Cette FAQ publie les questions qui nous ont été adressées dans le cadre de nos activités (→ voir Qui sommes-nous ?), et les réponses que nous y avons apportées en nous appuyant sur la réglementation en vigueur. La tonalité souvent normative de ces billets ne doit cependant pas décourager le débat sur les conditions d’application de ces règles : n’hésitez pas à les commenter !
Ce billet, assez long, propose des blocs déroulants pour permettre au lecteur de “ré-enrouler” les étapes lues et validées. Ce format nous a aussi semblé pertinent pour clarifier le propos, rendre plus lisibles les différentes questions à se poser (qui sont autant d’étapes) pour se conformer à la réglementation en vigueur.
Etape 1 – Identifier la nature de vos données
S’agit-il de données personnelles ou anonymes ?
Si vos données sont personnelles (→ voir “Qu’est-ce qu’une donnée personnelle en SHS ?”), leur traitement doit respecter un cadre juridique particulier : celui de la loi n° 78-17 “Informatique et Libertés” (dite LIL), notamment modifiée par suite au Règlement Général sur la Protection des Données (dit RGPD) : vous devez alors passer à l’étape 2.
Si vos données sont anonymisées, ce cadre juridique ne s’applique pas : il est alors inutile de passer à l’étape 2.
Etape 2 – Identifier la finalité et la base légale du traitement
2.1. Identifier la finalité
Le traitement doit répondre à un(des) objectif(s) déterminé(s) à l’avance – ce qui n’est pas toujours évident dans la recherche en SHS. Cette difficulté d’évaluer entièrement une finalité en amont est prise en compte par le RGPD (considérant 33) : le texte précise alors que “le traitement de données à caractère personnel à des fins de recherche scientifique devrait être interprété au sens large” (considérant 159). En SHS, la finalité est souvent la problématique de recherche.
Exemple (issu du Guide InSHS) : Etude sur l’évolution des inégalités spatiales depuis 30 ans dans les zones urbaines et émergence des “trappes urbaines” avec exploitation de données personnelles de géolocalisation issues des bases de l’INSEE.
A noter : si le RGPD exige que la finalité d’un traitement soit “déterminée”, il autorise son évolution si les nouvelles finalités restent “compatibles” avec la finalité initiale. Or, dans le cas où le traitement ultérieur est effectué à des fins de recherche scientifique, le changement de finalité est systématiquement réputé compatible avec la finalité initiale (considérant 50 et article 5) → voir “Je veux traiter les données personnelles d’une entreprise, d’une association ou d’une institution publique : comment procéder ?”
2.2. Identifier la base légale (ou “fondement”)
Pour être licite, un traitement de données personnelles doit nécessairement reposer sur une base légale qui l’autorise ; et le choix de cette base légale dépend étroitement de la finalité du traitement (définie précédemment).
Le RGPD prévoit 6 bases légales, parmi lesquelles 3 peuvent être retenues pour la recherche en SHS : l’exécution d’une mission d’intérêt public ; l’intérêt légitime du responsable de traitement ; le consentement des personnes concernées. Dans le cadre d’une recherche en SHS, le choix de la base légale peut procéder par élimination des fondements impossibles, en respectant l’ordre ici indiqué :
Choix 1. L’exécution d’une mission d’intérêt public
Cette base légale est possible si le traitement est nécessaire à l’exécution d’une mission d’intérêt public dont est investi le responsable du traitement, sachant que la recherche publique (celle qui respecte les critères précisés dans le code de la recherche) est une des missions de service public.
Toutefois, même si la mission d’intérêt public des EPST (Établissement public à caractère scientifique et technologique, tels que les universités ou le CNRS) est fondée juridiquement, il ne suffit pas d’être personnel d’un EPST (maître de conférences, chercheur CNRS, doctorant inscrit dans une université, bibliothécaire d’une BU…) pour avoir recours à cette base légale : par exemple, si le projet de recherche est mené avec une entreprise à but lucratif, la finalité de recherche outrepasse l’intérêt public ; ou encore, si vous utilisez les données d’enquêtés pour organiser un évènement festif… Il faut donc pouvoir justifier de la nécessité de ce traitement au regard de la mission d’intérêt public dont vous êtes investi : le choix de cette base légale devra notamment être justifié lors d’une sollicitation d’avis de la CNIL, lors de la réalisation d’une analyse d’impact (→ voir “Qu’est-ce qu’une analyse d’impact relative à la protection des données (AIPD, DPIA ou AIVP) ? Dans quels cas doit-on y avoir recours, et comment ?”), lors d’un contrôle de la CNIL ou pour répondre aux demandes des personnes exerçant leurs droits.
