La base légale de la recherche sous le RGPD : consentement, mission d’intérêt public et garanties de l’article 89

Le choix de la base légale est la première décision de protection des données dans tout projet de recherche, et celle que l’on confond le plus souvent avec l’éthique de la recherche. Ce guide explique en quoi le consentement au sens du RGPD diffère du consentement éclairé requis par l’éthique, quand les universités s’appuient sur la mission d’intérêt public (article 6, paragraphe 1, point e), comment l’article 9, paragraphe 2, point j, et l’article 89 s’appliquent aux catégories particulières de données, comment les lois nationales de huit pays européens complètent le dispositif, et ce que cela implique pour la réutilisation des données, les données des réseaux sociaux, les enregistrements et les outils d’IA. Il se termine par un tableau de décision et une liste de contrôle.

Publié le 9 octobre 2026 · Sources vérifiées le 9 octobre 2026

Également disponible en: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Español · Português

1. Pourquoi la base légale compte-t-elle autant en recherche ?

La base légale détermine les droits dont disposent les participants, ce qui se passe lorsqu’une personne se retire, la possibilité de réutiliser les données dans des projets ultérieurs et le contenu de la mention d’information. Elle doit être choisie avant le début du traitement et ne peut pas simplement être remplacée par la suite. En recherche, le choix est compliqué par les règles éthiques, qui emploient elles aussi le mot « consentement » pour désigner autre chose.

L’article 6, paragraphe 1, du RGPD énumère six bases légales ; quatre concernent la recherche : le consentement (point a), l’obligation légale (point c), la mission d’intérêt public (point e) et l’intérêt légitime (point f). Les catégories particulières de données exigent en outre une condition de l’article 9, paragraphe 2. Ces deux choix s’inscrivent dans les règles du RGPD propres à la recherche : l’article 5, paragraphe 1, point b, sur le traitement ultérieur, l’article 5, paragraphe 1, point e, sur la conservation, et l’article 89 sur les garanties et les dérogations.

Selon le considérant 159, le traitement à des fins de recherche scientifique « devrait être interprété au sens large ». Le CEPD se montre plus prudent. Dans ses lignes directrices sur le consentement, il indique que la notion « may not be stretched beyond its common meaning » (ne peut pas être étendue au-delà de son sens courant) et renvoie à une recherche menée selon les normes méthodologiques et éthiques propres au secteur concerné (lignes directrices 05/2020, point 153). Le projet de lignes directrices de 2026 sur la recherche ajoute six critères indicatifs, à commencer par une « methodical and systematic approach » (démarche méthodique et systématique) et l’« adherence to ethical standards » (respect des normes éthiques).

2. Quelle différence entre le consentement au sens du RGPD et le consentement éclairé de l’éthique ?

Le consentement éclairé de l’éthique protège la dignité et l’intégrité de la personne : nul ne doit être inclus dans une recherche sans le savoir et l’accepter. Le consentement au sens du RGPD est l’une des six bases légales du traitement de données personnelles, soumise à des conditions strictes : il doit être libre, spécifique, éclairé, univoque et pouvoir être retiré. Une étude peut exiger le premier sans retenir le second comme base légale.

Les instances européennes sont constantes sur ce point :

