Le RGPD (2) et la recherche qualitative collective en SHS, sont-ils compatibles?

Après avoir présenté des injonctions morales en apparence contradictoires en ce qu’elles exigent de la part des chercheurs qu’ils conforment leurs projets scientifiques au Règlement Général de Protection des Données (RGPD) dans un contexte actuel de la recherche promouvant la transparence de l’action publique par la science ouverte, je propose à présent un début de retour d’expérience. Deuxième d’une série en trois volets, ce billet a pour vocation de synthétiser les obstacles que des chercheurs en SHS peuvent rencontrer face au RGPD et les interrogations que ce règlement a soulevées pour les membres du méta-projet « Plateforme Collaborative pour les Enjeux Sociétaux » (PLACES). Les réponses et aménagements apportés lors de la demande d’inscription du registre des traitements pour le projet PLACES feront l’objet du troisième billet.

Mise conformité du projet au RGPD, un coût

La première contrainte, celle du coût, a été à mon sens à la source de nos principales difficultés. Compte tenu de la spécificité des informations légales qui doivent être reportées dans le registre des traitements, rendre un projet conforme au RGPD nécessite en effet des connaissances et des compétences que seuls détiennent des juristes spécialisés ayant, qui plus est, une bonne compréhension de l’organigramme interne à l’institution qui les sollicite. Or, la plupart des organismes de recherche ne peuvent d’un point de vue financier engager un cabinet privé de juristes et doivent pour l’heure compter sur leur service juridique interne, encore peu familier du RGPD récemment entré en vigueur et débordé par les centaines de projets qui sont développés chaque année.

Dans le cas de recherches menées en sciences humaines et sociales (SHS), si renseigner le registre des traitements ne peut se faire avec l’aide de juristes formés à ces dispositions légales, nous avons dû nous rendre à l’évidence que ni les chercheurs, ni les institutions publiques qui les emploient ne sont en capacité à ce jour de produire, seuls, les informations conformes aux attentes imposées par le RGPD c’est-à-dire de manière complète, éclairée et dans le langage adéquat.

En outre, le RGPD concerne aussi le transfert, le stockage, l’archivage et la réutilisation des données personnelles ce qui signifie pour les porteurs de projet (dont le financement dépend souvent de partenariats interindividuels, interinstitutionnels nationaux et internationaux) que le registre des traitements intègre l’intention, du moins la possibilité, d’une mise en partage des données entre chercheurs. Dès lors, les personnes en charge de déposer la demande de conformité au RGPD doivent être particulièrement bien informées des conditions de traitements des fichiers numériques contenant parfois des informations à caractère personnel, voire sensible, et choisir en bonne connaissance l’abonnement, de préférence gratuit, à un dispositif technologique de transfert et de stockage situé en France ou en Europe.

Le recours à des services et des personnes, disponibles, détenant des compétences spécifiques et des savoirs spécialisés constitue donc un facteur de coûts inhérents à la première phase de demande d’inscription du registre des traitements. Il dépend par conséquent aussi des agendas personnels, administratifs et scientifiques lesquels ne correspondent pas toujours entre eux entraînant différentes temporalités avec lesquelles nous avons dû nous accorder au cours de cette phase préparatoire au travail de terrain.

Recherche et administration de la recherche, des temporalités incompatibles

Cette contrainte économique forte (a fortiori si l’on tient compte de l’évolution actuelle de la politique de la recherche) en fait émerger une seconde, celle de la durée, longue, du processus d’enregistrement. La conformité d’une recherche au RGPD nécessite en effet d’être validée avant le début de l’enquête de terrain, et donc avant le début du recueil des données personnelles. De fait, la demande d’inscription du registre des traitements auprès du Délégué à la Protection des Données (DPO) doit être émise le plus tôt possible, idéalement, d’après moi, au même moment que la demande de financement de la recherche soit, le plus souvent, plus d’un an avant la mise en œuvre effective du projet. Cela, de façon à pouvoir estimer le plus précisément possible le temps et le coût essentiels pour réunir les conditions pratiques de faisabilité, produire un calendrier et un budget prévisionnel du projet que le(s) chercheur(s) envisage(nt) de mener. Cette temporalité commune aux deux demandes offre en effet la possibilité de commencer l’enquête de terrain dès le versement du financement des fonds, s’ils sont accordés.

Si cela n’est pas possible, intégrer dans le calendrier de la demande de financement le temps et le coût dédié à la mise en conformité au RGPD pourrait s’avérer fort utile, et du reste, plus conforme à la réalité.

