Sur cette page
Un exemple concret
Un nom, une adresse e-mail, une photo, un numéro de téléphone ou une adresse IP sont des données personnelles.
Le piège à éviter
Une donnée qui ne permet pas d'identifier quelqu'un directement peut quand même être personnelle si, croisée avec d'autres, elle le rend identifiable.
Pour aller plus loin
En France, la protection des données personnelles est ancienne : la loi Informatique et Libertés date de 1978 et a créé la CNIL, la Commission nationale de l'informatique et des libertés, qui contrôle les organismes. Le règlement général sur la protection des données (RGPD), adopté par l'Union européenne en 2016, est applicable depuis le 25 mai 2018 dans tous les États membres. Il concerne toute entreprise qui traite des données de personnes situées dans l'Union, même si elle est établie à l'étranger. Tu le retrouves dans le programme de droit, dans le thème des droits des personnes et du numérique.
Une donnée est personnelle dès qu'elle permet d'identifier une personne, directement (un nom) ou indirectement (un numéro de client, une plaque d'immatriculation, un identifiant publicitaire). Certaines données sont dites sensibles : origine, opinions politiques, religion, santé, vie sexuelle, données biométriques. Leur traitement est en principe interdit, sauf exceptions strictes. Le traitement, lui, désigne toute opération sur les données : les collecter, les enregistrer, les conserver, les consulter ou les transmettre.
Le RGPD impose des principes à tout responsable de traitement. Le traitement doit reposer sur une base légale (le consentement, l'exécution d'un contrat, une obligation légale…), poursuivre une finalité précise et n'utiliser que les données nécessaires, c'est le principe de minimisation. Les données ne peuvent pas être conservées sans limite de durée. La personne concernée dispose de droits : être informée, accéder à ses données, les faire rectifier ou effacer, s'opposer à leur usage et demander leur portabilité. En cas de manquement, la CNIL peut sanctionner : les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. En 2019, elle a ainsi infligé 50 millions d'euros à Google pour un défaut de transparence et de consentement valable.
Ne pas confondre
- Donnée anonymisée : Elle ne permet plus, même indirectement, d'identifier quelqu'un, et sort donc du champ du RGPD, alors qu'une donnée simplement pseudonymisée reste personnelle.
- Donnée confidentielle : Une information secrète d'entreprise n'est pas forcément personnelle ; inversement, un nom ou une adresse e-mail est personnel même s'il n'est pas secret.
- Donnée sensible : C'est une catégorie particulière de donnée personnelle (santé, religion, opinions), soumise à une protection renforcée.
Dans ta copie
Une boutique en ligne qui collecte l'adresse e-mail et la date de naissance de ses clients traite des données personnelles, puisqu'elles permettent d'identifier des personnes. Le RGPD l'oblige à informer les clients de la finalité de la collecte, à ne recueillir que les données nécessaires et à obtenir un consentement libre lorsqu'elle envoie de la publicité. La date de naissance paraît ici excessive pour vendre des vêtements : le principe de minimisation n'est pas respecté. L'entreprise s'expose à un contrôle de la CNIL et à une sanction financière.
À retenir
- Une donnée personnelle permet d'identifier une personne physique, directement ou indirectement.
- Le RGPD est applicable depuis le 25 mai 2018 dans toute l'Union européenne.
- Le traitement doit avoir une finalité précise et se limiter aux données nécessaires.
- La personne dispose de droits d'accès, de rectification, d'effacement et d'opposition.
Teste-toi
Droit · question corrigée
Depuis quand le RGPD s'applique-t-il ?
Voir la réponse
Réponse C. Le RGPD est applicable depuis le 25 mai 2018 dans toute l'Union européenne.
Droit · question corrigée
Quel principe du RGPD impose à une entreprise de ne collecter que les données strictement nécessaires à son objectif ?
Voir la réponse
Réponse D. Le principe de minimisation limite la collecte aux données adéquates et nécessaires au regard de la finalité. La portabilité et la rectification sont des droits de la personne, et la pseudonymisation est une technique de protection.
Questions fréquentes
Une adresse IP est-elle une donnée personnelle ?
Oui, dans la plupart des cas, car elle peut permettre d'identifier une personne en la croisant avec d'autres informations, par exemple auprès du fournisseur d'accès. Elle entre donc dans le champ du RGPD.
À quel âge peut-on donner seul son consentement sur internet ?
En France, un mineur de 15 ans ou plus peut consentir seul au traitement de ses données pour des services en ligne. En dessous, l'accord d'un titulaire de l'autorité parentale est nécessaire, en plus de celui du mineur.
Notions liées
Pour réviser tout le chapitre, va sur la page Droit, ou retrouve toutes les définitions dans le lexique du bac. Dans l'application, les quiz reprennent ces notions sur le programme de ta série.