• Avis 3/2019 du CEPD sur les essais cliniques : le consentement éclairé prévu par le règlement sur les essais cliniques « must not be confused with the notion of consent as a legal ground » (ne doit pas être confondu avec la notion de consentement en tant que base légale) au sens du RGPD (point 15). En cas de déséquilibre manifeste des rapports de force, le consentement n’est pas libre.
• Lignes directrices 05/2020 du CEPD sur le consentement : le consentement à l’utilisation des données personnelles « should be distinguished from other consent requirements that serve as an ethical standard or procedural obligation » (doit être distingué des autres exigences de consentement qui relèvent d’une norme éthique ou d’une obligation procédurale) (point 154). Le consentement éthique « could be considered as an additional safeguard » (pourrait être considéré comme une garantie supplémentaire).
• Réponse du CEPD à la Commission sur la recherche en santé (2 février 2021) : le consentement éclairé à la participation « can and must be distinguished from explicit consent » (peut et doit être distingué du consentement explicite) en tant que base du traitement (point 5).
• Avis préliminaire du Contrôleur européen de la protection des données sur la recherche scientifique (2020) : le consentement au sens du RGPD « differs conceptually and operationally from 'informed consent' of human participants in research » (diffère, sur le plan conceptuel comme opérationnel, du « consentement éclairé » des participants humains à la recherche) (synthèse).
• Projet de lignes directrices 1/2026 du CEPD : le consentement éthique « is not required by the GDPR, but may be considered as an additional safeguard according to Article 89 GDPR » (n’est pas exigé par le RGPD, mais peut être considéré comme une garantie supplémentaire au titre de l’article 89 du RGPD) (point 53). Si les deux sont demandés en même temps, la demande relevant du RGPD doit se distinguer clairement (point 55).

Les autorités nationales disent la même chose. La CNIL recommande, lorsque le consentement RGPD est retenu, que le formulaire comporte deux cases distinctes, « l'une pour recueillir le consentement RGPD, l'autre pour participer à la recherche », et relève qu’une recherche fondée sur l’intérêt public peut tout de même nécessiter l’accord des participants pour y prendre part (CNIL). La Health Research Authority britannique le résume en une phrase : « Consent to participation in research is not the same as consent as the legal basis for processing under data protection legislation » (le consentement à participer à une recherche n’est pas la même chose que le consentement en tant que base légale du traitement au sens de la législation sur la protection des données) (HRA).

Une source va dans l’autre sens. La note « Ethics and data protection » de la Commission pour Horizon Europe (5 juillet 2021) demande une procédure de consentement conforme aux exigences du RGPD lorsque les données sont collectées directement. Elle a été rédigée par un groupe d’experts et précise qu’elle « does not constitute official EU guidance » (ne constitue pas une orientation officielle de l’UE) (Commission).

Analyse de Validemic Les comités d’éthique et les DPO se comprennent souvent mal parce que tous parlent de « consentement ». Une solution simple consiste à employer des termes différents dans les modèles : « accord de participation » pour l’exigence éthique, et « consentement au traitement des données » uniquement lorsque l’article 6, paragraphe 1, point a, est réellement la base retenue.

3. Quelles bases légales de l’article 6 la recherche peut-elle utiliser ?

La recherche peut reposer sur le consentement, la mission d’intérêt public, l’intérêt légitime et, pour des parties limitées du traitement, l’obligation légale. Le choix dépend surtout de l’identité du responsable du traitement. Dans les documents que nous avons consultés, les universités publiques retiennent le plus souvent la mission d’intérêt public ; les organismes privés sans mission de recherche fixée par la loi recourent à l’intérêt légitime ou au consentement.

Le projet de lignes directrices 1/2026 relève aussi que la mission d’intérêt public « is not limited to public entities » (n’est pas réservée aux entités publiques) : des organismes privés peuvent l’invoquer « if the legal act covers their activities » (si l’acte juridique couvre leurs activités) (point 58). La qualité d’« autorité publique » d’une université dépend également du droit national, ce qui compte pour les universités privées dans certains pays.

4. Comment le droit national fonde-t-il la recherche d’intérêt public ? Huit exemples nationaux

L’article 6, paragraphe 3, exige que la mission d’intérêt public soit définie par le droit de l’Union ou d’un État membre. Ce droit n’a pas à décrire chaque projet. Selon le projet du CEPD, il peut autoriser la recherche « without necessarily specifying how the research is to be undertaken » (sans nécessairement préciser comment la recherche doit être menée) (point 57). En pratique, les universités renvoient à leur loi sur l’enseignement supérieur, et plusieurs pays ont inscrit des dispositions sur la recherche dans leur loi d’application du RGPD. Le tableau résume les dispositions que nous avons lues le 9 octobre 2026.

