Recherche scientifique et RGPD : quelles règles pour utiliser les données personnelles ?

05/02/2026

Cadre juridique général pour la recherche scientifique et le RGPD

Le Règlement Général sur la Protection des Données (RGPD) encadre strictement l’utilisation de données personnelles en posant le principe que les données ne peuvent être traitées que dans un but spécifique et légitime, avec une base légale appropriée, et en respectant des principes de minimisation, de sécurité et de transparence.

La recherche scientifique est reconnue par le RGPD comme un objectif particulier pouvant justifier des traitements de données, y compris des données sensibles, sous réserve de garanties appropriées (article 89 RGPD).

Ainsi, le RGPD considère que le traitement ultérieur de données personnelles à des fins de recherche scientifique n’est pas automatiquement incompatible avec la finalité initiale de collecte, dès lors que l’on met en place les mesures de protection nécessaires.

En pratique, cela signifie qu’un organisme qui a collecté des données pour un objectif X peut les réutiliser à des fins de recherche (objectif Y) sans violer le principe de limitation des finalités, à condition de respecter scrupuleusement les exigences de protection des personnes (pseudonymisation, information, etc.).

Recherche scientifique hors santé : conditions et cadre légal

En dehors du domaine de la santé, les projets de recherche scientifique impliquant des données personnelles doivent respecter le RGPD et la LIL sans qu’il y ait nécessairement de formalités préalables spécifiques, sauf cas particuliers.

Si les données ne sont pas sensibles, le responsable de traitement peut généralement s’appuyer sur une base légale appropriée (par exemple l’intérêt légitime d’un organisme privé ou la mission d’intérêt public pour un organisme de recherche public) pour collecter et traiter ces données, tout en respectant les droits des personnes (information, droit d’opposition, etc.).

En revanche, si la recherche hors santé implique des données sensibles, la situation devient plus encadrée. Deux scénarios se présentent :

Avec consentement des personnes

Si chaque personne concernée a donné un consentement explicite à l’utilisation de ses données sensibles pour le projet de recherche, alors ce consentement constitue à la fois la base légale (RGPD art. 6(1)(a)) et l’exception à l’interdiction de traiter ces données (RGPD art. 9(2)(a)).

Dans ce cas, aucune formalité particulière auprès de la CNIL n’est requise préalablement au traitement, hormis le respect des obligations générales (tenir un registre, sécuriser les données, etc.).

Sans consentement (autre base légale)

Il arrive que la collecte du consentement soit impossible ou risquerait de biaiser la recherche (par exemple, réutilisation d’un jeu de données existant, très grand nombre de personnes, etc.).

Dans ce cas, l’organisme doit invoquer une autre base légale (souvent la mission d’intérêt public, si l’acteur est public ou s’il s’agit d’une recherche d’intérêt général) et surtout bénéficier d’une exception légale autorisant le traitement de données sensibles sans consentement.

Le RGPD permet cette exception pour la recherche scientifique d’intérêt public (art. 9(2)(j)), mais exige qu’elle soit encadrée par le droit national avec des garanties appropriées.

En France, l’article 44 de la loi Informatique et Libertés prévoit précisément cette possibilité : en l’absence d’autre exception applicable (ex. absence de consentement), il est possible de traiter des données sensibles dans le cadre d’une recherche scientifique hors santé, à condition de saisir préalablement la CNIL pour avis.

Cette saisine de la CNIL (avant le lancement du projet) n’est requise que si trois conditions cumulatives sont réunies :

1. le traitement est nécessaire à une recherche scientifique publique (au sens du Code de la recherche),
2. il porte sur des données sensibles, et
3. il répond à des motifs d’intérêt public important.

En pratique, cela signifie que si un organisme de recherche (par ex. une université ou un organisme public type CNRS) souhaite exploiter des données sensibles sans consentement des individus, il doit démontrer que son projet relève de la recherche scientifique publique (ex. finalité de diffusion des connaissances, innovation sociale, etc.) et que l’utilisation de ces données est justifiée par un intérêt public majeur.

La CNIL examinera alors le projet et rendra un avis (souvent assimilé à une autorisation encadrée) avant la mise en œuvre du traitement.

