CR du séminaire Protection des données et recherche du 23/09/2020 : Retours d’expérience de délégués à la protection des données

Le séminaire Protection des données et recherche du 23/09/2020 a accueilli

Le séminaire visait à proposer des retours d’expérience de délégués à la protection des données.

Ce compte–rendu est une synthèse des trois interventions. Il est organisé en deux parties :

  1. L’instruction des traitements par les DPD
  2. L’exercice des missions des DPD

L’instruction des traitements par les DPD

Tout traitement de données à caractère personnel (DCP) doit faire l’objet d’un enregistrement dans le registre du DPD du responsable de traitement (RdT). L’enregistrement du traitement intervient après plusieurs étapes d’instruction du dossier où il faudra être en mesure de répondre à un ensemble de questions qui permettront de documenter le traitement et d’en établir la conformité en cas de contrôle ou de plainte.

A–t–on (vraiment) besoin de traiter des données à caractère personnel ?

La question peut paraître triviale, mais la protection des données ne s’applique qu’aux traitements de DCP. Autrement dit, si un traitement est anonyme —au sens de la réglementation, c.–à–d. si aucune (ré–)identification n’est possible—, la réglementation ne s’applique pas. Dans certains cas, de simples modifications apportées —en amont— du traitement sont d’ailleurs suffisantes pour le rendre complètement anonyme. Plus généralement, il vaut mieux s’efforcer de supprimer les DCP dès qu’elles ne sont plus nécessaires pour minimiser les risques et faciliter l’instruction.

Toutefois, la définition des DCP est très large ce qui rend l’anonymisation du traitement à un moment ou un autre d’autant plus ardue. Les DCP incluent en effet :

  • les données directement identifiantes
    nom, l’adresse (postale, électronique,…), téléphone, numéro de bureau,…
  • les données indirectement identifiantes
    données permettant d’identifier une personne de manière indirecte, notamment par croisement

Même un questionnaire sans données identifiantes en ligne peut se révéler être identifiant, pex. si on utilise limesurvey qui, par défaut, collecte les adresses IP des répondants. L’anonymisation des traitements —au sens de la réglementation— est souvent difficile, même pour les questionnaires. La question est plutôt la probabilité de réidentification et les risques qu’elle fait courir aux personnes et d’adopter des mesures comme la pseudonymisation.

De plus, l’application de la réglementation est aussi extensive en ce qu’elle concerne tous les traitements de DCP nécessaires à la réalisation de la finalité. Ainsi, le traitement commence dès le début de la collecte, pex. lors de la collecte d’information pour réaliser des entretiens. Le traitement devra donc déjà avoir l’objet d’un enregistrement dès cette étape.

Quel est le fondement juridique du traitement ?

Contrairement à une croyance très répandue, le recueil du consentement n’est pas toujours nécessaire. Ce n’est qu’un des six fondements juridiques du traitement prévu par la réglementation. Toutefois, tous ces fondements ne sont pas mobilisables dans le cas d’un traitement à fin de recherche scientifique dans le secteurs public. On peut plus particulièrement en distinguer trois :

  • la réalisation d’une mission de service publique comme la recherche
  • l’intérêt légitime du responsable de traitement
    mais seulement dans le cas de partenariats avec des établissements privés, pex. laboratoires pharmaceutiques mais aussi universités privées
  • et, en dernier ressort, le consentement

Le consentement est le choix le plus fragile et ne procure pas la même sécurité juridique à long terme que les deux autres fondements. Ne serait–ce que parce que les personnes ont le droit de retirer leur consentement à tout moment. De plus, celui–ci doit être conservé durant tout le traitement ce qui peut à terme se révéler incompatible avec la durée de conservation des données.

De plus, le recueil du consentement constitue un traitement de DCP et c’est même parfois la seule donnée identifiante collectée. Ce cas se présente pex. lorsqu’un comité éthique, une revue ou une norme professionnelle (déclaration d’Helsinki) demande le recueil systématique du consentement, même lorsqu’il n’est pas nécessaire juridiquement. En conséquence de quoi, il peut même arriver que le consentement soit la seule finalité du traitement et donc la seule raison de son enregistrement.

Il faut souligner ici que l’art. 11 du RGPD dispose qu’il n’y a pas d’obligation de collecter des DCP lorsque la seule finalité du recueil est de respecter le règlement (pex. pour l’exercice des droits des personnes).

Il ne faut pas, d’autre part, négliger l’information des personnes qui, elle, est primordiale. Le défaut d’information peut ainsi déboucher sur une sanction de la Cnil

Toutefois, même lorsque le fondement de la licéité du traitement n’est pas le consentement, son recueil peut se révéler nécessaire, pex. lors de la collecte de données sensibles.