Autrement dit, cette base légale “d’exécution d’une mission d’intérêt public” ne dépend pas seulement du statut des utilisateurs de données, mais nécessairement de la finalité du traitement, qui doit être d’intérêt public.
Exemple (issu du Guide InSHS) : Une recherche en sociologie avec collecte de messages échangés sur Twitter
Choix 2. L ‘intérêt légitime du responsable de traitement à moins que prévalent les intérêts de la personne concernée
Cette base légale peut être choisie sous trois conditions réunies :
- si le choix de la base légale “exécution d’une mission d’intérêt public” n’est pas possible : c’est notamment le cas des projets de recherche en collaboration avec des entreprises privées, ou avec certaines universités étrangères dont la mission d’intérêt public (présumée) ne serait pas juridiquement définie dans les règlements européens ;
- si les données personnelles traitées ne concernent aucun mineur (aucun enfant) ;
- si les intérêts du traitement sont importants pour le responsable du traitement, et n’ont pas d’impact négatif sur les personnes : la justification de ces intérêts légitimes devra notamment être documentée lors de la réalisation d’une analyse d’impact (→ voir “Qu’est-ce qu’une analyse d’impact relative à la protection des données (AIPD, DPIA ou AIVP) ? Dans quels cas doit-on y avoir recours, et comment ?”), lors d’un contrôle de la CNIL ou pour répondre aux demandes des personnes exerçant leurs droits.
Exemple (issu du Guide InSHS) : L’analyse par un constructeur automobile et un laboratoire public de recherche de l’utilisation de voitures autonomes pour les personnes à mobilité réduite.
Choix 3. Le consentement des personnes concernées
Cette base légale doit être choisie si les bases précédentes (“exécution d’une mission d’intérêt public” et “intérêt légitime du RT”) ne peuvent être retenues : par exemple, si un projet de recherche mené en collaboration avec une entreprise privée est amené à traiter des données personnelles de personnes mineures.
Le consentement au sens de la réglementation en matière de protection des données doit être spécifique : il doit correspondre à un seul traitement, pour une finalité déterminée (si le traitement sert à plusieurs finalités, plusieurs consentements doivent donc être donnés). Le consentement doit également être univoque, exprès (il est donné sans ambiguïté) et donc distinct de l’accord qui peut être donné pour participer à une recherche. Par exemple, pour traiter les données d’un questionnaire, deux cases distinctes doivent être prévues dans le formulaire : l’une pour recueillir le consentement RGPD, l’autre pour participer à la recherche. Pour être valide, ce consentement doit aussi être libre : il ne doit pas être imposé ni même contraint par un rapport de force inégalitaire, par la crainte de subir des conséquences négatives en cas de refus (par exemple entre un service public et son usager, entre un employeur et son employé). Ce consentement doit aussi être éclairé (il est donné en ayant pris connaissance des informations sur le traitement – voir infra, partie 5.3., sur le droit à l’information).
La réglementation n’impose pas de modalité particulière pour recueillir le consentement, mais le responsable de traitement devra être en mesure de démontrer sa validité – ce qui, dans les faits, contraint forcément les formats de recueil (exemple : accord donné à l’oral mais enregistré ; formulaire de consentement signé).
Pour un consentement signé, vous pouvez vous inspirer du modèle de formulaire de consentement proposé dans le guide de l’InSHS.
A savoir : La base légale du consentement ne permet pas d’appliquer les dérogations “recherche” s’appliquant au respect des droits des personnes (voir infra, partie 5.3., sur le droit à l’information) ; en effet, ces dérogations peuvent seulement concerner les traitements fondés sur “l’exécution d’une mission d’intérêt public”.
