Použití údajů vlastních pacientů pro výzkum nezbavuje zdravotnické zařízení povinností podle GDPR. Francouzský úřad vysvětlil, kdy projekt splňuje podmínky interního výzkumu a kde tato výjimka končí.

Podle výkladu CNIL ze 6. listopadu musí současně jít o údaje získané při individuální péči, výzkum prováděný ošetřujícím týmem a využití výhradně pro tento tým. Ve Francii pak odpadají předchozí formality vůči CNIL, nikoli vedení záznamů o zpracování, případné posouzení vlivu a informování pacientů. Při nesplnění podmínek přichází podle konkrétního režimu na řadu prohlášení o souladu s referenčním rámcem nebo předchozí povolení.

Informace mají být zásadně předány jednotlivým pacientům, případně ve dvou navazujících úrovních. Hromadné informování kvůli nepřiměřenému úsilí je výjimkou, kterou je nutné doložit. Zůstává také právo vznést námitku.

Publikace výsledků není vyloučena, ale vydavatel ani externí recenzent nesmějí získat neanonymizované zdravotní údaje. Pseudonymizace anonymizaci nenahrazuje. Výzkum pro komerční využití externím financujícím subjektem nesplňuje podmínku výhradního použití ošetřujícím týmem; samotné předání anonymizovaných výsledků tuto hranici neodstraní.

Jde o francouzský procesní režim, nikoli o obecnou českou výjimku. Pro tuzemské organizace je využitelné zejména rozlišení vlastního výzkumu, spolupráce s třetí stranou a následného zpřístupnění dat.