Concernant le transfert, le stockage, l’archivage et la réutilisation des données personnelles, le/la porteur.e du projet et/ou responsable des traitements préfèrera exclure, dans la mesure du possible, Wetransfer ou Google Drive par exemple. En effet, comme le laisse comprendre le Guide pour la recherche « Les sciences humaines et sociales et la protection des données à caractère personnel dans le contexte de la science ouverte » (2019), les démarches pour formuler la demande d’inscription du registre des traitements semblent devenir plus complexes et plus longues lorsque ce dispositif relève d’une législation hors zone européenne étant donné qu’elles nécessitent un accompagnement renforcé de la part du DPO, la prise en compte d’une protection des données personnelles différentes selon les pays, un encadrement pour le transfert des données impliquant différents outils juridiques (Cf. 1.3. « Le périmètre de la réglementation : la territorialité », p. 14).

Temporalité de l’administration et temporalité du projet questionnent donc la possibilité de concilier l’impératif réglementaire avec la réalité de la conduite de projets courts (et peu financés). Cela explique peut-être du moins la réticence perceptible du monde de la recherche pour ce qui est d’accepter de se conformer au cadre du RGPD qui, dans certains cas, ne semble pas compatible avec la façon dont se fait la recherche aujourd’hui. Mais, qu’est-ce qui est inadapté : le processus d’encadrement du RGPD ou la manière de faire de la recherche ? Question fondamentale qui n’est pas le sujet de ce billet au demeurant.

Validation de la demande d’enregistrement, un projet figé en attente

Dans le Guide pour la recherche rédigé par l’Institut des Sciences Humaines et Sociales du CNRS (InSHS) que j’ai mentionné plus haut, il est précisé que le/la responsable des traitements a pour obligation de tenir à jour le registre et d’informer des mises à jour le DPO qui les transmet par la suite au directeur de l’unité du responsable. Une fois validé, le registre des traitements peut donc évoluer (Cf. 1.2. « Les acteurs et leur rôle », p. 12).

Mais, troisième contrainte, qu’en est-il lorsque le projet, financé, est prêt à être mis en œuvre mais que le DPO ne l’a pas encore validé ? Et dans ce cas, comment envisager la possibilité d’entreprendre des projets à court terme quand le temps de préparation à l’enquête dépasse le temps effectif de la recherche ?

Il semble que l’attente soit la seule position à adopter dans la mesure où l’encadrement réglementaire du traitement des données doit être garanti par le DPO, avant que le(s) chercheur(s) aille(nt) sur le terrain.

Cela signifie que, pour éviter le retard et le coût en termes humains que cette procédure entraînerait, dans tous les cas, que ce soit pour la demande de financement ou la demande d’inscription du registre des traitements auprès du DPO, le/la porteur.e du projet et/ou le/la responsable des traitements doi(ven)t être en mesure de constituer une équipe dont les nom(s), prénom(s), affiliation(s) institutionnelle(s) de chacun des participants sont mentionnés, de ne recruter que des participant.e.s assuré.e.s d’être disponibles du début à la fin de l’enquête de terrain, d’anticiper non seulement le terrain de recherche et sa durée qu’il/elle ou l’équipe de recherche veut explorer, mais aussi la méthodologie du recueil des données qu’il/elle et chacun des membres de l’équipe ont l’intention d’appliquer, ou encore le type de données qu’il/elle et chacun des membres de l’équipe souhaitent analyser ainsi que les finalités scientifiques de l’enquête qu’il/elle a pour objectif d’atteindre, l’usage collectif et éventuellement individuel des données qui leur est réservé et le temps de leur conservation après l’enquête. Bien qu’une certaine indétermination des finalités soit acceptée au regard du considérant 33 du RGPD, mieux vaut prévoir tout de même les données « surprises » susceptibles d’être recueillies et les mentionner dans le registre.

Ainsi, et l’on revient à la contrainte temporelle, plus les informations à reporter sur le registre sont précises et s’avèrent, dans la réalité du terrain, identiques à ce qui est annoncé, moins la démarche d’inscription auprès du DPO sera longue et fastidieuse. Disposer d’informations qui doivent rester valables toute la durée du projet (personnels recrutés, institutions impliquées, type de données recueillies, traitements envisagés, etc.) constitue une gageure qui n’est cependant pas insurmontable d’autant plus que la possibilité d’intégrer ou de rectifier des informations au cours de l’enquête de terrain est laissée aux chercheurs, porteurs d’un projet.

Projet collaboratif, une disponibilité des données en tension avec le RGPD

Il apparaît que le RGPD répond aux attentes de la politique actuelle de la recherche en prévoyant et réglementant l’engagement des chercheurs dans des initiatives collectives, dans des collaborations scientifiques européennes et internationales, impliquant une mise en partage de leurs données d’enquête. Mais, si accorder un accès aux données de la recherche et travailler sur un même corpus entre chercheurs est une procédure à l’œuvre de longue date, ces derniers, notamment en SHS, sont beaucoup plus réticents à autoriser une diffusion publique et une réutilisation libre de leur données dans le cadre d’une contribution à la science ouverte dans son volet « open data ».