Le consentement des personnes mineures
Le consentement d’un mineur n’est pas valable pour une recherche scientifique – sauf si les données traitées renvoient au champ des “services de la société de l’information” (voir ci-après). C’est le consentement des titulaires de l’autorité parentale qui doit être recueilli, auquel doit s’associer le consentement du mineur en fonction de son âge et de sa maturité.
Pour les services de la société de l’information (réseaux sociaux, plateformes, newsletters, etc.), des mineurs âgés d’un certain âge (âge qui varie selon le pays de résidence) peuvent consentir eux-mêmes au traitement de leurs données. En France, l’âge retenu est de 15 ans : les enfants de 15 ans ou plus, résidant en France, peuvent donc consentir eux-mêmes au traitement de leurs données si ces dernières renvoient au champ des “services de la société de l’information”.
Voir aussi – sur ce blog
Références
- ANF CNRS “Protection des données personnelles dans les projets de recherche”, 21 et 22 septembre 2022, Marseille
- CNIL – Recherche scientifique hors santé : quelle base légale pour un traitement de recherche ?
- → voir d’autres références généralistes sur la page “Ressources”
Etape 3 – Identifier la nature de vos données personnelles
S’agit-il de condamnations pénales, infractions ou mesures de sûreté connexes ?
Le traitement de ces données fait l’objet d’encadrements spécifiques :
“Elles ne peuvent être traitées que par les juridictions et un certain nombre d’organismes limitativement énumérés dans la loi. Toutefois dans le cadre par exemple de conventions avec le ministère de la justice, les établissements de recherche publique et les laboratoires associés peuvent parfois être conduits, sous certaines conditions strictement encadrées, à traiter ces données” (source : Guide de l’InSHS)
Plus précisément, les traitements sur ces données ne “peuvent être effectués que par les personnes morales gérant un service public agissant dans le cadre de leurs attributions légales. Un laboratoire de recherche n’étant pas une personne morale, le CNRS a mis en place une procédure particulière : l’établissement devient le responsable de traitement, et le laboratoire est chargé de la mise en œuvre. Il faut réaliser une analyse d’impact sur la vie privée (→ voir “Qu’est-ce qu’une analyse d’impact relative à la protection des données (AIPD, DPIA ou AIVP) ? Dans quels cas doit-on y avoir recours, et comment ?”) en y associant (selon les traitements) l’institut concerné” (source : présentation issue de l’ANF CNRS “Protection des données personnelles dans les projets de recherche”, 21 et 22 septembre 2022, Marseille)
S’agit-il de numéros de sécurité sociale ?
Le traitement du numéro de sécurité sociale (aussi appelé NIR – Numéro d’Inscription au Répertoire) fait l’objet d’encadrements spécifiques. Il ne peut être enregistré et utilisé que par certains organismes et pour des usages définis dans le décret “cadre NIR”. Les traitements poursuivant exclusivement des objectifs de recherche scientifique ou historique ne relèvent pas des dispositions de ce décret. Par conséquent, dans le cadre d’un projet de recherche, seul le NIR “chiffré” (code arbitraire non signifiant) peut être utilisé, à condition que l’opération cryptographique ait été préalable au traitement des données.
S’agit-il de données personnelles “sensibles” ?
Les données sensibles sont des données personnelles, révélant au moins l’un de ces types d’informations :
- la prétendue origine raciale ou ethnique
- les opinions politiques
- les convictions religieuses ou philosophiques
- l’appartenance syndicale
- des données génétiques et biométriques
- des données concernant la santé (voir la définition au considérant 35 du RGPD)
- des données concernant la vie sexuelle ou l’orientation sexuelle.
