Un outil à double tranchant

RECHERCHE Lorsque le RGPD (ou règlement général sur la protection des données) est entré en vigueur en mai 2018, la mesure avait été présentée comme un barrage bienveillant contre les abus liés au partage sauvage des données. Malheureusement, cette nouvelle réglementation entrave sévèrement le travail de groupes internationaux de recherche.

28 novembre 2019

C'est aussi l'avis du chef des NIH (Institutes of Health) Francis Collins. L'intéressé supervise une étude lancée en 1992 sur le diabète chez les Finnois. Ces derniers ont en effet un avantage génétique en la matière, de par leur homogénéité. En outre, ils tiennent des registres de santé rigoureux. Les autorités finnoises avaient donc mis à disposition 32.000 échantillons d'ADN pour le projet américain. Collins et ses collaborateurs avaient ainsi pu mettre en lumière deux cents variantes génétiques qui augmentaient les risques de diabète. Malheureusement, le changement de législation de 2018 a obligé les autorités finnoises à fermer le robinet, arguant que les NIH ne pouvaient pas garantir qu'elles satisfaisaient aux exigences posées dans le RGPD. De quoi freiner considérablement les avancées de l'étude américaine.

Audit

Le RGPD est d'application dans 28 pays de l'UE, mais aussi en Islande, au Lichtenstein et en Norvège. La Commission européenne a en outre donné un label de qualité à certains pays hors UE, leur conférant la qualité de garants de la protection des données : Argentine, Japon, Nouvelle-Zélande et Suisse. Les États-Unis (avec le Canada) ne font pas parties des heureux élus. Pour contourner cela, il est possible pour l'Europe de signer avec certains un contrat certifiant que celles-ci remplissent bien les conditions requises. Cela implique toutefois que les institutions de recherche concernées permettent l'audit de leur système de collecte et de traitement des données et qu'elles se conforment à la juridiction européenne. Des institutions comme les NIH ne peuvent accéder à ces demandes.

Certains consortiums internationaux sont parvenus à s'arranger. L'International Genomics of Alzheimer's Project a ainsi pu collecter du matériel génétique de plus de 90.000 personnes en Europe et aux USA. Mais certains pays de l'UE ont à tel point verrouillé le partage de leurs données que les chercheurs américains et européens travaillent maintenant chacun de leur côté. Une situation loin d'être idéale, surtout quand on étudie des variantes rares et que le fichier de données doit être aussi étendu que possible.

Marge de manoeuvre locale

Tous les pays de l'UE ne sont pas aussi strictes. En effet, le RGPD émet certes des directives, mais les états-membres sont libres d'en régler les détails, conformément à la législation locale. L'Espagne autorise par exemple que les données d'une première recherche puissent être réutilisée pour une deuxième étude, pour autant que le projet soit d'intérêt public. En Italie par contre, cette deuxième étude nécessite à nouveau l'autorisation de la personne qui a confié ses données. Ces libertés locales barrent aussi parfois la route à l'anonymisation. La mesure initialement présentée comme une protection robuste des données montre ici ses faiblesses, et même quand les données administratives sont masquées, certaines autorités estiment qu'il est toujours possible d'identifier des personnes à l'aide du matériel prélevé. Bonjour l'anonymisation.

Les NIH tentent encore de définir un cadre avec les autorités finnoises qui satisferait au RGPD. La Commission européenne s'est réunie la semaine passée avec les parties concernées (chercheurs, industrie et associations de patients) afin de proposer une solution plus globalement applicable. Les négociateurs croisent les doigts.