Un mail de Doctolib qui vante un projet de recherche, une case à cocher pour refuser, trois lignes sur une « méthodologie de référence » au nom obscur. Derrière cette formalité se cache un mécanisme qui décide du sort des données de santé de millions de personnes : la MR-004. Presque personne ne la connaît. Elle organise pourtant la réutilisation de votre dossier médical sans jamais vous demander votre accord.
Une autorisation générale décidée une fois pour toutes
La MR-004 est une méthodologie de référence publiée par la CNIL. Elle encadre les traitements de données de santé pour des recherches dites « n'impliquant pas la personne humaine ».
Traduction : des travaux menés sur des données déjà existantes, celles que vos soignants et les plateformes de santé ont accumulées au fil des années sans nouvel examen ni prélèvement.
Son principe est celui d'un accès simplifié. Plutôt que de demander une autorisation à la CNIL projet par projet, un organisme signe un « engagement de conformité » une seule fois. Cet engagement vaut ensuite pour tous ses projets présents et futurs. En échange de cet allégement, il accepte plusieurs obligations : informer les personnes, mener une analyse d'impact, sécuriser les données et inscrire chaque projet dans un répertoire public tenu par le Health Data Hub.
La CNIL fixe une condition de fond : la recherche doit présenter un caractère d'intérêt public. Elle exclut aussi l'accès aux bases centrales de l'Assurance maladie qui relèvent d'un régime plus strict. La MR-004 concerne donc les données que chaque acteur détient déjà en propre.
Le glissement qui mérite votre attention
Le point sensible n'est pas la recherche en santé. Elle est utile et souvent nécessaire. Le point sensible est la mécanique du consentement. La MR-004 ne repose pas sur un accord actif. Elle repose sur votre information, puis sur votre droit de dire non. Si vous ne faites rien, vos données entrent dans le dispositif.
Ce basculement du « je demande la permission » vers le « je préviens, à vous de refuser » change tout à grande échelle. Sur des données de santé, catégorie particulière protégée par l'article 9 du RGPD, il pose une vraie question démocratique. D'autant que le cadre exige l'intérêt public mais que rien n'empêche un acteur privé de s'en réclamer tout en fondant son traitement sur son propre intérêt légitime.
C'est la construction retenue par Doctolib pour son projet de recherche en IA qui invoque son intérêt légitime tout en s'inscrivant dans la MR-004.
On peut y voir un déséquilibre : la condition d'intérêt public encadre le dispositif mais c'est un intérêt privé qui sert de base légale au traitement.
Autre limite pratique : l'information censée déclencher votre choix. La MR-004 impose une information préalable et individuelle. Dans les faits, elle passe par un email parmi d'autres, une mention dans un livret d'accueil ou une ligne dans une politique de confidentialité. Beaucoup de personnes ne la voient jamais. La règle par défaut, elle, s'applique à tout le monde.
Ce que la loi vous laisse comme prise
Votre levier principal est le droit d'opposition. Il figure à l'article 56 de la loi Informatique et Libertés, qui renvoie à l'article 21 du RGPD. Pour la recherche en santé, la loi le précise à son article 76 : information individuelle préalable et procédure d'opposition simple. Concrètement, cela prend la forme d'un formulaire ou d'un email à adresser au responsable du traitement. L'opposition se fait personne par personne. Si vous gérez le compte d'un enfant ou d'un parent âgé, chacun doit faire l'objet d'une démarche distincte, sinon ses données restent dans le dispositif.
Le répertoire public du Health Data Hub est votre second outil. Chaque projet mené sous MR-004 doit y être inscrit. Vous pouvez y vérifier quels organismes traitent des données de santé et pour quelles finalités. C'est le seul endroit où la transparence promise devient vérifiable.
Un réflexe utile en cas d'opposition : garder une trace. Une capture d'écran datée de la confirmation ou un email au délégué à la protection des données qui demande un accusé écrit. Cette preuve compte si vous devez un jour saisir la CNIL. Vous pouvez aussi exercer votre droit d'accès, prévu à l'article 15 du RGPD, pour obtenir la liste des données détenues sur vous. La démarche est gratuite et la réponse doit arriver sous un mois.
Le vrai enjeu : ce que vous laissez ouvert
La MR-004 illustre une logique qui s'installe partout dans le numérique. Un service collecte, accumule puis annonce un nouvel usage des années plus tard. Le consentement d'origine est trop ancien ou trop vague pour être rejoué. Les régulateurs autorisent alors le nouvel usage sur des bases légales qui misent sur votre inertie. Sortir du dispositif redevient un travail actif, à votre charge.
S'opposer projet par projet est nécessaire mais c'est une course sans fin. Le geste de fond consiste à réduire en amont le volume de données qui traînent à votre nom. Chaque compte que vous n'utilisez plus reste une réserve dormante, prête à alimenter un futur usage que vous n'avez pas anticipé. Savez-vous combien de plateformes détiennent aujourd'hui votre historique médical, vos coordonnées ou vos habitudes, sans que vous ayez de raison d'y retourner ? Fairmi vous aide à faire ce tri.