Collecte et usage des données pour la recherche en Sciences Humaines et Sociales : Quels enjeux éthiques et juridiques ?

Avec la numérisation croissante de nos activités, la question de la protection des données est devenue un enjeu majeur tant sur le plan juridique qu’éthique. Pour les chercheurs et chercheuses, la gestion des données collectées dans le cadre de leurs recherches s’avère de plus en plus complexe. Comment collecter, traiter et faire circuler les données tout en respectant les cadres légaux et éthiques ?

Comment définir la donnée numérique ?

Pour pouvoir répondre à cette question, il convient dans un premier temps de définir ce qu’est une donnée numérique. Elle désigne toute information qui peut être traitée, stockée et diffusée numériquement. Elle peut prendre différentes formes :

• Photos ;
• Enregistrements audio ;
• Enregistrement vidéo ;
• Textes ;
• Etc .

Sa particularité repose sur son caractère immatériel qui facilite sa circulation. Avec l’essor du numérique, les données peuvent être conservées sans perte de plus en plus longtemps et en plus grand volume, notamment via les clouds qui en facilite l’accès.

Cela entraîne de nombreux changements juridiques, notamment en ce qui concerne la question de la protection des données personnelles. Comment garantir à chacun le contrôle de ses données dès lors que leur circulation est encouragée et facilitée ?

L’enjeu pour les chercheuses et chercheurs est de savoir comment protéger les données qu’ils collectent. Cette protection repose non seulement sur des considérations juridiques, mais aussi sur des principes éthiques. Il est donc essentiel de distinguer l’éthique du droit pour comprendre leur articulation dans la gestion des données.

Éthique et droit : quelles différences ?

Contrairement au droit qui a un caractère normatif, l’éthique relève d’une action délibérative. Son rôle est d’instaurer une réflexion et un dialogue sur différents usages sociétaux pour pouvoir créer un espace de confiance, qui bénéficie à la société et à ses membres. Elle mobilise pour cela un certain nombre de valeurs.

Dans le milieu de la recherche, l’éthique se repose sur des valeurs cardinales :

• Autonomie
• Bienfaisance
• Non malfaisance
• Justice

Et sur des valeurs numériques :

• Transparence
• Loyauté
• Traçabilité
• Qualité

Le droit quant à lui est une norme sociale qui structure notre société. Il définit un ensemble de règles à respecter pour régir les comportements entre les individus.

Pour pouvoir appliquer le droit il faut commencer par qualifier l’objet, dans notre cas, la donnée, puis lui attribuer le régime juridique approprié.

Ces régimes juridiques sont définis par divers règlements qui visent à harmoniser la gestion des données et à garantir leur protection.

En France, il existe un cadre juridique historique de protection des données :

• La Loi Informatique et Libertés (1978) : elle est en conformité avec le RGPD et a été révisée de nombreuses fois depuis son application.

Malgré leurs différences, le droit et l’éthique répondent à des objectifs communs :

• Ils permettent d’assurer l’autonomie et le droit à l’autonomie informationnelle : toute personne doit être en mesure de maîtriser l’usage qui est fait de ses données. Elle doit être correctement informée à ce propos et pouvoir y consentir ou non ;
• Ils assurent la confidentialité par les collecteurs dans l’usage qui est fait des données ;
• Ils permettent d’éviter tout mésusage des données, à des fins de discriminations ou de stigmatisation par exemple.

Les principes cardinaux de la collecte et de l’usage des données en recherche

Dans le milieu de la recherche, il incombe aux chercheuses et chercheurs de qualifier eux-mêmes les données qu’ils collectent et leurs usages, pour pouvoir appliquer le droit et respecter l’éthique.

La collecte et de l’usage des données en recherche doit répondre à 3 principes cardinaux.

La vie privée

Le droit au respect de la vie privé est un droit fondamental. Il est inscrit au sein de la Charte des droits fondamentaux de l’Union européenne instaurée en 2000. L’article 7 stipule notamment que :

Elle instaure également, avec l’article 8, la notion de protection des données à caractère personnel comme étant un droit fondamental :

Au niveau national, l’article 9 du code civil indique que

Cette notion de vie privée couvre 2 dimensions :

• Une dimension privative : le droit au secret de l’intimité des informations privées, leur protection contre l’usage par des tiers et contre de potentielles discriminations ;
• Une dimension divulgative : le droit de communiquer des informations relatives à sa vie privée seulement si elles concernent ses propres données personnelles. Il est impossible pour une personne de diffuser les informations d’un membre de son entourage par exemple.

