La Commission nationale de l’informatique et des libertés (CNIL) franchit une nouvelle étape dans l’encadrement des traitements de données de santé en recherche avec la publication de la délibération n° 2026-049 du 19 mars 2026, homologuant une annexe “sécurité” applicable aux méthodologies de référence (MR).
Cette évolution vise à harmoniser et à élever les exigences de sécurité applicables aux recherches utilisant des données à caractère personnel, dans un contexte de digitalisation croissante des pratiques et d’augmentation des cybermenaces.
Avec cette délibération, la CNIL met à disposition un référentiel unique de mesures de sécurité « à l’état de l’art », destiné à être annexé aux méthodologies de référence utilisées par les acteurs du secteur. Cette annexe devient une référence opérationnelle clé pour tout projet mené sous MR (promoteurs, CRO, établissements de santé, industriels).
Objectifs :
L’annexe “sécurité” regroupe un ensemble de mesures organisationnelles et techniques applicables aux traitements de données de santé mis en œuvre dans le cadre des recherches.
L’annexe couvre notamment :
Cette délibération s’inscrit dans une dynamique plus large :
La CNIL confirme ainsi sa stratégie d’industrialiser la conformité RGPD en matière de recherche en santé– tout en maintenant un haut niveau de protection des personnes.
La personne se prêtant à la recherche est identifiée au moyen d’un identifiant appelé « numéro d’inclusion », respectant les mesures de sécurité mentionnées dans la MR applicable et l’annexe.
Dès que le numéro d’inclusion n’est pas nécessaire pour les étapes de recherche, il est recommandé de mettre en place un code non signifiant à la place du numéro d’inclusion pour renforcer la sécurité des participants.
Même si la délibération ne crée pas le concept, elle s’inscrit dans une dynamique claire de la CNIL : faire de l’authentification multifacteur (MFA) un standard technique obligatoire pour les accès à des données sensibles, notamment en santé.
La MFA est considérée comme une mesure essentielle pour sécuriser les accès aux bases de données sensibles, en particulier à distance.
Rappel : une authentification est considérée comme forte lorsqu’elle fait intervenir a minima deux facteurs distincts parmi :
La CNIL insiste également sur :
Cette délibération confirme une évolution majeure :
La CNIL structure un référentiel de sécurité transverse pour la recherche en santé et rappelle le niveau d’exigence technique, notamment l’authentification forte.
Les acteurs doivent passer d’une logique déclarative à une logique de cybersécurité démontrable et documentée.
Elle concerne tous les acteurs mettant en œuvre des traitements de données de santé dans le cadre des MR, notamment :
Elle s’applique dès lors que la méthodologie de référence utilisée renvoie expressément à cette annexe.
Oui, indirectement.
Elle devient obligatoire dès lors qu’une méthodologie de référence y renvoie, ce qui est le cas des MR homologuées ou mises à jour.
En pratique, un responsable de traitement déclarant sa conformité à une MR s’engage à respecter l’ensemble des exigences de sécurité associées, y compris cette annexe.
Un numéro d’inclusion est un identifiant attribué à une personne au moment de son intégration dans une étude ou un protocole de recherche, en particulier dans le domaine de la santé.
Il permet d’identifier le participant au sein de l’étude, sans utiliser directement ses données d’identité.
Un code non signifiant permet de relier entre elles des données d’une même personne au sein de jeux de données pseudonymisées ou entre plusieurs jeux de données. Dès que le numéro d’inclusion n’est pas nécessaire pour les étapes de recherche, il est recommandé de mettre en place un code non signifiant à la place du numéro d’inclusion pour renforcer la sécurité des participants.
Ce code ne doit pas révéler d’information sur la personne concernée ou des identifiants préexistants liés à cette personne.