Traitements de données à des fins de recherche scientifique (hors santé) : quand saisir la CNIL ?
CNIL — Licence Ouverte / Etalab 2.0. Publication d'origine, 4 février 2026.
Texte officiel intégral
Ci-dessous, le corps complet de la publication de CNIL, reproduit sans modification. La Licence Ouverte / Etalab 2.0 en autorise expressément la reproduction, à la seule condition d'en mentionner la paternité.
La CNIL précise les cas dans lesquels un avis de sa part est nécessaire pour réaliser une recherche scientifique publique (hors santé) reposant sur le traitement de données sensibles.
Il est en principe interdit de recueillir et d’utiliser des données sensibles, sauf exceptions prévues par le règlement général sur la protection des données (RGPD).
En l’absence d’autre exception mobilisable (par exemple en justifiant d’avoir le consentement des personnes concernées – article 9 du RGPD), il est possible de traiter des données sensibles dans le cadre d’une recherche scientifique (hors santé) sous réserve d’avoir saisi la CNIL pour avis (en application de l’article 44.6 de la loi Informatique et Libertés).
- le traitement doit être nécessaire à des fins de recherche scientifique publique ( au sens du code de la recherche ) ;
Ainsi, si votre traitement relève de la recherche scientifique au sens du RGPD et qu’il remplit les conditions précitées, vous pourrez saisir la CNIL.
Il s’agit d’une recherche scientifique publique
Afin d’aider les responsables de traitement à déterminer s’ils peuvent bénéficier des dispositions applicables à la recherche scientifique, la CNIL propose un faisceau de critères permettant d’apprécier si un traitement peut, ou non, relever de la recherche scientifique publique.
Un critère organique
Le critère « organique » concerne la nature de l’organisme qui met en œuvre la recherche.
Une université, un organisme de recherche tel que le CNRS ou un centre de recherche comme l’Institut de recherche criminelle de la gendarmerie nationale (IRCGN) ont vocation à mettre en œuvre ce type de traitements. Ces organismes ont vocation « par nature » à effectuer de la recherche scientifique.
Au sens du code de la recherche, les recherches mises en œuvre par l’un des organismes suivants, sont des recherches publiques :
- les établissements publics à caractère scientifique, culturel et professionnel ;
- les établissements de santé dans les établissements privés à but non lucratif en contrat avec l'État tels que définis à l' article L. 732-1 du code de l'éducation, et dans les entreprises publiques.
Des critères de fond
En effet, le code de la recherche indique que la recherche publique doit avoir pour objectifs (non cumulatifs) :
- le développement et le progrès de la recherche dans tous les domaines de la connaissance ;
- la valorisation des résultats de la recherche au service de la société, qui s'appuie sur l'innovation et le transfert de technologie ;
- le développement d'une capacité d'expertise et d'appui aux associations et fondations, reconnues d'utilité publique, et aux politiques publiques menées pour répondre aux défis sociétaux, aux besoins sociaux, économiques et du développement durable ;
Exemple : La CNIL a déjà reconnu que la mise en œuvre d’un entrepôt de données « hors santé » pouvait être reconnu comme de la recherche scientifique publique dans la mesure où la constitution d’un tel entrepôt répond à l’objectif de partage et de diffusion des connaissances scientifiques et d’organisation de l’accès libre aux données scientifiques (voir CNIL, SP, 16 mars 2023, avis sur projet de mise en œuvre d’un traitement dénommé Études détaillées d’accident, n°2023-025 ).
Cette recherche porte sur des données sensibles
Le traitement porte sur des données sensibles au sens de l’ article 9 du RGPD. Il s’agit :
- des données à caractère personnel qui révèlent la prétendue origine raciale ou l'origine ethnique ;
- des données biométriques aux fins d'identifier une personne physique de manière unique ;
- des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique.
Il convient, lors de la saisine de la CNIL pour avis, de préciser le type de données sensibles collectées dans le cadre de la recherche.
Pour rappel, les données d’infraction ( article 10 du RGPD ) ne constituent pas des données sensibles au sens du RGPD, même si leur traitement fait l’objet d’un encadrement spécifique.
Leur seul traitement dans le cadre d’un projet de recherche ne nécessite donc pas de saisine de la CNIL pour avis en application de l’article 44.6 de la loi Informatique et Libertés.
Focus : les éléments pertinents à fournir à la CNIL pour l'examen de votre dossier
- Protocole de recherche, contrat de recherche, ou tout autre document expliquant le processus de recherche.
Fin du texte officiel repris
Source :CNIL, publié le — Licence Ouverte / Etalab 2.0.
Consulter la publication d'originehttps://www.cnil.fr/fr/traitements-de-donnees-des-fins-de-recherche-scientifique-hors-sante-quand-saisir-la-cnil
Texte reproduit dans son intégralité. La mention de la source et de sa date de dernière mise à jour est la seule condition posée par la Licence Ouverte / Etalab 2.0 ; elle ne confère aucun caractère officiel à cette reprise et ne vaut ni reconnaissance ni caution de fildactu.fr par l'émetteur.
Sources
Sujets liés
Comment ce sujet a-t-il été constitué ?
Les publications des sources suivies sur la rubrique Tech sont dédoublonnées par empreinte de titre sur une fenêtre de 72 heures, puis regroupées lorsqu'elles couvrent le même événement. Le compteur indique combien d'émetteurs distincts l'ont traité.
Le texte encadré plus haut est le corps de la publication de CNIL, repris dans son intégralité et sans modification. La Licence Ouverte / Etalab 2.0 sous laquelle cet organisme diffuse ses informations concède « un droit non exclusif et gratuit de libre réutilisation », dont celui « de la communiquer, la reproduire, la copier » et « de l'exploiter à titre commercial », sous la seule réserve d'en « mentionner la paternité » — la source et la date de dernière mise à jour, portées en tête et en pied du texte, avec le lien vers l'original. La mise en page — chapô détaché, intertitres, sommaire — est de fildactu.fr ; les mots sont ceux de l'émetteur, et pas un n'a été ajouté, retiré ni reformulé. Pour la presse et pour toute source sans autorisation vérifiée, fildactu.fr ne conserve que le titre tel que publié, le nom de l'éditeur, le lien d'origine et la date.