Quelle est la finalité du traitement ?

La finalité du traitement, c.–à–d. son objectif, doit être légitime et déterminée.

La finalité peut conduire à des formalités différentes pour un même type de données. C’est pex. le cas des recherches en santé qui sont définies comme les recherches dont la finalité vise à développer les connaissances biologiques ou médicales et qui ne se résument donc pas au traitement de données de santé. En effet, la collecte de données de santé ne constitue pas, en soi, une recherche en santé.

Par exemple, la pandémie du COVID et le confinement ont conduit à la réalisation de nombreux traitements en SHS comme des questionnaires où il était demandé si les personnes avait été testées, si elle avaient été malades ou si elles étaient plus vulnérables du fait de leur état de santé. Ces traitements ne sont pas considérés comme des recherches en santé —mais ils demeurent des traitements de données sensibles—.

De nombreux traitements peuvent toutefois être considérés comme de la recherche médicale et ce, quelle que soit la discipline (c.–à–d. y compris en SHS). La Cnil applique ainsi cette qualification de façon très large. Par exemple, une étude en architecture visant à déterminer si des murs verts d’un hôpital de jour favorisent la prise en charge médicale a été qualifiée de traitement visant à développer les connaissances biologiques et médicales par la Cnil.

Dans le cas des recherches en santé, il faut ensuite déterminer si la recherche est :

  • interventionnelle
  • non–interventionnelle

Les recherches interventionnelles sont celles qui font des mesures qui « passent l’épiderme ». Par exemple, des recherches utilisant des électrodes, l’oculométrie, faisant passer un EEG ou un ECG voire réalisant un prélèvement sanguin en dessous d’un certain seuil —ou la couleur des murs des hôpitaux— ne sont pas considérées comme des recherches interventionnelles, à la différence d’un IRM (fonctionnel) —qu’il soit réalisé par des médecins ou des linguistes—. Les recherches interventionnelles ne concernent donc pas (plus) spécifiquement les interventions hors soins et ne sont pas limitées à des patients.

Du fait des risques encourus, les recherches interventionnelles doivent passer devant un Comité de protection des personnes (CCP). Le dossier doit avoir un promoteur (l’établissement de tutelle de l’équipe dans ce cas) qui doit accepter de promouvoir le traitement, la promotion nécessitant en effet de prendre une assurance. Certains établissements n’acceptent d’ailleurs de prendre en charge que les recherches interventionnelles à risques limités dites de type II.

Même si elles ont reçu l’avis positif d’un CCP, les recherches interventionnelles doivent aussi faire l’objet d’une mise en conformité et d’un enregistrement dans le registre du DPD compétent. Toutefois, les démarches peuvent être allégées par la méthodologie de référence MR-001.

De plus, une analyse d’impact sur la vie privée (AIVP) doit obligatoirement être réalisée pour vérifier la conformité du traitement tant d’un point de vue juridique (avec les DPD) qu’informatique (avec les RSSI) et s’assurer que les mesures adéquates ont été prises pour protéger les personnes. Le point de vue adopté ici est celui des personnes. Pex. si des données sont perdues, l’AIVP cherchera à déterminer quel serait l’impact sur ces dernières (NB : et non pas quel sera l’impact sur la recherche).

Les recherches non–interventionnelles doivent aussi passer devant un CCP mais le promoteur est, dans ce cas, l’unité avec un accompagnement de la part des établissements (DPD, cellules éthiques). Une autre méthodologie de référence, la MR-003 permet là aussi d’alléger les démarches. Une AIVP doit là aussi être réalisée.

Les AIVP sont des documents internes qui ne doivent être fournis que dans des cas particuliers comme sur demande de la Cnil. Réaliser une AIVP est un exercice difficile la première fois mais les mises en œuvre ultérieures sont plus faciles car de nombreux éléments peuvent être réutilisés. Cette remarque vaut aussi pour l’enregistrement des traitements au registre du DPD.

D’autre part, filmer des personnes fait sortir des MR-001 et MR-003, sauf anonymisation —floutage des visages— mais qui, pour certains traitements, n’est pas possible car elle conduirait à faire perdre de la donnée (pex. en orthophonie).

Quand les traitements ne portent pas directement sur la personne humaine —pex. lors de la ré–utilisation des données— la procédure est différente. Il n’est pas besoin de passer par un CCP et une autre méthodologie de référence peut être mobilisée, la MR-004. Rentrer dans la méthodologie de référence permet de se dispenser d’avoir à déposer un dossier à la Cnil et devant le Ceeres. Par contre, il est nécessaire de réaliser une AIVP.