Deux voisins hors tableau : en Irlande, le Trinity College Dublin indique à ses chercheurs que « explicit consent is required for any health research in Ireland » (le consentement explicite est requis pour toute recherche en santé en Irlande), ce qui reflète les règles nationales sur la recherche en santé. Au Royaume-Uni, le UK GDPR a la même structure, et la HRA indique que les autorités publiques qui mènent des recherches « will use 'task in the public interest' as their legal basis » (utiliseront la mission d’intérêt public comme base légale).

Ces résumés sont sélectifs. Les lois nationales comportent d’autres conditions et des règles sectorielles (santé, registres, biobanques), et certaines changent souvent : la loi finlandaise a été modifiée en mai 2026 (380/2026). Lisez la disposition complète et consultez votre DPO avant de vous y appuyer.

5. Quelle base légale les universités européennes retiennent-elles réellement ?

La plupart des documents universitaires que nous avons lus font de la mission d’intérêt public la base par défaut pour la recherche et réservent le consentement à l’exigence éthique. Les détails varient selon les pays, surtout pour les catégories particulières de données. Dans leurs propres termes :

La mention d’information destinée aux participants de l’université d’Édimbourg rend aussi la distinction visible : le consentement à l’utilisation des informations personnelles « (which we rarely request) is separate from your ethical consent to participate » (que nous demandons rarement, est distinct de votre consentement éthique à participer) (Édimbourg).

Analyse de Validemic La tendance est nette dans les pays nordiques, en Belgique, en Irlande et au Royaume-Uni. Les Pays-Bas constituent la principale exception pour les catégories particulières de données, car l’article 24 de l’UAVG fait du consentement explicite le point de départ. Les universités espagnoles et danoises mentionnent souvent les deux bases et laissent chaque projet trancher. Toutes partagent la même consigne : décider projet par projet et en informer les participants.

Vous évaluez un fournisseur en ce moment ? Validemic analyse ses documents au regard du RGPD et du règlement sur l’IA, et cite la source de chaque constat. Essayer l’espace de démonstration

6. Quelle condition de l’article 9 s’applique aux catégories particulières de données en recherche ?

Les catégories particulières de données exigent une condition de l’article 9, paragraphe 2, en plus de la base de l’article 6. Pour la recherche, les options réalistes sont le consentement explicite (point a), la condition propre à la recherche (point j), les données manifestement rendues publiques par la personne (point e), et les conditions d’intérêt public important ou de santé publique (points g et i) lorsque le droit national ou le droit de l’Union les prévoit.

L’article 9, paragraphe 2, point j, vise le traitement « nécessaire à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, conformément à l’article 89, paragraphe 1, sur la base du droit de l’Union ou du droit d’un État membre ». Ce droit doit être proportionné, respecter l’essence du droit à la protection des données et « prévoir des mesures appropriées et spécifiques ». Le projet du CEPD ajoute que les responsables du traitement doivent pouvoir démontrer que ce droit s’applique à leur traitement et qu’ils en remplissent les conditions (point 74). Il cite notamment l’article 10 de la loi danoise, l’article 6, paragraphe 1, point 7, de la loi finlandaise, l’article 44, 6°, de la loi Informatique et Libertés, l’article 27, paragraphe 1, du BDSG allemand et la loi suédoise sur l’examen éthique, tout en précisant que « The EDPB has not reviewed nor analysed the laws referred to » (le CEPD n’a ni examiné ni analysé les lois mentionnées).

L’article 9, paragraphe 4, permet aux États membres d’ajouter des conditions pour les données génétiques, biométriques et de santé : une étude multinationale peut donc exiger un consentement explicite dans un pays et aucun dans un autre. Pour les essais cliniques, l’avis 3/2019 du CEPD présente comme alternatives au consentement la mission d’intérêt public avec l’article 9, paragraphe 2, point i ou j, ou l’intérêt légitime avec l’article 9, paragraphe 2, point j.

