»

• Tous les articles

(Billet mis en ligne le 31 août 2017, mis à jour le 9 novembre 2018)

Les données à caractère personnel sont soumises à un régime juridique qui a changé en France et dans l’Union européenne en mai 2018.

En effet, depuis le 25 mai 2018, le Règlement général sur la protection des données personnelles (RGPD)¹ applicable dans tous les pays de l’Union européenne a remplacé l’ancienne directive du 14 octobre 1995 sur la protection des données personnelles. La loi française du 6 janvier 1978 dite « Informatique et libertés » est adaptée en conséquence.

On trouvera ici l’essentiel de ce qu’un.e chercheur.e ou un.e documentaliste doit savoir sur les données personnelles qu’il.elle est amené.e à traiter.

Qu’est-ce qu’une donnée à caractère personnel ?

Les données à caractère personnel sont toutes les informations relatives à une personne physique identifiée, ou qui peut être identifiée en croisant des données la concernant. Un numéro de sécurité sociale est une donnée personnelle, de toute évidence. Un âge (« 13 ans », ou « 54 ans ») est aussi une donnée personnelle : quoique cette information semble a priori anodine et sans enjeu, elle permet d’identifier quelqu’un si on la croise avec une adresse. De nombreuses autres informations constituent des données personnelles, parmi lesquelles : le nom, le prénom, l’âge, le métier, une photo, l’adresse postale, l’adresse mail, le numéro de téléphone, la date de naissance, le numéro IP (Internet Protocol), tout numéro d’identification, par exemple le Numéro d’inscription au répertoire (le NIR, qu’on appelle usuellement le numéro de sécurité sociale), une empreinte digitale, des données de géolocalisation, et tous « éléments spécifiques propres à son identité physique, physiologique, générique, psychique, économique, culturelle ou sociale »².

Que doit-on faire lorsqu’on traite des données à caractère personnel ?

Une personne doit respecter les règles protégeant les données personnelles dès lors qu’elle effectue un « traitement de données personnelles ». Un chercheur est considéré traiter des données personnelles quand il collecte des données personnelles au cours d’un entretien, mais aussi quand il prend en notes de telles données à partir d’un document qu’il consulte, ou qu’il envoie de telles données par mail à son équipe. Constituent en effet des traitements de données personnelles  : « la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction » de données personnelles (art. 4 du Règlement général sur la protection des données-RGPD).

Le responsable du traitement doit assurer la protection des données personnelles traitées. Dès qu’un.e chercheur.se ou un.e documentaliste traite de telles informations, le.la responsable du traitement doit faire en sorte que les droits des personnes concernées sont respectés.
Qui est cette personne responsable du traitement ? C’est, selon le Règlement général sur la protection des données, « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement. »³. Cette personne déterminant les finalités et les moyens d’un traitement de données personnelles, n’est pas nécessairement la personne physique qui concrètement consulte ou collecte les données personnelles (chercheur.se, ingénieur.e de recherche, documentaliste). Selon le cas, le.la responsable du traitement sera le.la directeur.rice du labo ou de l’unité qui fixe précisément les thèmes de recherche au sein du labo ou de l’unité et qui décide qu’une recherche sera menée sur tel thème en étudiant tel ou tel corpus ; ce sera le.la doctorant.e qui choisit de mener un travail de thèse sur tel sujet ; ce sera le.la chercheur.se qui décide de s’engager dans tel ou tel travail de collecte.⁴

Pour se conformer aux règles fixées par le Règlement général sur la protection des données personnelles (RGPD), le responsable du traitement des données personnelles doit procéder comme suit.

