Le RGPD et la recherche médicale : maîtriser la protection des données de santé

Une PME industrielle qui collabore avec un laboratoire pharmaceutique, un CHU ou une start-up medtech découvre souvent tardivement qu’elle traite des données de santé au sens du RGPD. Ce constat change radicalement la manière de gérer un contrat, un logiciel ou même un simple tableau Excel partagé avec un partenaire clinique. La recherche médicale impose des règles bien plus strictes que le traitement classique de données clients ou salariés, car elle touche à des informations qualifiées de sensibles par le règlement européen. Entre formalités CNIL, obligations contractuelles et exigences de sécurité informatique, le chemin vers la conformité paraît long. Pourtant, une méthode claire et quelques réflexes suffisent à sécuriser la majorité des situations rencontrées en entreprise. Ce texte détaille les obligations concrètes, les formalités à accomplir selon le type de recherche, et les actions immédiates à mettre en place pour éviter les sanctions de la CNIL.

En bref :

• Les données de santé sont interdites de traitement par principe, sauf exceptions prévues à l’article 9 du RGPD.
• Toute recherche impliquant des données de santé, hors étude strictement interne, nécessite une formalité préalable auprès de la CNIL.
• Le consentement éclairé n’est pas toujours obligatoire, mais l’information des personnes concernées l’est presque systématiquement.
• Une analyse d’impact (AIPD) doit être réalisée avant tout traitement présentant un risque élevé.
• Les contrats avec les sous-traitants (hébergeurs, éditeurs de logiciels cliniques) doivent intégrer des clauses RGPD spécifiques.
• Une violation de données doit être notifiée à la CNIL dans un délai de 72 heures.

Qu’est-ce qu’une donnée de santé au sens du RGPD ?

Une donnée de santé désigne toute information relative à l’état physique ou mental d’une personne, passé, présent ou futur. Cela inclut les résultats d’analyses biologiques, les comptes-rendus médicaux, mais aussi des données moins évidentes comme le nombre de pas enregistrés par une montre connectée fournie par votre entreprise à ses salariés dans le cadre d’un programme de prévention santé. Une PME qui équipe ses opérateurs de capteurs de fatigue ou de rythme cardiaque manipule déjà, sans toujours le savoir, des données de santé au sens du RGPD.

L’article 9 du règlement classe ces informations parmi les catégories dites sensibles, dont le traitement est interdit par principe. Des exceptions existent, notamment pour la recherche scientifique menée dans l’intérêt public, mais elles s’accompagnent de garanties renforcées. Concrètement, votre société ne peut pas se contenter d’un accord verbal ou d’une case cochée dans un formulaire générique.

Prenez l’exemple d’une PME qui fournit des équipements de protection individuelle et mène, avec un laboratoire universitaire, une étude sur l’exposition professionnelle à certaines substances chimiques. Dès que des données médicales des salariés participants sont transmises au chercheur, le dispositif entre dans le champ des recherches en santé. Cette qualification change tout : formalités, durée de conservation, sécurité exigée.

Vérifiez dès aujourd’hui si un projet en cours dans votre structure implique la collecte, même partielle, d’informations médicales sur des salariés, clients ou participants à une étude.

Votre PME traite-t-elle vraiment des données de santé dans le cadre d’une recherche ?

Trois critères cumulatifs permettent de qualifier un traitement de recherche, étude ou évaluation dans le domaine de la santé selon la doctrine de la CNIL. Le projet doit répondre à une méthodologie scientifique reconnue, impliquer la collecte de données de santé, et poursuivre un questionnement lié au domaine médical ou paramédical. Si un seul de ces critères manque, le régime juridique applicable change.

Un entrepôt de données constitué pour de futurs projets de recherche n’entre pas automatiquement dans cette catégorie : il obéit à un régime distinct, tout comme une recherche scientifique qui ne nécessite aucune donnée médicale. Cette distinction évite à certaines PME de sur-qualifier leurs traitements et de s’imposer des formalités inutiles.

