrête sa base légale et les garanties exigées par l'article 89.1 du RGPD, dont la minimisation et la pseudonymisation. Elle sépare deux régimes que les contenus généralistes confondent : hors santé, l'absence de formalité préalable est le principe et la saisine de la CNIL l'exception ; en santé, la formalité préalable est la règle. Pour le socle commun à tout organisme, le guide RGPD pour TPE et PME adossé aux référentiels CNIL et ANSSI pose les bases.

• Ce que le RGPD autorise pour la recherche : traitement ultérieur (article 5.1.b) et données sensibles (article 9.2.j)
• Recherche hors santé et données sensibles
• Recherche en santé : méthodologie de référence ou autorisation
• Les garanties de l'article 89.1 : minimisation et pseudonymisation à documenter
• Quel régime pour quel type de recherche

Ce que le RGPD autorise pour la recherche : article 89, article 9.2 et réutilisation des données déjà collectées

Le RGPD autorise la recherche scientifique sur données personnelles, y compris sensibles, sous réserve des garanties appropriées de l'article 89.

L'article 89 du RGPD impose des mesures techniques et organisationnelles garantissant le respect du principe de minimisation, et cite expressément la pseudonymisation. L'article 5.1.b dispose que le traitement ultérieur à des fins de recherche scientifique n'est pas considéré comme incompatible avec les finalités initiales, conformément à l'article 89.1. Les données sensibles relèvent des exceptions de l'article 9.2.

• Périmètre large : le considérant 159 du RGPD couvre la recherche fondamentale, appliquée et financée par le privé : un laboratoire industriel relève du même régime qu'une unité universitaire.
• Réutilisation : des données collectées pour une gestion administrative ou un soin peuvent alimenter une recherche sans nouvelle finalité incompatible, à condition d'appliquer les garanties de l'article 89.1.
• Données sensibles : le consentement explicite (9.2.a) et la recherche scientifique prévue par le droit de l'Union ou d'un État membre (9.2.j) lèvent l'interdiction de principe de l'article 9.1.
• Consentement à un domaine : le considérant 33 admet, lorsque la finalité ne peut être entièrement cernée à la collecte, un consentement à certains domaines de recherche dans le respect des règles éthiques.

Recherche scientifique hors santé : quelle base légale pour des données sensibles

Hors santé, aucune formalité préalable n'est exigée, sauf dans le cas précis visé par l'article 44 de la loi 78-17.

Une recherche hors santé portant sur des données sensibles s'appuie sur le consentement explicite (article 9.2.a) ou sur la recherche d'intérêt public (article 9.2.j). L'avis motivé de la CNIL prévu à l'article 44 de la loi n° 78-17 modifiée concerne le traitement de données sensibles nécessaire à une recherche scientifique publique, lorsque le motif d'intérêt public important est caractérisé. La base légale d'un traitement de recherche s'analyse comme celle de tout autre traitement : selon l'article 5.1.b du RGPD, le traitement ultérieur à des fins de recherche scientifique n'est pas considéré comme incompatible avec les finalités initiales, conformément à l'article 89, paragraphe 1, une logique que l'on retrouve dans notre analyse des bases légales applicables aux traitements de ressources humaines.

Avec consentement explicite des participants à l'étude : aucune formalité préalable auprès de la CNIL

Le consentement explicite recueilli auprès de chaque participant fonde à la fois la licéité du traitement (article 6.1.a) et la levée de l'interdiction de traiter des données sensibles (article 9.2.a). Aucune démarche préalable n'est à accomplir auprès de la CNIL : le responsable de traitement documente ses choix et les tient à disposition. Une enquête en sciences sociales portant sur les convictions religieuses ou l'origine ethnique des répondants, assortie d'un formulaire de consentement éclairé, entre dans ce cas.

Le consentement doit être libre, spécifique, éclairé, univoque, et sa preuve conservée. Son retrait à tout moment doit être aussi simple que son recueil, et la procédure de retrait prévue dans le protocole, pas improvisée en cours d'étude. La CNIL détaille ces attentes dans sa fiche « Recherche scientifique (hors santé) ». Dernier point, structurant pour les promoteurs : l'autorisation d'un essai clinique de médicament, délivrée selon le règlement (UE) 536/2014 via le portail CTIS, ne vaut pas conformité « données ». Les deux dossiers sont distincts et se mènent en parallèle.

Sans consentement : les trois conditions cumulatives de l'article 44 de la loi 78-17 et l'avis de la CNIL

La saisine de la CNIL pour avis motivé se fonde sur l'article 44 de la loi n° 78-17 du 6 janvier 1978 modifiée, qui vise le traitement de données sensibles nécessaire à une recherche scientifique publique lorsque le motif d'intérêt public important est caractérisé :

• Recherche publique : le traitement est nécessaire à une recherche scientifique publique au sens du code de la recherche.
• Données sensibles : il porte sur des données relevant de l'article 9 du RGPD.
• Intérêt public important : le motif d'intérêt public important est caractérisé et démontré dans le dossier.

