- Depuis le 23 mai 2026, la note d'information peut être remise par voie électronique, à cinq conditions cumulatives.
- Le canal dépend du contenu : e-mail simple si la note ne révèle rien de l'état de santé, code d'accès ou plateforme authentifiée dans le cas contraire.
- Les MR encadrent l'information sur les données, pas la signature du consentement à participer.
- Authentification multifacteur exigible au 1er janvier 2027 pour les outils accessibles par internet, au 1er janvier 2028 pour tous.
- Recherches en cours : plan d'actions et mesures de sécurité au plus tard en mai 2027.
Depuis le 23 mai 2026, les méthodologies de référence MR-001 et MR-003 de la CNIL autorisent la remise de la note d'information par voie électronique, à cinq conditions cumulatives et avec des mesures de sécurité qui dépendent du contenu de la note. Elles imposent aussi l'authentification multifacteur au 1er janvier 2027 pour les outils accessibles par internet. Votre plateforme eConsent entre dans les deux périmètres.
Vous déclarez vos recherches en conformité à la MR-001 ou à la MR-003 ? La CNIL a homologué de nouvelles versions de ces deux méthodologies par délibérations du 19 mars 2026, publiées au Journal officiel du 23 mai 2026 et annoncées par la CNIL le 26 mai. Les textes s'accompagnent d'une annexe sécurité commune : 30 mesures générales et quatre exigences propres à la note d'information électronique. Si votre équipe diffuse ses documents d'information par un eConsent, trois questions se posent : quel canal le texte accepte, ce que la plateforme doit sécuriser, et dans quel délai.
Qu'est-ce qui change dans les MR-001 et MR-003 en 2026 ?
La mise à jour élargit le champ des deux méthodologies, ajoute l'information par voie dématérialisée et renvoie la sécurité à une annexe commune. D'après le tableau récapitulatif publié par la CNIL en mai 2026, les modifications de fond portent sur le champ d'application, la base légale, les catégories de données, les destinataires, l'information des personnes, les transferts hors UE et les sous-traitants.
La MR-001 couvre les recherches qui nécessitent le recueil du consentement de la personne, la MR-003 celles qui n'en nécessitent pas. Trois changements touchent une équipe qui utilise un eConsent :
- le champ s'ouvre aux recherches sur les produits de santé, investigations cliniques de dispositifs médicaux et études de performances comprises, ainsi qu'aux recherches menées en partie ou en totalité à l'étranger ;
- la note d'information peut être remise par voie électronique, et une information différée devient possible en cas d'inclusion en urgence ;
- les mesures de sécurité figurent dans l'annexe sécurité, homologuée par la délibération n° 2026-049.
Pour la MR-001, un responsable de traitement établi en France peut inclure des personnes qui ne résident pas en France, à condition que la réglementation du pays où elles résident impose le recueil du consentement. Une étude multicentrique pilotée depuis la France peut donc relever de la MR-001 même quand une partie des participants vit à l'étranger.
Peut-on remettre la note d'information par voie électronique ?
Oui, pour les recherches mises en œuvre à compter du 23 mai 2026, à cinq conditions cumulatives fixées par la délibération n° 2026-050 portant MR-001 : la personne ou ses représentants ne s'opposent pas à ce mode de remise, elle dispose des moyens d'accéder au support électronique, l'information reste disponible pendant toute la recherche, la personne peut obtenir la note sur papier à tout moment si elle le demande, et les mesures de l'annexe sécurité s'appliquent. La MR-003 pose les mêmes conditions.
Chaque condition appelle une décision dans votre protocole ou dans votre outil :
- Non-opposition : tracez le choix de la personne avant le premier envoi. Si elle refuse le format électronique, remettez-lui la note sur papier.
- Moyens d'accès : l'investigateur vérifie que la personne dispose d'un appareil et d'une adresse ou d'un numéro qu'elle utilise, et le consigne.
- Disponibilité : la note reste accessible jusqu'à la fin de la recherche. Si vous l'envoyez par un lien de téléchargement, dont l'annexe impose une durée limitée, prévoyez l'endroit où la personne la retrouve ensuite, par exemple son espace participant.
- Papier sur demande : même après avoir accepté le format électronique, la personne peut demander la note sur papier à tout moment de la recherche. Prévoyez qui la lui remet au centre.
- Sécurité : le canal admis dépend du contenu de la note, détaillé dans la section suivante.
L'annexe demande aussi, pour tous les échanges à distance, de vérifier l'identité des personnes contactées et de sécuriser l'envoi dématérialisé des notes d'information (exigence MR-SEC-23). Si vous organisez l'inclusion en télévisite, cette vérification entre dans votre procédure.
Quel canal choisir selon le contenu de la note d'information ?
