Sur la collecte, l'acquisition et le traitement des données à caractère personnel
Quels sont les principes à respecter pour établir la licéité de la collecte et du traitement des données ? La collecte et le traitement des données doivent remplir certaines conditions pour être considérés comme licites. Ces conditions de licéité portent sur la finalité de la collecte et du traitement des données, mais aussi sur la manière dont les données sont collectées et traitées.
L'article 5 du RGPD énonce les principes à respecter en matière de traitement des données à caractère personnel :
- Les données doivent être traitées de manière transparente : cela implique que les personnes concernées soient informées du traitement.
- Le principe de limitation de la finalité : la finalité de la collecte doit être spécifique (c'est-à-dire qu'elle ne doit pas être décrite en termes trop larges ou trop vagues), explicite (clarté et précision des informations données à l'avance et de préférence par écrit) et légitime (exigence légale ou justifiée par la recherche). Ce principe interdit le traitement des données pour des finalités qui ne sont pas compatibles avec celles pour lesquelles elles ont été traitées à l'origine. En ce qui concerne spécifiquement la recherche scientifique, le considérant 33 du RGPD prévoit la possibilité d'une approche plus souple de l'exigence de spécificité en disposant que les personnes peuvent donner leur consentement pour certains domaines de recherche ou certaines parties du projet de recherche dans le respect des normes éthiques de la recherche scientifique lorsqu'il n'est pas possible d'identifier pleinement la finalité du traitement des données à caractère personnel à des fins de recherche scientifique au moment de la collecte des données. En pratique, il peut s'agir d'un programme de recherche comprenant plusieurs projets de recherche ayant le même objectif global.
- Le principe de minimisation des données : les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité du traitement.
- Le principe d'exactitude : les données doivent être exactes, mises à jour et corrigées si nécessaire.
- Le principe de limitation de la conservation : les données identifiantes ne sont conservées que pendant la durée nécessaire à la réalisation de la finalité du traitement. Toutefois, il est possible de dépasser cette durée à des fins de recherche scientifique, à condition que des mesures techniques et organisationnelles soient mises en œuvre pour garantir les droits et libertés des personnes concernées (telles que la pseudonymisation des données pour minimiser le risque d'identification des personnes concernées).
- Le principe d'intégrité et de confidentialité : Ce principe implique la mise en œuvre de mesures techniques ou organisationnelles limitant toute utilisation abusive des données et garantissant leur sécurité.
Voir également la sous-rubrique "Principes fondamentaux".
Qui est responsable de la mise en œuvre de ces principes ? L'article 5 RGPD désigne le responsable du traitement comme la personne responsable du respect de ces principes.
Comment identifier le responsable du traitement des données ? Le responsable du traitement est l'entité juridique ou la personne physique qui détermine les finalités et les moyens du traitement des données, c'est-à-dire l'objectif et la manière de l'atteindre. En pratique et en général, il s'agit de l'entité juridique (par exemple un institut de recherche) incarnée par son représentant légal. Il peut y avoir plusieurs responsables du traitement si plusieurs acteurs participent à la détermination des finalités et des moyens du traitement. Dans ce cas, ces différents acteurs seront conjointement responsables du traitement.
Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD | European Data Protection Board.
Documentation pratique sur la désignation du responsable du traitement des données et du sous-traitant (en langue anglaise).
Quand ces principes doivent-ils être mis en œuvre ? Conformément au principe du respect de la vie privée dès la conception et par défaut (prévu et décrit à l'article 25 du RGPD), le responsable du traitement doit mettre en œuvre des mesures techniques et organisationnelles appropriées (telles que la pseudonymisation), tant lors de la détermination des moyens de traitement que lors du traitement lui-même, afin de mettre en œuvre efficacement les principes de protection des données (tels que la minimisation des données) et de garantir le respect des droits et des libertés des personnes concernées. Un mécanisme de certification (prévu à l'article 42 du RGPD) peut servir à démontrer le respect des exigences de ce principe.
Comment s'assurer de la licéité du traitement des données effectué ? Comme défini à l'article 5 du RGPD, le traitement doit être licite, c'est-à-dire que tout traitement doit être fondé sur l'un des motifs légaux énoncés à l'article 6 du RGPD. La base juridique du traitement est la première condition de la licéité du traitement. Il est interdit de traiter des données à caractère personnel sans base juridique.