L'une des trois manque, l'article 44 ne s'applique pas : un acteur privé qui ne peut se prévaloir de la recherche publique sécurise une autre exception de l'article 9.2, à défaut de quoi le traitement reste interdit. Une université qui exploite des données administratives ethniques pour mesurer des inégalités socio-économiques, sans consentement individuel, relève du régime de l'article 44 ; l'avis de la CNIL précède le lancement du traitement, il ne le régularise pas après coup. Avant toute réutilisation de données déjà collectées par une administration locale, la licéité de la collecte d'origine se vérifie et les garanties de l'article 89.1 du RGPD s'appliquent, à savoir des mesures techniques et organisationnelles assurant le respect de la minimisation, dont la pseudonymisation ; le cadre applicable à ces organismes est présenté dans notre page sur les obligations RGPD des collectivités territoriales. Hors santé, il n'existe pas de méthodologie de référence équivalente à celles du secteur sanitaire : la responsabilisation du chercheur prime.

Recherche en santé : méthodologie de référence CNIL ou autorisation avant le début du traitement

Une recherche en santé se déclare conforme à une méthodologie de référence de la CNIL ou obtient une autorisation de la CNIL avant le début du traitement.

Le chapitre de la loi 78-17 consacré aux traitements de données de santé à des fins de recherche, d'étude ou d'évaluation s'ouvre à l'article 65, qui délimite le champ du régime et énonce les traitements qui en sont exclus. Hors du périmètre d'une méthodologie, la demande d'autorisation devient la voie unique.

Choisir et déclarer la conformité à une méthodologie de référence (MR-001 à MR-008, dont la MR-004)

Une méthodologie de référence est un cadre pré-approuvé : le responsable de traitement s'engage par une déclaration de conformité déposée en ligne, et aucune autorisation individuelle n'est requise. Le choix se fait sur le périmètre du projet, jamais sur son thème : recherche impliquant ou non la personne humaine, recueil ou non du consentement, réutilisation de données existantes, appariement avec une base. La conformité doit être totale ; un seul aménagement fait basculer le dossier en demande d'autorisation.

La numérotation et le périmètre exact de chaque méthodologie en vigueur se relèvent sur cnil.fr avant d'engager la déclaration.

Demander une autorisation CNIL : projets hors MR et entrepôt de données de santé

La demande d'autorisation s'impose dès que le projet s'écarte, sur un seul point, des exigences d'une méthodologie de référence : durée de conservation supérieure, variable supplémentaire, appariement non prévu, destinataire hors périmètre, transfert hors Union européenne. Les demandes portant sur des données de santé à des fins de recherche sont instruites après avis du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES), préalablement à la décision de la CNIL : le calendrier du projet intègre deux instructions successives, pas une.

La constitution d'un entrepôt de données de santé suit la même logique, avec un objet distinct : l'entrepôt est un contenant conçu pour des réutilisations futures, autorisé pour lui-même, indépendamment de chaque étude qu'il alimentera ensuite. Il se déclare conforme au référentiel que la CNIL a adopté pour ces entrepôts ou fait l'objet d'une autorisation. L'accès aux données du Système national des données de santé obéit à une procédure propre, assortie d'un référentiel de sécurité spécifique.

Les traitements dispensés de formalité au titre de l'article 65 de la loi 78-17

L'article 65 délimite le champ du régime des recherches, études et évaluations dans le domaine de la santé et énonce les traitements qui en sont exclus. Deux familles sortent du régime : les traitements mis en œuvre pour la prise en charge des personnes — prévention, diagnostic, soins, suivi social et médico-social — et ceux qui servent la gestion administrative de l'activité d'un établissement. Un professionnel de santé qui exploite les données de ses propres patients pour évaluer ses pratiques ne conduit pas, au sens de ce chapitre, une recherche soumise à formalité.

Sortir du régime des formalités ne signifie pas sortir du RGPD. Un traitement dispensé reste soumis à la base légale, à l'information des personnes, à la sécurité, au registre de l'article 30 et, le cas échéant, à l'analyse d'impact. L'erreur coûteuse consiste à traiter la dispense comme une exonération générale, puis à élargir le périmètre en cours de route : dès qu'un résultat est destiné à la production de connaissance au-delà du cercle de prise en charge, le projet rebascule dans le régime recherche et sa formalité. La liste exacte des exclusions se relève dans la rédaction en vigueur sur legifrance.gouv.fr avant de conclure à une dispense.

Les garanties appropriées de l'article 89 à documenter dans tout projet de recherche

L'article 89.1 exige des garanties écrites, pas des intentions : minimisation, pseudonymisation, sécurité, information et durée bornée.

