EDPB — Recherche scientifique : dernière chance pour commenter

Le Comité européen de la protection des données (CEPD/EDPB) clôt ce mercredi 25 juin 2026 (23:59 CEST) sa consultation sur les « Guidelines 1/2026 on processing of personal data for scientific research purposes ». Le projet apporte des précisions attendues sur la base légale, le « broad consent » et les sauvegardes de l’article 89 du RGPD, avec un impact direct pour les acteurs luxembourgeois.

Les faits

Adoptées en version pour consultation publique le 15 avril 2026, les lignes directrices explicitent la présomption de compatibilité pour les traitements ultérieurs à des fins de recherche (art. 5(1)(b)), l’usage possible d’un consentement large et les mesures attendues au titre de l’art. 89(1). Les organisations peuvent déposer une contribution via le formulaire officiel du CEPD jusqu’à l’échéance de ce soir.

Cadre légal et fondement

• Article 5(1)(b) RGPD — présomption de compatibilité pour la recherche, sous réserve des sauvegardes de l’art. 89(1) et d’une base légale valable pour le traitement ultérieur.
• Articles 6(1)(e) et 6(1)(f) — mission d’intérêt public (y compris privée si prévue par la loi) ou intérêt légitime, avec un poids renforcé lorsque la recherche est « authentiquement scientifique ».
• Article 9 — balisage des dérogations pour données sensibles (consentement explicite, données manifestement publiques, régimes Union/nationaux).
• Articles 12–14 — transparence continue, y compris en l’absence de contact direct; précisions sur les exceptions de l’art. 14(5).
• Article 89(1) — sauvegardes appropriées: anonymisation/pseudonymisation, contrôles d’accès, environnements sécurisés, supervision éthique, protection des résultats.

Pour approfondir les articles clés, consultez notre ressource dédiée sur les obligations et bases légales du RGPD.

Ce que cela change pour les entreprises luxembourgeoises

• Qui est exposé — établissements de santé, biotechs/pharma, universités et centres de recherche, assureurs/banques analytiques, entreprises IT en R&D (y compris projets IA conformes au futur AI Act).
• Risque — une qualification trop large de « recherche scientifique » peut invalider la présomption de compatibilité, fragiliser la base légale et exposer à des manquements de transparence et d’exercice des droits.
• Délai — la fenêtre de contribution se ferme le 25 juin 2026 (23:59 CEST); anticipez une mise en conformité accélérée après adoption.

Dans le contexte local, vérifiez votre conformité CNPD au Luxembourg pour les traitements de recherche, en particulier lors de réutilisations de données et de partages inter‑institutions.

Actions concrètes à entreprendre cette semaine

• Cartographier les projets de recherche et identifier, pour chacun, la base légale (art. 6), l’éventuelle dérogation art. 9(2) et les sauvegardes art. 89(1); confirmer l’applicabilité de la présomption art. 5(1)(b).
• Finaliser et soumettre vos commentaires au CEPD: précisions attendues sur le « broad consent », la réutilisation de données issues des soins, les responsabilités conjointes public‑privé et la transparence continue (arts. 12–14).
• Lancer un plan de mise à niveau « sauvegardes de recherche »: politique d’anonymisation/pseudonymisation, contrôles d’accès granulaires, environnement sécurisé, comité éthique, AIPD pour jeux de données sensibles.

Sources

• EDPB — Public consultation: Guidelines 1/2026 on processing of personal data for scientific research purposes
• EDPB — Guidelines 1/2026, version pour consultation publique

Article generé par la veille réglementaire Luxgap. Pour un accompagnement personnalisé sur ce sujet, contactez-nous.