Retrait d'une étude : arrêter les usages consentis

Un participant retire son consentement alors que ses réponses circulent déjà entre le coordinateur, un institut d’enquête et deux analystes. Effacer son nom du fichier d’inscription laisse intactes les données qui alimentent l’étude. Il faut arrêter les usages concernés, retrouver les copies et distinguer ce qui reste personnel des résultats réellement anonymes.

Ce guide concerne la recherche hors santé lorsque le traitement repose sur le consentement RGPD. Il propose un circuit de décision et un exemple chiffré fictif. Un accord de participation à une recherche ne signifie pas nécessairement que le consentement constitue sa base légale.

Lire la demande et retrouver la base légale

La CNIL distingue le consentement RGPD de l’accord de participation à la recherche. Une recherche peut relever d’une autre base légale, sous ses conditions propres. Il faut donc retrouver la notice remise au participant et la décision documentée avant la collecte. L’étiquette « étude scientifique » ne résout pas cette question.

Lorsque le traitement repose effectivement sur le consentement, l’Art. 7(3) permet son retrait à tout moment. Le retrait doit être aussi simple que l’accord initial. Une inscription par formulaire ne justifie pas d’imposer ensuite un courrier recommandé ou un entretien destiné à faire changer le participant d’avis.

Délimitez ensuite sa demande. « Ne me contactez plus pour la deuxième vague, mais gardez mes réponses » diffère de « Je retire mon consentement à l’utilisation de mes données dans votre étude ». La séparation n’est valable que si les finalités et choix proposés permettent réellement cette distinction. Ne faites pas découler un accord supplémentaire d’une phrase ambiguë.

Si une clarification est nécessaire, posez une question courte sans poursuivre les usages manifestement retirés. Le participant n’a pas à connaître les noms des logiciels, des fichiers ou des partenaires. Son interlocuteur doit traduire sa demande en opérations exécutables.

Arrêter le traitement sans réécrire son fondement

Le retrait n’annule pas rétroactivement la licéité des opérations effectuées avant lui. Il retire en revanche l’autorisation de poursuivre les opérations concernées sur cette base. La difficulté méthodologique ou le coût de refaire un calcul ne permettent pas de l’ignorer.

Dans ses lignes directrices 05/2020, paragraphes 117 à 123 et 163, le CEPD traite l’arrêt des opérations consenties et exclut le changement opportuniste de base légale. Il rappelle aussi que la recherche scientifique ne bénéficie pas d’une exemption au droit de retirer son consentement.

L’Art. 17(1)(b) prévoit l’effacement lorsque le consentement est retiré et qu’aucun autre fondement juridique ne justifie le traitement. Cela n’interdit pas toute conservation distincte : un dossier minimal prouvant la gestion de la demande peut répondre à une autre finalité, avec sa propre justification. Cette conservation n’autorise pas à continuer l’analyse des réponses sous un nouveau nom.

L’exception de recherche de l’Art. 17(3)(d) concerne le droit à l’effacement et comporte des conditions précises, notamment celles de l’Art. 89(1). Elle ne fournit pas une base légale de remplacement. Invoquer la valeur scientifique du jeu de données sans résoudre la licéité de sa conservation et de ses usages ne suffit donc pas. Le texte du RGPD doit être appliqué opération par opération.

Retrouver les données sans propager l’identité

Le coordinateur ouvre un dossier de retrait avec la date de réception, le périmètre et l’identifiant d’étude. La table de correspondance des pseudonymes permet de retrouver les lignes sans transmettre l’identité civile à chaque analyste. Une donnée pseudonymisée reste personnelle : remplacer un nom par R14 ne la soustrait pas au RGPD.

Préparez ensuite une liste des détenteurs et supports. Elle doit couvrir les espaces partagés, exports locaux, transcriptions, cahiers d’analyse, pièces jointes et prestataires. Le registre des traitements indique le cadre général ; il ne localise pas nécessairement le dernier export d’un chercheur.

Dans un projet partagé, le circuit d’accès des équipes de recherche doit identifier les responsables et les sous-traitants. Un prestataire agit sur instruction dans le cadre applicable ; un responsable distinct doit traiter ses propres obligations. Le coordinateur suit les réponses de chacun au lieu d’assimiler l’envoi d’un courriel à une suppression effective.

Exemple fictif : retirer R14 d’une enquête

Une association conduit une étude sur l’utilisation de bornes d’information. Pour cet exemple uniquement, les réponses personnelles sont traitées sur la base d’un consentement valable. Le fichier de travail contient 80 participants, dont 20 déclarent avoir trouvé immédiatement l’information recherchée. R14 fait partie de ces 20 personnes et retire intégralement son consentement avant le prochain calcul.

L’analyste efface la ligne R14 du fichier central, mais conserve un classeur de travail indiquant 20 réponses positives sur 80, avec un onglet de détail pseudonymisé où R14 figure encore. Dans cette hypothèse, le classeur reste personnel et continue d’alimenter l’analyse annoncée sur la population restante. Le retrait n’est pas correctement propagé : une copie exploitable de la contribution subsiste.

Pour la nouvelle analyse, le dénominateur devient 79 et le numérateur 19, soit environ 24,05 %, contre 25 % avant retrait. Ce calcul illustre une vérification de cohérence ; il ne démontre ni la représentativité de l’enquête ni une différence statistiquement significative. Si R14 n’avait pas donné une réponse positive, le numérateur serait resté 20 : supprimer mécaniquement une unité des deux côtés aurait créé une autre erreur.