Ces garanties conditionnent l'application du régime dérogatoire : sans elles, ni la compatibilité de l'article 5.1.b, ni l'exception de l'article 9.2.j ne tiennent. Le registre de l'article 30 décrit le traitement et répartit les rôles. Six chantiers composent le dossier :

• Finalité et minimisation : un protocole écrit, des variables justifiées une à une.
• Sécurité : cloisonnement, journalisation, chiffrement, hébergement certifié quand il s'impose.
• Analyse d'impact : conduite avant le début du traitement quand l'article 35 l'exige.
• Information et droits : notice aux participants, dérogations limitées et fondées sur un texte.
• Gouvernance : qualification écrite du promoteur, de l'investigateur et des sous-traitants.
• Sort des données : durée bornée et décision de fin d'étude prise dès le protocole.

Finalité déterminée et minimisation : ne collecter que les variables utiles au protocole

La finalité d'une recherche se formule par sa question scientifique, pas par son domaine : « étudier les déterminants sociaux de l'absentéisme dans les établissements X entre 2024 et 2026 » est une finalité déterminée ; « améliorer la connaissance des publics » n'en est pas une. De cette formulation découle la minimisation, que l'article 89.1 érige en garantie expresse : chaque variable collectée répond à une hypothèse du protocole, et celles qui « pourraient servir plus tard » en sortent.

Trois arbitrages se tranchent au moment du protocole, pas en cours d'analyse : le niveau de granularité (date de naissance ou année, commune ou département), la taille de l'échantillon nécessaire à la puissance statistique recherchée, et la nécessité de conserver des identifiants directs. Un jeu de données sur-collecté fragilise deux fois : il augmente le risque de réidentification et il affaiblit la démonstration de proportionnalité attendue par la CNIL dans une demande d'autorisation, qui s'apprécie variable par variable.

Sécurité, pseudonymisation et anonymisation des données de recherche

Les mesures de sécurité attendues d'une plateforme de recherche sont celles du guide d'hygiène informatique de l'ANSSI : gestion nominative des accès, cloisonnement des environnements, journalisation, chiffrement des supports et des échanges, sauvegardes testées. L'hébergement de données de santé recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social impose le recours à un hébergeur certifié au titre du référentiel HDS de l'Agence du numérique en santé : c'est une exigence à imposer contractuellement au prestataire, au titre de l'article 28 du RGPD.

Un jeu de données pseudonymisé reste une donnée personnelle et reste dans le champ du RGPD. L'anonymisation, elle, fait sortir le jeu du champ du règlement — à condition de résister aux trois critères de l'avis 05/2014 du G29 sur les techniques d'anonymisation :

• Individualisation : impossible d'isoler un individu dans le jeu.
• Corrélation : impossible de relier deux enregistrements se rapportant à la même personne.
• Inférence : impossible de déduire une information sur une personne.

La confusion entre les deux notions a déjà coûté une sanction prononcée par la formation restreinte de la CNIL ; elle est traitée en détail dans notre analyse de ce que la sanction IQVIA révèle sur la frontière entre pseudonymisation et anonymisation.

AIPD : quand l'analyse d'impact s'impose avant le lancement de l'étude

Une recherche figurant dans la liste de la CNIL des types de traitement soumis à analyse d'impact fait l'objet d'une AIPD avant le début du traitement. L'article 35.3 du RGPD vise notamment le traitement à grande échelle de données sensibles, et la liste des traitements pour lesquels une AIPD est requise cite des traitements de données de santé mis en œuvre par des établissements de santé ou médico-sociaux.

Deux configurations de recherche déclenchent l'analyse presque mécaniquement : la constitution d'un entrepôt destiné à des réutilisations multiples, et l'appariement de bases d'origines différentes, qui crée un croisement que les personnes n'ont pas anticipé. L'AIPD n'est pas un formulaire de fin de projet : elle sert à arbitrer, avant la première extraction, le niveau de granularité retenu, les mesures de sécurité et la durée de conservation. Menée après le lancement, elle ne documente plus un choix, elle justifie un fait accompli — et une AIPD concluant à un risque résiduel élevé impose la consultation préalable de la CNIL au titre de l'article 36.

Information des participants et dérogations aux droits admises en recherche

L'information des personnes est due même lorsque le consentement n'est pas la base légale. Elle porte sur la finalité de la recherche, la base légale, les catégories de données, les destinataires, la durée de conservation, les droits et leurs limites, l'identité du délégué. L'article 14.5.b du RGPD permet de s'en dispenser lorsque la fourniture de l'information se révèle impossible ou exige des efforts disproportionnés, en particulier pour un traitement à des fins de recherche scientifique, sous réserve des garanties de l'article 89.1 — une information collective, publiée sur le site de l'organisme, reste alors attendue.

