septembre 2026
Quand une personne participe à une recherche, des données personnelles la concernant, y compris des données de santé, vont être traitées par le promoteur, responsable de leur traitement. Cette procédure est encadrée par des règles afin de protéger ces données.
Ce document a pour but d’aider à mieux comprendre ce que recouvre la notion de données personnelles, à connaître les droits des personnes et à savoir comment elles peuvent les exercer et comment les mettre en pratique notamment dans l’information à délivrer.
A la fin de ce document, sont réunis un glossaire ainsi que les principaux textes de droit relatifs à l’utilisation des données personnelles.
I Dispositions générales
A. Qu’est-ce qu’une donnée personnelle ?
Une donnée personnelle est une information qui se rapporte à une personne susceptible d’être identifiée, directement ou indirectement, sur la base d’une information ou d’un croisement d’informations.
Cela peut être par exemple un nom, une photo, une adresse postale, les antécédents médicaux, un numéro de compte bancaire…
Les données de santé font partie des données sensibles.
B. Qu’est-ce que l’anonymisation ?
Ensemble de techniques de manière à rendre impossible toute identification de la personne par quelque moyen que ce soit et de manière irréversible.
C. Qu’est-ce que la pseudonymisation ?
La pseudonymisation des données consiste à remplacer les données directement identifiantes (nom, prénom, etc.) par des données indirectement identifiantes (code d’identification, etc.).
Elle permet qu’on ne puisse plus attribuer les données relatives à une personne sans information supplémentaire.
En pratique, un code est attribué à chaque participant. L’investigateur collecte des données sur les résultats cliniques et ne communique ces informations à des tiers impliqués dans la recherche que sous forme codée.
L’investigateur conserve séparément la clé (table de correspondance) permettant d’associer le code à des informations générales pour identifier les patients.
En Europe c’est cette procédure qui est le plus fréquemment utilisée lors de recherches cliniques.
D.Quelles sont les différents types de recherches concernées par ce guide ?
- Recherches définies comme « Recherches impliquant la personne humaine » (RIPH) dans le code de santé publique (CSP)
Définition : CSP, art. R.1121-1
« Recherches organisées et pratiquées sur des personnes volontaires saines ou malades, en vue du développement des connaissances biologiques ou médicales qui visent à évaluer :
1° Les mécanismes de fonctionnement de l’organisme humain, normal ou pathologique ;
2° L’efficacité et la sécurité de la réalisation d’actes ou de l’utilisation ou de l’administration de produits dans un but de diagnostic, de traitement ou de prévention d’états pathologiques. »
➢ Trois catégories de recherches impliquant la personne humaine existent, en fonction du risque encouru par le participant.
➢ RIPH 1 : Recherche interventionnelle comportant une intervention non justifiée par la prise en charge habituelle
➢ RIPH 2 : Recherche interventionnelle à risques et contraintes minimes
➢ RIPH 3 : recherche non interventionnelle
2. Essais cliniques de médicaments¸ investigations cliniques des dispositifs médicaux (DM)les études de performances des dispositifs médicaux de diagnostic in vitro
3. Recherche « n’impliquant pas la personne humaine (RNIPH) » comme défini par le CSP.
➢ Collecte de données pour les besoins de la recherche sans répondre à la définition de RIPH (notamment la finalité )
➢ Recherches en sciences sociales ou questionnaires ne pouvant pas modifier la prise en charge des participants
➢ Les recherches nécessitant exclusivement la réutilisation de données de santé.
Exemple : des études rétrospectives conduites sur des données déjà acquises dans le cadre du soin ou d’une précédente recherche (notamment à partir de dossiers médicaux, de registres ou d’entrepôt de données de santé, ou du Système nationale des données de santé – SNDS).
II. Information à délivrer obligatoirement
A. Contenu de l’information à délivrer (art 13 du RGPD)
Les documents d’information à délivrer obligatoirement par le promoteur avant la mise en œuvre de la recherche doit contenir ses informations :
- qui est le responsable du traitement ?
