Toutes les actualités
CEPD / CEPD 15 avril 2026 7 min

« Nous conservons à des fins de recherche » : le CEPD explique pourquoi ce n'est pas une réponse

Lignes directrices 1/2026 sur le traitement des données à caractère personnel à des fins de recherche scientifique : 171 points sur le consentement large, les garanties de l'art. 89 et — point inattendu — sur la matrice des durées de conservation

En bref

Les lignes directrices 1/2026 ont été adoptées en projet le 15 avril 2026 : 67 pages, 171 points. Elles couvrent la notion de recherche scientifique, les bases légales, la transparence, les droits des personnes et les garanties de l'art. 89, par. 1. La consultation publique s'est close le 25 juin 2026 et le texte final suivra les révisions : ce qu'on lit aujourd'hui reste un projet.

Le consentement large existe, mais il a un prix

Le nœud que la communauté scientifique attendait depuis des années est le broad consent : peut-on demander le consentement à une recherche qui, au moment de la collecte, n'est pas encore entièrement définie ? La réponse du Comité est oui, sous conditions. Le consentement peut couvrir un domaine de recherche décrit clairement, ou des résultats attendus identifiables, assorti de garanties appropriées. Ce qui ne tient pas, c'est le consentement à la « recherche » en général : si l'on ne dit pas à la personne dans quel domaine l'étude se situera, le consentement n'est ni spécifique ni éclairé.

  • Décrire le domaine, pas le mot : « études en oncologie pédiatrique », pas « finalités scientifiques »
  • Les traitements futurs doivent être raisonnablement prévisibles au moment de la collecte
  • Les garanties de l'art. 89, par. 1 ne sont pas un décor : minimisation, pseudonymisation lorsque c'est possible, séparation entre celui qui détient les données identifiantes et celui qui analyse
  • Le consentement reste retirable : il faut une procédure disant ce qu'il advient des données déjà versées à une étude en cours
  • Si l'étude change de domaine, on revient vers la personne : le consentement large n'est pas un consentement perpétuel

La ligne qui finit dans le registre

Vient ici la partie qui intéresse celui qui remplit le registre de l'art. 30 et la matrice des durées. Le Comité est explicite : conserver des données à caractère personnel pour une « finalité de recherche scientifique » générique, sans indiquer le domaine, n'est pas admis. Le responsable doit spécifier la recherche potentielle et l'étayer par les garanties de l'art. 89. Traduit en langage de registre : « conservation à des fins de recherche » n'est pas une durée, c'est une omission précédée d'une formule élégante.

Le contrôle à faire sur les registres de vos clients

Cherchez les lignes où la durée est « aussi longtemps que nécessaire à des fins de recherche », « à des fins statistiques et de recherche » ou équivalent. Dans la plupart des cas elles couvrent des archives que personne n'ouvre depuis des années. S'il n'y a ni domaine de recherche défini ni garanties de l'art. 89, cette ligne ne décrit pas une durée : elle décrit une conservation sans fin, et lors d'un contrôle elle se lit exactement ainsi.

Ce que le document ne règle pas

  • Il ne fait pas de la recherche une base légale : l'art. 89 est un régime de garanties, pas une condition de licéité autonome
  • Il ne supprime pas le test de compatibilité : la présomption de l'art. 5, par. 1, b) n'est pas automatique et doit être documentée
  • Il ne touche pas au droit national : les règles nationales sur la recherche demeurent
  • Il n'est pas définitif : la consultation a recueilli des observations lourdes du secteur des sciences de la vie et le texte évoluera

Dans DPO Workspace

Dans la matrice des durées, les règles sans durée chiffrée ont un type dédié et peuvent rester marquées à vérifier tant que la source n'est pas confirmée. C'est le bon endroit où garer les lignes « à des fins de recherche » en attendant le texte définitif.

Le document est long et tout n'est pas utile au DPO d'entreprise. Mais les points sur le consentement large et celui sur la conservation sont le genre de passage qui, dans un an, figurera dans une décision de sanction introduite par « comme l'a précisé le Comité ».

Source officielle:EDPB - Guidelines 1/2026 on processing of personal data for scientific research purposesSource officielle:EDPB - Guidelines 1/2026 (testo integrale, PDF)

Vous cherchez un outil pour votre travail de DPO ?

DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.

Commencer gratuitement

Articles connexes

CEPD / CEPD
12-14gli articoli sotto esame

En 2026, toutes les autorités européennes regardent la même chose : les mentions d'information

Chaque année le CEPD choisit un thème et toutes les autorités nationales le vérifient ensemble, sur la même période, par questionnaires et contrôles. Pour 2026 le thème est la transparence : comment les responsables informent les personnes de ce qu'il advient de leurs données. Sont visés l'art. 13, lorsque les données viennent de la personne concernée, et l'art. 14, lorsqu'elles viennent d'ailleurs. L'autorité tchèque l'a déjà inscrit à son plan de contrôles.

10 août 2026Nouveau 6 min
CEPD / CEPD
28 agotermine per candidarsi

Concurrence et protection des données : le CEPD ouvre la table, et il y a une échéance

Après le DSA et avant le DMA et le règlement sur l'IA, la quatrième pièce de la mosaïque réglementaire européenne porte sur le rapport entre concurrence et protection des données. Ce n'est pas théorique : cela touche aux données comme actif de marché, aux concentrations, et à la position de celui qui traite des données parce qu'il domine un marché. Le CEPD et la Commission demandent des contributions avant d'écrire, et cette fois l'échéance est proche.

30 juil. 2026Nouveau 6 min
CEPD / CEPD
10 lug 2027quando si potra' condividere

Lutte anti-blanchiment et vie privée : le CEPD et l'AMLA écrivent ensemble les règles du partage

Le 1er juillet 2026, le CEPD et l'Autorité européenne de lutte contre le blanchiment ont annoncé des lignes directrices communes sur une question qu'aucun des deux ne pouvait trancher seul : comment banques, professionnels et autorités peuvent échanger des informations sur des soupçons sans constituer des fichiers de suspects hors de contrôle. La faculté s'applique à compter du 10 juillet 2027 et la consultation publique est attendue au premier semestre de la même année. Qui conseille des entités assujetties a un an pour se préparer.

01 juil. 2026Nouveau 6 min