Protection des données et recherche en général

Cette rubrique explicative s’adresse aux chercheurs privés ou œuvrant pour le compte d’un organe fédéral, de même qu’aux organes fédéraux qui font eux-mêmes de la recherche, en chargent des tiers ou communiquent des données personnelles à des chercheurs. Les traitements de données effectués par des organes publics cantonaux ou communaux, tels les universités (à l’exception des EPF) et les hôpitaux cantonaux et universitaires, régionaux et communaux, ressortent de la compétence des autorités cantonales ou communales de protection des données et ne sont pas couverts par les explications ci-après.

Cette rubrique explicative s'adresse aux chercheurs privés ou œuvrant pour le compte d'un organe fédéral, de même qu'aux organes fédéraux qui font eux-mêmes de la recherche, en chargent des tiers ou communiquent des données personnelles à des chercheurs. Les traitements de données effectués par des organes publics cantonaux ou communaux, tels les universités (à l'exception des EPF) et les hôpitaux cantonaux et universitaires, régionaux et communaux, ressortent de la compétence des autorités cantonales ou communales de protection des données et ne sont pas couverts par les explications ci-après.

La loi fédérale sur la protection des données (LPD) contient deux règlementations spécifiques concernant le traitement de données personnelles à des fins de recherche, l'une pour le secteur privé (art. 13 al. 2 let. e LPD) et l'autre pour les organes fédéraux (art. 22 LPD). Ainsi, tant les personnes privées que les organes fédéraux bénéficient d'un régime juridique moins sévère si les conditions suivantes sont remplies:

le but du traitement de données personnelles ne se rapporte pas à des personnes, ce qui signifie que l'identité de la personne dont les données sont traitées ne joue aucun rôle pour le traitement et que des données anonymisées ou du moins pseudonymisées pourraient également être utilisées pour atteindre le même objectif.
les résultats de la recherche sont publiés sous une forme ne permettant pas d'identifier les personnes concernées.

Pour les organes fédéraux d'autres exigences sont posées à l'art. 22 LPD qui permettent également quelques allégements supplémentaires. En application du principe de la légalité (art. 17 LPD), les organes fédéraux devront pouvoir se fonder sur une base légale leur permettant de traiter des données personnelles à des fins de recherche (par exemple la loi fédérale sur l'encouragement de la recherche et de l'innovation).

Ces règlementations allégées des art. 13 al. 2 let e et 22 LPD n'ont pas besoin d'être invoquées en cas de traitement de données anonymisées. N'étant pas des données personnelles, elles ne sont pas soumises à la LPD. Les données personnelles sont considérées comme étant anonymisées lorsqu'elles ne peuvent plus être attribuées à une personne identifiée ou identifiable. On entend par rendre anonyme, toute démarche visant à empêcher l'identification des personnes concernées ou à ne rendre celles-ci possible qu'au prix d'efforts démesurés. En revanche, la pseudonymisation consiste à remplacer l'ensemble des données identifiantes par un identifiant neutre (pseudonyme), tandis que l'anonymisation consiste à supprimer définitivement toutes les données identifiantes ou tout moyen de retrouver les données originales. La pseudonymisation est réversible (tant qu'une table de correspondance permettant de faire le lien entre le pseudonyme et les données identifiantes d'une personne existe et est accessible) tandis que l'anonymisation est définitive. Seules des données parfaitement anonymisées ne sont plus considérées comme des données personnelles.

Les art. 13 al. 2 let. e et 22 LPD visent donc des cas dans lesquels des données non anonymisées sont utilisées à des fins ne se rapportant pas à des personnes, ce qui exclut les recherches qui sont axées directement sur des personnes (cela concerne en particulier les historiens et les généalogistes).

Les explications ci-après sont destinées à fournir tant aux chercheurs qu'aux organes fédéraux qui seraient amenés à communiquer des données personnelles dans le cadre d'un projet de recherche les informations nécessaires afin de se conformer aux exigences de la protection des données et d'assurer les intérêts des personnes concernées.

A préciser que pour les projets de recherche collectant des données médicales, leur traitement est soumis au consentement préalable des personnes concernées ou à une autorisation de lever le secret professionnel conformément à l'art. 321bis Code pénal suisse, ainsi qu'à la loi fédérale relative à la recherche sur l'être humain (LRH, RS 810.30) entrée en vigueur le 1^er janvier 2014, cf. les explications du Préposé sur la recherche médicale.

