Je veux traiter des données personnelles provenant d’une entreprise, d’une association ou d’une institution publique : comment procéder ?

Cette FAQ publie les questions qui nous ont été adressées dans le cadre de nos activités (→ voir Qui sommes-nous ?), et les réponses que nous y avons apportées en nous appuyant sur la réglementation en vigueur. La tonalité souvent normative de ces billets ne doit cependant pas décourager le débat sur les conditions d’application de ces règles : n’hésitez pas à les commenter !

Si le RGPD1 exige que la finalité d’un traitement soit “déterminée”, il autorise son évolution quand les nouvelles finalités restent “compatibles” avec la finalité initiale. Or, dans le cas où le traitement ultérieur est effectué à des fins de recherche scientifique, le changement de finalité est systématiquement réputé compatible avec la finalité initiale (considérant 50 et article 5 du RGPD). Cette dérogation permet aux chercheurs de traiter des données collectées par des tiers.

Ainsi, imaginons que des chercheurs d’une UMR CNRS veuillent traiter les données collectées par un tiers, en déterminant la finalité et les moyens du traitement mis en œuvre, sans aucune instruction de ce tiers : ils deviendront alors les responsables de traitement, sous couvert de leur directeur d’unité ( voir “Qui est le responsable de traitement et quel est son rôle ?”).

Ces chercheurs “réutilisateurs” devront néanmoins réactualiser la conformité de ces données au cadre juridique (RGPD et LIL) : définir la finalité, la base légale, la durée de conservation ; minimiser les données utilisées ; garantir le droit des personnes ; sécuriser les données… ( voir “Comment traiter des données personnelles en SHS : étapes élémentaires”). Par exemple, si les données sur les adhérents d’une association sont transmises par cette dernière à des chercheurs, les chercheurs devront alors en informer les personnes concernées (par exemple par mail) ; et si les données sont en partie sensibles et que les chercheurs souhaitent éviter la procédure de sollicitation d’un avis de la CNIL pour les traiter, il faudra recueillir le consentement de ces personnes ( voir “Qu’est-ce que le consentement des personnes ? Est-il toujours nécessaire pour traiter des données personnelles dans le cadre d’une recherche publique ?”).

A noter : Si les données collectées auprès d’un tiers peuvent être fournies dès le départ sous une forme anonymisée, cela vous dispensera du respect du cadre juridique de la LIL2 et du RGPD pour vos traitements ultérieurs.

Références

Notes

  1. Règlement Général sur la Protection des Données Personnelles (RGPD) du 27 avril 2016 – voir la version en vigueur []
  2. Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (LIL) – voir la version en vigueur []

OpenEdition vous propose de citer ce billet de la manière suivante :
Aliette ROUX (13 octobre 2022). Je veux traiter des données personnelles provenant d’une entreprise, d’une association ou d’une institution publique : comment procéder ? So MSH ! Consulté le 21 avril 2026 à l’adresse https://doi.org/10.58079/ugfp


Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *

This site uses Akismet to reduce spam. Learn how your comment data is processed.