C. PROTÉGER LES DONNÉES NEURALES EN RECONNAISSANT LEUR CARACTÈRE SENSIBLE
1. Mieux reconnaître le caractère sensible des données neurales
a) Tenir compte de la spécificité des données neurales
La notion de données neurales fait référence aux informations quantitatives et qualitatives sur la structure, le fonctionnement et l'activité du système nerveux, collectées via des neurotechnologies. L'Unesco y inclut les données neurales indirectes et les données non neurales capables d'inférer des états mentaux (par exemple, les données issues de technologies d'analyse vocale, de détection de mouvements oculaires ou encore de reconnaissance des expressions faciales)895(*).
Quelle que soit l'origine des données, l'Unesco plaide pour un même niveau de vigilance à leur égard.
L'ensemble de ces données revêtent une sensibilité particulière car elles touchent à l'identité d'une personne et à sa vie intime. Comme le rappelle le professeur Hervé Chneiweiss, elles présentent des enjeux spécifiques :
- couplées à l'intelligence artificielle (IA), elles offrent la possibilité d'inférer des états mentaux (niveau d'attention, émotions ressenties, traits de personnalité) ;
- elles sont susceptibles de révéler des informations intimes sur la personne concernée (vulnérabilités, préférences...) ;
- elles peuvent être utilisées pour l'influencer (ciblage, profilage, voire manipulation), en particulier en combinaison avec d'autres données comme des informations personnelles disponibles sur internet.
Des études montrent qu'à partir de données sur l'activité cérébrale à « l'état de repos » et de la compréhension du fonctionnement du réseau des aires cérébrales d'un individu, il est possible de définir un profil assimilable à une signature individuelle unique, de façon quasi-analogue à une empreinte digitale896(*).
b) Plaider pour la reconnaissance des données neurales comme des données personnelles sensibles
À l'échelle européenne, dès lors qu'elles permettent l'identification directe ou indirecte d'une personne, les données neurales constituent des données personnelles soumises au Règlement général sur la protection des données (RGPD).
À son article 9, le Règlement définit une catégorie particulière de données à caractère personnel, dite « sensibles », incluant les données génétiques, les données biométriques et les données concernant la santé897(*).
Le traitement de ces données est interdit par principe, sauf en cas de recueil d'un consentement explicite ou en cas de dispositions spéciales. Or, les données neurales ne figurent pas explicitement à cet article.
La Commission nationale de l'informatique et des libertés (Cnil) précise que, dans certains cas, en fonction des procédés de collecte, des usages et des finalités poursuivies, les données neurales peuvent s'apparenter à des données de santé, en particulier dans un contexte de soin ou de recherche, ou à des données biométriques (par exemple, en cas d'usage de l'activité cérébrale à des fins de reconnaissance d'un individu). Elles font alors l'objet d'une protection renforcée.
La Cnil effectue en outre une distinction entre les données de santé par nature et les données de santé par destination. Dans ce dernier cas, une donnée collectée en dehors du champ médical mais utilisée à des fins de santé est assimilée à une donnée sensible. C'est le cas des données collectées par les dispositifs dits de « quantifiedself » (ou de « mesure de soi ») commercialisés par des acteurs qui n'appartiennent pas au domaine de la santé. Il s'agit par exemple des dispositifs de mesure de la fréquence cardiaque ou du sommeil.
Si la grande majorité des données neurales sont ainsi soumises au régime de l'article 9 précité, ce n'est pas le cas de l'intégralité d'entre elles. Lorsqu'elles échappent à la qualification de données de santé ou de données biométriques, elles ne sont pas couvertes par les dispositions particulières relatives aux données sensibles mais par les dispositions générales relatives aux données personnelles.