A) Vérifier que le traitement des données personnelles est licite (donner une base juridique au traitement)

Le responsable du traitement doit avoir une raison valable de traiter les données personnelles : il doit pouvoir justifier du motif pour lequel il traite ces données. Le Règlement général sur la protection des données personnelles prévoit six bases juridiques possibles à un traitement de données personnelles⁵. Un traitement de données est licite dès lors qu’il est fondé sur une de ces six bases juridiques :

• 1) le responsable de traitement a obtenu des personnes concernées, un consentement exprès à ce traitement de leurs données personnelles ;
• 2) le responsable de traitement traite ces données personnelles parce qu’il y est tenu, en vertu d’une obligation légale ;
• 3) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ;
• 4) le traitement est nécessaire à l’exécution d’une mission d’intérêt public (ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement) ;
• 5) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement⁶  […] ;
• 6) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie […].

Le motif 5)  ne s’applique pas aux traitements effectués dans le secteur public (le RGPD l’interdit). Quant au motif 6), il relève plutôt du secteur privé et s’appliquera rarement aux traitements effectués au sein d’une structure publique (car les relations entre personnes physiques et structures publiques sont régies par la loi, rarement par des conventions ou contrats nécessitant d’obtenir des informations sur une personne).
Il reste les quatre premiers motifs pour fonder un traitement de données personnelles effectué dans le cadre d’un travail de recherche scientifique. Suivant le contexte de la recherche, le responsable du traitement pourra invoquer :

• le premier motif : une chercheuse mène une enquête par entretiens ou questionnaires, et collecte à cette occasion des données personnelles. La chercheuse doit effectivement obtenir l’accord des personnes concernées, pour mener cette collecte ;
• le deuxième motif (obligation légale) sera rarement opérant pour les traitements de données personnelles dans les activités de recherche⁷ ;
• le troisième motif (la sauvegarde des intérêts vitaux) ne sera pas non plus une base juridique des traitements, dans le secteur de la recherche⁸ ;
• le quatrième motif (le traitement est nécessaire à l’exécution d’une mission de service public) pourra servir de base juridique aux traitements par les services d’archives publiques (mission d’intérêt public). Il pourra difficilement constituer une base juridique pour les traitements effectués dans le cadre de la recherche (sauf en matière de recherche médicale et d’épidémiologie).

Les chercheur.se.s ne peuvent-ils fonder les traitements de données personnelles qu’ils effectuent pour leurs recherches, que sur le consentement des personnes concernées ? Non, heureusement : le RGPD prévoit expressément que des données personnelles initialement collectées pour l’un des six motifs visés ci-dessus, pourront valablement être traitées ultérieurement à des fins de recherche scientifique ou historique (dès lors que par ailleurs la protection de ces données est assurée). Cela signifie que, sous réserve qu’elle respecte les autres règles protectrices des données (voir plus bas), une chercheuse justifie d’une base juridique valable :

• lorsqu’elle traite des données qui ont été collectées par un autre chercheur avec le consentement de la personne concernée ;
• ou lorsqu’elle traite des données qui ont été collectées en vertu d’une obligation légale (données traitées par l’administration fiscale pour le calcul de l’impôt, par exemple) ;
• ou lorsqu’elle traite des données personnelles collectées pour sauvegarder les intérêts vitaux d’une personne ;
• ou lorsqu’elle traite des données qui sont traitées afin d”exécuter une mission d’intérêt public (des données figurant dans des archives publiques) ;
• ou lorsqu’elle traite des données qui ont été collectées par une entreprise du web qui avait un intérêt commercial⁹ à collecter ces données ;
• ou enfin, lorsqu’elle traite des données qui ont été collectées par une entreprise dans le but d’exécuter un contrat avec la personne concernée¹⁰.

Dès lors que la chercheuse justifie d’une telle base juridique, elle est en droit de traiter les données personnelles dans un cadre de recherche, si par ailleurs elle applique six règles fixées par le Règlement général sur la protection des données (RGPD).

