Laboratoire ou start-up de santé : le cadre change-t-il l’outil ?
Pour qui : Vous travaillez dans un laboratoire, une société de biotechnologie, une start-up de santé ou chez un promoteur d’études. Vous devez lancer une recherche ou réutiliser des données de santé, et quelqu’un propose de commencer par un logiciel RGPD.
Oui. Pour une recherche en santé, la première décision porte sur le cadre : étude interne, méthodologie de référence ou autorisation de la CNIL. Rien de cela ne dépend d’un logiciel. Si votre recherche est conforme en tout point à une méthodologie, une déclaration de conformité suffit. Si elle ne l’est pas, vous déposez une demande d’autorisation.
Un outil se discute ensuite, pour suivre vos études, vos analyses d’impact et vos preuves. Une offre spécialisée se compare comme un service, sur les personnes et le temps assuré.
Notre avis
Oui, le cadre change l’ordre. Identifiez d’abord votre méthodologie de référence et, à défaut, l’autorisation à demander. Aucun logiciel ne fait ce rattachement à votre place : il suit ensuite vos études et leurs preuves.
Pourquoi
- Selon la CNIL, une recherche conforme en tout point à une méthodologie de référence demande une déclaration de conformité ; sinon, une demande d’autorisation. La question est juridique avant d’être logicielle.
- La CNIL met à disposition, au moins pour la MR 001, une version annotée et une grille de conformité : commencez par ces documents gratuits.
- La MR 004 demande de désigner un délégué et de tenir au registre la liste des recherches : le besoin réel est un suivi par étude, qu’un fichier peut couvrir au départ.
- Le service compte ici plus que le logiciel : une plateforme fournie avec un délégué externe, comme le déclare MyData-TRUST pour DPCanvas, s’évalue d’abord sur les personnes.
Ce qui change le choix
Plusieurs études en parallèle, plusieurs pays ou plusieurs promoteurs : le suivi devient une vraie tâche et un outil se justifie. Si vous ne menez aucune recherche et que vos données servent seulement aux soins, ce cadre ne s’applique pas : voyez la page sur les établissements de santé ou celle sur les cabinets.
L’ordre à suivre
- Vérifiez si votre traitement est une recherche, une étude interne ou le soin.
- Rattachez-le à une méthodologie de référence ou à un référentiel.
- Conforme en tout point : déclaration de conformité. Sinon : demande d’autorisation.
- Tenez la liste des recherches et l’analyse d’impact, puis décidez d’un outil.
- Service spécialisé, seulement s’il vous manque un délégué ou la compétence.
Trouver votre cadre
La CNIL a adopté ces méthodologies en 2018 et annonçait des mises à jour en 2026. Vérifiez chaque ligne sur sa page, et sa date, avant de vous y rattacher.
| Votre situation | Cadre à regarder | Ce qu’il implique |
|---|---|---|
| Étude interne, avec données issues du suivi, par les équipes qui l’assurent et pour leur usage exclusif | Exception prévue par la loi | Aucune formalité CNIL. Registre, et analyse d’impact si nécessaire. |
| Recherche avec recueil du consentement | MR 001 | Déclaration si conforme en tout point. Sinon autorisation après avis du comité d’éthique compétent. |
| Recherche impliquant la personne, sans recueil du consentement | MR 003 | Déclaration si conforme en tout point, sinon autorisation. Texte de 2018, mise à jour annoncée en 2026 : vérifiez la version en vigueur. |
| Réutilisation de données ou étude n’impliquant pas la personne humaine | MR 004 | Intérêt public, délégué désigné, liste au registre, inscription au répertoire public. |
| Accès aux données du PMSI, composante du système national des données de santé | MR 005 ou MR 006 | Page de 2018 lue. Vérifiez la version en vigueur. |
| Constitution d’un entrepôt de données de santé | Référentiel santé ou autorisation | Analyse d’impact requise selon la liste CNIL pour un entrepôt à finalité de recherche. |
Ce que le cadre impose de suivre
La MR 004 donne un exemple précis : le responsable désigne un délégué et tient à jour, au registre, la liste des recherches menées dans ce cadre. Chaque projet s’enregistre aussi dans un répertoire public tenu par la Plateforme des données de santé, et seules les données indirectement identifiantes des personnes peuvent sortir de l’Union, dans les conditions prévues.
