Le RGPD (1) et le projet de création d’une plateforme collaborative

Premier d’une série en trois volets, ce billet a pour objectif de proposer une brève présentation d’une part du Règlement Général de Protection des Données (RGPD) que les chercheurs sont tenus de respecter pour mener un travail de terrain encadré au plan éthique, d’autre part des enjeux de la politique actuelle menée par le Ministère de l’Enseignement Supérieur et de la Recherche qui encourage le développement d’une science ouverte. Ce rapide état des lieux « théorique » permettra de mettre en évidence les injonctions, morales, contradictoires auxquelles font face les chercheurs en sciences humaines et sociales.

Le RGPD, cadre légal pour protéger les données personnelles

Adopté par le Parlement Européen le 27 avril 2016 et en vigueur depuis le 25 mai 2018, le Règlement Général de Protection des Données mieux connu sous l’acronyme RGPD (GDPR en anglais) a pour vocation de défendre dans une tradition « humaniste » des intérêts déjà revendiqués en 1978 dans la Loi Informatique et Liberté laquelle énonçait dans son article premier que « L’informatique doit être au service de chaque citoyen. Son développement doit s’opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques. » (Art. 1. Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés).

Plus précisément, le RGPD constitue un cadre légal qui réglemente la production, l’exploitation, le transfert, le stockage, l’archivage et la réutilisation des données à caractère personnel, c’est-à-dire le traitement d’informations susceptibles de rendre identifiable une personne directement (par le nom, le prénom, l’adresse, l’image, la voix, etc.) ou indirectement (comme un numéro de téléphone ou le croisement d’informations) (Article 4 du RGPD). Ces données personnelles représentent aussi des données dites « sensibles » lorsqu’elles sont relatives à l’origine « raciale » ou ethnique, aux opinions politiques, aux convictions philosophiques ou religieuses, à l’appartenance syndicale, à l’orientation sexuelle, à la santé ou encore quand ces données sont d’ordre biométrique ou génétique.

Toute institution publique ou entreprise privée qui recueille et/ou traite des données à caractère personnel est soumise au RGPD. Aussi, dans le cadre d’un projet scientifique relevant d’une mission de service publique, une demande d’enregistrement de la recherche doit-elle être déposée, avant le début de l’enquête de terrain, auprès du Délégué à la Protection des Données (DPO), responsable des registres des traitements d’un organisme. Désigné DPO après la validation d’une formation labellisée par la Commission Nationale Informatique et Liberté (CNIL), celui-ci conseille et accompagne les organismes, comme le CNRS par exemple, dans leur mise en conformité au RGPD. Lorsqu’il y a recueil et/ou traitement de données sensibles, une analyse d’impact relative à la protection des données (AIPD) est aussi requise avant que le registre des traitements de la recherche envisagée ne soit référencé, attestant par là-même que les procédures d’enquête prévues dans le projet remplissent bien les conditions du RGPD.

Récapitulatif des informations nécessaires au responsable de traitement pour remplir le registre des activités de traitement

Plus précisément, lorsque la recherche contient des données personnelles, comme c’est généralement le cas en sciences humaines et sociales (SHS), le responsable du projet scientifique doit pouvoir garantir aux enquêté.e.s que l’analyse sera conduite dans le respect des principes de la protection des données édictée dans le RGPD. Ainsi :

  1. la licéité (ou le fondement) du traitement doit être attestée par consentement des enquêté.e.s pour le traitement de leur données personnelles ou bien parce que le traitement repose sur une base légale. La licéité peut aussi être motivée par l’exécution d’un contrat, ou d’une mission d’intérêt public, ou même encore par un intérêt légitime pour le responsable du traitement. Les activités de traitement des données personnelles peuvent enfin être aussi justifiées par la nécessaire sauvegarde des intérêts vitaux des personnes concernées (RGPD – Chap II – Art. 5a)
  2. la finalité (ou l’objectif) du traitement doit être liée aux missions de l’établissement ou de l’entité qui accueille le projet de recherche (RGPD – Chap II – Art. 5b)
  3. la pertinence et la proportionnalité des données doivent être corrélées à la finalité du traitement (RGPD – Chap II – Art. 5c)
  4. la sécurisation et la protection des données doivent être assurées par le responsable du traitement tenu d’empêcher un détournement, une réutilisation des données à des fins non prévues ou qui mettrait en danger l’intégrité et la confidentialité des données (RGPD –
    Chap II – Art. 5d)
  5. la conservation limitée des données durant une période prédéfinie doit être fixée en fonction de la finalité du traitement. À l’issue du traitement, les données sont soit archivées, soit, dans le cas d’une réutilisation envisagée ultérieurement, anonymisées ou conservées (RGPD –
    Chap II – Art. 5e)
  6. la transparence des informations sur l’utilisation des données doit être garantie auprès des enquêté.e.s qui sont informé.e.s du nom et des coordonnées du responsable du traitement, du DPO ainsi que de la durée de conservation des données (RGPD – Chap II – Art. 5f)

