Est parue au journal officiel du 27 mai 2026, la loi n° 2026-403 du 26 mai 2026 de simplification de la vie économique. Cette loi a fait l’objet d’une décision du Conseil constitutionnel du 21 mai 2026. Si plusieurs dispositions ont été censurées, le Titre IX « Simplifier pour innover », pilier central pour les acteurs de la recherche en santé a été intégralement préservé.
Loin d’une dérégulation, ce texte opère une rationalisation très attendue par les promoteurs, les investigateurs et les industriels.
Son objectif : rendre la recherche en santé plus opérable. La loi allège les circuits logistiques et rapproche la recherche du patient. Plusieurs formalités relatives aux données de santé sont simplifiées, en maintenant les exigences de protection des personnes, d’avis éthique, de sécurité ou de conformité réglementaire.
Certains articles du Code de la santé publique et de la loi informatique et liberté (« LIL ») sont réécrits pour permettre une mise en œuvre plus fluide des recherches, investigations cliniques et études de performances, tout en réaffirmant expressément le respect du RGPD et de la LIL.
L’organisation de recherche hors du lieu traditionnel de recherche est intégrée. Ainsi, le lieu peut être un lieu de soins, un autre lieu d’exercice des professionnels de santé, le domicile du patient, ou encore un lieu de proximité nécessaire au parcours de la personne dans la recherche. Cette évolution s’applique également pour les investigations cliniques de dispositifs médicaux (« DM ») et les études de performances des dispositifs médicaux de diagnostic in vitro (« DMDIV »).
Le législateur offre ainsi une assise juridique solide aux essais et études qui ne justifient pas toujours le déplacement systématique du participant dans un centre investigateur classique.
Dans la même veine, est introduit la notion de « territoire de recherche », défini comme un regroupement coordonné d’acteurs agissant, dans le cadre de recherches en santé, selon une stratégie conventionnelle commune. La formule volontairement souple offre une base juridique à des organisations plus intégrées entre établissements, professionnels, centres investigateurs et acteurs d’un même bassin de prise en charge.
Le territoire de recherche permet ainsi de mieux formaliser les coopérations, de répartir les rôles et de structurer des parcours de recherche au plus près des patients.
La loi prévoit que, certaines composantes du contrôle ou de l’assurance qualité peuvent être réalisées à distance, sous réserve du respect du RGPD et de la LIL. Cette faculté est prévue pour les recherches impliquant la personne humaine, mais aussi pour les investigations cliniques et les études de performance. Cette évolution vise notamment les pratiques de monitoring à distance, de revue documentaire dématérialisée, de contrôle des données ou d’audit hybride.
En pratique le législateur entérine des modalités de suivi déjà utilisées par les acteurs. Ces modalités de contrôle à distance restaient parfois inconfortables juridiquement, notamment lorsqu’elles impliquaient l’accès à des données directement ou indirectement identifiantes.
Le texte prévoit par ailleurs, pour les essais cliniques de médicaments, que l’ANSM édicte des recommandations de bonnes pratiques conformes au règlement (UE) 536/2014 du Parlement européen et du Conseil du 16 avril 2014 relatif aux essais cliniques de médicaments à usage humain.
La loi prévoit également que certaines demandes d’autorisation relatives à des études, évaluations et recherches n’impliquant pas la personne humaine, lorsqu’elles ont reçu un avis favorable d’un comité scientifique et éthique local, pourront être dispensées de l’avis préalable du comité scientifique et éthique national compétent, dans des conditions fixées par décret en Conseil d’Etat.
La composition, la désignation des membres et le fonctionnement des comités locaux devront respecter un cahier des charges national arrêté par les ministres chargés de la santé et de la recherche, après avis du comité national compétent et de la CNIL. L’objectif est donc de raccourcir les circuits d’instructions pour certaines recherches sur données ou évaluations, tout en évitant une dérégulation complète grâce à un cahier des charges national.
L’article L. 5126-5 du Code de la santé publique prévoit qu’une PUI, sous réserve d’une convention, peut approvisionner en médicaments et dispositifs médicaux ou autres produits de santé le lieu de réalisation d’une recherche à finalité non commerciale. Un modèle de convention et les modalités de mise en œuvre seront définis par voie réglementaires. Il est également prévu la possibilité de dispensation au domicile des participants par la PUI, si cette modalité est prévue dans le protocole de recherche.
Import/export de sang, tissus, cellules et dérivés : l’autorisation de recherche peut valoir autorisation d’import/export
Certaines recherches, essais cliniques, investigations cliniques ou études de performance, nécessitaient l’import/export du sang, ses composants ou produits dérivés, qui faisaient l’objet d’une autorisation spécifique auprès du ministère de l’Enseignement supérieur et de la Recherche (via le téléservice CODECOH) . Dorénavant, l’autorisation de la recherche vaut autorisation d’import/export pour les échantillons biologiques rattachés à l’étude.
Il est en de même, pour les tissus, cellules et dérivés issus du corps humain.
