Comment protéger les données des participants dans un projet de recherche ?

La protection des renseignements personnels est aujourd’hui un élément incontournable de tout projet de recherche impliquant des participants.
Que les données soient recueillies au moyen d’un questionnaire en ligne, d’une plateforme de recherche, d’une application mobile ou d’un autre outil numérique, les chercheurs demeurent responsables de leur protection tout au long du projet.
Au-delà des considérations techniques, cette responsabilité s’inscrit dans un cadre éthique, réglementaire et légal de plus en plus exigeant. Les comités d’éthique de la recherche portent désormais une attention particulière aux mesures mises en place pour assurer la confidentialité, la sécurité et la gouvernance des données des participants.
Réfléchir à la protection des données dès la conception de l’étude permet non seulement de réduire les risques, mais aussi de faciliter l’approbation éthique et de renforcer la confiance des participants.

La première étape consiste à identifier les renseignements qui seront recueillis dans le cadre de l’étude. Toutes les données ne présentent pas le même niveau de risque. Par exemple :

• nom et coordonnées d’un participant;
• données de santé;
• témoignages;
• réponses à des questionnaires;
• données de localisation;
• informations financières;
• données générées par un outil numérique utilisé dans le cadre de la recherche.

Plus les données sont sensibles, plus les mesures de protection devront être importantes. Avant même de mettre en place les outils de collecte, il est utile de se poser quelques questions :

• Pourquoi avons-nous besoin de ces données?
• Sont-elles réellement nécessaires?
• Qui y aura accès?
• Combien de temps seront-elles conservées?
• Le protocole de recherche ou le comité d’éthique impose-t-il des exigences particulières?

Dans plusieurs cas, limiter la collecte au strict nécessaire permet déjà de réduire les risques.

Plusieurs approches peuvent être utilisées pour réduire les risques associés aux renseignements personnels. Elles ne procurent toutefois pas toutes le même niveau de protection et ne répondent pas aux mêmes besoins.

Les informations permettant d’identifier une personne sont supprimées de manière irréversible. Lorsqu’elle est correctement réalisée, il ne devrait plus être possible de réidentifier un participant.

Les identifiants directs sont remplacés par un code ou un identifiant unique. Les données peuvent toutefois être réassociées à une personne grâce à une clé conservée séparément dans un environnement sécurisé.
Cette approche est fréquemment utilisée dans les projets de recherche puisqu’elle permet de réaliser un suivi longitudinal ou d’ajouter de nouvelles données au même participant.

Les renseignements sont répartis entre plusieurs systèmes ou ensembles de données afin de limiter les possibilités de reconstituer le profil complet d’un participant.

Certaines informations sont volontairement modifiées, masquées ou généralisées afin de réduire les risques d’identification tout en conservant leur valeur analytique.

Le chiffrement protège les données lorsqu’elles sont stockées ou transférées. Il constitue aujourd’hui une bonne pratique essentielle, mais ne remplace pas l’anonymisation ou la pseudonymisation. Une donnée chiffrée demeure un renseignement personnel si elle peut être associée à une personne après déchiffrement.

Le choix de la méthode dépend des objectifs de la recherche, des exigences réglementaires et du niveau de risque acceptable.

Les projets de recherche ne sont pas automatiquement exemptés des obligations liées à la protection des renseignements personnels.
Au Québec, la Loi 25 renforce les responsabilités des organisations en matière de gouvernance et de protection des renseignements personnels. Selon le contexte dans lequel les données sont recueillies et l’établissement responsable du projet, plusieurs exigences peuvent s’appliquer.
Par exemple, il peut être nécessaire de :

• limiter la collecte aux renseignements réellement nécessaires;
• mettre en place des mesures de sécurité adaptées;
• contrôler les accès aux données;
• documenter les pratiques de gouvernance;
• protéger les renseignements personnels tout au long de leur cycle de vie.

En parallèle, les universités, les centres de recherche et les établissements de santé possèdent souvent leurs propres politiques institutionnelles. Les comités d’éthique de la recherche évaluent également les mesures prévues pour protéger les participants, limiter les risques de réidentification et assurer une gestion responsable des données.
La conformité ne repose donc pas uniquement sur l’outil utilisé, mais sur l’ensemble des pratiques entourant la collecte, l’utilisation, la conservation et la destruction des données.

Une erreur fréquente consiste à considérer la sécurité comme une étape finale.
En réalité, la protection des renseignements personnels devrait être réfléchie dès la conception du projet de recherche.
Cela peut inclure :

• le choix des technologies utilisées;
• la gestion des accès;
• les mécanismes d’authentification;
• les sauvegardes;
• le chiffrement des données;
• la journalisation des actions importantes.

Plus ces éléments sont intégrés tôt, plus il est facile de mettre en place une solution sécuritaire et conforme aux exigences du projet.

L’hébergement des données représente un enjeu important dans plusieurs projets de recherche.
Avant de choisir un fournisseur ou une plateforme, il est pertinent d’évaluer :

• où les données seront hébergées;
• quelles lois s’appliquent à ces données;
• qui pourrait potentiellement y avoir accès;
• quelles garanties sont offertes par le fournisseur.

Ces éléments peuvent avoir un impact sur la conformité réglementaire, les exigences institutionnelles et les conditions d’approbation du comité d’éthique.

Protéger les données ne signifie pas seulement les stocker de façon sécuritaire.
Il faut également réfléchir à leur cycle de vie complet :

• comment elles sont collectées;
• comment elles sont utilisées;
• qui peut les consulter;
• comment elles sont transférées;
• combien de temps elles sont conservées;
• quand et comment elles sont détruites.

Définir ces règles dès le départ facilite la gestion du projet et contribue au respect des exigences légales et éthiques.

Les participants acceptent de partager des renseignements personnels parce qu’ils comprennent les objectifs de la recherche et les mesures mises en place pour protéger leurs données.
Ils devraient notamment être informés :

• des données qui seront recueillies;
• des objectifs de cette collecte;
• des personnes qui auront accès aux renseignements;
• des modalités de conservation des données;
• de leurs droits, conformément au cadre légal et éthique applicable.

Une communication claire contribue à renforcer la confiance envers l’étude et favorise une participation éclairée.

Aucune plateforme ou solution numérique ne peut garantir à elle seule une protection parfaite des renseignements personnels.
Les technologies jouent un rôle essentiel, mais les processus, la gouvernance, les politiques institutionnelles et les pratiques des équipes de recherche demeurent tout aussi importants.
La protection des données repose autant sur les décisions prises par les chercheurs que sur les outils qu’ils utilisent.

Commissariat à la protection de la vie privée du Canada (CPVP)
Loi 25 (Québec) – Commission d’accès à l’information du Québec
Trois Conseils – Énoncé de politique des trois Conseils (EPTC 2)
Entrée en vigueur du Règlement sur l’anonymisation

Cet article a été rédigé avec l’équipe FJNR et révisé par Mélanie Guérin.