Une question précise ? Lancez une analyse avec le Copilote →
L’essentiel
- Définition
- Information identifiant directement ou indirectement une personne physique
- Droit d’accès
- Communication des données accessibles liées au dossier
- Droit de rectification
- Correction des données inexactes auprès du responsable
- Diffusion en ligne
- Base légale, information, proportionnalité, exactitude et sécurité
- Réutilisation
- Usages encadrés des données publiées sur internet
- Accès public
- Accès libre non nécessaire et disproportionné dans certains cas
- Lutte contre la fraude
- Indices sérieux, données nécessaires et garanties procédurales
- Données de santé
- Garanties particulièrement rigoureuses pour leur traitement
Cadre juridique et définition
Une donnée personnelle est une information qui identifie directement ou indirectement une personne physique.
Sont notamment concernées les adresses IP, noms, numéros d’immatriculation, numéros de téléphone, photographies, dates de naissance, communes de résidence et empreintes digitales.
Le droit d’accès permet d’obtenir les données personnelles détenues par le responsable du traitement. Le droit de rectification permet de faire corriger les données inexactes auprès de ce responsable.
La collecte, la conservation, la consultation et la communication de données doivent être justifiées par un motif d’intérêt général et proportionnées. Les données de santé appellent des garanties particulièrement rigoureuses.
Pour approfondir
Conditions de collecte, diffusion et réutilisation
La diffusion de données personnelles doit reposer sur une base légale et respecter les droits des personnes, ainsi que les exigences de pertinence, de proportionnalité, d’exactitude et de sécurité.
La publication en ligne ne rend pas automatiquement toute réutilisation licite. Les règles applicables concernent notamment les annuaires professionnels, la prospection commerciale, la recherche scientifique hors santé et l’aspiration de données par les autorités publiques.
La prévention du blanchiment ou la lutte contre la fraude peuvent justifier certains accès, mais les données accessibles, les personnes habilitées, les finalités et les règles de conservation doivent être suffisamment encadrées.
La publication générale et inconditionnelle des données d’actionnaires minoritaires peut porter une atteinte grave à la vie privée et à la protection des données lorsque cette publication n’est pas imposée et n’est pas proportionnée à l’objectif poursuivi.
Principaux points de vigilance
| Situation | Exigence mise en avant | Illustration |
|---|---|---|
| Demande d’accès | Préciser le périmètre des données et, en cas de litige, la finalité et l’utilité de la demande | Relevés de badgeage, connexions et messagerie |
| Diffusion en ligne | Vérifier la base légale, la proportionnalité, l’exactitude et la sécurité | Open data et annuaires professionnels |
| Réutilisation | Évaluer l’usage envisagé et les droits des personnes | Prospection, recherche ou aspiration de données |
| Données sociales ou de santé | Limiter les données nécessaires et prévoir des garanties adaptées | Lutte contre la fraude sociale et fiscale |
Pour approfondir
Procédure et démarches pratiques
Pour exercer un droit d’accès, vous pouvez demander au responsable du traitement les données personnelles liées à votre situation. La réponse doit tenir compte du périmètre réel de responsabilité de l’organisme : il n’est pas tenu de communiquer des données qu’il ne détient pas ou qui relèvent d’un autre interlocuteur.
Pour une rectification, la demande doit porter sur des données inexactes détenues par le responsable du traitement. Lorsque les données figurent dans un espace personnel placé sous votre contrôle, leur modification peut relever directement de cet espace.
En cas de difficulté, une plainte peut être adressée à la CNIL. La clôture d’une plainte peut être contestée devant le Conseil d’État ; un recours contre certaines décisions de clôture doit être exercé dans les deux mois.
Dans un litige judiciaire, une demande de communication fondée sur le RGPD doit présenter une utilité pour le litige et une justification suffisamment précise. Une demande portant sur des relevés de badgeage, de connexion ou des messageries peut être rejetée si sa finalité, sa nécessité ou l’intérêt de vérifier l’exactitude des données ne sont pas précisés.
