Les données personnelles sont le pétrole du XXIe siècle. Les protéger, c'est protéger les libertés individuelles à l'ère numérique.

Pourquoi ce thème est incontournable

Le numérique génère des masses de données sur les individus : navigation web, achats, localisation, santé, préférences... Ces données ont une valeur économique considérable mais leur exploitation peut menacer les libertés individuelles.

Le RGPD (Règlement Général sur la Protection des Données), entré en vigueur le 25 mai 2018, harmonise la protection des données dans toute l'Union européenne. Il s'applique à toute organisation traitant des données de résidents européens, même hors UE.

Qu'est-ce qu'une donnée personnelle ?

Définition (art. 4 RGPD) :

Toute information se rapportant à une personne physique identifiée ou identifiable. Une personne est "identifiable" si on peut la reconnaître directement ou indirectement (nom, numéro, données de localisation, identifiant en ligne...).

Exemples de données personnelles

Identification directe

• Nom, prénom
• Photo, vidéo
• Numéro de téléphone
• Adresse postale

Identification indirecte

• Adresse IP
• Identifiant client
• Plaque d'immatriculation
• Données de géolocalisation

Données sensibles

• Origine ethnique
• Opinions politiques/religieuses
• Données de santé
• Données biométriques

Données sensibles : leur traitement est en principe interdit, sauf exceptions (consentement explicite, intérêt vital, obligations légales...).

Les 6 principes du RGPD

L'article 5 du RGPD pose 6 principes fondamentaux que tout traitement doit respecter :

1. Licéité, loyauté, transparence

Le traitement doit reposer sur une base légale, être loyal envers la personne et transparent sur les finalités.

2. Limitation des finalités

Les données doivent être collectées pour des finalités déterminées, explicites et légitimes. Pas de détournement ultérieur.

3. Minimisation

Ne collecter que les données adéquates, pertinentes et nécessairesau regard de la finalité. Pas de collecte "au cas où".

4. Exactitude

Les données doivent être exactes et à jour. Les données inexactes doivent être rectifiées ou effacées.

5. Limitation de la conservation

Les données ne doivent pas être conservées au-delà de ce qui est nécessairepour la finalité. Définir une durée de conservation.

6. Intégrité et confidentialité

Assurer la sécurité des données : protection contre les accès non autorisés, la perte, la destruction.

Les 6 bases légales du traitement

Pour être licite, tout traitement doit reposer sur l'une des 6 bases légales prévues par l'article 6 du RGPD :

1. Consentement

La personne a donné son accord libre, spécifique, éclairé et univoque. Elle peut le retirer à tout moment.

2. Exécution d'un contrat

Le traitement est nécessaire à l'exécution d'un contrat auquel la personne est partie (ex: livraison d'une commande).

3. Obligation légale

Le traitement est imposé par une loi (ex: conservation des factures, déclarations fiscales).

4. Intérêt vital

Le traitement est nécessaire pour protéger la vie de la personne (cas d'urgence médicale).

5. Mission d'intérêt public

Le traitement est effectué par une autorité publique dans le cadre de sa mission.

6. Intérêt légitime

Le responsable poursuit un intérêt légitime qui ne porte pas atteinte excessive aux droits de la personne.

Les droits des personnes concernées

Le RGPD confère aux personnes des droits qu'elles peuvent exercer auprès du responsable de traitement :

Droit d'accès

Savoir si des données sont traitées et obtenir une copie. Connaître les finalités, destinataires, durée de conservation.

Droit de rectification

Faire corriger des données inexactes ou compléter des données incomplètes.

Droit à l'effacement

Obtenir la suppression des données ("droit à l'oubli"). Limites : obligations légales, liberté d'expression...

Droit d'opposition

S'opposer au traitement pour des raisons personnelles. Droit absolu pour la prospection commerciale.

Droit à la limitation

Geler temporairement le traitement (en cas de contestation, de vérification...).

Droit à la portabilité

Récupérer ses données dans un format structuré et les transmettre à un autre responsable.

Délai de réponse : Le responsable doit répondre dans un délai d'1 mois, prolongeable de 2 mois si la demande est complexe.

Les acteurs de la protection des données

Responsable de traitement

La personne (physique ou morale) qui détermine les finalités et les moyens du traitement. C'est lui qui porte la responsabilité principale.

Sous-traitant

La personne qui traite des données pour le compte du responsable (ex: hébergeur cloud, prestataire informatique). Lié par un contrat.

DPO (Délégué à la protection des données)

Obligatoire pour les autorités publiques et certains organismes. Il conseille, contrôle la conformité et est le point de contact avec la CNIL.

CNIL

Commission Nationale de l'Informatique et des Libertés. Autorité de contrôle française : informe, conseille, contrôle et sanctionne.

Obligations du responsable de traitement

Registre des traitements

Documenter tous les traitements : finalités, catégories de données, destinataires, durées de conservation, mesures de sécurité.

Privacy by design

Intégrer la protection des données dès la conception des projets. Paramètres par défaut les plus protecteurs.

Analyse d'impact (AIPD)

Obligatoire pour les traitements à risque élevé. Évaluer les risques pour les droits et libertés et prévoir des mesures pour les réduire.

Notification des violations

En cas de fuite de données : notifier la CNIL sous 72 heures. Informer les personnes si risque élevé.

Transferts de données hors UE

Le RGPD encadre strictement les transferts de données vers des pays tiers. Un transfert n'est autorisé que si le pays offre un niveau de protection adéquat.

Mécanismes de transfert :

• Décision d'adéquation : la Commission européenne reconnaît le pays comme offrant une protection suffisante
• Clauses contractuelles types : contrat standard imposant des garanties
• Règles d'entreprise contraignantes (BCR) : pour les groupes multinationaux
• Consentement explicite de la personne (usage limité)

Les sanctions

Le RGPD prévoit des sanctions administratives très dissuasives :

Niveau 1

Jusqu'à 10 millions € ou 2% du CA mondial(violations techniques, registre, DPO...).

Niveau 2

Jusqu'à 20 millions € ou 4% du CA mondial(principes fondamentaux, droits des personnes, transferts...).

Autres sanctions possibles : avertissement, mise en demeure, limitation ou interdiction du traitement, suspension des flux de données.

Ce que tu dois retenir

Donnée personnelle = toute info sur une personne identifiée ou identifiable.
6 principes RGPD : licéité, finalité, minimisation, exactitude, durée limitée, sécurité.
6 bases légales : consentement, contrat, obligation légale, intérêt vital, mission publique, intérêt légitime.
Droits des personnes : accès, rectification, effacement, opposition, limitation, portabilité.
Notification CNIL : 72 heures en cas de violation de données.
Sanctions : jusqu'à 20 M€ ou 4% du CA mondial.

Erreurs fréquentes à l'examen

❌ Confondre "donnée personnelle" et "donnée sensible"
Toutes les données personnelles ne sont pas sensibles. Les données sensibles bénéficient d'une protection renforcée.

❌ Penser que le consentement est toujours obligatoire
Le consentement est UNE base légale parmi 6. Un contrat ou une obligation légale peut suffire.

❌ Oublier le délai de 72h pour la notification
En cas de violation de données, la CNIL doit être notifiée sous 72 heures.

❌ Ignorer le principe d'accountability
Le responsable doit pouvoir DÉMONTRER sa conformité (documentation, registre, AIPD...).

🍪 Ce site utilise des cookies

Cours CEJM – D9 : Données personnelles et identité numérique