7. Quelles garanties l’article 89, paragraphe 1, exige-t-il ?

L’article 89, paragraphe 1, exige des garanties appropriées pour les traitements à des fins de recherche, avec des mesures techniques et organisationnelles « en particulier pour assurer le respect du principe de minimisation des données ». Il cite la pseudonymisation comme mesure possible. Chaque fois que la recherche peut être menée avec des données ne permettant pas ou plus l’identification des personnes, « il convient de procéder de cette manière ».

Les lignes directrices du CEPD sur le consentement indiquent : « Anonymisation is the preferred solution as soon as the purpose of the research can be achieved without the processing of personal data » (l’anonymisation est la solution à privilégier dès lors que la finalité de la recherche peut être atteinte sans traiter de données personnelles) (point 160). Le projet de 2026 ajoute une liste d’autres garanties : contrôle indépendant ou éthique, environnements de traitement sécurisés, technologies renforçant la protection de la vie privée, mesures de protection lors de la publication et conditions encadrant la réutilisation. La réponse du CEPD de 2021 relie elle aussi les deux : la présomption de compatibilité pour la recherche ultérieure « can only be used » (ne peut être invoquée que) si les garanties de l’article 89, paragraphe 1, sont respectées (point 20).

En pratique, les garanties attendues par les DPO et les comités d’éthique sont :

1. Un plan de gestion des données qui justifie chaque donnée collectée.
2. Une pseudonymisation au plus tôt, avec une clé conservée séparément et un accès restreint.
3. L’anonymisation pour le partage et la publication lorsque c’est possible.
4. Un stockage sécurisé sur des services universitaires approuvés ; voir notre guide sur les données de recherche dans le cloud.
5. Un contrat au titre de l’article 28 avec chaque fournisseur et, hors de l’EEE, un outil de transfert. Nos guides sur l’accord de partage de données et l’accord de responsabilité conjointe couvrent les partenaires.
6. Une AIPD lorsque le risque est élevé (selon l’université de Bergen, l’autorité norvégienne de protection des données en exige une pour la recherche sur des catégories particulières de données non fondée sur le consentement). Notre outil de présélection AIPD et notre modèle d’AIPD vous y aident.
7. Des règles de conservation qui précisent combien de temps les données identifiantes sont gardées ; voir notre guide sur le référentiel de conservation.

8. Quels droits des personnes concernées peuvent être limités pour la recherche ?

Le RGPD limite lui-même certains droits pour la recherche, et l’article 89, paragraphe 2, permet au droit de l’Union ou au droit national de prévoir des dérogations aux droits d’accès, de rectification, de limitation et d’opposition (art. 15, 16, 18 et 21), mais seulement dans la mesure où ces droits risqueraient « de rendre impossible ou d’entraver sérieusement » la réalisation des finalités de la recherche et où la dérogation est nécessaire.

• Effacement : l’article 17, paragraphe 3, point d, écarte le droit à l’effacement lorsqu’il rendrait la recherche impossible ou la compromettrait gravement, sous réserve des garanties de l’article 89, paragraphe 1.
• Opposition : l’article 21, paragraphe 6, ouvre un droit d’opposition au traitement à des fins de recherche, « à moins que le traitement ne soit nécessaire à l’exécution d’une mission d’intérêt public ».
• Information : lorsque les données ne sont pas collectées auprès de la personne, l’article 14, paragraphe 5, point b, prévoit une exception en cas d’impossibilité ou d’efforts disproportionnés, mais le responsable du traitement doit protéger les intérêts de la personne, « y compris en rendant les informations publiquement disponibles ». L’université d’Aarhus, par exemple, publie la liste des projets de recherche qui recourent à cette exception. L’article 13 ne prévoit pas d’exception équivalente pour les données collectées directement.
• Dérogations nationales : voir le tableau par pays de la section 4.
• Retrait du consentement : aucune de ces exceptions ne s’applique. En cas de retrait du consentement, le CEPD indique que le responsable du traitement « must in principle delete the personal data straight away » (doit en principe supprimer immédiatement les données personnelles) s’il souhaite poursuivre la recherche (05/2020, point 163).

