Le point sur les données à caractère personnel

Les données à caractère personnel sont soumises à un régime juridique rarement bien connu, qui change à compter de mai 2018.

En effet, le 25 mai 2018, le Règlement européen du 27 avril 2016 remplace l’ancienne directive du 14 octobre 1995 sur la protection des données personnelles. La loi française du 6 janvier 1978 dite « Informatique et libertés » est modifiée en conséquence.

On trouvera ici l’essentiel de ce qu’un chercheur ou un documentaliste doit savoir sur les données personnelles qu’il est amené à traiter.

Qu’est-ce qu’une donnée à caractère personnel ?

Les données à caractère personnel sont toutes les informations relatives à une personne physique identifiée, ou qui peut être identifiée en croisant des données la concernant. Un numéro de sécurité sociale est une donnée personnelle, de toute évidence. Un âge (« 13 ans », ou « 54 ans ») est aussi une donnée personnelle : quoique cette information semble a priorianodine et sans enjeu, elle permet d’identifier quelqu’un si on la croise avec une adresse mail. De nombreuses autres informations constituent des données personnelles, parmi lesquelles : le nom, le prénom, l’âge, le métier, une photo, l’adresse postale, l’adresse mail, le numéro de téléphone, la date de naissance, le numéro IP, tout numéro d’identification, tel le « numéro d’inscription au répertoire » (NIR  : c’est le « numéro de sécurité sociale »), une empreinte digitale, des données de localisation, et tous « éléments spécifiques propres à son identité physique, physiologique, générique, psychique, économique, culturelle ou sociale ».

 

Que doit-on faire lorsqu’on traite des données à caractère personnel ?

Une personne est soumise aux règles protégeant les données personnelles dès lors qu’elle effectue un « traitement de données personnelles ». Il y a « traitement » de données personnelles, lorsqu’un chercheur collecte des données personnelles (au cours d’un entretien, par exemple), mais aussi quand il se contente de consulter de telles données dans un document. Ainsi, sont des traitements de données personnelles  : « la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction » (art. 4 du Règlement européen du 27 avril 2016).

Quand un chercheur ou un documentaliste traite de telles informations, « le responsable du traitement » (c’est-à-dire la personne qui dirige son unité) est tenue de vérifier que les droits des personnes concernées sont respectés.1 Le responsable du traitement doit se conformer aux nouvelles règles fixées par le règlement européen du 27 avril 20162, et procéder comme suit.

1) Obligation d’informer les personnes concernées  :

Comme auparavant, le responsable du traitement doit informer les personnes concernées de l’existence du traitement de leurs données, leur en indiquer la finalité et obtenir leur consentement à ce traitement. Il doit aussi informer les personnes concernées de leur droit d’accès, de rectification et d’effacement des données les concernant, par exemple sous la forme suivante  :

Conformément à la loi « informatique et Liberté » du 6 janvier 1978, vous disposez d’un droit d’accès, de rectification et d’effacement des données qui vous concernent. Pour l’exercer, adressez-vous à « ……….. » [indiquer ici les coordonnées postales ou téléphoniques ou mail de la personne chargée de faire respecter ce droit, au sein de l’organisme. Dans tout organisme public, cette personne est le délégué à la protection des données (CPD), anciennement intitulé « Correspondant informatique et libertés » (CIL)].

a) Obligation d’informer en cas de collecte   :

Dans le cas d’une collecte de données (au cours d’un entretien, par exemple), c’est en pratique le chercheur qui fournira ces informations aux personnes concernées. Voir le billet « Le chercheur recourt aux réseaux sociaux pour ses enquêtes » (à venir).

b) Obligation d’informer en cas d’utilisation de données à partir d’un corpus existant :

Si le chercheur mène sa recherche dans des corpus existants, sans collecter les données auprès des personnes concernées, le chercheur est dispensé de contacter ces personnes pour les informer qu’il va traiter leurs données personnelles à des fins de recherche scientifique ou historique.3

c) Obligation d’informer en cas de simple consultation de documents contenant des données  :

Un chercheur qui consulte des documents contenant des données personnelles, n’est pas tenu d’en informer les personnes concernées : soit parce qu’il a obtenu la dérogation ou l’autorisation nécessaire pour consulter, à des fins de recherche scientifique ou historique, les documents administratifs ou d’archives publiques ou d’archives privées (voir le billet « Le chercheur consulte des documents existants ») ; soit parce que ces documents, qui ne sont ni documents administratifs, ni archives publiques, ni archives privées, comprennent des données personnelles qui ont été collectées licitement et loyalement et que le chercheur les consulte à des fins de recherche scientifique ou historique.4

2) Obligation de prendre les mesures de protection nécessaires  :

Désormais, c’est-à-dire à compter du 25 mai 2018, le responsable du traitement doit vérifier que toutes les mesures nécessaires sont prises, au sein de l’organisme et chez les sous-traitants, pour assurer la protection des données personnelles au cours de leur traitement c’est-à-dire pendant leur collecte, leur consultation, jusqu’à leur effacement le cas échéant. 5

Le traitement des données personnelles doit être mené conformément à sa finalité : seules les données nécessaires à la réalisation de la finalité peuvent être collectées (c’est la minimisation des données), le fichier qui les contient doit être protégé et n’être accessible qu’aux personnes autorisées, une étude d’impact doit être menée si le traitement présente un risque (données sensibles), enfin les données doivent être effacées dès qu’elles ne sont plus nécessaires à la réalisation de la finalité du fichier.

