Traitements de données à des fins de recherche scientifique (hors santé) : quand saisir la CNIL ?

Il est en principe interdit de recueillir et d’utiliser des données sensibles, sauf exceptions prévues par le règlement général sur la protection des données (RGPD).

En l’absence d’autre exception mobilisable (par exemple en justifiant d’avoir le consentement des personnes concernées – article 9 du RGPD), il est possible de traiter des données sensibles dans le cadre d’une recherche scientifique (hors santé) sous réserve d’avoir saisi la CNIL pour avis (en application de l’article 44.6 de la loi Informatique et Libertés).

Trois conditions cumulatives doivent être réunies :

• le traitement doit être nécessaire à des fins de recherche scientifique publique (au sens du code de la recherche) ;
• il doit porter sur des données sensibles ;
• il doit être rendu nécessaire par des motifs d’intérêt public important.

Ainsi, si votre traitement relève de la recherche scientifique au sens du RGPD et qu’il remplit les conditions précitées, vous pourrez saisir la CNIL.

Il s’agit d’une recherche scientifique publique

Afin d’aider les responsables de traitement à déterminer s’ils peuvent bénéficier des dispositions applicables à la recherche scientifique, la CNIL propose un faisceau de critères permettant d’apprécier si un traitement peut, ou non, relever de la recherche scientifique publique.  

En pratique, pour relever du cadre de la recherche scientifique publique, le traitement de données personnelles doit satisfaire un critère organique (qui) et des critères de fond (quoi). 

Un critère organique

Le critère « organique » concerne la nature de l’organisme qui met en œuvre la recherche.

Une université, un organisme de recherche tel que le CNRS ou un centre de recherche comme l’Institut de recherche criminelle de la gendarmerie nationale (IRCGN) ont vocation à mettre en œuvre ce type de traitements. Ces organismes ont vocation « par nature » à effectuer de la recherche scientifique.

Au sens du code de la recherche, les recherches mises en œuvre par l’un des organismes suivants, sont des recherches publiques :

• les établissements publics à caractère scientifique, culturel et professionnel ;
• les autres établissements publics d'enseignement supérieur ;
• les établissements publics de recherche ;
• les établissements de santé dans les établissements privés à but non lucratif en contrat avec l'État tels que définis à l'article L. 732-1 du code de l'éducation, et dans les entreprises publiques.

Des critères de fond

Des critères de fond doivent également être pris en compte.

En effet, le code de la recherche indique que la recherche publique doit avoir pour objectifs (non cumulatifs) :

• le développement et le progrès de la recherche dans tous les domaines de la connaissance ;
• la valorisation des résultats de la recherche au service de la société, qui s'appuie sur l'innovation et le transfert de technologie ;
• le partage et la diffusion des connaissances scientifiques en donnant priorité aux formats libres d'accès ;
• le développement d'une capacité d'expertise et d'appui aux associations et fondations, reconnues d'utilité publique, et aux politiques publiques menées pour répondre aux défis sociétaux, aux besoins sociaux, économiques et du développement durable ;
• la formation à la recherche et par la recherche ;
• l'organisation de l'accès libre aux données scientifiques.

Exemple : La CNIL a déjà reconnu que la mise en œuvre d’un entrepôt de données « hors santé » pouvait être reconnu comme de la recherche scientifique publique dans la mesure où la constitution d’un tel entrepôt répond à l’objectif de partage et de diffusion des connaissances scientifiques et d’organisation de l’accès libre aux données scientifiques (voir CNIL, SP, 16 mars 2023, avis sur projet de mise en œuvre d’un traitement dénommé Études détaillées d’accident, n°2023-025).

Cette recherche porte sur des données sensibles

Le traitement porte sur des données sensibles au sens de l’article 9 du RGPD. Il s’agit :

• des données à caractère personnel qui révèlent la prétendue origine raciale ou l'origine ethnique ;  
• des opinions politiques ;
• des convictions religieuses ou philosophiques ;
• de l'appartenance syndicale d'une personne physique ;
• des données génétiques ;
• des données biométriques aux fins d'identifier une personne physique de manière unique ;
• des données concernant la santé ;
• des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique.

Il convient, lors de la saisine de la CNIL pour avis, de préciser le type de données sensibles collectées dans le cadre de la recherche.

Pour rappel, les données d’infraction (article 10 du RGPD) ne constituent pas des données sensibles au sens du RGPD, même si leur traitement fait l’objet d’un encadrement spécifique.

Leur seul traitement dans le cadre d’un projet de recherche ne nécessite donc pas de saisine de la CNIL pour avis en application de l’article 44.6 de la loi Informatique et Libertés.