Le coordinateur demande donc trois confirmations distinctes : R14 a disparu du fichier utilisé, le calcul emploie cette nouvelle version et les verbatims identifiables ne restent pas dans le rapport en préparation. Il vérifie aussi qu’un analyste ne relance pas un ancien script pointant vers une copie antérieure.

Supposons maintenant qu’un résultat produit avant le retrait soit déjà réellement anonyme. Publié ou non, il n’est pas soumis à l’effacement RGPD simplement parce que R14 avait participé à sa production. La distinction pertinente est son caractère personnel, pas son statut provisoire ou publié. Cette conclusion exige une analyse de l’anonymat ; elle ne découle ni du mot « statistique » ni du nombre de lignes affichées.

Examiner les résultats anonymes et les données dérivées

Le considérant 26 fait sortir du champ du RGPD les informations anonymes, en tenant compte des moyens raisonnablement susceptibles d’être utilisés pour identifier une personne. Un tableau sans noms peut néanmoins révéler un individu par une profession rare, un lieu précis ou un croisement avec une publication antérieure.

Recherchez aussi les citations et variables dérivées. Le résumé « seul responsable technique de l’établissement » peut rester identifiant. Un score attaché au pseudonyme R14 reste une donnée personnelle, même si l’enregistrement d’origine a disparu. La décision d’effacement doit donc suivre les transformations pertinentes.

Inversement, ne promettez pas d’isoler la contribution d’une personne dans un résultat devenu effectivement anonyme si aucun lien ne subsiste. Documentez l’état réel des données. La qualification concerne chaque ensemble : le rapport peut être anonyme alors que son fichier source reste personnel et doit être traité séparément.

Empêcher le retour d’une copie supprimée

Une suppression dans l’outil central ne ferme pas le dossier si une pièce jointe circule encore chez un partenaire. Demandez une confirmation ciblée : emplacement traité, date, opération réalisée et difficulté restante. Évitez de faire renvoyer le fichier entier comme preuve de suppression.

Pour les sauvegardes contenant des données personnelles, identifiez les contraintes techniques, les accès autorisés, le calendrier applicable et les mesures empêchant une réutilisation. Une sauvegarde ne constitue pas une exception générale au droit à l’effacement. La durée résiduelle doit être justifiée, pas simplement présentée comme une propriété inchangeable du logiciel.

La procédure de restauration doit réappliquer les décisions de suppression avant de remettre les données à disposition des analystes. Un identifiant minimal de suivi peut servir à ce contrôle, si sa propre conservation est encadrée. Garder toutes les réponses « au cas où » contredirait l’objectif poursuivi.

Le dossier de preuve d’exécution de l’effacement rassemble ces confirmations et limites. Pour un effacement relevant de l’Art. 17(1), l’Art. 19 impose d’informer les destinataires auxquels les données ont été communiquées, sauf impossibilité ou efforts disproportionnés. Cette réserve se justifie concrètement ; elle ne dispense pas de rechercher les destinataires connus.

Répondre précisément au participant

L’arrêt des opérations fondées sur le consentement retiré n’attend pas l’expiration du délai de réponse aux droits. Lorsqu’une demande d’effacement est reçue le 6 octobre, l’Art. 12(3) impose une réponse dans les meilleurs délais et au plus tard le 6 novembre. Une prolongation de deux mois peut être nécessaire compte tenu de la complexité et du nombre de demandes ; elle doit être annoncée et motivée dans le premier mois.

La réponse explique les usages arrêtés, les ensembles effacés et les éventuelles conservations résiduelles avec leur justification. Elle distingue une opération exécutée d’une vérification encore ouverte. En cas de refus d’agir sur la demande, l’Art. 12(4) impose notamment d’indiquer les motifs et les voies de réclamation ou de recours.

Une formulation de travail pourrait être : « Les sollicitations et analyses concernant votre participation ont été arrêtées. Vos réponses ont été retirées des fichiers actifs identifiés. Le dossier de suivi conserve uniquement les éléments nécessaires à la preuve du traitement de votre demande. » Ce texte doit être adapté aux opérations effectivement vérifiées, notamment si des copies restent à traiter.

Ce qu’il faut retenir

• Identifiez le consentement concerné avant d’interpréter le retrait.
• Arrêtez les usages et suivez leurs données d’entrée, copies et résultats personnels.
• Ne remplacez pas opportunément le consentement par une autre base.
• Distinguez un résultat réellement anonyme d’un fichier simplement pseudonymisé.
• Prouvez les opérations réalisées sans conserver inutilement les réponses.

FAQ

Le retrait impose-t-il de recommencer toute l’étude ?

Il impose de traiter les conséquences sur les opérations concernées. Les calculs à venir utilisant les données personnelles retirées doivent être revus ; un résultat déjà réellement anonyme, publié ou non, n’est pas soumis à l’effacement RGPD.

Peut-on demander au participant de motiver son choix ?

Une justification n’est pas une condition du retrait du consentement. Une clarification peut servir à comprendre son périmètre, sans devenir un obstacle à son exécution.

Faut-il conserver un enregistrement pour prouver la demande ?

La preuve doit rester nécessaire et proportionnée. Un suivi daté et limité peut suffire ; conserver l’intégralité des entretiens exige une justification distincte et ne découle pas du seul besoin de prouver le retrait.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.