Hanane Bouderbala, Juriste PI et Déléguée à la protection des données personnelles de l’Ecole Nationale Supérieure d’Arts et Métiers (ENSAM) et Sébastien Garcia, Juriste Contrats au sein du cabinet Ipsilon, ancien DPO nous proposent un coup de projecteur sur certains enjeux de protection des Données à Caractère Personnel (DCP) au sein des EESR et sur le rôle central des Comités d’Ethique de la Recherche (CER) dans cet écosystème.
 
<h2 style="text-align: center;">La protection des données personnelles dans la recherche publique, 
un jeu d’équilibriste</h2>
&nbsp;
Tout comme la chaine des droits de propriété intellectuelle peut être impactée par les configurations variées des projets de recherche impliquant les Etablissement d’Enseignement Supérieur et de Recherche (EESR), cette multiplicité des formes a également un impact sur la conformité au Règlement Général sur la Protection des Données (RGPD).
La qualité des personnes impliquées et leurs rôles (Enseignant-Chercheur, thésard CIFRE, étudiant, stagiaire, émérite, traitant ou non des données personnelles), les relations et rôles entre les entités impliquées (promoteur, sous-traitant, partenaire, responsable ou non du traitement des données personnelles), les moyens de traitement utilisés, ou encore la typologie des projets en santé ou hors santé, constituent autant de situations particulières nécessitant des mesures adaptées à chaque projet de recherche.
&nbsp;
<h3>Est-ce que vous pensez que les enjeux de protection des DCP au cours des activités de recherche sont suffisamment pris en compte dans les EESR ?</h3>
 
Sébastien Garcia : 