Il convient de noter que hors données de santé, il n’existe pas de « méthodologie de référence » spécifique équivalente à celles du secteur santé (voir ci-dessous).

La CNIL publie néanmoins des fiches conseils et questions-réponses pour guider les chercheurs hors santé, insistant sur le fait que la recherche doit s’accompagner de fortes garanties de protection des personnes.

En résumé :

→ en dehors de la santé, dès lors que le projet de recherche n’implique pas de données sensibles ou que le consentement explicite est recueilli, aucune autorisation préalable de la CNIL n’est nécessaire – la responsabilisation du chercheur (principe d’accountability) prime.

→ Si des données sensibles sans consentement sont traitées, l’organisme doit alors se placer sous le régime dérogatoire (recherche scientifique d’intérêt public) et obtenir le feu vert de la CNIL.

Recherche dans le domaine de la santé : un régime spécifique

Le traitement de données de santé (par exemple des données issues de dossiers médicaux, essais cliniques, registres de patients, etc.) est particulièrement encadré car ces données sont par nature sensibles.

En principe (RGPD art. 9), leur traitement est interdit, sauf exceptions (consentement explicite, nécessité vitale, santé publique, recherche, etc.).

En France, outre le RGPD, le Code de la santé publique et la loi Informatique et Libertés prévoient des règles spécifiques pour la recherche médicale. Notamment, la loi française maintient certaines formalités préalables obligatoires auprès de la CNIL pour les projets manipulant des données de santé.

Cas avec consentement explicite des patients/participants

Si chaque personne concernée consent explicitement à l’utilisation de ses données de santé pour un projet de recherche donné (par exemple en signant un formulaire d’information et consentement pour un protocole de recherche biomédicale), alors ce traitement est autorisé par l’exception de l’article 9(2)(a) RGPD.

La loi prévoit qu’aucune formalité CNIL n’est requise dans ce cas.

Autrement dit, le consentement dûment recueilli dispense de demander une autorisation préalable. Néanmoins, le responsable de traitement doit bien sûr respecter l’ensemble des obligations RGPD (information des personnes, sécurisation des données de santé, réalisation d’une analyse d’impact si nécessaire, inscription au registre interne, etc.) – la dispense ne concerne que la formalité administrative.

Cas sans consentement (recherche fondée sur l’intérêt public)

De nombreux travaux de recherche en santé exploitent des données existantes (dossiers médicaux, bases médico-administratives, etc.) ou visent un large échantillon de population, ce qui rend impraticable le recueil de chaque consentement.

Pour ces situations, le législateur a prévu un mécanisme d’autorisation encadrée. Ainsi, tout traitement de données de santé à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé requiert une formalité préalable auprès de la CNIL, sauf s’il entre dans certaines exceptions très limitées (par exemple : études internes effectuées par un soignant sur ses propres patients, traitements réalisés par l’État pour des statistiques de santé publique, etc. – cf. article 65 de la Loi Informatique et Libertés modifiée).

Pour la grande majorité des recherches sans consentement, deux possibilités :

1. S’aligner sur une méthodologie de référence (MR)

La CNIL a élaboré plusieurs référentiels sectoriels, appelés méthodologies de référence, qui détaillent les conditions à respecter pour différents types de recherches en santé.

Huit MR distinctes existent actuellement (MR-001 à MR-008), couvrant un large éventail de situations : recherches sans recueil de consentement (par ex. réutilisation de bases médico-administratives, appariement de bases de données), recherches observationnelles avec consentement (études non interventionnelles), recherches interventionnelles à risque minime, études de faisabilité préalables, réutilisation de données de soins, études de santé publique sur bases existantes, etc.

Chaque MR correspond à un périmètre précis avec des exigences techniques et organisationnelles détaillées (pseudonymisation, comité éthique, durée de conservation limitée, etc.).

Si le projet de recherche est conforme en tous points à l’une de ces MR publiées par la CNIL, le responsable de traitement peut opter pour une simple déclaration de conformité à la MR concernée.

Cette déclaration (généralement faite en ligne sur le site de la CNIL) atteste que le traitement respectera scrupuleusement le cadre pré-défini.

