Recherches internes : quelles sont les obligations pour les professionnels de santé ?

06 novembre 2026

Votre établissement emploie des professionnels de santé qui mènent des recherches internes ? La CNIL rappelle les règles.

Qu’est-ce qu’un projet de recherche interne ?

Pour être qualifié d’« interne », un projet de recherche doit remplir trois conditions cumulatives :

être réalisé à partir de données recueillies dans le cadre de la prise en charge individuelle des patients concernés ;
par des personnels assurant ce suivi (pour la notion d’équipe de soins, se référer à l’article L 1110-12 du Code de la santé publique) ;
pour l’usage exclusif de ces personnels.

Exemple : Il peut s’agir d’un projet de recherche mené par un professionnel de santé à partir des données des patients dont il assure le suivi pour améliorer leur prise en charge (notamment en améliorant ses procédures ou en adaptant l’usage de certains dispositifs médicaux à leurs besoins spécifiques).

On parle parfois de « recherches internes » ou d'« études internes ».

Les recherches internes doivent-elles faire l’objet de formalités préalables auprès de la CNIL ?

Non, les recherches internes ne sont pas soumises à l’obligation de réaliser des auprès de la CNIL.

Attention : Les recherches internes restent soumises aux obligations générales du RGPD applicables aux traitements de données personnelles, dont notamment :

les obligations de documentation interne (ajout au registre des traitements de l’organisme, réalisation éventuelle d’une analyse d’impact relative à la protection des données, etc.) ;
l’obligation d’informer les personnes concernées.

Que faire si un projet de recherche ne remplit pas strictement les critères de la recherche interne ?

La réalisation de formalités préalables s’impose dans ce cas. Il peut s’agir :

d’une déclaration de conformité à un référentiel existant ;
ou, à défaut de conformité en tous point à un référentiel, d’une autorisation préalable de la CNIL, après avis du comité compétent.

À noter : l’engagement de conformité à un référentiel n’est pas à réaliser pour chaque recherche. Il vaut pour l’ensemble des traitements d’un même entrant dans le champ du même référentiel.

Comment les participants à une recherche interne doivent-ils être informés ?

Les recherches internes sont soumises à l’obligation d’information des articles 12 à 14 du RGPD : les personnes concernées doivent être informées de façon concise, transparente, compréhensible et aisément accessible. Il est recommandé d’adopter une approche à plusieurs niveaux :

une information « de premier niveau » remise individuellement à chaque patient (par exemple, dans une notice systématiquement remise aux patients venant réaliser un suivi dans l’établissement) ;
et une information « de second niveau », accessible depuis ce premier support d’information. Elle peut par exemple figurer sur le portail de transparence de l’établissement, auquel renvoie la notice remise aux patients.

Par principe, l’information doit être individuelle. Par exception, une information collective peut être réalisée (par exemple, par affichage dans les locaux ou par voie de presse) quand l’information individuelle exigerait des efforts disproportionnés (en raison du nombre de personnes concernées, du coût de l’information au regard des moyens de l’organisme, de l’accessibilité des coordonnées des participants au projet de recherche, etc.). Cette exception s’apprécie strictement.

Exemple : Un professionnel de santé libéral mène une recherche interne incluant un volet prospectif portant sur les patients dont le suivi est en cours et ceux qu’il prendra en charge durant le projet de recherche, et un volet rétrospectif portant sur les patients dont le suivi est achevé. Le volet rétrospectif portera sur un très grand nombre de patients. Les coordonnées d’une partie de ces patients ne sont pas complètes (pas d’adresse électronique) ou ne sont plus fiables. Leur faire parvenir une information individuelle nécessiterait des efforts disproportionnés (envois postaux d’un grand volume et d’une efficacité discutable). Il faudra alors documenter le caractère disproportionné de l’information pour ces patients, compenser l’absence d’information individuelle par des mesures d’information collective. Les participants au volet prospectif de la recherche devront, eux, recevoir une information individuelle.

Quels sont les droits des participants à la recherche interne ?

Les participants à la recherche interne disposent de droits sur le traitement de leurs données personnelles (articles 12 et suivants du RGPD).

En particulier, le droit d’opposition prévu à l’article 21 du RGPD s’applique à ces traitements.

Puis-je publier les résultats d’une recherche interne ? Puis-je les exploiter dans le cadre d’une thèse ou d’un mémoire ?

Il n’y a pas d’incompatibilité de principe entre la qualification de recherche interne et l’exploitation des résultats du projet de recherche par le chercheur ou l’établissement dans lequel il exerce ses fonctions.

Deux points de vigilance doivent néanmoins être respectés :

L’accès aux données de santé des participants doit rester restreint à l’équipe de soins à moins que ces données aient été anonymisées.

Exemple : En cas de publication des résultats de la recherche dans une revue, il est exclu que son éditeur ou son expert scientifique, qui n’appartiennent pas à l’équipe de soins, aient accès aux données brutes et non-anonymisées concernant la santé des participants.

Attention à ne pas confondre anonymisation et pseudonymisation :

Au contraire des données pseudonymisées, les données anonymisées n’entrent ni dans le champ d’application du RGPD, (cf. considérant 26 du préambule), ni dans celui de la loi Informatique et Libertés.

Le processus d’anonymisation doit avoir été réalisé de manière à ce que la personne concernée ne soit pas ou plus identifiable.

Plus d’informations dans les lignes directrices 02/2026 du CEPD sur l’anonymisation, en consultation publique jusqu’au 30 octobre 2026.

La condition d’usage exclusif n’empêche pas l’exploitation des résultats du projet à des fins d’information du public et de la communauté scientifique

Exemple : Une publication des résultats d’une recherche interne dans une revue scientifique est parfaitement envisageable. En revanche, leur exploitation par un tiers, financeur de la recherche, à des fins lucratives, voire commerciales, ne serait pas compatible avec la condition d’usage exclusif.

En revanche, l’objectif du projet de recherche ne peut pas être la seule transmission de ses résultats ou de données anonymisées à des tiers.

Exemple : Un centre hospitalier implante des prothèses connectées. Le fabricant de ces prothèses, qui assure également leur maintenance, n’a pas accès aux données de santé recueillies via l’objet connecté auprès des patients : ces données sont accessibles directement et uniquement aux professionnels de santé du centre hospitalier, et pour leurs seuls patients. Le fabricant propose au centre hospitalier, contre rémunération, de consolider les données reçues concernant ses patients et de les transmettre, de façon anonymisées, au fabricant. Ce dernier traitera ces données à des fins d’amélioration de ses prothèses connectées. Un tel projet de recherche n’est pas à l’usage exclusif des personnels du centre hospitalier et devra faire l’objet de formalités auprès de la CNIL.

Texte reference