“Attention : une donnée a priori non sensible peut toutefois le devenir en cas de recoupement d’informations. Exemple : des recherches portant sur la géolocalisation des véhicules pourraient révéler des convictions politiques réelles ou supposées, des convictions religieuses et/ou données relatives à la santé par l’étude des habitudes de déplacement et du stationnement surle parking de lieux particuliers (locaux d’un parti politique, fréquentation de lieux de culte, etc.).” (source : CNIL – Recherche scientifique hors santé : focus sur certaines catégories de données personnelles)
Le règlement européen interdit de recueillir ou d’utiliser ces données, sauf dans une dizaine de cas (voir article 9 du RGPD), et notamment :
- si la personne concernée a donné son consentement explicite au traitement des données qui va être effectué : pour être valide, le consentement au sens de la réglementation en matière de protection des données doit remplir plusieurs critères (→ voir “Qu’est-ce que le consentement des personnes ? Est-il toujours nécessaire pour traiter des données personnelles dans le cadre d’une recherche publique ?”) ;
- si les données sensibles sont manifestement rendues publiques par la personne concernée : une combinaison d’éléments doit être prise en compte pour pouvoir démontrer que la personne a clairement manifesté l’intention de rendre les données publiques (→ voir “Je veux traiter des données personnelles rendues manifestement publiques : comment procéder ?”) ;
- si le traitement est nécessaire à des fins archivistiques (dans l’intérêt public), historiques, statistiques ou de recherche scientifique : cette exception concerne uniquement la recherche publique (celle qui respecte les critères précisés dans le code de la recherche), sous réserve que des motifs d’intérêt public importants les rendent nécessaires. Le recours à cette exception nécessite donc un avis de la CNIL (démarche relativement compliquée nécessitant 6 mois d’instruction minimum).
Si les données sensibles ne sont pas rendues manifestement publiques par les personnes concernées, un projet de recherche publique pourra donc procéder, selon les cas :
- au recueil du consentement si celui-ci est possible sans représenter un biais pour la recherche ;
- ou à la sollicitation d’un avis CNIL (démarche relativement compliquée nécessitant 6 mois d’instruction minimum) si le recueil du consentement n’est pas possible ou représenterait un biais pour la recherche.
Les exceptions qui peuvent être mobilisées pour traiter des données sensibles ne se substituent nullement à la base légale du traitement. Les fiches CNIL pour la recherche (publiées en janvier 2022) certifient que cette exception s’ajoute à la base légale.
Références
Etape 4 – Evaluer le risque engendré par votre traitement sur les droits et libertés des personnes concernées
Votre traitement de données est-il concerné par au moins 2 de ces situations ?
- évaluation d’aspects personnels ou notation d’une personne (exemple : scoring financier) ;
- prise de décision automatisée ;
- surveillance systématique de personnes (exemple : télésurveillance) ;
- traitement de données sensibles (voir précédemment étape 3 ou → voir “Que sont les données personnelles “sensibles” ? Peut-on les traiter ?”) ;
- traitement de données concernant des personnes vulnérables (voir ci-dessous “Focus sur les populations vulnérables”) ;
- traitement à grande échelle de données personnelles ;
- croisement d’ensembles de données ;
- usages innovants ou application de nouvelles technologies (exemple : objet connecté) ;
- exclusion du bénéfice d’un droit, d’un service ou contrat (exemple : liste noire).
Focus sur les populations vulnérables
Certaines données personnelles renseignent des “populations vulnérables”. Ces populations ne sont pas explicitement définies par le RGPD ni par la LIL, mais on comprend qu’il s’agit de personnes pour lesquelles il est moins évident de faire valoir ses droits – telles que :
- les enfants de moins de 15 ans ;
- les personnes âgées ;
- les personnes souffrant de maladie mentale ;
- les salariés enquêtés sur leur établissement professionnel ;
- les prisonniers ;
- les réfugiés et demandeurs d’asile ;
- les patients dans un établissement médical ;
- …
Si votre traitement de données personnelles est concerné par au moins 2 de ces situations, il est jugé susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées. La réalisation d’une analyse d’impact relative à la protection des données est donc obligatoire (→ voir “Qu’est-ce qu’une analyse d’impact relative à la protection des données (AIPD, DPIA ou AIVP) ? Dans quels cas doit-on y avoir recours, et comment ?”).
Pour réaliser cette analyse d’impact, plusieurs supports peuvent vous aider :
- un logiciel open-source mis à disposition par la CNIL
- une étude de cas délivrée par la CNIL à titre d’exemple
- le modèle de l’Université de Nantes (accessible via l’intranet de Nantes Université, rubrique “Documents – Procédures” > “Affaires juridiques et Institutionnelles (DAJ et CAI)” > “Espace sur la protection des données personnelles” > “L’Analyse d’impact relative à la protection des données (AIPD)”)
Etape 5 – Anticiper et concevoir son travail de recherche de façon à l’adapter aux “règles d’or” du RGPD
5.1. Minimiser les données à collecter ou à traiter
On doit seulement collecter les données qui sont nécessaires pour atteindre la finalité du traitement. Les activités de recherche ne bénéficient d’aucune dérogation et le considérant 156 du RGPD insiste même au contraire sur l’importance de respecter le principe de minimisation en matière de recherche pour respecter les droits des personnes.