B) Respecter par ailleurs six principes généraux lors du traitement des données personnelles

Le responsable du traitement doit, avant et jusqu’à la fin du traitement, respecter six principes généraux. La violation d’un de ces principes est sévèrement sanctionnée. En voici la liste¹¹ :

1. Licéité, loyauté et transparence du traitement. Les données personnelles doivent être « traitées de manière licite, loyale et transparente au regard de la personne concernée ». Cela signifie que les données ne doivent pas avoir été collectées et ne doivent pas être traitées, sans que la personne concernée en ait connaissance. Ce principe nécessite de fournir aux personnes concernées plusieurs informations, sur la finalité du traitement, mais aussi sur leurs droits (voir plus bas).
2. La limitation des finalités. Les données personnelles doivent être « collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités ». Le RGPD prévoit toutefois que des données personnelles peuvent être traitées « à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques », même si elles n’avaient pas été initialement été collectées à cette fin :  un tel traitement ultérieur n’est pas incompatible avec la finalité initiale de la collecte. C’est ce qui permet aux chercheurs de consulter des fonds existants contenant des données personnelles, sans enfreindre ce principe de limitation des finalités¹².
3.  La minimisation des données. Seules doivent être collectées les données strictement nécessaires à la finalité du traitement.
4. L’exactitude des données. Les données personnelles collectées doivent être « exactes et, si nécessaire, tenues à jour ». Elles doivent sinon être rectifiées ou effacées.
5. La limitation de la conservation. Les données personnelles ne doivent pas être conservées au-delà de la durée nécessaire à la finalité du traitement.
6. L’intégrité et la confidentialité des données. Enfin, et c’est la grande nouveauté du RGPD, le responsable du traitement doit prendre « les mesures techniques ou organisationnelles appropriées » pour garantir la sécurité des données personnelles, y compris la protection contre le traitement non autorisé ou la perte des données. Cette obligation de prendre les mesures techniques ou organisationnelles appropriées est la pierre angulaire du RGPD. Le responsable du traitement doit, pour garantir l’intégrité et la confidentialité des données personnelles traitées, vérifier que l’organisation (humaine) et les moyens techniques (souvent, informatiques) mis en œuvre sont suffisamment sûrs pour protéger les droits et libertés des personnes concernées. Cela nécessite de sensibiliser et de former les personnes chargées du traitement, de conclure si nécessaire des contrats avec plusieurs d’entre elles, de mettre en œuvre des moyens techniques robustes (authentification pour avoir accès, cryptage des données, etc.). Dans certains cas (les données sont sensibles, le traitement de données est mené à grande échelle…), le RGPD exige que soit également menée une étude d’impact approfondie. La CNIL a publié en octobre 2018 la liste des traitements nécessitant impérativement une analyse d’impact sur les données personnelles (AIPD).¹³
   NB. Avant le 25 mai 2018, le responsable du traitement était simplement tenu d’informer la CNIL qu’il détenait un fichier de données personnelles. La procédure d’information à la CNIL était plus ou moins lourde selon le type de données traitées : dispense de déclaration, déclaration simplifiée, déclaration normale (voire même demande d’autorisation à la CNIL pour certains traitements considérés particulièrement à risque). Depuis le RGPD, le responsable du traitement n’a plus à informer la CNIL ;  il lui incombe en revanche de prendre les mesures appropriées de protection des données personnelles, pour être en conformité avec le RGPD. Le RGPD a remplacé la logique d’information à la CNIL par une logique de compliance.

Enfin, dès lors que le chercheur a une base juridique pour traiter les données personnelles et qu’il respecte les six principes généraux indiqués ci-dessus, il doit enfin informer les personnes concernées et leur permettre d’exercer leurs droits, dans les conditions suivantes.

