Données personnelles et traitements

Le champ du RGPD

Le Règlement général sur la protection des données (RGPD) est un règlement européen applicable depuis 2018. Il s’applique aux traitements de données personnelles réalisés par des organisations établies dans l’Union européenne, et à certaines organisations hors UE qui ciblent des personnes situées dans l’Union. Pour une équipe data ou produit, il ne s’agit pas d’un sujet réservé aux juristes : la plupart des décisions de conception (quelles données collecter, combien de temps les garder, qui y accède) ont des conséquences directes au regard du RGPD.

Ce cours présente les principes établis du RGPD pour des équipes data et produit. Il ne remplace pas l’avis de votre délégué à la protection des données (DPO) ou de votre service juridique, ni les recommandations publiées par l’autorité de contrôle (la CNIL en France).

Qu’est-ce qu’une donnée personnelle ?

Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable. L’identification peut être :

• directe : nom, prénom, photo, e-mail nominatif ;
• indirecte : numéro de client, numéro de téléphone, adresse IP, identifiant de cookie, plaque d’immatriculation, données de géolocalisation ;
• par recoupement : « femme, 42 ans, directrice financière, agence de Quimper » peut désigner une seule personne sans citer son nom.

Le critère est la possibilité raisonnable d’identifier la personne, par l’organisation ou par un tiers, avec les moyens dont ils disposent. Les données relatives à des entreprises (raison sociale, chiffre d’affaires) ne sont pas des données personnelles, mais l’e-mail nominatif d’un salarié de cette entreprise en est une.

Qu’est-ce qu’un traitement ?

Un traitement est toute opération portant sur des données personnelles : collecte, enregistrement, organisation, stockage, consultation, modification, croisement, transmission, effacement. Un export CSV, une requête SQL sur la table customers, l’envoi d’un fichier à un prestataire, l’entraînement d’un modèle sur des historiques clients : ce sont des traitements.

Deux acteurs principaux :

• le responsable de traitement détermine pourquoi (finalités) et comment (moyens essentiels) les données sont traitées. C’est en général l’entreprise, pas un salarié en particulier ;
• le sous-traitant traite les données pour le compte du responsable et sur ses instructions : hébergeur, éditeur SaaS, prestataire d’envoi d’e-mails (leçon 5).

Les catégories particulières de données

Certaines données, dites sensibles, bénéficient d’une protection renforcée : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques servant à identifier une personne, données de santé, vie sexuelle ou orientation sexuelle. Leur traitement est interdit par principe, sauf exceptions prévues par le texte (consentement explicite, obligations en droit du travail, etc.). Les données relatives aux condamnations et infractions font aussi l’objet d’un encadrement spécifique.

Attention aux données sensibles par déduction : un historique d’achats en pharmacie ou de produits sans gluten peut révéler des informations de santé.

Pseudonymisation et anonymisation

• Pseudonymiser, c’est remplacer les identifiants directs (nom, e-mail) par un pseudonyme (par exemple un identifiant aléatoire), la table de correspondance étant conservée à part. C’est une bonne mesure de sécurité, mais les données restent personnelles : la réidentification est possible.
• Anonymiser, c’est rendre la réidentification impossible en pratique, de façon irréversible, même par recoupement. C’est difficile : des combinaisons de quelques attributs (code postal, date de naissance, sexe) suffisent souvent à isoler une personne. L’agrégation (statistiques par groupe suffisamment grand) est une technique courante.

Seules des données réellement anonymes sortent du champ du RGPD. Dans le doute, considérez qu’elles sont personnelles.