Les données dans le cadre de la recherche sur la personne : comment s’y retrouver ?

Le RGPD : Règlement européen sur la protection des données

Le nouveau règlement européen (n° 2016/679) sur la protection des données personnelles est entré en application le 25 mai 2018.
Les principaux objectifs de ce règlement sont :
• renforcer les droits des personnes
• et responsabiliser les acteurs traitant des données (responsables de traitement et sous-traitants).

Ce règlement concerne les données à caractère personnel dans des cadres tels que la collecte, l’enregistrement, l’organisation, la conservation, l’extraction, l’utilisation, leur communication, ou tout autre forme de mise à disposition, l’effacement, la destruction… En résumé, le cycle de vie des données à caractère personnel.

Dans ce cadre est apparu :
• Un responsable de traitement : personne qui détermine la finalité des traitements des données à caractère personnel (DCP) et les moyens nécessaires à leur mise en œuvre.
• Le DPO (data protection officer) : il conseille et accompagne les organismes dans leur conformité.

Quels sont les grands principes ?

• La collecte des données pour un usage déterminé, explicite et légitime.
• Un traitement licite, loyal et transparent.
• Les données ne sont pas traitées ultérieurement d’une manière incompatible avec la finalité initialement définie, exception faite à des fins de recherche.
• Seules les informations pertinentes sont collectées (notion de minimisation des données).
• Une durée de conservation des données limitée : exception faite en recherche si notion d’intérêt public.
• Pas de conservation indéfinie des DCP dans des fichiers électroniques.
• Une durée doit être définie obligatoirement en fonction de l’objet de la recherche. Au-delà : archivage, effacement, anonymisation.
• Les DCP sont sécurisées au regard de leur sensibilité et des risques évalués sur la vie privée, y compris contre la perte, la destruction, l’utilisation ou la ré-utilisation non autorisée.
• Les personnes dont les DCP sont collectées doivent être informées du traitement de leurs données et les droits qui leur sont conférés doivent être respectés : accès, rectification, suppression, opposition, de portabilité. Les droits sont définis dans le formulaire d’information. Cette information est aussi apposée sur des affiches dans les lieux de consultation. Le formulaire d’information renseigne sur la personne à contacter : en général, c’est une adresse générique du DPO.
• Une charte informatique de l’institution.
• Une politique de protection des données de l’institution.
• Une analyse d’impact pour la protection des données (AIPD).