C) Obligation d’informer les personnes concernées  :

Comme avant le RGPD, le responsable du traitement doit informer les personnes concernées de l’existence du traitement de leurs données, leur en indiquer la finalité. Il doit aussi informer les personnes concernées de leur droit d’accès, de rectification et d’effacement des données les concernant, par exemple sous la forme suivante  :

Conformément à la loi « informatique et Liberté » du 6 janvier 1978, vous disposez d’un droit d’accès, de rectification et d’effacement des données qui vous concernent. Pour l’exercer, adressez-vous à « ……….. » [indiquer ici les coordonnées postales ou téléphoniques ou mail de la personne chargée de faire respecter ce droit, au sein de l’organisme].¹⁴.

a) Obligation d’informer, en cas de collecte auprès des personnes concernées :

Dans le cas d’une collecte de données (au cours d’un entretien, par exemple), c’est en pratique le chercheur qui fournira ces informations aux personnes concernées. Voir le billet « Le chercheur utilise les réseaux sociaux pour ses enquêtes ».

b) Quelle obligation d’informer, en cas de simple consultation de documents contenant des données personnelles ?

Si la chercheuse mène sa recherche dans un corpus existant, sans collecter elle-même les données auprès des personnes concernées, elle est dispensée de contacter ces personnes pour les informer qu’elle va consulter, voire prendre en note leurs données personnelles à des fins de recherche scientifique ou historique, dès lors que fournir une telle information aux personnes concernées se révèle impossible ou exigerait des efforts disproportionnés.¹⁵

c) Permettre aux personnes d’exercer leur droit d’accès, de rectification et d’opposition :

Le responsable du traitement est tenu d’effacer les données personnelles, aussitôt qu’elles ne sont plus nécessaires aux recherches pour lesquelles elles ont été collectées¹⁶ ou dès que les personnes concernées le demandent¹⁷.

Toutefois, les données collectées peuvent être conservées si leur suppression risquerait « de rendre impossible ou d’entraver sérieusement la réalisation des finalités » du traitement (art. 89 du Règlement européen du 27 avril 2016 et art. 40.II de la loi du 6 janvier 1978). Voir le billet « Le chercheur anonymise les données de sa recherche » et le billet « Le chercheur utilise les réseaux sociaux pour sa recherche ».

Remarque sur les données sensibles (ou « catégories particulières de données »)

Les données sensibles (ou « catégories particulières de données à caractère personnel » selon le Règlement général sur la protection des données (RGPD), ou encore « certaines catégories de données » selon la loi française du 6 janvier 1978 modifiée¹⁸ sont celles qui portent sur l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que les données génétiques, biométriques, concernant la santé, la vie sexuelle ou l’orientation sexuelle d’une personne physique.

Le traitement de ces catégories particulières de données est interdit,

• sauf si les personnes concernées ont donné leur « consentement explicite » valable, ou
• sauf si le responsable du traitement a sollicité et obtenu de la CNIL une autorisation pour effectuer ce traitement de données sensibles, à des fins de recherche scientifique ou historique. Dans ce cas, les données sensibles doivent être anonymisées « à bref délai »¹⁹. Voir le billet « Le chercheur anonymise les données de sa recherche ».
  

C’est le responsable du traitement qui prend toutes les mesures nécessaires à la préservation des droits des personnes concernées. Il est conseillé par le délégué à la protection des données (DPD), plus souvent appelé Data protection officer (DPO). Le RGPD oblige tout organisme public à désigner un délégué à la protection des données (DPO). Voir le billet « Le Délégué à la protection des données (DPO) et la CNIL ».

Bibliographie :

• Le site du Correspondant Informatique et libertés du CNRS  : http://www.cil.cnrs.fr/CIL/ et plus particulièrement 7 principes de la protection des données.
  
• Anne-Yvonne Le Dain, Philippe Gosselin, Rapport d’information à l’Assemblée nationale sur les incidences des nouvelles normes européennes en matière de protection des données personnelles sur la législation française, 22 février 2017 (consultable en ligne et téléchargeable). http://www.assemblee-nationale.fr/14/rap-info/i4544.asp.

Crédit photographique : Personne remplissant un questionnaire, Trontnort. Sous licence CC BY-NC 2.0.

