CONDITIONS DE LICEITE D'UN TRAITEMENT DE DONNEES PERSONNELLES

I - Données personnelles, quels enjeux ?
Quels risques pour l'exploitation des données personnelles ?
II - Quelle réglementation pour les données personnelles ?
III - Quelles sont les conditions de licéité d'un traitement de données personnelles ?
IV - Quelles protections particulières pour les données personnelles sensibles ?
V - Quelles responsabilités ?

III - CONDITIONS DE LICEITE D'UN TRAITEMENT DE DONNEES PERSONNELLES

A - Principes relatifs au traitement des données personnelles

B - Conditions Générales (Art. 6 RGPD)

1 - Consentement libre et éclairé au traitement de ses données

a - Forme du consentement : Article 4.11 RGPD 
b - Conditions applicables au consentement (Article 7 RGPD)
c - Retrait du consentement (Article 7.3 RGPD)
2 - Légitimité d'un traitement de données personnelles

C - Droits des personnes à l'égard des traitements de données à caractère personnel

1 - Droit d'Information
2 - Droit d'accès à ses données personnelles
3 - Droit de rectification
4 - Droit à l'effacement (Droit à l'oubli) - Art 17 RGPD
a - Principe :
b - Exceptions : (Art. 19 RGPD)
c - Extinction et conservation des droits
d - Problèmes liés au droit à l'oubli

5 - Droit à la limitation du traitement Article 18 RGPD
6 - Droit à la portabilité des données (Art. 20 RGPD)
7 - Droit d'opposition au traitement de ses données personnelles
8 - Prise de décision individuelle automatisée (Art. 22 RGPD)

Art.5 RGPD : 

1. Les données à caractère personnel doivent être :

a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence);

b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités; le traitement ultérieur à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques n'est pas considéré, conformément à l'article 89, paragraphe 1, comme incompatible avec les finalités initiales (limitation des finalités);

c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données); d) exactes et, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude);

e) conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, pour autant que soient mises en oeuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation);

f) traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité);

2. Le responsable du traitement est responsable du respect des dispositions précédentes et doit être en mesure de démontrer que celui-ci est respecté (responsabilité).

Art. 6 RGPD :

Un traitement de données personnelles n'est licite que si et dans la mesure où, au moins une des conditions suivantes est remplie :

a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques;

(C'est l'objet des "cookies" qui doivent être acceptés par l'internaute pour matérialiser son accord à contrat qu'il ne lit jamais : L'utilisation des traceurs est régie par l'article 32 II de la loi n° 78-17 du 6 janvier 1978, transposant l'article 5.3 de la directive 2002/58/CE du parlement européen et du conseil du 12 juillet 2002 modifiée par la directive 2009/136/CE.

b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci;

c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis;

d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique;

e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement;

f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.

Le point f) du premier alinéa ne s'applique pas au traitement effectué par les autorités publiques dans l'exécution de leurs missions.

Le traitement des données à caractère personnel relatives à un enfant est licite lorsque l'enfant est âgé d'au moins 16 ans, ou en cas de consentement donné par le titulaire de la responsabilité parentale. (Art. 8 RGPD)

Article 6 RGPD 

Article 7 Loi  Informatique et libertés : Modifié par la loi n°2018-493 du 20 juin 2018)<

Un traitement de données à caractère personnel doit avoir reçu le consentement de la personne concernée.

a - Forme du consentement :

Art. 4.11 RGPD :

"Toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement ».

Le "clic" sur les conditions générales d'un service Internet ou des cookies qui caractérise cette acceptation.

Art.7 RGPD :

C'est au responsable du traitement de démontrer que la personne concernée a donné son consentement pour un traitement spécifique.

la demande de consentement doit être présentée sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples.

En ce qui concerne les enfants : (Art 8 RGPD - Art. 7-1 Loi I. & L.)

un mineur peut consentir seul à un traitement de données à caractère personnel en ce qui concerne l'offre directe de services à compter de l'âge de quinze ans.

Lorsque le mineur est âgé de moins de quinze ans, le traitement n'est licite que si le consentement est donné conjointement par le mineur concerné et le ou les titulaires de l'autorité parentale à l'égard de ce mineur.

Article 7.3 RGPD :

La personne concernée a le droit de retirer son consentement à tout moment.

Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait.

Et doit être informée, avant de donner son consentement que, son retrait ne compromet pas la licéité du traitement effectué avant ce retrait.

Il doit être aussi simple de retirer que de donner son consentement.