- coordonnées du délégué à la protection des données (DPO)
- pourquoi a-t-on besoin de ces données
- quelle est la nature des données recueillies
- qui a accès à ces données
- y aura – t-il transfert de ces données dans un pays hors UE
- combien de temps seront elles conservées
- y a-t-il réutilisation de celles -ci
- sur quelles bases juridiques ces données seront elles traitées
- comment exercer ses droits
D. Destinataires de l’information concernant le traitement des données du mineur
➢ Les titulaires de l’autorité parentale
Article 70 Loi relative à l’informatique, aux fichiers et aux libertés : « Sont destinataires de l’information et exercent les droits de la personne concernée par le traitement les titulaires de l’exercice de l’autorité parentale, pour les mineurs, ou la personne chargée d’une mission de représentation dans le cadre d’une tutelle, d’une habilitation familiale ou d’un mandat de protection future, pour les majeurs protégés dont l’état ne leur permet pas de prendre seuls une décision personnelle éclairée.
Par dérogation au premier alinéa du présent article, pour les traitements de données à caractère personnel réalisés dans le cadre de recherches mentionnées aux 2° et 3° de l’article L. 1121-1 du code de la santé publique ou d’études ou d’évaluations dans le domaine de la santé, ayant une finalité d’intérêt public et incluant des personnes mineures, l’information peut être effectuée auprès d’un seul des titulaires de l’exercice de l’autorité parentale s’il est impossible d’informer l’autre titulaire ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche, de l’étude ou de l’évaluation au regard de ses finalités. Le présent alinéa ne fait pas obstacle à l’exercice ultérieur, par chaque titulaire de l’exercice de l’autorité parentale, des droits mentionnés au premier alinéa.
II. Consentement à la participation à la recherche ainsi qu’au recueil et traitement des données personnelles
Consentir à sa participation à une recherche, c’est aussi consentir au traitement de ses données personnelles
Les modalités de recueil du consentement dépendent de la nature de la recherche.
https://www.cerped.fr/index.php/fiches-pedagogiques-etude-recherche-clinique/
A. Un consentement écrit
Le recueil du consentement écrit pour la collecte et le traitement des données personnelles est obligatoire pour :
- Les recherches qualifiées de RIPH 1
- Les essais cliniques (médicaments)
- Les investigations cliniques (dispositifs médicaux)
- Les études de performances (dispositifs de diagnostic in vitro)
De plus, un consentement spécifique est obligatoire pour :
1) l’examen des caractéristiques génétiques
2) la collecte d’échantillons biologiques
3) le versement ultérieur des données de santé dans un entrepôt de santé
4) le transfert hors UE des données effectué dans le cadre de l’article 49 du RGPD
L’article 49 du RGPD permet, à titre exceptionnel, de transférer des données personnelles vers un pays hors de l’Union européenne en l’absence de décision d’adéquation ou de garanties appropriées, en se basant sur le consentement explicite, un contrat ou un motif d’intérêt public
5) la réalisation d’enregistrement ou de vidéo
B. Un consentement « exprès », non obligatoirement écrit.
Pour les RIPH 2
C. Une non-opposition
Une non-opposition, après information, est suffisante pour :
Les recherches qualifiées de RIPH 3
Article L.1122-1-1 du code de la santé publique
« Aucune recherche mentionnée au 3° de l’article L 1121-1 ne peut être pratiquée sur une personne lorsqu’elle s’y est opposée ».
Pour les mineurs aucune disposition spécifique ne figure dans le code de la santé publique (tant au niveau législatif que réglementaire) sur les modalités de cette non-opposition par les titulaires de l’exercice de l’autorité parentale.
Nota bene : Pour les recherches hors RIPH (RNRIPH) : en l’absence de textes clairs, la pratique est très hétérogène de la non opposition au consentement
D. Auprès de qui est recueilli le consentement pour la participation d’un mineur ?
Le recueil du consentement des deux titulaires de l’autorité parentale est requis.