La chercheuse Sonia Desmoulin-Canselier insiste sur le cas des données neurales issues « des casques de jeux vidéo ou des applications de neurofeedback, qui ne cherchent pas nécessairement à créer un système d'identification et pour lesquels le lien direct avec l'état de santé n'est pas évident. La spécificité des données cérébrales demeure pourtant dans ces applications car elles révèlent beaucoup de notre psychisme et donc de notre manière d'être au monde. Cela justifierait qu'elles se voient reconnaître le statut de données sensibles »898(*).
L'Unesco plaide également pour un encadrement renforcé des données neurales et pour une reconnaissance du caractère personnel, privé et sensible des données neurales, des données neurales indirectes et des données non neurales permettant d'inférer des états mentaux. Des travaux du service de recherche du Parlement européen, indiquent que l'inclusion des « données cérébrales » parmi les données à protection renforcée (article 9 du RGPD) mérite d'être étudiée et débattue compte tenu de leur capacité potentielle à révéler des informations intimes sur les états mentaux, les intentions ou les caractéristiques cognitives des personnes899(*).
À l'heure où la proposition de Règlement « Omnibus numérique »900(*) fait l'objet de discussions au sein de l'Union européenne901(*), les rapporteurs estiment que la singularité des données neurales, quelles qu'elles soient, justifierait la reconnaissance explicite de leur caractère sensible au sens de l'article 9 du RGPD.
Recommandation 72 : Reconnaître explicitement les données neurales comme des « données à caractère personnel sensible » au sens de l'article 9 du RGPD, afin de les assortir de conditions de consentement renforcées, que ces données soient collectées dans ou en dehors du champ médical
2. Permettre un consentement éclairé au traitement des données neurales
Les neurotechnologies sont des technologies complexes et évolutives, dont les pleins enjeux ne sont pas toujours bien appréhendés par les utilisateurs.
Cela rend d'autant plus nécessaire la délivrance d'informations intelligibles, adaptées aux usagers, sur les bénéfices et les risques des technologies employées, mais aussi sur les usages des données collectées et les moyens mis en oeuvre pour garantir leur sécurité902(*).
Or, en dehors du champ médical, la collecte et le traitement des données personnelles reposent souvent sur un consentement insuffisamment éclairé : les informations relatives aux modalités de stockage et de traitement des données sont souvent imprécises ou peu lues par les usagers tandis que l'expression du consentement n'est pas toujours demandée903. Dans ces conditions, les données qui revêtent une certaine valeur économique sont susceptibles d'être partagées avec des tiers pour des usages secondaires sans que l'usager concerné en ait pleinement conscience.
Pour la Cnil, plusieurs points importants doivent être pris en compte pour assurer le respect des exigences du RGPD et d'un consentement réellement libre, éclairé et spécifique.
Il s'agit tout d'abord du degré d'information à fournir aux utilisateurs afin de satisfaire à l'obligation de transparence. Au-delà des informations classiques sur la collecte, le stockage, la durée de conservation et la finalité poursuivie, la présence d'informations liées au caractère exploratoire de ces technologies apparaît nécessaire903(*). L'autorité souligne la nécessité de faire figurer des informations sur les risques potentiels associés à l'usage de ces dispositifs, notamment ceux ayant pour effet de modifier l'activité cérébrale.
Le respect du principe de loyauté constitue un autre enjeu de taille en raison des attentes raisonnables que les utilisateurs peuvent placer dans le recours aux neurotechnologies. Comme le soulève le laboratoire d'innovation numérique de la Cnil, « l'inexactitude des données pourrait affecter directement les droits et libertés des personnes, notamment leur droit à l'intégrité »904(*).
L'utilisateur doit être en mesure de comprendre les implications de la collecte et du traitement des données. Or cela ne paraît pas toujours aisé au regard de la complexité des dispositifs. La Cnil estime ainsi que « si l'on prend l'exemple d'un dispositif comme Neuralink, particulièrement intrusif, et aux finalités d'usage assez larges, si l'on se place dans un cadre hors-santé, il semble difficile d'informer correctement la personne sur les différents risques associés »905(*).