→ Aucune autorisation individuelle de la CNIL n’est alors nécessaire, la méthodologie ayant valeur d’approbation préalable. Ce mécanisme permet de gagner du temps et de sécuriser juridiquement le projet dans un cadre déjà validé par la CNIL.

2. Demander une autorisation spécifique à la CNIL

Si le projet ne peut pas se conformer entièrement à une MR (par exemple, parce qu’il présente une particularité non prévue par les référentiels), le responsable de traitement doit déposer un dossier de demande d’autorisation auprès de la CNIL.

La CNIL examinera alors le protocole de recherche, les mesures de sécurité, l’intérêt scientifique, etc., et décidera d’accorder ou non une autorisation.

Un site dédié (GNIUS) à ces questions guide les chercheurs sur les informations à fournir et les conditions d’octroi de ces autorisations.

Notons que la CNIL peut, via une même décision, autoriser un ensemble de traitements similaires portés par un même organisme (on parle de décision unique couvrant par exemple plusieurs études standardisées sur une même thématique).

→ En résumé, dans le secteur santé, la règle d’or peut se résumer ainsi : pas de traitement de données de santé sans consentement ou sans cadre légal alternatif et contrôle préalable.

Le consentement explicite des patients simplifie la démarche (pas d’autorisation requise), tandis que l’absence de consentement implique de s’inscrire dans un cadre de référence validé (MR) ou d’obtenir une autorisation ad hoc de la CNIL.

Ces exigences visent à garantir que la recherche médicale, souvent très intrusive dans la vie privée, se déroule dans des conditions éthiques et sécurisées.

Garanties et obligations à respecter pour tout projet de recherche

Quel que soit le domaine (santé ou autre) et le régime juridique (avec ou sans consentement, MR ou autorisation), le responsable de traitement a l’obligation de protéger les droits et libertés des personnes.

Voici les principaux points d’attention et obligations :

Minimisation des données et finalité déterminée

Le projet de recherche ne doit collecter et utiliser que les données strictement nécessaires à ses objectifs scientifiques. Par exemple, écarter toute information nominative ou trop précise si elle n’apporte rien à l’analyse. Le protocole de recherche doit définir clairement la finalité poursuivie et les hypothèses étudiées, afin de justifier chaque catégorie de données collectées.

En outre, les chercheurs doivent s’assurer que la finalité « recherche » demeure compatible avec les finalités initiales de collecte des données (conformément au principe de limitation des finalités) – le RGPD facilite cela via l’article 89, mais il convient tout de même de documenter cette compatibilité.

Sécurité et confidentialité

Les données de recherche, en particulier lorsqu’elles sont sensibles, doivent être protégées par des mesures de sécurité techniques et organisationnelles robustes. Cela inclut le chiffrement des données (stockage chiffré, transferts sécurisés), le contrôle strict des accès (seuls les chercheurs habilités accèdent aux données, via des comptes individuels, avec traçabilité des consultations), et la confidentialité renforcée (engagements de secret, éventuellement anonymisation partielle des rapports).

La CNIL rappelle que toute collecte et utilisation de données à des fins de recherche doit s’accompagner de mesures garantissant la sécurité et la confidentialité des informations.

En pratique : stocker les données sur des serveurs sécurisés (éviter les PC portables non protégés), pseudonymiser les identités (voir point suivant), et prévoir des plans de sauvegarde et des procédures en cas de violation de données.

Si des données sont partagées entre partenaires de recherche ou transférées à l’extérieur de l’UE, il faudra veiller à respecter le cadre des transferts internationaux (clausules contractuelles types, pays adéquats, etc.) et limiter ces transferts au strict nécessaire du projet.

Pseudonymisation et anonymisation

Ce sont deux techniques essentielles pour concilier recherche et respect de la vie privée.

• La pseudonymisation consiste à remplacer les identifiants directs (nom, NIR, etc.) par des codes ou alias, conservant la possibilité de ré-identification via une table de correspondance sécurisée.
• L’anonymisation va plus loin en rendant la ré-identification impossible de manière irréversible (ce qui fait sortir les données du champ du RGPD)

Dans la plupart des recherches, une anonymisation complète n’est pas praticable avant la fin de l’étude (car on a besoin de lier les données à des individus sur la durée de l’analyse), mais la pseudonymisation est fortement encouragée.