Pour la MR 001, une seule déclaration vaut pour tous les traitements du même responsable dans ce cadre. Il lui revient pourtant d’apprécier la conformité de chaque recherche, et une grille permet de le documenter projet par projet.
Pourquoi l’écart aux conditions compte
Le 26 mai 2026, la CNIL a infligé une amende de 5 millions d’euros à IQVIA OPERATIONS FRANCE, avec des injonctions sous astreinte. Elle lui reproche de ne pas avoir respecté les termes des autorisations de deux entrepôts de données de santé, notamment sur l’information des personnes, les droits et la sécurité. Plusieurs dizaines de millions de personnes étaient concernées selon elle.
Ce cas vise des entrepôts et un acteur de grande taille : il ne dit rien du risque d’une petite étude. Il rappelle qu’une autorisation fixe des conditions à tenir dans la durée, dont il faut garder la trace.
Ensuite seulement, l’outil ou le service
MyData-TRUST déclare donner accès à DPCanvas aux organismes qui lui confient leur fonction de délégué, dans les sciences de la vie. Nous n’avons trouvé ni tarif, ni vente séparée, ni confirmation de vente en France dans ce que nous avons lu le 5 novembre 2026, et aucun logiciel n’a été essayé. Demandez-lui ces trois points s’il vous intéresse.
| Situation | Notre choix | Point à vérifier |
|---|---|---|
| Une ou deux études, une équipe | Fichier de suivi et grille de la CNIL, logiciel PIA de la CNIL pour l’analyse d’impact. | Une personne nommée, et la liste des recherches au registre. |
| Plusieurs études parallèles | Comparer un logiciel de gouvernance sur le suivi par étude et les preuves. | Demandez de rejouer une étude réelle, et l’export complet. |
| Pas de délégué ni de compétence interne | Service spécialisé. | Personne nommée, temps assuré, expérience de vos méthodologies. |
Limites de cette page
Nous avons lu des pages de présentation de la CNIL, sans le texte complet de chaque méthodologie. Celles de 2018 peuvent avoir changé : la page sur la MR 001 est datée du 26 mai 2026, et la CNIL annonçait des actualisations en 2026. Le code de la santé publique n’a pas été lu. Faites valider le choix du cadre pour une étude réelle par votre délégué ou un conseil spécialisé.
Prochaine action
Écrivez en une phrase la finalité de votre étude, puis ouvrez la méthodologie de référence correspondante sur le site de la CNIL et remplissez sa grille lorsqu’elle existe. Inscrivez l’étude à la liste de votre registre avant de regarder un logiciel.
Preuves et sources
Lu le 5 novembre 2026 : la page CNIL sur les formalités en santé, datée du 22 mai 2024 ; ses pages sur la MR 001 (26 mai 2026) et la MR 004 (délibération du 3 mai 2018) ; sa présentation des méthodologies de juillet 2018 ; son communiqué sur la sanction IQVIA du 28 mai 2026 ; la liste CNIL des analyses d’impact requises ; le programme de travail de la CNIL pour 2026 ; la page de MyData-TRUST sur DPCanvas.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Déclaration de l’éditeur. Selon la CNIL, une étude interne réalisée à partir de données recueillies dans la prise en charge individuelle, par les personnels assurant ce suivi et pour leur usage exclusif, n’exige pas de formalité, mais reste à inscrire au registre avec une analyse d’impact si nécessaire.
Portée : Article 65 de la loi Informatique et Libertés présenté par la page du 22 mai 2024.
Réserve : Trois conditions cumulatives.
- CNIL : Quelles formalités pour les traitements de données de santé ? date non relevée. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL, le principe consiste en une déclaration de conformité au référentiel ou à la méthodologie adaptés si le traitement y est conforme en tous points, et l’exception en une demande d’autorisation en cas de points de non-conformité ; le responsable atteste de cette conformité et doit pouvoir la démontrer en cas de contrôle.
Portée : Traitements présentant une finalité d’intérêt public de recherche et certaines bases de données de santé.
Réserve : Autres régimes possibles, comme l’acte réglementaire.
- CNIL : Quelles formalités pour les traitements de données de santé ? date non relevée. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La CNIL indique que la MR 001 encadre les recherches nécessitant le recueil du consentement, qu’une seule déclaration vaut pour les traitements d’un même responsable dans son champ, qu’une recherche non conforme donne lieu à une demande d’autorisation après avis du comité d’éthique compétent, et qu’une version annotée et une grille de conformité sont disponibles.