Quelles sont les bases juridiques prévues par le RGPD pour le traitement des données personnelles ? L'article 6 du RGPD prévoit comme bases légales :
- Le consentement : la personne a consenti au traitement de ses données ; ou
- le contrat : le traitement est nécessaire à l'exécution ou à la préparation d'un contrat avec la personne concernée ; ou
- l’obligation légale : le traitement est imposé par des textes légaux ; ou
- la mission d'intérêt public : le traitement est nécessaire à l'exécution d'une mission d'intérêt public ; ou
- l’intérêt légitime : le traitement est nécessaire à la poursuite des intérêts légitimes de l'organisme qui traite les données ou d'un tiers, dans le strict respect des droits et des intérêts des personnes dont les données sont traitées ; ou
- la sauvegarde des intérêts vitaux : le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'un tiers.
Il convient de noter que lorsqu'une autre base juridique que le consentement est choisie, les personnes concernées doivent néanmoins être informées du traitement des données et avoir le droit de s'y opposer (mécanisme de non-opposition ou « d'opt-out » en anglais).
Qui définit la base juridique du traitement ? La base juridique doit être définie par le responsable du traitement au cas par cas, de manière appropriée à la situation. Le responsable du traitement doit documenter le choix de la base juridique afin d’attester de la conformité réglementaire du traitement des données. En outre, la base juridique choisie doit être mentionnée dans les notices/lettres d'information envoyées aux personnes concernées par le traitement des données. En pratique, pour les activités de recherche, la base juridique choisie est le plus souvent :
- L’intérêt public (article 6(1)e), du RGPD) : utilisé par des organisations publiques ou privées tant qu'elles poursuivent une mission d'intérêt public ou sont dotées de prérogatives de puissance publique ; ou
- L’intérêt légitime (article 6(1)f), du RGPD) : couramment utilisé par les organisations privées pour les traitements qui n'affectent pas de manière significative les droits et les intérêts des personnes concernées ; ou
- Le consentement (article 6(1)a), du RGPD).
Il convient de noter que le traitement de catégories particulières de données (telles que les données relatives à la santé ou les données génétiques) doit répondre à une finalité de traitement prévue par l'article 9 du RGPD (comme expliqué ci-dessous).
Quelles sont les règles spécifiques applicables à la collecte et au traitement des données relatives à la santé et des données génétiques ? Comme expliqué ci-dessus, le RGPD a prévu un principe général d'interdiction de la collecte et du traitement de catégories particulières de données à caractère personnel, y compris les données relatives à la santé et les données génétiques (article 9(1) du RGPD). Toutefois, il existe plusieurs exceptions à ce principe d'interdiction. Elles permettent la collecte et le traitement de données dans des cas très limités, notamment le consentement de la personne concernée, l'intérêt public du traitement et les finalités de la recherche scientifique (article 9(2) du RGPD.
Quelles sont les règles spécifiques applicables au traitement des données médicales et génétiques à des fins de recherche scientifique ? La finalité de la recherche scientifique est l'une des exceptions prévues par le RGPD (Art.9(2)j) permettant le traitement de données personnelles sensibles conformément à des dispositions spécifiques : le traitement doit être soumis à des garanties appropriées pour les droits et libertés des personnes concernées telles que la mise en œuvre de mesures techniques et organisationnelles, en particulier pour assurer le respect du principe de minimisation des données (Article 89(1) RGPD). En particulier, la technique de pseudonymisation est explicitement mentionnée dans le RGPD.
Ces mesures supplémentaires requises sont justifiées par le fait que la collecte et le traitement à des fins de recherche bénéficient de certaines dérogations qui concernent principalement les droits des personnes concernées (dérogations au droit d'accès, au droit de rectification, au droit à la limitation du traitement, au droit d'opposition), dans la mesure où ces droits rendent impossible ou entravent sérieusement la réalisation de l'objectif de la recherche (article 89(2), du RGPD).