C’est le responsable du traitement qui prend toutes les mesures nécessaires à la préservation des droits des personnes concernées. Il est conseillé par le délégué à la protection des données (DPD).6

a) Mesures à prendre en cas de collecte     :

Le responsable du traitement est tenu d’effacer les données personnelles, aussitôt qu’elles ne sont plus nécessaires aux recherches pour lesquelles elles ont été collectées7 ou dès que les personnes concernées le demandent8.

Toutefois, les données collectées peuvent être conservées si leur suppression risquerait « de rendre impossible ou d’entraver sérieusement la réalisation des finalités » du traitement (art. 89 du Règlement européen du 27 avril 2016 et art. 40.II de la loi du 6 janvier 1978). Voir le billet « Le chercheur utilise les réseaux sociaux pour sa recherche » et le billet « Le chercheur anonymise les données les données de sa recherche ».

b) Mesures à prendre en cas de consultation ou d’utilisation de données personnelles d’un corpus existant :

Un chercheur qui consulte des documents contenant des données à caractère personnel, le fait sur autorisation ou dérogation (voir plus haut). Il a certainement dû fournir, à cette occasion, un engagement écrit de ne pas recopier ni diffuser ces données personnelles. C’est en effet une obligation de la part du responsable du corpus, de mettre en œuvre toutes les mesures destinées à protéger les données personnelles (art. 29 du Règlement européen du 27 avril 2016). Voir le billet « Le chercheur peut-il consulter ou utiliser des fonds qui comportent des données personnelles ? ».

Remarque sur les données sensibles (ou « catégories particulières de données »)

Les données sensibles, ou « catégories particulières de données à caractère personnel » comme les nomme le Règlement européen, ou encore « certaines catégories de données » selon la loi française du 6 janvier 1978 modifiée9 sont celles qui portent sur l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que les données génétiques, biométriques, concernant la santé, la vie sexuelle ou l’orientation sexuelle d’une personne physique.

Le traitement de ces catégories particulières de données est interdit,

  • sauf si les personnes concernées ont donné leur « consentement explicite » valable, ou
  • sauf si le responsable du traitement à sollicité et obtenu de la CNIL une autorisation pour effectuer ce traitement de données sensibles, à des fins de recherche scientifique ou historique. Dans ce cas, les données sensibles doivent être anonymisées « à bref délai »10

Bibliographie :

Crédit photographique : Personne remplissant un questionnaire, Trontnort. Sous licence CC BY-NC 2.0.

Édité par Anne-Laure Stérin

  1. Concernant ce « responsable du traitement », voir la page du CNRS sur le droit des données personnelles. []
  2. Ce règlement est entré en vigueur le 25 mai 2016, mais les responsables de traitement ont jusqu’au 25 mai 2018 pour se mettre en conformité. []
  3. Art. 14.5 du Règlement européen du 27 avril 2016 et art. 6.2° de la loi du 6 janvier 1978. []
  4. Art. 14.5 du Règlement européen du 27 avril 2016 et art. 6.2° de la loi du 6 janvier 1978. []
  5. NB. Avant le règlement européen du 25 mai 2016, il suffisait d’informer la CNIL qu’on détenait un fichier de données personnelles, selon la procédure simplifiée ou la procédure normale, sauf pour certains traitements de données dispensés de déclaration (la CNIL précisait la procédure qu’ilfallait suivre, selon le cas). À compter du 25 mai 2018, il n’y a plus de déclaration à effectuer à la CNIL. []
  6. Tout organisme public doit désigner un délégué à la protection des données (DPD) : le DPD conseille les responsables de traitement de l’organisme, il s’assure que les obligations légales sont respectées et il répond aux demandes des personnes concernées. Il remplace l’ancien Correspondant informatique et libertés (CIL) (art. 37 du Règlement européen du 27 avril 2016). []
  7. art. 5 du Règlement européen du 27 avril 2016 et art. 6.5 de la loi du 6 janvier 1978 []
  8. art. 16 du Règlement européen du 27 avril 2016 et art. 40.I de la loi du 6 janvier 1978 []
  9. Données sensibles : articles 8 et suivants de la loi du 6 janvier 1978 []
  10. Art. 9 du Règlement européen du 27 avril 2016, art. 8 et 25 de la loi du 6 janvier 1978). []

3 réflexions au sujet de « Le point sur les données à caractère personnel »

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *