Début avril 2025, la Commission nationale de l’informatique et des libertés (« CNIL ») a publié un bilan pour l’année passée des demandes d’autorisation reçues pour des traitements de données en santé.
619 demandes d’autorisation ont été étudiées, ce qui représente une hausse de 20% par rapport à l’année 2023.
Pour mémoire, dans le cadre des traitements de données en santé, la CNIL a développé plusieurs méthodologies de référence (« MR ») permettant de simplifier les démarches pour les organismes traitant de telles données dans un cadre de recherche.
Ainsi, dès lors qu’un responsable de traitement réalise une recherche en conformité avec une méthodologie de référence, il n’est pas nécessaire de procéder à une demande d’autorisation auprès de la CNIL.
Les différentes MR disponibles couvrent déjà un large champ de recherche en santé. Sont ainsi couverts les recherches nécessitant le consentement, les investigations cliniques, recherche impliquant la personne humaine (RIPH) et les non RIPH, recherche fondée sur la réutilisation de données…
Le bilan publié par la CNIL concerne donc les traitements qui ne satisfont pas partiellement ou en totalité aux exigences des MR disponibles pour traiter les données de santé dans le cadre de leur recherche.
Sur l’ensemble des dossiers reçus, 65% des demandes ont fait l’objet d’une autorisation et seulement 3 dossiers ont fait l’objet d’un refus. Les motifs de refus portent principalement sur les mesures techniques et organisationnelles de sécurisation des données. Pseudonymisation, minimisation des données sont des principes qui ne sont pas toujours encore bien intégrés.
7% des dossiers ont été classés sans suite en raison soit de leur incomplétude, soit du fait que le traitement n’était finalement pas soumis à formalité préalable ou encore que le traitement était conforme à une MR et ne supposait donc pas d’autorisation spécifique.
Les délais d’instruction des demandes d’autorisation des projets de recherche ont été réduits avec une moyenne de 65 jours contre 73 en 2023. Un tiers des demandes ont été traitées en moins d’un mois.
La CNIL relève que les demandeurs préparent de mieux en mieux leur dossier de soumission, notamment en mettant en exergue les points qui s’écartent de la MR.
Afin d’améliorer encore davantage le traitement des dossiers, la CNIL indique qu’elle proposera un nouveau formulaire de demande d’autorisation au cours de l’année 2025.
En parallèle, notons que la CNIL est en train de revoir les méthodologies de références à la suite de la consultation publique du printemps 2024.
Vous êtes responsable de traitement et vous organisez des recherches en santé, faites le point sur la protection des données personnelles en santé et recherche lors de nos prochaines sessions de formation.