La Commission nationale de l’informatique et des libertés,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;

Vu le code de la santé publique ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (« loi informatique et libertés » ) ;

Vu la délibération n° 2026-049 du 19 mars 2026 portant homologation de l’annexe sécurité pour les méthodologies de référence relatives aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé (annexe sécurité) ;

Après avoir entendu le rapport de M^me Marie Zins, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement ;

Formule les observations suivantes :

La mission de contrôle qualité consiste à vérifier l’exhaustivité et l’exactitude des données collectées dans le cadre d’une recherche, une étude ou évaluation dans le domaine de la santé (ci-après, recherche en santé ). Elle est réalisée par comparaison entre les données à caractère personnel collectées dans le cadre d’une recherche en santé et celles issues de documents dits sources (par exemple le dossier médical de la personne se prêtant à la recherche).

La réalisation sur site de cette mission, c’est-à-dire au sein du lieu où se déroule la recherche, peut d’ores et déjà intervenir dans le cadre d’une déclaration de conformité aux méthodologies de référence (MR) 001, 002, 003 et 004.

La crise sanitaire liée à la COVID-19 a fortement développé le recours au contrôle qualité à distance , conduisant la CNIL à adopter des recommandations provisoires, applicables jusqu’au 31 décembre 2021. Ces recommandations ont été mises à jour et mises en consultation publique entre mai et juillet 2024.

Au regard de la sensibilité des données à caractère personnel traitées dans le cadre d’une mission de contrôle qualité, il est nécessaire de préciser les mesures juridiques, techniques et organisationnelles à mettre en œuvre pour garantir la protection des droits et libertés des personnes concernées. Ces mesures étant communes à l’ensemble des recherches en santé, il est apparu utile de les rassembler au sein d’un document unique auquel les MR pourront faire référence.

Un responsable de traitement d’une recherche en santé pourra mettre en œuvre une mission de contrôle qualité dans le cadre d’une déclaration de conformité à une MR dès lors que :

• la MR concernée prévoit la réalisation de cette mission ;
• cette mission est réalisée dans des conditions conformes à la présente annexe ;
• les autres conditions de mise en œuvre de la recherche en santé sont conformes à la MR applicable.

Dans ces conditions, la CNIL homologue l’annexe contrôle qualité des méthodologies de référence relatives aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé.

La présente délibération sera publiée au Journal officiel de la République française.

La présidente,

M.-L. Denis

Annexe : vous pouvez consulter l’intégralité du texte au JORF n°0120 du 23 mai 2026 : https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000054125963