La loi crée une commission spécialisée de la HAS chargée de l’évaluation, en vue du remboursement ou de la prise en charge par l’assurance maladie, de certains actes et produits à visée diagnostique, pronostique ou prédictive.
Jusqu’à présent, l’évaluation des technologies de santé prédictives (comme les logiciels d’intelligence artificielle médicale ou les tests compagnons) peinait à s’intégrer dans les grilles classiques de la HAS, originellement pensées pour démontrer un bénéfice clinique curatif direct. Cette commission dédiée offre enfin un parcours d’évaluation sur-mesure pour la médecine personnalisée.
Un nouvel article L. 1470-5-1 du Code de la santé publique impose à l’éditeur d’un service numérique en santé ayant pour objet la gestion des dossiers médiaux des patients d’un professionnel de santé, d’assurer, en cas de changement d’éditeur, le transfert de l’ensemble des données pour lesquelles le professionnel est responsable de traitement.
Un décret devra fixer le montant maximal des frais pouvant être facturés, le délai de remise des données et le régime de sanctions. Les modalités techniques seront définies par un référentiel d’interopérabilité, de sécurité et d’éthique.
La loi n°2026-403 fait entrer la recherche française dans l’ère de l’agilité. Plus territorialisée, plus numérique et recentrée sur le patient, elle transfère cependant la charge de la sécurité juridique vers le promoteur. Le respect des référentiels devient le corollaire indispensable de ces nouvelles libertés d’action.
La nouvelle loi modifie l’article 22-1 de la loi informatique et libertés relatif à la procédure de sanction simplifiée de la CNIL. Désormais, lorsque le chiffre d’affaires annuel mondial du responsable de traitement dépasse 50 millions d’euros, les plafonds des sanctions dans le cadre de cette procédure sont portés à 100 000 euros d’amende au lieu de 20 000 euros actuellement et 500 euros d’astreinte journalière.
Cette procédure simplifiée a été créée pour permettre à la CNIL de traiter rapidement et de manière fluide les dossiers ne présentant pas de difficultés juridiques majeures. Avec ce relèvement des plafonds, la CNIL se dote d’une arme de dissuasion rapide vis à vis des grands acteurs.
Un nouveau rôle d’accompagnement de la CNIL est consacré. La Commission a désormais pour mission de veiller à promouvoir une innovation respectueuse de la vie privée. La loi impose d’intégrer dans le mandat de la CNIL « la prise en compte des enjeux d’innovation associés aux traitements de données à caractère personnel, notamment en matière d’algorithmes et d’intelligence artificielle.
Aussi, la CNIL est désormais légalement compétente pour mettre en place des programmes d’accompagnement des responsables de traitement.
Cela signifie que certaines opérations de suivi d’une recherche pourront être réalisées sans présence physique sur site, à condition de respecter le RGPD et la LIL. Cela consacre les pratiques de monitoring à distance, de revue documentaire dématérialisée ou d’audit hybride sous réserve de garanties fortes : sécurité, traçabilité, confidentialité, accès limité, etc. Le texte autorise simplement des modalités plus souples.
Ces mesures de simplification sont entrées en vigueur immédiatement après la publication de la loi, soit le 28 mai 2026. A compter de cette date, si la recherche clinique est autorisée, les demandes préalables d’autorisation import/export (via CODECOH) qui étaient en cours d’instruction pour cette recherche deviennent sans objet. Il sera alors possible de procéder aux transferts d’échantillons sur la seule base de l’autorisation de la recherche.
Ce n’est pas une obligation rétroactive. Pour tout essai multicentrique impliquant la médecine de ville ou des soins à domicile, il est recommandé de rédiger un avenant pour qualifier le consortium de « territoire de recherche », ce qui permettra de mieux répartir et sécuriser les responsabilités juridiques entre l’hôpital et les acteurs libéraux.
Le CESREES est le comité éthique qui intervient, sur certaines études, évaluations et recherches n’impliquant la personne humaine. Un avis favorable d’un comité scientifique et éthique local pourra dispenser de l’avis préalable du CESREES, dans des conditions qui devront encore être précisées par décret et cahier des charges.
Une recherche n’impliquant pas la personne humaine est une recherche qui ne comporte pas d’intervention sur les personnes concernées. Elle peut notamment consister en une étude sur des données déjà collectées, dossiers médicaux, registres ou entrepôts de données.
La procédure simplifiée est une procédure permettant à la CNIL de traiter plus rapidement certains dossiers « simples », c’est-à-dire ceux qui ne présentent pas de difficultés juridiques ou factuelles particuliers. Cela peut notamment viser des manquements relativement simples à constater, des obligations déjà bien établies ou des situations dans lesquelles la doctrine CNIL est claire.
Oui, mais de manière très ciblée. La loi ne modifie pas les plafonds de sanctions issus du RGPD. Elle relève les plafonds applicables dans la procédure de sanction simplifiée pour les responsables de traitement dont le chiffre d’affaires annuel dépasse 50 millions d’euros.
Le cabinet est à votre disposition pour répondre à vos questions et vous accompagner sur le sujet.