Les chercheurs privés ou œuvrant pour le compte d’un organe public fédéral ainsi que les organes publics fédéraux qui font eux-mêmes de la recherche (tels les écoles polytechniques fédérales) sont soumis à la Loi fédérale sur la Protection des Données (LPD). Les traitements de données effectués par des organes publics cantonaux (tels que les universités, les hautes écoles, les hôpitaux cantonaux et universitaires, etc.) sont soumis aux lois cantonales – pour le canton de Vaud voir la Loi cantonale vaudoise sur la protection des données personnelles (LPrD). Dans le cas de projets de recherche impliquant des collaborations entre organes publics cantonaux et fédéraux, les deux lois s’appliquent.

Aux lois générales en matière de protection des données, s’ajoutent également un certain nombre de lois spéciales. Parmi celles-ci figure la Loi fédérale relative à la recherche sur l’être humain (LRH) qui prévoit des dispositions particulières en matière de protection de données personnelles liées à la santé.

En Europe, la protection des données et de la vie privée de tout individu résidant au sein de l’UE est réglementée par le Règlement Général de Protection des Données (RGPD). Sont soumises à ce règlement toutes les personnes, institutions et entreprises qui collectent et traitent des données personnelles de résidents de l’UE ou envoient des données de ressortissants suisses à l’étranger (UE).

De nombreux pays possèdent des règlementations nationales en matière de protection des données. Pour un aperçu vous pouvez consulter le site de la CNUCED.

L’anonymisation constitue la mesure la plus efficace en termes de partage de données. En effet, les données anonymisées ne sont pas concernées par les différents textes juridiques en matière de protection des données et présentent un risque quasi nul pour les participant·e·s à une recherche. Comprise comme la suppression définitive des informations permettant l’identification d’un individu, l’anonymisation totale est une promesse difficile à tenir. C’est la raison pour laquelle il est toujours utile d’obtenir le consentement éclairé des individus.

Le consentement éclairé constitue une mesure relevante dans le sens où il permet d’obtenir l’autorisation des personnes de partager leurs données personnelles. Ainsi, lorsqu’une anonymisation totale n’est pas possible, les personnes doivent être informées du type de données que les chercheurs souhaitent partager ainsi que des risques potentiels de ré-identification (p. ex. par croisement d’identifiants indirects). Une fois informés, les participant·e·s peuvent se prononcer en toute connaissance de cause concernant le partage (ou non) de leurs données. C’est pourquoi nous recommandons que les formulaires de consentement prennent toujours en compte la question d’archivage et d’utilisation future des données. Pour en savoir davantage sur le consentement éclairé, vous pouvez consulter notre guide FORS:

Guide FORS N°5: The informed consent as legal and ethical basis of research data production

Les contrats d’utilisation constituent une troisième couche de protection possible. En passant par un répositoire reconnu, tel que FORSbase, les utilisateurs qui accèderont à vos données doivent signer un contrat par lequel ils s’engagent à ne pas essayer d’identifier les participants au projet de recherche. Si vos données présentent toujours des risques malgré l’obtention d’un consentement et la mise en place de techniques d’anonymisation, vous pouvez émettre des conditions supplémentaires, comme par exemple déterminer dans quel cadre vos données peuvent être utilisées ou alors ne les remettre que sous condition d’un accord préalable. Dans certains cas, des données anonymisées perdraient leur potentiel analytique, ce qui pourrait justifier de réduire l’anonymisation au minimum et de compenser le risque par un consentement éclairé adapté ainsi qu’un contrôle d’accès renforcé.