RGPD : donnée personnelle, traitement et principes

Le RGPD (règlement général sur la protection des données, règlement européen 2016/679) est le texte qui encadre l'utilisation des données personnelles dans toute l'Union européenne depuis le 25 mai 2018. Il dit ce qu'est une donnée personnelle, qui est responsable de son utilisation et quels principes respecter du début à la fin d'un traitement. Ce chapitre pose ces trois bases : sans elles, aucune question RGPD d'examen ne se traite correctement.

Le RGPD en bref

Le RGPD a remplacé la directive de 1995 sur la protection des données. Étant un règlement, il s'applique directement dans les 27 États membres ; en France, il est complété par la loi Informatique et libertés du 6 janvier 1978, réécrite en 2018. Son nom anglais est GDPR (General Data Protection Regulation).

Il s'applique (article 3) :

• à toute organisation établie dans l'Union qui traite des données personnelles, où que le traitement ait lieu ;
• à une organisation établie hors de l'Union dès qu'elle propose des biens ou des services à des personnes qui se trouvent dans l'Union, ou qu'elle suit leur comportement (un réseau social américain, une boutique en ligne chinoise qui vise le marché français).

Il s'applique quelle que soit la taille de l'organisation : une association de quartier, une PME de 14 salariés et une multinationale ont les mêmes principes à respecter. Seules quelques obligations (registre, délégué) varient avec le risque et l'activité. Il ne s'applique pas aux traitements faits par un particulier pour un usage strictement personnel ou domestique (ton carnet d'adresses, les photos de famille).

Qu'est-ce qu'une donnée personnelle ?

Une donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable (article 4). Une personne est identifiable si on peut la retrouver, directement ou indirectement, notamment par un identifiant (nom, numéro, données de localisation, identifiant en ligne) ou par un ou plusieurs éléments propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

Ne sont pas des données personnelles : les informations sur une personne morale (le SIREN de Cèdre Habitat, l'adresse contact@cedre-habitat.fr), les données réellement anonymisées et les statistiques agrégées qui ne permettent de remonter à personne. Attention aux petits effectifs : « 1 salarié du service juridique est en arrêt maladie » désigne une personne si le service ne compte qu'une personne.

Les données sensibles

L'article 9 du RGPD interdit en principe de traiter des catégories particulières de données, qu'on appelle couramment données sensibles :

• l'origine raciale ou ethnique ;
• les opinions politiques ;
• les convictions religieuses ou philosophiques ;
• l'appartenance syndicale ;
• les données génétiques ;
• les données biométriques utilisées pour identifier une personne de manière unique (empreinte digitale, reconnaissance faciale) ;
• les données concernant la santé ;
• la vie sexuelle ou l'orientation sexuelle.

L'interdiction connaît des exceptions limitativement énumérées : le consentement explicite de la personne, les obligations du droit du travail et de la protection sociale, la sauvegarde des intérêts vitaux d'une personne incapable de consentir, des données manifestement rendues publiques par la personne, la médecine du travail et les soins, la recherche sous conditions. Même dans ces cas, la sécurité doit être renforcée et une analyse d'impact est souvent obligatoire (chapitre 5).

Deux autres catégories sont très encadrées sans être « sensibles » au sens de l'article 9 :

• les données relatives aux condamnations pénales et aux infractions (article 10), qui ne peuvent être traitées que sous le contrôle de l'autorité publique ou dans les cas prévus par la loi ;
• le numéro de sécurité sociale (le NIR), dont l'usage est limité par la loi Informatique et libertés et un décret à certains secteurs (santé, paie, protection sociale) : un portail locataires n'a aucune raison de le demander.

Anonymiser ou pseudonymiser ?

Les deux techniques transforment des données, mais leurs effets juridiques sont opposés.