Le RGPD encourage explicitement le recours à la pseudonymisation pour les traitements de données, car elle réduit le risque pour les personnes tout en préservant l’utilité des données. En France, la pseudonymisation est souvent une condition imposée par la CNIL : par exemple, les méthodologies de référence exigent que les données soient indirectement identifiantes et que la clé de ré-identification soit conservée séparément avec des mesures de sécurité strictes.

Analyses d’impact (AIPD/DPIA)

Les projets de recherche traitant des données sensibles, ou de larges volumes de données, sont généralement soumis à l’obligation de réaliser une Analyse d’Impact relative à la Protection des Données (AIPD, ou DPIA en anglais).

Il s’agit d’évaluer en amont les risques que le traitement fait peser sur la vie privée (ex. ré-identification, atteinte à la réputation, discrimination) et de documenter les mesures prises pour réduire ces risques.

La CNIL attend qu’une AIPD soit produite et transmise dans les dossiers qu’elle examine pour autorisation. Même lorsqu’aucune autorisation formelle n’est requise (par exemple, projet sous MR ou avec consentement), le responsable doit effectuer une AIPD si le traitement est « susceptible d’engendrer un risque élevé » (art. 35 RGPD) – ce qui est presque toujours le cas avec des données de santé ou des données sensibles sur un grand nombre de personnes.

En cas de doute, il est prudent de réaliser une AIPD. Non seulement c’est souvent obligatoire, mais c’est un excellent exercice de conformité pour s’assurer que tous les risques ont été anticipés et maîtrisés.

Transparence et information des personnes

Le respect des droits des personnes passe d’abord par une information claire sur l’utilisation de leurs données. Dans le cadre d’une recherche, il faut idéalement informer chaque participant ou personne concernée des finalités de l’étude, de la base légale utilisée, de la durée de conservation des données, des destinataires éventuels (ex. publication de résultats agrégés) et des droits dont elles disposent (accès, rectification, opposition, etc.).

Lorsque la collecte est directe (par ex., inclusion de volontaires dans une cohorte), une note d’information et consentement est fournie.

Si les données sont réutilisées sans contact direct avec les individus (ex. mines de données existantes), l’obligation d’information reste un principe, mais peut être aménagée :

• Le RGPD (art. 14) prévoit qu’on peut ne pas informer individuellement chaque personne si cela requerrait un effort disproportionné ; dans ce cas, il faut prendre des mesures alternatives pour une transparence générale (par exemple, publication d’une mention d’information sur le site web de l’organisme de recherche, affichage grand public du projet, communication via des associations de patients, etc.).

La CNIL encourage ainsi la transparence vis-à-vis du public : par exemple, publier une page dédiée au projet de recherche sur le site de l’organisme, décrivant les données utilisées et les objectifs, de sorte que toute personne intéressée puisse comprendre comment ses données (potentielles) sont traitées. Cette transparence contribue aussi à la confiance du public dans la recherche.

Droits des personnes et éventuelles dérogations

En principe, les personnes dont les données sont utilisées ont les mêmes droits que dans tout autre traitement : droit d’accès à leurs données, droit de rectification, droit d’opposition, et, le cas échéant, droit à l’effacement ou à la limitation.

Néanmoins, le RGPD (art. 89(2)) et la loi française permettent certaines dérogations à ces droits dans le contexte de la recherche, si leur exercice rendrait impossible ou compromettrait gravement la réalisation des objectifs scientifiques.

Par exemple, le droit à l’effacement peut être limité : un participant ne peut pas exiger la destruction de ses données si celles-ci sont nécessaires pour la validité scientifique de l’étude en cours (sauf bien sûr s’il s’agit d’un traitement fondé sur son consentement et qu’il le retire, auquel cas on devrait en principe cesser d’utiliser ses données). De même, le droit d’opposition peut être restreint pour les traitements de recherche menés dans l’intérêt public, sauf raisons impérieuses tenant à la situation de l’individu.