Cela nécessite de réfléchir sur la pertinence de chaque information collectée, de chaque question posée… Par exemple : pour caractériser les usagers d’une bibliothèque, est-il nécessaire de recueillir leur date de naissance, ou leur classe d’âge peut-elle suffire ?
5.2. Déterminer la durée de conservation des données, voire leur archivage
En principe, les données personnelles doivent être conservées pendant “une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées” (article 5 du RGPD). Il peut s’agir de la durée d’un projet de recherche. A terme, les données personnelles doivent être anonymisées, ou archivées si l’équipe de recherche anticipe des réutilisations possibles.
Tout traitement de données personnelles en recherche engendre, a minima, des résultats anonymisés (rapports, notes de recherche, publications…). Cette anonymisation peut ne pas avoir lieu si le projet de recherche est abandonné avant son terme (par exemple, dans le cas d’un abandon de thèse). Les données personnelles peuvent donc être supprimées (sans avoir été anonymisées) si le projet n’est pas mené à terme, en respectant certaines conditions (→ voir “Puis-je supprimer des données de recherche, et comment ?” [billet à venir]).
L’une de ces deux mentions peut donc être choisie :
- “Les données sont conservées en base active jusqu’à [date ou durée]. Après cette date, elles seront anonymisées”;
- “Les données sont conservées en base active jusqu’à [date ou durée]. Après cette date, elles seront définitivement archivées (si intérêt scientifique, statistique ou historique important)”.
S’il est impossible d’exprimer précisément la durée de conservation en unités temporelles, on peut avoir recours à des critères permettant de déterminer cette durée.
Ces deux possibilités (anonymisation/archivage) sont détaillées ci-après.
Anonymisation
L’anonymisation rend impossible toute identification des personnes (à l’inverse de la pseudonymisation, qui la freine seulement) : cet acte est donc irréversible. Il n’existe pas véritablement d’outils “clés en main” : c’est au chercheur de choisir ce qu’il peut supprimer ou modifier, de façon à minimiser la perte d’information scientifique et maximiser la perte d’informations personnelles (i.e. identifiantes). L’anonymisation des données issues d’enquêtes qualitatives (photographies, retranscriptions d’entretien…) est plus difficile que celle des données issues d’enquêtes quantitatives (questionnaires, recensements…)
- Exemples de données personnes et anonymisées → voir “Qu’est-ce qu’une donnée personnelle en SHS ?”
- Exemples de techniques d’anonymisation de tableaux de données (données quantitatives) → voir “Comment anonymiser mes tableaux de données ?”
- Sur la question de l’anonymisation des matériaux qualitatifs → voir “Je veux traiter des données personnelles issues d’enquêtes ethnographiques : comment procéder ?”
Si vos données sont anonymisées à l’issue du traitement, le cadre juridique du RGPD et du LIL ne s’applique plus : elles peuvent être largement diffusées et utilisées.
Archivage
On distingue deux types d’archivage : l’archivage définitif et l’archivage intermédiaire.
L’archivage définitif des données de recherche ne peut pas être réalisé dans le laboratoire : il peut être effectué par les services d’Archives départementales ou nationales en lien avec les établissements de rattachement du laboratoire ; ou par certaines infrastructures de l’ESR, notamment le CINES (voir “Comment archiver au CINES”). Il ne sera pérenne et possible que s’il est reconnu d’intérêt scientifique, statistique ou historique important. Une fois archivées, ces données pourront être consultées dans le respect des règles générales liées à la communication des archives déterminées par le Code du Patrimoine (délais de communicabilité, dérogations possibles pour les chercheurs, etc.).
