Le cas singulier du consentement dans la recherche scientifique : concilier les principes du RGPD avec les nouveaux modèles de gouvernance des données

Vaisakh Shaji, Magdalena Kogut Czarkowska 

Les auteurs de cet article participent aux projets suivants financés par l'UE : Bigpicture, Volabios – Vaisakh Shaji Flute, Trumpet, Volabios – Magdalena Kogut Czarkowska 

Le consentement a toujours été considéré à la fois comme une garantie éthique et une exigence légale pour le traitement des données personnelles de santé dans la recherche scientifique. Si l'obtention du consentement des personnes concernées dans le cadre d'un projet de recherche simple, mené par une seule institution, est relativement simple, l'intérêt croissant de la recherche scientifique pour les outils d'intelligence artificielle implique que les données de santé doivent être de plus en plus partagées entre les institutions au-delà des frontières, mises en commun pour la recherche d'intérêt public et combinées avec d'autres ensembles de données afin de développer de nouvelles solutions d'IA. Ces développements promettent de meilleurs diagnostics, traitements et prédictions des maladies. Dans le prolongement de ces objectifs et s'appuyant sur la stratégie de l'UE en matière de données, la loi sur la gouvernance des données (DGA) et l'espace européen des données de santé (EHDS) visent tous deux à élargir les possibilités de partage des données, tout en continuant à respecter les principes de traitement des données à caractère personnel énoncés dans le règlement général sur la protection des données (RGPD).

Ces nouveaux cadres remettent en question le rôle traditionnel du consentement et soulèvent des questions importantes:

• Quand le consentement est-il encore nécessaire? 
• Quand les données peuvent-elles être réutilisées dans la recherche sans consentement? 
• Comment des concepts tels que l'altruisme en matière de données (dans la DGA) ou l'utilisation secondaire des données (dans l'EHDS) interagissent-ils avec le RGPD?
• Quelles améliorations sont nécessaires pour rendre ces cadres cohérents et applicables? 

Ce blog examine l'évolution du rôle du consentement dans le RGPD, l'EHDS et la DGA, identifie les points de tension et suggère des possibilités de clarification réglementaire. 

Le consentement dans le cadre du RGPD: spécifique, éclairé et lié à une finalité 

Dans le cadre du RGPD, le consentement est l'une des nombreuses bases juridiques pour le traitement des données à caractère personnel, souvent invoquée dans les projets de recherche qui nécessitent l'utilisation de catégories particulières de données à caractère personnel. Le consentement doit être:

• libre; 
• Spécifique; 
• éclairé; 
• Univoque; 
• Et explicite (dans le cas de catégories particulières de données à caractère personnel, telles que les données relatives à la santé). 

Le consentement au sens du RGPD se distingue du consentement éthique, souvent obtenu dans le cadre d'études cliniques au moyen d'un formulaire de consentement éclairé (ICF). Alors que le consentement éthique repose sur la protection de la dignité humaine et la participation volontaire d'une personne physique à la recherche, le consentement au sens du RGPD légitime le traitement des données. Le RGPD exige généralement une spécification précise des finalités du traitement, ce qui constitue un défi en matière de recherche scientifique, les évolutions ultérieures des projets et les réutilisations potentielles des données déjà collectées étant fréquemment impossibles à anticiper. 

Consentement général dans la recherche scientifique 

Le considérant 33 du RGPD précise qu'une description plus générale de la finalité peut être justifiée dans le cadre de la recherche scientifique. Cela a donné naissance au concept de « consentement large », souvent utilisé dans le domaine des biobanques et des études longitudinales. Cependant: 

• Le consentement large doit tout de même définir un domaine de recherche général; 
• Il ne peut justifier des cas futurs totalement ouverts et indéterminés. Les étapes spécifiques d'un projet de recherche dont la réalisation est déjà connue peuvent être mentionnées dès le départ; 
• Des garanties restent obligatoires tout au long du cycle de vie de la recherche; 
• Les utilisations futures des données à caractère personnel doivent, dans la mesure du possible, toujours être communiquées aux participants à la recherche. 

