Quelle MR CNIL pour votre recherche ? Le bon numéro ne suffit pas.

Une MR candidate n’est pas encore une conformité démontrée

Une méthodologie de référence définit un cadre pour certains traitements de données de recherche. Lorsqu’un projet relève des formalités préalables auprès de la CNIL, le respect intégral d’une MR permet de bénéficier de la procédure déclarative correspondante. À défaut, une autorisation peut être nécessaire.

La déclaration est un engagement du responsable de traitement. Elle ne signifie pas que la CNIL a examiné et approuvé chaque étude.

Le raisonnement comporte trois étapes :

1. Qualifier la recherche et déterminer les formalités dont elle relève.
2. Identifier la MR candidate, en tenant compte du projet, des données et des acteurs.
3. Vérifier toutes ses conditions, ses exclusions et les annexes applicables.

Pour situer les obligations liées à un logiciel, notre décryptage sur la qualification de dispositif médical complète cette analyse : la qualification du produit et celle du traitement de données répondent à des questions différentes.

La première étape évite aussi de chercher une MR dans une situation qui relève d’un autre cadre : constitution d’un entrepôt de données de santé, par exemple, ou recherche interne répondant aux critères précis d’exemption de formalité préalable.

La fiche CNIL sur les formalités des recherches en santé constitue le point de départ. Les démarches relatives aux données ne remplacent pas les avis et autorisations sectoriels requis pour la recherche.

Il existe huit MR : elles ne sont pas interchangeables

Le panorama officiel de la CNIL recense huit méthodologies de référence. Ce tableau donne une orientation ; il ne remplace pas l’examen de leur champ complet.

PMSI : Programme de médicalisation des systèmes d’information. SNDS : Système national des données de santé.

Pour les MR-007 et MR-008, un avis favorable du CESREES est notamment requis. L’intérêt légitime du responsable de traitement, en MR-008, ne supprime pas l’exigence d’intérêt public de la recherche. Les assureurs sont exclus du champ de cette MR.

Trois raccourcis méritent d’être écartés :

• « Rétrospectif » ne suffit pas à conclure « MR-004 ». L’origine des données, les opérations envisagées et les exclusions restent à examiner. La MR-004 peut aussi couvrir des collectes prospectives relevant de son champ.
• Le consentement à la recherche et le consentement comme base légale RGPD sont distincts. Les articles 6 et 9 du RGPD doivent être examinés séparément.
• Toutes les MR n’ont pas été révisées en 2026. L’actualisation des MR-001 et MR-003 ne permet pas de présenter l’ensemble du corpus comme une nouvelle version unique.

Le référentiel des entrepôts de données de santé répond, lui, à une autre question : celle de la constitution et du fonctionnement de l’entrepôt. Son existence ne règle pas automatiquement le cadre de chaque réutilisation.

Ce que les MR-001 et MR-003 de 2026 changent dans le travail des équipes

Les textes publiés le 23 mai 2026 élargissent et précisent plusieurs possibilités, notamment pour certaines recherches à l’étranger, l’information électronique et le contrôle qualité à distance. Ils s’accompagnent d’annexes consacrées à la sécurité et au contrôle qualité.

La présentation des évolutions par la CNIL doit donc être lue avec les textes applicables.

Pour une équipe projet, cela conduit à examiner des éléments concrets : qui reçoit l’information, quel intervenant voit quelle donnée, comment les identifiants sont gérés, quels accès sont ouverts et quelles opérations sont effectivement réalisées.

La CNIL fournit des grilles de conformité gratuites pour les MR-001 et MR-003. Elles sont précieuses, mais ne couvrent pas l’ensemble du contrôle : les données des professionnels ainsi que les annexes sécurité et contrôle qualité nécessitent un examen complémentaire.

Une case renseignée sans pièce ni explication ne permet pas de comprendre le contrôle réalisé. Et une information manquante doit rester un point à instruire.

Les textes et les grilles sont librement accessibles. Le travail à accomplir consiste à les confronter au protocole, aux contrats, aux données et aux accès réels, puis à résoudre les points qui restent ouverts. C’est sur ce travail appliqué au dossier que doit porter l’évaluation d’un service de qualification.

Logiciels de recherche : le cloisonnement se vérifie dans l’architecture

Les dispositions de 2026 distinguent notamment le suivi, l’information, la gestion administrative et le contrôle qualité. Leur cumul est encadré selon les acteurs.

Les paragraphes 36 à 41 de la MR-001 et de la MR-003 prévoient notamment :

• des possibilités de cumul pour les professionnels exerçant dans un lieu de recherche, hors domicile, dans les limites concernant les personnes prises en charge et informées ;
• pour les établissements de santé établis en France agissant comme promoteurs et responsables de traitement, ainsi que pour les personnes morales sous-traitantes concernées, une séparation physique et organisationnelle des équipes et des procédures d’habilitation ;
• dans ces situations de cumul, des bases de données et des applications disjointes, avec des droits distincts et des accès limités aux besoins de chaque mission.

Il serait donc trop large d’en déduire que toute offre logicielle multifonction est interdite. Il serait tout aussi fragile de considérer que quelques profils utilisateurs suffisent nécessairement.

Notre lecture opérationnelle : il faut rapprocher les fonctions du logiciel, les missions réellement confiées et l’architecture déployée. La démonstration commerciale d’une interface ne permet pas, à elle seule, de trancher cette conformité.

