Aborder la protection des données personnelles en sciences sociales

Depuis maintenant quelques années, j’interviens dans des formations sur la protection des données personnelles (DCP) dans le domaine des sciences sociales dont différentes mises–à–jour du support sont disponibles dans cette rubrique. Je sais donc la perplexité dans laquelle le sujet peut laisser et aussi combien il est facile de se retrouver submergé par la quantité d’information à ingérer. Et ainsi perdre de vue l’essentiel. Ce billet se fonde sur l’expérience de ces présentations —ainsi que l’inscription au registre de quelques traitements…— pour souligner quelques lignes directrices à garder en tête lorsqu’on aborde la protection des données des traitements en sciences sociales pour la première fois.

Pour commencer, il faut souligner que « sciences sociales » —et, a fortiori, SHS— est ici une facilité de langage. Le terme regroupe de nombreuses disciplines très diverses ne serait–ce que pour ce qui est des modes de collecte, des données personnelles collectées et des finalités des traitements. La réglementation n’édicte que des grands principes dont il faut trouver la traduction pour chaque cas concret. C’est pourquoi, faire une présentation valable pour la psychologie et la sociologie est une gageure à laquelle je ne me risquerais pas —et que seuls quelques délégués à la protection des données de l’ESR seraient sans doute en mesure de réaliser—.

Les présentations concernent donc plutôt les traitements en science–politique, sociologie ou démographie. Ces disciplines recueillent en effet des renseignements de nature différentes mais qui utilisent souvent des modalités de collecte similaires (questionnaires, entretiens,…). Ce qui fait que ce qui vaut pour l’une vaut souvent pour les autres. Cela dit, au–delà des idiosyncrasies disciplinaires, les règles sont les mêmes pour tout monde et près d’un tiers du support est consacrée aux principes après une partie introductive elle–même très générique.

Un autre point à souligner est que les interventions visent principalement à familiariser à la réglementation dans la perspective de l’enregistrement des traitements par les délégués à la protection des données (DPD). Les DPD sont en effet incontournables dans la mise en conformité des traitements, le RGPD ayant supprimé presque toutes les autorisations préalables et autres déclarations à la Cnil. C’est donc auprès d’eux que la quasi intégralité des traitements de DCP sont aujourd’hui enregistrés. Et cette inscription au registre est obligatoire. Il n’y a pas de DIY en la matière.

La présentation est actuellement composée de trois parties :

  1. une première partie introductive
    pour commencer à aborder le sujet en douceur avant de rentrer dans le dur
  2. une deuxième partie sur la réglementation proprement dite
    qui reprend notamment les grands principes et définitions de la réglementation —essentiellement, le RGPD et la loi informatique et libertés— en relation avec les dispositions spécifiques aux traitements à fin de recherche scientifique
  3. une troisième partie sur la mise en œuvre de la réglementation en « sciences sociales »
    qui reprend différents points de la deuxième partie en les illustrant par des exemples, suivie par une sous–partie plus axée sur la sécurité et la confidentialité des données

La première partie vise notamment à retracer ce qui a motivé l’élaboration et la mise en œuvre de la protection des données depuis les années soixante du siècle dernier. En effet, un début in media res s’est révélé un petit trop abrupte lors des premières interventions. Car ce qui suit est peu plus rude. La seconde partie est en effet consacrée exclusivement à la réglementation, sa mise en œuvre étant abordée dans la troisième partie.

Au travers de ce bref résumé du contenu de la présentation, on peut voir combien la protection des données touche à différents domaines. Toutefois, au regard de la quantité d’éléments — règlements, décisions, recommandations, protocoles, …— y figurant, il est important de souligner que la protection des données ne nécessite pas de devenir un spécialiste du droit du numérique —ou de sécurité informatique—. Une fois de plus, il s’agit avant tout d’acquérir les fondamentaux indispensables pour travailler avec un DPD. Bien évidemment, l’application de la réglementation demande malgré tout de se familiariser avec un nombre non négligeable de notions d’ordre très variées. Mais elle demande aussi, et peut– être surtout, de se familiariser avec un raisonnement et des pratiques afin de pouvoir travailler en bonne intelligence avec les personnes compétentes —DPD, mais aussi, le cas échéant, DSI, direction des affaires juridiques,…—.