Le canal dépend d'une question : la note révèle-t-elle une information sur l'état de santé de la personne ? Si elle n'en révèle aucune, un courrier électronique simple suffit, vers une adresse personnelle et utilisée. Si elle en révèle, l'annexe sécurité exige un accès protégé : pièce jointe chiffrée ou lien protégé par un code transmis par un autre canal, ou plateforme à connexion authentifiée.
| Contenu de la note | Canal admis | Conditions fixées par l'annexe sécurité |
|---|---|---|
| Aucune information sur l'état de santé | Courrier électronique simple (MR-INF-02) | Adresse personnelle et individuelle, utilisée par la personne ou ses représentants |
| Information possible sur l'état de santé | Courrier électronique avec code d'accès (MR-INF-03) | Objet et corps neutres ; note chiffrée ou lien exigeant un code ; code transmis par un canal séparé (remise en main propre, appel, SMS vers un numéro vérifié) ; durée de mise à disposition limitée sur une plateforme de téléchargement |
| Information possible sur l'état de santé | Plateforme sécurisée (MR-INF-04) | Connexion authentifiée de la personne ; notification d'invitation sans aucune information sur l'état de santé |
Une note d'information pour un essai en oncologie ou pour une étude réservée à des patients diabétiques révèle l'état de santé par son seul titre. L'objet du message, son corps et la notification de la plateforme doivent alors rester neutres. Relisez vos modèles de message : « Votre note d'information pour l'étude Diabète 2 » en dit déjà trop.
Les MR encadrent-elles la signature électronique du consentement ?
Non. Les MR-001 et MR-003 encadrent le traitement des données personnelles, dont l'information des participants au titre du RGPD. La délibération n° 2026-050 ne mentionne ni le consentement électronique ni la signature électronique : le recueil du consentement à participer relève des réglementations propres à chaque type de recherche.
Votre eConsent porte deux documents que les équipes confondent souvent. La note d'information sur le traitement des données relève des MR. Le formulaire de consentement à participer relève d'autres textes, selon la catégorie de recherche. Faites valider par votre comité d'éthique et votre délégué à la protection des données la signature électronique retenue pour le second. Notre article sur la signature électronique du consentement éclairé compare les niveaux de signature prévus par le règlement eIDAS.
Quelles exigences de sécurité s'appliquent à votre plateforme eConsent ?
L'annexe sécurité liste 30 mesures générales. Pour un eConsent, quatre pèsent le plus : l'authentification multifacteur pour accéder aux données des participants, un identifiant unique par utilisateur, la journalisation des activités, et un code non signifiant pour indexer les données de la recherche.
- Authentification multifacteur (MR-SEC-12) : au moins deux facteurs distincts pour accéder aux données des personnes. La MR-001 la rend exigible au 1er janvier 2027 pour les services accessibles par internet, et au 1er janvier 2028 pour tous les autres.
- Identifiant unique (MR-SEC-10) : un compte par utilisateur, aucun compte partagé entre les attachés de recherche d'un centre.
- Journalisation (MR-SEC-14) : les activités des utilisateurs sont tracées, et les traces sont analysées pour détecter un incident.
- Code non signifiant (MR-CNS-02) : le code qui indexe les données ne contient ni initiales, ni date de naissance, ni numéro d'inclusion.
L'annexe interdit aussi l'usage d'équipements personnels pour accéder aux données de la recherche (MR-SEC-21) et demande des logiciels dédiés à la recherche, hébergés sur des serveurs dédiés (MR-SEC-19). Si les attachés de recherche d'un centre consultent l'eConsent depuis leur téléphone personnel, cette pratique sort du cadre. La mise à jour ne touche les durées de conservation que sur la forme : notre article sur l'archivage et la confidentialité des données d'essais les détaille.
Recherches en cours : quel calendrier retenir ?
Les nouvelles MR s'appliquent aux recherches mises en œuvre à compter du 23 mai 2026. Pour les recherches en cours à cette date, la CNIL demande un plan d'actions et la mise en œuvre des mesures de sécurité au plus tard en mai 2027. L'authentification multifacteur suit ses propres échéances, au 1er janvier 2027 puis au 1er janvier 2028.
| Date | Ce qui s'applique |
|---|---|
| 23 mai 2026 | Publication au Journal officiel ; toute recherche mise en œuvre à partir de cette date suit les nouvelles versions |
| 1er janvier 2027 | Authentification multifacteur pour les services accessibles par internet |
| Mai 2027 | Fin du délai laissé aux recherches en cours pour appliquer les mesures de sécurité |
| 1er janvier 2028 | Authentification multifacteur pour l'ensemble des services, accessibles ou non par internet |
Les déclarations de conformité faites sous les anciennes versions restent valables. Pour une recherche en cours, passer au contrôle qualité à distance ne demande pas d'autorisation de la CNIL, selon son annonce du 26 mai 2026. Inscrivez dans votre plan d'actions la date à laquelle chaque étude en cours passe à la note électronique, et nommez la personne qui vérifie les cinq conditions avant le premier envoi.