En France le contrôle de la protection des données est exercé par la CNIL (Commission Nationale Informatique et Liberté).

Le droit à la protection des données personnelles et de santé

Il existe différentes manières de qualifier les données :

Les données personnelles

Une donnée personnelle est définie comme étant :

Les données personnelles sensibles

Il s’agit de données qui sont potentiellement discriminantes ou stigmatisantes et qui pourraient être délétères en cas de mauvais usages :

Il existe une interdiction de principe de collecte et d’usage de la donnée sensible. Cependant, de nombreuses exceptions permettent de déroger à cette règle :

• Le recueil du consentement (art. 9 du RGPD) par signature d’un document, acceptation de cookies etc. ;
• La base juridique de la recherche : elle permet d’utiliser les données sans le consentement à condition que les personnes restent informées de l’usage qui est fait de leurs données et qu’elles puissent s’y opposer par la suite.

Les données pseudonymisées

Elles peuvent être définies comme étant des données qui permettent, grâce à une table de concordance, de remonter à l’identité d’une personne.

Les données anonymes

Ces données ne sont pas considérées comme étant personnelles, mais elles restent importantes à connaître. Elles sont jugées anonymes si elles répondent à l’évaluation de trois critères :

• L’individualisation : il ne doit pas être possible d’isoler un individu dans le jeu de données ;
• La corrélation : il ne doit pas être possible de relier entre eux des ensembles de données distincts concernant un même individu ;
• L’inférence : il ne doit pas être possible de déduire, de façon quasi certaine, de nouvelles informations sur un individu.

Les trois premiers types de données tombent sous l’application du RGPD tandis que les données anonymes tombent sur le coup des deux autres règlements européens.

Le traitement de la donnée

Le traitement de la donnée correspond à toute opération (ou ensemble d’opérations) effectuée, ou non, à l’aide de procédés automatisés et appliquée à des données à caractère personnel.

Pour être autorisé, ce traitement doit :

• être licite, légal et transparent ;
• reposer sur une base légale telle que définie par le RGPD. Il peut s’agir :
  • du recueil du consentement ;
  • d’une obligation légale ;
  • d’une mission d’intérêt public ;

Si les chercheurs et chercheuses décident d’utiliser la base légale du consentement dans le contexte de la recherche, il est impératif que ce dernier soit libre et spécifique. Il existe cependant une exception à cette règle dans le cadre d’une réutilisation de la donnée. Le RGPD peut admettre avec un certain nombre de critères, que le consentement soit plus large et ne soit pas donné systématiquement que pour une seule étude.

Les droits et les obligations

Le chercheur et la chercheuse responsable du traitement de la donnée vont ainsi devoir :

• Choisir la base légale du traitement ;
• Justifier l’usage des données sensibles ;
• Garantir le respect de la confidentialité ;
• Garantir le respect de l’autonomie ;
• Mettre en œuvre les garanties techniques de sécurité pour assurer la confidentialité.

Parallèlement à ça, tout individu possède un ensemble de droits relatifs à ses informations tels qu’indiqué dans le RGPD et la Loi informatique et liberté :

• Droit à l’information ;
• Droit au consentement ou à l’autorisation des représentants légaux quand ce consentement est requis ;
• Le droit de retrait ;
• Droit d’opposition ;
• Droit d’accès, de rectification, d’effacement de la donnée réuni sous le nom de droit à l’oubli ;
• Droit de portabilité des données.

4 enjeux du droit et de l’éthique

Au final, on peut relever quatre grands enjeux qui englobent la gestion des données personnelles dans le milieu de la recherche.

Le premier concerne le consentement. Sommes-nous en capacité de garantir que l’autonomie des personnes est complètement respectée si on n’utilise pas le consentement et qu’on utilise une autre base légale (voir ci-dessus) ?

Le second se rapporte au partage des données. Il existe une injonction au partage des données, notamment de la part des financeurs de la recherche. Comment concilier cette injonction avec la protection des données ?

Le troisième enjeu est amplifié par l’utilisation de l’intelligence artificielle pour traiter les données : comment s’assurer de l’équité et du bon usage de ces données ?

Enfin, le dernier enjeu se rapporte à la propriété des données : comment articuler la question de la propriété, alors même que nous n’en sommes pas les propriétaires mais que d’autres peuvent l’être ?

---

---