L’usage des données à caractère personnel dans la recherche scientifique au regard du RGPD
La recherche scientifique implique fréquemment le traitement de données à caractère personnel, lesquelles doivent être utilisées dans le respect des principes du RGPD.
Dans ce contexte, le Comité européen de la protection des données (CEPD) a récemment publié des lignes directrices visant à accompagner les acteurs de la recherche dans la gestion adéquate des données personnelles qu’ils exploitent.
Base de licéité
Tout traitement de données doit reposer sur une base de licéité appropriée.
Le traitement peut être fondé sur le consentement de la personne concernée, qui doit être libre et spécifique. Dans le cadre de la recherche, ce consentement peut être formulé de manière plus large afin de couvrir un domaine de recherche déterminé (« broad consent »), moyennant la mise en place de garanties appropriées. Il peut également être recueilli de manière dynamique, c’est-à-dire pour chaque nouveau projet.
Mais d’autres fondements, plus souples, peuvent être mobilisés, tels qu’une mission d’intérêt public, lorsqu’il repose sur une disposition légale, ou encore l’intérêt légitime, y compris pour des recherches à finalité commerciale, sous réserve de pouvoir démontrer une balance attentive des intérêts en présence et des attentes des personnes concernées.
Conservation des données
Les données à caractère personnel peuvent être conservées au-delà du projet de départ, notamment pour permettre la vérification ou la reproductibilité des résultats.
Cette conservation doit toutefois être strictement encadrée : elle doit répondre à une nécessité réelle, être limitée dans le temps et faire l’objet de réévaluations régulières. Une conservation générale et indéterminée n’est donc pas autorisée.
Obligation de transparence
La transparence constitue une exigence essentielle. Les personnes doivent être informées dès la collecte de leurs données, lorsque celles-ci sont obtenues directement auprès d’elles.
Elles doivent également être informées de toute modification substantielle du traitement, qu’il s’agisse de la finalité, de la base légale, des partenaires impliqués ou de la durée de conservation, sauf dans les cas où le RGPD prévoit des exceptions.
Droits des personnes concernées
Certains droits des personnes peuvent faire l’objet d’aménagements dans le contexte de la recherche. Par exemple, le droit à l’effacement peut être écarté si son exercice compromet la réalisation des objectifs scientifiques. De même, le droit d’opposition peut être limité lorsque le traitement est nécessaire à une mission d’intérêt public ou fondé sur un intérêt légitime prépondérant, à condition que cette limitation soit strictement justifiée.
Mise en place de garanties adéquates
Enfin, la mise en œuvre de la recherche doit s’accompagner de garanties appropriées. Cela implique notamment une analyse des risques, et, lorsque nécessaire, la réalisation d’une analyse d’impact relative à la protection des données (AIPD).
Le principe de minimisation doit être respecté, et il convient de privilégier, chaque fois que possible, l’anonymisation des données ou, à défaut, leur pseudonymisation. Le droit belge exige que ces détails soient mentionnés dans le registre des traitements.
Une attention particulière doit également être apportée aux transferts internationaux de données, fréquents dans le cadre de groupe pharmaceutiques internationaux ou de coopération internationale.
Notre conseil :
Le RGPD encadre de manière exigeante le traitement des données à caractère personnel. Le domaine de la recherche scientifique présente en outre des spécificités (réutilisation des données à caractère personnel, dérogations aux droits des personnes concernées, …) qui en complexifient encore l’application.
Ces lignes directice constituent davantage une synthèse qu’une nouveauté, mais elles présentent l’avantage de concentrer l’ensemble des points d’attention découlant du RGPD. Cependant, en ce domaine, l’analyse doit encore être complétée en droit belge, que ce soit par la loi sur les droits du patient ou les dispositions en matière d’anonymisation et de partage des résultats.
Dans ce contexte, il est vivement recommandé de se faire accompagner afin de sécuriser vos traitements et d’anticiper les risques juridiques. Nos avocats du département Creactivity sont là pour accompagner.
Nous nous tenons à votre disposition pour vous assister dans la mise en conformité de vos activités et répondre à toute question.