La Commission Nationale de l'Informatique et des Libertés (CNIL) a précisé le cadre juridique applicable aux recherches internes menées par les professionnels de santé.

Un projet de recherche est qualifié d'interne s'il remplit trois conditions cumulatives : il est réalisé à partir de données collectées dans le cadre du suivi individuel des patients, par l'équipe de soins assurant ce suivi, et pour l'usage exclusif de cette dernière. Ces recherches sont exemptées de formalités préalables auprès de la CNIL mais restent soumises aux obligations générales du RGPD, notamment la tenue d'un registre des traitements et l'information des personnes concernées. Si un projet ne respecte pas ces critères, il doit faire l'objet soit d'une déclaration de conformité à un référentiel, soit d'une demande d'autorisation auprès de la CNIL.

L'information des participants doit être conforme aux articles 12 à 14 du RGPD. Une information individuelle est le principe, mais une information collective peut être envisagée à titre dérogatoire si la démarche individuelle exige des efforts disproportionnés, cette exception devant être documentée. Les participants conservent leurs droits, notamment le droit d'opposition prévu à l'article 21 du RGPD. La publication des résultats est possible, à condition que l'accès aux données de santé non anonymisées reste restreint à l'équipe de soins et que l'exploitation des résultats ne soit pas réalisée par un tiers à des fins commerciales.