<?xml version="1.0" encoding="UTF-8"?>
<ARTICLE>
<META>
<META_COMMUN>
<ID>JORFARTI000054125922</ID>
<ANCIEN_ID/>
<ORIGINE>JORF</ORIGINE>
<URL>article/JORF/ARTI/00/00/54/12/59/JORFARTI000054125922.xml</URL>
<NATURE>Article</NATURE>
</META_COMMUN>
<META_SPEC>
<META_ARTICLE>
<NUM/>



<MCS_ART/>

<DATE_DEBUT>2999-01-01</DATE_DEBUT>
<DATE_FIN>2999-01-01</DATE_FIN>


<TYPE>AUTONOME</TYPE>


</META_ARTICLE>
</META_SPEC>
</META>
<CONTEXTE>
<TEXTE cid="JORFTEXT000054125917" date_publi="2026-05-23" date_signature="2026-03-19" nature="DELIBERATION" nor="CNIS2613677X" num="2026-049" num_parution_jo="0120">
<TITRE_TXT c_titre_court="Délibération n°2026-049 du 19 mars 2026" debut="2999-01-01" fin="2999-01-01" id_txt="JORFTEXT000054125917">Délibération n° 2026-049 du 19 mars 2026 portant homologation de l'annexe « sécurité » pour les méthodologies de référence relatives aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé</TITRE_TXT>
<TM>
<TITRE_TM debut="2999-01-01" fin="2999-01-01" id="JORFSCTA000054125921">Annexe</TITRE_TM>
</TM>
</TEXTE>
</CONTEXTE>

<VERSIONS>
<VERSION etat="">
<LIEN_ART debut="2999-01-01" etat="" fin="2999-01-01" id="JORFARTI000054125922" num="" origine="JORF"/>
</VERSION>
</VERSIONS>
<SM>
<CONTENU/>
</SM>
<BLOC_TEXTUEL>
<CONTENU>
<p>
<br/>ANNEXE SÉCURITÉ<br/>POUR LES MÉTHODOLOGIES DE RÉFÉRENCE (MR)<br/>Version avril 2026</p>
<p>
<br/>Table des matières</p>
<p>
<br/>Table des matières.<br/>I. - Objectif du document<br/>II. - Mesures générales de sécurité<br/>III. - Mesures de sécurité pour la délivrance de la note d'information au format électronique<br/>IV. - Mesures de sécurité pour la revue et la publication des résultats<br/>V. - Code non signifiant</p>
<p>
<br/>I. - Objectif du document</p>
<p>
<br/>Les exigences de sécurité décrites dans cette annexe sont applicables aux traitements mis en œuvre dans le cadre des méthodologies de référence homologuées par la CNIL en application de l'article 73 de la loi « informatique et libertés » qui renvoient expressément à ce document. Ces méthodologies de référence peuvent également comporter des mesures de sécurité spécifiques.<br/>En outre, ces mesures constituent un état de l'art auquel peut se référer tout responsable de traitement de données dans le cadre de recherches en santé.</p>
<p>
<br/>II. - Mesures générales de sécurité</p>
<div>
<div align="center">