Portée : Page du 26 mai 2026.
Réserve : Texte complet de la MR 001 non lu.
- CNIL : Méthodologie de référence MR-001 - Recherches dans le domaine de la santé avec recueil du consentement 26 mai 2026. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La CNIL présente en 2018 les MR 001 et MR 003 pour les recherches impliquant la personne humaine, la MR 004 pour les recherches n’impliquant pas la personne humaine et les MR 005 et MR 006 pour l’accès aux données du PMSI.
Portée : Communiqué du 13 juillet 2018.
Réserve : Page ancienne. Le programme 2026 annonce des actualisations.
- CNIL : Recherches dans le domaine de la santé : la CNIL adopte de nouvelles mesures de simplification 13 juillet 2018. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la page CNIL sur la MR 004, le traitement doit présenter un caractère d’intérêt public, le responsable désigne un délégué et tient à jour au registre la liste des recherches, chaque projet s’enregistre dans un répertoire public tenu par la Plateforme des données de santé, seules les données indirectement identifiantes des personnes peuvent être transférées hors de l’Union dans les conditions prévues, et le cadre s’applique à un responsable non établi en France lorsque des personnes résidant en France participent.
Portée : Délibération n° 2018-155 du 3 mai 2018.
Réserve : Délibération non lue dans son texte complet.
- CNIL : Recherches n'impliquant pas la personne humaine, études et évaluations dans le domaine de la santé Délibération n° 2018-155 du 3 mai 2018. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La liste CNIL requiert une analyse d’impact pour les traitements de données de santé nécessaires à la constitution d’un entrepôt de données ou d’un registre, avec l’exemple d’un entrepôt mis en œuvre par un établissement de santé ou une personne privée à des fins de recherche.
Portée : Délibération du 11 octobre 2018.
Réserve : Liste non exhaustive.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise Délibération n° 2018-327 du 11 octobre 2018. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La CNIL a prononcé le 26 mai 2026 une amende de 5 millions d’euros contre IQVIA OPERATIONS FRANCE, assortie d’injonctions sous astreinte de 10 000 euros par jour de retard, pour non-respect des termes des autorisations de deux entrepôts de données de santé, notamment sur l’information, les droits et la sécurité, et a retenu que les données étaient pseudonymes et non anonymes.
Portée : Communiqué CNIL du 28 mai 2026.
Réserve : Décision non lue en texte intégral. Plusieurs dizaines de millions de personnes concernées selon la CNIL.
- CNIL : Données de santé : sanction de 5 millions d'euros à l'encontre de la société IQVIA 28 mai 2026 ; décision du 26 mai 2026. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La CNIL annonçait dans son programme 2026 l’actualisation de certaines méthodologies de référence, et la page sur l’accès au dossier médical signale un webinaire du 31 juillet 2026 sur la mise à jour des MR 001 et MR 003.
Portée : Pages CNIL lues le 5 novembre 2026.
Réserve : Contenu de la mise à jour non lu.
- CNIL : Accompagnement des professionnels : le programme de travail de la CNIL pour 2026 07 avril 2026. Lu le 5 novembre 2026. Document d’origine.
- CNIL : L'accès au dossier médical 05 mai 2009. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. MyData-TRUST déclare que sa plateforme DPCanvas donne accès aux organismes qui externalisent chez elle leur fonction de DPO, à destination des sciences de la vie.
Portée : Pages de l’éditeur lues le 5 novembre 2026.
Réserve : Tarif, vente séparée et vente en France non trouvés dans ce que nous avons lu. Logiciel non essayé.
- mydata-trust.com : DPCanvas: Privacy Platform for Life SciencesSkip to content non trouvée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
- mydata-trust.com : Data Protection Partner for Life Sciences | MyData-TRUSTSkip to content non trouvée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Notre avis. Faire passer le cadre avant l’outil et juger une offre avec plateforme incluse comme un service est un avis éditorial.
Portée : Acteurs de la recherche en santé.
Réserve : Un promoteur à portefeuille déjà installé peut avoir un autre ordre.
- CNIL : Quelles formalités pour les traitements de données de santé ? date non relevée. Lu le 5 novembre 2026. Document d’origine.
- mydata-trust.com : DPCanvas: Privacy Platform for Life SciencesSkip to content non trouvée. Lu le 5 novembre 2026. Déclaration de l’éditeur.