Un cabinet d’ingénierie qui collecte des données de productivité sur une chaîne de montage ne mène pas une recherche en santé, même si le sujet touche indirectement au bien-être des salariés. En revanche, si cette même étude intègre des mesures de stress physiologique ou des données issues de visites médicales, la qualification bascule immédiatement.

Pour trancher ce point, la consultation du guide de la CNIL sur les formalités applicables aux recherches en santé constitue un réflexe indispensable avant tout lancement de projet.

Le rôle du délégué à la protection des données, ou du service juridique en l’absence de DPO, devient central à ce stade. Il doit être associé dès la conception du projet, et non une fois les données déjà collectées.

Sollicitez votre DPO ou votre référent juridique dès la phase de cahier des charges, avant toute signature de convention de recherche avec un partenaire externe.

Les cas fréquents en PME industrielle

Les PME industrielles rencontrent ce type de situation lors de partenariats avec des écoles d’ingénieurs, des CHU ou des instituts de recherche technologique. Un fabricant de dispositifs médicaux qui teste un nouveau capteur sur des volontaires internes se trouve directement concerné par ces règles.

Une entreprise de services qui héberge des données pour un laboratoire clinique devient elle aussi actrice de la chaîne de conformité, même sans manipuler directement les informations médicales.

Quelles formalités CNIL devez-vous accomplir avant de lancer une étude ?

Une fois la qualification de recherche en santé confirmée, deux voies existent selon le degré de conformité à une méthodologie de référence, appelée MR. Si le projet respecte strictement une MR existante, une simple déclaration de conformité auprès de la CNIL suffit. Cette déclaration ne se renouvelle pas à chaque étude : elle vaut pour l’ensemble des traitements du même responsable entrant dans le champ de cette méthodologie.

Si le projet s’écarte de la méthodologie de référence, une demande d’autorisation détaillée doit être déposée. Elle doit préciser explicitement les points de non-conformité par rapport à la MR correspondante. Ce dossier prend du temps à constituer, alors anticipez ce délai dans votre planning de recherche.

Pour les recherches impliquant la personne humaine, l’autorisation ne peut être demandée qu’après avis d’un comité de protection des personnes. Pour les recherches n’impliquant pas la personne humaine, le dossier transite par la Plateforme des données de santé, qui sollicite ensuite un comité éthique et scientifique avant transmission à la CNIL.

Situation	Formalité requise	Interlocuteur principal
Recherche conforme à une méthodologie de référence (MR)	Déclaration de conformité	CNIL
Recherche non conforme à une MR, impliquant la personne humaine	Autorisation après avis d’un comité de protection des personnes	CPP puis CNIL
Recherche non conforme à une MR, sans implication de la personne humaine	Autorisation après avis du CESREES	Plateforme des données de santé puis CNIL
Accès à l’échantillon national du SNDS	Examen unique sous conditions cumulatives	Plateforme des données de santé

Dans tous les cas, deux obligations restent incontournables : l’inscription du traitement au registre des activités de traitement, et la réalisation d’une analyse d’impact avant le démarrage effectif du projet. Le guide pratique RGPD dans le domaine de la santé détaille précisément le contenu attendu de cette analyse d’impact.

Identifiez sans attendre la méthodologie de référence potentiellement applicable à votre projet, et vérifiez point par point les écarts avec votre pratique actuelle.

Faut-il obtenir le consentement éclairé de chaque patient ou participant ?

Le consentement éclairé n’est pas systématiquement la base légale retenue pour une recherche en santé. L’intérêt public de la recherche scientifique peut justifier le traitement sans consentement explicite, à condition que des garanties appropriées encadrent le dispositif. Cette nuance surprend souvent les dirigeants de PME, habitués à penser que toute donnée sensible exige un accord formel de la personne.