En outre, comme expliqué précédemment, une certaine souplesse est prévue en ce qui concerne la délimitation de la finalité de la recherche. En effet, le considérant 33 du RGPD prévoit qu'il n'est pas toujours possible d'identifier pleinement la finalité du traitement des données à caractère personnel à des fins de recherche scientifique au moment de la collecte des données. Les personnes peuvent donner leur consentement pour certains domaines de recherche ou des programmes de recherche dans le respect des normes éthiques de la recherche scientifique. Néanmoins, la description de l'objectif global de la recherche doit rester précise.
En outre, le RGPD prévoit l'obligation de réaliser une analyse d'impact sur la protection des données (AIPD) pour tout traitement de données considéré comme à risque (article 35 RGPD). Les données génétiques et les données relatives à la santé étant considérées comme des données particulières en raison de leur sensibilité, leur traitement nécessitera la réalisation de cette analyse d'impact. Cette analyse d'impact garantit que le traitement sera conforme au RGPD et respectera les droits des personnes concernées.
Comment réaliser une analyse d'impact relative à la protection des données ? L'analyse d'impact relative à la protection des données (AIPD) doit être effectuée avant la mise en place du traitement et doit être réexaminée au cours du traitement, en particulier si des changements importants interviennent dans la manière dont les données sont traitées. Les participants à la réalisation de l'AIPD sont le responsable du traitement, le délégué à la protection des données, le(s) sous-traitant(s) éventuel(s), le personnel informatique et les personnes concernées par le traitement. L’AIPD se compose de trois parties :
- Une description détaillée du traitement mis en œuvre, y compris les aspects techniques et opérationnels du traitement ;
- Une évaluation du respect des principes fondamentaux de la protection des données, à savoir : un examen de la nécessité du traitement et du respect du principe de proportionnalité (les données collectées et traitées sont strictement nécessaires à la finalité du traitement) ainsi qu'une description des mesures mises en place pour garantir les droits des personnes concernées.
- Une étude plus technique des risques pour la sécurité des données (confidentialité, intégrité et disponibilité) et de leur impact potentiel sur la vie privée. Cette étude doit être complétée par une description des mesures techniques et organisationnelles envisagées pour faire face à ces risques et protéger les données.
La CNIL (autorité française de contrôle de la protection des données) a développé un logiciel pour réaliser son analyse d’impact sur la protection des données (PIA).
Pour plus d'informations : Groupe de travail Article 29 sur la protection des données, Lignes directrices relatives à l'analyse d'impact sur la protection des données (AIPD) et à la détermination du traitement "susceptible d'engendrer un risque élevé" aux fins du Règlement 2016/679, en langue anglaise).
Quelles sont les règles relatives à l'information des personnes concernées par le traitement de leurs données personnelles ? Le responsable du traitement doit fournir des informations aux personnes concernées sur le traitement envisagé, conformément au principe de transparence. Le RGPD distingue deux situations à cet égard :
- Lorsque les données sont collectées directement auprès de la personne concernée (article 13 du RGPD),
- Lorsque les données n'ont pas été collectées auprès de la personne concernée (article 14 du RGPD).
Ces informations doivent notamment comprendre :
- L’identité et les coordonnées du responsable du traitement,
- les finalités du traitement et la base juridique du traitement,
- les destinataires des données à caractère personnel, le cas échéant,
- des informations sur les droits individuels attachés à ce traitement de données (articles 15 à 20 du RGPD) et sur la procédure à suivre pour exercer ces droits,
- l'intention, le cas échéant, d'effectuer un transfert de données vers un pays tiers,
- le cas échéant, l'intention de procéder à un traitement ultérieur des données pour une autre finalité.
Pour une lecture complète des exigences relatives aux informations individuelles, veuillez vous référer aux articles 13 ou 14 du RGPD en fonction de la situation applicable.
En ce qui concerne la situation où les données à caractère personnel utilisées n'ont pas été collectées auprès de la personne concernée, l'article 14(5) du RGPD prévoit des exceptions à cette obligation d'information, par exemple dans les cas où :
- La personne concernée dispose déjà de ces informations,
- ou que la fourniture de ces informations exigerait des efforts disproportionnés, en particulier dans le cas du traitement des données à des fins de recherche scientifique.
Veuillez-vous référer à l'article 14(5), du RGPD pour connaître toutes les exceptions prévues.
