Selon l’article 6, point e), du RGPD, le traitement est licite s’il est nécessaire à l’exécution d’une mission effectuée dans l’intérêt public. Ici, il faut garder à l’esprit que la “recherche scientifique” est un terme trop large qui fait généralement référence à la recherche de connaissances, par le biais d’une certaine méthodologie, dans tout domaine de la connaissance humaine. Ainsi, il est tout à fait probable que si les responsables du traitement utilisent une méthodologie scientifique et, d’une manière ou d’une autre, recherchent des connaissances en pensant à l’utilisation des données, ce traitement pourrait être licite sur la base du motif juridique d’intérêt public.
En outre, l’intérêt public pourrait servir à ignorer le veto prévu à l’article 9.1 du RGPD s’ils utilisent des catégories spéciales de données lorsque d’autres bases juridiques (comme la recherche par exemple) ne sont pas applicables en l’espèce. Toutefois, dans ce cas, le traitement doit être fondé sur la législation de l’UE ou d’un État membre et doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour sauvegarder les droits fondamentaux et les intérêts de la personne concernée[1] (voir la sous-section “Protection des données et recherche scientifique” de la section “Concepts principaux” de la partie II des présentes lignes directrices).
D’autre part, il faut se rappeler que l’article 5 (b) du RGPD établit le principe de limitation de la finalité, selon lequel les données ne peuvent pas être traitées pour des finalités autres que celles spécifiques initiales. Il est intéressant de noter que cet article prévoit que certaines finalités, dont la recherche scientifique, sont considérées comme compatibles avec la finalité initiale, ce qui rend leur traitement ultérieur présumé licite. Par conséquent, lorsque le responsable du traitement peut faire valoir, documents à l’appui, que la finalité du traitement est la recherche scientifique, les utilisations secondaires des données à caractère personnel sont en principe considérées comme compatibles avec la finalité initiale du traitement des données à caractère personnel (voir la sous-section “Principe de limitation de la finalité” dans la section “Principes” de la partie II des présentes lignes directrices).
En outre, il est tout à fait probable que le réseau social qui a initialement recueilli les données ait inclus dans le consentement de la personne concernée une clause autorisant, à lui ou à un tiers, un traitement ultérieur à des fins de recherche ou, du moins, ait informé la personne concernée que ce traitement serait considéré comme compatible avec son consentement initial. Si tel était le cas, le traitement à des fins de recherche serait légitime sur la même base licite qui a permis au réseau social de collecter les données.
Cette évaluation, toutefois, doit être effectuée avant le traitement ultérieur à des fins secondaires et doit être fondée sur des critères objectifs. Le cadre juridique sur cette question peut varier considérablement entre les États membres de l’UE. Les responsables du traitement doivent donc être conscients du cadre normatif concret applicable. La consultation de leurs DPD est fortement recommandée à cette fin[2] ainsi que l’inclusion d’un conseiller/unité éthico-juridique dans le projet donné.
| Liste de contrôle : recherche scientifique
☐ Les responsables de traitement ont vérifié que leur projet s’inscrit bien dans le concept de recherche scientifique. ☐ Les responsables de traitement ont consulté leur DPD sur l’utilisation de cette exception à l’interdiction du traitement des données de catégories spéciales. ☐ Les responsables de traitement ont consulté le cadre juridique national sur ce sujet. ☐ Les responsables du traitement ont mis en œuvre les garanties et les mesures organisationnelles consacrées pour s’aligner sur l’article 89 du RGPDet la réglementation nationale correspondante. ☐ Les responsables de traitement ont documenté toutes les informations concernant cette question dans l’AIPD. |
- Voir les lignes directrices du pilier de l’OCSE ” D4.1 : Legal and Policy Framework and Federation Blueprint’ (2021), p. 76-77. À l’adresse : https://repository.eosc-pillar.eu/index.php/s/tbqe6B7rDycdFCJ#pdfviewer ↑
- Vous trouverez des questions pratiques et des réponses à ce sujet sur le site https://www.ru.nl/rdm/gdpr-research/faq-gdpr-research/. ↑