En raison de ces contraintes, le consentement large ne permet généralement pas aux responsables du traitement en aval (c'est-à-dire les responsables du traitement autres que le destinataire initial des données) de réutiliser les données à caractère personnel à des fins de recherche scientifique qui n'étaient pas clairement envisagées lorsque les personnes concernées ont donné leur consentement. De plus, en vertu du RGPD, le consentement peut être retiré ultérieurement par les personnes concernées, ce qui oblige les responsables du traitement à supprimer les données du corpus de données étudié. Cela compromet l'intégrité de la recherche et peut influencer les résultats. Plus largement, fonder le traitement des données utilisées en recherche scientifique sur le consentement est une démarche lourde, car elle implique la conservation et la gestion continues des formulairesle de consentement. Cela peut également conduire à des ensembles de données biaisés, car les personnes qui choisissent de donner leur consentement ne sont pas nécessairement représentatives de l'ensemble de la population. En outre, on peut se demander si le consentement est vraiment volontaire dans toutes les circonstances. 

L'EHDS et le passage à un accès systémique plutôt qu'au consentement 

Lorsque l'EHDS a été proposé, l'intention initiale était de permettre la réutilisation des données de santé électroniques collectées à des fins médicales également pour la recherche scientifique (ce que l'on appelle « l'utilisation secondaire ») dans le respect des garanties de confidentialité, mais sans demander le consentement des patients. Au cours de la procédure législative, cette proposition initiale a suscité de nombreux débats. Dans la version finale de l'EHDS publiée en mars 2025, l'abandon du consentement à des fins d'utilisation secondaire apparaît clairement dans les dispositions du chapitre IV de l'EHDS, accompagné de la possibilité pour les patients de s’y opposer (opt-out). Cependant, le règlement n'abolit ni ne remplace les exigences existantes du RGPD en matière de traitement des données de santé électroniques. Par exemple, les dispositions en matière de transparence prévues à l'article 14 du RGPD restent applicables et les patients, en tant que personnes concernées, doivent être informés du traitement des données par le biais d'avis de confidentialité ou d'autres documents accessibles. 

Dans le cadre de l'utilisation secondaire au titre de l'EHDS, les détenteurs de données de santé peuvent (et doivent) donner accès aux données de santé électroniques qu'ils détiennent, lorsque les organismes d'accès aux données de santé en font la demande conformément aux dispositions du règlement. En ce sens, l'EHDS constitue une base légale fondée sur l'obligation légale pour les détenteurs de données de partager ces données. L'intention de l'EHDS est de s'orienter vers un modèle basé sur la gouvernance mettant l'accent sur la supervision et les garanties techniques. 

Le droit sui generis de retrait 

Afin de préserver l'autonomie individuelle, l'EHDS introduit un mécanisme distinct de retrait (opt-out) qui:

• Permet aux personnes physiques de s'opposer à l'utilisation secondaire de leurs données de santé électroniques sans fournir de motifs; 
• n'exige pas de test de d’équilibre de la part d’un responsable du traitement, et 
• comprend des exceptions strictement définies par les États membres, telles que la recherche scientifique pour des raisons importantes d'intérêt public, sous réserve de mesures appropriées pour protéger les droits fondamentaux des personnes physiques. 

Ce mécanisme de l'EHDS représente un passage d’un consentement ex ante à un choix ex post. Il ne doit pas non plus être confondu avec l'exercice du droit d’opposition prévu à l'article 21 du RGPD. En d'autres termes, les données de santé d'un patient de l'UE, collectées par l'hôpital dans lequel il a été soigné, peuvent être et seront réutilisées à des fins de recherche, à moins que le patient ne décide explicitement de se retirer en communiquant ce choix conformément à la législation de son pays. 

La DGA et l'altruisme en matière de données 

Pour compliquer encore le tableau, un autre instrument juridique de l'UE, la DGA, établit un cadre pour l'altruisme en matière de données, permettant aux individus de partager volontairement leurs données avec des organisations d'altruisme en matière de données (DAO) à des fins d'intérêt général telles que: 

• La santé publique; 
• La recherche scientifique; 
• L'action climatique; 
• Les politiques publiques. 

Contrairement à l'EHDS, la DGA repose explicitement sur le consentement conforme au RGPD pour le traitement des données à caractère personnel par les DAO. À leur tour, ces DAO: 

• Doivent être à but non lucratif et transparentes; 
• Ne doivent traiter les données qu'à des fins d'intérêt général spécifiées dans le consentement; 
• doivent fournir des mécanismes permettant d’exprimer le consentement et de le retirer facilement; 
• doivent s'assurer que les détenteurs de données comprennent à la fois les finalités et le modèle de gouvernance. 