Pour les RIPH 1 et 2, il existe des exceptions où un seul accord est possible lorsque :
Article L.1122-2 CSP
II.-Lorsqu’une recherche impliquant la personne humaine est effectuée sur un mineur non émancipé, le consentement, lorsqu’il est requis, est donné par les titulaires de l’exercice de l’autorité parentale. Toutefois, ce consentement peut être donné par le seul titulaire de l’exercice de l’autorité parentale présent, sous réserve du respect des conditions suivantes :
- -la recherche ne comporte que des risques et des contraintes minimes ;
- -le mineur ne se prête pas à la recherche à titre de volontaire sain ;-l’autre titulaire de l’exercice de l’autorité parentale ne peut donner son autorisation dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche au regard de ses finalités
…Lorsqu’une personne mineure se prêtant à une recherche devient majeure dans le cours de sa participation, la confirmation de son consentement est requise après délivrance d’une information appropriée »
Important : si le mineur manifeste son désaccord, la recherche ne peut pas être conduite
A sa majorité, le mineur deviendra le destinataire de ces informations.
Par exception, pour les RIPH2 et RIPH3,
Possibilité d’information d’un seul des titulaires de l’exercice de l’autorité parentale dans certaines conditions :
1) S’il est impossible d’informer l’autre titulaire ;
2) Ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à réalisation de la recherche, de l’étude ou de l’évaluation au regard de ses finalités.
E. En pratique :
Les formulaires de recueil du consentement doivent présenter deux espaces de signature, un pour chaque représentant légal.
Afin de prendre en considération l’évolution des modes de parentalité, il est conseillé au promoteur de ne pas indiquer « père » et « mère » mais plutôt « représentant légal 1 » et « représentant légal 2 ».
Dans le cas d’une situation monoparentale, ce parent sera, évidemment, le seul signataire. De la même manière, si le représentant légal du mineur est un tuteur, seul son consentement sera recueilli.
F.Cas des mineurs à partir de 15 ans , dans le cadre de recherche RIPH2 OU RIPH3, Concernant les mineurs de 15 à 17 ans, les bases légales sont différentes entre consentement à la recherche et au traitement des données personnelles.
Ce mineur peut s’opposer à l’accès aux données le concernant par les titulaires de l’autorité parentale. Le mineur reçoit seul l’information et exerce seul ses droits.
Il peut également s’opposer à ce que les titulaires soient informés du traitement des données si le fait d’y participer révèle une information sur une action de prévention, un dépistage, un diagnostic, un traitement, une intervention pour laquelle le mineur s’est expressément opposé à la consultation par ces titulaires ou si les liens de famille sont rompus (sous certaines conditions)
Article 70 de la loi Informatique et Libertés
G.Cas des recherches ultérieures (ou recherches secondaires)
Une réutilisation des données personnelles est possible dans le cas de recherches ultérieures mais uniquement à des fins scientifiques.
Cependant, cette information doit être délivrée aux titulaires de l’autorité parentale et aux participants qui peuvent accepter ou refuser cette utilisation ultérieure, indépendamment de la participation à la recherche initiale.
Comme pour la recherche initiale, les mineurs devenus majeurs doivent faire l’objet d’une procédure d’information et de recueil du consentement pour cette utilisation ultérieure.
IV. Les droits des personnes sur leurs données personnelles, y compris les données de santé
Le droit à l’information : information concise, transparente, compréhensible et aisément accessible
Le droit d’accès aux données : les personnes peuvent demander à tout moment au responsable du traitement d’accéder aux données qu’il conserve concernant leur enfant.
Le droit à la rectification des données : Si des données sont inexactes, les personnes peuvent les faire rectifier.
Le droit à l’effacement des données : Elles peuvent également demander à ce que les données concernant leur enfant soient effacées. Cependant, ce droit ne peut pas être exercé si la suppression de ces données rend impossible ou compromet gravement la réalisation de la recherche.
