Protection des données personnelles publiées en ligne : la CNIL adopte deux recommandations RGPD

Les fiches pratiques adoptées portent notamment sur l’identification des responsabilités, la détermination de la base légale, l’information des personnes, l’exercice de leurs droits, ainsi que la pertinence, la proportionnalité, l’exactitude et la sécurité des données. Pour les réutilisateurs, des cas d’usage concernent les annuaires professionnels, la prospection commerciale, la recherche scientifique hors santé et l’aspiration de données par les autorités publiques.

La délibération s’inscrit dans les compétences exercées par la CNIL sur le fondement de l’article 8-I-2°-b) de la loi n° 78-17 du 6 janvier 1978 modifiée. Elle rappelle que l’accessibilité d’une donnée sur internet ne dispense pas le responsable du traitement de respecter les exigences du règlement (UE) 2016/679. Les recommandations, soumises à consultation publique avant leur adoption, sont publiées au Journal officiel.

⬇️Télécharger la décision version officielle

Saisie pour avis, sollicitée par des professionnels et destinataire de plaintes, l’autorité adopte deux recommandations sous forme de fiches pratiques. La première s’adresse aux diffuseurs de données personnelles en open data. La seconde concerne les réutilisateurs de données personnelles accessibles en ligne.

Les recommandations traitent notamment des responsabilités, de la base légale, de l’information, des droits des personnes, de la proportionnalité, de l’exactitude et de la sécurité. Des cas d’usage portent sur les annuaires professionnels, la prospection commerciale, la recherche scientifique hors santé et l’aspiration de données par les autorités publiques.

• Identifier les organismes responsables ou impliqués dans le traitement
• Déterminer la base légale applicable à la diffusion ou à la réutilisation
• Informer les personnes concernées conformément aux obligations applicables
• Garantir l’exercice effectif des droits des personnes
• Vérifier la pertinence et la proportionnalité des données traitées
• Assurer l’exactitude et la sécurité des données personnelles

• Saisines de la CNIL sur des projets de textes législatifs ou réglementaires
• Demandes de conseils émanant de professionnels
• Plaintes relatives à la diffusion ou à la réutilisation de données
• Fiches pratiques soumises à consultation publique

• Diffuseurs : documenter la responsabilité de chaque organisme impliqué
• Diffuseurs : vérifier la base légale et l’information des personnes
• Réutilisateurs : qualifier la finalité avant toute exploitation des données
• Réutilisateurs : contrôler pertinence, proportionnalité, exactitude et sécurité
• Tous acteurs : organiser l’exercice des droits des personnes concernées

À faire

• Identifier les responsables et les rôles de chaque intervenant
• Déterminer la base légale du traitement envisagé
• Informer les personnes concernées sur l’utilisation des données
• Vérifier la pertinence et la proportionnalité des données
• Mettre en place des mesures d’exactitude et de sécurité

À éviter

• Assimiler accessibilité en ligne et libre réutilisation
• Réutiliser des données sans finalité précisément déterminée
• Négliger les droits des personnes concernées
• Collecter des données disproportionnées au regard de l’objectif
• Omettre l’analyse des risques liés à la sécurité

Les responsabilités des diffuseurs de données personnelles

La recommandation destinée aux diffuseurs vise à identifier les responsabilités des organismes impliqués dans le traitement. Elle prévoit également l’examen de la base légale, de l’information des personnes, de leurs droits, ainsi que de la pertinence, de la proportionnalité, de l’exactitude et de la sécurité des données, dans le cadre du RGPD.

Les conditions de réutilisation des données personnelles en ligne

La recommandation destinée aux réutilisateurs s’applique aux données personnelles publiées sur internet, qu’elles soient diffusées en open data ou autrement accessibles en ligne. Elle décline les principes applicables à plusieurs usages, notamment les annuaires professionnels, la prospection commerciale, la recherche scientifique hors santé et l’aspiration par les autorités publiques.

La compétence de la CNIL pour adopter les recommandations

La délibération est prise au titre de l’article 8-I-2°-b) de la loi n° 78-17 du 6 janvier 1978 modifiée. Elle adopte les recommandations figurant en annexe et prévoit leur publication au Journal officiel de la République française.