- Desde el 23 de mayo de 2026, las MR-001 y MR-003 permiten entregar la nota informativa por vía electrónica, con cinco condiciones acumulativas.
- El canal depende del contenido: correo simple si la nota no revela nada sobre la salud; si no, código de acceso o plataforma autenticada.
- Las MR regulan la información sobre el tratamiento de datos, no la firma del consentimiento para participar en la investigación.
- La autenticación multifactor es exigible el 1 de enero de 2027 para las herramientas accesibles por internet, y el 1 de enero de 2028 para todas.
- Investigaciones en curso: plan de acción y medidas de seguridad aplicadas como máximo en mayo de 2027.
Desde el 23 de mayo de 2026, las metodologías de referencia MR-001 y MR-003 de la CNIL (méthodologies de référence) permiten entregar la nota informativa (note d'information) por vía electrónica, con cinco condiciones acumulativas y con medidas de seguridad que dependen del contenido de la nota. También exigen la autenticación multifactor a partir del 1 de enero de 2027 para las herramientas accesibles por internet. Su plataforma de eConsent entra en ambos ámbitos.
¿Declara sus investigaciones conforme a la MR-001 o a la MR-003? La CNIL, la autoridad francesa de protección de datos, homologó nuevas versiones de las dos metodologías mediante deliberaciones del 19 de marzo de 2026, publicadas en el Journal officiel (el boletín oficial francés) del 23 de mayo de 2026 y anunciadas por la CNIL el 26 de mayo. Los textos van acompañados de un anexo de seguridad común (annexe sécurité): 30 medidas generales y cuatro requisitos propios de la nota informativa electrónica. Si su equipo distribuye sus documentos de información con un eConsent, se plantean tres preguntas: qué canal acepta el texto, qué debe proteger la plataforma y en qué plazo.
¿Qué cambia en las MR-001 y MR-003 en 2026?
La actualización amplía el ámbito de las dos metodologías, añade la información por vía electrónica y remite la seguridad a un anexo común. Según el cuadro resumen publicado por la CNIL en mayo de 2026, los cambios de fondo afectan al ámbito de aplicación, la base jurídica, las categorías de datos, los destinatarios, la información a las personas, las transferencias fuera de la UE y los encargados del tratamiento.
La MR-001 cubre las investigaciones que requieren el consentimiento de la persona, y la MR-003, las que no lo requieren. Tres cambios afectan a un equipo que usa un eConsent:
- el ámbito se abre a las investigaciones con productos de salud, incluidas las investigaciones clínicas de productos sanitarios y los estudios del funcionamiento, así como a las investigaciones llevadas a cabo total o parcialmente en el extranjero;
- la nota informativa puede entregarse por vía electrónica, y se admite una información diferida cuando la inclusión se hace en una situación de urgencia;
- las medidas de seguridad figuran en el anexo de seguridad, homologado por la deliberación n.º 2026-049.
En el marco de la MR-001, un responsable del tratamiento establecido en Francia puede incluir a personas que no residen en Francia, siempre que la normativa de su país de residencia exija recabar el consentimiento. Un estudio multicéntrico dirigido desde Francia puede, por tanto, acogerse a la MR-001 aunque parte de los participantes viva en el extranjero.
¿Se puede entregar la nota informativa por vía electrónica?
Sí, para las investigaciones iniciadas a partir del 23 de mayo de 2026, con cinco condiciones acumulativas fijadas por la deliberación n.º 2026-050 que homologa la MR-001: la persona o sus representantes no se oponen a este modo de entrega, la persona dispone de medios para acceder al soporte electrónico, la información sigue disponible durante toda la investigación, la persona puede obtener la nota en papel en cualquier momento si lo pide, y se aplican las medidas del anexo de seguridad. La MR-003 establece las mismas condiciones.
Cada condición exige una decisión en su protocolo o en su herramienta:
- No oposición: registre la elección de la persona antes del primer envío. Si rechaza el formato electrónico, entréguele la nota en papel.
- Medios de acceso: el investigador comprueba que la persona tiene un dispositivo y una dirección o un número que usa, y lo deja registrado.
- Disponibilidad: la nota sigue accesible hasta el final de la investigación. Si la envía con un enlace de descarga, que según el anexo debe tener una duración limitada, decida dónde podrá encontrarla la persona después, por ejemplo en su espacio de participante.
- Papel a petición: aunque haya aceptado el formato electrónico, la persona puede pedir la nota en papel en cualquier momento de la investigación. Decida quién se la entrega en el centro.
- Seguridad: el canal admitido depende del contenido de la nota, como se explica en la sección siguiente.
Para todos los intercambios a distancia, el anexo exige además verificar la identidad de las personas contactadas y proteger el envío electrónico de las notas informativas (requisito MR-SEC-23). Si hace la inclusión por televisita, incluya esta verificación en su procedimiento.
