Selon l’article 6 (e) du RGPD, le traitement est licite s’il est nécessaire à l’exécution d’une tâche effectuée dans l’intérêt public. En outre, la recherche scientifique pourrait bien servir à éviter le veto sur les catégories spéciales de traitement des données inclus dans l’article 9.1 du RGPD. Toutefois, dans ce cas, conformément à l’article 9.2(j), le traitement doit être fondé sur le droit de l’UE ou d’un État membre et doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour sauvegarder les droits fondamentaux et les intérêts de la personne concernée (voir ” Traitement des données à des fins d’archivage dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques “, “Concepts principaux”, partie II des présentes lignes directrices). Néanmoins, les développeurs IdO devraient toujours considérer qu’il n’est pas nécessairement vrai que toute recherche scientifique implique un intérêt public. En effet, “il est difficile à l’heure actuelle, voire impossible, de considérer un “intérêt public substantiel” comme une base pour le traitement de données sensibles à des fins de recherche scientifique” si un État membre n’a pas produit de réglementation spécifique à cet effet. Ainsi, les développeurs IdO devraient analyser le cadre juridique de leur pays concret.

D’autre part, il faut se rappeler que l’article 5, point b), du RGPD établit le principe de limitation de la finalité, en vertu duquel les données ne peuvent être traitées pour des finalités autres que les données spécifiques initiales (voir “Protection des données et recherche scientifique”, dans “Concepts principaux”, partie II des présentes lignes directrices).

Si le développement d’un système IdO peut être considéré comme de la recherche scientifique, le droit de l’Union ou des États membres peut prévoir des dérogations aux droits visés aux articles 15 (droit d’accès), 16 (droit de rectification), 18 (droit à la limitation du traitement) et 21 RGPD (droit d’opposition), toujours sous réserve de certaines conditions et garanties (article 89, paragraphe 2).