Études anciennes : vérifier les changements avant de refaire les démarches

Une étude commencée avant la publication des nouvelles MR appelle un examen de son régime initial et des modifications envisagées.

L’outil d’orientation CNIL sur les formalités MR-001 et MR-003 distingue notamment le début du traitement, la formalité déjà accomplie et le caractère substantiel des modifications. Le début du traitement ne se réduit pas à la première inclusion : certaines opérations sur les données de personnes sollicitées peuvent être antérieures.

Deux repères :

• une modification non substantielle ne déclenche pas systématiquement une nouvelle formalité ; la conformité au cadre applicable et la documentation interne restent à assurer ;
• une déclaration déjà effectuée peut rester valable, y compris dans certains cas de modification substantielle conforme au cadre de 2026. Cela ne dispense pas de réexaminer le traitement.

Notre recommandation : prioriser la revue des études dont le protocole, les catégories de données, les destinataires ou les outils ont changé. Conserver le motif du réexamen et la conclusion permet d’éviter de repartir de zéro à chaque nouvelle question.

La sécurité possède également son calendrier : le cadre de 2026 prévoit l’authentification multifacteur au 1er janvier 2027 pour les services accessibles via internet, puis au 1er janvier 2028 pour les autres outils concernés. Pour les traitements déjà en cours lors de la publication, la CNIL recommande un plan d’action afin d’atteindre les mesures de son annexe sécurité au plus tard en mai 2027. Ces situations doivent être distinguées, comme le précise la présentation du calendrier par la CNIL.

Le dossier utile : sept questions auxquelles pouvoir répondre

Avant de retenir une MR, puis lors d’un changement significatif, nous recommandons de réunir les réponses suivantes :

Cette trame est une proposition de travail. Elle ne remplace ni le texte de la MR ni ses annexes.

Elle aide aussi à distinguer les livrables : une liste de documents à préparer n’est pas la rédaction de ces documents, et un modèle rempli n’établit pas à lui seul la conformité des pratiques.

Une réponse d’IA doit pouvoir être vérifiée

Un outil d’IA peut aider à extraire des informations d’un protocole, comparer des documents ou préparer une synthèse. Une réponse convaincante proposant « MR-001 » ne montre cependant pas, à elle seule, que tous les faits déterminants ont été recueillis et toutes les conditions examinées.

Nous recommandons donc d’évaluer un outil de qualification sur ce qu’il restitue : faits retenus, informations absentes, règles mobilisées, version des sources, écarts et validation humaine.

Le développement d’une IA en santé peut par ailleurs constituer lui-même un traitement de recherche à qualifier. La CNIL distingue notamment la constitution d’un entrepôt, le développement d’un système et l’évaluation de son déploiement. Ces opérations ne doivent pas être confondues.

L’automatisation devient utile lorsqu’elle rend le raisonnement vérifiable et facilite sa mise à jour. La responsabilité de la décision reste à organiser.

Passer d’un numéro de MR à un dossier exploitable

Avant de lancer une étude ou d’en modifier le protocole, votre équipe doit pouvoir répondre à trois questions : quel cadre retenir, quels points restent à résoudre et quelles pièces réunir pour avancer ?

Le Qualificateur MR de NELSPACE Santé est proposé comme un microservice autonome, sans abonnement, pour un projet et une version de protocole. Les livrables prévus sont une qualification argumentée, les écarts et informations manquantes, une checklist des prochaines actions et des pièces attendues, réunis dans un dossier de restitution versionné.

Il peut servir à examiner une nouvelle recherche ou à réexaminer une étude existante, selon le périmètre convenu. La rédaction personnalisée des documents et l’accompagnement de leur mise en œuvre constituent des prestations distinctes. Le périmètre couvert, les livrables et les modalités de validation sont précisés avant la commande.

Pour préparer un échange, commencez par décrire le projet, son stade d’avancement et la question à résoudre, sans transmettre de données de patients.

Questions fréquentes sur les MR CNIL

Combien existe-t-il de MR CNIL ?

La CNIL recense huit méthodologies de référence en recherche en santé, numérotées MR-001 à MR-008. Elles couvrent des situations différentes. Le référentiel des entrepôts de données de santé est un cadre distinct.

Quelle différence entre MR-001 et MR-003 ?

Leur champ dépend notamment de la qualification de la recherche et du recueil requis du consentement à la participation ou à un acte spécifique. Il faut lire les conditions et exclusions de chaque texte. Ce consentement ne doit pas être confondu avec la base légale du traitement au titre du RGPD.

Une étude rétrospective relève-t-elle toujours de la MR-004 ?

Non. Il faut vérifier la qualification de la recherche, l’origine des données, les opérations, les acteurs et les exclusions du texte. La seule mention « rétrospective » ne permet pas de conclure. La MR-004 peut aussi couvrir certaines collectes prospectives.

Faut-il requalifier toutes les études anciennes avec les règles de 2026 ?

Une nouvelle formalité n’est pas systématique. Examinez la date de début du traitement, le cadre initial, les formalités accomplies et les modifications intervenues. Les dispositions transitoires et l’outil d’orientation de la CNIL déterminent les démarches à envisager.

Que faire si mon projet ne respecte pas toutes les conditions d’une MR ?

Identifiez les écarts et les adaptations envisageables. Si le projet relève des formalités préalables et ne peut pas respecter intégralement une MR, une demande d’autorisation auprès de la CNIL peut être nécessaire. Il faut déterminer la procédure applicable avant la mise en œuvre du traitement.