Demandes d’autorisation en santé : bilan pour l’année 2024 de l’action de la CNIL

Des demandes d’autorisation plus nombreuses et des délais d’instruction réduits

En 2024, la CNIL a poursuivi son engagement pour accompagner la mise en conformité des traitements de données de santé. Elle a reçu 619 demandes d’autorisation, soit 20% de plus qu’en 2023 :

• 472 concernent la mise en œuvre de projets de recherche
• 147 concernent la mise en œuvre de traitements hors recherche

Une amélioration de la qualité des dossiers reçus

Parmi ces demandes reçues :

• 397 ont fait l’objet d’une autorisation, soit 65%
• 174 ont été classées sans suite, soit 7% de moins qu’en 2023
• 3 ont fait l’objet d’un refus

La proportion des demandes classées sans suite et refusées a diminué, signe d’une amélioration de la qualité des dossiers reçus. Cette baisse est notamment liée au fait que la plupart des demandeurs listent désormais les points s’écartant du référentiel concerné dans leurs dossiers.

Les dossiers classés sans suite concernent principalement des demandes relatives à des traitements non soumis à formalité préalable, des dossiers incomplets (par exemple ceux relatifs à des projets de recherche pour lesquels l’avis du comité compétent n’a pas été transmis) ou qui sont conformes à un référentiel de la CNIL et ne nécessitent donc pas d’autorisation spécifique.

Les motifs de refus portent principalement sur les mesures techniques et organisationnelles visant à assurer la sécurité des données comme la pseudonymisation des données et le respect du principe de minimisation.

Un accompagnement accru pour des demandes mieux préparées

En 2023, la CNIL a publié plusieurs fiches pratiques sur les critères à respecter pour obtenir une autorisation et a organisé un webinaire dédié à ces sujets.

Cet accompagnement s’est poursuivi en 2024 avec un focus sur :

• l’information (y compris de façon dématérialisée) et les droits des personnes concernées ;
• la minimisation des données ;
• la prévention de poursuite des « finalités interdites » en matière de traitement des données du système national des données de santé (SNDS) ;
• la conformité des circuits d'appariement avec le SNDS ;
• les modalités de pseudonymisation et d’anonymisation des données ;
• la sécurisation des accès (mise en place d’une authentification multifacteur) ;
• la mise en conformité avec le nouveau référentiel de sécurité applicable au SNDS prévu par l’arrêté du 6 mai 2024.

Une réduction des délais d’instruction

L’année 2024 a également été marquée par une réduction des délais d’instruction des demandes d’autorisation.

Ceci témoigne non seulement de l’amélioration globale de la qualité des dossiers reçus, ainsi que d’un gain d’efficacité dans le traitement des dossiers.

Ainsi, s’agissant des demandes d’autorisation relatives à des projets de recherche :

• le délai d’instruction moyen a été de 65 jours (vs 73 jours en 2023) ;
• 33% des demandes ont été traitées en moins d’un mois (vs 29% en 2023).

S’agissant des demandes d’autorisation « hors recherche » :

• le délai d’instruction moyen a été de 49 jours en 2024 (vs 65 jours en 2023) ;
• 62% des demandes ont été traitées en moins d’un mois (vs 37% en 2023).

Afin d’améliorer encore la qualité des dossiers et d’accélérer davantage leur instruction, un nouveau formulaire de demande d’autorisation sera mis en ligne d’ici la mi-2025.

Par ailleurs, dans le cadre de la mise à jour de ses référentiels santé, la CNIL finalise actuellement son programme de travail, tenant compte des contributions issues de sa récente consultation publique.