Article 59 : traitement ultérieur de données à caractère personnel pour développer certains systèmes d’IA d’intérêt public dans le bac à sable réglementaire de l’IA

L’article 59 traite une tension précise : les systèmes d’IA ont souvent besoin de grands volumes de données représentatives pour bien fonctionner, mais le principe de limitation des finalités du RGPD restreint la réutilisation de données à caractère personnel à de nouvelles fins. L’article 59 fournit une exception étroite dans les bacs à sable.

L’exception n’est disponible que lorsque toutes les conditions suivantes sont réunies :

1. Intérêt public : le système d’IA est développé à une fin d’intérêt public substantiel (par exemple sécurité publique, protection de l’environnement, santé publique, sécurité routière). 2. Nécessité : les données à caractère personnel sont nécessaires au développement et le même résultat ne peut pas être atteint avec des données de synthèse, anonymisées ou autres données non personnelles. 3. Garanties : des mesures techniques et organisationnelles effectives sont en place, y compris au minimum la pseudonymisation et le chiffrement lorsque c’est possible. 4. Suppression des données : les données à caractère personnel et toute sortie intermédiaire sont supprimées lorsque la participation au bac à sable prend fin ou que la période de conservation expire, selon ce qui survient en premier. 5. Journaux de traitement : le participant au bac à sable doit tenir des journaux des activités de traitement pendant la durée de la participation. 6. Approbation de l’APD : l’autorité de protection des données concernée doit approuver le traitement avant qu’il ne commence.

Ce n’est pas une dérogation générale au RGPD. Toutes les autres obligations du RGPD (droits des personnes, mesures de sécurité, responsabilité) continuent de s’appliquer en totalité.

L’article 59 s’applique sans préjudice du RGPD et de la directive police-justice (UE) 2016/680. Il fournit une base juridique supplémentaire pour le traitement ultérieur dans un contexte très précis ; il ne crée pas d’exemption générale de « recherche » ni ne réduit les obligations de conformité au RGPD.

Interactions clés :

• Limitation des finalités (article 5, paragraphe 1, point b), du RGPD) : l’article 59 permet un traitement ultérieur à une finalité différente mais définie (développer une IA d’intérêt public dans un bac à sable), si les conditions sont réunies.
• Minimisation des données (article 5, paragraphe 1, point c), du RGPD) : l’exigence d’utiliser des données de synthèse ou anonymisées si possible renforce la minimisation.
• Droits des personnes : restent applicables pendant toute la participation au bac à sable.
• Supervision de l’APD : l’exigence d’approbation donne aux APD un contrôle préalable, assurant une évaluation au cas par cas.

• Article 57, établit le cadre de bac à sable dans lequel l’article 59 opère.
• Article 58, le plan convenu doit incorporer les modalités de traitement des données de l’article 59 lorsqu’il est invoqué.
• Article 60, les essais en conditions réelles hors bacs à sable ont leurs propres règles de consentement et de données ; l’article 59 est propre au bac à sable.
• Article 10, exigences de gouvernance des données pour les systèmes d’IA à haut risque (le traitement de l’article 59 devrait s’aligner sur les normes de qualité de l’article 10).
• Article 113, calendrier d’application.