<table border="1">
<tr>
<th>
<br/>Numéro</th>
<th>
<br/>Titre</th>
<th>
<br/>Exigence de sécurité</th>
</tr>
<tr>
<td align="center" colspan="3" valign="middle">
<br/>Préparation et conception</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-01</td>
<td align="justify" valign="middle">
<br/>Piloter la protection des données</td>
<td align="justify" valign="middle">
<br/>Identifier les acteurs compétents en matière de protection des données et de sécurité informatique, dont le délégué à la protection des données et le responsable de la sécurité des systèmes d'information.<br/>S'assurer que le projet de recherche est conforme à la politique générale de protection des données de l'organisme.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-02</td>
<td align="justify" valign="middle">
<br/>Sécurité dès la conception</td>
<td align="justify" valign="middle">
<br/>Intégrer la protection des données et les mesures de sécurité dès la phase de conception de la recherche.<br/>Associer les acteurs compétents en matière de protection des données et de sécurité informatique à la conception des protocoles de recherche et au suivi du projet.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-03</td>
<td align="justify" valign="middle">
<br/>Évaluation des risques</td>
<td align="justify" valign="middle">
<br/>A partir de l'analyse des risques pour les droits et libertés des personnes concernées, définir un plan d'action et mettre en œuvre les mesures techniques et organisationnelles spécifiques pour assurer la protection des données du projet.<br/>Revoir régulièrement l'analyse de risques, en particulier en cas de modification du système ou du contexte du traitement.</td>
</tr>
<tr>
<td align="center" colspan="3" valign="middle">
<br/>Minimisation et pseudonymisation</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-04</td>
<td align="justify" valign="middle">
<br/>Minimisation des données</td>
<td align="justify" valign="middle">
<br/>Minimiser les données traitées (filtrage, transformation, réduction, agrégation, purge, etc.) dès que possible et à toutes les étapes de la recherche.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-05</td>
<td align="justify" valign="middle">
<br/>Séparation par nature de donnée</td>
<td align="justify" valign="middle">
<br/>Dans le cas d'une recherche nécessitant un suivi individuel des personnes se prêtant à la recherche, séparer les données administratives (nom, prénom, identifiant patient permanent, etc.) et les données de santé concernant ces personnes.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-06</td>
<td align="justify" valign="middle">
<br/>Pseudonymisation</td>
<td align="justify" valign="middle">
<br/>Indexer les données de la recherche à l'aide d'un code non signifiant, en appliquant les exigences MR-CNS-01 à 04.<br/>Définir les modalités de réidentification des personnes se prêtant à la recherche.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-07</td>
<td align="justify" valign="middle">
<br/>Images médicales</td>
<td align="justify" valign="middle">
<br/>Pseudonymiser les images médicales par masquage des données identifiantes et suppression des métadonnées identifiantes.<br/>Prendre en compte dans l'évaluation des risques la présence de particularités visuelles permettant la réidentification des personnes (par exemple, tatouages, prothèses, malformations) et mettre en œuvre les mesures appropriées pour réduire la possibilité de réidentification (par exemple, exclure certaines images, masquer les particularités qui ne sont pas utiles à la recherche).</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-08</td>
<td align="justify" valign="middle">
<br/>Purge des données</td>
<td align="justify" valign="middle">
<br/>Effacer les données de la base active à l'expiration de leur durée de conservation.</td>
</tr>
<tr>
<td align="center" colspan="3" valign="middle">
<br/>Protection des données</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-09</td>
<td align="justify" valign="middle">
<br/>Chiffrement des données</td>
<td align="justify" valign="middle">
<br/>Sécuriser les données au repos et en transit, à l'aide de chiffrement ou de mesures de sécurité équivalentes.<br/>Utiliser des algorithmes cryptographiques à l'état de l'art, reconnus et sûrs.<br/>Définir une politique de gestion des clés secrètes.<br/>Protéger les clés secrètes avec des droits d'accès restrictifs et des mots de passe sûrs.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-10</td>
<td align="justify" valign="middle">
<br/>Identification des utilisateurs</td>
<td align="justify" valign="middle">
<br/>Définir un identifiant unique par utilisateur et interdire les comptes partagés entre plusieurs utilisateurs.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-11</td>
<td align="justify" valign="middle">
<br/>Mots de passe</td>
<td align="justify" valign="middle">
<br/>Respecter la recommandation de la CNIL relative aux mots de passe (1).</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-12</td>
<td align="justify" valign="middle">
<br/>Authentification multifacteur</td>
