–
La MR-003 est la méthodologie de référence homologuée par la CNIL via la délibération nᵒ 2018-154 du 3 mai 2018. Elle encadre les recherches dans le domaine de la santé sans recueil du consentement. En contrepartie, un engagement de conformité est exigé. Vous voulez lancer une étude clinique sans demander un consentement écrit ? La MR-003 est probablement votre cadre. Mais elle impose des règles strictes. Ce guide vous explique comment l’appliquer sans erreur.
La MR-003 occupe une place précise dans l’écosystème CNIL. Elle complète d’autres méthodologies et s’inscrit dans le cadre du RGPD. Pour bien la situer, il faut la comparer à la MR-001 qui couvre les recherches avec recueil du consentement. La MR-003 cible l’autre versant. Le consentement n’est pas requis.
Dipeeo accompagne les organismes de recherche dans cette mise en conformité grâce à un DPO externalisé spécialisé en recherche médicale.
Les méthodologies de référence sont des cadres pré-homologués par la Commission nationale de l’informatique et des libertés. Elles décrivent à l’avance les conditions d’un traitement conforme. Le responsable de traitement signe un engagement de conformité. Il met ensuite la recherche en œuvre sans autorisation individuelle.
La contrepartie est exigeante : chaque condition fixée par la CNIL doit être respectée. La documentation doit le prouver. Dès qu’un projet sort du cadre, une demande d’autorisation classique redevient nécessaire.
La MR-003 encadre les traitements de données de santé d’intérêt public, réalisés dans le cadre de recherches impliquant la personne humaine. Elle s’applique aux recherches pour lesquelles le consentement du patient n’est pas obligatoire, dès lors que :
Attention : même lorsqu’aucun consentement n’est demandé, le patient doit être informé. Il reçoit une note complète sur l’utilisation de ses données et peut s’y opposer à tout moment. Si le patient s’y oppose, le responsable de traitement doit appliquer cette décision.
| Méthodologie | Champ d’application | Consentement | Délibération |
| MR-001 | Recherches interventionnelles, essais cliniques de médicaments | Recueil obligatoire | nᵒ 2018-153 du 3 mai 2018 |
| MR-002 | Études non interventionnelles sur dispositifs médicaux de diagnostic in vitro | Information individuelle | nᵒ 2016-264 du 21 juillet 2016 |
| MR-003 | Recherches impliquant la personne humaine sans recueil du consentement | Non requis, droit d’opposition | nᵒ 2018-154 du 3 mai 2018 |
| MR-004 | Recherches n’impliquant pas la personne humaine, études et évaluations | Non requis, information et opposition | nᵒ 2018-155 du 3 mai 2018 |
Si votre étude porte sur la réutilisation de données déjà collectées, vous relèverez plutôt de la MR-004, et non de la MR-003.
La méthodologie ne s’applique pas à toutes les recherches en santé. La CNIL en réserve l’usage à quatre catégories précises :
Dans tous les cas, l’information et le droit d’opposition restent obligatoires.
Deux textes permettent de se passer du consentement écrit dans certaines recherches en santé.
Le premier, c’est la loi Jardé (loi nᵒ 2012-300 du 5 mars 2012). Elle classe les recherches sur la personne humaine en trois catégories, appelées RIPH 1, 2 et 3, selon le niveau de risque pour le patient.
Pour les RIPH 2 et 3, le consentement écrit n’est pas exigé : une information claire et un droit d’opposition suffisent. C’est précisément le périmètre de la MR-003.
Le second texte, c’est le RGPD. Il autorise le traitement des données de santé à des fins de recherche d’intérêt public (article 9-2-j). Concrètement, cela veut dire que la « base légale » du traitement n’est pas le consentement du patient, mais la mission d’intérêt public poursuivie par la recherche.
Plusieurs conditions doivent être réunies, sans exception :
Conseil Dipeeo : la CNIL peut contrôler à tout moment et exiger la preuve de chaque condition. Documentez tout, dès le démarrage du protocole.
La liste des données autorisées est limitative. Elle figure dans la délibération nᵒ 2018-154. Sont notamment admises :
Toutes les données absentes de cette liste sont exclues. Et la présentation des résultats ne doit jamais permettre l’identification, directe ou indirecte, des personnes se prêtant à la recherche.