Exigences à respecter par le chercheur

Sous réserve de chaque cas d'espèce qui devra être examiné à la lumière du contexte de la recherche et de la spécificité des cas concrets, le chercheur, en tant que responsable de la protection des données dans le traitement de données personnelles, se conformera sous cet angle notamment aux points suivants dans le cadre de son projet de recherche:

Anonymisation

Il doit privilégier l'utilisation de données anonymisées dans les limites des possibilités du projet, c'est-à-dire excluant toute possibilité d'attribuer des données à une personne identifiée ou identifiable ou au prix d'efforts démesurés.

Si le type ou le but de la recherche ne permettent pas de travailler avec des données anonymisées - parce qu'il est nécessaire par exemple de recontacter les personnes concernées à intervalles réguliers le chercheur se doit alors de coder ou de crypter les données (données pseudonymisées). Il peut, par exemple, remplacer le nom et les autres données identifiantes par un code (numéro de référence), de telle sorte qu'il ne soit plus possible de mettre en relation telle donnée avec telle personne sans passer par le numéro de référence. Cette manière de procéder est aujourd'hui déjà fort courante. La liste de correspondance entre le code et les données identifiantes, de même que le code, ne doit être accessibles seulement à un nombre limité de personnes autorisées et sera conservée en toute sécurité et sous forme chiffrée. En fonction de la dimension et du degré de sensibilité du projet, la liste de correspondance peut également être conservée séparément des données personnelles par un tiers de confiance externe qui n'est pas impliqué dans le projet de recherche.

Les données devront être anonymisées le plus rapidement possible.

Le résultat de la recherche doit être publié sous une forme anonyme.

Motif justificatif et information préalable

Un traitement de données personnelles non anonymisées à des fins de recherche peut certes être justifié même sans le consentement des personnes concernées, dès lors que les finalités de l'étude ne se rapportent pas à des personnes et que les résultats de recherche publiés ne permettent pas d'identifier les personnes concernées. Etant donné que la participation à un projet de recherche est facultative, la personne concernée devra également consentir au traitement de ses données et dispose à tout le moins d'un droit d'opposition. A noter que ce consentement est indispensable en cas de traitements de données soumises au secret professionnel, tel le secret médical, à défaut une autorisation délivrée selon une procédure particulière permettra à des conditions bien précises la levée dudit secret.

En application du principe de la légalité (art. 17 LPD), les chercheurs travaillant pour des organes fédéraux devront pouvoir se fonder sur une base légale leur permettant de traiter des données personnelles à des fins de recherche (par exemple la loi fédérale sur l'encouragement de la recherche et de l'innovation, LERI ; RS 420.1).

Ce privilège réservé aux projets de recherche ne dispense cependant pas d'informer sur le traitement de données. Ainsi, la personne concernée devra recevoir au préalable toutes les informations objectives et complètes sur le traitement de données envisagé.

L'information portera en particulier sur les éléments suivants :

l'auteur /le responsable du traitement
le type et l'étendue des données collectées/traitées
les finalités du traitement
la communication des données à des tiers / catégories de destinataires / communication transfrontière prévue, avec les garanties prévues à l'art. 6 LPD
le caractère facultatif de la participation au projet et la possibilité de révoquer son consentement en tout temps
les conséquences en cas de refus de participation de la personne concernée (il ne doit en principe en résulter aucun inconvénient)
le droit d'accès et de rectification

En outre, il serait également souhaitable de renseigner sur les éléments suivants :

l'anonymisation/la pseudonymisation des données (possibilité de ré-identification, le cas échéant dans quel cas de figure, qui détient la liste de correspondance, qui y a accès et dans quel cas de figure), la conservation (forme, durée) et la réutilisation des données
le contrat et les obligations de confidentialité avec des tiers
la possibilité éventuelle pour la personne concernée d'être informée des résultats de la recherche

Par ailleurs, en matière de recherche médicale, diverses dispositions légales définissent les éléments à fournir dans le cadre de l'information qui précède le consentement à l'instar par exemple de la loi relative à la recherche sur l'être humain (LRH ; RS 810.30) et l'ordonnance y relative (ORH ; 810.301), ainsi que l'ordonnance sur les essais cliniques dans le cadre de la recherche sur l'être humain (OClin ; RS 810.305).

Finalité et proportionnalité

Les données ne peuvent être utilisées que dans le but pour lesquelles elles ont été collectées (principe de finalité).

Seules les données nécessaires au but de la recherche peuvent être collectées (principe de proportionnalité).

