Article 89 du RGPD : Garanties et dérogations applicables au traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques

Texte original du RGPD

1. Le traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques est soumis, conformément au présent règlement, à des garanties appropriées pour les droits et libertés de la personne concernée. Ces garanties garantissent la mise en place de mesures techniques et organisationnelles, en particulier pour assurer le respect du principe de minimisation des données. Ces mesures peuvent comprendre la pseudonymisation, dans la mesure où ces finalités peuvent être atteintes de cette manière. Chaque fois que ces finalités peuvent être atteintes par un traitement ultérieur ne permettant pas ou plus l’identification des personnes concernées, il convient de procéder de cette manière.

2. Lorsque des données à caractère personnel sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques, le droit de l’Union ou le droit d’un État membre peut prévoir des dérogations aux droits visés aux articles 15, 16, 18 et 21, sous réserve des conditions et des garanties visées au paragraphe 1 du présent article, dans la mesure où ces droits risqueraient de rendre impossible ou d’entraver sérieusement la réalisation des finalités spécifiques et où de telles dérogations sont nécessaires pour atteindre ces finalités.

3. Lorsque des données à caractère personnel sont traitées à des fins archivistiques dans l’intérêt public, le droit de l’Union ou le droit d’un État membre peut prévoir des dérogations aux droits visés aux articles 15, 16, 18, 19, 20 et 21, sous réserve des conditions et des garanties visées au paragraphe 1 du présent article, dans la mesure où ces droits risqueraient de rendre impossible ou d’entraver sérieusement la réalisation des finalités spécifiques et où de telles dérogations sont nécessaires pour atteindre ces finalités.

4. Lorsqu’un traitement visé aux paragraphes 2 et 3 sert dans le même temps une autre finalité, les dérogations sont applicables au seul traitement effectué aux fins visées auxdits paragraphes.

Équivalent directive 95/46 CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données. 

Article 6

1. Les États membres prévoient que les données à caractère personnel doivent être:

(…)

Un traitement ultérieur à des fins historiques, statistiques ou scientifiques n’est pas réputé incompatible pour autant que les États membres prévoient des garanties appropriées;

e) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement. Les États membres prévoient des garanties appropriées pour les données à caractère personnel qui sont conservées au-delà de la période précitée, à des fins historiques, statistiques ou scientifiques.

Article 11

1. Lorsque les données n’ont pas été collectées auprès de la personne concernée, les États membres prévoient que le responsable du traitement ou son représentant doit, dès l’enregistrement des données ou, si une communication de données à un tiers est envisagée, au plus tard lors de la première communication de données, fournir à la personne concernée au moins les informations énumérées ci-dessous, sauf si la personne en est déjà informée:

a) l’identité du responsable du traitement et, le cas échéant, de son représentant;

b) les finalités du traitement;

c) toute information supplémentaire telle que:

– les catégories de données concernées,

– les destinataires ou les catégories de destinataires des données,

– l’existence d’un droit d’accès aux données la concernant et de rectification de ces données, dans la mesure où, compte tenu des circonstances particulières dans lesquelles les données sont collectées, ces informations supplémentaires sont nécessaires pour assurer à l’égard de la personne concernée un traitement loyal des données.

2. Le paragraphe 1 ne s’applique pas lorsque, en particulier pour un traitement à finalité statistique ou de recherche historique ou scientifique, l’information de la personne concernée se révèle impossible ou implique des efforts disproportionnés ou si la législation prévoit expressément l’enregistrement ou la communication des données. Dans ces cas, les États membres prévoient des garanties appropriées.

Article 13 

(…)

2. Sous réserve de garanties légales appropriées, excluant notamment que les données puissent être utilisées aux fins de mesures ou de décisions se rapportant à des personnes précises, les États membres peuvent, dans le cas où il n’existe manifestement aucun risque d’atteinte à la vie privée de la personne concernée, limiter par une mesure législative les droits prévus à l’article 12 lorsque les données sont traitées exclusivement aux fins de la recherche scientifique ou sont stockées sous la forme de données à caractère personnel pendant une durée n’excédant pas celle nécessaire à la seule finalité d’établissement de statistiques.

Équivalent de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (loi Informatique et Liberté).

