Recherche scientifique (hors santé) : focus sur certaines catégories de données personnelles

Le numéro d’identification des personnes au répertoire national d’identification des personnes physiques (le NIR ou numéro de sécurité sociale) ne peut être utilisé que par certains organismes et pour des usages bien définis (loi Informatique et Libertés et décret « cadre NIR »).

Les utilisations de données qui poursuivent exclusivement des objectifs de recherche scientifique ou historique ne relèvent pas des dispositions du décret « cadre NIR ». En effet, pour ce type de traitements, il est possible pour le responsable du traitement d’utiliser le NIR dans le respect des conditions suivantes :

• Le NIR est chiffré, c’est-à-dire qu’il a fait préalablement l'objet d'une opération cryptographique lui substituant un code statistique non signifiant (les conditions de celle-ci ont été précisées par décret) ;
• L'opération cryptographique et, le cas échéant, l'interconnexion de deux fichiers par l'utilisation du code spécifique non signifiant qui en est issu ne sont pas assurées par la même personne ni par le responsable de traitement.

Les données dites sensibles  regroupent les informations :

• portant sur les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale (par exemple la pratique d’un culte, le fait qu’une personne soit membre d’un parti politique, etc.) ;
• concernant la santé (exemple : les comportements de prévention, le renoncement à des soins, les traitements médicaux, etc.) ;
• concernant la vie sexuelle ou l’orientation sexuelle (existence de relations sexuelles, les préférences sexuelles, etc.) ;
• relatives aux :
  • données génétiques (exemple : ADN, caryotype) ;
  • ou aux données biométriques aux fins d’identifier une personne physique de manière unique (exemple : empreintes digitales, gabarit facial, gabarit vocal, empreintes palmaires, système veineux, frappe de clavier ou autres caractéristiques comportementales telles que la signature manuscrite ou encore la démarche ;
• révélant la prétendue origine raciale ou ethnique.

En revanche, certaines informations, bien qu’elles soient confidentielles (par exemple le secret industriel, le secret de l’instruction, etc.), ne sont pas considérées comme étant des données sensibles au sens du RGPD.

Exemples :

Dans le cadre d’une recherche, les utilisations de données personnelles suivantes contiennent des données sensibles :

• un projet de recherche visant à étudier des pages de personnalités publiques sur les réseaux sociaux qui contiennent des propos rattachés à certaines opinions politiques (orientation politique) ;
• un projet de recherche consistant à interroger des personnes sur leurs comportements sexuels (collecte de données relatives à la vie sexuelle et à l’orientation sexuelle) ;
• un projet de recherche relatif à l’étude du rapport à la laïcité et aux pratiques religieuses (convictions religieuses) ;
• un projet de recherche visant à développer un algorithme de reconnaissance faciale (données biométriques).

Si le RGPD pose un principe d’interdiction du traitement de ces données, des exceptions, présentées ci-dessous, sont toutefois prévues.

Quatre exceptions à cette interdiction peuvent être mobilisées pour la recherche (la dernière exception ci-dessous ne concerne que les traitements dans le domaine de la recherche publique). Ces exceptions se distinguent de la base légale définie pour l’ensemble du traitement :

1. La personne concernée a donné son consentement explicite à l’utilisation de ces données pour un ou des objectifs spécifiques

Pour être valide, le consentement soit libre, spécifique, éclairé et univoque.

Si un accord est donné pour être contacté dans le cadre d’une enquête, celui-ci ne peut pas être considéré comme étant un consentement valable au sens du RGPD, s’il ne remplit pas les conditions explicitées ci-dessus.

De même, ne peuvent être considérés comme valables les consentements recueillis au moyen d’une case précochée ou les consentements « groupés » (un seul consentement demandé pour plusieurs traitements distincts).

2. Les données sensibles sont manifestement rendues publiques par la personne concernée

La notion de « données manifestement rendues publiques par la personne concernée » concerne notamment les contenus se rapportant à la personne qui les a, délibérément, divulgués. Par exemple, on pourrait estimer que cela ne concerne pas les commentaires publiés par un tiers sur un réseau social. 

Exemple : des opinions politiques tenues par un candidat à une élection lors d’une émission télévisée constituent des données manifestement rendues publiques par la personne concernée.