Le droit d’opposition : Les personnes peuvent demander au responsable du traitement de ne plus utiliser les données de leur enfant. Ce droit est différent d’une suppression simple et définitive. Le responsable du traitement pourra refuser cette opposition si et seulement si il existe des motifs légitimes et impérieux à traiter ces données ou si les personnes ont donné leur consentement (dans ce dernier cas ils doivent retirer leur consentement et non s’y opposer).
Le droit à la limitation du traitement des données : les personnes ont le droit de demander au responsable du traitement de geler temporairement l’utilisation de certaines données concernant leur enfant.
Comment exercer ses droits?
Les personnes détentrices de l’autorité parentale peuvent exercer leurs droits concernant leur enfant à tout moment et sans avoir à se justifier.
Pour cela, elles doivent en premier lieu contacter l’investigateur les ayant pris en charge, qui connait leur identité (contrairement au délégué à la protection des données) et pourra permettre l’exercice effectif des droits.
Si elles rencontrent des difficultés pour exercer ces droits, alors elles doivent se diriger vers le délégué à la protection des données. Ses coordonnées sont inscrites sur la notice d’information de participation à la recherche.
En l’absence de réponse après 3 mois, elles formulent une réclamation auprès de la CNIL : service des plaintes 3 place de Fontenoy TSA80715 75334 Paris Cedex 07
V.Obligation du responsable de traitement
Ces obligations énoncées dans les méthodologies de références de la CNIL (MR001, MR003 et MR004) ne sont pas envisagées dans ce texte mais peuvent être consultées sur le site de la CNIL ::
VI. Exemples pratiques
Des outils existent permettant d’évaluer la complexité d’un message.
Nous mettons à votre disposition l’indice de flesch, https://www.cerped.fr/tools/cic/flesch_fr.php
En calculant le nombre de mots, de syllabe et la longueur des phrases, cet indice indique le niveau scolaire du texte.
b) Exemples de paragraphe à insérer dans les notices d’informations
Nous préconisons d’ajouter un paragraphe relatif au traitement et à l’utilisation des données de santé de l’enfant participant à la recherche dans les notices d’information qui ne soit pas trop long afin de ne pas surcharger le document, certaines informations complémentaires devant être ajouter en annexe pour compléter celles-ci :
Exemple de paragraphe
« Les données personnelles
Pour réaliser cette recherche, les chercheurs de XXX vont utiliser des données personnelles qui vous concernent vous et votre enfant.
Une donnée personnelle est une information qu’il est possible de relier directement ou indirectement à votre identité.
Cette recherche scientifique présente un intérêt public/XXXX. Le règlement de protection des données qui existe en Europe (Règlement Général de Protection des Données – RGPD) permet donc à XXXX de traiter vos données personnelles et celles de votre enfant pour cette recherche.
L’XXX est responsable de vos données personnelles et de celles de votre enfant (responsable de traitement). Il met tout en œuvre pour conserver vos données, de les utiliser et de les partager de manière sécurisée en utilisant un code afin préserver les identités des participants.
Les données personnelles codées de votre enfant seront partagées auprès des équipes de recherche en France et à XXX (pays) ; Expliquer les mesures contractuelles si hors EU
Vous avez le droit à tout moment de :
– demander des informations sur le traitement de vos données et d’en demander copie
– demander à les corriger si elles sont fausses ou incomplètes, et pendant que votre demande est examinée, vous avec le droit de demander à limiter leurs traitements
– vous opposer à leur utilisation pour la recherche
– demander à les faire effacer. Cependant, certaines données ne pourront pas être effacées si leur suppression est susceptible de rendre impossible ou de compromettre gravement la réalisation de l’objectif de l’étude ou de satisfaire une obligation légale
Pour f exercer vos droits, vous pouvez vous adresser à l’investigateur YYY ou bien au délégué à la protection des données du promoteur : contact XXX
En l’absence de réponse (après 3 mois), vous pouvez formuler une réclamation auprès de la CNIL : service des plaintes 3 place de Fontenoy TSA80715 75334 Paris Cedex 07
Pour en savoir plus sur ces différents droits, vous pouvez vous rendre sur le site de la CNIL : https://www.cnil.fr/fr/les-droits-pour-maitriser-vos-donnees-personnelles.
