Considérant 156
Règlement général sur la protection des données · UE 2016/679
| (156) | Le traitement des données à caractère personnel à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques devrait être soumis à des garanties appropriées pour les droits et libertés de la personne concernée, en vertu du présent règlement. Ces garanties devraient permettre la mise en place de mesures techniques et organisationnelles pour assurer, en particulier, le respect du principe de minimisation des données. Le traitement ultérieur de données à caractère personnel à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques doit être effectué lorsque que le responsable du traitement a évalué s'il est possible d'atteindre ces finalités grâce à un traitement de données qui ne permettent pas ou plus d'identifier les personnes concernées, pour autant que des garanties appropriées existent (comme par exemple la pseudonymisation des données). Les États membres devraient prévoir des garanties appropriées pour le traitement de données à caractère personnel à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques. Les États membres devraient être autorisés à prévoir, dans des conditions spécifiques et moyennant des garanties appropriées pour les personnes concernées, des dispositions particulières et des dérogations concernant les exigences en matière d'information et les droits à la rectification, à l'effacement, à l'oubli, à la limitation du traitement, à la portabilité des données et le droit d'opposition lorsque les données à caractère personnel sont traitées à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques. Les conditions et garanties en question peuvent comporter des procédures spécifiques permettant aux personnes concernées d'exercer ces droits si cela est approprié eu égard aux finalités du traitement spécifique concerné, ainsi que des mesures techniques et organisationnelles visant à réduire à un minimum le traitement des données à caractère personnel conformément aux principes de proportionnalité et de nécessité. Le traitement de données à caractère personnel à des fins scientifiques devrait également respecter d'autres dispositions législatives pertinentes, telles que celles relatives aux essais cliniques. |
Au Luxembourg, les articles 63 a 66 de la loi du 1er aout 2018 portant organisation de la CNPD et mise en oeuvre du RGPD precisent les derogations applicables au traitement a des fins archivistiques, de recherché scientifique ou historique et statistiques. Ces articles encadrent strictement la restriction des droits (information, acces, rectification, effacement, opposition) et exigent des garanties appropriees documentees, notamment la pseudonymisation lorsque la finalité peut être atteinte sans identification. La Commission nationale d'ethique pour la recherché (CNER) intervient en complement pour la recherché biomedicale.
Pratique Luxgap : avant d'invoquer la derogation luxembourgeoise, produisez l'évaluation de faisabilite d'anonymisation prevue par le considérant 156 et conservez-la dans votre registre article 30. C'est la premiere piece que la CNPD reclame lors d'un contrôle sur un projet recherché ou data lake.