Pilar Nicolás Jiménez^[1] (UPV/EHU), Mikel Recuero Linares (UPV/EHU)

Cette partie des lignes directrices a été révisée par Rossana Ducato.

Cette partie des lignes directrices a été revue et validée par Marko Sijan, conseiller principal spécialiste (APD RH).

Introduction

Comme l’a souligné le Contrôleur européen de la protection des données (CEPD), “la Commission européenne a défini les objectifs des politiques de recherche et d’innovation de l’UE comme étant “l’ouverture du processus d’innovation aux personnes ayant une expérience dans des domaines autres qu’universitaires et scientifiques”, “la diffusion des connaissances dès qu’elles sont disponibles grâce aux technologies numériques et collaboratives” et “la promotion de la coopération internationale dans la communauté des chercheurs””.^[2] Ces objectifs ne sont pas en contradiction avec la protection des données. En effet, les règles de protection des données ne devraient pas constituer un obstacle à la liberté de la science conformément à l’article 13 de la Charte des droits fondamentaux de l’UE (CFREU). Au contraire, ces droits et libertés doivent être soigneusement évalués et équilibrés, pour aboutir à un résultat qui respecte l’essence des deux. ^[3]

En effet, l’intention qui sous-tend notre législation actuelle en matière de protection des données est d’harmoniser le traitement des données avec les objectifs de la recherche scientifique.^[4] Cette intention est clairement liée à l’article 179, paragraphe 1, du traité sur le fonctionnement de l’Union européenne (TFUE) pour la réalisation d’un espace européen de la recherche. Dans cette optique, le règlement général sur la protection des données (RGPD) a introduit un nouveau cadre visant à permettre le traitement des données à des fins d’archivage dans l’intérêt public, à des fins de recherche historique et scientifique ou à des fins statistiques, qui va au-delà de ce que prévoit la directive 95/46/CE.^[5] Le cœur de cette nouvelle réglementation est l’article 89 du RGPD, qui est accompagné de nombreuses autres références dans l’ensemble du texte qui le complètent. Celles-ci se trouvent à la fois dans la partie du RGPD qui comprend les critères décisifs pour son interprétation (considérants), et dans certaines dispositions spécifiques^[6] . Sur la base de ces considérants, il convient de souligner quelques idées préliminaires.

Tout d’abord, le considérant 157 indique qu’en couplant les informations des registres, y compris les différents types de données correspondant à un grand nombre d’individus, les chercheurs peuvent obtenir “de nouvelles connaissances de grande valeur en ce qui concerne des conditions médicales répandues telles que les maladies cardiovasculaires, le cancer et la dépression”. En conséquence, “les résultats de la recherche peuvent être améliorés, car ils s’appuient sur une population plus importante”. Ces outils peuvent contribuer à améliorer les politiques de recherche et, par conséquent, la qualité de vie de la population. Ces avantages signifient que le traitement des données à ces fins par les chercheurs est raisonnable, à condition que les droits des sujets soient garantis. Ceci établit une conception de la recherche comme un processus qui poursuit un bénéfice social, à court, moyen ou long terme, considéré de manière très large (amélioration de la qualité de vie) mais, en même temps, limitant cette activité à cette finalité spécifique. En outre, le considérant 159 précise que “pour répondre aux spécificités du traitement des données à caractère personnel à des fins de recherche scientifique, des conditions particulières devraient s’appliquer, notamment en ce qui concerne la publication ou toute autre divulgation de données à caractère personnel dans le cadre de la recherche scientifique”.

La deuxième question à traiter est la spécificité du consentement comme condition de sa validité, qui présente quelques particularités lorsque la finalité du traitement est la recherche scientifique. En effet, l’article 4 du RGPD précise que le consentement ” désigne toute manifestation de volonté, libre, spécifique, informée et non équivoque de la part de la personne concernée, par laquelle celle-ci accepte, par une déclaration ou par une action positive claire, le traitement des données à caractère personnel la concernant “. Toutefois, le considérant 33 précise que “souvent, il n’est pas possible d’identifier pleinement la finalité du traitement des données à caractère personnel à des fins de recherche scientifique au moment de la collecte des données”.