<td align="justify" valign="middle">
<br/>Conditionner l'accès aux données à caractère personnel des personnes se prêtant à la recherche à une authentification multifacteur (2) faisant intervenir a minima deux facteurs d'authentification distincts.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-13</td>
<td align="justify" valign="middle">
<br/>Gestion des accès</td>
<td align="justify" valign="middle">
<br/>Définir des profils d'accès en séparant les tâches et les domaines de responsabilité, afin de limiter l'accès des utilisateurs aux seules données strictement nécessaires à l'accomplissement de leurs missions.<br/>Faire valider toute demande d'attribution de profil d'accès par un responsable hiérarchique.<br/>Limiter l'accès aux outils et interfaces d'administration fonctionnelle aux seules personnes autorisées.<br/>Modifier les profils d'accès des utilisateurs en cas de changement de mission, de poste ou à la fin de leur contrat.<br/>Réaliser une revue régulière, au moins annuelle, des droits d'accès.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-14</td>
<td align="justify" valign="middle">
<br/>Journalisation</td>
<td align="justify" valign="middle">
<br/>Mettre en place un système de journalisation des activités métier des utilisateurs, des interventions techniques, des anomalies et des évènements liés à la sécurité.<br/>Identifier les données de santé éventuellement présentes dans les traces, les minimiser et sécuriser les traces en conséquence.<br/>Analyser de manière proactive, en temps réel ou à court terme, les traces collectées pour être en mesure de détecter la survenue d'un incident.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-15</td>
<td align="justify" valign="middle">
<br/>Documents papier</td>
<td align="justify" valign="middle">
<br/>Sécuriser les documents papier existants (stockage, transmission, destruction).</td>
</tr>
<tr>
<td align="center" colspan="3" valign="middle">
<br/>Sécurisation des outils et équipements</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-16</td>
<td align="justify" valign="middle">
<br/>Sécurisation du parc informatique</td>
<td align="justify" valign="middle">
<br/>Activer le verrouillage automatique des appareils et exiger un secret pour les déverrouiller.<br/>Chiffrer les appareils.<br/>Désactiver l'exécution automatique de programmes.<br/>Limiter au strict besoin opérationnel les droits d'administration.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-17</td>
<td align="justify" valign="middle">
<br/>Sécurité physique</td>
<td align="justify" valign="middle">
<br/>Restreindre et contrôler les accès physiques aux locaux hébergeant les données.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-18</td>
<td align="justify" valign="middle">
<br/>Protection contre les logiciels malveillants</td>
<td align="justify" valign="middle">
<br/>Installer et mettre à jour régulièrement des antivirus, pare-feu et systèmes de détection d'intrusions sur l'ensemble des serveurs et postes de travail maîtrisés par le responsable de traitement.<br/>Déployer rapidement les mises à jour de sécurité, et particulièrement lorsqu'elles viennent corriger des failles critiques publiques.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-19</td>
<td align="left" valign="middle">
<br/>Cloisonnement des données de santé</td>
<td align="justify" valign="middle">
<br/>Cloisonner le traitement des données de santé par rapport au reste du système d'information de l'organisme. Utiliser des logiciels dédiés à la recherche (cahiers d'observation électroniques, questionnaires, etc.) et hébergés sur des serveurs dédiés à la recherche.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-20</td>
<td align="left" valign="middle">
<br/>Gestion des supports amovibles</td>
<td align="justify" valign="middle">
<br/>Interdire l'utilisation de supports amovibles (clés USB, disques durs externes, etc.) non maîtrisés par le responsable de traitement.<br/>En cas d'utilisation de supports amovibles maîtrisés, chiffrer les données sur ces supports et les supprimer après utilisation.<br/>Déployer des solutions permettant d'inspecter le contenu des supports dès la connexion.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-21</td>
<td align="left" valign="middle">
<br/>Équipements non maîtrisés</td>
<td align="justify" valign="middle">
<br/>Interdire l'utilisation d'équipements personnels (« bring your own device ») pour l'accès aux données de la recherche. En cas d'utilisation de matériels professionnels non contrôlés par le responsable de traitement, évaluer les risques liés, définir des mesures spécifiques de réduction des risques et limiter en conséquence les données et les applications accessibles sur ces appareils.<br/>Formaliser par écrit les responsabilités et les précautions à respecter.</td>
</tr>
<tr>
<td align="center" colspan="3" valign="middle">
<br/>Collaboration et sous-traitance</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-22</td>
<td align="left" valign="middle">
<br/>Encadrement des sous-traitants</td>
<td align="justify" valign="middle">
