CNIL : mise à jour des référentiels MR-003 et MR-004 pour la recherche en santé numérique

La Commission nationale de l’informatique et des libertés (CNIL) s’apprête à franchir une étape importante dans la gouvernance des données de santé. Lors d’une journée dédiée aux données de santé et à la recherche, organisée le 26 mars 2026, plusieurs responsables de l’institution ont annoncé la publication imminente de référentiels MR-003 et MR-004 entièrement révisés — attendus pour la mi-avril 2026.

Que couvrent les référentiels MR-003 et MR-004 ?

Ces deux référentiels constituent des piliers du cadre réglementaire encadrant la recherche médicale en France :

• MR-003 régit les traitements de données de santé réalisés dans le cadre de recherches impliquant la personne humaine, sans recueil du consentement explicite des participants.
• MR-004 s’applique aux traitements à des fins d’études, d’évaluation ou de recherche n’impliquant pas directement la personne humaine, comme les analyses épidémiologiques ou les travaux portant sur la réutilisation de données existantes.

Leur intérêt pratique est central : les organismes dont les projets sont conformes à ces référentiels peuvent mener leurs traitements sans solliciter d’autorisation individuelle auprès de la CNIL, ce qui réduit considérablement les délais administratifs pour les équipes de recherche.

Ce que la révision va changer

Selon Manon de Fallois, adjointe à la cheffe du service de la santé à la CNIL, les mises à jour visent à adapter les référentiels aux nouvelles pratiques de la recherche et à l’évolution des outils numériques. Plusieurs points clés sont modifiés :

• L’élargissement du périmètre des recherches éligibles, permettant à davantage de projets de bénéficier de la procédure simplifiée ;
• Une révision des types de données susceptibles d’être collectées ou réutilisées ;
• Des précisions sur les modalités d’information des personnes concernées ;
• Une mise à jour des destinataires autorisés à recevoir les données ;
• L’ajout de deux nouvelles annexes portant sur les mesures de sécurité et sur les exigences de contrôle qualité.

Ces évolutions s’inscrivent dans un vaste chantier de révision lancé au printemps 2024, conduit en concertation avec les acteurs du secteur.

Un téléservice pour accélérer les autorisations

Au-delà de la mise à jour réglementaire, la CNIL prépare le lancement d’un téléservice dédié aux demandes d’autorisation pour les traitements qui ne seraient pas couverts par les référentiels existants. Cet outil numérique vise à standardiser les démarches des chercheurs et porteurs de projets, tout en permettant à la CNIL de réduire le volume de dossiers à instruire manuellement.

Cette double initiative — modernisation réglementaire et outillage numérique — répond à une demande croissante de l’écosystème de la recherche en santé, confronté à une multiplication des projets exploitant les données massives.

Un signal fort pour la recherche en données de santé

Ces évolutions arrivent dans un contexte de montée en puissance des projets d’exploitation secondaire des données médicales, portés notamment par le Health Data Hub. En élargissant le périmètre des référentiels et en simplifiant les procédures d’autorisation, la CNIL facilite indirectement l’essor de la recherche en santé basée sur les données — tout en consolidant les garanties offertes aux patients quant à la protection de leurs informations personnelles.

La publication des référentiels révisés est attendue à la mi-avril 2026.

Sources

• Nouveaux référentiels, téléservice : la Cnil veut optimiser son processus d’autorisation de traitement de données de santé — TICsanté, 08/04/2026