Notre guide sur les demandes d’accès des personnes concernées à l’université explique comment traiter ces demandes en pratique.

9. Peut-on réutiliser des données de recherche ? Traitement ultérieur et usage secondaire

Oui, souvent. Selon l’article 5, paragraphe 1, point b, le traitement ultérieur à des fins de recherche scientifique « n’est pas considéré, conformément à l’article 89, paragraphe 1, comme incompatible avec les finalités initiales ». Le considérant 50 précise qu’un tel traitement « devrait être considéré comme une opération de traitement licite compatible ». Mais la compatibilité ne règle pas tout : le responsable du traitement a toujours besoin d’une base légale et, pour les catégories particulières de données, d’une condition de l’article 9.

Selon le projet de lignes directrices 1/2026 du CEPD, le test de compatibilité de l’article 6, paragraphe 4, n’est pas nécessaire pour la recherche ultérieure (point 19), mais le contrôle de licéité demeure, et il n’est pas toujours possible de s’appuyer sur la base initiale, en particulier s’il s’agissait du consentement (points 21 et 22). La réponse du CEPD de 2021 ajoute qu’un hôpital qui s’appuie sur l’article 9, paragraphe 2, point h, pour les soins peut avoir besoin d’une autre condition de l’article 9 pour utiliser les dossiers à des fins de recherche.

Situations courantes de réutilisation dans les universités :

• Réutiliser les données de votre propre projet antérieur. Vérifiez ce qui a été dit aux participants et si la base initiale, notamment le consentement, couvre le nouvel usage. Le Trinity College Dublin indique à ses chercheurs que la réutilisation est présumée compatible « if the research is in the public interest » (si la recherche est d’intérêt public), avec les garanties de l’article 89, paragraphe 1.
• Utiliser le jeu de données d’un autre chercheur ou d’un service d’archives. Vous devenez un nouveau responsable du traitement ou un responsable conjoint. Il vous faut votre propre base légale, un accord de partage de données et, en général, l’information prévue à l’article 14.
• Données de registres et données administratives. Les lois nationales sur les registres et les autorités qui délivrent les autorisations fixent souvent les conditions. Le Danemark exige l’autorisation de la Datatilsynet pour certaines communications (art. 10, paragraphe 3).
• Données des étudiants et des personnels issues des systèmes de l’université. La recherche portant sur les propres étudiants de l’université exige de la vigilance en raison du déséquilibre des rapports ; voir notre guide sur l’analytique de l’apprentissage.

À partir de 2029, le règlement (UE) 2025/327 relatif à l’espace européen des données de santé ouvrira une voie distincte pour l’utilisation secondaire des données de santé électroniques, par l’intermédiaire des organismes responsables de l’accès aux données de santé. Son chapitre IV, consacré à l’utilisation secondaire, s’applique à partir du 26 mars 2029 (règlement EHDS).

10. Le consentement large est-il admis par le RGPD ?

Oui, dans certaines limites. Selon le considérant 33, les personnes concernées « devraient pouvoir donner leur consentement en ce qui concerne certains domaines de la recherche scientifique, dans le respect des normes éthiques reconnues en matière de recherche scientifique ». Le CEPD en fait une lecture stricte : ce considérant « does not disapply the obligations with regard to the requirement of specific consent » (n’écarte pas les obligations relatives à l’exigence d’un consentement spécifique), et le RGPD « cannot be interpreted to allow for a controller to navigate around the key principle of specifying purposes » (ne peut pas être interprété comme permettant à un responsable du traitement de contourner le principe essentiel de détermination des finalités) (05/2020, points 156 et 158). Pour les catégories particulières de données, cette souplesse fait l’objet d’« a high degree of scrutiny » (un examen très attentif) (point 157).

