Données personnelles et RGPD
Sommaire
Bloc B3.1 — protéger les données à caractère personnel. Le vocabulaire juridique compte autant que la technique : donnée, traitement, responsable de traitement, base légale.
1. Donnée à caractère personnel (DCP)
Toute information se rapportant à une personne physique identifiée ou identifiable, directement (nom, photo) ou indirectement (identifiant client, adresse IP, numéro de téléphone, croisement de plusieurs informations).
- Exemple direct : nom, prénom, adresse e-mail nominative.
- Exemple indirect : un identifiant de joueur + une date de naissance + un code postal permettent de réidentifier une personne.
- Un compte utilisateur avec nom, e-mail et informations de paiement constitue bien un ensemble de DCP.
2. Données sensibles
Catégorie particulière dont le traitement est interdit par principe, sauf exceptions (consentement explicite, obligation légale, sauvegarde de la vie humaine…) :
- Origine raciale ou ethnique supposée
- Opinions politiques, convictions religieuses ou philosophiques
- Appartenance syndicale
- Données génétiques, biométriques (à des fins d'identification unique), de santé
- Données concernant la vie sexuelle ou l'orientation sexuelle
3. Le traitement
Au sens de l'article 2 de la loi n° 78-17 du 6 janvier 1978 : toute opération portant sur des données personnelles, quel que soit le procédé utilisé.
- Collecte, enregistrement, organisation, conservation
- Adaptation ou modification, extraction, consultation, utilisation
- Communication par transmission, diffusion, mise à disposition
- Rapprochement ou interconnexion
- Verrouillage, effacement, destruction
Point de vigilance : cela couvre aussi bien les bases de données électroniques que les fichiers papier. Collecter des e-mails pour une newsletter, les stocker puis envoyer les messages = trois traitements.
4. Les droits des personnes
| Droit | Article RGPD | Ce que l'organisation doit permettre |
|---|---|---|
| Information | 12 à 14 | Expliquer en termes clairs qui collecte, pourquoi, combien de temps |
| Accès | 15 | Communiquer à la personne l'ensemble des données détenues sur elle |
| Rectification | 16 | Corriger une donnée inexacte ou incomplète |
| Effacement (« droit à l'oubli ») | 17 | Supprimer les données, sous conditions |
| Limitation | 18 | Geler l'usage des données le temps d'une vérification |
| Portabilité | 20 | Restituer les données dans un format structuré et lisible par machine |
| Opposition | 21 | Refuser un traitement (prospection notamment) |
Le droit à l'effacement se traduit souvent, en pratique applicative, par une
anonymisation plutôt qu'un DELETE : effacer entièrement un compte casserait les
contributions liées (messages d'un forum, historique de commandes). On remplace alors le pseudo par
ancien_utilisateur_<id> et on vide les champs identifiants.
5. Les obligations des organisations
- Registre des traitements : recenser chaque traitement, sa finalité, ses destinataires, sa durée de conservation.
- Minimisation : ne collecter que les données strictement nécessaires à la finalité annoncée.
- Limitation des finalités : ne pas réutiliser les données pour autre chose sans nouvelle base légale.
- Durée de conservation limitée : purge ou archivage au terme prévu.
- Sécurité : mesures techniques et organisationnelles adaptées au risque (article 32).
- Privacy by design / by default : la protection est intégrée dès la conception.
- AIPD (analyse d'impact) pour les traitements à risque élevé.
- Notification de violation : à la CNIL sous 72 h (article 33), et aux personnes concernées si le risque est élevé (article 34).
- DPO (délégué à la protection des données) obligatoire pour les organismes publics et certains traitements.
6. Les bases légales
Un traitement est licite s'il repose sur au moins une des six bases légales de l'article 6 :
- Consentement : libre, spécifique, éclairé, univoque, et révocable.
- Contrat : nécessaire à l'exécution d'un contrat avec la personne.
- Obligation légale : imposée par un texte.
- Sauvegarde des intérêts vitaux de la personne.
- Mission d'intérêt public.
- Intérêt légitime du responsable de traitement, mis en balance avec les droits des personnes.