Le traitement nécessite–t–il la collecte de données sensibles ?

Même si un traitement se conforme à une MR, les données de santé demeurent des données sensibles.

Les données sensibles constituent une catégorie de données particulières dont la collecte est interdite. Sont considérés comme des traitements de données sensibles :

  • les traitements de DCP qui révèlent :
    • l’origine raciale ou ethnique
    • les opinions politiques
    • les convictions religieuses ou philosophiques
    • l’appartenance syndicale
  • ainsi que le traitement :
    • des données génétiques
    • des données biométriques aux fins d’identifier une personne physique de manière unique
    • des données concernant la santé
    • des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique

Dans le cadre de recherches, l’interdiction peut toutefois être levée dans trois cas :

  • recueil du consentement
  • les données ont manifestement été rendues publiques par les personnes concernées
    Exemple : pages Facebook publiques
  • avis préalable de la Cnil (nouveauté de la loi protection des données de juin 2018)
    Exemple : accès aux dossiers de santé de détenus en prison

Comment les personnes sont–elles choisies ?

Les questions sur le mode de sélection des personnes visent d’abord à déterminer d’éventuels risques de réidentification —pex. si les personnes sont issues d’une population de taille réduite—. Exemple : un questionnaire aux personnels d’une université où le croisement du sexe, de la tranche d’age, le grade et du service permet d’identifier quasi–sûrement un répondant.

Ensuite, elles visent à déterminer d’éventuels risques de discrimination dans les traitements de recherche. Enfin, elles visent à établir si des collectes de DCP préalables sont nécessaires pour le recrutement des personnes —pex. pour des entretiens—. Et cela, d’autant plus que ces collectes peuvent inclure des données sensibles, pex., une étude sur l’odorat qui sélectionnent des non–fumeurs n’ayant pas eu de problèmes de santé ORL, n’ayant jamais subi de chimiothérapie,…

Comment les données sont–elles collectées ?

Les données peuvent être collectées de façon directe (entretien, questionnaire,…) ou indirecte (réseaux sociaux, Who’s who, …). Mais, quel que soit le mode de collecte, il faut assurer la confidentialité des données. Exemple, un projet portant sur les pratiques sexuelles des jeunes femmes où il était prévu de laisser un questionnaire papier anonyme dans la salle d’attente de médecins, les répondantes devant lui remettre le questionnaire rempli lors de la consultation. Même si le questionnaire est anonyme, la collecte ne l’est pas puisque le médecin connaît l’identité de la patiente. Le protocole a donc été modifié afin que les répondantes glissent leur questionnaire dans une urne scellée.

La confidentialité des données conditionne aussi la sincérité des réponses. Des possibilités de réidentification peuvent conduire les personnes à ne pas répondre partiellement ou complètement ou fournir des réponse inventées. Plus généralement, il ne faut pas négliger la sensibilité des personnes à l’utilisation qui peut être faite de leur données ainsi que les réactions que celles–ci peuvent susciter. En plus des réclamations, dépôts de plaintes et éventuels contrôles de la Cnil, elles peuvent aussi conduire à se voir refuser l’accès à un terrain d’enquête.

Les données sont–elles nécessaires ?

En application du principe de minimisation, la question est ici de savoir si les données qui sont collectées le sont parce qu’elles sont strictement nécessaires (et non pas, pex., parce qu’on pourrait éventuellement en avoir besoin un jour si ça se trouve qui sait). Car, dans les faits, les renseignements collectés le sont souvent de façon routinière et sans justifications au regard du traitement considéré. Au contraire, il faut être en mesure de justifier du caractère absolument nécessaire des données pour documenter le traitement. On peut alors notamment s’appuyer sur l’état de l’art de la littérature, des résultats publiés ou en formulant des hypothèses.

Pex., l’application du principe de minimisation conduit souvent à ne collecter que l’année de naissance parce que le jour et le mois n’apporte généralement aucune information supplémentaire. Toutefois, la date de naissance complète peut parfois être nécessaire comme dans l’étude de la prise en charge de nouveaux–nés.

Lors de passations expérimentales, le traitement peut être simplifié en déconnectant la prise de rendez–;vous de l’expérience de façon à ne pas pouvoir relier les données directement identifiantes aux données expérimentales. De même pour l’attribution de crédits ECTS pour les étudiants participant à une expérience. Dans le cadre des prises de contact, il est à noter que les messages électroniques ne constituent pas un traitement de DCP selon la Cnil.