Article 78

Modifié par l’ordonnance n° 2018-1125 du 12 décembre 2018

Lorsque les traitements de données à caractère personnel sont mis en œuvre par les services publics d’archives à des fins archivistiques dans l’intérêt public conformément à l’article L. 211-2 du code du patrimoine, les droits prévus aux articles 15,16 et 18 à 21 du règlement (UE) 2016/679 du 27 avril 2016 ne s’appliquent pas dans la mesure où ces droits rendent impossible ou entravent sérieusement la réalisation de ces finalités. Les conditions et garanties appropriées prévues à l’article 89 du même règlement sont déterminées par le code du patrimoine et les autres dispositions législatives et réglementaires applicables aux archives publiques. Elles sont également assurées par le respect des normes conformes à l’état de l’art en matière d’archivage électronique.

Un décret en Conseil d’Etat, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés, détermine dans quelles conditions et sous réserve de quelles garanties il peut être dérogé en tout ou partie aux droits prévus aux articles 15,16,18 et 21 du même règlement, en ce qui concerne les traitements à des fins de recherche scientifique ou historique, ou et à des fins statistiques.

Analyse des 3 textes qui précèdent

L’article 89 du RGPD impose des garanties adaptées, favorisant des mécanismes comme la pseudonymisation, et exige que les traitements garantissent la minimisation des données lorsque cela permet d’atteindre les finalités archivistiques ou statistiques. Ces mesures doivent être proportionnées et adaptées au risque.

Dérogations pour la recherche et les statistiques: Lorsque les données sont traitées à des fins scientifiques, historiques ou statistiques, les droits fondamentaux (accès, rectification, suppression, etc.) peuvent être dérogés dans certaines limites, sous réserve des garanties prévues au paragraphe 1 et des conditions spécifiées par le droit de l’Union ou le droit national.

Dérogations liées à l’archivage dans l’intérêt public: Des dérogations aux droits (par ex. les articles 15, 16, 18, 19, 20 et 21) existent lorsque leur application rendrait impossible ou entraverait gravement les finalités archivistiques, et ce dans la mesure nécessaire pour atteindre ces finalités. L’application de ces dérogations est encadrée et limitée.

Cumul des finalités: Si un traitement poursuit plusieurs finalités (archivage, statistique, recherche), les dérogations s’appliquent uniquement au traitement correspondant à chaque finalité spécifique, afin d’éviter l’extension excessive des droits qui pourraient compromettre les finalités archivistiques ou statistiques.

L’article 89 illustre la logique du RGPD qui normalise des garanties communes tout en permettant des dérogations spécifiques adaptées à l’archivage, la recherche et les statistiques, et ce sous le contrôle des autorités nationales et l’application des textes nationaux (par ex. cadres de l’État pour les archives publiques, codes du patrimoine, etc.).

Directive 95/46/CE :  elle permettait des dérogations pour des finalités spécifiques et imposait des garanties pour la protection des droits, tout en autorisant des exceptions dans des domaines comme l’archivage, les statistiques et la recherche. Le cadre directif a fortement influencé la manière dont les États membres articulaient ces dérogations et garanties.

Loi Informatique et Libertés : À l’époque transposant ces principes, elle prévoyait des dispositions particulières pour les traitements à des fins de recherche, archivage ou statistique et les situations où certains droits pouvaient être adaptés dans le cadre des finalités publiques ou académiques, tout en imposant des garanties spécifiques (pseudonymisation, cryptographie, etc.). Avec le RGPD, ces dispositions ont été réexaminées et harmonisées au niveau européen, tout en conservant des marges nationales lorsque nécessaire.

Jurisprudences 

À ce jour, il n’existe aucune jurisprudence concernant cette disposition. 

Recommandations 

CEPD

Lignes directrices 03/2020 sur le traitement de données concernant la santé à des fins de recherche scientifique dans le contexte de la pandémie de COVID-19 (21 Avril 2020)

CNIL

Recommandation relative aux conditions de réutilisation des données à caractère personnel contenues dans des documents d’archives publiques (9 décembre 2010)

Recommandation concernant les modalités d’archivage électronique, dans le secteur privé, de données à caractère personnel (11 octobre 2005)

Guide pratique sur les durées de conservation (Juillet 2020)