Le projet de 2026 décrit deux modèles. Le consentement large couvre des projets futurs relevant d’un domaine de recherche défini, et « it is not sufficient to only state that personal data will be used for scientific research purposes » (il ne suffit pas d’indiquer que les données personnelles seront utilisées à des fins de recherche scientifique) (point 44). Le consentement dynamique sollicite à nouveau les personnes à mesure que chaque projet se précise, ce que le CEPD qualifie d’« often the appropriate way » (souvent la voie appropriée) dans les études longues avec des contacts réguliers (point 52). Parmi les garanties qu’il suggère pour le consentement large figurent un tiers de confiance indépendant pour les données, un consentement limité dans le temps et un contrôle indépendant (points 48 et 49).

L’Espagne (pour la recherche en santé) et le Portugal ont inscrit le consentement large dans leur droit national. Analyse de Validemic Lorsque le droit national le permet, combiner l’accord de participation avec la mission d’intérêt public comme base RGPD évite les difficultés de retrait et de spécificité propres au consentement large.

11. Données des réseaux sociaux, enregistrements, transcriptions et outils d’IA

Données issues des réseaux sociaux

Les publications publiques restent des données personnelles. Une université a besoin d’une base légale (en général la mission d’intérêt public pour une université publique), et les catégories particulières de données contenues dans les publications ne relèvent de l’article 9, paragraphe 2, point e, que si la personne les a « manifestement rendues publiques ». Selon le projet du CEPD, les responsables du traitement doivent vérifier que le contenu a été publié « following an active choice by the data subject » (à la suite d’un choix actif de la personne concernée) et examiner les paramètres de la plateforme (point 70). Une photo publiée par un ami ne compte pas (point 71). Son exemple pratique pseudonymise les publications collectées et informe les utilisateurs au titre de l’article 14.

La note éthique de la Commission ajoute que « It is not enough that the data be accessible » (il ne suffit pas que les données soient accessibles) et demande aux chercheurs de vérifier les conditions d’utilisation de la plateforme. Sikt cite les études sur internet comme cas typique d’intérêt public.

Enregistrements et transcriptions d’entretiens

Un enregistrement audio ou vidéo identifie la personne qui parle, et le contenu des entretiens comporte souvent des catégories particulières de données (santé, religion, opinions politiques) concernant le participant ou des tiers. La base légale est la même que pour l’étude, mais la note éthique de la Commission demande une procédure de consentement spécifique pour les « intrusive methods such as behavioural profiling, audio/video recording or geo-location tracking » (méthodes intrusives telles que le profilage comportemental, l’enregistrement audio ou vidéo ou le suivi par géolocalisation). Sikt relève que le consentement peut être documenté « on a sound recording » (sur un enregistrement sonore).

Analyse de Validemic Points pratiques :

• Supprimez ou pseudonymisez les enregistrements une fois la transcription vérifiée, sauf raison documentée de les conserver.
• Retirez des transcriptions les noms et éléments identifiants des tiers.
• Traitez tout service de transcription comme un sous-traitant qui exige un contrat de sous-traitance et un examen des transferts. Comparez Otter.ai, Amberscript, Trint et l’option d’une transcription locale avec Whisper.
• Utilisez des outils approuvés pour l’analyse qualitative ; voir nos fiches sur NVivo et ATLAS.ti.

Les outils d’IA dans la recherche

Verser des données d’entretien dans un outil d’IA générative constitue un traitement. Il doit reposer sur la base légale de l’étude et correspondre à ce qui a été dit aux participants, et le fournisseur devient sous-traitant (ou responsable du traitement, s’il utilise les données pour ses propres finalités). Vérifiez l’utilisation pour l’entraînement, le lieu de traitement et l’existence d’un contrat de sous-traitance pour l’offre institutionnelle. Notre guide RGPD et outils d’IA dans la recherche traite ce sujet en détail, et la page outils d’IA approuvés dans les universités européennes montre ce que d’autres établissements autorisent.

12. Que doit dire la mention d’information sur la base légale ?

L’article 13, paragraphe 1, point c, et l’article 14, paragraphe 1, point c, exigent que la mention indique les finalités et la base légale. Pour la recherche, cela signifie nommer la base de l’article 6, la condition de l’article 9 pour les catégories particulières de données et le droit national sur lequel elles reposent. La consigne du Trinity College Dublin est brève : informer les participants de la base légale « In advance of any data collection » (avant toute collecte de données).