Le RGPD, un cadre légal en tension avec la politique actuelle d’une science ouverte

Tout en étant tenus de respecter le RGPD, les chercheurs sont par ailleurs fortement encouragés par la politique du Ministère de l’Enseignement Supérieur et de la Recherche à contribuer activement à la mise en œuvre d’un « Plan national pour la science ouverte ». Guidé par le souci de transparence de l’action publique, ce plan consiste à :

« [g]énéraliser l’accès à la science ouverte : publier obligatoirement en accès ouvert pour tout projet financé sur fonds publics ; simplifier le dépôt des publications par les chercheurs ;

[s]tructurer et ouvrir les données de la recherche : développer la diffusion ouverte des données issues de la recherche financée sur fonds publics ; créer les conditions et promouvoir l’ouverture des données de la recherche ;

[s]’engager dans une dynamique durable, européenne et internationale : développer les compétences en matière de science ouverte ; inciter les opérateurs de recherche à se doter d’une politique de science ouverte ; contribuer à la structuration européenne au sein du European Open Science Cloud. »

Extrait du Guide pour la Recherche publié par l’InSHS

Ce plan répond aussi à l’ambition européenne de l’Amsterdam Call for Action on Open Science consistant à donner systématiquement, à partir de 2020, un accès libre et total aux résultats de la recherche ainsi qu’au partage et à la réutilisation des données de la recherche financée par des fonds publics non seulement aux acteurs de la recherche mais aussi aux citoyens et aux entreprises.

Un des axes du « Plan national pour la science ouverte » s’appuie sur les principes FAIR où la donnée est « Facile à trouver, Accessible, Interopérable et Réutilisable » (en anglais : Findable, Accessible, Interoperable, Reusable), principes établis en 2014 à Leiden (NL) par un collectif de chercheurs (relevant principalement des sciences du vivant) et d’informaticiens qui a rassemblé et synthétisé les bonnes pratiques pour une science ouverte (coordonné par Operas, un ensemble d’acteurs travaille aussi sur ce sujet du point de vue des SHS ; il s’agit du groupe « CO-OPERAS » au sein de l’initiative GO FAIR). Ces principes s’appuient sur une disponibilité des (méta)données, leur accès, leur réutilisation et leur redistribution ainsi que sur une participation universelle.

Dans l’« idéal » des principes FAIR, les métadonnées et les données doivent pouvoir ainsi être faciles à retrouver par les humains et les machines (findable). Pour cela un identifiant unique et pérenne (PID) doit être attribué à chaque donnée, une description riche et complète des métadonnées (intégrant le contexte de production, la qualité et les caractéristiques des données) doit être établie. Le PID d’une donnée distincte (même supprimée) doit pouvoir être associé aux métadonnées.

Les utilisateurs doivent aussi pouvoir accéder facilement aux ressources (accessible). De préférence téléchargeables sur internet, les données doivent pouvoir être retrouvées via un moteur de recherche interne ou externe, une interface de programmation applicative (ou API pour Application Programming Interface). Il s’agit dans ce sens de proposer aux utilisateurs un accès aux données, après authentification si nécessaire, à partir d’un protocole standardisé ouvert, libre, universellement implémentable (de type http., ftp., etc.) et pour un coût raisonnable de reproduction. Même si les données qui leur sont associées sont supprimées, les métadonnées pérennes doivent pouvoir être accessibles grâce au PID et via un moteur de recherche ou une API.

L’interopérabilité des (méta)données disponibles dans un format pratique et sous forme modifiable consiste en leur capacité à fonctionner avec d’autres (méta)données et avec des applications ou des processus d’analyse, de stockage et de traitement existants ou futurs, sans restriction d’accès ou de mise en œuvre (interoperable). Autrement dit, un langage formel (web sémantique ou toile sémantique) doit être utilisé pour décrire et structurer les (méta)données. Dans ce sens, le vocabulaire contrôlé, l’ontologie, le thésaurus, susceptibles d’être documentés et résolus avec le PID, doivent permettre de créer et de publier des « relations qualifiées » entre les différents éléments, c’est-à-dire que la nature de la relation entre les (méta)données doit être explicitée.

Enfin, les (méta)données doivent pouvoir être réutilisables, c’est pourquoi il est indispensable que les propriétés des (méta)données soient décrites de manière détaillée et complète afin qu’elles puissent être reproduites et/ou combinées dans des contextes différents (reusable). Il faut alors préciser la finalité des données collectées (pourquoi ?), leurs particularités et/ou leurs limites, les conditions humaines (qui ?), temporelles (quand ?), matérielles (comment ?) de la collecte des données, la version des données archivées et/ou réutilisées. La réutilisation et la redistribution des données par tous, personnes ou groupes, sans distinction de leur champ d’activité doivent être possibles via une licence d’utilisation qui consent une exploitation libre de droits des (méta)données produites en utilisant des standards pertinents du domaine (grammaires HTML, XML, etc.), et dont les moyens pour leur production et leur transformation ont été détaillés. La restriction à une utilisation « non-commerciale » ou à des fins spécifiques n’est pas autorisée.

RGPD, science ouverte, une incompatibilité entre ces deux injonctions morales ?

Comme le souligne la CNIL, l’anonymisation implique nécessairement une perte de qualité des données ce qui interroge alors la possibilité d’une application à la lettre des principes du FAIR qui ne mettrait pas en péril la relation de confiance contractualisée par un formulaire de consentement (validé par le DPO) avec les enquêté.e.s, lesquel.le.s ont généralement été assuré.e.s par les enquêteurs que leur identité et leur données personnelles seraient anonymisées, du moins pseudonymisées ou encore que le recoupement d’informations permettant leur identification serait rendu impossible dans les travaux publiés. Dès lors, et à mon sens, l’objectif édicté par le CNRS pour la science ouverte recommandant que « Les données doivent être aussi ouvertes que possibles, et fermées autant que nécessaire » » impose pour les chercheurs de réfléchir à des manières adéquates d’articuler d’une part l’injonction morale de protéger les enquêté.e.s et leurs données personnelles par un traitement en conformité avec le RGPD, d’autre part l’injonction morale de contribuer à la transparence de l’action publique en participant activement à la science ouverte. Sous-jacent à cette deuxième injonction, un enjeu académique est aussi présent, celui, pour les chercheurs, de voir leurs contributions à la science ouverte diffusées au titre de la valorisation de la recherche, pré-requis si l’on s’inscrit dans la perspective d’une évolution de carrière scientifique.

Plus que les résultats, déjà publiés et donc accessibles, plus ou moins publiquement avant la mise en application du RGPD qui permet désormais un partage contrôlé des données entre les acteurs du champ académique, les données de la recherche elles-mêmes sont appelées dans le cadre de la science ouverte à être partagées avec l’ensemble de la communauté scientifique et plus largement avec des personnes ou des groupes non-spécialistes du champ ayant parfois pour objectif un usage commercial de ces données. Ceci soulève non seulement un certain nombre de problèmes pratiques mais pose également des questions d’ordre éthique et politique aux chercheurs en SHS dont les travaux reposent principalement, et de manière inévitable, sur des corpus de données intégrant des informations personnelles, parfois (et même souvent) sensibles. Notons que les questions que je pose ne sont pas nouvelles compte tenu que des réflexions à ce sujet sont engagées depuis plusieurs années notamment par les membres de laboratoires en SHS qui travaillent dans le domaine de la recherche médicale et qui se sont rapidement confrontés à la question d’une mise en conformité de leurs études au regard du RGPD (Cf. les travaux du Centre de recherche médecine, sciences, santé, santé mentale, société ou Cermes3), voire à la problématisation de cette question (Cf. le séminaire du Centre de Sociologie de l’Innovation ou CSI).

[Édit du 8 avril] À ce propos, j’ajoute également le travail de réflexion entrepris depuis près de deux ans par l’EHESS et qui a donné lieu en 2019 à la création d’un entrepôt de données appelé Didòmena lequel a pour ambition de répondre aux attentes spécifiques des chercheurs de l’institution qui l’a développé ; acteurs de la recherche en SHS relevant d’une établissement français particulier donc. La formation que j’ai suivie le 7 avril dernier concernant cette interface utilisateur basée sur le logiciel libre Hyrax permet d’envisager Didòmena comme un nouveau (un autre) moyen de partager des données au sein d’une communauté d’usagers. Offrant aux chercheurs ou à leur institution, la possibilité d’appliquer les permissions des utilisateurs et de définir le degré d’ouverture des données, Didòmena qui gère donc les droits est une interface unifiée d’accès à Fedora qui conserve les données et à SolR qui les indexe. Avec pour volonté de faciliter la scalabilité et de déjouer l’obsolescence, cette architecture à trois têtes (Fedora, SolR, Didòmena) s’annonce être une proposition très prometteuse pour les chercheurs de l’EHESS.

Face à ce qui me semble constituer deux injonctions morales contradictoires, comment mener une recherche collaborative participant du mouvement de la science ouverte, tout en protégeant la vie privée des enquêté.e.s dont les données personnelles sont nécessairement recueillies pour la bonne conduite d’une recherche en SHS ?

Crédit photographique : « Europe privacy law GDPR », par Frank Buschman, le 7 décembre 2017 (CC-by 2.0).


Vous aimerez aussi...

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.