« Nous conservons à des fins de recherche » : le CEPD explique pourquoi ce n'est pas une réponse

Le consentement large existe, mais il a un prix

Le nœud que la communauté scientifique attendait depuis des années est le broad consent : peut-on demander le consentement à une recherche qui, au moment de la collecte, n'est pas encore entièrement définie ? La réponse du Comité est oui, sous conditions. Le consentement peut couvrir un domaine de recherche décrit clairement, ou des résultats attendus identifiables, assorti de garanties appropriées. Ce qui ne tient pas, c'est le consentement à la « recherche » en général : si l'on ne dit pas à la personne dans quel domaine l'étude se situera, le consentement n'est ni spécifique ni éclairé.

• Décrire le domaine, pas le mot : « études en oncologie pédiatrique », pas « finalités scientifiques »
• Les traitements futurs doivent être raisonnablement prévisibles au moment de la collecte
• Les garanties de l'art. 89, par. 1 ne sont pas un décor : minimisation, pseudonymisation lorsque c'est possible, séparation entre celui qui détient les données identifiantes et celui qui analyse
• Le consentement reste retirable : il faut une procédure disant ce qu'il advient des données déjà versées à une étude en cours
• Si l'étude change de domaine, on revient vers la personne : le consentement large n'est pas un consentement perpétuel

La ligne qui finit dans le registre

Vient ici la partie qui intéresse celui qui remplit le registre de l'art. 30 et la matrice des durées. Le Comité est explicite : conserver des données à caractère personnel pour une « finalité de recherche scientifique » générique, sans indiquer le domaine, n'est pas admis. Le responsable doit spécifier la recherche potentielle et l'étayer par les garanties de l'art. 89. Traduit en langage de registre : « conservation à des fins de recherche » n'est pas une durée, c'est une omission précédée d'une formule élégante.

Ce que le document ne règle pas

• Il ne fait pas de la recherche une base légale : l'art. 89 est un régime de garanties, pas une condition de licéité autonome
• Il ne supprime pas le test de compatibilité : la présomption de l'art. 5, par. 1, b) n'est pas automatique et doit être documentée
• Il ne touche pas au droit national : les règles nationales sur la recherche demeurent
• Il n'est pas définitif : la consultation a recueilli des observations lourdes du secteur des sciences de la vie et le texte évoluera

Le document est long et tout n'est pas utile au DPO d'entreprise. Mais les points sur le consentement large et celui sur la conservation sont le genre de passage qui, dans un an, figurera dans une décision de sanction introduite par « comme l'a précisé le Comité ».