¿Qué canal elegir según el contenido de la nota informativa?
El canal depende de una pregunta: ¿revela la nota alguna información sobre el estado de salud de la persona? Si no revela ninguna, basta un correo electrónico simple, enviado a una dirección personal que la persona use. Si la revela, el anexo de seguridad exige un acceso protegido: archivo adjunto cifrado o enlace protegido por un código enviado por otro canal, o bien una plataforma con inicio de sesión autenticado.
| Contenido de la nota | Canal admitido | Condiciones del anexo de seguridad |
|---|---|---|
| Ninguna información sobre el estado de salud | Correo electrónico simple (MR-INF-02) | Dirección personal e individual, usada por la persona o sus representantes |
| Posible información sobre el estado de salud | Correo electrónico con código de acceso (MR-INF-03) | Asunto y cuerpo neutros; nota cifrada o enlace que exige un código; código enviado por un canal distinto (entrega en mano, llamada, SMS a un número verificado); plazo de disponibilidad limitado en una plataforma de descarga |
| Posible información sobre el estado de salud | Plataforma segura (MR-INF-04) | Inicio de sesión autenticado de la persona; notificación de invitación sin ninguna información sobre el estado de salud |
La nota informativa de un ensayo de oncología, o de un estudio reservado a pacientes con diabetes, revela el estado de salud solo con su título. El asunto del mensaje, el cuerpo y la notificación de la plataforma deben entonces ser neutros. Revise sus plantillas de mensaje: «Su nota informativa para el estudio Diabetes 2» ya dice demasiado.
¿Regulan las MR la firma electrónica del consentimiento?
No. Las MR-001 y MR-003 regulan el tratamiento de datos personales, incluida la información a los participantes conforme al RGPD. La deliberación n.º 2026-050 no menciona ni el consentimiento electrónico ni la firma electrónica: la obtención del consentimiento para participar se rige por la normativa propia de cada tipo de investigación.
Su eConsent contiene dos documentos que los equipos confunden a menudo. La nota informativa sobre el tratamiento de datos depende de las MR. El formulario de consentimiento para participar depende de otros textos, según la categoría de investigación. Pida a su comité de ética y a su delegado de protección de datos que validen la firma electrónica elegida para el formulario de consentimiento. Nuestro artículo sobre la firma electrónica del consentimiento informado compara los niveles de firma previstos por el reglamento eIDAS.
¿Qué requisitos de seguridad se aplican a su plataforma de eConsent?
El anexo de seguridad enumera 30 medidas generales. Para un eConsent, cuatro pesan más que las demás: la autenticación multifactor para acceder a los datos de los participantes, un identificador único por usuario, el registro de la actividad y un código no significativo para indexar los datos de la investigación.
- Autenticación multifactor (MR-SEC-12): al menos dos factores distintos para acceder a los datos de las personas. La MR-001 la hace exigible el 1 de enero de 2027 para los servicios accesibles por internet, y el 1 de enero de 2028 para todos los demás.
- Identificador único (MR-SEC-10): una cuenta por usuario, sin cuentas compartidas entre el personal de investigación de un centro.
- Registro de actividad (MR-SEC-14): la plataforma registra la actividad de los usuarios, y esos registros se analizan para detectar incidentes.
- Código no significativo (MR-CNS-02, code non signifiant): el código que indexa los datos no contiene iniciales, fecha de nacimiento ni número de inclusión.
El anexo prohíbe también usar equipos personales para acceder a los datos de la investigación (MR-SEC-21) y pide programas dedicados a la investigación, alojados en servidores dedicados (MR-SEC-19). Si el personal de investigación de un centro consulta el eConsent desde su teléfono personal, esa práctica queda fuera del marco. La actualización solo cambia la forma de los plazos de conservación: nuestro artículo sobre el archivo y la confidencialidad de los datos de ensayos clínicos los detalla.
Investigaciones en curso: ¿qué calendario hay que tener en cuenta?
Las nuevas MR se aplican a las investigaciones iniciadas a partir del 23 de mayo de 2026. Para las investigaciones en curso en esa fecha, la CNIL pide un plan de acción y la aplicación de las medidas de seguridad como máximo en mayo de 2027. La autenticación multifactor tiene sus propios plazos: el 1 de enero de 2027 y, después, el 1 de enero de 2028.
| Fecha | Qué se aplica |
|---|---|
| 23 de mayo de 2026 | Publicación en el Journal officiel; toda investigación iniciada a partir de esa fecha sigue las nuevas versiones |
| 1 de enero de 2027 | Autenticación multifactor para los servicios accesibles por internet |
| Mayo de 2027 | Fin del plazo concedido a las investigaciones en curso para aplicar las medidas de seguridad |
| 1 de enero de 2028 | Autenticación multifactor para todos los servicios, accesibles o no por internet |
Las declaraciones de conformidad hechas con las versiones anteriores siguen siendo válidas. Para una investigación en curso, pasar al control de calidad a distancia no requiere autorización de la CNIL, según su anuncio del 26 de mayo de 2026. Fije en su plan de acción la fecha en que cada estudio en curso pasa a la nota electrónica, y designe a la persona que comprueba las cinco condiciones antes del primer envío.