Les dérogations aux droits ne se présument pas : l'article 89.2 renvoie au droit de l'Union ou national, et les lignes directrices 03/2020 du Comité européen de la protection des données rappellent qu'une limitation suppose une base en droit national. Le règlement lui-même pose deux limites utiles au chercheur : l'article 17.3.d écarte le droit à l'effacement lorsqu'il risque de rendre impossible ou d'entraver sérieusement la réalisation des objectifs de la recherche, et l'article 21.6 encadre le droit d'opposition. Aucune de ces limites ne vaut blanc-seing : chacune s'apprécie demande par demande et se motive par écrit.

Registre, gouvernance interne et répartition des rôles entre promoteur, investigateur et sous-traitant

Un projet de recherche s'inscrit au registre des activités de traitement avant de commencer, pas après. Sur nos missions, l'analyse des besoins d'analyse d'impact constitue une étape à part entière, conduite après la construction du registre et avant la mise en œuvre des procédures ; l'AIPD figure ensuite parmi les livrables du suivi, au même titre que le rapport annuel du délégué, bâti sur les huit axes d'évaluation de la CNIL. Depuis 2020, SILEXO a accompagné plus de 150 organismes jusqu'à la conformité (chiffre cumulé arrêté à septembre 2026).

La qualification des acteurs s'écrit avant le premier transfert de fichier : qui est responsable de traitement, qui est responsable conjoint, qui est sous-traitant au sens de l'article 28. Un promoteur qui définit les finalités et les moyens de l'étude est responsable de traitement ; un centre investigateur peut être sous-traitant ou responsable conjoint selon son autonomie réelle ; un prestataire de saisie ou d'hébergement agit sur instruction documentée. Un consortium multi-sites gagne à formaliser cette répartition dans un accord écrit, éventuellement structuré par un système de management de la vie privée de type ISO/IEC 27701. Un responsable de traitement privé inscrit lui aussi son projet de recherche à son registre avant qu'il ne commence, selon notre méthode ; le registre d'un secteur donné est présenté dans notre page sur les obligations et le registre d'un courtier en assurance. Deux écueils ruinent les dossiers : croire un jeu pseudonymisé hors RGPD, et lancer l'étude avant l'AIPD. Les deux se neutralisent en amont, en cadrant le projet de recherche avec un accompagnement à la mise en conformité.

Durée de conservation et sort des données à la fin de l'étude : archivage, destruction, réutilisation

La durée de conservation se fixe par phase, pas pour « la durée du projet » : phase active de l'étude, phase d'archivage intermédiaire à accès restreint, puis sort final. Chaque durée retenue figure au registre et dans l'information des participants. La table de correspondance entre identifiants directs et codes d'étude suit un sort distinct du jeu d'analyse : elle est conservée séparément, avec des accès plus restreints, et sa suppression constitue une décision à part entière.

Trois issues existent en fin d'étude, à arbitrer variable par variable : la destruction, l'anonymisation — qui permet une conservation sans limite de durée, une fois les trois critères de réidentification écartés — et l'archivage, justifié par une obligation réglementaire ou par un besoin de reproductibilité scientifique. Un organisme public vérifie ses obligations d'archivage public avant toute élimination : détruire un fonds soumis à versement constitue une faute distincte du RGPD. La réutilisation du jeu pour une nouvelle question de recherche n'est pas un prolongement automatique de l'autorisation initiale : elle se vérifie au regard du périmètre déclaré, et un écart appelle une nouvelle formalité.

Quel régime pour quel type de recherche : le choix en trois questions

Trois questions suffisent à déterminer la formalité : données de santé ou non, données sensibles ou non, consentement explicite ou non.

Chaque ligne du tableau correspond à un cas traité dans cette page. Les références se vérifient à la source avant dépôt d'un dossier : la rédaction en vigueur des articles 44 et 65 de la loi 78-17 sur legifrance.gouv.fr, la liste des méthodologies de référence sur cnil.fr.

L'arbre de décision tient en trois décisions prises dans l'ordre. Première décision : le projet touche-t-il à des données de santé ? Si oui, la formalité préalable est la règle, et le travail consiste à vérifier si le projet entre intégralement dans le périmètre d'une méthodologie de référence. Deuxième décision : hors santé, le projet traite-t-il des données de l'article 9 ? Si non, aucune formalité et un dossier d'accountability soigné. Troisième décision : sur des données sensibles, le consentement explicite est-il recueilli ? Son absence ouvre la voie de l'article 44, réservée à la recherche publique assortie d'un motif d'intérêt public important. Chaque réponse se traduit en pièces écrites : protocole, registre, AIPD, notice d'information, durées de conservation. C'est ce dossier, et non la déclaration elle-même, que la CNIL examine en cas de contrôle.

Le logiciel RGPD du DPO

Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.

Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.

En savoir plus