Édité par Anne-Laure Stérin

1. Ce règlement général sur la protection des données personnelles, ou RGPD, a été adopté le 27 avril 2016. Il est entré en vigueur dès le 25 mai 2016, mais les responsables de traitement ont eu jusqu’au 25 mai 2018 pour se mettre en conformité. [↩]
2. Art. 4 du Règlement général sur la protection des données-RGPD. [↩]
3. La définition du responsable du traitement figure à l’art. 4 du Règlement général sur la protection des données-RGPD. [↩]
4. Il faut noter que le prestataire sous-traitant, chargé d’appliquer les consignes du responsable du traitement et de mettre en œuvre le traitement de données personnelles, est lui aussi tenu de respecter les droits des personnes dont il traite les données personnelles pour le compte du responsable de traitement. Ce prestataire sous-traitant peut lui-même être reconnu responsable s’il n’a pas pris les mesures nécessaires pour assurer la protection des données personnelles traitées. Le responsable de traitement est d’ailleurs tenu de choisir des sous-traitants présentant toutes les garanties nécessaires. (art. 28 du Règlement général sur la protection des données personnelles-RGPD). [↩]
5. Les six fondements juridiques possibles d’un traitement sont indiqués à l’art. 6 du Règlement général sur la protection des données personnelles. [↩]
6. Un traitement de données personnelles peut avoir pour base juridique valable l’intérêt légitime de l’entreprise privée qui les collecte, à condition que l’intérêt de cette entreprise ne porte pas atteinte aux intérêts, droits et libertés fondamentales de la personne concernée. Art. 6 du Règlement général sur la protection des données personnelles. [↩]
7. Autant on conçoit que l’administration fiscale a besoin de traiter des données personnelles concernant chaque contribuable, afin de calculer l’impôt dont ils sont redevables en application de la loi, autant les chercheurs ne sont pas fondamentalement tenus de traiter des données, pour mener des recherches. [↩]
8. La sauvegarde des intérêts vitaux sera en revanche le motif justifiant qu’un médecin enregistre les données concernant une personne blessée amenée en urgence à l’hôpital, pour la soigner. [↩]
9. Cet intérêt commercial est considéré légitime, s’il ne porte pas atteinte aux droits et libertés fondamentales des personnes concernées. [↩]
10. Par exemple les coordonnées postales fournies par les acheteurs se faisant livrer à domicile. [↩]
11. Les six principes généraux que doit respecter le responsable du traitement figurent à l’art. 5 du Règlement général sur la protection des données personnelles. [↩]
12. Sous réserve de respecter certaines règles, comme par exemple les délais de consultation des archives publiques : voir le billet « Les délais de consultation des archives publiques ». [↩]
13. Voir la liste des traitements nécessitant de mener une analyse d’impact sur les données personnelles : Délib. CNIL n° 2018-327 du 11 octobre 2018, JO du 6 nov. 2018. [↩]
14. Dans tout organisme public, la personne chargée de faire respecter le droit d’accès et de rectification est le délégué à la protection des données, usuellement nommé “DPO” pour “Data protection Officer“. Le DPO remplace l’ancien « Correspondant informatique et libertés » [↩]
15. Art. 14.5 du RGPD et art. 6.2° de la loi du 6 janvier 1978. [↩]
16. Art. 5 du Règlement européen du 27 avril 2016 et art. 6.5 de la loi du 6 janvier 1978 [↩]
17. Art. 16 du Règlement européen du 27 avril 2016 et art. 40.I de la loi du 6 janvier 1978 [↩]
18. Données sensibles : voir les articles 8 et suivants de la loi du 6 janvier 1978 [↩]
19. Sur l’anonymisation à bref délai, voir l’art. 9 du Règlement général sur la protection des données,et l’art. 8 et 25 de la loi du 6 janvier 1978). [↩]

---

---