A. Notion de “finalités de l’archivage dans l’intérêt public”

Par archives d’intérêt public, on entend celles des organismes publics ou privés qui détiennent des documents d’intérêt public et qui, en vertu du droit de l’Union ou des États membres, ont l’obligation légale d’acquérir, de préserver, d’évaluer, d’arranger, de décrire, de communiquer, de promouvoir, de diffuser et de donner accès à des documents ayant une valeur durable pour l’intérêt public général^[1] . Néanmoins, elle ne s’applique pas aux données des personnes décédées (voir “Données à caractère personnel”, partie II des présentes lignes directrices, section “Concepts principaux”).

B. Notion de “recherche scientifique”

La recherche scientifique est un terme trop large qui fait généralement référence à la recherche de connaissances, à travers une certaine méthodologie, dans n’importe quel domaine de la connaissance humaine. Le RGPD ne comporte pas de définition de la “recherche scientifique” en tant que telle, mais introduit une série de considérations qui permettent d’en définir les principales caractéristiques. Tout d’abord, la recherche “scientifique” est différente des “fins de recherche historique” et des “fins statistiques”. En outre, elle couvre différents domaines, par exemple la recherche dans les sciences de la vie liées à la santé humaine, mais aussi les sciences sociales (considérants 157 et 159). Elle doit apporter des “bénéfices”, au moins potentiellement. Cette attente justifie un régime unique qui permet des exceptions et des dérogations à certains droits (art. 89.2) .^[2]

Dans ce cadre, le RGPD entreprend une interprétation large de l’activité scientifique, incluant “le développement et la démonstration technologiques, la recherche fondamentale, la recherche appliquée et la recherche financée par le secteur privé” (considérant 159). Cette conception large inclut les projets de recherche dont les résultats sont publiables et d’autres études analytiques, sans exclure la recherche financée par le secteur privé ou par des sociétés commerciales à but lucratif. Cependant, elle contient également certaines limites, certains critères qui permettent de déterminer dans quelle mesure les exceptions prévues tout au long du RGPD peuvent être appliquées dans un scénario de multiplication des procédures d’analyse des données. Cependant, le règlement reste ambigu quant aux paramètres auxquels une activité ou un traitement doit répondre pour être considéré comme de la “recherche scientifique”. Le CEPD a, dans une tentative de faire la lumière sur ce point, fait allusion aux paramètres suivants dans son avis préliminaire sur la protection des données et la recherche scientifique^[3] :

• L’activité doit contribuer à l’accroissement des connaissances (recherche scientifique au sens strict) ou à l’utilisation des connaissances pour la production de dispositifs, matériaux, services, procédés ou produits (développement et démonstration technologiques).
• L’activité doit être développée selon certaines normes de qualité (professionnelles, méthodologiques et institutionnelles), “y compris la notion de consentement éclairé, de responsabilité et de supervision”^[4] .
• “La recherche est menée dans le but d’accroître les connaissances et le bien-être collectifs de la société, par opposition à servir principalement un ou plusieurs intérêts privés”.^[5]

Selon cette perspective, la recherche scientifique, aux fins du RGPD, couvre l’activité consistant à la fois à générer et à appliquer des connaissances et exclut l’activité qui ne présente pas une garantie de rigueur dans son développement. Ainsi, la recherche scientifique exige que les projets de recherche soient “mis en place conformément aux normes méthodologiques et éthiques pertinentes liées au secteur, en conformité avec les bonnes pratiques”.^[6] Les procédures qui permettent l’évaluation adéquate de ces paramètres, qui peuvent varier d’un cas à l’autre, représenteront pour le traitement des données au sens de l’article 89.1.

Il est important de souligner que l’enseignement du site^[7] ne peut être considéré comme une activité scientifique, même s’il vise à former des professionnels de ce secteur. Par conséquent, étant donné que le RGPD n’en fait pas mention, le traitement des données à cette fin est soumis au régime général, ce qui peut entraîner de nombreux dysfonctionnements en pratique. ^[8]

C. Notion de “Notion recherche historique”

Le RGPD applique cette description aux données traitées à des fins de recherche historique. Il s’agit d’une notion large qui inclut à la fois la recherche historique proprement dite et la recherche à des fins généalogiques^[9] . Toutefois, elle ne s’applique pas aux recherches effectuées avec les données de personnes décédées.

D. Notion de “traitement à des fins statistiques”

Par finalité statistique, on entend toute opération de collecte et de traitement de données à caractère personnel nécessaire à la réalisation d’enquêtes statistiques ou à la production de résultats statistiques^[10] . Toutefois, les données qui en résultent doivent être des données non personnelles (données agrégées), et il est en outre exigé que ni ce résultat ni les données à caractère personnel ne soient utilisés à l’appui de mesures ou de décisions concernant une personne physique particulière.

En outre, une fois encore, le droit de l’Union ou des États membres, dans les limites du RGPD, devrait déterminer la plupart des aspects pratiques et particuliers du traitement (quelles données sont considérées comme un contenu statistique, le contrôle de l’accès et les mesures appropriées pour sauvegarder les droits et libertés de la personne concernée et pour garantir la confidentialité des statistiques, etc.)

 

 

1. Considérant 158 du RGPD. ↑
2. Considérant 157 du RGPD. ↑
3. CEPD, Avis préliminaire sur la protection des données et la recherche scientifique, 2020, p. 12. A l’adresse suivante : https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202003_healthdatascientificresearchcovid19_en.pdfConsulté : 15 janvier 2020. ↑
4. Ibid. ↑
5. Ibid. ↑
6. EDPB, Lignes directrices 05/2020 sur le consentement au titre du règlement 2016/679, adoptées le 4 mai 2020, v1.1., p. 30. Disponible à l’adresse : https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_en.pdf. Accès le 16 septembre 2021. ↑
7. “L’enseignement” ne doit pas être identifié à “l’expression académique” dans le contexte de l’art.85 du RGPD. ↑
8. Voir, à propos de “l’expression académique”, CEPD, p. 10. ↑
9. Considérant 160 du RGPD. ↑
10. Considérant 162 du RGPD. ↑