En me risquant à quelques exceptions près, la réponse est globalement oui, notamment pour 3 raisons.
Tout d’abord, des obligations de forme et de fond issues du Code de la Santé Publique (CSP) pèsent sur les projets de recherche dans le domaine de la santé de type RIPH, acronyme pour « Recherche Impliquant la Personne Humaine ». 
Un Comité de Protection des Personnes (CPP) agréé par le Ministre de la Santé (L1123-1 du CSP) doit être chargé de rendre un avis sur les protocoles de recherche avant leur mise en œuvre (L1121-4 et L1123-6 du CSP). 
Cet avis porte sur les conditions de validité de la recherche en ce compris la méthodologie de la recherche au regard des dispositions de la loi « informatique et libertés », et de « la nécessité du recours à la collecte et au traitement de données à caractère personnel et la pertinence de celles-ci » (L1123-7 du CSP).
D’autre part, en dehors des projets RIPH, les éditeurs de revues scientifiques imposent de manière systématique un avis éthique sur chaque protocole de recherche impliquant des sujets humains avant leur mise en œuvre. L’absence de cet avis positif amont rend inéligible à la publication les articles scientifiques qui résultent de ces recherches.
Enfin, les EESR et les chercheurs eux-mêmes se saisissent de ces enjeux, soucieux de respecter les trois piliers de l’excellence scientifique que sont la déontologie, l’intégrité scientifique et l’éthique de la recherche qui pour ce dernier s’intéresse à la protection des DCP des participants aux projets de recherche et donc, au respect du RGPD. 
C’est dans ce cadre hors RIPH que des Comités d’Ethique de la Recherche (CER) se constituent à l’échelle de chaque EESR ou de manière mutualisée afin de répondre aux exigences de qualité de la recherche publique. 
La bonne qualification du type de projet de recherche en santé ou hors santé est ainsi primordiale pour s’assurer des modalités de validation préalables au lancement.
&nbsp;
<img loading="lazy" decoding="async" class="wp-image-15096 aligncenter" src="https://cms.ieepi.org/app/uploads/2026/02/2026_02_illustration_artcile_rgpd-300x207.png" alt="" width="465" height="321" srcset="https://cms.ieepi.org/app/uploads/2026/02/2026_02_illustration_artcile_rgpd-300x207.png 300w, https://cms.ieepi.org/app/uploads/2026/02/2026_02_illustration_artcile_rgpd-768x529.png 768w, https://cms.ieepi.org/app/uploads/2026/02/2026_02_illustration_artcile_rgpd.png 992w" sizes="auto, (max-width: 465px) 100vw, 465px" />
&nbsp;
Hanane Bouderbala :
L’obligation pour les EESR, en tant qu’organismes publics traitant une grande variété de DCP (étudiants, agents, partenaires, participants aux recherches, etc.), de désigner un délégué à la protection des données personnelles (DPO), conformément à l’article 37.1 a) du RGPD force également la prise en compte de ces enjeux.
Le DPO joue un rôle d’accompagnement du responsable de traitement qui se matérialise par une assistance en amont des chercheurs dans la mise en conformité de leur protocole de recherche avant lancement et le cas échéant avant soumission aux CER et CPP.
Par ailleurs, dans le cadre des CER, le DPO intervient le plus souvent en qualité de membre non-votant, apportant ainsi son éclairage d’expert du domaine auprès des membres votants. 
<h3>Ethique de la recherche et protection des DCP peuvent-elles être antinomiques ?</h3>
 Sébastien Garcia : 
Selon ma propre conviction, non. Il est nécessaire de trouver le juste équilibre entre ces deux considérations. 
En tant que DPO, nous avons systématiquement en tête le respect des principes de l’Article 5 du RGPD commandant la limitation des finalités de traitement ou encore la minimisation des DCP collectées et traitées. 
Poussés jusqu’au boutisme, ces principes invitent à travailler avec les chercheurs les protocoles pour les rendre totalement anonymes si l’atteinte des objectifs scientifiques n’imposent pas la collecte et le traitement de DCP. Cependant, des considérations éthiques dans le cadre d’un protocole même anonyme sur son déroulé peuvent remettre en cause l’anonymisation totale d’un projet.
A titre d’exemple, l’assurance d’un consentement explicite libre et éclairé des participants peut impliquer la constitution de formulaires de recueil du consentement de participation à la recherche ou de consentement au traitement des DCP comportant forcément les données d’identité de chaque participant. 
Mais encore, la possibilité pour les participants de demander la suppression de leurs données ou encore d’obtenir un retour sur leurs données et sur les résultats obtenus grâce à leurs données peut impliquer la nécessité d’établir des tableaux de correspondance entre les jeux de données, les résultats et l’identité de chaque participant. 
Ces considérations éthiques tout à fait louables amènent les membres des CER à jouer à quelques jeux d’équilibriste face aux principes du RGPD.
Hanane Bouderbala :
Je partage ce point de vue.
Pour exemple, pour les RIPH1 et RIPH2, le recueil de consentement pour participer aux recherches est imposé (L1122-1-1 CSP). En revanche, pour les RIPH3 ou les recherches hors domaine de la santé, le recueil du consentement n’est pas exigé : la seule démonstration d’une non opposition de la personne concernée à sa participation est ainsi suffisante. Cette non opposition doit toutefois être précédée d’une information claire et complète sur le déroulement de la recherche pour être valablement retenue.
En revanche éthiquement, cette non opposition n’est pas adaptée lorsque la recherche implique des mineurs. Dans ce cas, il est nécessaire de recueillir à la fois le consentement des représentants légaux et le cas échéant du mineur lui-même, en leur fournissant à chacun les informations adaptées à leur niveau de compréhension. Ces mesures permettent de placer l’éthique au premier plan, tout en maintenant un haut niveau de protection des DCP.
<h3>Le rôle du DPO n’est-il pas délicat au sein des CER ? </h3>
Sébastien Garcia : 
Le rôle du DPO selon les organisations qu’elles soient publiques ou privées est toujours à géométrie variable alors que les textes sont clairs. 
Rappelons-le, le DPO ne valide pas les traitements de DCP.
Il est certain que lorsqu’un DPO d’un EESR accompagne un chercheur dans la rédaction de son protocole, dans l’élaboration de la note d’information RGPD, de la note d’information sur le déroulé recherche, dans le choix des modalités de collecte, d’accès et de traitement et que ce sont ces mêmes modalités et documents qui sont évalués lors des débats au sein des CER, la neutralité ou du moins l’objectivité du DPO même s’il est non-votant peuvent être questionnées.
Dernière situation délicate, rappelons-le également, les CER ne sont pas des instances de validation des projets de recherche, ils rendent des avis et ne supportent pas la responsabilité des traitements de DCP subséquents.
Les missions du DPO au sens de l’Article 39 du RGPD consistent notamment à « informer et conseiller le responsable du traitement » mais aussi à rendre compte « dans l&rsquo;accomplissement de ses missions, du risque associé aux opérations de traitement compte tenu de la nature, de la portée, du contexte et des finalités du traitement ». 
Par conséquent, les organisations doivent prendre en compte ces paramètres et laisser au DPO une liberté d’exercice de son pouvoir d’alerte auprès du responsable de traitement et ce, même s’il considère qu’un avis du CER n’est pas conforme au RGPD. Ceci en conformité avec son indépendance statutaire prévu à l’Article 38 du RGPD.