Ces dérogations ne sont pas absolues et doivent être prévues par la loi : la France les a transposées pour la recherche publique, tout en exigeant de solides garanties (pseudonymisation, sécurité, confidentialité des résultats publiés, etc.) pour contrebalancer la limitation des droits.

En pratique, les chercheurs doivent examiner au cas par cas comment répondre aux demandes des personnes : par exemple, fournir aux participants qui le souhaitent un accès à leurs données brutes collectées, tout en expliquant que certaines corrections ou suppressions ne sont pas possibles une fois les données intégrées et anonymisées dans l’analyse globale.

L’important est d’être transparent sur ces points dès le départ (mentionner dans la note d’information si certains droits ne pourront s’exercer pleinement, en renvoyant aux bases légales correspondantes).

Enregistrement et gouvernance interne

Tout traitement de recherche doit figurer dans le registre des activités de traitement de l’organisme (obligation d’accountability). Il faut y consigner la finalité « recherche scientifique », les catégories de données et de personnes, les destinataires, la durée de conservation, les mesures de sécurité, etc.

Les organismes publics de recherche et les entités traitant des données sensibles à grande échelle sont généralement tenus de nommer un Délégué à la Protection des Données (DPO). Le DPO aura un rôle clé de conseil et de vérification de la conformité du projet : son implication dès la conception est vivement recommandée, notamment pour valider l’éventuel alignement sur une méthodologie de référence ou pour superviser l’AIPD.

Durée de conservation et sort final des données

Le principe de limitation de la conservation s’applique : les données personnelles ne doivent pas être conservées indéfiniment une fois la recherche terminée. Toutefois, en matière de recherche scientifique, il est souvent nécessaire de conserver les données le temps de vérifier les résultats, permettre des analyses reproductibles ou de nouvelles recherches secondaires.

La loi permet ici des durées de conservation prolongées sous conditions. Souvent, la stratégie adoptée est la suivante : pendant la phase active de la recherche, les données identifiantes (même pseudonymes) sont conservées; dès que possible après la fin du projet, on procède soit à une anonymisation irréversible des jeux de données (pour éventuellement les partager en « données ouvertes » ou les archiver sans contrainte), soit à un archivage sécurisé avec accès restreint si une conservation nominative est justifiée (par ex. pour un suivi de cohorte longitudinal).

Les référentiels CNIL précisent généralement les durées maximales : par exemple, ne pas conserver les données identifiantes plus de X années après la fin de l’étude, etc.

En pratique : le plan de gestion des données du projet doit prévoir ce qu’il adviendra des données à l’issue de la recherche (effacement, anonymisation, archivage long terme) et communiquer cette information aux participants. Notons que si les données sont anonymisées en fin de traitement, elles ne seront plus soumises au RGPD, ce qui clôt les obligations vis-à-vis des personnes.

Synthèse

En conclusion, traiter des données personnelles à des fins de recherche scientifique est tout à fait possible dans le respect du cadre légal, à condition de bien identifier le régime applicable (domaine santé vs hors santé, présence de données sensibles ou non, consentement ou exception) et de mettre en place toutes les garanties adéquates.

Le consentement éclairé reste la voie royale pour une recherche éthiquement et légalement sereine lorsque c’est possible. Toutefois, le droit admet que certaines recherches d’intérêt public se passent de consentement, moyennant un encadrement strict par la CNIL et des mesures protectrices (pseudonymisation, confidentialité, limitation des usages).

Dans tous les cas, le chercheur doit adopter une démarche de « privacy by design » : intégrer la protection des données dès la conception du projet, pour concilier avancement des connaissances et respect des droits des personnes.

Les récentes positions de la CNIL montrent une ouverture en faveur de la recherche (ex. allégements de formalités via les méthodologies de référence, conseils pratiques en ligne) tout en rappelant que la confiance du public dans la recherche se gagne par l’exemplarité en matière de protection des données.

Ainsi, une recherche bien menée sur le plan juridique et déontologique pourra pleinement bénéficier des données à disposition, sans trahir la vie privée de ceux qui en sont la source.

Le logiciel RGPD du DPO

Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.

Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.

En savoir plus