Si de telles exceptions sont mises en place, le responsable du traitement devra documenter et expliquer l'utilisation de ces exceptions.
Cette information des personnes concernées doit être renouvelée en cas de modification substantielle des activités de traitement (c'est-à-dire concernant les principales caractéristiques du traitement, telles qu'une nouvelle finalité, l'ajout d'une collecte de données sensibles, un changement de responsable du traitement, etc. ou en cas d’événement spécifique lié au traitement des données (par ex. en cas de violation de données).
Est-il obligatoire d'obtenir le consentement des personnes concernées avant la collecte et le traitement de leurs données médicales et génétiques ? Le consentement au traitement des données n'est pas toujours nécessaire. Il dépend de la base juridique du traitement. Si le traitement est fondé sur le consentement des personnes concernées, le recueil du consentement avant la mise en œuvre du traitement est obligatoire. Ce consentement doit être conforme aux exigences fixées par le RGPD, à savoir : libre, spécifique (donné pour une ou plusieurs finalités), éclairé (informations données à la personne sur le traitement) et univoque (donné par un acte positif clair et sans ambiguïté).
Les personnes concernées peuvent changer d'avis à tout moment et retirer leur consentement.
À ces exigences s'ajoute, dans le cas du traitement de données sensibles (y compris les données relatives à la santé et les données génétiques), le critère du caractère explicite, c'est-à-dire que la personne concernée doit déclarer expressément son consentement (par écrit, par exemple).
La collecte du consentement doit être documentée par les responsables du traitement, qui doivent être en mesure de prouver que le consentement a été obtenu conformément à ces exigences.
Toutefois, dans le contexte de la recherche scientifique, la base juridique des finalités de la recherche scientifique sera souvent privilégiée (article 9(2)j) et article 6(1)e) ou f), du RGPD). Le recours à cette base juridique ne nécessite pas le consentement préalable des personnes pour le traitement de leurs données. Toutefois, l'obligation d'informer doit toujours être respectée en permettant aux personnes concernées de s'opposer au traitement (droit d'opposition).
Néanmoins, il est nécessaire de rappeler que les États membres peuvent introduire des conditions supplémentaires, y compris des limitations, concernant le traitement des données relatives à la santé et des données génétiques (article 9(4), du RGPD). Ainsi, le droit national peut prévoir que le traitement de ces catégories de données peut nécessiter un consentement même si celui-ci n'est pas requis par le RGPD et quelle que soit la base juridique choisie pour le traitement des données. Le responsable du traitement devra alors veiller au respect des lois nationales en vigueur dans les États membres dans lesquels les données sont collectées et/ou traitées.
Que faut-il prendre en considération avant de choisir le consentement comme base juridique du traitement des données à caractère personnel ? Toutes les exigences du RGPD concernant le consentement doivent être respectées, à savoir que le consentement soit librement donné, spécifique, informé et non ambigu (article 4 RGPD). Outre ces critères, la nature explicite du consentement (article 9(2)a), du RGPD) doit être respectée en cas de traitement de données à caractère personnel considérées comme sensibles (telles que les données relatives à la santé et les données génétiques). En outre, comme l'a rappelé le Comité européen de la protection des données, il convient d'accorder une importance particulière à la condition du consentement "librement donné". En effet, cela implique que la personne a fait un choix et qu'elle dispose d'un contrôle réel. S'il existe un déséquilibre manifeste entre la personne concernée et le responsable du traitement, le consentement ne devrait pas constituer une base juridique valable pour le traitement des données à caractère personnel (considérant 43 du RGPD). Ces éléments sont importants dans le contexte de la recherche médicale où des situations de déséquilibre de pouvoir entre le commanditaire/l'investigateur du projet de recherche peuvent souvent exister (enfants, personnes en situation de dépendance institutionnelle ou hiérarchique, catégories de personnes économiquement ou socialement défavorisées, etc.) L'investigateur et/ou le responsable du traitement doivent tenir compte de tous ces éléments lorsqu'ils choisissent la base juridique du traitement de données qu'ils ont l'intention d'effectuer.