Supprimer le nom ne suffit pas à anonymiser. En 2000, une chercheuse américaine, Latanya Sweeney, a montré que la date de naissance, le sexe et le code postal suffisent à identifier une grande majorité des habitants des États-Unis. Ces informations sont des quasi-identifiants : pour anonymiser, on les généralise (tranche d'âge au lieu de la date, département au lieu du code postal) jusqu'à ce que chaque combinaison corresponde à un groupe suffisamment grand de personnes (c'est l'idée du k-anonymat), ou on ne publie que des agrégats.

Qu'est-ce qu'un traitement ?

Un traitement est toute opération, automatisée ou non, appliquée à des données personnelles : collecte, enregistrement, organisation, conservation, adaptation, modification, extraction, consultation, utilisation, communication, rapprochement, limitation, effacement ou destruction (article 4). Consulter une fiche, exporter un fichier CSV, envoyer une liste par courriel, sauvegarder une base, purger des comptes : ce sont tous des traitements.

En pratique, on raisonne par finalité : un traitement regroupe les opérations qui servent un même objectif. Chez Cèdre Habitat : la gestion des locataires et des loyers, le suivi des demandes d'intervention, la paie des salariés, la vidéoprotection des halls, la journalisation des accès au système d'information, la prospection pour les logements vacants. Chacun a sa base légale, ses destinataires et sa durée de conservation.

Qui est responsable ? Les rôles du RGPD

Le responsable de traitement est l'organisation, personne morale, pas la personne qui dirige la DSI ni le développeur. Un sous-traitant qui se met à utiliser les données pour ses propres finalités (l'éditeur qui revend les données des locataires) devient responsable de ce traitement et en assume toutes les obligations (article 28).

Les sept principes de l'article 5

L'article 5 du RGPD pose les principes qui s'appliquent à tout traitement. Ils sont la grille de lecture de toutes les questions d'examen.

Le septième principe change la logique : avant 2018, on déclarait ses fichiers à la CNIL ; depuis, on ne déclare presque plus rien, mais on doit documenter et pouvoir prouver, à tout moment, qu'on respecte les autres principes.

Fixer une durée de conservation

La durée dépend de la finalité. La CNIL publie des référentiels sectoriels ; quelques repères :

Au-delà de la durée d'utilisation courante, les données peuvent être placées en archivage intermédiaire (accès restreint, à des fins de preuve ou d'obligation légale) avant leur suppression définitive. Le chapitre 12 détaille les obligations légales de conservation.

Pour aller plus loin. Les mesures techniques qui répondent à l'obligation de sécurité (chiffrement, pseudonymisation par hachage, contrôle d'accès) sont détaillées dans les cours Cryptographie et Authentification et habilitations.

Exercices

Exercice 1 sur 4 Donnée personnelle ou non ? Réussi À revoir

Ces informations, trouvées dans le système d'information de Cèdre Habitat, sont-elles des données personnelles ? Sont-elles sensibles ?

1. contact@cedre-habitat.fr.
2. L'adresse IP 92.184.12.7 enregistrée dans les journaux du portail.
3. « Nombre de locataires du site de Lyon : 3 412 ».
4. Le certificat médical joint à une demande de logement adapté.
5. Le numéro de locataire LOC-004521.
6. Un fichier d'enquête où chaque nom est remplacé par un numéro, la table de correspondance restant à la DSI.
7. L'adhésion d'un salarié à un syndicat, notée dans le logiciel de paie pour prélever la cotisation.

Voir la réponseMasquer la réponse de l'exercice 1

1. Non : adresse générique d'une personne morale.
2. Oui, non sensible : identifiant indirect, rattachable à un abonné avec l'aide du fournisseur d'accès.
3. Non : agrégat qui ne désigne personne.
4. Oui et sensible : donnée de santé (article 9).
5. Oui, non sensible : identifiant indirect, relié à une personne par le logiciel de gestion locative.
6. Oui : données pseudonymisées, la table permet de retrouver chaque personne.
7. Oui et sensible : appartenance syndicale. Le prélèvement de la cotisation repose sur la demande et le consentement explicite du salarié (article 9.2.a), avec un accès limité au service paie.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 Les rôles Réussi À revoir

Pour chaque acteur, donne son rôle au sens du RGPD dans le traitement « gestion des demandes d'intervention des locataires ».

