Mesures de protection de la vie privée
Mesures de protection de la vie privée
Lorsque vous traitez des données à caractère personnel, le RGPD vous impose de les protéger de manière adéquate. Le niveau de sécurité de base doit toujours être conforme à la politique de sécurité de l’information de votre université. Toutefois, des mesures supplémentaires peuvent s’avérer nécessaires selon la nature du traitement. Le choix de ces mesures de sécurité additionnelles repose sur l’évaluation des risques liés au traitement. Les activités de traitement comportant davantage de risques, comme le traitement de catégories particulières de données à caractère personnel, doivent être accompagnées d’un ensemble plus étendu de mesures de sécurité.
En matière de protection des données, le RGPD met en avant, et impose parfois, des garanties telles que l’anonymisation, la pseudonymisation et le chiffrement.
Anonymisation
Les données anonymes sont des données qui ne concernent pas, ou plus, une personne physique vivante identifiée ou identifiable.
Les données anonymisées sont des données personnelles rendues anonymes au moyen d’une technique de traitement, de telle sorte que la personne concernée ne puisse pas, ou plus, être identifiée, sans effort disproportionné et par qui que ce soit.
Si la procédure d’anonymisation peut être inversée, il n’est pas correct de considérer les données traitées comme anonymes.
Les données anonymes ne sont pas des données personnelles et ne relèvent pas du champ d’application du RGPD. Toutefois, si vous ne traitez que des données anonymes, il reste important d’évaluer les aspects éthiques liés à leur collecte et à leur traitement.
Attention : si vous collectez des données personnelles pour ensuite les anonymiser, cela constitue une anonymisation au sens du RGPD. L’acte d’anonymisation reste donc couvert par le RGPD puisque vous travaillez initialement, et durant le processus, avec des données identifiables.
Les données qui peuvent, avec un effort raisonnable, être rattachées aux individus d’origine ne sont pas anonymes, mais demeurent des données personnelles soumises au RGPD. Pour cette raison, de nombreux types de données de recherche (p. ex. données qualitatives, mégadonnées comportant de multiples variables personnelles, …) sont difficiles à anonymiser complètement.
Il est fréquent que des données ne comportant pas de noms ni de coordonnées soient trop rapidement considérées comme anonymes alors qu’elles doivent être vues comme des données personnelles (p. ex. adresses IP, enregistrements audio/vidéo d’entretiens). Dans certains cas, aucune donnée ne permet une identification directe, mais leur combinaison la rend possible. Exemple : connaître l’entreprise d’une personne, sa fonction, ainsi que certaines informations démographiques (âge, genre) peut suffire à identifier un individu. Cela vaut même lorsqu’une réidentification devient possible par le croisement de votre jeu de données avec un autre, qu’il soit en votre possession ou non.
Pseudonymisation
La pseudonymisation est une mesure de sécurité. Les données à caractère personnel pseudonymisées (anciennement appelées « données codées » dans la législation sur la vie privée) sont des données qui ne peuvent être reliées à une personne identifiée ou identifiable qu’au moyen d’une clé non publique (secrète). Cette clé doit de préférence être dépourvue de signification directe, c’est-à-dire sans identifiants potentiels tels qu’une date, un numéro de site, des initiales, … Le fichier de correspondance entre les données de recherche et les données personnelles doit être conservé séparément, en lieu sûr, et de préférence chiffré.
Les données pseudonymisées demeurent des données personnelles au sens du RGPD, même si vous ne disposez pas de la clé. Si vous recevez des données pseudonymisées d’un chercheur d’une autre université (dans le cadre d’une réutilisation secondaire), elles restent des données personnelles couvertes par le RGPD et ne doivent pas être considérées comme anonymes.
Lorsqu’on évalue à tort des données (pseudonymisées) comme anonymes, elles risquent fort de ne pas être suffisamment protégées. Cela augmente les risques de réidentification et peut entraîner des conséquences négatives pour les personnes concernées, les chercheurs, l’institution de recherche, voire pour le monde scientifique.
Les données qui, moyennant un effort raisonnable, peuvent être rattachées à des personnes physiques ne sont pas des données anonymes, mais restent des données à caractère personnel et relèvent donc du champ d’application du RGPD. C’est pourquoi de nombreux types de données de recherche (par exemple, les données qualitatives, les grands ensembles de données contenant un large éventail de données à caractère personnel, etc.) sont difficiles à anonymiser complètement.
Les données qui ne comprennent pas de noms ou de coordonnées sont souvent trop facilement considérées comme anonymes. Cependant, les adresses IP et les enregistrements audio/vidéo d’entretiens, par exemple, doivent également être considérés comme des données identifiables. Dans certains cas, il se peut qu’aucune donnée ne permette d’identifier directement des personnes, mais que celles-ci puissent être identifiées lorsqu’elles sont combinées. Par exemple : lorsque vous savez pour quelle entreprise une personne travaille et quelle est sa fonction, en combinaison avec certaines informations démographiques (telles que l’âge et le sexe), il peut devenir possible d’identifier certaines personnes.
Attention, si vous travaillez toujours avec des données personnelles identifiables au début et pendant le processus d’anonymisation, le RGPD s’applique toujours.