Quelle est la différence entre le consentement au traitement de données à des fins de recherche et le consentement à participer à une recherche ? Il est nécessaire de faire la distinction entre le consentement éclairé à la recherche et le consentement au traitement des données à des fins de recherche. En effet, la participation à la recherche est régie par des lois nationales qui peuvent exiger un consentement éclairé dans des conditions spécifiques. Au niveau européen, l'article 28 du Règlement européen relatif aux essais cliniques rappelle le caractère obligatoire du consentement éclairé pour toute participation à un essai clinique. Comme l'a rappelé le Comité européen de la protection des données, ces dispositions répondent avant tout aux exigences éthiques essentielles relatives à l'encadrement des projets de recherche impliquant des personnes humaines et qui découlent de la Déclaration d’Helsinki (Comité européen de protection des données, Avis 3/2019 concernant les questions et réponses sur l’interaction entre le règlement relatif aux essais cliniques et le règlement général sur la protection des données (RGPD) (article 70(1)b) Adopté le 23 janvier 2019). Le consentement éclairé implique la fourniture d'une information exhaustive, complète et intelligible sur la recherche envisagée. À cet égard, l'article 29 du Règlement européen relatif aux essais cliniques décrit la liste des éléments qui doivent être fournis aux personnes concernées pour que l'information soit valable.
En outre, il est nécessaire de rappeler que le consentement éclairé à la recherche est une exigence éthique en vertu de la Convention d'Oviedo, de la Déclaration de Taipei et de la Déclaration d’Helsinki.
Ainsi, ce consentement éclairé à participer à une recherche est à distinguer du consentement au traitement des données à caractère personnel prévu par le RGPD, qui peut être utilisé comme base juridique du traitement et qui doit répondre à plusieurs critères (libre, éclairé, univoque, spécifique et explicite pour le traitement des données sensibles telles que les données de santé et les données génétiques). Le Comité européen de protection des données a rappelé cette distinction entre le consentement éclairé au titre du Règlement européen relatif aux essais cliniques et la notion de consentement comme base juridique du traitement des données à caractère personnel au titre du RGPD, dans son Avis 3/2019 concernant les questions et réponses sur l’interaction entre le règlement relatif aux essais cliniques et le règlement général sur la protection des données (RGPD).
Au-delà de la situation des essais cliniques, ce consentement éclairé a été décrit par le Comité européen de la protection des données comme une "garantie appropriée" potentielle (prévue à l'article 89(1) du RGPD) à mettre en place pour sauvegarder les droits et libertés des personnes dans le contexte du traitement des données à des fins de recherche scientifique. Ainsi, même si la base juridique choisie est celle de la recherche scientifique et qu'il n'y a pas d'obligation légale d'obtenir le consentement des personnes concernées, le consentement peut être recueilli de manière volontaire dans une démarche éthique. Cette position est également défendue par le projet européen CINECA (Common Infrastructure for National Cohorts in Europe, Canada, and Africa), en langue anglaise.
Plus d'informations sur la différence entre le consentement éclairé pour participer à un essai clinique et le consentement en tant que base juridique pour le traitement des données à caractère personnel en vertu du RGPD : Comité européen de protection des données, Avis 3/2019 concernant les questions et réponses sur l’interaction entre le règlement relatif aux essais cliniques et le règlement général sur la protection des données (RGPD), 23 janvier 2019.
Guide sur la politique en matière de consentement : La politique de consentement de l'Alliance mondiale pour la génomique et la santé (GA4GH), en langue anglaise, vise à guider le partage international des données génomiques et des données liées à la santé d'une manière qui respecte la prise de décision autonome tout en promouvant le bien commun du partage international des données.
Comment assurer la protection des droits des personnes concernées par le traitement de leurs données personnelles dans le cadre du RGPD ? Le RGPD reconnaît plusieurs droits aux personnes concernées par le traitement de leurs données personnelles. Le responsable du traitement doit prendre les mesures appropriées pour fournir les informations visées aux articles 13 et 14 du RGPD aux personnes concernées afin d'assurer un traitement transparent de leurs données à caractère personnel. Ces informations doivent expliquer comment exercer les droits de la personne concernée afin d'en garantir l'effectivité. Ces informations doivent être concises, transparentes, compréhensibles et facilement accessibles en termes simples et clairs. En outre, les informations doivent être adaptées au public cible, tel que les enfants.
