Article 89 RGPD : recherche, archives et garanties

Qualifier un fichier de « recherche » ne permet ni de le conserver indéfiniment ni d’écarter les demandes des personnes. L’article 89 organise des garanties et permet certaines dérogations dans un cadre précis. Pour utiliser ce régime, il faut identifier la finalité, la règle invoquée et les mesures réellement appliquées.

L’article 89 n’est pas une base légale autonome

Les traitements à des fins archivistiques dans l’intérêt public, de recherche scientifique ou historique, ou statistiques restent soumis au RGPD. Ils nécessitent notamment un fondement de l’Art. 6(1) et, pour des catégories particulières de données, une exception pertinente de l’Art. 9(2). L’étiquette « étude » ne suffit pas.

L’Art. 5(1)(b) prévoit que les réutilisations pour ces finalités ne sont pas considérées comme incompatibles avec les finalités initiales lorsqu’elles respectent l’Art. 89(1). L’Art. 5(1)(e) permet une conservation plus longue pour un traitement exclusivement consacré à ces finalités, sous réserve des garanties requises. Ces dispositions ne suppriment pas l’examen concret de la licéité et de la nécessité. Source : RGPD, Art. 5, 6 et 9.

Pour un projet d’indicateurs, commencez par distinguer la réutilisation à des fins statistiques d’une analyse qui sert directement à prendre des décisions sur des personnes identifiables.

Art. 89(1) : des garanties adaptées à l’identification

Le paragraphe 1 exige des garanties appropriées pour les droits et libertés, avec des mesures techniques et organisationnelles assurant notamment la minimisation. Il mentionne la pseudonymisation lorsque les finalités peuvent être atteintes ainsi. Lorsque les finalités peuvent être atteintes par un traitement ne permettant pas ou plus l’identification, il faut procéder de cette manière. Source : texte de l’article 89.

La question de travail est donc : quelle identification reste nécessaire, pour quelle étape et pour quels intervenants ? Une étude longitudinale peut nécessiter un rapprochement dans le temps sans que tous les analystes aient accès aux identités.

La gestion de la table de correspondance doit séparer les accès utiles et prévenir les rapprochements non autorisés. Le seul remplacement du nom par un code ne suffit pas à démontrer l’anonymat. L’article 89 ne prescrit ni un algorithme de hachage universel, ni une durée unique de conservation des journaux.

Art. 89(2) et (3) : quelles dérogations aux droits ?

Le RGPD permet au droit de l’Union ou d’un État membre de prévoir des dérogations. L’organisme ne peut pas créer seul une exception générale dans sa notice.

Une difficulté pratique ou le coût habituel d’une réponse ne justifie pas, à lui seul, de déclarer tous les droits inapplicables. Consignez le droit demandé, le texte de dérogation pertinent, l’effet concret de son exercice et les solutions moins restrictives examinées.

Le cadre français : loi et décret

L’article 78 de la loi Informatique et Libertés traite notamment des services publics d’archives : les droits qu’il vise ne s’appliquent pas dans la mesure où ils rendent impossible ou compromettent gravement la réalisation des finalités archivistiques, sous les conditions prévues. Les garanties relèvent notamment du code du patrimoine et des normes professionnelles. Pour la recherche scientifique ou historique et les statistiques, cet article renvoie à un décret en Conseil d’État. Source : loi Informatique et Libertés, Art. 78 et 79.

L’article 116 du décret n° 2019-536 du 29 mai 2019 encadre les dérogations aux Art. 15, 16, 18 et 21. Il exige leur nécessité lorsque les droits risquent de rendre impossible ou d’entraver sérieusement les finalités spécifiques. Il prévoit notamment un accès et des modifications limités aux personnes autorisées, selon les règles déontologiques du secteur et les finalités poursuivies. Source : décret n° 2019-536, Art. 116.

Le même article encadre la diffusion : il pose l’anonymisation préalable, sous les exceptions qu’il prévoit après mise en balance ; pour les résultats de recherche, la diffusion de données personnelles doit être absolument nécessaire à leur présentation. Les données doivent rester adéquates, pertinentes et limitées. Préparez donc la publication séparément de l’accès de l’équipe de recherche.

Une durée de communicabilité d’archives ne doit pas être présentée comme une durée générale de conservation. De même, les formalités particulières aux recherches en santé ne se déduisent pas du seul article 89.

Hors santé, la CNIL rappelle un cas particulier de saisine : certains traitements de recherche scientifique publique portant sur des données sensibles pour un motif d’intérêt public important, au titre de l’article 44(6) de la loi, lorsqu’aucune autre exception pertinente ne s’applique. Ce n’est pas une autorisation préalable générale de toute recherche. Source : CNIL, recherche scientifique hors santé, 4 février 2026.

Information et effacement : des exceptions distinctes

L’Art. 14(5)(b), en cas de collecte indirecte, prévoit une exception à l’information dans les conditions qu’il énonce, notamment si elle est impossible, disproportionnée ou compromet gravement les objectifs. Des mesures appropriées doivent alors protéger les personnes, y compris la mise à disposition publique des informations. Ce n’est pas une dispense automatique pour tous les projets scientifiques.

Le droit à l’effacement comporte aussi l’exception de l’Art. 17(3)(d), pour les finalités visées, dans la mesure où l’effacement risque de rendre impossible ou de compromettre gravement leur réalisation et sous réserve de l’Art. 89(1). Affirmer que l’effacement s’applique toujours, ou jamais, serait donc inexact. Source : RGPD, Art. 14(5)(b) et 17(3)(d).