Hors archivage définitif, la conservation des données personnelles traitées à des fins de recherche bénéficie d’une dérogation (article 5 du RGPD) : ces données peuvent être conservées au-delà de la durée nécessaire pour atteindre la finalité du traitement, du moment qu’elles soient ensuite conservées uniquement pour être utilisées à des fins de recherche, et que soient mises en œuvre des mesures techniques et organisationnelles appropriées. Ainsi, pour procéder à l’archivage intermédiaire à l’issue du traitement, le CNRS recommande de déposer les données personnelles en “base morte” (données non modifiables, non réalimentées) dans un endroit sécurisé avec accès restreints (par exemple aux seuls services des systèmes d’information et au directeur d’unité).
Il est alors possible que d’autres chercheurs, sur demande, récupèrent vos données puisque le changement de finalité à des fins de recherche scientifique est systématiquement jugé compatible avec la finalité initiale (considérant 50 du RGPD). Pour autant, cela ne dispense pas ces chercheurs “réutilisateurs” des procédures qui réactualisent la conformité au RGPD : définir la finalité, la base légale, la durée de conservation ; minimiser les données utilisées ; garantir le droit des personnes ; sécuriser les données…
5.3. Anticiper la garantie du droit des personnes
Les personnes concernées par des traitements de données personnelles disposent de droits leur permettant de garder la maîtrise des informations les concernant. Le RGPD impose des délais de réponse relativement courts pour chacun de ces droits : le responsable de traitement doit y répondre dans un délai d’un mois, voire deux si la complexité de la mise en œuvre de l’exercice du droit est justifiée. Si les données personnelles n’existent plus (si elles ont été supprimées, anonymisées…), le responsable de traitement doit également répondre au demandeur dans un délai d’un mois.
La garantie de ces droits suppose une certaine gestion des données (ex : être en mesure de retrouver des données concernant une personne particulière, de les modifier…). Plusieurs dérogations ou aménagements sont possibles dans le cadre des traitements fondés sur “l’exécution d’une mission d’intérêt public” (voir Tableau 1).
| Droit | Ce que l’exercice du droit permet à la personne concernée | Dans le cadre d’un projet en SHS reposant sur la base légale “exécution d’une mission d’intérêt public” | |
| Commentaires sur l’application | Dérogations | ||
| Information Articles 13 et 14 du RGPD | Être informée du traitement qui la concerne | Concerne les collectes directes (données obtenues directement auprès des personnes concernées) ET indirectes (données obtenues via une source tierce) | Des dérogations ou aménagements possibles dans certains cas, et notamment :
|
| Accès Article 15 du RGPD | Prendre connaissance des données qui la concernent | En principe, ces droits s’appliquent ; mais ils peuvent être limités dans le cadre de traitements fondés sur la base légale “exécution d’une mission d’intérêt public”, si l’exercice de ces droits rend impossible ou entrave sérieusement la réalisation des finalités. En pratique : il convient d’inscrire ces droits dans les mentions d’information, même s’ils peuvent faire l’objet de restrictions. Si une personne demande l’exercice d’un de ces droits, et si celui-ci compromet la recherche, il faut alors mentionner ces dérogations et expliquer les motifs du refus de l’exercice du droit, en documentant précisément le préjudice que l’application de ce droit porterait à la recherche. | |
| Rectification Article 16 du RGPD | Modifier les données qui la concernent en cas d’erreur | ||
| Limitation Article 18 du RGPD | Interrompre le traitement des données qui la concernent, sans les effacer, pendant un certain délai (ce délai lui permettant d’exercer ses autres droits) | ||
| Effacement (ou « oubli ») Article 17 du RGPD | Effacer les données qui la concernent | Notamment lorsque l’un des motifs suivants s’applique :
| Le droit d’opposition (qui correspond au droit d’effacement pour les traitements fondés sur une autre base légale que celle du consentement – voir ci-contre) peut être exclu (i.e. ne pas s’appliquer, même par principe) si la base légale est celle de « l’exécution d’une mission d’intérêt public ». |
| Portabilité Article 20 du RGPD | Obtenir les données qui la concernent dans un format interopérable afin qu’elle puisse les réutiliser | S’applique seulement aux traitements reposant sur la base légale du consentement | |
Focus sur le droit à l’information
Les personnes doivent pouvoir être informées du traitement qui les concerne, c’est-à-dire :
- connaître la raison du traitement (identité et coordonnées du responsable de traitement ; finalité et base légale du traitement ; description des intérêts du responsable de traitement si la base légale est celle des intérêts légitimes…);
- comprendre le traitement qui sera fait des données et évaluer les garanties de confidentialité des données (destinataires ou catégories de destinataires des données ; mesures de sécurité ; durée de conservation des données ; transferts de données hors de l’UE le cas échéant…)
- exercer leurs droits si elles le souhaitent (rappel des droits des personnes concernées ; coordonnées du DPO à contacter pour exercer ces droits…).