Sécurité

Les données personnelles doivent être protégées contre tout traitement non autorisé par des mesures techniques et organisationnelles appropriées. Ceci vaut tant pour leur utilisation que pour leur conservation. En outre, la sécurité des données doit être garantie (art. 7 LPD ; 8 à 12 OLPD pour les personnes privées, ainsi que art. 20 et 21 OLPD pour les organes fédéraux), cf. notre guide relatif aux mesures techniques et organisationnelles de la protection des données (les données doivent être conservées dans un endroit sûr, les données électroniques doivent être cryptées, l'accès aux données doit être réservé à un nombre restreint et défini de personnes, les données doivent être traitées en toute confidentialité).

Une limite temporelle à la conservation des données doit être prévue et ne peut en principe pas aller au-delà de la réalisation du but fixé dans le projet de recherche. Les données devront être ensuite totalement détruites ou anonymisées.

Le droit d'accès des personnes concernées doit être garanti et la personne auprès de laquelle il peut être exercé doit être désignée, pour autant que les données soient traitées sous forme non anonymisée.

Exigences à respecter par les organes fédéraux

Lorsque des organes fédéraux entendent communiquer des données personnelles à des chercheurs qui leur en font la demande, ils examineront dans un premier temps si une éventuelle obligation de garder le secret s'y oppose. A l'exception d'une obligation de renseigner, ils ne sont pas obligés de communiquer des données personnelles. S'ils optent pour une communication, ils sont responsables de la protection des données. Dans la pratique, ces données sont livrées à des fins de recherche moyennant élaboration d'un contrat de protection des données. Ainsi, lorsque des organes fédéraux entendent communiquer des données personnelles dans le cadre d'un projet de recherche, ils devraient notamment prévoir les points suivants à inclure dans le contrat qui sont énumérés ici à des fins d'aide sous la forme d'une liste de vérification (check-list):

désignation du responsable du projet
brève description du projet et de son but
description des données dont la communication est requise : données personnelles, données sensibles, profils de la personnalité
obligation de traiter les données uniquement dans le but pour lequel elles ont été transmises - le chercheur ne peut pas les réutiliser, les transmettre ou en faire un quelconque autre usage sans l'accord de l'organe fédéral qui les lui a transmises
obligation d'anonymiser le plus rapidement possible les données dès que le but du traitement le permet. Pour autant que le but du projet de recherche le permette, ne transmettre au chercheur que des données déjà anonymisées ou codées sans la clé de décodage
définir le cercle de personnes concernées par le traitement de données (ont-elles reçu une information, par quel moyen, à quel moment, ont-elles donné leur consentement, sous quelle forme?)
définir le cercle des personnes autorisées à accéder aux données (par exemple à l'intérieur d'une équipe de recherche) - les soumettre également à une obligation de confidentialité ainsi qu'au respect des exigences de protection des données
prévoir une interdiction de communiquer les données à des tiers sans le consentement préalable de l'organe fédéral
prévoir une interdiction de relier les données de l'organe fédéral avec celles du chercheur, d'autres données individuelles du chercheur ou de tiers
conservation (préciser la durée, la forme et le lieu de la conservation des données) - fixer une limite temporelle pour la conservation qui doit être limitée à la réalisation du but fixé dans le cadre du projet de recherche
lieu de traitement et de conservation des données (les garanties de l'art. 6 LPD sont-elles respectées ?)
mesures prises pour assurer la protection des données et la confidentialité ?
sécurité (prévoir les mesures techniques et organisationnelles appropriées pour que les données personnelles soient traitées avec toutes les mesures de sécurité nécessaires et prévenir tout accès à de tiers non autorisés), cf. notre guide relatif aux mesures techniques et organisationnelles de la protection des données
restitution/destruction/anonymisation des données (les données personnelles doivent être restituées et détruites ou anonymisées totalement après utilisation dans un délai à fixer, y compris les copies de sécurité, une déclaration écrite confirmera à l'organe fédéral la destruction intégrale et irrémédiable des données)
publication des résultats de la recherche sous forme anonyme
les droits des personnes concernées doivent être garantis dans le contrat (droit d'accès, droits à la rectification et à l'effacement des données)
responsabilité / peines conventionnelles en cas de violation des obligations contractuelles ou d'une clause légale liée à la protection des données ou à l'obligation de garder le secret

D'autres conditions ou charges supplémentaires peuvent être prévues selon le cas d'espèce.

Une communication transfrontière de données non anonymisées dans un but de recherche reste soumise à l'art. 6 LPD.

Les fichiers des personnes privées et des organes fédéraux dont les données sont traitées uniquement à des fins ne se rapportant pas à aux personnes concernées, notamment dans le cadre de la recherche, ne sont pas soumis à déclaration (art. 11a al. 5 let. b LPD, art. 4 al. 1 let. b et 18 al. 2 let. c OLPD).

Début de la page