Selon l’article 5, paragraphe 1, point b), le traitement ultérieur à des fins d’archivage dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques est compatible même si les données ont été collectées initialement pour d’autres finalités (à condition que des mesures techniques et organisationnelles soient en place pour garantir le respect des droits et libertés de la personne concernée). Toutefois, la question de savoir si d’autres dispositions peuvent s’appliquer, par exemple le test de compatibilité prévu par l’article 6, paragraphe 4, du RGPD, reste en discussion.

Toutefois, en ce qui concerne les catégories particulières de données, l’article 9, paragraphe 2, point j), mentionne explicitement que le traitement doit être “fondé sur le droit de l’Union ou des États membres, qui est proportionné à l’objectif poursuivi, respecte l’essence du droit à la protection des données et prévoit des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée”.

Ce problème juridique apparent nécessite un effort d’interprétation qui pourrait résoudre la question de deux manières. Premièrement, étant donné que l’article 5 ne fait pas référence à des catégories particulières de données à caractère personnel, il pourrait être compris comme limité aux cas où aucune information de ce type n’est utilisée. Si l’on devait parler de données à caractère personnel de ces catégories, l’article 9, qui est plus spécifique, s’appliquerait.

La seconde solution est fondée sur une interprétation de l’article 5 en tant que simples principes généraux, et à la lumière du considérant 50, qui énonce un certain nombre de conditions pour l’utilisation secondaire, représentant l’exigence d’un autocontrôle renforcé par le responsable du traitement, ainsi qu’une “attente raisonnable” de la part de la personne concernée que ce traitement secondaire puisse avoir lieu. En outre, l’art. 6(4) établit un certain nombre de critères pour déterminer la compatibilité d’un traitement avec la finalité (différente) pour laquelle les données à caractère personnel ont été collectées, qui doivent également être pris en compte dans ces cas : “a) tout lien entre les finalités pour lesquelles les données à caractère personnel ont été collectées et les finalités du traitement ultérieur envisagé ; b) le contexte dans lequel les données à caractère personnel ont été collectées, notamment en ce qui concerne la relation entre les personnes concernées et le responsable du traitement ; c) la nature des données à caractère personnel, notamment si des catégories particulières de données à caractère personnel sont traitées, conformément à l’article 9, ou si des données à caractère personnel relatives à des condamnations pénales et à des infractions sont traitées, conformément à l’article 10 ; d) les conséquences possibles du traitement ultérieur envisagé pour les personnes concernées ; e) l’existence de garanties appropriées, qui peuvent inclure le cryptage ou la pseudonymisation” (voir “Identification”, “Pseudonymisation” et “Anonymisation” dans la partie II des présentes lignes directrices, section “Conceptsprincipaux”). Il semble donc que les articles 5, 6 et 9 doivent être lus et interprétés ensemble^[1] .

 

 

1. CEPD, Avis préliminaire sur la protection des données et la recherche scientifique, 2020, p. 23. À l’adresse suivante : https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202003_healthdatascientificresearchcovid19_en.pdfConsulté : 15 janvier 2020. ↑