<h3>Comment le contexte collaboratif avec les entreprises influence-t-il la mise en conformité au RGPD ? </h3>
Hanane Bouderbala :
Le rôle du DPO des EESR est impacté lorsque la qualité de responsable de traitement n’est pas celle de l’EESR mais celle de l’entreprise collaborant avec l’EESR.
Dans ce cas, le DPO de l’EESR doit rester en retrait dans la mise en conformité du protocole de recherche. Les notes d’information RGPD ou les formulaires de recueil du consentement relèvent en effet dans ce cas de la responsabilité de l’entreprise.
Au sein des CER, le DPO de l’EESR pourra en revanche éclairer en toute objectivité les membres votants sur les mesures de conformité mises en place par l’entreprise.
Par ailleurs, même s’il revient au DPO de l’entreprise responsable de traitement d’assurer la mise en conformité au RGPD, le DPO de l’EESR partenaire doit garder un œil vigilent sur les mesures mises en place pour éviter que des informations erronées faisant peser indument la responsabilité sur la tête de l’EESR ne soient communiquées auprès des participants.
Sébastien Garcia : 
Parmi les bases légales de traitement de données personnelles prévues à l’Article 6 du RGPD, « l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable de traitement » dans le cadre de la réalisation des activités de recherche par les EESR est un fondement pertinent à retenir. Celui-ci permet par ailleurs aux chercheurs de s’affranchir de la lourdeur que peut constituer le recueil et l’archivage conforme du consentement des participants au traitement de leurs DCP pour laisser plus de place à la recherche elle-même. Les dispositions législatives ne manquent effectivement pas pour entériner la mission de recherche des EESR en tant que mission de service public (L123-3 du code de l’éducation, L112-2 et L112-3 du code de la recherche).
Cependant, en collaborant avec des entreprises, le service public de la recherche sert des intérêts privés. Aussi, que la responsabilité des traitements de DCP soit partagée avec l’EESR ou qu’elle pèse uniquement sur l’entreprise, le recours à la base légale de l’exécution d’une mission d’intérêt public doit être par principe écartée. Il pourra ainsi être permis d’envisager dans ces situations le recours aux bases légales de l’intérêt légitime ou encore et en premier lieu si l’on s’en réfère au considérant (33) du RGPD à la base légale du consentement des personnes concernées.
<h3>Pouvez-vous nous donner quelques points de difficultés quotidiennes sur le fond dans la mise en conformité des projets de recherche au RGPD ? </h3>
Hanane Bouderbala :
Pour les RIPH, la désignation du responsable de traitement est opérée de manière relativement claire lorsque l’on cherche à appliquer les méthodologies de référence de la CNIL MR001 et MR003, Il s&rsquo;agit du promoteur de la recherche (Articles 1.1 des deux MR).
Pour les recherches hors domaine de la santé, il convient de se référer aux dispositions du RGPD qui reconnait la qualité de responsable de traitement à « la personne physique ou morale, l&rsquo;autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d&rsquo;autres, détermine les finalités et les moyens du traitement » (Article 4 alinéa 7 du RGPD).
Cette définition confère à la notion de responsable de traitement (ou de responsable conjoint de traitement) un caractère fonctionnel, en ce qu’elle implique une répartition des responsabilités entre les différents acteurs selon leur rôle effectif dans la mise en œuvre du traitement.
En ce sens, la qualification ne repose pas sur une simple désignation formelle (par exemple contractuelle), mais sur une analyse factuelle et circonstanciée de la réalité des opérations. La configuration particulière des unités de recherche multi-tutelles, le caractère partenarial de la plupart des projets de recherche ou encore la mixité des statuts des entités participantes à ces projets rendent difficile la qualification de responsable ou de responsables conjoints de traitement.
Sébastien Garcia : 
Les projets menés par les étudiants inscrits dans les EESR posent question. En effet, dans le cadre de leur programme pédagogique, les étudiants peuvent conduire des projets pouvant impliquer la collecte et le traitement de données personnelles.
Ces projets font généralement l’objet d’instructions préalables, d’un encadrement et d’une évaluation par le corps enseignant. Rappelons ici, que le champ d’application matériel du RGPD ne couvre pas les traitements mis en œuvre par une personne physique dans le cadre d&rsquo;une activité « strictement personnelle ou domestique » (Article 2.2 c) du RGPD). 
Les étudiants des EESR sont des usagers du service public de l’enseignement supérieur. A ce titre, aucun lien de subordination entre les EESR et leurs étudiants, ni aucun pouvoir hiérarchique entre eux ne peut être établit.
Un EESR ne peut donc que difficilement sans ces liens juridiques déterminer les finalités et moyens de traitement mis en œuvre par ses étudiants, les encadrer et les contrôler, ce qui est a priori antinomique avec une qualité de responsable de traitement pour l’EESR.
Cependant, ce constat de surface est remis en cause à partir du moment où un projet mené par un étudiant est réalisé dans le cadre universitaire (travaux dirigés par exemple), ce qui est aussi antinomique avec le cadre « strictement personnel ou domestique » permettant l’exclusion d’application du RGPD.
Les EESR doivent se saisir de ces zones de floues, clairement délimiter et communiquer sur le cadre des projets étudiants rentrant sous leur responsabilité. La mise en conformité de cette source non négligeable de traitements de DCP qui par nature peuvent être difficilement identifiables ne peut passer que par une sensibilisation aux enjeux du RGPD et aux processus internes à large échelle auprès des enseignants et de leurs étudiants.
<h3>Le mot de la fin de l’IEEPI : : un équilibre délicat, une vigilance constante</h3>
La protection des données personnelles dans le cadre de la recherche publique s’apparente bel et bien à un exercice d’équilibriste, comme en témoignent les éclairages de Sébastien Garcia et Hanane Bouderbala. Entre les exigences du RGPD, les impératifs éthiques et la diversité des configurations de recherche, chaque projet impose une analyse sur mesure, une adaptation permanente des pratiques et une collaboration étroite entre chercheurs, DPO et Comités d’Ethique.
Si les EESR ont su s’emparer de ces enjeux, notamment grâce à la désignation systématique de DPO et à la structuration de comités d’éthique, quelques zones d’ombre persistent. La relation avec les responsables de traitement, l’encadrement des projets étudiants ou encore la collaboration avec le secteur privé illustrent la complexité d’un cadre juridique en constante évolution. Dans ce contexte, la sensibilisation, la formation et la transparence apparaissent comme les piliers indispensables pour concilier innovation scientifique et respect des droits fondamentaux.
<h3>Pour aller plus loin&#8230;</h3>
Rejoignez Sébastien Garcia et Hanane Bouderbala les 24 et 25 mars prochain sur la formation <a href="https://www.ieepi.org/formations/manager/la-pi-dans-un-etablissement-public-denseignement-et-ou-de-recherche/" target="_blank" rel="noopener">La PI dans un établissement public d’enseignement et/ou de recherche</a>
&nbsp;