Pour identifier les patients, la MR-003 impose un numéro d’ordre ou un code alphanumérique. Sont exclus :
La CNIL recommande de se limiter aux initiales, complétées d’un numéro d’inclusion. La table de correspondance qui relie le code à l’identité réelle doit être conservée de façon sécurisée. Seuls les professionnels intervenant dans la recherche sur le lieu de recherche peuvent y accéder.
Le référentiel CNIL des durées de conservation des données personnelles fixe des règles précises :
Ces durées doivent figurer dans votre registre et être justifiables.
L’information individuelle est obligatoire. Elle doit contenir toutes les mentions prévues par l’article 13 du RGPD :
Pour les recherches interventionnelles à risques minimes, une information collective est admise. Elle suppose un avis préalable du comité de protection des personnes, conformément à l’article L. 1122-1-4 du code de la santé publique. La preuve de la délivrance de l’information doit être conservée.
Sans consentement, le droit d’opposition devient le pivot du dispositif. Il doit être effectif. Cela suppose :
Si un patient s’oppose, ses données doivent être retirées du traitement, sauf exception légale.
Les données de santé sont sensibles au sens de l’article 9 du RGPD. La MR-003 impose donc des règles renforcées :
Seuls les professionnels intervenant dans la recherche peuvent accéder à la table de correspondance.
Pour une recherche conduite sous MR-003, le registre doit mentionner :
Il trace aussi l’engagement de conformité signé auprès de la CNIL et l’AIPD réalisée.
L’intérêt public est une notion centrale et souvent mal comprise. Il n’est pas réservé aux institutions publiques. Une recherche menée par un acteur privé peut présenter un intérêt public. Encore faut-il qu’elle vise des objectifs utiles à la santé publique, à la qualité des soins ou à l’évaluation des pratiques. La CNIL apprécie au cas par cas, sur la base du protocole et de la finalité réelle.
Dès qu’une condition n’est pas respectée, vous sortez du périmètre de la MR-003. La CNIL exige alors une demande d’autorisation classique. C’est le cas lorsque l’information individuelle est impossible et qu’un avis du CPP est requis. C’est aussi le cas pour les études en génétique identifiantes ou les entrepôts de données de santé.
Dipeeo intervient en tant que DPO externalisé auprès des CHU, des bureaux d’études cliniques et des industriels du domaine de la santé. Notre méthode démarre toujours par un audit d’éligibilité à la MR-003, pour vérifier que votre projet entre bien dans le périmètre de la méthodologie. Une fois cette base posée, nous prenons le relais sur les livrables clés :
Concrètement, nos juristes et anciens avocats partent d’un questionnaire d’audit conçu spécifiquement pour la recherche médicale. À partir de vos réponses, nous construisons un plan d’action personnalisé qui croise les exigences de la CNIL, du code de la santé publique et du RGPD.
La MR-003 est un outil de simplification homologué par la CNIL pour les recherches en santé sans recueil du consentement. Elle exige en contrepartie une information individuelle, un droit d’opposition tracé, une AIPD, un registre à jour et le respect strict de la délibération 2018-154.
Vous lancez une étude et souhaitez vérifier votre éligibilité à la MR-003 ?
Les équipes Dipeeo vous accompagnent de l’audit jusqu’à l’engagement de conformité.
Échanger avec un expert DPO externalisé → Dipeeo
Pas toujours. Une étude purement rétrospective sur des données déjà collectées relève généralement de la MR-004. La MR-003 vise les recherches impliquant la personne humaine, même sans intervention.
Oui. Le responsable de traitement effectue une déclaration simplifiée d’engagement de conformité. Aucune annexe n’est à joindre, mais la documentation doit rester disponible en cas de contrôle.
Ses données doivent être retirées du traitement, sauf obligation légale contraire. L’opposition doit être tracée dans le registre.
Oui, sous conditions strictes. Seules des données anonymes ou indirectement identifiantes peuvent être transmises hors de l’Union européenne, avec les garanties prévues au chapitre V du RGPD.
Jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé.
