Je veux traiter des données personnelles collectées avant le RGPD. Comment procéder ?

Cette FAQ publie les questions qui nous ont été adressées dans le cadre de nos activités (→ voir Qui sommes-nous ?), et les réponses que nous y avons apportées en nous appuyant sur la réglementation en vigueur. La tonalité souvent normative de ces billets ne doit cependant pas décourager le débat sur les conditions d’application de ces règles : n’hésitez pas à les commenter !

Le RGPD1 facilite la réutilisation des données personnelles à des fins de recherche scientifique, quel que soit le producteur initial (public ou privé). En effet, si le texte exige que la finalité d’un traitement soit “déterminée”, il autorise son évolution quand les nouvelles finalités restent “compatibles” avec la finalité initiale. Or, dans le cas où le traitement ultérieur est effectué à des fins de recherche scientifique, le changement de finalité est systématiquement réputé compatible avec la finalité initiale (considérant 50 et article 5 du RGPD). Les chercheurs peuvent donc traiter des données personnelles collectées par des tiers. Mais si ces dernières ont été collectées avant l’adoption du RGPD, peut-on les traiter, et comment ?

Ou encore, si un chercheur souhaite re-traiter des données personnelles qu’il avait collectées avant le RGPD et déjà analysées à cette occasion, comment doit-il procéder ?

La réglementation (LIL2, RGPD) s’applique à toutes les données personnelles, quelle que soit leur année de collecte (avant ou après l’entrée en vigueur du RGPD ou de la LIL).

Si les données sont collectées auprès d’un tiers, et si elles peuvent être fournies dès le départ sous une forme anonymisée, cela vous dispensera du respect de la réglementation (LIL et du RGPD) pour vos traitements ultérieurs.

Si l’utilisation de données personnelles est nécessaire pour répondre à votre problématique de recherche, et si ce traitement est associé à une finalité différente de celle du traitement initial (i.e. avant l’application du RGPD) ou à un nouveau responsable de traitement (→ voir “Qui est le responsable de traitement et quel est son rôle?”), vous allez donc opérer un nouveau traitement sur ces données. Dans ce cas, toutes les étapes assurant un traitement licite doivent donc être menées et respectées (→ voir “Comment traiter des données personnelles en SHS : étapes élémentaires et générales”).

Si l’utilisation de données personnelles est nécessaire pour répondre à votre problématique de recherche, et si ce traitement est associé à la même finalité et au même responsable de traitement que le traitement initial (exemple : suivi de cohorte), il reste essentiel de se conformer au cadre juridique actuel sur la protection des données personnelles, qui n’était pas le même qu’au début du traitement (i.e. avant l’application du RGPD). Entre autres, le RGPD a renforcé les droits des personnes ; en inversant la charge de la preuve qui incombe dorénavant au responsable de traitement, il impose également de nouvelles pratiques (comme l’inscription systématique au registre des traitements se substituant aux “déclarations CNIL”)… Toutes les étapes assurant un traitement licite doivent donc être menées et respectées (→ voir “Comment traiter des données personnelles en SHS : étapes élémentaires et générales”).

Cas (très) particulier des traitements reposant sur la base légale du consentement

Dans le cas très particulier (car très rare en SHS) d’un traitement reposant sur la base légale du consentement (c’est-à-dire si le projet de recherche est mené en collaboration avec des partenaires extérieurs à la recherche publique, et s’il est amené à traiter des données personnelles de personnes mineures → voir étape 2, partie 2.2. du billet Comment traiter des données personnelles en SHS : étapes élémentaires et générales”)), vous devrez alors (re)solliciter le consentement des personnes concernées pour ce nouveau traitement.

Mais dans ce cas, le traitement (i.e. l’utilisation des informations de contact) précède le consentement : il faudrait s’assurer préalablement que l’une de ces situations soit respectée – sachant qu’avant l’adoption du RGPD, il existait d’autres procédures pour respecter les données personnelles (les déclarations CNIL) :

  • Les personnes avaient consenti à être recontactées pendant telle durée, et votre traitement (i.e. la prise de contact) se produit durant cette période ;
  • Les personnes avaient consenti à être recontactées sans qu’aucune durée (prise de contact, traitement, conservation des données) n’ait été précisée ni déclarée ; si le traitement initial avait fait l’objet d’une déclaration CNIL, la durée déclarée du traitement initial ou de la conservation des données doit au moins durer jusqu’à votre traitement (i.e. la prise de contact).

Ces précautions font écho aux réserves d’un comité d’éthique, évoquées par Johanna Siméant-Germanos, sur la technique “boule de neige” fréquemment adoptée en sciences sociales pour approcher les enquêtés (un enquêté renvoie l’enquêteur vers l’une de ses connaissances) → voir notre compte-rendu de l’Atelier Digit-Hum 2022.

Si le recueil du consentement s’impose comme dérogation au traitement de données sensibles, et si la base légale de votre traitement est “l’exécution d’une mission d’intérêt public” (cas le plus fréquent en SHS), vous pourrez en principe réutiliser les informations de contact sans que l’une des situations précédentes soit respectée. En effet, ce traitement consistant à utiliser les informations de contact sera fondé sur “l’exécution d’une mission d’intérêt public”.

Ce billet s’appuie essentiellement sur notre interprétation personnelle des textes : n’hésitez pas à le commenter ou à nous signaler des ressources !

Notes

  1. Règlement Général sur la Protection des Données Personnelles (RGPD) du 27 avril 2016 – voir la version en vigueur []
  2. Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (LIL) – voir la version en vigueur []

OpenEdition vous propose de citer ce billet de la manière suivante :
Aliette ROUX (14 octobre 2022). Je veux traiter des données personnelles collectées avant le RGPD. Comment procéder ? So MSH ! Consulté le 21 avril 2026 à l’adresse https://doi.org/10.58079/ugft


Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *

This site uses Akismet to reduce spam. Learn how your comment data is processed.