En ce qui concerne la base légale du traitement, il convient de distinguer les catégories de données :
- Traitement de données à caractère personnel (“non sensibles”). Les bases légales du traitement sont celles énoncées à l’article 6 du RGPD (voir “Licéité, loyauté et transparence” dans la partie II section “Principes” des présentes lignes directrices). Cela signifie que tout traitement de données à caractère personnel doit nécessairement reposer sur l’une des bases légales visées à l’article 6, paragraphe 1 :
- Consentement de la personne concernée (art. 6.1 a).
- Contrat (art. 6.1 b).
- Obligation légale (art. 6.1 c).
- Intérêts vitaux (art. 6.1 d).
- Mission publique ou intérêt public (art. 6.1 e).
- Intérêts légitimes (art. 6.1 f).
- Traitement de catégories particulières de données à caractère personnel (“données personnelles sensibles”). Le traitement des catégories de données visées à l’article 9 est interdit, à moins qu’une base légale spécifique parmi celles visées à l’article 9, paragraphe 2, ne soit identifiée.[1] L’article 9 exige une légitimation supplémentaire, qui s’ajoute à celles de l’article 6. Entre ces bases légales, le traitement n’est pas interdit, si, entre autres choses :
- “la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités déterminées, sauf lorsque le droit de l’Union ou des États membres prévoit que l’interdiction visée au paragraphe 1 ne peut être levée par la personne concernée”. Article 9, paragraphe 2, lettre a).
- il est “nécessaire à des fins d’archivage dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, paragraphe 1, sur la base du droit de l’Union ou des États membres, qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée”. [2]
En outre, l’article 9, paragraphe 4, est libellé comme suit : “Les États membres peuvent maintenir ou introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques, des données biométriques ou des données relatives à la santé.” Cette possibilité n’implique toutefois pas que le contenu du paragraphe 2, point j), de l’article 9 doive être rendu inopérant. Encore une fois, les chercheurs devraient toujours demander conseil à leur DPD au sujet du cadre réglementaire national applicable.
- EDPB, Avis 3/2019 concernant les questions et réponses sur l’interaction entre le règlement sur les essais cliniques (CTR) et le règlement général sur la protection des données (RGPD) (art. 70.1.b)). Adopté le 23 janvier 2019, p. 8-9. À l’adresse : https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_opinionctrq_a_final_en.pdf. Accès : 20 mai 2020.
Ce document décrit plusieurs possibilités qui combinent les articles 6 et 9 : les motifs légaux du traitement peuvent découler d’obligations légales du responsable du traitement et qui relèvent de la base juridique de l’article 6, paragraphe 1, point c), en liaison avec l’article 9, paragraphe 1, point i) ; ou de l’intérêt public en vertu de l’article 6, paragraphe 1, point e), en liaison avec l’article 9, paragraphe 2, point i) ou point j) ; ou les intérêts légitimes du responsable du traitement en vertu de l’article 6, paragraphe 1, point f), en liaison avec l’article 9, paragraphe 2, point j) ; ou, dans des circonstances particulières, lorsque toutes les conditions sont réunies, le consentement explicite de la personne concernée en vertu de l’article 6, paragraphe 1, point a), et de l’article 9, paragraphe 2, point a). ↑
- Article 9, paragraphe 2, point j). ↑