L'article 89 du Règlement général sur la protection des données (RGPD) établit le cadre permettant aux États membres et à l'Union européenne d'organiser des dérogations aux droits des personnes concernées lorsque le traitement est effectué à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques. Cette disposition vise à concilier la protection des données personnelles avec d'autres intérêts publics importants, tels que la préservation du patrimoine documentaire, l'avancement de la connaissance scientifique, et la production de statistiques officielles.

Les traitements de données à des fins de recherche, d'archivage ou statistiques présentent des caractéristiques spécifiques qui justifient un régime adapté. Ces traitements portent généralement sur de grandes quantités de données, conservées sur de longues périodes, et dont les finalités peuvent évoluer au fil du temps. Ils contribuent toutefois à des objectifs d'intérêt général reconnus, tels que la recherche médicale, l'étude démographique, ou la préservation de la mémoire collective.

L'article 89 s'inscrit dans le cadre du chapitre IX relatif aux dispositions relatives à des situations particulières de traitement et constitue le fondement juridique permettant d'adapter l'application du RGPD aux spécificités de ces traitements tout en garantissant un niveau approprié de protection des données.

Texte officiel de l'article 89 du RGPD

L'article 89 du RGPD dispose notamment que :

« 1. Le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques est soumis à des garanties appropriées, conformément au présent règlement, pour les droits et libertés de la personne concernée. Ces garanties garantissent la mise en place de mesures techniques et organisationnelles, en particulier pour assurer le respect du principe de minimisation des données. Ces mesures peuvent inclure la pseudonymisation, pour autant que ces finalités puissent être atteintes de cette manière. Lorsque ces finalités peuvent être atteintes par un traitement ultérieur ne permettant pas ou plus l'identification des personnes concernées, ces finalités sont atteintes de cette manière.

2. Lorsque des données à caractère personnel sont traitées à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, le droit de l'Union ou le droit d'un État membre peut prévoir des dérogations aux droits visés aux articles 15, 16, 18 et 21, sous réserve des conditions et garanties visées au paragraphe 1 du présent article, dans la mesure où ces droits sont susceptibles de rendre impossible ou de compromettre gravement la réalisation des finalités spécifiques, et dans la mesure où de telles dérogations sont nécessaires pour atteindre ces finalités.

3. Lorsque des données à caractère personnel sont traitées à des fins archivistiques dans l'intérêt public, le droit de l'Union ou le droit d'un État membre peut prévoir des dérogations aux droits visés aux articles 15, 16, 18, 19, 20 et 21, sous réserve des conditions et garanties visées au paragraphe 1 du présent article, dans la mesure où ces droits sont susceptibles de rendre impossible ou de compromettre gravement la réalisation des finalités archivistiques dans l'intérêt public, et dans la mesure où de telles dérogations sont nécessaires pour atteindre ces finalités.

4. Lorsque le traitement visé aux paragraphes 2 et 3 sert également une autre finalité, les dérogations ne s'appliquent que pour le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques. »

Ce texte établit un cadre équilibré permettant des dérogations ciblées aux droits des personnes, sous réserve de garanties appropriées et dans la stricte mesure nécessaire à la réalisation des finalités spécifiques.

Garanties appropriées et minimisation des données

Le paragraphe 1 de l'article 89 impose que le traitement à des fins archivistiques, de recherche ou statistiques soit soumis à des garanties appropriées pour les droits et libertés des personnes concernées. Ces garanties doivent inclure des mesures techniques et organisationnelles garantissant le respect du principe de minimisation des données, selon lequel seules les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités peuvent être traitées.

La pseudonymisation constitue une mesure privilégiée pour concilier les besoins de recherche ou d'archivage avec la protection des données. Elle consiste à traiter les données de manière à ce qu'elles ne puissent plus être attribuées à une personne concernée sans information supplémentaire conservée séparément. Cette technique permet de réduire les risques pour les personnes tout en préservant l'utilité des données pour les finalités poursuivies.

Le paragraphe 1 prévoit également que, lorsque les finalités poursuivies peuvent être atteintes sans permettre l'identification des personnes concernées, le traitement doit être effectué de cette manière. Cette obligation reflète le principe de proportionnalité et impose aux responsables de traitement de privilégier les techniques préservant au maximum l'anonymat des personnes.

Dérogations aux droits des personnes pour la recherche scientifique et historique et les statistiques

Le paragraphe 2 de l'article 89 permet aux États membres et à l'Union européenne de prévoir des dérogations à certains droits des personnes concernées lorsque le traitement est effectué à des fins de recherche scientifique ou historique ou à des fins statistiques. Les droits susceptibles de dérogation sont le droit d'accès (article 15), le droit de rectification (article 16), le droit à la limitation du traitement (article 18), et le droit d'opposition (article 21).

Ces dérogations ne peuvent être prévues que dans la mesure où l'exercice de ces droits serait susceptible de rendre impossible ou de compromettre gravement la réalisation des finalités spécifiques, et dans la stricte mesure nécessaire pour atteindre ces finalités. Cette double condition garantit que les dérogations restent proportionnées et ne soient appliquées que lorsqu'elles sont véritablement indispensables.

Les dérogations doivent être prévues par le droit de l'Union ou le droit national, garantissant ainsi un encadrement législatif démocratique et transparent. Les États membres ne peuvent pas autoriser les responsables de traitement à définir eux-mêmes les dérogations applicables, mais doivent établir un cadre juridique précis définissant les conditions et les limites de ces dérogations.