Cependant, il est courant qu’au cours d’un projet, des approches non prévues initialement puissent émerger, ou que, à l’issue du projet, les conclusions ouvrent des portes à d’autres projets connexes. En outre, les chercheurs et les équipes sont souvent spécialisés dans un domaine ou un axe de recherche développé à partir de projets spécifiques, et les données peuvent rester utiles ou nécessaires pendant de longues périodes^[7] . En réponse, des modèles institutionnels – tels que les biobanques – ont vu le jour et servent d’intermédiaires entre les sujets et les chercheurs. Le but de la collecte de ces données est de les conserver pour le moment où elles seront nécessaires, sans savoir, en principe, quel projet de recherche, ou quels projets, les traiteront. Face à cette réalité, le considérant 33 indique que “les personnes concernées devraient pouvoir donner leur consentement pour certains domaines de la recherche scientifique”, même si “les personnes concernées devraient avoir la possibilité de ne donner leur consentement que pour certains domaines de la recherche ou certaines parties des projets de recherche, dans la mesure où la finalité prévue le permet”. Des options et un consentement différents sont donc autorisés à des degrés divers, à condition qu’ils soient, comme le rappelle le considérant, “conformes aux normes éthiques reconnues en matière de recherche scientifique”.

Un troisième point qui mérite l’attention est celui contenu dans le considérant 50, qui fait référence à ce que l’on appelle la compatibilité des finalités^[8] , c’est-à-dire le “traitement de données à caractère personnel à des fins autres que celles pour lesquelles les données à caractère personnel ont été initialement collectées”. Il s’agit d’un terme utilisé dans les cas où les données à caractère personnel, destinées à être utilisées à des fins de recherche, ont été initialement collectées ou traitées pour une finalité différente, mais qu’elles peuvent être légitimement traitées pour de nouvelles finalités (compatibles). En outre, le traitement ultérieur à des fins d’archivage dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques est considéré ex lege comme un traitement licite compatible. Cela signifie qu’aucun consentement de la personne concernée ni aucune autre base légale ne sont requis pour cette nouvelle finalité, dans les conditions qui seront décrites ultérieurement. Cette option est de la plus haute importance pour la recherche scientifique car elle peut faciliter l’accès à une énorme quantité de données sans qu’il soit nécessaire de recontacter les personnes concernées.

Enfin, il est nécessaire de mentionner le considérant 53, qui reprend l’objectif du RGPD concernant l’établissement de conditions harmonisées pour le traitement de catégories particulières de données à caractère personnel à des fins liées à la santé (en particulier, dans le cadre de la gestion des services et systèmes de soins de santé ou sociaux). En outre, il indique que “le droit de l’Union ou des États membres devrait prévoir des mesures spécifiques et appropriées afin de protéger les droits fondamentaux et les données à caractère personnel des personnes physiques”, tout en déclarant que “les États membres devraient être autorisés à maintenir ou à introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques, des données biométriques ou des données relatives à la santé.” Toutefois, les mesures introduites “ne devraient pas entraver la libre circulation des données à caractère personnel au sein de l’Union lorsque ces conditions s’appliquent au traitement transfrontalier de ces données”.

1. Cette section incorpore certaines références extraites d’un chapitre de livre de l’auteur, publié à l’origine en espagnol : Comentarios al Reglamento General de Protección de Datos y a Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (Antonio Troncoso Reigada, Dir.), Thomson Reuters Aranzadi, 2020. ↑
2. CEPD, Avis préliminaire sur la protection des données et la recherche scientifique, 2020, p. 10. A l’adresse suivante : https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202003_healthdatascientificresearchcovid19_en.pdfConsulté : 15 janvier 2020. ↑
3. EDPB, Lignes directrices 03/2020 relatives au traitement des données concernant la santé à des fins de recherche scientifique dans le cadre de l’épidémie de COVID-19. Adoptées le 21 avril 2020, p. 5. À l’adresse : https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202003_healthdatascientificresearchcovid19_en.pdf. Consulté le 23 avril 2020. ↑
4. Considérant 159 du RGPD. ↑
5. Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281 du 23.11.1995, p. 31). ↑
6. Voir, entre autres, les articles suivants L’article 5, paragraphe 1, point b), pour les finalités compatibles ; l’article 5, paragraphe 1, point e), concernant la limitation du stockage ; l’article 9, paragraphe 2, point j), en tant que dérogation pour le traitement de catégories particulières de données ; l’article 14, paragraphe 5, point b), concernant la transparence et l’information ; l’article 17, paragraphe 3, point d), faisant référence au droit à l’effacement ; ou l’article 21, paragraphe 6, pour le droit d’opposition. ↑
7. À cet égard, voir également l’article 5, paragraphe 1, point e), du RGPD, qui autorise la conservation des données à caractère personnel pendant des périodes plus longues dans la mesure où elles sont traitées uniquement “à des fins d’archivage dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, paragraphe 1”. ↑
8. À cet égard, voir également l’article 5, paragraphe 1, point b), du RGPD. ↑