Ces droits sont énumérés au chapitre III du RGPD et incluent :
- Le droit à l'information : respect du principe de transparence (articles 13 et 14),
- le droit d'accès à ses données (article 15),
- le droit de rectifier les données personnelles inexactes (article 16),
- le droit à l'effacement ou droit à l'oubli pour certains motifs (article 17),
- le droit de limiter le traitement dans certaines situations déterminées (article 18),
- le droit à la portabilité des données (article 20),
- le droit d'opposition : à tout moment au traitement des données (article 21).
Il convient de noter que le RGPD prévoit des exceptions à certains de ces droits en ce qui concerne le traitement des données à des fins de recherche scientifique. En particulier, le droit à l'information, le droit à l'effacement et le droit à la portabilité des données peuvent ne pas être applicables (si l'exercice de ces droits est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs de la recherche). Ces exceptions doivent être justifiées et documentées.
Quelles sont les règles à respecter lorsqu'un système d'intelligence artificielle est utilisé dans le cadre d'un traitement de données de santé ? L'utilisation de ces systèmes dans le cadre d'un traitement de données à caractère personnel est soumise aux règles du RGPD, à savoir :
- Définir un objectif,
- Respecter le principe de transparence : qui se traduit ici par l'information des personnes concernées sur l'utilisation de l'intelligence artificielle dans le traitement de leurs données personnelles, mais aussi par l'explicabilité de l'IA, c'est-à-dire que les individus doivent être en mesure de comprendre les résultats et les conclusions créés par l'algorithme.
- Respecter le principe de minimisation des données : n'utiliser que les données nécessaires à la formation et au fonctionnement du système d'IA en fonction de la finalité du traitement.
- Assurer l'exercice des droits des personnes physiques à l'égard du traitement de leurs données à caractère personnel : Tout d'abord, il est important de noter que l'article 22 du RGPD prévoit que la personne concernée par un système de prise de décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques à son égard ou l'affecte de manière significative de façon similaire, a le droit de ne pas être soumise à cette décision. En outre, les droits des personnes physiques en matière de protection des données à caractère personnel s'appliquent tout au long du cycle de vie du système d'IA utilisant les données à caractère personnel des personnes concernées. L'exercice de ces droits concerne à la fois les données contenues dans les bases de données utilisées pour l'apprentissage du système et les données traitées, ce qui implique également les données produites par le système. Si le système d'IA est utilisé à des fins de recherche scientifique, les exceptions aux droits individuels prévues par le RGPD peuvent également s'appliquer, pour autant qu'elles soient justifiées et documentées.
Le responsable de traitement doit donc être conscient de toutes ces exigences qui doivent être respectées (privacy by design, ethics by design). En outre, il est important que ces systèmes soient supervisés et contrôlés en continu, en particulier dans le cas de l'apprentissage automatique en raison de la nature hautement évolutive de ces systèmes. C'est l'idée d'une supervision humaine qui fait partie des lignes directrices de la Commission européenne pour une IA de confiance.
Réutilisation/utilisation secondaire/traitement ultérieur des données à caractère personnel
Est-il possible de réutiliser des données pour une finalité différente de celle pour laquelle elles ont été collectées ? Souvent désignées par les expressions de "traitement ultérieur" ou "réutilisation des données", ces pratiques consistent à traiter les données pour une finalité autre que celle pour laquelle elles ont été initialement collectées. La recherche en santé est aujourd'hui largement basée sur la réutilisation des données de santé (« data driven research »).
Le RGPD prévoit la possibilité d'un traitement ultérieur des données pour des finalités compatibles (article 5(1)b)). Afin de vérifier si le traitement envisagé est compatible avec les finalités initiales du traitement, le responsable du traitement doit effectuer un test de compatibilité si le traitement ultérieur des données n'est pas fondé sur le consentement de la personne ou sur le droit de l'UE. Le RGPD a prévu une présomption de compatibilité lorsque les finalités de traitement envisagées sont la recherche scientifique (voir ci-dessous).