Dans la pratique, l’information des personnes concernées reste presque toujours obligatoire, même lorsque le consentement n’est pas la base légale choisie. Les participants doivent savoir qui traite leurs données, pour quelle finalité, pendant combien de temps, et avec qui elles sont partagées.

Un exemple concret : une PME qui organise une étude sur les troubles musculosquelettiques auprès de ses opérateurs doit remettre une notice d’information claire, même si elle s’appuie sur l’intérêt légitime de la recherche plutôt que sur un consentement individuel.

Cette information doit être rédigée en langage accessible, sans jargon juridique, et rappeler les droits d’accès, de rectification et d’opposition des personnes concernées. Le cadre juridique applicable aux données médicales précise les mentions minimales à intégrer dans ces notices.

Rédigez ou faites relire votre notice d’information par votre DPO avant tout envoi aux participants, qu’ils soient salariés, clients ou patients externes.

Les droits des personnes concernées en pratique

Les participants à une recherche conservent des droits actifs sur leurs données, même après leur collecte. Ils peuvent demander l’accès à leurs informations, leur rectification en cas d’erreur, ou dans certains cas leur effacement.

Une PME qui reçoit une telle demande dispose d’un délai d’un mois pour y répondre, délai qui peut être prolongé de deux mois supplémentaires en cas de complexité particulière.

Comment sécuriser les données de santé collectées pour la recherche ?

La sécurité informatique constitue un pilier incontournable de tout projet de recherche en santé. Le chiffrement des données au repos et en transit, le contrôle strict des accès, et la journalisation des consultations font partie des mesures minimales attendues par la CNIL. Une PME qui héberge elle-même des données de recherche sur un serveur local prend un risque disproportionné par rapport à ses moyens.

L’anonymisation ou la pseudonymisation des données figure parmi les techniques les plus efficaces pour réduire les risques. Une donnée anonymisée de manière irréversible sort même du champ d’application du RGPD, ce qui simplifie considérablement les obligations qui pèsent sur l’entreprise.

Attention toutefois à la confusion fréquente entre anonymisation et pseudonymisation. Remplacer un nom par un identifiant numérique ne suffit pas à anonymiser une donnée si un fichier de correspondance permet de retrouver l’identité réelle. Ce fichier doit alors être protégé avec le même niveau de rigueur que la donnée elle-même.

• Chiffrer systématiquement les bases contenant des données de santé, y compris les sauvegardes.
• Limiter les accès aux seules personnes habilitées par leur fonction dans le projet de recherche.
• Documenter chaque transfert de données vers un partenaire ou un sous-traitant.
• Prévoir une procédure de suppression définitive à l’issue de la durée de conservation prévue.
• Tester régulièrement la robustesse des mesures de sécurité mises en place.

Mettez en place, dès le lancement du projet, un chiffrement des bases de données et une liste nominative des accès autorisés, révisée trimestriellement.

Qui doit signer le contrat de sous-traitance et que doit-il contenir ?

Dès qu’une PME confie l’hébergement ou le traitement de données de santé à un prestataire externe, hébergeur cloud, éditeur de logiciel clinique ou société de statistiques, un contrat de sous-traitance devient obligatoire. Ce document doit détailler la nature du traitement, sa durée, les garanties de sécurité offertes, et les conditions de suppression des données en fin de contrat.

La responsabilité du sous-traitant est désormais directement engagée en cas de manquement, ce qui change la donne pour les PME qui pensaient auparavant reporter l’ensemble du risque juridique sur leur prestataire technique. Vérifiez systématiquement que votre hébergeur dispose d’une certification adaptée à l’hébergement de données de santé, condition quasi incontournable en France.

Un exemple révélateur : une entreprise industrielle qui confie l’analyse statistique d’une étude clinique à un cabinet externe doit vérifier que ce cabinet applique des mesures de sécurité équivalentes aux siennes, et non se contenter d’une clause générique copiée d’un modèle trouvé en ligne.

