Analyser la protection des données personnelles

Une donnée personnelle se rapporte à une personne physique identifiée ou identifiable, directement ou par recoupement. Un nom, un identifiant ou une combinaison d’informations peuvent permettre cette identification. Une donnée publique reste potentiellement personnelle. Le traitement couvre notamment collecte, classement, consultation, transmission ou suppression ; il ne se limite pas à la vente de fichiers.

Pour examiner un traitement, identifiez la finalité, les données nécessaires, la base juridique, les destinataires, la durée et les mesures de sécurité. Le consentement est une base possible parmi d’autres ; le réclamer ne suffit pas à rendre toute opération conforme. Les personnes doivent être informées et pouvoir exercer les droits applicables à leur situation. Ces droits connaissent des conditions et limites : l’effacement n’impose pas de supprimer une conservation légalement nécessaire.

Association fictive. Un formulaire d’inscription à un atelier demande les coordonnées utiles à l’organisation, mais aussi des informations sans lien établi avec l’activité. L’analyse doit demander pourquoi chaque information est nécessaire. La collecte ne devient pas proportionnée parce que le formulaire permet de tout saisir. Le fichier doit aussi être accessible aux seuls acteurs autorisés et la conservation justifiée. L’exemple ne détermine pas une base juridique unique pour toutes les associations.

Ces exigences se complètent ; une seule case cochée ne valide pas tout le traitement.