1. Cèdre Habitat.
2. L'entreprise de plomberie qui reçoit le nom, l'adresse et le téléphone du locataire pour intervenir.
3. L'éditeur du logiciel de tickets, hébergé chez lui en mode SaaS.
4. Le fournisseur de cloud de cet éditeur.
5. Le locataire qui signale une fuite.

Voir la réponseMasquer la réponse de l'exercice 2

1. Responsable de traitement : il décide de la finalité (traiter les demandes) et des moyens essentiels.
2. Destinataire, et en pratique sous-traitant pour cette mission : il ne reçoit les données que pour intervenir pour le compte de Cèdre Habitat. S'il les réutilisait pour proposer ses propres services, il deviendrait responsable de ce nouveau traitement, sans base légale.
3. Sous-traitant : il traite les données pour le compte de Cèdre Habitat. Un contrat conforme à l'article 28 est obligatoire.
4. Sous-traitant ultérieur : l'éditeur doit avoir l'autorisation de Cèdre Habitat pour y recourir.
5. Personne concernée.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 Pseudonymiser puis anonymiser Réussi À revoir

Voici une ligne d'un export des demandes de logement adapté :

Martin | Claire | 1958-06-02 | 69200 Vénissieux | fauteuil roulant | demande acceptée

1. Propose une version pseudonymisée pour l'équipe qui teste une nouvelle application.
2. Propose une version anonymisée pour un rapport public sur les logements adaptés.
3. La version 1 relève-t-elle du RGPD ? Et la version 2 ?

Voir la réponseMasquer la réponse de l'exercice 3

1. DEM-8812 | 1958-06-02 | 69200 | fauteuil roulant | acceptée, avec une table DEM-8812 → Martin Claire conservée à part, accessible à très peu de personnes. Pour des tests, le mieux reste encore des données fictives générées : on ne teste jamais avec de vraies données de santé si on peut l'éviter.
2. On supprime l'identité et on généralise les quasi-identifiants : 65-74 ans | Rhône | mobilité réduite | acceptée, et on ne publie que des totaux par catégorie (« 128 demandes acceptées dans le Rhône »), en masquant les catégories qui comptent trop peu de personnes.
3. La version 1 est pseudonymisée : le RGPD s'applique, et il s'agit même de données sensibles. La version 2, si elle est réellement irréversible, est anonyme : elle sort du RGPD.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 Quel principe est violé ? Réussi À revoir

Pour chaque pratique, nomme le principe de l'article 5 qui n'est pas respecté et propose une correction.

1. Le formulaire de contact du site exige la date de naissance et la profession.
2. Les comptes du portail des locataires partis depuis dix ans sont toujours actifs.
3. Les adresses des locataires sont transmises à un partenaire qui vend des assurances habitation.
4. Les mots de passe du portail sont stockés en clair.
5. Lors d'un contrôle, Cèdre Habitat ne sait pas dire quels prestataires ont accès aux données des locataires.

Voir la réponseMasquer la réponse de l'exercice 4

1. Minimisation : un formulaire de contact a besoin d'un moyen de répondre (courriel ou téléphone) et du message. Supprimer les deux champs, ou les rendre facultatifs avec une finalité expliquée.
2. Limitation de la conservation : fixer une durée (par exemple la durée du bail, puis l'archivage intermédiaire le temps des prescriptions), puis supprimer ou anonymiser par une purge automatique.
3. Limitation des finalités, et absence de base légale pour cette nouvelle finalité : il faudrait au minimum le consentement des locataires (chapitre 3).
4. Intégrité et confidentialité : hacher les mots de passe avec un algorithme adapté (Argon2id ou bcrypt), jamais un chiffrement réversible ni un simple SHA-256.
5. Responsabilité : tenir le registre des traitements et la liste des sous-traitants, avec leurs contrats (chapitre 5).

Tu avais trouvé ?

Oui, j'avais bonPas encore