Une étape incontournable pour toute recherche impliquant des participants :
Depuis 2018, toute recherche impliquant des participants — qu’il s’agisse de questionnaires, d’entretiens ou de démarches de recherche participative — doit impérativement s’accompagner d’une fiche de traitement des données personnelles.
Cette obligation s’applique même si les données collectées sont anonymisées ou pseudonymisées. En effet, le RGPD considère que toute information relative à une personne physique identifiable, directement ou indirectement, relève du champ de la protection des données.
Pourquoi cette fiche est-elle indispensable ?
- Conformité légale : Le RGPD exige une documentation claire et exhaustive des traitements de données, afin de garantir la transparence et la responsabilité des organismes.
- Protection des participants : Elle permet d’identifier les risques liés à la collecte et au traitement des données, et de mettre en place des mesures adaptées pour les minimiser.
- Traçabilité : En cas de contrôle par la CNIL (Commission Nationale de l’Informatique et des Libertés), cette fiche sert de preuve de conformité.
Anonymisation ou pseudonymisation : une protection suffisante ?
Même si ces techniques réduisent les risques, elles ne dispensent pas de l’obligation de déclarer le traitement. Le RGPD impose une analyse au cas par cas pour évaluer si les données restent identifiables (par croisement avec d’autres informations, par exemple).
En résumé : Avant toute collecte de données, même anonymisée, réalisez systématiquement une fiche de traitement RGPD. C’est un gage de sérieux, de respect des droits des participants et de conformité avec la réglementation en vigueur.
- Besoin d’accompagnement pour rédiger votre fiche ? Consultez les ressources de la CNIL ou sollicitez votre déléguée à la protection des données (DPO) :
dpo@umpv.fr ou prendre directement un RDV via votre ENT, rubrique RDV.
Rappel : à l’Université de Montpellier Paul-Valéry tout dépôt d’un dossier auprès du Comité d’éthique et de la recherche doit être précédé de la mise en conformité de la recherche et de la rédaction de la fiche de traitement.
Le règlement général sur la protection des données - RGPD
Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).
Consultez l'intégralité du texte sur le site de la CNIL, via l'adresse suivante : https://www.cnil.fr/fr/reglement-europeen-protection-donnees
La protection des données pour la recherche en SHS
Retrouvez tous les éléments indispensables de la conformité de vos collectes de données à caractère personnel via le guide du CNRS " Les sciences humaines et sociales et la protection des données à caractère personnel dans le contexte de la science ouverte."
à télécharger via le lien suivant : https://www.inshs.cnrs.fr/sites/institut_inshs/files/pdf/Guide_rgpd_2021.pdf
Les règles et normes en fonction du cycle de vie des données de la recherche
Sur le site JurisDoR, ressources juridiques des données de la recherche
La recherche scientifique (hors santé)
Retrouvez les conseils de la CNIL via le lien suivant : https://www.cnil.fr/fr/recherche-scientifique-hors-sante
Les enjeux et les avantages de l'anonymisation et de la pseudonymisation
https://www.cnil.fr/fr/recherche-scientifique-hors-sante-enjeux-et-avant...
Les recommandations pour les réutilisateurs de données publiées sur internet
https://www.cnil.fr/fr/recommandations-reutilisateurs-donnees-internet
Les principales références juridiques
https://www.cnil.fr/sites/cnil/files/atoms/files/recherche-hors-sante_pr...
La réutilisation de données publiquement accessible à des fins de recherche scientifique (hors santé) :
https://www.cnil.fr/sites/cnil/files/2024-06/recommandations_reutilisate...
Recherche dans le domaine de la santé
https://www.cnil.fr/fr/recherches-sante-quelles-formalites
Doctorat / thèse dans le domaine de la santé
https://www.cnil.fr/fr/recherche-etude-ou-evaluation-dans-le-domaine-de-...
Qu'est-ce qu'une donnée de santé ?
https://www.cnil.fr/fr/quest-ce-ce-quune-donnee-de-sante
Guide de la qualification des recherches en santé
riph_-_rniph_guide_de_l_inserm_2021.pdf
Amiel P., Dosquet C., Comité d’évaluation éthique de l’inserm (CEEI), Guide de qualification
des recherches en santé [A qualification guide for health research], Inserm, 2021.
La diffusion de ce document est soumis à une licence CC BY-NC-ND 4.0
L'art des lettres d'informations et demandes d'accord de particiation à une recherche ( parfois appellées à tord "lettre de consentement") à personnaliser en fonction de votre recherche
Plusieurs modèles de Lettres d'information et demandes d'accord de participation à la recherche sont à votre disposition ci-dessous :
Le diaporama pour les doctorants : La protection des données à caractère personnel dans votre thèse, ci dessous
Les bons réflexes
Téléchargez l'affiche sur le site de la CNIl, adresse ci-dessous :
https://www.cnil.fr/sites/default/files/atoms/files/affiche-adoptez-les-...
Les mesures de sécurité minimales à respecter
Afin de garantir la sécurité des traitements mis en œuvre lors de votre recherche, la CNIL recommande de suivre quelques précautions élémentaires :
- pour les ordinateurs portables ou autres matériels nomades : s’assurer que le disque dur est chiffré par le système d’exploitation ;
- tenir secrets ses mots de passe (ex. : ne pas les noter sur un post-it, ne pas les communiquer à un proche ou un collègue, etc.) ;
- utiliser des antivirus mis à jour et installer un « pare-feu » (firewall) logiciel ;
- effectuer dès que possible les mises à jour de sécurité des logiciels, idéalement en les configurant pour qu’elles se fassent automatiquement ;
- être prudent vis-à-vis des contenus extérieurs, notamment les courriels (contact inconnu, tournures employées inhabituelles, etc.), un document reçu, un lien de téléchargement sur un site web, etc. En cas de doute, ne cliquez pas ou n’ouvrez pas le document ;
- prévoir une procédure de verrouillage automatique de session et verrouiller son ordinateur dès que l’on quitte son poste de travail ;
- enregistrer régulièrement vos travaux pour éviter toute perte de données ;
- stocker les données sur un espace de stockage régulièrement sauvegardé accessible via le réseau interne de l’organisme plutôt que sur son poste de travail ;
- ne pas stocker les données collectées sur du matériel non sécurisé ou prévoir des moyens de chiffrement du matériel ;
- limiter l’usage de supports amovibles (ex. : clefs USB) à l’indispensable.
Pour plus de précisions sur la manière de sécuriser votre traitement de données, vous pouvez consulter le guide « sécurité des données personnelles ».
Attention : les violations de données (destruction, perte, altération ou divulgation non autorisée de données), doivent être signalées sans délai à l'établissement (de soin, scolaire, universitaire) auquel vous êtes rattaché.