Droit de la protection des données personnelles

2026_02_PEX_Garcia_Bourbala_V2

La protection des données personnelles dans la recherche publique, un jeu d’équilibriste

email

À distance

En présentiel

Nouveau

Formations par domaine

Masters

Cycles de formation

Contact us

Nous contacter

Necessary cookies are crucial for the basic functions of the website, and it will not function as intended without them. These cookies do not store any personally identifiable data.

Necessary

Analytics cookies are used to understand how visitors interact with the website. These cookies help provide information on the number of visitors, bounce rate, traffic source, etc.

Analytics

Advertising cookies are used to deliver personalized ads to visitors based on the pages they have previously visited and to analyze the effectiveness of the advertising campaign.

Advertising

Les cookies nécessaires sont cruciaux pour les fonctions de base du site Web et celui-ci ne fonctionnera pas comme prévu sans eux. Ces cookies ne stockent aucune donnée personnellement identifiable.

Nécessaire

Les cookies analytiques sont utilisés pour comprendre comment les visiteurs interagissent avec le site Web. Ces cookies aident à fournir des informations sur le nombre de visiteurs, le taux de rebond, la source de trafic, etc.

Analytique

Les cookies de publicité sont utilisés pour fournir aux visiteurs des publicités personnalisées basées sur les pages visitées précédemment et analyser l'efficacité de la campagne publicitaire.

Publicitaire

faq-default

How to reach us

Frequently Asked Questions

Consulter la FAQ

Questions fréquentes

« Certified Patent Valuation Analyst (CPVA) » Designation

Picsum ID: 481

L’offre de formations 2026 de l’IEEPI

offre2026-evt

ieepi

primary-mini

primary-normal

secondary-mini

secondary-normal

tertiary-mini

tertiary-normal

Would you like to organize this training in-house?

People with disabilities

This training course is no longer available, 
contact us for more information!

Registration for a training course

Vous souhaitez organiser cette formation en interne ?

Personnes en situation de handicap

Pour connaître les prochaines dates de planification 
ou avoir plus d’informations sur ce produit :

Inscription à une formation

La protection des données personnelles dans la recherche publique, un jeu d’équilibriste

Événement à venir en lien avec cet article

Droit de la protection des données personnelles

Vous avez besoin d’une information ou d’un devis ?