Cómo Datacapt eConsent distribuye la nota y recoge el consentimiento
Datacapt eConsent envía los formularios por correo electrónico, SMS o código QR, y el participante los abre en su teléfono, tableta u ordenador, sin instalar ninguna aplicación. La firma electrónica avanzada (AdES) conforme al reglamento eIDAS incluye verificación de identidad y sellado de tiempo. Los contenidos multilingües tienen una gestión de versiones por país y por centro, y la plataforma admite flujos de reconsentimiento.
Cada acción de un usuario queda en un registro de auditoría con fecha y hora, y los datos se alojan en una nube con certificación HDS en Francia (la certificación francesa de alojamiento de datos de salud). La doble autenticación se activa según la política de cada organización: inclúyala en la configuración de sus estudios antes del 1 de enero de 2027.
Antes de presentar su próximo estudio, revise tres elementos: la plantilla del mensaje que acompaña a la nota informativa, el procedimiento que registra la no oposición del participante al formato electrónico y la configuración de autenticación de su eConsent. Los dos primeros dependen de su equipo. El tercero se ajusta con su proveedor de software, y la guía de implantación del eConsent recoge los pasos que hay que seguir con el comité de ética.
Preguntas frecuentes sobre las MR-001 y MR-003
[[faq]]
Fuentes
- CNIL, Recherche en santé : la CNIL met à jour et élargit le champ des méthodologies de référence 001 et 003, 26 de mayo de 2026
- CNIL, Tableau récapitulatif des modifications réalisées sur les MR-001 et MR-003, mayo de 2026
- CNIL, Annexe sécurité pour les méthodologies de référence (MR), versión de abril de 2026
- CNIL, Délibération n° 2026-049 du 19 mars 2026 portant homologation de l'annexe « sécurité » pour les méthodologies de référence relatives aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé, Légifrance, Journal officiel, 23 de mayo de 2026
- CNIL, Délibération n° 2026-050 du 19 mars 2026 portant homologation d'une méthodologie de référence relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé nécessitant le recueil du consentement de la personne concernée en vue de la participation à la recherche (MR-001) et abrogeant la délibération n° 2018-153, Légifrance, Journal officiel, 23 de mayo de 2026
¿Qué es la MR-001?
La MR-001 es la metodología de referencia de la CNIL para los tratamientos de datos de las investigaciones en el ámbito de la salud que requieren el consentimiento de la persona. Un promotor que se ajusta a ella presenta una declaración de conformidad en lugar de una solicitud de autorización. La versión vigente se homologó el 19 de marzo de 2026 mediante la deliberación n.º 2026-050.
¿Qué diferencia hay entre la MR-001 y la MR-003?
La MR-001 cubre las investigaciones que requieren el consentimiento de la persona. La MR-003 cubre las que no lo requieren, en las que la persona recibe información y puede oponerse al tratamiento de sus datos. Las dos metodologías se actualizaron el 19 de marzo de 2026 y comparten el mismo anexo de seguridad.
¿Se puede enviar por correo electrónico la nota informativa de un estudio clínico en Francia?
Sí, desde el 23 de mayo de 2026, si la persona no se opone, dispone de medios para acceder a ella, conserva el acceso a la nota durante toda la investigación y puede obtenerla en papel en cualquier momento. Basta un correo electrónico simple cuando la nota no revela nada sobre el estado de salud. En caso contrario, el anexo de seguridad exige un código de acceso enviado por otro canal o una plataforma con inicio de sesión autenticado.
¿Cuándo será obligatoria la autenticación multifactor en la investigación en salud?
El 1 de enero de 2027 para los servicios accesibles por internet, y el 1 de enero de 2028 para todos los servicios, según la MR-001 homologada el 19 de marzo de 2026. El requisito MR-SEC-12 del anexo de seguridad pide al menos dos factores de autenticación distintos para acceder a los datos de las personas que participan en la investigación.
¿Hay que presentar una nueva declaración para una investigación en curso?
No. Las declaraciones de conformidad hechas con las versiones anteriores de las MR siguen siendo válidas. En cambio, la CNIL pide a los responsables del tratamiento que definan un plan de acción y apliquen las medidas del anexo de seguridad como máximo en mayo de 2027, un año después de la publicación.
With over 10 years of experience working in CROs, Khalil brings deep expertise in clinical trials and a clear understanding of the daily challenges faced by research professionals. His insights are grounded in real-world operations, making his perspective both practical and strategic.
Blog y Noticias
Noticias, artículos, recursos y tutoriales.
