Données personnelles : identifier, protéger et exercer ses droits

Une donnée personnelle concerne une personne physique identifiée ou identifiable, directement ou par recoupement. Un identifiant de compte, une trajectoire de déplacements ou une voix peuvent permettre cette identification sans contenir un nom. Remplacer le nom par un code n’assure donc pas une anonymisation : si le rapprochement reste possible, les données peuvent rester personnelles. Une information portant seulement sur une société n’est pas, pour ce seul motif, une donnée personnelle ; les coordonnées d’une personne travaillant dans cette société peuvent l’être.

Du fichier à son utilisation. Collecter, organiser, consulter ou communiquer des données constitue un traitement. Les acteurs peuvent en tirer un avantage commercial par personnalisation ou publicité, mais l’intérêt économique ne dispense pas de règles. Il faut un objectif déterminé et une base légale adaptée, qui n’est pas toujours le consentement. Transparence, pertinence des informations, conservation limitée et sécurité doivent être examinées ensemble. Les catégories particulièrement protégées, comme les données de santé, relèvent de conditions supplémentaires. Un fichier accessible sur internet ne devient pas libre de toute contrainte.

Dossier fictif. Une bibliothèque crée un code pour chaque lecteur. La table qui relie le code à la personne est conservée séparément par le service : le fichier des emprunts n’est pas devenu anonyme pour ce service. Une application souhaite réutiliser ce fichier pour proposer des annonces ciblées. Le projet exige une analyse de finalité, de base légale et d’information ; le simple intérêt d’un annonceur ne la remplace pas. Une statistique agrégée peut limiter l’identification, mais il faut vérifier les possibilités réelles de recoupement, notamment pour de très petits groupes.

Ces questions ne sont pas des autorisations : une réponse correcte sur un seul axe ne prouve pas la conformité entière du traitement.