Quand un projet repose sur le consentement, préparez aussi le traitement de son retrait dans une étude hors santé, sans promettre une suppression indistincte de tous les résultats.

Une demande d’accès pendant une recherche : décision commentée

Exemple fictif. Une association conduit une recherche historique sur les parcours de reconversion d’artisans. Le protocole prévoit deux entretiens espacés d’un an pour comparer les évolutions. Dans cette hypothèse, le consentement spécifique et libre des participants fonde la collecte, au titre de l’Art. 6(1)(a) ; participer n’ouvre droit à aucun service conditionné à cet accord. Le projet exclut les données sensibles et ne sert ni au recrutement ni à la prospection.

Les analystes travaillent avec un code. La coordinatrice conserve séparément la correspondance avec l’identité pour organiser le second entretien et répondre aux droits. Cette organisation reste un traitement de données personnelles : l’association peut retrouver la personne. Le protocole prévoit de réexaminer la nécessité de cette correspondance après le second entretien et la vérification des données. Ce jalon doit déboucher sur une décision, sans devenir une conservation indéfinie « pour la science ».

Le 8 septembre, Nora demande une copie de ses données. Le chercheur propose d’attendre la publication de l’étude au printemps suivant. Pourtant, l’extraction de ses réponses et du résumé de son parcours ne révèle aucune hypothèse tenue secrète aux participants et ne modifie pas le protocole. La coordinatrice peut l’effectuer sans transmettre les entretiens des autres personnes.

La décision est de donner accès. La présence d’une recherche en cours ne démontre pas que la réponse rendrait ses objectifs impossibles ou les entraverait sérieusement. Les conditions de l’article 116 ne sont donc pas établies dans ce dossier. Le responsable de traitement organise la réponse dans les meilleurs délais et dans le délai de l’Art. 12(3), au lieu de transformer le calendrier scientifique en délai de réponse. Ici, la copie est préparée et communiquée le 17 septembre, avec les informations requises par l’Art. 15 ; ce jour est une hypothèse de l’exemple, pas un délai réglementaire. Textes des Art. 12 et 15.

La note de décision peut prendre cette forme :

Cette note ne doit pas contenir une seconde copie systématique de tous les entretiens. Elle explique la décision et permet de retrouver la réponse, avec une conservation proportionnée à sa fonction de preuve.

Ce qui changerait réellement la conclusion

Si l’équipe avance un risque pour la recherche, elle doit décrire le mécanisme précis : quelle information serait révélée, quel objectif deviendrait gravement compromis et pourquoi une réponse aménagée ne suffirait pas. Le DPO accompagne cette analyse ; le responsable de traitement assume la décision. Une justification absente ne se remplace pas par la formule « exception scientifique ». En cas de refus, les motifs et les voies de réclamation et de recours doivent être communiqués selon l’Art. 12(4).

La publication est une autre décision. Dans cet exemple, raconter le parcours de Nora avec son métier rare, sa commune et des dates précises peut permettre de la reconnaître malgré le code. L’association prépare donc une restitution collective qui retire ces combinaisons identifiantes et en examine le risque résiduel. Si l’anonymisation nécessaire n’est pas acquise et qu’aucune exception de diffusion n’est justifiée, le jeu individuel reste non publié. Donner à Nora accès à ses propres données n’autorise pas leur mise en ligne.

Pour une équipe répartie entre plusieurs organismes, formalisez l’accès aux données dans un consortium de recherche. Une clause commune ne remplace pas l’attribution réelle des rôles et des habilitations.

L’Art. 89(4) limite les dérogations aux finalités concernées lorsqu’un traitement poursuit aussi d’autres objectifs. Exemple hypothétique : une base utilisée pour une étude et pour contacter individuellement des usagers ne bénéficie pas, pour ce second usage, des dérogations attachées à la recherche. La séparation logique des usages et des accès constitue une mesure à examiner, pas une obligation universelle de créer un entrepôt physique distinct.

Ce qu’il faut retenir

• L’article 89 impose des garanties ; il ne fournit pas une base légale autonome.
• Les dérogations aux droits nécessitent un texte applicable et une justification concrète.
• La France précise ce régime aux articles 78 et 79 de la loi et à l’article 116 du décret de 2019.
• Distinguez accès de l’équipe, publication des résultats et autres usages de la même base.

FAQ

Toutes les données de recherche doivent-elles être anonymisées ?

L’Art. 89(1) impose un traitement ne permettant pas ou plus l’identification lorsque les finalités peuvent être atteintes ainsi. Sinon, il faut justifier l’identification encore nécessaire et appliquer des garanties appropriées, dont la pseudonymisation lorsqu’elle permet d’atteindre les finalités.

Peut-on refuser une demande d’accès parce qu’une étude est en cours ?

Ce seul motif ne suffit pas. Il faut identifier une dérogation prévue par le droit applicable et démontrer ses conditions, notamment la nécessité et l’atteinte grave que l’exercice du droit ferait subir à la finalité.

Les résultats publiés peuvent-ils contenir des données personnelles ?

La diffusion demande une analyse distincte. L’article 116 du décret de 2019 encadre les exceptions à l’anonymisation et exige notamment, pour les résultats de recherche, que cette diffusion soit absolument nécessaire à leur présentation.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.