Enfin, s'agissant de l'utilisation potentielle des neurotechnologies dans le champ du travail, la Cnil rappelle qu'en France le consentement ne peut pas être libre en milieu professionnel en raison du lien de subordination qui y fait obstacle906(*).
Recommandation 73 : Éclairer les citoyens, en particulier les personnes vulnérables, sur les bénéfices et les risques des neurotechnologies et sur les conditions d'usage de leurs données neurales, conformément au principe de la Charte française relatif au développement d'une communication éthique et déontologique
Dans le domaine médical et celui de la recherche, l'exigence d'un consentement écrit et révocable à tout moment s'impose pour tout acte médical ou de recherche. Ce principe doit rester une garantie fondamentale compte tenu de la sensibilité des données cérébrales. La délivrance de ce consentement entraîne un accord indirect au traitement des données qui en découlent lorsqu'elles sont nécessaires à la prise en charge ou à la recherche scientifique. La collecte et le traitement de ces données doivent cependant faire l'objet d'une information individuelle des personnes concernées, qui bénéficient d'un droit d'opposition.
La question reste ouverte de savoir s'il faut aller plus loin en exigeant un consentement explicite pour tout usage secondaire des données neurales (recherche ultérieure, entraînement d'algorithmes, développement d'un dispositif, etc.), comme l'appellent de leurs voeux le CCNE et le CCNEN dans leur avis conjoint.
Les rapporteurs partagent cette préoccupation mais soulignent qu'une telle exigence pourrait entraîner des contraintes supplémentaires pour la recherche scientifique et l'innovation médicale.
Adopté en 2025, le Règlement européen relatif à l'espace européen des données de santé (EHDS)907(*) prévoit un cadre harmonisé pour l'utilisation secondaire des données de santé au sein de l'Union européenne. Il vise les réutilisations à des fins de recherche scientifique, d'innovation, de santé publique et d'évaluation des politiques de santé.
Le périmètre des données concernées est particulièrement large et inclut celles issues de dispositifs numériques de santé, y compris quand elles sont collectées par des systèmes portables et des applications mobiles, par exemple pour le suivi de la condition physique et de la santé.
La mise à disposition de ces données relève de la compétence d'organismes publics d'accès aux données. Ceux-ci sont chargés d'autoriser les usages, de garantir le respect du principe de minimisation des données transmises et de veiller au respect des exigences de sécurité, notamment la pseudonymisation et l'interdiction de réidentification des personnes.
Pour permettre aux États membres d'adapter leur gouvernance, le Règlement entrera en vigueur de manière progressive, avec une montée en charge des obligations à partir de 2027 jusqu'en 2035.
Ce cadre entend préserver un équilibre entre ouverture des données à des fins de recherche et préservation des droits fondamentaux des personnes concernées. Il conviendra d'en évaluer la robustesse tout au long de sa mise en place au regard des enjeux particuliers posés par les données neurales.
Pour la bonne gestion des données collectées, des efforts d'acculturation des acteurs concernés à ce nouveau cadre devront être entrepris.
3. Se prémunir contre les possibilités de discriminations sur le fondement des données neurales
L'article 225-1 du code pénal énumère les différents motifs de discrimination, parmi lesquels l'état de santé, la perte d'autonomie, le handicap ou encore les caractéristiques génétiques. Malgré leur caractère personnel, les données neurales ne figurent pas à cet article.
Or, comme le soulignent le CCNE et le CCNEN dans leur avis conjoint portant sur les ICM et les neurotechnologies apparentées, les données neurales collectées par les neurotechnologies sont susceptibles de constituer une source de discrimination dans le cadre des usages qui pourraient en être faits dans le secteur de l'assurance ou en milieu professionnel (recrutement, évaluation de la performance...)908(*).
C'est la raison pour laquelle ils préconisent l'inscription des données neurales dans la liste des motifs de discriminations prévus à l'article 225-1 précité. Les rapporteurs partagent cette recommandation.
