Le 22 octobre 2026, la CNIL a rendu un avis (délibération n° 2026-117, publiée le 24 octobre) sur un projet de recherche du CNRS consacré au racisme et aux discriminations au travail, et à la manière dont les syndicats s’en saisissent. Une partie des données viendra de la base AGORA, qui reçoit les réclamations adressées au Défenseur des droits. L’avis est court. Il touche pourtant un point que beaucoup d’organismes traitent trop vite : l’anonymisation déléguée à un partenaire extérieur.
Le projet et le cadre de la saisine
La recherche combine trois sources : la littérature scientifique, des entretiens et groupes de travail, et l’exploitation des dossiers de la base AGORA. Les entretiens reposent sur le consentement des participants. L’accès aux dossiers du Défenseur des droits repose sur la mission d’intérêt public de la recherche publique. Comme ces dossiers contiennent des données sensibles au sens de l’article 9 du RGPD, dont des données de santé, la loi Informatique et Libertés impose un avis préalable de la CNIL (article 44, 6°).
La CNIL indique que le traitement n’appelle pas d’observations particulières, sauf sur deux sujets : la licéité de l’accès à la base et l’anonymisation. Un projet de recherche peut basculer dans l’illicite à ces deux endroits.
L’accès à des archives couvertes par un secret
Les chercheurs comptent consulter les dossiers au titre de l’autorisation de consultation anticipée des archives publiques (article L. 213-3 du code du patrimoine). Une convention encadre cet accès. La CNIL en prend acte, mais elle s’interroge sur l’articulation avec l’article 38 de la loi organique du 29 mars 2011, qui soumet le Défenseur des droits à un secret professionnel strict. Elle rappelle aussi son avis de 2013 sur AGORA : seuls les agents et délégués de l’institution, tenus au secret, devaient accéder directement aux données.
Le cas du Défenseur des droits vaut pour d’autres organismes. Une base de plaintes, de signalements ou de dossiers individuels a été déclarée pour une finalité et un cercle d’accès précis. Ouvrir ce cercle à des tiers, même pour une recherche d’intérêt général, suppose de vérifier que le texte qui protège ces dossiers le permet. Une convention de partenariat ne remplace pas cette vérification.
L’anonymisation déléguée : qui porte le risque ?
La convention prévoit que le CNRS pourra constituer sa propre base anonymisée pour des analyses quantitatives. La collecte se fera sur un poste dédié, dans les locaux du Défenseur des droits, et la constitution de la base se fera sous la responsabilité de ses équipes. Le travail d’anonymisation, lui, revient au CNRS.
La CNIL en tire une conséquence nette : puisque le Défenseur des droits délègue l’anonymisation, il doit s’assurer que les chercheurs présentent des garanties suffisantes, notamment en matière de sécurité. Elle relève ensuite que ni l’analyse d’impact (AIPD) ni la convention ne décrivent la méthode d’anonymisation. Le CNRS est invité à la préciser dans l’AIPD et à garantir qu’aucune réidentification ne reste possible.
Je retrouve ce schéma dans des établissements de santé et des services de santé au travail. Un partenaire universitaire, un éditeur ou un prestataire statistique propose de « récupérer une extraction anonymisée ». Personne n’écrit comment elle sera produite, ni qui la vérifie. Si la méthode est faible, les données restent personnelles, et l’organisme qui a transmis la base répond d’une communication de données sans base légale.
La méthode que la CNIL recommande
L’avis rappelle une démarche concrète pour construire le processus :
- repérer les informations à conserver selon leur utilité pour la recherche ;
- supprimer les identifiants directs et les valeurs rares qui permettent une réidentification facile (l’âge d’un centenaire suffit souvent) ;
- séparer l’information utile de l’information secondaire, qui peut être supprimée ;
- fixer pour chaque variable conservée le niveau de détail acceptable.
Sur des dossiers de plaintes, riches en texte libre, son application demande du soin : un nom d’employeur, une ville moyenne et un métier rare suffisent à désigner une personne. Le texte libre doit donc être traité à part, ou exclu. Les lignes directrices européennes sur la pseudonymisation et l’anonymisation donnent les tests à documenter (individualisation, corrélation, inférence).
L’information des personnes quand on ne peut pas les joindre
Les données de contact des plaignants ne seront pas collectées lors de la consultation. Le CNRS prévoit donc une information générale sur son site. La CNIL rappelle que l’article 14 du RGPD impose en principe une information individuelle, sauf si elle exige des efforts disproportionnés ou compromet gravement la recherche (article 14, paragraphe 5, b). Elle admet ici l’exception, au vu des éléments fournis. Elle demande malgré tout que l’AIPD décrive les conditions concrètes d’exercice des droits : droits applicables, service compétent, modalités. Si le Défenseur des droits reprend contact avec une personne, la CNIL recommande de l’informer à ce moment de la réutilisation de ses données.
Ce qu’un organisme doit vérifier avant de confier ses données
Que vous soyez une collectivité, un établissement de santé, un SPST ou une association, la même grille s’applique dès qu’un partenaire demande l’accès à vos dossiers pour une étude.
- Identifier le texte qui protège les dossiers (secret médical, secret professionnel, règles d’archives) et vérifier qu’il autorise l’accès envisagé.
- Écrire dans la convention qui anonymise, avec quelle méthode, et qui contrôle le résultat avant toute sortie des données.
- Exiger que l’AIPD du partenaire décrive la méthode d’anonymisation et les tests de réidentification.
- Prévoir un poste ou un espace de traitement dédié, sans export possible des données brutes.
- Organiser l’information des personnes, ou documenter pourquoi l’exception de l’article 14.5 b s’applique, et tenir à jour le registre des traitements.
Après un avis favorable, ces sujets se retrouvent dans l’AIPD et dans la convention, et un contrôle ira les y chercher.
Le texte complet est disponible sur Légifrance (délibération n° 2026-117). La CNIL détaille par ailleurs les cas où un traitement de recherche hors santé doit lui être soumis.
Les DPO du réseau DPO FRANCE accompagnent les organismes sollicités par des chercheurs ou des partenaires : relecture de la convention, vérification de la méthode d’anonymisation, mise à jour de l’AIPD. DPO SUITE permet de tenir au même endroit le registre, les analyses d’impact et les conventions avec les destinataires, avec les preuves associées.
