Biotech Act Européen : L'avis de l'EDPB/EDPS décrypté

Focus — Biotech Act Européen : L'avis de l'EDPB et de l'EDPS décrypté

Le 12 mars 2026, le Comité européen de la protection des données (EDPB) et le Contrôleur européen de la protection des données (EDPS) ont publié un avis conjoint très attendu sur la proposition de règlement de la Commission européenne visant à établir un 'European Biotech Act'. Cette initiative législative, destinée à stimuler l'innovation et la compétitivité de l'Union européenne dans le secteur des biotechnologies, soulève des questions fondamentales en matière de protection des données personnelles, particulièrement pour les données de santé et génétiques.

Cet avis conjoint constitue un signal fort envoyé au législateur européen. Il met en lumière la tension inhérente entre la volonté d'accélérer la recherche et le développement, notamment via la création de hubs de données de santé à grande échelle, et l'impératif de respecter les droits fondamentaux des citoyens garantis par le RGPD. L'enjeu principal est de définir un cadre juridique qui permette l'innovation sans sacrifier les principes de protection des données.

💡 Sujet/Concept clé : de quoi parle-t-on ?

La proposition de 'Biotech Act' est une initiative réglementaire visant à créer un écosystème harmonisé pour la biotechnologie et la bioproduction au sein de l'UE. L'objectif affiché est de réduire la fragmentation réglementaire, d'accélérer l'accès au marché pour les thérapies innovantes (médecine personnalisée, thérapies géniques) et de renforcer la souveraineté stratégique de l'Europe face aux États-Unis et à la Chine. Un des piliers de cette proposition est la création d'un 'Biotech Hub' européen, une infrastructure destinée à faciliter le partage et le traitement de données de santé à des fins de recherche scientifique.

Le périmètre couvre principalement les secteurs de la santé, de la pharmacie, des dispositifs médicaux et de la recherche académique. Sont concernées toutes les entités qui collectent, traitent ou partagent des données de santé, notamment génétiques. Ces dernières sont classées comme 'catégories particulières de données' par l'article 9 du RGPD en raison de leur caractère unique, permanent et hautement identifiant. Le risque de ré-identification, même après pseudonymisation, et les implications éthiques de leur traitement (ex: discrimination à l'assurance ou à l'emploi) en font un sujet de vigilance maximale pour les autorités de protection des données.

La base légale et réglementaire

Le cadre juridique de référence est sans équivoque le Règlement Général sur la Protection des Données (RGPD). L'avis de l'EDPB et de l'EDPS s'articule autour de ses principes fondamentaux. L'article 9 du RGPD interdit par principe le traitement des données génétiques et des données concernant la santé. Des dérogations existent, notamment le consentement explicite de la personne concernée (Art. 9(2)(a)) ou la nécessité du traitement à des fins de recherche scientifique (Art. 9(2)(j)), mais elles sont soumises à des conditions très strictes et à la mise en place de garanties appropriées.

L'avis insiste également sur le respect des principes de l'article 5 du RGPD : la limitation des finalités, qui interdit que des données collectées pour une étude spécifique soient réutilisées à d'autres fins sans base légale valide ; et la minimisation des données, qui impose de ne collecter que les informations strictement nécessaires à la recherche. Le non-respect de ces obligations expose les responsables de traitement à des sanctions pouvant atteindre 4 % de leur chiffre d'affaires annuel mondial. L'avis conjoint, bien que non contraignant, représente l'interprétation faisant autorité du RGPD par ses plus hauts garants et influencera donc lourdement les débats parlementaires.

L'avis conjoint EDPB/EDPS : une analyse en profondeur

Le cœur de l'analyse des deux autorités porte sur l'équilibre entre les objectifs du Biotech Act et les exigences du RGPD. Elles saluent l'ambition de l'UE mais posent plusieurs garde-fous pour éviter une érosion des droits fondamentaux. Premièrement, l'avis met en garde contre une interprétation trop large de la base légale de la 'recherche scientifique'. L'EDPB et l'EDPS rappellent que le consentement explicite, spécifique et informé doit rester la voie privilégiée, en particulier lorsque la recherche est menée par des entités privées à but lucratif.

Deuxièmement, un point de vigilance majeur concerne la gouvernance du futur 'Biotech Hub'. Les autorités exigent une définition claire des rôles et des responsabilités (responsable de traitement, sous-traitant, co-responsables). Elles insistent sur la réalisation systématique d'analyses d'impact relatives à la protection des données (AIPD) pour tout projet d'envergure, ainsi que sur l'implémentation de mesures de sécurité de pointe, incluant le chiffrement et des techniques de pseudonymisation robustes, reconnaissant que l'anonymisation complète des données génétiques est souvent illusoire.

Enfin, l'avis souligne la nécessité de garantir l'effectivité des droits des personnes. Comment un citoyen pourra-t-il exercer son droit d'accès, de rectification ou d'opposition lorsque ses données sont intégrées dans de multiples projets de recherche complexes ? L'EDPB et l'EDPS appellent le législateur à prévoir des mécanismes clairs, transparents et facilement accessibles pour que les individus gardent le contrôle sur leurs données les plus intimes. Le risque de 'function creep', ou détournement de finalité, est également pointé du doigt, avec une demande de garanties techniques et organisationnelles strictes pour l'empêcher.

Ce que ça change opérationnellement (Plan d'action)

Pour les Compliance Officers, DPO et Risk Managers des secteurs concernés, cet avis est un document d'anticipation stratégique. Voici un plan d'action pragmatique :

• 1. Anticiper la cartographie des risques : Mettez à jour votre cartographie des traitements de données en identifiant les activités qui pourraient être impactées par le futur Biotech Act. Évaluez les risques spécifiques liés à la ré-identification des données pseudonymisées et au détournement de finalité, et intégrez-les dans votre registre des risques.

• 2. Auditer et renforcer les processus de consentement : Revoyez vos formulaires et parcours de recueil du consentement pour la recherche. Sont-ils suffisamment granulaires et clairs ? Préparez-vous à l'émergence de modèles de 'consentement dynamique' permettant aux participants de gérer leurs autorisations en temps réel.

• 3. Systématiser et approfondir les AIPD : Pour tout nouveau projet de recherche impliquant des données de santé sensibles, rendez l'AIPD non seulement obligatoire mais aussi plus exhaustive. Impliquez systématiquement le DPO dès la phase de conception (Privacy by Design) et documentez rigoureusement les mesures de réduction des risques.

• 4. Définir une gouvernance de la donnée pour les projets collaboratifs : Si votre organisation envisage de participer à des plateformes de partage de données, commencez à rédiger des modèles de contrats de co-responsabilité (Art. 26 RGPD) ou de sous-traitance (Art. 28 RGPD) qui définissent précisément les obligations de chaque partie.

• 5. Former les équipes opérationnelles : Organisez des sessions de sensibilisation ciblées pour les équipes de R&D, les data scientists et les chefs de projet. Assurez-vous qu'ils maîtrisent les concepts de limitation de finalité, de minimisation et la distinction cruciale entre données anonymes et pseudonymes.

• 6. Mettre en place une veille réglementaire active : Désignez un référent pour suivre l'évolution du processus législatif du Biotech Act. Engagez-vous, via les associations professionnelles, dans les consultations publiques pour faire valoir votre expertise et orienter le texte final vers un cadre équilibré et opérationnellement viable.

Sources :

• 📎 EDPB/EDPS — EDPB-EDPS Joint Opinion 3/2026 on the Proposal for a European Biotech Act