Le cadre applicable aux données sensibles dans la recherche médicale rappelle les clauses minimales à intégrer dans ces accords contractuels.

Passez en revue l’ensemble de vos contrats existants avec des prestataires manipulant des données de santé, et complétez-les si les clauses RGPD y font défaut.

Que se passe-t-il en cas de modification substantielle du projet de recherche ?

Un projet de recherche évolue rarement de manière figée entre son lancement et sa conclusion. Lorsqu’une modification porte sur les caractéristiques principales du traitement, changement de finalité, extension du périmètre des données collectées, nouvel accès pour un partenaire, cette évolution est qualifiée de substantielle et peut nécessiter une nouvelle autorisation de la CNIL.

Une PME qui décide, en cours d’étude, d’élargir son échantillon à une nouvelle catégorie de participants ou d’ajouter un nouveau type de donnée médicale doit réévaluer la conformité de son dossier initial. Ignorer cette étape expose l’entreprise à un traitement non couvert par l’autorisation obtenue.

À l’inverse, une modification mineure, comme un ajustement de calendrier sans impact sur les données traitées, ne déclenche généralement pas de nouvelle formalité. La frontière entre les deux situations reste néanmoins délicate à tracer sans accompagnement spécialisé.

Documentez chaque évolution du projet dans un journal de suivi, et soumettez toute modification significative à votre DPO avant sa mise en œuvre effective.

Quelles sanctions risquez-vous en cas de non-conformité ?

Le non-respect des obligations liées aux données de santé expose une entreprise à des sanctions financières lourdes, pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel, selon le montant le plus élevé. Au-delà de l’amende, le préjudice réputationnel peut fragiliser durablement les relations avec les partenaires de recherche et les autorités sanitaires.

La CNIL mène régulièrement des contrôles ciblés sur le secteur de la santé, en raison de la sensibilité particulière des données concernées. Une PME qui collabore avec un établissement de soin ou un laboratoire pharmaceutique peut être auditée indirectement, dans le cadre d’un contrôle visant son partenaire principal.

En cas de violation de données, la notification à la CNIL doit intervenir dans un délai de 72 heures suivant la découverte de l’incident. Si le risque pour les droits des personnes concernées est élevé, ces dernières doivent également être informées individuellement.

Le guide sur les enjeux du RGPD appliqué aux données médicales détaille les procédures à suivre en cas d’incident de sécurité touchant des données de santé.

Préparez dès maintenant une procédure interne de gestion des violations de données, avec des rôles clairement attribués et un modèle de notification prérempli.

Une PME doit-elle nommer un DPO pour une recherche en santé ?

La désignation d’un délégué à la protection des données devient obligatoire lorsque l’entreprise traite des données de santé à grande échelle. En dessous de ce seuil, il reste vivement recommandé de désigner un référent interne pour piloter la conformité du projet.

Le RGPD interdit-il totalement le partage de données de santé entre partenaires de recherche ?

Non, ce partage reste possible sous réserve d’un contrat encadrant précisément les rôles de chaque partie, les finalités autorisées et les mesures de sécurité appliquées par chaque acteur de la chaîne.

Combien de temps peut-on conserver des données de santé issues d’une recherche ?

La durée de conservation dépend de la finalité du projet et doit être fixée dès la conception du traitement. Elle figure obligatoirement dans le registre des activités de traitement et dans la notice d’information remise aux participants.

Une étude interne à l’entreprise échappe-t-elle aux formalités CNIL ?

Les études qualifiées de strictement internes bénéficient d’un régime allégé, mais cette qualification reste encadrée et doit être vérifiée avec précision avant de s’en affranchir totalement.

Que faire en priorité si l’on découvre un traitement non conforme en cours ?

Il faut immédiatement solliciter le DPO ou le service juridique, documenter le traitement existant, puis engager une mise en conformité rétroactive incluant, si nécessaire, une déclaration à la CNIL.