Est-il nécessaire de disposer d'une base juridique distincte pour le traitement ultérieur des données relatives à la santé ? Le considérant 50 du RGPD prévoit que si les finalités de la collecte initiale et du traitement ultérieur sont compatibles, il n'est pas nécessaire de disposer d'une nouvelle base juridique distincte de celle sur laquelle les données ont été collectées.
Qu'est-ce que le test de compatibilité ? Le test consiste en une analyse au cas par cas du contexte de la collecte et du traitement initial des données afin de s'assurer de la compatibilité du traitement ultérieur des données, en tenant compte des attentes légitimes des personnes concernées.
Pour effectuer ce test, le responsable du traitement doit prendre en compte (article 6(4) du RGPD) :
- l'existence d'un lien entre l'objectif initial et l'objectif visé,
- le contexte dans lequel les données ont été collectées et la relation entre les personnes concernées et le responsable du traitement,
- la nature des données et en particulier si les données appartiennent à des catégories particulières de données (y compris les données relatives à la santé et les données génétiques),
- les conséquences possibles d'un traitement ultérieur pour les personnes concernées,
- et l'existence de garanties appropriées pour la préservation des droits et libertés des personnes concernées, y compris, par exemple, la pseudonymisation.
Quel est le cadre juridique de l'utilisation/réutilisation ultérieure des données pour la recherche scientifique ? Comme expliqué ci-dessus, la recherche scientifique repose aujourd'hui largement sur la réutilisation des données. Des dispositions spécifiques sont prévues par le RGPD pour la recherche scientifique : le traitement ultérieur de données à des fins de recherche scientifique n'est pas considéré comme incompatible avec les finalités initiales (présomption de compatibilité). En d'autres termes, le traitement sera considéré a priori comme compatible avec les finalités initiales du traitement, à condition que des garanties appropriées pour les droits et libertés des personnes concernées soient mises en place (mise en œuvre de mesures techniques et organisationnelles pour respecter le principe de minimisation des données, y compris la pseudonymisation - article 89(2), du RGPD). Toutefois, comme le rappelle le Contrôleur européen de la protection des données (en langue anglaise), cette présomption ne constitue pas une autorisation générale d'utilisation ultérieure des données dans tous les cas de recherche ; chaque cas doit être examiné en fonction de son contexte.
Les personnes concernées devront être informées de ce traitement ultérieur avant qu'il ne soit effectué, sauf si l'une des exceptions au droit d'information prévues à l'article 14(5)b), du RGPD s'applique.
Les droits des personnes concernées sont garantis, sauf si l'une des exceptions prévues à l'article 89(2), du RGPD est applicable.
Quelles sont les règles spécifiques applicables à l'utilisation secondaire, à des fins scientifiques des données d'un essai clinique en dehors du protocole de l'essai clinique ? Le Règlement européen relatif aux essais cliniques aborde spécifiquement cette question à l'article 28(2). Cet article se concentre en particulier sur le consentement. Les situations couvertes sont celles où le promoteur souhaite traiter les données d'un participant à un essai clinique en dehors du protocole prévu, mais uniquement et exclusivement à des fins scientifiques. En vertu de cet article, le promoteur doit obtenir le consentement de la personne concernée ou de son représentant légal pour cette finalité spécifique du traitement (utilisation secondaire en dehors du protocole) au moment où le consentement éclairé à participer à l'essai clinique est demandé.
Toutefois, comme expliqué ci-dessus, le consentement au titre de l'article 28(2) du Règlement européen relatif aux essais cliniques doit être distingué du consentement en tant que base juridique pour le traitement des données à caractère personnel tel que prévu par le RGPD. Ainsi, le promoteur ou l'investigateur souhaitant utiliser ultérieurement des données à caractère personnel collectées à des fins scientifiques différentes de celles prévues par le protocole de l'essai clinique, devra établir une base juridique qui peut ne pas être le consentement (au sens du RGPD). En outre, comme expliqué ci-dessus, la présomption de compatibilité prévue à l'article 5(1)b), du RGPD peut s'appliquer, sous réserve du respect des conditions énoncées à l'article 89 du RGPD (garanties appropriées pour les droits et libertés des personnes concernées).
Dans tous les cas, les règles relatives au traitement des données à caractère personnel énoncées dans le RGPD s'appliquent.