Cette information peut intervenir de différentes manières et à différents moments selon les situations, si le traitement est fondé sur la base légale de “l’exécution d’une mission d’intérêt public” :
si les données ont été obtenues directement auprès des personnes concernées (“collecte directe”) :
- si l’information des personnes est possible au moment du recueil des données (questionnaire en ligne, entretien…) sans compromettre la recherche : les personnes doivent être individuellement informées au moment de la collecte ;
- sinon, si l’information des personnes au moment du recueil des données représenterait un biais pour la recherche (ex : enquêtes par testing ; enquêtes avec “observations en situation naturelle”…) : les personnes peuvent ne pas informées au moment de la collecte, mais doivent obligatoirement être individuellement informées après la collecte (ex : on informe des recruteurs qu’ils ont fait l’objet d’une enquête par testing dans le cadre d’une recherche publique sur les discriminations à l’emploi, après que celle-ci ait été réalisée).
Voir aussi – sur ce blog
si les données n’ont pas été obtenues directement auprès des personnes concernées, mais via une source tierce (“collecte indirecte”) – exemples : webscrapping, réutilisation de documents administratifs publiés en ligne par l’administration…
- si l’information des personnes se révèle impossible ou demanderait “des efforts disproportionnés” (article 15 du RGPD, alinéa 5, paragraphe b) – sachant que le caractère disproportionné des efforts doit se justifier à l’aide de plusieurs arguments, comme (source : CNIL – Recherche scientifique hors santé : comment assurer le respect des droits des personnes ?) :
- le nombre élevé de personnes concernées ;
- l’ancienneté des données personnelles traitées (plus de dix ans par exemple) ;
- la difficulté de réidentifier les personnes concernées (exemple : données issues de bases comprenant uniquement des données pseudonymisées, sans table de correspondance) ;
- la difficulté de retrouver leurs coordonnées.
- sinon, si l’information des personnes ne requiert pas d’”efforts disproportionnés” (voir précédemment) – par exemple si vous disposez des adresses mails des personnes ; ou si vous ne disposez pas d’adresses mails mais que vous traitez les données d’une quinzaine de personnes dont les coordonnées peuvent être retrouvées : les personnes doivent être individuellement informées dès que possible, et au plus tard dans un délai d’un mois.
Voir aussi – sur ce blog
Il est également nécessaire d’informer les personnes en cas de modification substantielle du traitement, ou si une violation de données a eu lieu : les personnes doivent être informées individuellement ou, si l’information des personnes se révèle impossible ou demanderait “des efforts disproportionnés”, l’information doit être publiquement disponible via tous les médias possibles (voir précédemment).
L’information doit être “concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples”. Elle peut être délivrée à la personne concernée via un support électronique ou un support papier comme une affichette. Vous pouvez vous inspirer de plusieurs modèles :
- exemples de mentions d’informations de la CNIL
- un exemple de mention d’information pour les SHS, proposé par l’UMR Pacte – accessible dans l’annexe 2 du Guide InSHS
- pour illustration, le portail de l’enquête en ligne “VICO (La vie en confinement)”
- le modèle de mention d’information proposé par Nantes Université – [accessible via l’intranet, rubrique “Documents – Procédures > “Affaires juridiques et Institutionnelles (DAJ et CAI)” > “Espace sur la protection des données personnelles” (voir l’encart à droite, intitulé “Modèle de mention d’informations”).
5.4. Sécuriser les données et leur traitement
Sécuriser, c’est empêcher l’accès aux données à des personnes non-autorisées, mais c’est aussi garantir un stockage et un hébergement sans failles pour garantir les droits des personnes (accès, rectification, opposition…). On distingue trois catégories de mesures devant toutes s’appliquer :
- Des mesures pour diminuer le risque d’identification : pseudonymisation des données personnelles (N.B : la pseudonymisation n’est pas l’anonymisation ; elle freine la réidentification des personnes sans la rendre impossible).