<br/>Prévoir les obligations des parties concernant la sécurité du traitement dans le contrat avec les sous-traitants.<br/>S'assurer que les sous-traitants sont contractuellement tenus de notifier dans les plus brefs délais toute anomalie ou tout incident de sécurité au responsable de traitement.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-23</td>
<td align="left" valign="middle">
<br/>Échanges distants</td>
<td align="justify" valign="middle">
<br/>Protéger les flux et les enregistrements lors des téléconsultations et entretiens à distance.<br/>Vérifier l'identité des personnes contactées.<br/>Sécuriser l'envoi dématérialisé de documents, en particulier les notes d'information et le contrôle qualité à distance.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-24</td>
<td align="left" valign="middle">
<br/>Transmission de données</td>
<td align="justify" valign="middle">
<br/>Sécuriser les échanges de données (par exemple, transferts depuis les centres investigateurs).<br/>En cas d'envoi sur un réseau public (par exemple, internet, messagerie électronique), chiffrer les données avec des algorithmes cryptographiques à l'état de l'art, reconnus et sûrs. Assurer la confidentialité de la clé de chiffrement en la transmettant via un canal distinct.</td>
</tr>
<tr>
<td align="center" colspan="3" valign="middle">
<br/>Documentation et sensibilisation</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-25</td>
<td align="left" valign="middle">
<br/>Documentation</td>
<td align="justify" valign="middle">
<br/>Documenter les procédures d'exploitation des données.<br/>Les tenir à jour et les rendre disponibles à tous les utilisateurs concernés, dans un langage clair et adapté à chaque catégorie d'utilisateurs.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-26</td>
<td align="left" valign="middle">
<br/>Sensibilisation des utilisateurs</td>
<td align="justify" valign="middle">
<br/>Sensibiliser tous les utilisateurs (internes et externes) travaillant avec des données personnelles aux risques liés aux libertés et à la vie privée des personnes, ainsi qu'aux obligations liées au secret médical et au traitement de données de santé.<br/>Les informer des mesures prises pour traiter ces risques et des conséquences potentielles en cas de manquement.<br/>S'assurer qu'ils ont assimilé les bonnes pratiques relatives à la protection des données personnelles à mettre en œuvre au quotidien.</td>
</tr>
<tr>
<td align="center" colspan="3" valign="middle">
<br/>Gestion des incidents et sauvegardes</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-27</td>
<td align="left" valign="middle">
<br/>Gestion des incidents</td>
<td align="justify" valign="middle">
<br/>Diffuser à tous les utilisateurs, internes comme externes, la conduite à tenir et la liste des personnes à contacter en cas de violation de données, d'incident de sécurité ou de survenance d'un évènement inhabituel touchant aux systèmes d'information et de communication de l'organisme.<br/>Sensibiliser les utilisateurs à l'importance de signaler tout évènement suspect.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-28</td>
<td align="left" valign="middle">
<br/>Sauvegardes régulières</td>
<td align="justify" valign="middle">
<br/>Effectuer des sauvegardes fréquentes des données.<br/>Protéger les données sauvegardées avec des mesures de sécurité appropriées pour un niveau de risque équivalent à celui des données d'exploitation.<br/>Vérifier régulièrement leur intégrité et la capacité de les restaurer.<br/>Supprimer les sauvegardes une fois la durée de conservation expirée.</td>
</tr>
<tr>
<td align="center" colspan="3" valign="middle">
<br/>Fin de cycle</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-29</td>
<td align="left" valign="middle">
<br/>Gestion des données après publication</td>
<td align="justify" valign="middle">
<br/>Définir une politique d'archivage sécurisé des données après publication, précisant en particulier les durées de conservation, les conditions d'accès, ainsi que les procédures de purge ou de versement aux Archives nationales.</td>
</tr>
<tr>
<td align="center" valign="middle">
<br/>MR-SEC-30</td>
<td align="left" valign="middle">
<br/>Destruction sécurisée des données</td>
<td align="justify" valign="middle">
<br/>A la fin du projet de recherche, effacer de façon sécurisée les données présentes sur l'ensemble du matériel informatique (par exemple, poste de travail, serveur, disque dur) et ne conserver que les données prévues par la politique d'archivage définie (MR-SEC-29).<br/>En cas de réaffectation ou mise au rebut d'un matériel informatique au cours du projet, effacer préalablement de façon sécurisée les données présentes sur celui-ci.</td>
</tr>
</table>

</div>
</div>
<p class="note">
<br/>(1) Recommandation relative aux mots de passe et autres secrets partagés - délibération 2022-100 du 21 juillet 2022.<br/>(2) Au sens où elle est définie au 2.2 de la recommandation relative à l'authentification multifacteur - délibération n° 2025-019 du 20 mars 2025.</p>
</CONTENU>
</BLOC_TEXTUEL>
<LIENS/>
</ARTICLE>