Sur le contrôle du respect du cadre juridique de la protection des données à caractère personnel
Qui est responsable de la conformité de la collecte et du traitement des données personnelles ? Le RGPD a été conçu selon une logique de responsabilisation des acteurs (articles 5 et 24 RGPD), c'est-à-dire qu'en dehors des procédures mises en place dans chaque pays concernant l'utilisation ou la réutilisation des données de santé (par exemple, avis d'un comité éthique et scientifique, autorisation spécifique d'une autorité compétente en la matière), le responsable de traitement est tenu de mettre en œuvre des mesures de protection des données, qu'il mettra à jour si nécessaire, et doit être en mesure de prouver la conformité des traitements de données qu'il a mis en œuvre au regard du cadre réglementaire applicable. Ce travail de conformité peut être effectué en relation avec le délégué à la protection des données (article 37 du RGPD). Un délégué à la protection des données devra être désigné par le responsable du traitement et le sous-traitant lorsque les activités mises en œuvre par ce dernier consistent en un traitement à grande échelle de catégories particulières de données, y compris les données relatives à la santé et les données génétiques.
Cette documentation doit comprendre :
- l'enregistrement des activités de traitement effectuées,
- les AIPD des activités de traitement susceptibles d'entraîner des risques élevés pour les droits et libertés des personnes,
- le contrôle des transferts de données effectués,
- les informations données aux personnes sur l'utilisation de leurs données (et, le cas échéant, une description des raisons pour lesquelles les personnes n'ont pas été informées),
- le cas échéant, les formulaires de consentement,
- les mesures mises en place pour garantir les droits des personnes,
- et les contrats avec les sous-traitants, par exemple, s'il y a lieu.
Que doit contenir le registre des activités de traitement ? Le(s) responsable(s) du traitement doit(vent) consigner par écrit les activités de traitement effectuées sous sa(leur) responsabilité. L'article 30(1) du RGPD détaille toutes les informations qui doivent figurer dans le registre afin de pouvoir attester de la conformité des activités de traitement. Par exemple, les coordonnées du responsable du traitement, des responsables conjoints du traitement et du délégué à la protection des données, le cas échéant, doivent être décrites ; les finalités du traitement ; une description des catégories de personnes concernées et de données à caractère personnel, etc. En pratique, c'est le délégué à la protection des données qui tient et met à jour le registre des activités de traitement.
En outre, chaque sous-traitant devra tenir un registre des activités de traitement effectuées pour le compte du responsable du traitement. L'article 30(2) du RGPD détaille les informations qui doivent être incluses.
Les autorités de contrôle peuvent demander au DPD, au responsable du traitement et/ou au sous-traitant de mettre ce registre à disposition afin de certifier la conformité des activités de traitement effectuées.
Quelles sont les règles à respecter en matière de sécurité des données à caractère personnel ? L'article 32 du RGPD désigne le responsable du traitement et le sous-traitant comme étant chargés de mettre en œuvre les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque. Parmi ces mesures, on trouve :
- la pseudonymisation et le cryptage des données à caractère personnel,
- les moyens de garantir la confidentialité des données,
- les moyens de rétablir l'accès aux données en cas d'incident physique ou technique,
- une procédure permettant d'évaluer régulièrement l'efficacité des mesures de sécurité mises en place pour assurer la sécurité du traitement.
Afin d'évaluer au mieux les mesures de sécurité à mettre en place, le responsable du traitement et le sous-traitant doivent tenir compte des risques que le traitement présente pour les droits et libertés des personnes concernées, notamment en ce qui concerne la destruction, la perte, la divulgation ou l'accès non autorisé potentiels à des données à caractère personnel.
Afin de démontrer la conformité avec ces exigences de sécurité, un code de conduite approuvé (article 40 du RGPD) ou un système de certification approuvé (article 42 du RGPD) peut être utilisé pour démontrer la conformité avec les exigences de sécurité du RGPD.
Les codes de conduite peuvent être utilisés comme outil pour les transferts de données afin d'assurer des garanties appropriées pour les transferts de données vers des pays tiers ou des organisations internationales. Voir les lignes directrices 04/2021 du Conseil européen de la protection des données sur les codes de conduite en tant qu'outils pour les transferts.