Recherche hors santé : ouvrir les accès du consortium
Consortium de recherche hors santé : attribuez les accès par tâche, protégez les clés et encadrez l'arrivée ou le départ d'un partenaire.
Un projet de recherche réunit plusieurs organismes qui n’ont pas tous besoin du même jeu de données. Le partenaire chargé d’une analyse statistique n’a pas nécessairement besoin des coordonnées des participants ; celui qui les recontacte peut ne pas avoir à consulter toutes leurs réponses. Le plan d’accès doit suivre les tâches du protocole.
Ce guide concerne la recherche hors santé. Les recherches dans le domaine de la santé relèvent en plus de dispositions spécifiques qui demandent une analyse distincte.
Définir les responsables et le fondement
Identifiez les organismes qui déterminent les finalités et les moyens, ainsi que les éventuels prestataires. Le coordinateur administratif du consortium n’est pas automatiquement l’unique responsable de traitement. La qualification se fait à partir des décisions effectives selon les Art. 4(7), 26 et 28.
La recherche n’est pas, en elle-même, une base légale. Les acteurs doivent retenir un fondement applicable de l’Art. 6(1), comme l’explique la CNIL sur les bases légales de recherche hors santé. L’accord de financement ne dispense pas de cet examen.
Relier chaque accès à une tâche scientifique
| Rôle | Jeu à examiner | Limitation possible |
|---|---|---|
| Recrutement des participants | Coordonnées et critères nécessaires | Séparation des réponses détaillées |
| Analyse | Variables du protocole | Identifiants codés, dates réduites |
| Contrôle de qualité | Données requises pour les vérifications | Échantillons ou accès temporaire |
| Recontact | Table de correspondance | Accès distinct et justifié |
| Publication | Résultats et extraits | Contrôle d’identification avant diffusion |
L’Art. 89(1) exige des garanties appropriées, notamment pour assurer la minimisation, et envisage la pseudonymisation lorsque les finalités peuvent être atteintes ainsi. Il ne transforme pas toute donnée codée en donnée anonyme. Source : RGPD.
Le guide sur la table de correspondance aide à séparer les fonctions sans perdre la possibilité de corriger ou retrouver les données quand cela est nécessaire.
Examiner les catégories particulières avant l’ouverture
Des réponses sur des opinions ou des convictions peuvent relever de l’Art. 9 même si le projet ne concerne pas la santé. Il faut alors une exception applicable, en plus de la base légale.
La CNIL a précisé en février 2026 les conditions de sa saisine pour certaines recherches scientifiques publiques hors santé portant sur des données sensibles et rendues nécessaires par des motifs d’intérêt public important, au titre de l’Art. 44(6) de la loi Informatique et Libertés. Ce régime ne s’applique pas indistinctement à tous les consortiums. Source : CNIL, quand saisir la Commission.
L’accès ne doit pas être ouvert en attendant de choisir le fondement ou de réaliser une formalité préalable nécessaire.
Tenir un dossier d’habilitation par partenaire
Pour chaque organisme, consignez la tâche, le responsable scientifique, les utilisateurs autorisés, les variables disponibles, l’environnement et la fin prévue de l’accès. Précisez si les données peuvent sortir de cet environnement et comment les résultats seront vérifiés avant export.
Exemple hypothétique. Une équipe analyse des trajectoires à partir de classes d’âge et de zones géographiques larges. Elle ne reçoit pas les adresses exactes utilisées par une autre équipe pour le recrutement. Si l’analyse exige ensuite une précision supplémentaire, la demande fait l’objet d’une revue motivée du protocole et des risques.
Les accès aux petits groupes statistiques nécessitent un contrôle de recoupement, surtout lorsque plusieurs partenaires connaissent déjà les participants.
Préparer les changements et la clôture
L’arrivée d’un nouveau partenaire appelle une revue des responsabilités, des destinataires, de l’information, de la sécurité et des éventuels transferts hors EEE. Le départ impose de fermer les comptes, traiter les copies et préserver les données dont la conservation demeure justifiée.
Les droits ne disparaissent pas parce que le projet se termine. Organisez un contact durable et la recherche des données. Les dérogations éventuelles doivent être examinées précisément dans le cadre de l’Art. 89 du RGPD, avec les dispositions nationales pertinentes.
Si le traitement repose sur le consentement, prévoyez également le circuit de retrait d’un participant à l’étude : chaque équipe doit pouvoir retrouver et traiter ses copies sans recevoir inutilement l’identité complète du participant.
Ce qu’il faut retenir
- L’accès suit la tâche scientifique et les variables nécessaires.
- Le consortium doit justifier ses bases légales et les catégories sensibles.
- La pseudonymisation et la clôture des accès doivent être organisées concrètement.
FAQ
Tous les partenaires peuvent-ils recevoir la base complète ?
Seulement si la nécessité de cet accès est établie pour chacun, avec les garanties applicables. Le financement commun ne suffit pas.
Un chercheur qui quitte le projet peut-il garder sa copie ?
Il faut appliquer les responsabilités, finalités et règles de conservation retenues. Un intérêt personnel pour une recherche future ne permet pas de conserver automatiquement la copie.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.