Comprendre le raisonnement est fondamental car la loi informatique et libertés ou le RGPD ne sont pas des longues listes de cas de traitements et des autorisations|interdictions afférentes. Au cœur de ce raisonnement se trouvent deux principes fondamentaux, finalité et minimisation :

  1. La question est plus la relation entre ce qui est collecté et l’objectif de la collecte —la finalité— plus que ce qui est collecté proprement dit —ou la finalité elle–même d’ailleurs—. L’analyse juridique —et non pas le « statut »— des données recueillies peut ainsi complètement changer en fonction de la finalité. L’exemple le plus dramatique en est sans doute les données de santé.
  2. La relation entre ce qui collecté et la finalité est de plus soumise à un principe de minimisation. Ne peut être collecté que ce qui est strictement nécessaire à l’exercice de la finalité et rien de plus. On doit donc pouvoir être en mesure de motiver chaque renseignement collecté ce qui permet notamment de documenter le traitement et d’en établir la conformité en cas de contrôle ou de plainte.

À ces deux principes, il faut au moins en rajouter un troisième —il y en a cinq en tout—, le principe d’information des personnes. Ce principe renvoie lui–même à l’impératif catégorique d’autodétermination informationnelle —les personnes doivent être en mesure de décider de, à défaut de consentir à, l’utilisation de leur DCP— duquel les différents principes découlent.

Entre autres choses.

Car, avec le raisonnement, il y aussi un vocabulaire à apprendre ou, parfois, à désapprendre comme, par exemple, ce que anonymisation —et pseudonymisation— veut dire. Ainsi que des notions élémentaires de sécurité des systèmes d’information. Et cela même si la partie numérique est prise en charge par quelqu’un d’autre.

Tout cela peut paraître beaucoup au premier abord. C’est pourquoi, au–delà de la masse des aspects strictement techniques, il est important de jamais perdre de vue un certain nombre de points lorsqu’on aborde pour la première fois le sujet —et même après—. Sans prétendre être exhaustif, en voici quelques–uns :

  • La protection des données est une question juridique et non éthique
  • Son objet est la protection des personnes concernées par le traitement
    Mais aussi la protection des établissements et de leurs personnels.
  • La réglementation s’applique à tout traitement de DCP
    La définition des DCP inclue les données indirectement identifiantes, il y a donc peu chance d’y échapper.
  • L’inscription au registre du DPD est une obligation pour tout traitement de DCP
  • La mise en conformité du traitement avec le DPD n’a rien à voir avec une évaluation (par un comité éthique ou autre).
    Le questionnement du DPD portera sur les moyens mis en œuvre pour la réalisation de la finalité du traitement —c.–à–d. les données recueillies et leur utilisation— et non sur la finalité elle–même.
  • La réglementation n’établit que des principes auxquels le traitement doit se conformer
    Ne cherchez pas dans le RGPD ou la Lil les réponses à vos questions. Elles n’y sont pas. Demandez plutôt conseil à votre DPD.
  • L’application de la réglementation est largement conventionnelle
    Le dossier doit être instruit pour son enregistrement et les parties prenantes doivent s’accorder sur les mesures à adopter pour parvenir à la conformité du traitement.
    L’enregistrement du traitement implique de plus un engagement à respecter ce qui a été convenu.
    D’autre part, la protection des données peut aussi nécessiter des dispositions spécifiques dans les conventions passées avec les partenaires de la recherche et les sous traitants.
  • Par conséquence, l’inscription au registre n’est pas un simple acte administratif d’homologation
    L’instruction des dossiers d’inscription au registre doivent passer par un ensemble d’étapes et d’échanges avec le DPD.
    Il faut donc contacter le DPD dès la conception du projet.
  • Des dispositions propres aux traitements à fin de recherches scientifiques sont prévues
  • Au final, ce que vous pourrez faire est conditionné par votre capacité à le justifier au regard de votre finalité
    Il faut apprendre à minimiser la minimisation.

Une titre alternatif à la présentation pourrait être Tout ce que vous n’avez jamais voulu savoir sur la protection des données parce qu’on ne vous a jamais prévenu que vous auriez un jour à le demander. La protection des données est en effet peu (pas) enseignée. Mais, au–delà de l’exposition à des matières avec lesquelles les participants sont souvent peu familiers —droit mais aussi informatique—, la difficulté est ici que les enseignements ne prédisposent souvent pas à la pratique de la protection des données et, dans une certaine mesure, inculquent même des dispositions adverses. Ce qui ne signifie pas que les démarches sont nécessairement antagonistes. Au contraire. Mais plutôt que la réglementation fait, par exemple, pencher le rasoir d’Ockham plus d’un côté que de l’autre1.

  1. Pour plus de développements, voir la présentation au colloque inaugural de la PUD-GA []

You may also like...

Leave a Reply

Your email address will not be published. Required fields are marked *

This site uses Akismet to reduce spam. Learn how your comment data is processed.

Search OpenEdition Search

You will be redirected to OpenEdition Search