DUAA 2025 : utilisation des données à des fins de recherche scientifique au UK
Cet article est le neuvième et dernier d’une série d’articles[1] examinant les changements apportés par le « Data (Use and Access) Act 2025 » ou Loi DUA par comparaison au RGPD.
La loi DUA regroupe dans un nouveau chapitre 8A du RGPD britannique les garanties pour les traitements à des fins de recherche scientifique ou historique ou à des fins statistiques (auquel il est fait référence sous les termes “RAS purposes”). Ce chapitre décrit les garanties fondamentales à mettre en place et à respecter.
La loi DUA donne une définition de la recherche scientifique qui reprend les termes du considérant 159 RGPD européen, et qui comprend aussi la recherche scientifique « privée » ou « commerciale ».
La loi conserve l’exigence que le consentement utilisé comme base légale d’une recherche scientifique doit être « spécifique ». Cependant, sur le modèle du considérant 33 du RGPD, la loi prévoit que le consentement demeure valable, même si au moment du consentement, il n’a pas été possible d’en identifier pleinement les finalités. Ceci, sous réserve que cette approche soit conforme aux normes éthiques généralement reconnues et aussi que, dans la mesure du possible, les personnes aient la possibilité de ne consentir qu’à une partie de la recherche.
La loi permettra également aux organisations de réutiliser les données personnelles des individus à des fins de recherche scientifique sans leur fournir d’information sur le traitement des données lorsque cela est impossible ou impliquerait un effort disproportionné. Ce qui constitue un « effort disproportionné » dépendra, entre autres, du nombre de personnes concernées, de l’ancienneté des données personnelles et des garanties appropriées appliquées au traitement
En revanche, si un responsable du traitement se fonde initialement sur le consentement comme base légale pour des finalités de recherche scientifique, la loi transpose le point de vue de l’ICO, selon lequel un nouveau consentement sera requis pour tout traitement ultérieur. Cette règle est plus restrictive que celle applicable dans d’autre cas d’utilisation des données pour de nouvelles finalités (voir notre article sur la limitation des finalités et la présomption de comptabilité).
La Loi DUA prévoit aussi une définition du traitement à des fins statistiques. Il s’agit du traitement visant à produire des enquêtes ou des résultats statistiques lorsque les informations en résultant sont agrégées, ne sont pas des données personnelles et ne sont pas utilisées pour prendre des mesures ou des décisions concernant une personne dont les données ont été traitées pour produire les résultats.
Voir aussi notre article en anglais
The Data (Use and Access) Act 2025: A New Chapter in the UK’s Data Protection
[1] Lire aussi :
1- Le Data (Use and Access) Act 2025 réforme le droit de la protection des données au UK
2 – DUAA 2025 : prise de décision individuelle automatisée au UK
3 – DUAA 2025 : introduction de « l’intérêt légitime reconnu » au UK
4 – DUAA 2025 : droits des personnes concernées et mécanismes de réclamation au UK
5 – DUAA 2025 : vie privée et communications électroniques au UK
6 – DUAA 2025 : transferts internationaux de données – refonte de l’évaluation des risques au UK
7 – DUAA 2025 : catégories particulières de données et protection des enfants au UK
8 – DUAA 2025 : principe de limitation des finalités et présomption de compatibilité au UK
9 – DUAA 2025 : utilisation des données à des fins de recherche scientifique au UK