Par ailleurs, l'article 225-3 du code pénal dispose que la prise en compte « de données issues de techniques d'imagerie cérébrale » constitue une discrimination en matière de prévention et de couverture des risques au même titre que la prise en compte « de tests génétiques prédictifs ayant pour objet une maladie qui n'est pas encore déclarée ou une prédisposition génétique à une maladie », ou encore la prise en compte « des conséquences sur l'état de santé d'un prélèvement d'organe ».
Cette rédaction n'englobe toutefois que le sous-ensemble de techniques d'imagerie cérébrale, excluant d'autres formes d'enregistrement comme les EEG qui peuvent également s'avérer problématiques au regard de la protection des individus. On peut ainsi s'interroger sur la possibilité pour les assureurs d'utiliser des données issues d'enregistrements qui ne seraient pas des images, comme celles issues des EEG.
Dans ces conditions, il conviendrait d'adapter la rédaction de l'article 225-3 du code pénal pour faire référence, par exemple, aux « données issues de l'activité cérébrale ».
Recommandation 74 : Adapter l'article 225-1
du code pénal pour inclure le recours aux données neurales dans
la liste des motifs de discrimination, que ces données concernent ou non
l'état de santé, ce qui permettrait notamment d'interdire
l'utilisation de données neurales à des fins de sélection
ou d'évaluation, en particulier dans le domaine professionnel
Préciser également le régime d'interdiction
prévu à l'article 225-3 du code pénal en faisant
référence aux « données issues de
l'activité cérébrale » et non aux seules
« données issues des techniques d'imagerie
cérébrale »
* 895 Ibid.
* 896 Emily S Finn, Xilin Shen, Dustin Scheinost, Monica D Rosenberg, Jessica Huang, Marvin M Chun, Xenophon Papademetris et R Todd Constable, « Functional connectome fingerprinting: identifying individuals using patterns of brain connectivity », Nature Neuroscience, 18, no 11, novembre 2015, p. 1664-71, https://doi.org/10.1038/nn.4135
* 897 L'article 9 vise également les données révélant l'origine, les opinions politiques, les convictions religieuses ou philosophiques ou encore les données concernant l'orientation sexuelle.
* 898 Contribution de Sonia Desmoulin-Canselier aux travaux des rapporteurs, 1er décembre 2025.
* 899 European Parliamentary Research Service (EPRS), The protection of mental privacy in the area of neuroscience - Societal, legal and ethical challenges, 24 juillet 2024.
* 900 Cette proposition présentée par la Commission européenne fin 2025 vise à simplifier le corpus juridique européen portant sur le numérique (données, cybersécurité, intelligence artificielle...). Elle entend repenser la définition des données à caractère personnel et introduire des dérogations additionnelles visant le traitement de ces données.
* 901 Catherine Morin-Desailly et Karine Daniel, Omnibus numérique européen : un risque pour la protection des droits numériques des citoyens, rapport d'information n° 626, 13 mai 2026, Commission des affaires européennes du Sénat.
* 902 Marcello Ienca, Pim Haselager et Ezekiel J Emanuel, « Brain leaks and consumer neurotechnology », Nature Biotechnology, 36, no 9, septembre 2018, p. 805-10, https://doi.org/10.1038/nbt.4240
* 903 https://linc.cnil.fr/article-22-des-neurodonnees-personnelles-pas-comme-les-autres
* 904 Ibid.
* 905 Contribution de la Cnil aux travaux des rapporteurs.
* 906 https://linc.cnil.fr/affective-computing-des-casques-qui-analysent-le-cerveau
* 907 Règlement (UE) 2025/327 du Parlement européen et du Conseil du 11 février 2025 relatif à l'espace européen des données de santé et modifiant la directive 2011/24/UE et le règlement (UE) 2024/2847.
* 908 CCNEN et CCNE, Avis 150 - Avis 10 - Interfaces cerveau- machine et autres neurotechnologies numériques : questions d'éthique.