- Des mesures pour garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des traitements. Les règles de base de cette sécurité rejoignent celles de la politique de sécurité des systèmes d’information des Universités, comme (liste non- exhaustive) : Utilisation exclusive des ordinateurs, outils et messageries professionnels ; Authentification obligatoire des utilisateurs pour les outils numériques (certificats numériques, mots de passe) ; Gestion des habilitations pour l’accès aux sites et aux données.
- Des mesures pour rétablir la disponibilité des données personnelles et l’accès à celles-ci dans des délais appropriés, afin d’assurer les droits des personnes (accès, rectification, limitation, effacement, voire portabilité). Ces mesures rejoignent les précédentes, auxquelles se rajoutent notamment les sauvegardes fréquentes des données ; le stockage des sauvegardes sur un site extérieur sécurisé ayant vocation à héberger des données personnelles…
Plus les impacts d’une défaillance de sécurité sur les personnes sont jugées graves, plus la sécurisation doit être importante (par exemple : chiffrement des ordinateurs et des smartphones ; accès autorisé par empreinte digitale…).
Quelques exemples de mauvaises pratiques (issus du Guide InSHS):
- Interactions messageries privées et professionnelles ;
- Utilisation d’outils dont les serveurs sont hors de l’UE (type Google Forms, Dropbox…) ;
- Échanges de fichiers contenant des données personnelles dites sensibles par messagerie sans chiffrement des messages.
Pour des conseils techniques et pratiques sur ces questions de sécurité, contactez le service en charge de la sécurité des systèmes d’information dans votre institution. Des conseils pratiques et techniques feront également l’objet de nouveaux billets (à venir) dans cette FAQ.
Etape 6 – Enregistrer son traitement
Avant de traiter des données personnelles, il est obligatoire de déclarer et documenter ce traitement dans le registre des traitements du responsable de traitement (RT). Il faut donc, d’abord, connaître le RT : pour la recherche publique en SHS, les responsables de traitement sont généralement les directeurs d’unité (DU) (→ voir “Qui est le responsable de traitement et quel est son rôle ?”).
Chaque responsable de traitement est responsable d’un registre de traitements dans lequel doivent être renseignés tous les traitements de données personnelles menés dans le cadre des activités du laboratoire. Ce registre est tenu à jour par un DPD ou DPO (déléguée à la protection des données) pour le compte de ce responsable – sachant qu’un DPD a été désigné par (et pour) chaque responsable de traitement auprès de la CNIL. Le plus souvent, les directeurs d’UMR désignent le DPD du CNRS, et les directeurs d’EA (Equipes d’accueil) désignent le DPD de leur université.
Pour compléter un registre de traitements, il faut notamment renseigner :
- Les finalités du traitement
- Les catégories de personnes et catégories de données concernées
- Les destinataires des données
- Les informations sur l’utilisation des données, leur conservation et les droits des personnes concernées
En SHS, les modalités de tenue des registres de traitements sont très hétérogènes → voir “Qui est le responsable de traitement et quel est son rôle ?”
Etape 7 – Pendant le traitement : respecter le cadre préalablement fixé et actualiser la documentation
Pendant toute la durée du traitement des données, il faut veiller à respecter le cadre préalablement fixé en garantissant le droit des personnes et la sécurité des données. Si les conditions du traitement évoluent (finalités, destinataires, durée de conservation…), il faut mettre à jour la documentation du traitement (registre des traitement, mentions d’informations).
Etape 8 – Après le traitement : anonymiser, archiver ou conserver (dans des conditions particulières)
A la fin du traitement, que faire de mes données personnelles ? Plusieurs solutions sont possibles, et sont déterminées par vos choix antérieurs concernant la durée de conservation : anonymisation, archivage définitif ou conservation dans des conditions particulières (voir précédemment, étape 5, partie 5.2).
Références
- → voir les références généralistes sur la page “Ressources”
OpenEdition vous propose de citer ce billet de la manière suivante :
Aliette ROUX (12 octobre 2022). Comment traiter des données personnelles en SHS : étapes élémentaires. So MSH ! Consulté le 10 mai 2026 à l’adresse https://doi.org/10.58079/ugfk