La DGA exige également la création d'un formulaire européen de consentement à l'altruisme en matière de données, dans le but d'harmoniser les pratiques au sein de l'UE. 

Toutefois, dans le cadre des propositions « Digital Omnibus » de la Commission européenne, visant à renforcer la cohérence du cadre réglementaire numérique, la DGA serait intégrée dans la loi sur les données tout en préservant l'essence même du cadre altruiste, à savoir le traitement des données à caractère personnel sur la base du consentement. La Commission propose notamment de supprimer l'exigence actuelle de la DGA relative à un formulaire européen de consentement à l'altruisme en matière de données (une analyse des autres modifications proposées dans le Digital Omnibus est disponible ici). Le Digital Omnibus n'ayant pas encore été adopté, ce blog continue de faire référence à la DGA dans sa forme actuelle. 

Défis découlant de l'interaction entre la DGA, l'EHDS et le RGPD 

L'EDHS et la DGA s'appuient toutes deux sur les principes de traitement des données prévus par le RGPD. Cependant, l'EHDS est une réglementation verticale et sectorielle, tandis que la DGA a été conçue comme une législation horizontale. Cette différence génère plusieurs complexités, notamment: 

La finalité d'intérêt général de l'altruisme en matière de données: bien que l'altruisme en matière de données dans le cadre de la DGA repose sur la notion de consentement du RGPD, l'objectif de la collecte de données par la DAO est de permettre la réalisation de futurs projets de recherche , encore non encore spécifiés. Dès lors, le défi consiste à formuler l'objectif de manière à ce qu'il englobe les projets futurs, permette la réutilisation des données par de futurs utilisateurs, non identifiés au moment de la collecte du consentement, et reste fidèle aux principes du consentement prévus par le RGPD. 

Interaction avec l'EHDS : les exigences générales en matière d'altruisme des données dans le cadre de la DGA ne pas correspondent pas toujours à l'objectif de l'EHDS et soulèvent des questions pratiques telles que: 

• Une DAO pourrait-elle être considérée comme un détenteur de données de santé au sens de l'EHDS, ce qui l’obligerait à partager les données à des fins d’utilisation secondaire sur la base d'une obligation légale plutôt que sur la base du consentement? 
• Cela signifierait-il que les données fournies par les personnes concernées pourraient être mises à disposition pour toute utilisation secondaire, même si le consentement visait certaines fins altruistes? 

Par conséquent, une application incohérente de la DGA et de l'EHDS risque de nuire à la confiance dans les deux systèmes. 

Complexités liées au statut juridique: Il est probable que les institutions publiques, les organisations et les institutions à but non lucratif cherchent à participer à des activités d'altruisme en matière de données parallèlement à leurs fonctions traditionnelles dans le domaine des soins de santé. Dans de tels cas, cela pourrait avoir des implications structurelles, nécessitant une séparation des fonctions afin de garantir le respect de la base juridique, lorsque, en vertu du RGPD, le consentement peut être l'un des fondements juridiques du traitement, tandis qu'en vertu de la DGA, le consentement est le fondement explicite du traitement des données à caractère personnel par la DAO. 

La voie à suivre 

Chaque régime juridique aborde la réutilisation des données de santé différemment : le RGPD par la limitation des finalités, la DGA par le partage volontaire des données et le consentement modulable, et l'EHDS par un modèle d'utilisation secondaire axé sur la gouvernance avec un droit de retrait sui generis. Bien qu'ils partagent des objectifs communs, ils fonctionnent selon des logiques différentes, ce qui crée des tensions pratiques et conceptuelles. Les nouveaux cadres de gouvernance des données de l'UE montrent que le recours au seul consentement comme moyen de légitimer le traitement des données à des fins de recherche en matière de santé ne peut être maintenu dans un écosystème de recherche complexe et interconnecté. 

Pour que les cadres du RGPD, de l'EHDS et de la DGA fonctionnent ensemble, une action réglementaire transversale alignée sur l'ambition de l'UE en matière de réutilisation responsable des données est nécessaire. Le paquet Digital Omnibus proposé représente une opportunité majeure d'y parvenir. Dans le secteur des soins de santé, son potentiel réside dans la réduction desambiguïté relatives aux exigences en matière de consentement, l'harmonisation des mécanismes de réutilisation des données, la clarification de l’articulation entre transparence, retrait du consentement et droit d’opposition dans des régimes parallèles, et la mise en place d'une approche plus cohérente de la gouvernance des données.