Comment Datacapt eConsent diffuse la note et recueille le consentement
Datacapt eConsent envoie les formulaires par e-mail, SMS ou QR code, et le participant les ouvre sur son téléphone, sa tablette ou son ordinateur, sans application à installer. La signature électronique avancée (AdES) au sens du règlement eIDAS s'accompagne d'une vérification d'identité et d'un horodatage. Les contenus multilingues suivent une gestion de versions par pays et par site, et la plateforme prend en charge les workflows de re-consentement.
Chaque action d'un utilisateur entre dans une piste d'audit horodatée, et les données sont hébergées sur un cloud certifié HDS en France. La double authentification s'active selon la politique de chaque organisation : inscrivez-la dans la configuration de vos études avant le 1er janvier 2027.
Avant votre prochaine soumission, relisez trois pièces : le modèle de message qui accompagne la note d'information, la procédure qui trace la non-opposition du participant au format électronique, et la configuration d'authentification de votre eConsent. Les deux premières relèvent de votre équipe. La troisième se règle avec votre éditeur, et le guide de mise en place de l'eConsent reprend les étapes à suivre avec le comité d'éthique.
Questions fréquentes sur les MR-001 et MR-003
[[faq]]
Sources
- CNIL, Recherche en santé : la CNIL met à jour et élargit le champ des méthodologies de référence 001 et 003, 26 mai 2026
- CNIL, Tableau récapitulatif des modifications réalisées sur les MR-001 et MR-003, mai 2026
- CNIL, Annexe sécurité pour les méthodologies de référence (MR), version avril 2026
- CNIL, Délibération n° 2026-049 du 19 mars 2026 portant homologation de l'annexe « sécurité » pour les méthodologies de référence relatives aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé, Légifrance, Journal officiel du 23 mai 2026
- CNIL, Délibération n° 2026-050 du 19 mars 2026 portant homologation d'une méthodologie de référence relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé nécessitant le recueil du consentement de la personne concernée en vue de la participation à la recherche (MR-001) et abrogeant la délibération n° 2018-153, Légifrance, Journal officiel du 23 mai 2026
Qu'est-ce que la MR-001 ?
La MR-001 est la méthodologie de référence de la CNIL pour les traitements de données des recherches dans le domaine de la santé qui nécessitent le recueil du consentement de la personne. Un promoteur qui s'y conforme dépose une déclaration de conformité au lieu d'une demande d'autorisation. La version en vigueur a été homologuée le 19 mars 2026 par la délibération n° 2026-050.
Quelle différence entre la MR-001 et la MR-003 ?
La MR-001 couvre les recherches qui nécessitent le consentement de la personne. La MR-003 couvre les recherches qui ne le nécessitent pas, où la personne reçoit une information et peut s'opposer au traitement de ses données. Les deux méthodologies ont été mises à jour le 19 mars 2026 et partagent la même annexe sécurité.
Peut-on envoyer la note d'information d'une étude clinique par e-mail ?
Oui, depuis le 23 mai 2026, si la personne ne s'y oppose pas, dispose des moyens d'y accéder, garde accès à la note pendant toute la recherche et peut l'obtenir sur papier à tout moment. Un e-mail simple suffit quand la note ne révèle rien de l'état de santé. Dans le cas contraire, l'annexe sécurité exige un code d'accès transmis par un autre canal ou une plateforme à connexion authentifiée.
Quand l'authentification multifacteur devient-elle obligatoire pour les recherches en santé ?
Au 1er janvier 2027 pour les services accessibles par internet, et au 1er janvier 2028 pour l'ensemble des services, selon la MR-001 homologuée le 19 mars 2026. L'exigence MR-SEC-12 de l'annexe sécurité demande au moins deux facteurs d'authentification distincts pour accéder aux données des personnes qui se prêtent à la recherche.
Faut-il refaire une déclaration pour une recherche en cours ?
Non. Les déclarations de conformité faites sous les anciennes versions des MR restent valables. La CNIL demande en revanche aux responsables de traitement de définir un plan d'actions et d'appliquer les mesures de l'annexe sécurité au plus tard en mai 2027, soit un an après la publication.
Avec plus de 10 ans d'expérience au sein des CRO, Khalil apporte une expertise approfondie en matière d'essais cliniques et une compréhension claire des défis quotidiens auxquels sont confrontés les professionnels de la recherche. Ses idées sont fondées sur des opérations réelles, ce qui rend son point de vue à la fois pratique et stratégique.
Blog & News Datacapt
Les derniers articles, guide et tutoriels.