• Énoncez la base clairement, par exemple : « Nous traitons vos données parce que la recherche est une mission d’intérêt public (article 6, paragraphe 1, point e, du RGPD, sur le fondement de [loi nationale sur l’enseignement supérieur]). Votre accord de participation est une exigence éthique et ne constitue pas la base légale. »
• Si la base est le consentement, expliquez comment le retirer et ce qu’il advient des données déjà collectées.
• Si la base est la mission d’intérêt public, expliquez le droit d’opposition et ses limites en matière de recherche.
• Mentionnez les dérogations nationales aux droits sur lesquelles vous vous appuyez.
• Si les données peuvent être réutilisées pour des recherches ultérieures, dites-le et décrivez les garanties.

Notre guide sur la mention d’information des participants à la recherche propose un modèle Word gratuit reprenant cette formulation, et une version finnoise est disponible sous le titre tietosuojaseloste-malli.

13. Tableau de décision : quelle base légale pour quelle situation ?

Analyse de Validemic Le tableau présente les choix types d’une université publique de l’UE ou de l’EEE. C’est un point de départ pour la discussion avec le DPO, pas une règle. Le droit national et les particularités du projet peuvent changer la réponse.

14. Qu’est-ce qui change ? Évolutions européennes et nationales en cours

• Lignes directrices 1/2026 du CEPD sur la recherche scientifique. Adoptées le 15 avril 2026 pour consultation publique, ouverte jusqu’au 25 juin 2026 (page de la consultation, communiqué). Au 9 octobre 2026, nous n’avons trouvé aucune version définitive sur le site du CEPD, et l’ordre du jour de la plénière du 17 septembre 2026 ne la mentionnait pas. Le projet peut évoluer.
• Proposition d’omnibus numérique. La proposition de la Commission du 19 novembre 2025 ajouterait au RGPD une définition de la recherche scientifique et réécrirait l’article 5, paragraphe 1, point b. Selon la fiche de procédure du Parlement européen, elle est en attente de décision en commission (procédure 2025/0360(COD)). Ce n’est pas du droit en vigueur.
• Espace européen des données de santé. Le règlement (UE) 2025/327 s’applique à partir du 26 mars 2027, et le chapitre sur l’utilisation secondaire à partir du 26 mars 2029.
• Suède. Une modification de la loi sur l’examen éthique (SFS 2026:1229), dont l’entrée en vigueur est indiquée sur riksdagen.se au 1er juillet 2027, ajoute un article 6 a qui permet à certaines recherches sur des données sensibles de se dérouler sans examen éthique, par exemple avec le consentement d’un participant adulte.

15. Liste de contrôle : choisir et documenter la base légale

Pour une vue d’ensemble du RGPD dans l’enseignement, la recherche et l’administration, voir notre guide RGPD et universités et la page Le RGPD expliqué.

Sources

Toutes les sources ont été consultées le 9 octobre 2026.

