Les données personnelles ne se limitent pas à votre nom : Explications sur le RGPD

Contrairement aux idées reçues, les données personnelles ne se résument pas à un nom et un prénom. Le Règlement Général sur la Protection des Données (RGPD) en donne une définition très large, englobant toute information permettant d'identifier, directement ou indirectement, une personne physique vivante.

Si votre identité civile permet généralement de vous identifier, que se passe-t-il si vous portez un nom très répandu ? Il est essentiel de comprendre que si une information ne constitue pas une « donnée personnelle », elle ne relève pas du champ d'application du RGPD.

Comprendre les données personnelles dans le cadre du RGPD

Le RGPD cherche à établir un équilibre entre une réglementation stricte protégeant les individus et une certaine flexibilité nécessaire aux entreprises. C'est pourquoi la définition même de « donnée personnelle » est centrale. Lorsqu'une entreprise ou une organisation collecte, utilise ou stocke des données relatives à des personnes au sein de l'UE, elle est tenue de respecter les normes de confidentialité et de sécurité imposées par le règlement. Le non-respect de ces obligations expose les contrevenants à de lourdes sanctions administratives de la part des autorités de contrôle.

Mon nom et mon prénom sont-ils les seules données concernées ?

La réponse est NON.

Les données personnelles vont bien au-delà de l'état civil. Il s'agit d'un ensemble d'identifiants qui, mis bout à bout, peuvent conduire à l'identification d'une personne spécifique.

Prenons un exemple local : Joe Borg. C'est un nom extrêmement courant à Malte. Comment identifier une personne précise avec cette seule information ? C'est impossible. En revanche, si ce nom est combiné avec d'autres informations permettant de distinguer cet individu particulier, alors l'ensemble constitue une donnée personnelle. Dès lors que vous collectez des informations identifiables sur une personne, vous traitez des données personnelles et les règles du RGPD s'appliquent.

Mais ne nous arrêtons pas là. Les données personnelles se cachent parfois là où on ne les attend pas. Le RGPD ne fournit pas de liste exhaustive, car la notion évolue et dépend grandement de l'interprétation de l'article 4 du règlement.

Bien entendu, il existe des identifiants évidents : nom, prénom, numéro de passeport ou de carte d'identité, adresse postale, coordonnées bancaires, etc. Mais il convient parfois de sortir des sentiers battus.

Au-delà des évidences : Tatouages et plaques d'immatriculation

Les tatouages étant très populaires aujourd'hui, on peut légitimement se demander : un tatouage constitue-t-il une donnée personnelle ? Tout comme un nom commun doit être associé à d'autres informations pour devenir identifiant, il en va de même pour un tatouage générique.

Cependant, si un tatouage est unique et permet d'identifier facilement une personne, il peut être considéré comme une donnée personnelle au sens du RGPD, selon le contexte de sa collecte et de son traitement.

Bon à savoir : Lorsqu'un tatoueur réalise une œuvre sur votre peau, il ne peut pas simplement partager vos informations ou photos sans respecter le RGPD.

C'est l'agrégation d'informations qui est déterminante. Différents éléments peuvent être utilisés pour restreindre les critères jusqu'à ce qu'une personne soit identifiée.

Prenons un autre exemple : la plaque d'immatriculation. Les numéros d'immatriculation des véhicules entrent dans la définition des données personnelles selon le RGPD. Avec les outils adéquats, une plaque peut être reliée au propriétaire du véhicule, permettant ainsi son identification indirecte. Bien que la collecte de ces numéros soit possible, elle est strictement encadrée par le règlement.

Stockage et collecte : Les bonnes pratiques

Le RGPD met l'accent sur le principe de minimisation des données. Cela concerne à la fois le volume de données stockées et la durée de leur conservation. La règle est simple : les données personnelles ne doivent être conservées que le temps nécessaire à la réalisation de l'objectif pour lequel elles ont été traitées.

Lorsqu'une entreprise collecte vos données, elle doit vous en informer clairement. Voici une liste de questions auxquelles vous devriez toujours pouvoir obtenir une réponse :

• QUELLE entreprise collecte vos données ?
• COMMENT contacter l'entreprise ou son Délégué à la protection des données (DPO) ?
• POURQUOI vos données sont-elles traitées (la finalité) ?
• QUELLE EST la base légale de ce traitement ?
• COMBIEN DE TEMPS vos données seront-elles conservées ?
• QUI d'autre pourrait avoir accès à vos données ?
• VOS DONNÉES seront-elles transférées hors de l'UE ?
• AVEZ-VOUS la possibilité d'obtenir une copie de vos données ?
• L'ENTREPRISE respecte-t-elle vos droits fondamentaux selon le RGPD ?
• DISPOSEZ-VOUS d'un droit de réclamation ?
• EST-IL aussi simple de retirer votre consentement que de le donner ?
• L'ENTREPRISE utilise-t-elle un système de prise de décision automatisée ?

Pour plus de détails juridiques, vous pouvez consulter le texte officiel ici : Règlement (UE) 2016/679.

Les données doivent être conservées le moins longtemps possible. Cette durée doit être justifiée au regard du RGPD, tout en tenant compte des obligations légales qui peuvent imposer une conservation plus longue (par exemple, les lois fiscales obligent souvent les entreprises à conserver certaines données pendant 10 ans).

L'entreprise doit définir des délais au terme desquels les données non nécessaires seront effacées ou révisées. Le règlement prévoit des exceptions selon la finalité : si le stockage est d'intérêt public ou à des fins de recherche scientifique ou historique, la conservation peut être prolongée, sous réserve de garanties appropriées.

Enfin, n'oubliez pas qu'une entreprise a également l'obligation de s'assurer que les données personnelles qu'elle détient sont exactes et à jour.

Ce qu'il faut retenir

Des informations telles que des numéros de licence ou des tatouages ne sont pas les données personnelles « classiques » auxquelles on pense spontanément, mais leur stockage doit impérativement se faire en conformité avec le RGPD. Tout traitement de données nécessite un processus de conformité rigoureux.

Si vous souhaitez en savoir plus ou avez besoin d'assistance pour votre mise en conformité, n'hésitez pas à contacter l'équipe de DW&P Dr. Werner & Partners à l'adresse gdprcompliance@drwerner.com.