Lors d’observations ethnographiques utilisant un carnet de note, la minimisation peut notamment être mise en œuvre lors de la transcription des notes. Le RGPD permet d’ailleurs la réalisation de recherches exploratoires. Les données non nécessaires doivent alors être supprimées au fur et à mesure de l’affinement de la finalité.

Quels sont les supports de collecte ?

Ces questions concernent :

  • la sécurisation des supports, des transferts et des transports
  • le remplacement des services de cloud « gratuits »
    ou applications en ligne, pour téléphone,…
  • les risques de pertes ou de vols

Quelle est la durée de conservation ?

Les données ne peuvent être conservées que pour la durée nécessaire à l’exercice de la finalité du traitement. Elles doivent ensuite être soit détruites, soit conservées sous une forme ne permettant pas la réidentification. En pratique, il existe une articulation entre la loi informatique et liberté et le code du patrimoine. À la fin du projet, les données peuvent —en fait, doivent— être archivées. Elles peuvent alors être réutilisées dans le respect du code du patrimoine.

La sécurisation des données

Le RdT a une obligation de sécurité dès la conception du traitement qui passe notamment par :

  • l’adaptation des mesures de sécurité en fonction des risques
  • l’utilisation de la pseudonymisation dès que possible
    pex., en utilisant des tables de correspondances pour séparer les données directement identifiantes des données de la recherche
  • le chiffrement des périphériques
    y compris pour l’enregistrement de pex. la voix (utilisation de dictaphones, téléphones, ordinateurs chiffrés)
  • et, plus généralement, l’application de la PSSI-E (politique de sécurité des systèmes d’information de l’État)

Répondre à l’obligation de sécurité des DCP permet aussi d’assurer la sécurité des données de la recherche.

L’exercice des missions des DPD

Le responsable de traitement et la désignation du DPD

Le responsable de traitement est

la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement

RGPD art. 4 § 7 :

Dans le cadre de l’ESR, le RdT d’un traitement n’est (généralement) pas la ou les personnes qui réalisent le traitement (EC, CR, (post–)doctorants,…). L’identité du RdT varie en fonction du statut de l’équipe de recherche :

  • pour les UMR, il s’agit du DU (directeur d’unité).
  • pour les ULR (anciennement EA), il s’agit du chef d’établissement (pex. le président de l’université)

Lorsque le chef d’établissement est RdT, le DPD de l’établissement est le délégué compétent. Par contre, lorsque le RdT est le DU d’une UMR, les tutelles préconisent que le DPD de l’employeur du DU soit désigné. Toutefois, une fois la désignation officielle faite, cette règle est rarement appliquée dans les faits lorsque le changement de direction s’accompagne d’un changement d’employeur, notamment parce que le changement de DPD implique un transfert de registre (et de responsabilité professionnelle ).

Les missions des DPD

Les DPD s’occupent de tous les traitements de DCP du RdT. Dans l’ESR, les DPD peuvent donc être amenés à instruire de nombreux dossiers de nature très différente en fonction de l’activité du RdT (RH, scolarité, pédagogie, médecine du travail, directions fonctionnelles,…). De plus, les établissements peuvent couvrir un périmètre recherche très large, particulièrement pour les établissements fusionnés (pex. 30 unités en droit et SHS, 17 en sciences et technologie, 32 en sciences de la vie et santé pour l’Université de Strasbourg) ou les organismes nationaux comme le CNRS (près de 600 UMR ont ainsi désigné officiellement la DPD du CNRS). Les DPD peuvent donc être amenés à traiter une très grande diversité de traitements à fin de recherche (diverses tant par leur mode de collecte que leur finalité ou les risques qu’ils font courir aux personnes,…). Ils peuvent aussi avoir en charge les thèses de doctorat, les thèses d’exercice, les mémoires de master,…

D’autre part, les unités réalisent aussi des traitements de DCP autres que des recherches (organigramme interne, listes de diffusion, organisation de colloques,…) qui doivent être enregistrés. Et ces types de traitement peuvent eux aussi déboucher sur des réclamations, y compris de la part de collègues chercheurs pex. lors de l’inscription sans information sur une liste ni opt–in préalable.

Les DPD réalisent aussi des activités de formation (ressources en lignes, écoles doctorales, dans les unités,…)

Les étapes de la mise en conformité des traitements

La mise en conformité peut être décomposée en cinq étapes :

  1. prise de contact
    directement ou au travers d’un correspondant lorsqu’un réseau a été mis en place —comme à l’Université de Lille— pour comprendre la finalité du projet, les modalités de collecte, son contexte institutionnel (financeurs, partenariats,…), …
  2. préparation de l’enregistrement du traitement
    mise en conformité du traitement
    quelles sont les informations collectées et comment, information des personnes, les mesures de sécurité à adopter, les autres démarches à entreprendre (CCP, Cnil,…), conventions,…
  3. validation de l’enregistrement
  4. enregistrement du traitement et réalisation des éventuelles autres formalités
  5. mise en œuvre du traitement

L’instruction du dossier nécessite une prise de contact la plus en amont possible car les trois premières étapes peuvent nécessiter de nombreux échanges. Les DPD sont là pour accompagner la recherche mais ne s’intéressent pas tant à la recherche proprement dite qu’aux données collectées et aux risques pour les personnes —notamment les risques de réidentification—. Le but n’est pas d’empêcher la recherche mais de protéger les personnes concernées par le traitement (sécurité, confidentialité, impact sur les personnes) au de–là du stricte respect de la réglementation.

L’instruction du dossier requiert de lister quelles sont les DCP collectées et pour quelle raison. Elle nécessite aussi de tracer le circuit de la donnée (qui pourra accéder à et intervenir sur quelle données).

La mise en conformité du traitement peut nécessiter la signature de conventions avec les partenaires (pex. pour la responsabilité du traitement, les transferts de données,…) ou les sous–traitants. Ainsi la retranscription d’entretiens nécessite une convention (avec un engagement de confidentialité) en cas de sous traitance de la retranscription pex. par des étudiants.

Comme le montre la première partie, la préparation de l’enregistrement requière de répondre à nombreuses questions. Ces questions permettent de documenter le traitement et de démontrer sa conformité en cas de plainte ou de contrôle ou même de demandes de la part de personnes concernées plus ou moins énervées. Cette étape est d’autant plus vitale que le RGPD a inversé la charge de la preuve et il revient aujourd’hui au RdT de démontrer qu’il n’est pas en faute. D’où l’importance de documenter le traitement.

L’enregistrement peut aussi s’appuyer sur un plan de gestion de données (Data Management PlanDMP) et inversement. Un DMP ne se substitue pas à l’instruction du dossier par le DPD mais les deux démarches sont complémentaires et leur cohérence est même nécessaire lorsque le DMP est imposé pex. par un financeur. De même que l’enregistrement doit être cohérent avec l’AIVP.

L’étape de validation implique, elle, un engagement de la part des chercheurs à respecter les procédures et protocoles décidés lors de l’étape de préparation.

Le premier enregistrement est toujours le plus difficile mais permet de se familiariser à la démarche ce qui facilite les enregistrements suivants.

Difficultés rencontrées

  • nombre de dossiers à instruire
    233 en cours à l’UdLille
  • difficulté d’automatisation des démarches, pex. par des formulaires en ligne
    les traitements sont trop diversifiés
    les formulaires ne permettent pas d’établir la relation personnelle avec les chercheurs qui est nécessaire pour passer les différentes étapes de l’instruction du dossier
  • délais d’instruction des dossiers
    variable, de quelques jours à plusieurs mois en fonction de la complexité du traitement, d’autant plus long que le nombre d’interlocuteurs augmente (Cnil, CCP, INDS,…)
  • demandes tardives
    les traitements déjà entamés ne peuvent pas être enregistrés pour ne pas engager la responsabilité professionnelle des DPD
  • absence de retour au cours d’une des trois premières étapes
    qui peut notamment conduire à ce que la responsabilité des personnes ayant pris part au traitement soit engagée à la place de celle du RdT
  • multitude de partenaires qui nécessite notamment la rédaction et la signature de conventions
    Cifre, sous–traitance, stage, d’accueil
    qui ralentissent d’autant les choses
  • réponse à des appels d’offre
    incertitude de la réponse
  • méconnaissance des obligations
    de nombreux chercheurs ne se sentent pas concernés, notamment parce qu’ils croient ne pas collecter de DCP ou, parfois, s’imaginent suffisamment compétents pour mettre le traitement en conformité seuls
  • craintes de contrôle de la recherche et d’être jugé par un profane
    Les DPD participent généralement aux comités éthiques de leur établissement mais leur mission est différente car ils s’intéressent avant tout aux données collectées et à la protection des données personnes et non à la finalité proprement dite —tant que la finalité est légitime—.


You may also like...

Leave a Reply

Your email address will not be published.

This site uses Akismet to reduce spam. Learn how your comment data is processed.

Search OpenEdition Search

You will be redirected to OpenEdition Search