Les données présentes sur les réseaux sociaux

Selon le Comité européen de la protection des données (CEPD), les éléments suivants peuvent être pertinents pour aider à évaluer si les données ont été manifestement rendues publiques par la personne concernée :

• le paramétrage par défaut de la plate-forme de médias sociaux (c'est-à-dire si la personne concernée a fait une action pour changer ces paramètres privés par défaut en paramètres publics) ; ou
• la nature de la plate-forme de médias sociaux (c'est-à-dire si cette plate-forme a vocation à connecter des connaissances proches avec la personne concernée ou à nouer des relations intimes (comme les sites de rencontres), ou s'il est destiné à fournir un plus large éventail de relations interpersonnelles, telles que les relations professionnelles, ou le microblogging, le partage de médias, les réseaux sociaux plateformes de partage d'avis en ligne, etc. ; ou
• l'accessibilité de la page où les données sensibles sont publiées (c'est-à-dire si les informations sont accessibles au public ou si, par exemple, la création d'un compte est nécessaire avant d'accéder aux informations) ; ou
• la visibilité de l’information sur le caractère public des contenus publiés par les personnes concernées (exemple : c'est-à-dire s'il y a une bannière continue sur la page ou si le bouton de publication informe la personne concernée que les informations seront rendues publiques…) ; ou
• si la personne concernée a elle-même publié les données sensibles, ou si, à l’inverse, les données ont été publiées par un tiers (exemple : une photo publiée par un ami qui révèle des données sensibles) ou déduites.

Le CEPD note que la présence d'un seul élément peut ne pas toujours suffire à établir que les données ont été « manifestement » rendues publiques par la personne concernée. En pratique, une combinaison de ces ou d'autres éléments peut devoir être prise en compte pour pouvoir démontrer que la personne concernée a manifesté clairement l'intention de rendre les données publiques.

3. La recherche est nécessaire pour des motifs d’intérêt public importants

Cette exception concerne principalement les recherches mis en œuvre par les autorités publiques. Elle peut néanmoins autoriser la mise en œuvre de traitements par des organismes privés, s’ils poursuivent une mission d’intérêt public ou sont dotés de prérogative de puissance publique.

Le responsable de traitement devra démontrer:

• la condition de « nécessité » pour la mission d’intérêt public ;
• la présence de motifs d’intérêt public importants ;
• que l’intérêt public est défini par le droit national ou le droit européen.

Pour mobiliser cette exception, la loi Informatique et Libertés exige un texte, par exemple un décret en Conseil d’État après avis de la CNIL.

4. L’utilisation des données est nécessaire à la recherche publique

Certaines utilisations de données peuvent être nécessaires à la recherche publique, sous réserve que des motifs d'intérêt public important les rendent nécessaires (nécessite un avis de la CNIL). Pour être considérée comme une recherche publique, celle-ci doit respecter certains critères précisés dans le code de la recherche.

La recherche privée, qui ne rentre pas dans les critères définis dans le code de la recherche, ne peut donc pas mobiliser cette exception prévue par la loi Informatique et Libertés. Par conséquent, pour ces traitements, des données sensibles ne pourront être collectées seulement en vertu des exceptions mentionnées plus haut. En effet, l’article 9.2-j du RGPD relatif à la recherche tant publique que privée n’est pas encore adapté dans la loi française : il n’est donc pas possible de mobiliser cet article.

Quelles données sont concernées ? 

Cette catégorie de données comprend :

• les données qualifiées comme telles par une autorité compétente (exemple : la condamnation de M. X à une peine d’emprisonnement de 2 ans pour fraude fiscale) ;
• ou celles collectées dans le but d’établir l’existence ou de prévenir la commission d’infractions (décision dite « PSG Football » du Conseil d’État).

Exemples :

• une recherche ayant pour objectif de répertorier des infractions sur la base de la lecture de décisions de justice contient de telles données (cas des données « qualifiées comme telles par l’autorité compétente ») ;
• en revanche, une recherche menée via des entretiens pour savoir si les personnes interrogées ont l’habitude d’être en excès de vitesse sur une certaine portion de route (hors cas où ces excès auraient été sanctionnés) ne met pas en œuvre un traitement de données d’infraction (cas des données non « collectées dans le but d’établir l’existence d’infractions »).

Les conditions pour traiter cette catégorie de données

Ces données, particulièrement sensibles, font l’objet d’un encadrement particulier. Les catégories d’utilisateurs pouvant accéder à ces données dans un cadre de recherche sont notamment :

• les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales (à l’inverse, les acteurs de la recherche privée appartenant à un organisme qui ne gère pas un service public ne peuvent donc pas collecter de telles données) ;
• les réutilisateurs des informations publiques figurant dans les décisions de justice mises à la disposition du public sous réserve que les traitements mis en œuvre n'aient ni pour objet ni pour effet de permettre la réidentification des personnes concernées par ces traitements ;
• les associations d’aide aux victimes conventionnées par le ministère de la Justice qui mettraient en œuvre une recherche scientifique dans le cadre strictement nécessaire à leur mission.