Recherche scientifique (hors santé) : les questions-réponses de la CNIL

Le RGPD définit la recherche scientifique de manière assez large.

La définition couvre, par exemple :

• le développement et la démonstration de technologies ;
• la recherche fondamentale ;
• la recherche appliquée ;
• la recherche financée par le secteur privé ;
• la recherche publique, par exemple pour évaluer les politiques publiques menées,
• etc.

Le Comité européen à la protection des données (CEPD), dans ses lignes directrices sur le consentement, donne un éclairage supplémentaire en indiquant que la recherche scientifique se caractérise par « un projet de recherche établi conformément aux normes méthodologiques et éthiques du secteur en question, conformément aux bonnes pratiques ».

Le RGPD distingue par ailleurs les objectifs (ou finalités) de recherche scientifique de celles historiques ou encore statistiques. Dans tous les cas, l’objectif poursuivi par la recherche et le traitement de données mis en œuvre devra être indiqué clairement (exemple : l’amélioration de tel algorithme, l’analyse de tel phénomène démographique, etc).

Compte tenu de cette définition large, la notion de « recherche scientifique » peut s’appliquer pour des collectes et utilisations de données personnelles menées, dans le cadre de thèses de doctorat ou de mémoires de recherche, par des chercheurs rattachés à une université ou à un autre établissement d’enseignement supérieur, des laboratoires R&D d’entreprises privées, etc.

À noter : les traitements à finalité de recherche scientifique dans le domaine de la santé font l’objet d’un encadrement juridique spécifique.

Un traitement de données personnelles est une notion très large. Il s’agit de toute opération sur des données personnelles, par exemple une simple consultation. Le traitement n’a pas nécessairement besoin d’être informatisé : les fichiers papier sont également concernés et sont également soumis au RGPD et à la loi Informatique et Libertés.

Appliqué au domaine de la recherche, il peut s’agir par exemple d’une base de données (avec le nom ou un numéro permettant d’identifier une personne), d’un fichier papier ou numérique, de l’enregistrement oral ou du script d’un entretien mené dans le cadre d’une recherche en sociologie, de notes prises sur un carnet dans le cadre d’une recherche en psychologie, de photographies prises pour une recherche en ethnographie, d’un enregistrement audiovisuel dans le cadre d’un projet de recherche en sciences du langage, d’une application mobile, de dispositifs biométriques utilisés pour le développement d’une technologie, etc.

Le RGPD et la loi Informatique et Libertés définissent le responsable d’un traitement comme la personne morale ou physique qui détermine les moyens à mettre en œuvre pour réaliser le traitement ainsi que les finalités poursuivies.

Compte tenu de la grande diversité des acteurs intervenant dans le domaine de la recherche, et afin de rendre les contenus les plus accessibles aux chercheurs, la CNIL ne distingue pas, dans ce jeu de fiches, le chercheur du « responsable de traitement ». La qualification de responsable de traitement doit s’apprécier au cas par cas et en fonction de l’organisme s’il y en a un (cf. les lignes directrices du CEPD en anglais).

En principe, en dehors du cas où le chercheur agit exclusivement pour son propre compte (chercheur « indépendant », c’est-à-dire sans rattachement à un organisme particulier et/ou sans mandat confié pour la réalisation de la recherche), le responsable du traitement mis en œuvre est l’organisme public ou privé au sein duquel il effectue sa recherche (université, entreprise privée, etc.).

La réglementation en matière de protection des données s’applique dans plusieurs cas, notamment :

• lorsque le responsable de traitement ou le sous-traitant est établi en France, y compris Outre-mer, ou dans un autre État membre de l’Union européenne (UE) ;
• aux traitements concernant les personnes qui se trouvent sur le territoire de l’UE, y compris quand le responsable de traitement ou le sous-traitant n’y est pas établi, lorsque les activités de traitement sont liées :
  • à l’offre de biens ou de services (mêmes gratuits) à destination de ces personnes  ;
  • ou au suivi du comportement de ces personnes (« ciblage »).

Le RGPD doit être lu avec la loi Informatique et Libertés, car le RGPD prévoit de nombreuses marges de manœuvre qui sont adaptées dans la loi française. Ces adaptations s’appliquent donc si la personne concernée réside en France, y compris lorsque le responsable de traitement n'y est pas établi.

Exemples de traitements de données personnelles soumis à la réglementation :

• une recherche menée par une équipe de recherche d’une université française et utilisant une base de données constituée aux États-Unis ;
• une recherche menée par un chercheur résidant au Canada et visant à analyser et prédire les préférences de personnes qui se trouvent sur le territoire français et dans d’autres pays européens (ciblage) ;
• une recherche menée par un organisme privé établi dans un pays membre de l’UE et analysant des données à caractère personnel, au travers de formulaire d’enquêtes en ligne, d’entretiens semi-directifs, et d’extraction de données produites sur un réseau social mondial.

Les traitements à finalité de recherche scientifique ne rentreront pas dans le champ d’application de la réglementation en matière de protection des données personnelles dans les hypothèses suivantes :

• si le traitement mis en œuvre ne contient aucune donnée personnelle (exemple : l’étude du métabolisme chez les oiseaux migrateurs ou encore des recherches menées sur les satellites de la planète Jupiter) ;
• si le traitement mis en œuvre concerne exclusivement des données anonymisées, car elles ont perdu leur « caractère personnel » ;
• si le responsable de traitement n’est pas établi sur le territoire de l’UE et si les recherches menées concernent des personnes qui ne se trouvent pas sur ce même territoire.

Les droits Informatique et Libertés sont des droits personnels qui disparaissent avec le décès de la personne. Toutefois, ils peuvent être provisoirement maintenus : la loi Informatique et Libertés prévoit la possibilité pour une personne de définir des directives relatives à la conservation, à l'effacement et à la communication de ses données personnelles après son décès.

Par ailleurs, la CNIL recommande d’appliquer les règles relatives à la protection des données lorsque le traitement des données de personnes décédées est susceptible d’avoir des conséquences sur la vie privée de leurs ayants droits ou de proches.

Exemple : concernant la publication en ligne anticipée de documents conservés par les services d’archives départementales, la CNIL a considéré qu’il importait de concilier l’intérêt de cette diffusion anticipée pour le public avec la protection des données personnelles des personnes concernées ainsi que de leurs ayants-droits ou proches survivants.

Les données sensibles forment une catégorie particulière de données. Selon le RGPD, il s’agit d’informations qui révèlent :

• la prétendue origine raciale ou ethnique ;
• les opinions politiques ;
• les convictions religieuses ou philosophiques ;
• l’appartenance syndicale ;
• des informations génétiques et biométriques (lorsqu’elles permettent d’identifier une personne unique) ;
• l’état de santé ;
• la vie sexuelle ou l’orientation sexuelle d’une personne.

En principe, la collecte et l’utilisation de ces données est interdite.

Cependant, il est possible de traiter des données sensibles dans le cadre d’une recherche sous certaines conditions strictes.