1. Principes généraux
La Commission peut accorder l’accès, à des fins de recherche, à des données pseudonymisées qu’elle détient aux fins visées à l’article 1er du règlement (CE) no 1217/2009, pour autant que les conditions suivantes soient remplies:
a) l’utilisation des données de recherche est conforme aux finalités visées à l’article 1er du règlement (CE) no 1217/2009;
b) l’accès aux données de recherche, leur utilisation et leur traitement respectent la protection des données pseudonymisées et des données individuelles dont elles proviennent, conformément aux articles 16 et 16 bis du règlement (CE) no 1217/2009 et aux dispositions des règlements (UE) 2016/679 et (UE) 2018/1725;
c) l’accès n’est accordé qu’aux données strictement nécessaires aux fins de la recherche en question;
d) l’entité demandant l’accès aux données est reconnue dans le domaine de la recherche, des études ou de l’analyse;
e) les données sont nécessaires pour un projet d’intérêt public et ses résultats sont rendus publics;
f) les mesures de sécurité physiques, techniques et administratives visant à protéger les données pseudonymisées sont adaptées à la protection des données pseudonymisées demandées. Les mesures proposées sont précisées par l’entité demandeuse;
g) les données pseudonymisées ne sont utilisées que pour la période autorisée. Toute extension de l’utilisation des données est soumise à l’autorisation de la Commission;
h) la demande d’accès aux données pseudonymisées qui est présentée à la Commission démontre la conformité de l’accès et de l’utilisation des données de recherche proposés avec les conditions énumérées aux points a) à g).
Lorsqu’elle accorde l’accès, la Commission respecte les principes de subsidiarité, de proportionnalité et de précaution, selon le cas, conformément aux articles 16 et 16 bis du règlement (CE) no 1217/2009 et aux dispositions des règlements (UE) 2016/679 et (UE) 2018/1725:
— principe de subsidiarité: l’utilisation des données devrait être pertinente à l’échelle de l’Union ou de plusieurs États membres. Si une demande concerne un seul pays, elle doit être soumise à l’État membre concerné,
— principe de proportionnalité: l’accès n’est accordé que pour la durée et la portée strictement nécessaires à l’analyse,
— principe de précaution: les risques d’utilisation abusive des données sont réduits au minimum.
2. Demande d’accès à des données pseudonymisées
La demande d’accès aux données à des fins de recherche indique:
a) la personne ou l’entité qui demande l’accès;
b) la localisation de la personne ou de l’entité demandeuse, en précisant si elle se trouve sur le territoire de l’Union ou en dehors de celui-ci;
c) l’objectif légitime de la recherche, sa source de financement et la propriété des résultats de la recherche;
d) l’explication des raisons pour lesquelles cet objectif nécessite l’utilisation des données pseudonymisées demandées et ne peut être atteint en utilisant des données anonymes;
e) la manière dont l’accès aux données, leur traitement et leur utilisation sont conformes à la finalité des données et aux garanties en matière de données requises par le règlement (CE) no 1217/2009, ainsi qu’aux principes généraux mentionnés au point 1. La personne ou l’entité demandeuse devrait préciser quels sont les risques recensés et les mesures d’atténuation qu’elle prévoit de mettre en place;
f) les personnes qui auront accès aux données;
g) les systèmes d’accès qui seront utilisés;
h) les ensembles de données à consulter et les méthodes d’analyse de ces données;
i) la période d’accès aux données;
j) les résultats escomptés de la recherche qui seront publiés ou autrement diffusés; et
k) toute autre information pertinente pour la justification de la demande.
La demande d’accès est accompagnée d’une déclaration de confidentialité signée par chaque individu qui aura accès aux données.
La Commission évalue si la demande est conforme aux principes généraux mentionnés au point 1 et décide d’approuver ou de rejeter la demande. Si la demande est conforme au règlement (CE) no 1217/2009, elle peut être approuvée. La demande est rejetée si l’utilisation prévue des données pseudonymisées n’est pas conforme aux règlements (UE) 2016/679 et (UE) 2018/1725 ou, en tout état de cause, ne garantit pas une protection équivalente en cas de transferts internationaux.
En évaluant la demande d’accès, la Commission tient aussi compte de la nécessité de protéger les données individuelles et, en particulier, du respect des règles relatives aux transferts de données vers des destinataires situés en dehors du territoire de l’Union, énoncées au chapitre V du règlement (UE) 2016/679 et au chapitre V du règlement (UE) 2018/1725.