Nouvelles règles pour la recherche scientifique : l'EDPB vous consulte (et le Garante italien veille)

Vous pensiez que la recherche scientifique était un sanctuaire immunisé contre le RGPD ? Détrompez-vous. L'EDPB (Comité européen de la protection des données) vient de dévoiler un projet de lignes directrices sur le traitement des données personnelles à des fins de recherche, et le Garante italien a déjà mis son grain de sel. Le résultat ? Un texte qui risque de bousculer les habitudes des laboratoires, des universités et même des startups biotech. Accrochez-vous, ça va réveiller vos neurones – et peut-être vos avocats.

Qu'est-ce que l'EDPB propose exactement ?

Featured Snippet : Les lignes directrices de l'EDPB clarifient quand la recherche scientifique peut invoquer des exceptions au RGPD. Elles précisent que le consentement n'est pas toujours nécessaire si d'autres bases légales existent, mais imposent des garanties solides : anonymisation, minimisation, et transparence renforcée.

En termes simples, l'EDPB veut empêcher que les données de santé ou génétiques soient utilisées comme des bonbons à la sortie d'un laboratoire. Les chercheurs devront démontrer que leur étude respecte des critères stricts de finalité, de proportionnalité et de sécurité. Et attention : aucune exception ne permet de traiter des données sans aucune limite éthique. Même pour la science, le consentement éclairé reste la règle d'or, sauf exceptions très encadrées (comme les études d'urgence sanitaire).

Le rôle clé du Garante italien

Le Garante per la protezione dei dati personali a participé activement à ce projet. En bon père de famille, il a insisté pour que les lignes directrices tiennent compte des spécificités des petites structures de recherche (coucou les thésards qui bossent dans un placard). Résultat : des obligations modulées selon la taille et les risques, mais pas de passe-droit pour les gros acteurs. Une manière de dire que la protection des données n'est pas une option, même si vous cherchez le remède contre le cancer.

Ce qui change concrètement pour les chercheurs

Imaginez que vous meniez une étude sur les effets du sommeil chez les adolescents. Vous récoltez des données via une appli mobile. Avant, un vague consentement suffisait. Désormais, il faudra détailler clairement : quelles données, pour quel objectif précis, combien de temps, et avec quelles mesures de sécurité. Et si vous voulez réutiliser les données pour une autre étude ? Nouveau consentement, sauf si les conditions strictes de l'article 5(1)(b) sont remplies. Bref, le règlement devient aussi précis qu'une pipette de laboratoire.

En outre, les lignes directrices insistent sur l'évaluation d'impact (AIPD). Pour toute recherche un peu sensible, préparez-vous à remplir un document aussi épais qu'un rapport de thèse. Heureusement, l'EDPB promet des modèles simplifiés. On dirait presque une blague : "Simplifié" dans le langage des régulateurs, c'est comme dire que lire les CGU est un plaisir équivalent à nettoyer les joints de carrelage avec une brosse à dents. Mais bon, c'est pour la bonne cause.

Consultation publique : pourquoi vous devriez participer

La consultation est ouverte jusqu'au 15 mars 2025. Oui, vous pouvez donner votre avis. Et ce n'est pas réservé aux juristes barbus : tout citoyen, association, ou petite entreprise peut contribuer. Si vous trouvez que les règles sont trop floues ou trop strictes, c'est le moment de le dire. Le Garante italien, en bon médiateur, promet de remonter les retours à l'EDPB. Alors ne restez pas passif : même une remarque courte peut influencer le texte final.

Pour participer, rendez-vous sur le site de l'EDPB : Consultation publique EDPB. Vous pouvez aussi consulter le projet complet sur le site du Garante.

FAQ

Ces lignes directrices s'appliquent-elles immédiatement ?

Non, ce n'est qu'un projet. Après la consultation, l'EDPB publiera une version finale. Ensuite, chaque autorité nationale de protection des données devra les transposer dans son droit interne. Comptez au moins un an avant une application effective.

Que risque un chercheur qui ne respecte pas ces règles ?

Les sanctions sont celles du RGPD : jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial. Pour une université, l'amende peut être salée. Mais en pratique, les autorités privilégient d'abord les avertissements et les mesures correctrices, sauf en cas de faute grave ou répétée.

Ces règles freinent-elles l'innovation scientifique ?

L'EDPB affirme le contraire : des règles claires favorisent la confiance des participants et la qualité des données. Sans cadre, les risques de scandale éthique (comme Cambridge Analytica en santé) pourraient nuire à la réputation de toute la recherche. L'équilibre est délicat, mais nécessaire.