Protection des données, contexte international, RGPD Règlement Général sur la Protection des Données, loi du 6 janvier 1978, CNIL, GAFAM, Google, Facebook, principe de loyauté, loi du 7 octobre 2016, UE Union Européenne, arrêt Weltimo, arrêt Google Inc., class actions
Première question très ouverte : qu'est-ce qu'une donnée personnelle ? Est-ce qu'il s'agit d'un bien d'une valeur économique ? Est-ce qu'il y a des droits, des obligations et éventuellement une responsabilité ? Qu'est-ce qu'un bien ? C'est une chose économiquement utile et juridiquement appropriable. La valeur d'un bien dépend d'un référentiel. Dans le domaine corporel, comment évaluer la valeur d'une chose ? La valeur dépend de la fongibilité de l'objet et de sa rareté. Plus un bien est rare, plus il est cher certes, mais tout dépend du contexte, de l'environnement. Un diamant à Anvers peut valoir beaucoup, mais dans le désert...
Est-ce que la donnée est un bien fongible ? Non dans la mesure où c'est un objet immatériel, incorporel qui ne se détruit pas par l'usage. En quoi est-elle importante ? Elle a une valeur en ce sens que la donnée peut être vendue par les annonceurs à des hébergeurs de contenus ou par celui qui va héberger la donnée... On a renseigné nos données dans un navigateur de recherche, dans un réseau social, lesquels peuvent les consulter et utiliser, souvent à des fins commerciales. L'offre et la demande vont fixer la valeur de la donnée, mais même si la valeur est très faible, la donnée se vend et s'achète.
[...] Ça se traduit d'abord par une analyse d'impact de l'article 35. Même si les textes anciens ne formalisaient pas cette exigence, les responsables de traitements devaient tout de même mener une réflexion préalable avant la mise en œuvre du traitement, l'objectif étant de limiter les éventuelles atteintes aux droits des personnes concernées. Aujourd'hui, c'est formalisé dans une étude d'impact qui peut être demandée par l'autorité de contrôle. Une réflexion, également, s'est portée dans le cadre des groupes de travail sur le degré de protection qu'il fallait offrir aux personnes concernées et une distinction s'est créée entre une protection dite dès la conception du traitement et une protection dite par défaut. [...]
[...] À quelles données va-t-il s'appliquer ? L'article 3 dispose que le présent règlement s'applique au traitement des données à caractère personnel effectué dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire de l'Union, que le traitement ait lieu ou non dans l'Union. Aussi, il s'applique au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de l'Union par un responsable du traitement ou un sous-traitant qui n'est pas établi dans l'Union, lorsque les activités de traitement sont liées à l'offre de biens ou de services à ces personnes concernées dans l'Union, qu'un paiement soit exigé ou non desdites personnes ou au suivi du comportement de ces personnes, dans la mesure où il s'agit d'un comportement qui a lieu au sein de l'Union. [...]
[...] Le principe de loyauté s'entend de la loyauté dans le traitement, dans la collecte des données. Le principe de finalité va irriguer toute la problématique et veut que le responsable du traitement ne puisse utiliser les données que dans le cadre d'une finalité qu'il aurait déclaré ce qui implique que toutes les mesures de traitement qu'il met en œuvre comme la durée de conservation des données doivent être limitées par rapport à ce qui est nécessaire pour la poursuite de l'objectif défini. [...]
[...] On agit donc contre le responsable du traitement. C'est le premier débiteur des obligations mises en place par le RGPD. En particulier, le responsable du traitement doit désigner en son sein un délégué à la protection des données ou DPO, qui est la pierre angulaire du dispositif de conformité. Le DPO est l'équivalent RGPD du CIL pour la loi « Informatique et libertés ». Cette désignation est impérative dans certains cas, notamment lorsque le responsable du traitement est une autorité ou un organisme public, pour les organismes dont les activités de base les amènent à réaliser un suivi régulier et systématique des personnes à grande échelle ou encore pour les organismes dont les activités amènent à traiter à grande échelle les données sensibles ou relatives à des infractions pénales et leur condamnation. [...]
[...] Le RGPD Le règlement général sur la protection des données est un règlement du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. Très clairement, le droit européen reconnait que la donnée est une marchandise puisqu'il assoit le principe de sa libre-circulation. Il reconnait néanmoins que c'est une donnée qui a un caractère particulier. À l'origine de ces dispositions, on n'a pas attendu 2018 pour avoir un cadre général. [...]
Bibliographie, normes APA
Citez le doc consultéLecture en ligne
et sans publicité !Contenu vérifié
par notre comité de lecture