« Lorsque les données à caractère personnel relèvent de la vie privée des personnes concernées, elles ne peuvent être communiquées à des tiers et ne seront donc pas non plus publiables »

Article L. 312-1-2 alinéa 2 du CRPA, Articles 4 et 7 du RGPD, conseil CADA 20180650 dans Guide pratique de la publication en ligne et de la réutilisation des données publiques (“open data”)

Selon ce guide (présentation du cadre juridique de l’ouverture des données élaboré par la CADA, la CNIL et Etalab), et même si des clauses dérogatoires sont prévues, les droits et valeurs portés par le RGPD semblent ainsi primer sur l’injonction de transparence de l’action publique : le chercheur doit faire le choix de préserver l’anonymat de ses enquêté.e.s. Sous-jacente à cette injonction morale désormais règlementée, la relation de confiance entre enquêteur et enquêté.e se voit ainsi privilégiée. Et, pour peu que le chercheur accepte de faire le deuil d’une contribution à la science ouverte et renonce donc à ce mode de plus en plus valorisé de reconnaissance académique, ce choix semblera « aisé ».

Participer à la science ouverte n’impliquait pas pour nous de rendre publiques, selon les principes FAIR, les données brutes que nous allions recueillir sur les binômes. L’objectif du méta-projet PLACES était néanmoins de comprendre à quelles conditions, suivant quels droits d’accès, en surmontant quels écueils un partage de ces données est possible dans un contexte numérique, notamment lorsqu’on établit des collaborations avec des partenaires non académiques.

Restait dès lors une dernière et quatrième contrainte pour nous, celle de l’anonymisation des données pour leur exploitation qui « se comprend comme l’étape de l’analyse des données, de leur synthèse, du travail sur les données contribuant à éclairer la problématique de recherche » (Guide pour la recherche de l’INSHS, p. 25).

Cette contrainte a soulevé deux problèmes majeurs, liés entre eux à mon sens, et qui interrogent la manière de faire de la recherche qualitative au sein d’un projet court et collectif.

Le premier problème relevant du cadre légal imposé par le RGPD a été celui de la mise en partage, du stockage et de l’archivage des données sur une plateforme numérique propre à autoriser un traitement collectif des données brutes.

Le RGPD protège les enquêté.e.s en autorisant l’exploitation des données identifiantes que l’enquêteur est tenu d’anonymiser pour l’étape de publication et/ou à la fin du projet de recherche, des données déjà anonymisées et des données pseudonymisées non identifiantes.

Cela dit, la recherche qualitative a pour raison d’être d’étudier des objets en faisant l’analyse fine de processus qu’une approche quantitative ne permet pas toujours de rendre visibles, en se focalisant sur ce qui pourrait être considéré comme des détails, des singularités mais qui participe de fait à la cumulation de savoirs, à la définition de concepts, à la théorisation de phénomènes. Faire de la recherche qualitative en SHS, implique de prendre l’humain comme objet dans sa dimension individuelle, sociale, culturelle, historique, politique, géographique, etc. Pour de telles analyses, on utilise nécessairement des données personnelles, souvent sensibles qu’il convient de communiquer aux collègues dans le cadre d’un projet collaboratif impliquant une exploitation collective des données de la recherche.

À cette fin, le RGPD commande d’indiquer, dans le formulaire de consentement et dans le registre des traitements, les personnes détenant un droit d’accès aux données brutes non anonymisées et autorisées à exploiter ces données à des fins qui doivent être explicitées (il faut alors préciser les nom, prénom, affiliation et statut de ces personnes). Pour peu que le certificat d’enregistrement du registre des traitements soit délivré en temps et en heure, une mise en partage et une exploitation collective des données est donc possible. Mais, sans autorisation éditée par le DPO, dans l’attente d’une régularisation de cette procédure, comment participer à un projet regroupant plusieurs acteurs de la recherche, lorsque l’on mène une enquête qualitative, de courte durée, et réunissant un faible nombre d’enquêté.e.s les rendant inévitablement identifiables ?

Confiance entre enquêteur et enquêté.e.s d’une part et collaboration entre membres du projet de recherche d’autre part sont alors mises en concurrence. Pour réduire les difficultés liées à ce qui pourrait être vécu comme un paradoxe pour l’enquêteur, il s’agit, pour être conforme au RGPD, de rendre concomitants et compatibles deux contrats respectivement signés par chacun des partenaires de l’enquêteur ; cette disposition étant censée jouer un rôle essentiel dans la mise en œuvre d’un traitement des données, éthique envers les enquêté.e.s, collectif entre les collaborateurs.

Toujours lié à l’anonymisation, le second problème relevait des dispositions contractuelles liées au statut d’agent public qui, recruté pour l’accomplissement d’une mission de service public, comme c’est le cas des chargé.e.s d’études, cède de manière non négociable à son employeur le droit d’exploitation des œuvres qu’il a produites. Cela signifie que si l’établissement dispose du droit d’exploitation des œuvres, ceux, non titulaires, qui ont procédé au traitement des données dont ils sont les « auteurs », ne sont dès lors pas en mesure de garantir personnellement la protection les informations personnelles parfois sensibles des personnes qui se sont laissées observées par les chercheurs, leur ont accordée un entretien, ouvert les portes de leur intimité.

Cette garantie est en effet laissée à la discrétion de l’établissement public dans la mesure où le droit de divulgation est limité pour les agents publics par l’article L121-7-1 du Code de la Propriété Intellectuelle : « Le droit de divulgation reconnu à l’agent mentionné au troisième alinéa de l’article L. 111-1, qui a créé une œuvre de l’esprit dans l’exercice de ses fonctions ou d’après les instructions reçues, s’exerce dans le respect des règles auxquelles il est soumis en sa qualité d’agent et de celles qui régissent l’organisation, le fonctionnement et l’activité de la personne publique qui l’emploie. ».

Par « œuvre », il faut comprendre, comme moi trop tard, les données traitées intégrant les données brutes… non anonymisées donc.

Émerge alors une question centrale pour la recherche qualitative : comment un enquêteur peut-il créer dans ces conditions une relation de confiance avec ses interlocuteurs, dans la mesure où les données qu’il recueille ne lui appartiennent pas mais sont la propriété de son employeur et qu’il ne peut donc pas assurer la protection de leur anonymat ? Cette question devient encore plus prégnante lorsque, les enquêté.e.s sont d’autant plus identifiables qu’ils sont peu nombreux et que, même pseudonymisés (ce qui n’est contractuellement pas autorisé par l’employeur), une individualisation, une corrélation et/ou une inférence sont possibles.

Force est de constater que, dans ces circonstances, l’institution de recherche possède seule les droits sur les données, contrainte qui se surajoute à celle imposée par le RGPD. Autrement dit, le cadre juridique du RGPD cumulé aux dispositions contractuelles d’emploi de certains chercheurs présente un réel problème éthique et pratique dont on peut raisonnablement penser qu’il a des effets directs non seulement sur la collaboration entre les membres d’un projet collaboratif mais aussi et, en tant que chercheur de terrain, sur la relation avec les enquêtés. Entre le RGPD qui, protégeant les droits des enquêté.e.s, incite à se priver d’utiliser les outils numériques pour collecter et partager les données recueillies et l’institution de recherche qui, retirant aux auteurs le droit d’exploiter les données offre la tentation de ne pas traiter des données susceptibles de rendre les enquêtés identifiables, on pourrait en venir à douter de la possibilité même de faire de la recherche qualitative collective aujourd’hui.

***

En conclusion liminaire, je dirais qu’en inscrivant pour objectif éthique de protéger les personnes dans leur vie privée, le RGPD impose globalement un certain nombre de contraintes pratiques à ceux qui doivent déposer un registre des traitements pour leur recherche auprès du DPO. Ressources humaines diversifiées et qualifiées, temporalités administratives et scientifiques ajustées et compétence d’anticipation pour renseigner le registre des traitements sont en résumé des éléments essentiels pour la mise en conformité au RGPD d’un projet tel que PLACES. Cependant, au-delà du fait d’alourdir des démarches préparatoires à l’enquête déjà pesantes auparavant pour les acteurs de la recherche, la récente mise en application du RGPD ne facilite pas non plus la conduite de leurs enquêtes, sur le terrain et auprès des personnes enquêtées. La protection des droits des enquêtés (RGPD) semble s’opposer directement à la revendication des institutions de recherche de disposer d’un droit élargi d’exploitation sur ces données (via les contrats de travail/de recherche). Mais dans cette articulation entre le droit des enquêtés et le droit des institutions de recherche − qui se situe à l’échelle de l’espace public −, on observe que la relation de confiance entre enquêté et enquêteur − qui se joue à l’échelle interindividuelle – n’a plus de place. Cette relation d’enquête en devient non seulement formellement contractualisée (ce qui déjà est un problème en soi), mais elle s’établit de surcroît de telle manière que les chercheurs en SHS, et plus particulièrement pour les recherches qualitatives, sont privés de travailler sur les données personnelles, c’est-à-dire celles qui importent vraiment.

 

Crédit photographique : « GDPR », par Trending Topics 2019, le 29 mars 2019 (CC-by 2.0).

---

---