1. Règlement (UE) 2016/679 (RGPD), texte du Journal officiel, articles 5, 6, 9, 13, 14, 17, 21 et 89 et considérants 33, 50, 156, 157 et 159 (lu via l’Office des publications de l’UE).
2. Comité européen de la protection des données, Guidelines 05/2020 on consent under Regulation 2016/679, version 1.1, section 7.2, points 153 à 165.
3. Comité européen de la protection des données, Guidelines 1/2026 on processing of personal data for scientific research purposes, adoptées le 15 avril 2026, version soumise à consultation publique, et la page de la consultation.
4. Comité européen de la protection des données, Document on response to the request from the European Commission for clarifications on the consistent application of the GDPR, focusing on health research, 2 février 2021.
5. Comité européen de la protection des données, Opinion 3/2019 on the interplay between the Clinical Trials Regulation and the GDPR, 23 janvier 2019.
6. Comité européen de la protection des données, liste des actualités (consultée pour vérifier l’adoption définitive des lignes directrices 1/2026) et ordre du jour de la plénière du 17 septembre 2026.
7. Contrôleur européen de la protection des données, A Preliminary Opinion on data protection and scientific research, 6 janvier 2020.
8. Commission européenne (groupe d’experts), Ethics and data protection, 5 juillet 2021.
9. Observatoire législatif du Parlement européen, procédure 2025/0360(COD), omnibus numérique.
10. Règlement (UE) 2025/327 relatif à l’espace européen des données de santé, dispositions finales relatives aux dates d’application.
11. Suède : Högskolelag (1992:1434), Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning et Lag (2003:460) om etikprövning av forskning som avser människor, riksdagen.se.
12. Norvège : Personopplysningsloven (LOV-2018-06-15-38), articles 8 à 10, lovdata.no.
13. Finlande : Tietosuojalaki (1050/2018), version consolidée intégrant la modification 380/2026, finlex.fi.
14. Danemark : Databeskyttelsesloven, LBK nr. 289 af 08/03/2024, retsinformation.dk.
15. Pays-Bas : Uitvoeringswet Algemene verordening gegevensbescherming, articles 24 et 44, wetten.overheid.nl.
16. France : CNIL, Recherche scientifique (hors santé) : quelle base légale pour un traitement de recherche ? (6 janvier 2022) et Traitements de données à des fins de recherche scientifique (hors santé) : quand saisir la CNIL ? (4 février 2026).
17. Espagne : Ley Orgánica 3/2018 (LOPDGDD), disposición adicional decimoséptima, boe.es.
18. Portugal : Lei n.º 58/2019, de 8 de agosto, article 31, texte consolidé sur pgdlisboa.pt.
19. UK Health Research Authority, Legal basis for processing data.
20. Sikt, Legal bases for personal data processing in research.
21. Université de Bergen, General principles for processing personal data in research.
22. Université de Stockholm, Personuppgiftsbehandling vid Stockholms universitet.
23. Université de Lund, Template B: information on processing of personal data in research (Word, avril 2026).
24. Université d’Helsinki, RDM Advanced webinar series FAQ et Emplacing Heritage data protection notice.
25. Université d’Aarhus, Personal data in research at Aarhus University when we are the data controller et projets de recherche dispensés de l’obligation d’information.
26. Université d’Utrecht, faculté des sciences sociales et comportementales, Dealing with Consent in Scientific Research, 3 février 2025.
27. KU Leuven / UZ Leuven, Onderzoek met minderjarigen: enkele cases.
28. Trinity College Dublin, Legal Basis for Research.
29. Université d’Édimbourg, Research and Data Protection Legislation (guidance for researchers) et Privacy notice for research participants.
30. Université d’Essex, Data Protection and research activity.
31. Universidad de Granada, Secretaría General, Producción investigadora (fiche du registre des activités de traitement).

À propos de cette page

Sources vérifiées le 9 octobre 2026. Nous avons lu le RGPD dans la version du Journal officiel, les documents du CEPD, du Contrôleur européen de la protection des données et de la Commission énumérés ci-dessus, les lois nationales sur leurs sites de publication officiels ou consolidés, et chaque page universitaire citée. Les citations du RGPD reprennent le texte officiel français ; les autres citations sont courtes, données dans leur langue d’origine telle que publiée à la date de vérification, avec une traduction française entre parenthèses lorsque cette langue n’est pas le français. Notre propre interprétation est signalée comme une analyse de Validemic. Les lignes directrices du CEPD sur la recherche sont un projet soumis à consultation et l’omnibus numérique est une proposition ; nous mettrons cette page à jour si l’un ou l’autre évolue. Cette page fournit une information générale et ne constitue pas un conseil juridique. Le droit national, les règles sectorielles et les règles internes de votre établissement peuvent ajouter des exigences : confirmez la base légale de chaque projet avec votre délégué à la protection des données. Si vous repérez une erreur ou un point dépassé, contactez-nous et nous la corrigerons.