https://www.cnil.fr/fr/traitement-de-donnees-de-sante-comment-informer-les-personnes-concernees »
GLOSSAIRE
Destinataire de l’information :
En tant que titulaire de l’autorité parentale, vous êtes le destinataire de l’information concernant le traitement des données à caractère personnel de votre enfant mineur. A sa majorité, il deviendra le destinataire de ces informations et c’est lui qui pourra exercer les différents droits, en particulier le droit à l’effacement.
Base légale du traitement des données :
ou « fondement juridique » : la base légale est ce qui autorise légalement la mise en œuvre du traitement des données, c’est à dire c’est ce qui donne le droit à l’organisme de collecter ou d’utiliser des données personnelles.
3 bases légales peuvent être principalement envisagées dans le cadre de la recherche impliquant la personne humaine :
- L’exécution d’une mission d’intérêt public (article 6-1 e du RGPD): lorsque le responsable de traitement est une entité publique ou privée investie d’une mission d’intérêt public. : par ex : acteur académique, CHU, institution publique de recherche etc…
- Les intérêts légitimes poursuivis par le responsable de traitement(article 6-1 f du RGPD) : lorsque le responsable de traitement n’est pas investi d’une mission d’intérêt public correspondante : par ex : promoteur industriel
- L’obligation légale (Article 6.1.c du RGPD) : Elle s’applique spécifiquement pour les obligations strictes imposées par la réglementation, notamment le Règlement européen sur les essais cliniques (UE 536/2014) (ex: obligations de pharmacovigilance, archivage de sécurité), où aucun droit d’opposition ou d’effacement ne peut être exercé par le patient. [1, 2]
Le choix de la base légale est important car en fonction de la base retenue des droits différents pour les personnes concernées sont applicables.
Transfert de données hors UE – encadrement juridique :
Le transfert doit être strictement nécessaire à la mise en œuvre de la recherche ou à l’exploitation de ses résultats
Il doit faire l’objet d’une information des personnes concernées.
nécessité d’assurer un niveau de protection des données suffisant et approprié. Pour cela ces transferts doivent être encadrés en utilisant les différents outils juridiques définis au chapitre V du RGPD. A savoir :
le transfert s’effectue à destination d’un pays ou une organisation internationale reconnus par la Commission européenne comme assurant un niveau de protection adéquat (décision d’adéquation)
OU
En l’absence d’une telle décision d’adéquation,,-garanties appropriées listées à l’article 46 RGPD (clauses contractuelles types, règles d’entreprises contraignantes, code de conduite, certification)
OU
En l’absence de telles garanties appropriées ,le transfert peut être fondé sur l’une des exceptions prévues à l’article 49 du RGPD dans des situations particulières et des conditions spécifiques.
OU
En cas de recours à des clauses contractuelles ad hoc, une demande d’autorisation doit être déposée auprès de la CNIL.
Textes relatifs aux données personnelles
Vous trouverez ici les deux textes de droit principaux relatifs à l’utilisation des données à caractère personnel ainsi que différents articles.
CNIL – le RGPD (Règlement Général sur la Protection des Données) :
Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données
https://www.cnil.fr/fr/reglement-europeen-protection-donnees
- Article 13 et 14 RGPD : droit à l’information
- Article 15 RGPD: droit d’accès
- Article 16 RGPD : droit de rectification
- Article 17 RGPD : droit à l’effacement
- Article 18 RGPD : droit à la limitation de traitement
- Article 21 RGPD : droit d’opposition
Loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés
Remerciements
Ce document a été rédigé en collaboration avec Julie Engelmann dans le cadre de son stage de master 2 en droit de la bioéthique, effectué au CERPed et financé par l’UNAPECLE.