Article 32 Loi Informatique et libertés : Modifié par la loi n°2018-493 du 20 juin 2018

Article 13 et 15 RGPD : 

Le responsable du traitement doit fournir, au moment où les données en question sont obtenues, toutes les informations suivantes :

• l'identité et les coordonnées du responsable du traitement et, le cas échéant, de son représentant, ainsi que celles du délégué à la protection des données s'il existe.
• les finalités du traitement auquel sont destinées les données à caractère personnel, ainsi que la base juridique du traitement, à savoir en matière de RIPH :
• Exécution d'une mission d'intérêt public dont est investi le responsable de traitement (Art. 6.1.e RGPD)
• Les intérêts légitimes poursuivis par le responsable de traitement (Art. 6.1.f)
• Le responsable de traitement doit également invoquer une des exceptions prévues à l'article 9 lui permettant de traiter des données sensibles, telles que de santé, notamment à des fis de recherche scientifique (Article 9.3, al. I et j du RGPD)
• les destinataires ou les catégories de destinataires des données à caractère personnel, s'ils existent ; et son intention éventuelle d'effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, et l'existence ou l'absence d'une protection adéquate desdites données ;

Outre ces informations, le responsable de traitement doit fournir des informations « complémentaires » destinées à « garantir un traitement équitable et transparent », à savoir :

• la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée ;
• l'existence du droit de solliciter :
• l'accès aux données,
• leur rectification
• limitation du traitement relatif à la personne concernée, (Art. 18 RGPD)
• leur effacement ou du droit de s'opposer à leur au traitement,

en précisant toutefois que les données recueillies préalablement au retrait du consentement pourront ne pas être effacées et pourront continuer à être traitées dans les conditions prévues par la recherche (Art. L 1122-1-1 CSP - Art. 17.3 c et 17.3 d RGPD)

• l'existence du droit de retirer son consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;
• le droit d'introduire une réclamation auprès d'une autorité de contrôle, telle que la Commission Informatique et Liberté (CNIL) en FRANCE ;
• L'existence éventuelle d'une prise de décision automatisée, « y compris un profilage », ainsi que toutes les informations nécessaires concernant la logique de l'algorithme, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée.

L'information doit être gratuitement délivrée préalablement à tout consentement, de façon claire, concise, transparente, compréhensible et aisément accessible. Elle doit pouvoir être abordable par le « grand public ».

Elle doit être adaptée, en fonction de la pathologie de la personne, de son âge, des circonstances du recueil des données.

Une information destinée spécifiquement aux personnes mineures et vulnérables doit être donnée.

Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22 du RGPD, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande.

Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande.

Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel.

L'article 34 du règlement dispose que le Responsable de traitement doit désormais informer la personne concernée de toute violation de ses données à caractère personnel dès lors que celle-ci est susceptible d'engendrer « un risque élevé pour les droits et libertés fondamentales » (telle qu'une discrimination, un vol, une usurpation d'identité, une perte financière, une atteinte à la réputation, une perte de confidentialité de données protégées par le secret professionnel).

Article 39 Loi informatique et liberté Modifié par LOI n°2018-493 du 20 juin 2018 - Art.15 RGPD :

Toute personne physique a le droit d'interroger le responsable d'un traitement de données à caractère personnel en vue d'obtenir :

1. La confirmation que des données à caractère personnel la concernant font ou ne font pas l'objet de ce traitement ;
2. Des informations relatives aux finalités du traitement, aux catégories de données à caractère personnel traitées et aux destinataires ou aux catégories de destinataires auxquels les données sont communiquées ;
3. Le cas échéant, des informations relatives aux transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne ;
4. La communication, sous une forme accessible (portabilité), des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l'origine de celles-ci ;
5. Les informations permettant de connaître et de contester la logique qui sous-tend le traitement automatisé en cas de décision prise sur le fondement de celui-ci et produisant des effets juridiques à l'égard de l'intéressé.

Le responsable du traitement ne peut s'opposer à ces demandes que si elles sont manifestement abusives, notamment par leur nombre, leur caractère répétitif ou systématique.

Article 40 Loi informatique et Libertés Modifié par LOI n°2018-493 du 20 juin 2018 - Article 16 RGPD

La personne concernée a le droit d'obtenir du responsable du traitement, dans les meilleurs délais, la rectification de ses données à caractère personnel qui sont inexactes. Compte tenu des finalités du traitement, la personne concernée a le droit d'obtenir que les données à caractère personnel incomplètes soient complétées, y compris en fournissant une déclaration complémentaire.

Art. 17 RGPD :

1. La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données dans les meilleurs délais, lorsque l'un des motifs suivants s'applique:

a) les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière;

b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l'article 6, paragraphe 1, point a), ou à l'article 9, paragraphe 2, point a), et il n'existe pas d'autre fondement juridique au traitement;

c) la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il n'existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 2;

d) les données à caractère personnel ont fait l'objet d'un traitement illicite;

e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis;

f) les données à caractère personnel ont été collectées dans le cadre de l'offre de services de la société de l'information visée à l'article 8, paragraphe 1.

La personne concernée peut demander au responsable du traitement d'effacer ses données à caractère personnel collectées alors qu'elle était mineure.

Art. 19 RGPD :

Toutefois, ces droits ne sont pas applicables lorsque le traitement de données à caractère personnel est nécessaire :

1. Pour exercer le droit à la liberté d'expression et d'information , notamment celui garanti par le premier amendement de la constitution américaine ;
2. Pour respecter une obligation légale qui requiert le traitement de ces données ou pour exercer une mission d'intérêt public ;
3. Pour des motifs d'intérêt public dans le domaine de la santé publique ;
4. A des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, dans la mesure où ce droit est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs du traitement ;