Dérogations renforcées pour les archives d'intérêt public

Le paragraphe 3 de l'article 89 prévoit des dérogations plus étendues pour les traitements effectués à des fins archivistiques dans l'intérêt public. Outre les droits mentionnés au paragraphe 2, ces dérogations peuvent également concerner le droit à l'information en cas de modification des données (article 19) et le droit à la portabilité des données (article 20).

Cette extension des dérogations possibles reflète les spécificités des archives publiques, dont la mission est de conserver la mémoire collective et de permettre la recherche historique. L'exercice de certains droits, tels que la rectification ou l'effacement de documents historiques, pourrait compromettre l'intégrité des archives et leur valeur documentaire, justifiant ainsi des limitations plus importantes aux droits individuels.

Toutefois, même pour les archives d'intérêt public, les dérogations doivent respecter les mêmes conditions de nécessité et de proportionnalité que celles prévues au paragraphe 2, et doivent être encadrées par le droit de l'Union ou le droit national.

Limitation des dérogations aux finalités spécifiques

Le paragraphe 4 de l'article 89 précise que, lorsque le traitement sert également une autre finalité que la recherche, l'archivage ou les statistiques, les dérogations aux droits des personnes ne s'appliquent que pour le traitement effectué à ces finalités spécifiques. Cette disposition vise à éviter que les dérogations prévues à l'article 89 ne soient détournées pour justifier des limitations généralisées des droits des personnes.

Par exemple, si une organisation utilise des données à la fois pour des activités commerciales et pour des recherches statistiques, elle ne peut bénéficier des dérogations de l'article 89 que pour la partie du traitement effectivement consacrée aux statistiques. Les personnes concernées conservent l'intégralité de leurs droits pour la partie commerciale du traitement.

Articulation avec les autres dispositions du RGPD

L'article 89 s'articule avec l'article 5, paragraphe 1, point b), qui établit le principe de limitation des finalités et prévoit que le traitement ultérieur à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques n'est pas considéré comme incompatible avec les finalités initiales. Cette compatibilité présumée facilite la réutilisation des données pour ces finalités d'intérêt public.

Il se combine également avec l'article 9, paragraphe 2, point j), qui autorise le traitement des données sensibles à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, sous réserve de garanties appropriées. Ces garanties doivent être conformes à celles prévues à l'article 89, paragraphe 1.

Mise en œuvre au niveau national

En France, l'article 89 du RGPD a été complété par les dispositions de la loi Informatique et Libertés modifiée, qui précise les conditions dans lesquelles les traitements de données à des fins de recherche, d'archivage ou de statistiques peuvent bénéficier de dérogations aux droits des personnes. La législation française prévoit notamment un régime spécifique pour les traitements réalisés par les services publics d'archives et pour les recherches dans le domaine de la santé.

Les autres États membres ont également adopté des législations nationales mettant en œuvre l'article 89, avec des approches parfois différentes reflétant les traditions juridiques et les priorités nationales en matière de recherche et d'archivage.

Jurisprudence relative à l'article 89

La jurisprudence spécifique à l'article 89 est encore en développement. Toutefois, les autorités de protection des données ont adopté plusieurs décisions précisant les conditions d'application de cet article, notamment en ce qui concerne la nécessité de garanties appropriées et la proportionnalité des dérogations aux droits des personnes.

Les décisions soulignent que les dérogations prévues à l'article 89 doivent être interprétées restrictivement et ne peuvent être appliquées que dans les cas où l'exercice des droits des personnes compromettrait véritablement la réalisation des finalités poursuivies. Les responsables de traitement doivent démontrer cette incompatibilité de manière concrète et documentée.

Recommandations de la CNIL et du CEPD

La Commission nationale de l'informatique et des libertés (CNIL) a publié des lignes directrices sur les traitements de données à des fins de recherche, insistant sur la nécessité de mettre en place des garanties robustes telles que la pseudonymisation, le chiffrement, et les contrôles d'accès stricts. Elle recommande également aux chercheurs de privilégier, chaque fois que possible, l'utilisation de données anonymisées.

Le Comité européen de la protection des données (CEPD) encourage les États membres à adopter une approche harmonisée de la mise en œuvre de l'article 89, afin de faciliter les recherches transfrontalières et de garantir un niveau de protection cohérent des données à travers l'Union européenne.

Implications pratiques pour les responsables de traitement

Les responsables de traitement effectuant des recherches, des archivages ou des traitements statistiques doivent mettre en place des garanties appropriées conformément à l'article 89, paragraphe 1. Ces garanties doivent être documentées et inclure des mesures techniques (pseudonymisation, chiffrement, limitation des accès) et organisationnelles (politiques de confidentialité, formations, audits).

Lorsqu'ils souhaitent bénéficier des dérogations aux droits des personnes prévues par le droit national en application de l'article 89, les responsables de traitement doivent vérifier que leur traitement remplit toutes les conditions légales et démontrer que l'exercice de ces droits compromettrait effectivement la réalisation de leurs finalités. En cas de doute, il est recommandé de consulter l'autorité de contrôle compétente.

L'article 89 du RGPD établit un cadre permettant de concilier la protection des données personnelles avec les besoins spécifiques des traitements effectués à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques. En imposant des garanties appropriées et en encadrant strictement les dérogations possibles aux droits des personnes, cet article réalise un équilibre entre la protection des individus et la poursuite d'objectifs d'intérêt général reconnus. Son application nécessite une évaluation au cas par cas de la nécessité et de la proportionnalité des mesures adoptées.