Pour approfondir
Le droit d’accès dépend du périmètre des données détenues
Le responsable du traitement n’est tenu de communiquer que les données personnelles relevant de son périmètre et auxquelles il peut accéder. La DILA a ainsi satisfait à l’article 15 du RGPD en transmettant les données liées au dossier dont elle disposait et en orientant le demandeur vers le délégué à la protection des données compétent pour les autres informations.
Dans un litige, une demande de communication doit être suffisamment explicitée. Une demande portant sur des relevés de badgeage, des connexions ou des outils de messagerie peut être rejetée si sa finalité, son utilité pour le litige ou la nécessité de vérifier l’exactitude des données ne sont pas précisées.
Diffusion et réutilisation : deux responsabilités distinctes
La diffusion de données personnelles en ligne ne suffit pas à autoriser tous les usages ultérieurs. Les recommandations de la CNIL distinguent les responsabilités des diffuseurs et celles des réutilisateurs, notamment pour les données publiées en open data ou autrement accessibles sur internet.
Les diffuseurs et les réutilisateurs doivent notamment examiner la base légale, l’information des personnes, l’exercice des droits, la pertinence, la proportionnalité, l’exactitude et la sécurité des données. Ces exigences peuvent concerner des usages tels que les annuaires professionnels, la prospection commerciale, la recherche scientifique hors santé ou l’aspiration de données par des autorités publiques.
La publication des données d’actionnaires minoritaires illustre cette exigence de proportionnalité : la directive 2017/1132 n’impose pas la publication de toutes ces informations et un accès public, général et inconditionnel peut porter une atteinte grave aux droits fondamentaux.
Pour approfondir
Données sociales, de santé et de connexion : des garanties renforcées
Les traitements utilisés pour lutter contre la fraude sociale et fiscale doivent être encadrés. Le Conseil constitutionnel a notamment exigé des indices sérieux, la limitation des échanges aux données nécessaires et le respect de garanties procédurales pour l’accès aux données sociales et de santé ainsi que pour le traitement des données de connexion.
Pour les données de santé, les garanties doivent être particulièrement rigoureuses. La collecte, la conservation, la consultation et la communication de données doivent être justifiées par un motif d’intérêt général et proportionnées.
Exemples tirés de nos contenus
Questions fréquentes
La CNIL doit-elle donner suite à toute plainte relative à des données personnelles ?
Non. La CNIL peut clôturer une plainte lorsque les vérifications ne révèlent pas de manquement, notamment si l’organisme concerné ne détient aucune autre donnée personnelle. La décision définitive de clôture peut se substituer à une première décision, rendant certains recours sans objet.
Puis-je demander toutes les données me concernant dans le cadre d’un procès ?
Une demande fondée sur le RGPD doit présenter une utilité identifiable pour le litige. La demande peut être rejetée si sa finalité, sa nécessité ou le besoin de vérifier l’exactitude des données ne sont pas précisés.
Un registre public peut-il diffuser les données de tous les actionnaires ?
La directive 2017/1132 n’impose pas la publication des informations concernant tous les actionnaires, notamment les actionnaires minoritaires. Un accès public sans condition d’intérêt légitime peut porter une atteinte grave aux droits fondamentaux.
La régularisation d’un manquement met-elle définitivement fin au risque de sanction ?
La CNIL peut clôturer une mise en demeure après régularisation et publier cette décision. Toutefois, une procédure de sanction peut être engagée si les manquements persistent ou se répètent.
Que faire si l’organisme saisi ne détient pas les données demandées ?
L’organisme peut indiquer qu’il ne détient aucune autre donnée ou que les informations relèvent d’un autre responsable. Dans ce cas, l’absence de communication supplémentaire ne caractérise pas nécessairement un manquement aux droits d’accès ou de rectification.
Les données publiées en ligne peuvent-elles être réutilisées librement ?
La publication en ligne ne dispense pas le réutilisateur de respecter les règles applicables aux données personnelles. Les recommandations de la CNIL abordent notamment la base légale, l’information des personnes, leurs droits, la proportionnalité, l’exactitude et la sécurité des traitements.
Décisions et analyses sur « Données personnelles »
Dernières décisions
Informations documentaires générées à partir de ressources officielles (jurisprudence, législation …) qui ne constituent pas un conseil juridiqueRetour en haut