RGPD: le droit à être informé de la mise en œuvre d’un traitement de données à caractère personnel

Tandis que pèse sur le responsable du traitement un certain nombre d’obligations, la personne concernée jouit de plusieurs droits qui lui conférés par la loi informatique et libertés et le RGPD.

Au nombre de ces droits figurent, le droit à être informé du traitement.

Il convient ici de distinguer selon que la collecte des données est directe ou indirecte

§1 : La collecte directe de données à caractère personnel

==> L’obligation d’informer la personne concernée

  • Principe
    • Le principe de traitement loyal et transparent exige que la personne concernée soit informée de l’existence de l’opération de traitement et de ses finalités.
    • Aussi, le responsable du traitement a-t-il pour obligation de fournir à la personne concernée toute autre information nécessaire pour garantir un traitement équitable et transparent, compte tenu des circonstances particulières et du contexte dans lesquels les données à caractère personnel sont traitées.
    • Les informations qui doivent être communiquées à la personne concernée en cas de collecte directe de ses données, soit lorsque ladite collecte a été effectuée auprès de la personne, ont été définies à l’article 13 du RGPD.
  • Exception
    • L’obligation d’informer la personne concernée en cas de collecte directe est assortie d’une exception
    • Le RGPD prévoit que le responsable du traitement est dispensé de cette obligation lorsque la personne concernée dispose déjà de des informations qui doivent lui être communiquées
    • Il appartiendra alors au responsable de prouver que la personne concernée disposait de ces informations pour s’exonérer de sa responsabilité.

==> Le contenu de l’information à fournir à la personne concernée

L’article 13 du RGPD prévoit que le responsable du traitement doit fournir à la personne concernée les informations suivantes :

  • L’identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ;
  • Le cas échéant, les coordonnées du délégué à la protection des données ;
  • Les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;
  • Lorsque le traitement est fondé sur la poursuite d’un intérêt légitime, ceux poursuivis par le responsable du traitement ou par un tiers ;
  • Les destinataires ou les catégories de destinataires des données à caractère personnel, s’ils existent ;
  • Le cas échéant, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, et l’existence ou l’absence d’une décision d’adéquation rendue par la Commission ou, dans le cas des transferts visés à l’article 46 ou 47, ou à l’article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d’en obtenir une copie ou l’endroit où elles ont été mises à disposition ;
  • La durée de conservation des données à caractère personnel ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;
  • L’existence du droit de demander au responsable du traitement l’accès aux données à caractère personnel, la rectification ou l’effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ou du droit de s’opposer au traitement et du droit à la portabilité des données ;
  • Lorsque le traitement est fondé sur le consentement l’existence du droit de retirer son consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;
  • Le droit d’introduire une réclamation auprès d’une autorité de contrôle ;
  • Des informations sur la question de savoir si l’exigence de fourniture de données à caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la conclusion d’un contrat et si la personne concernée est tenue de fournir les données à caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de ces données;
  • L’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.

==> Le moment de la fourniture de l’information à la personne concernée

La fourniture de l’information doit intervenir au moment où les données à caractère personnel de la personne concernée sont collectées

A cet égard lorsque le responsable du traitement a l’intention d’effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont été collectées, il doit fournir, au préalable, à la personne concernée des informations au sujet de cette autre finalité et toute autre information pertinente

§2 : La collecte indirecte de données à caractère personnel

==> L’obligation d’informer la personne concernée

  • Principe
    • La collecte est indirecte lorsqu’elle n’est pas directement réalisée auprès de la personne concernée, soit lorsqu’elle intervient par l’entremise d’une tierce personne.
    • Il en va ainsi en cas d’achat d’un fichier de données ou de collecte sur une plateforme numérique.
    • En effet, de nombreuses entreprises achètent, cèdent ou revendent des fichiers de données à caractère personnel, qui sont ainsi collectées de façon indirecte.
    • Dans cette hypothèse, pour ne pas être considérée comme déloyale, la collecte indirecte doit nécessairement s’accompagner d’une information à la personne concernée de l’existence d’un traitement de ses données ainsi que de ses droits qui en découlent (droit d’accès, d’opposition etc.).
    • Le fait que la personne dont les données sont collectées indirectement ait déjà consenti au traitement de ses données ne dispense pas l’auteur d’une collecte indirecte de satisfaire à son obligation d’information.
    • L’article 14 du RGPD prévoit ainsi que lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée, le responsable du traitement doit fournir à celle-ci un certain nombre d’informations
  • Exceptions
    • L’exigence d’informer la personne concernée en cas de collecte indirecte de ses données à caractère personnel est assortie de plusieurs exceptions :
      • La personne concernée dispose déjà de ces informations ;
      • La fourniture de telles informations se révèle impossible ou exigerait des efforts disproportionnés, en particulier pour le traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques sous réserve des conditions et garanties visées à l’article 89, paragraphe 1, ou dans la mesure où l’obligation visée au paragraphe 1 du présent article est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement. En pareils cas, le responsable du traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles ;
      • L’obtention ou la communication des informations sont expressément prévues par le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement est soumis et qui prévoit des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée ;
      • Les données à caractère personnel doivent rester confidentielles en vertu d’une obligation de secret professionnel réglementée par le droit de l’Union ou le droit des États membre, y compris une obligation légale de secret professionnel.

==> Le contenu de l’information à fournir à la personne concernée

Au nombre des informations qui doivent être communiquées à la personne concernée en cas de collecte indirecte de ses données à caractère personnel figurent :

  • L’identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ;
  • Le cas échéant, les coordonnées du délégué à la protection des données ;
  • Les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;
  • Les catégories de données à caractère personnel concernées ;
  • Le cas échéant, les destinataires ou les catégories de destinataires des données à caractère personnel ;
  • Le cas échéant, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données à caractère personnel à un destinataire dans un pays tiers ou une organisation internationale, et l’existence ou l’absence d’une décision d’adéquation rendue par la Commission ou, dans le cas des transferts visés à l’article 46 ou 47, ou à l’article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d’en obtenir une copie ou l’endroit où elles ont été mises à disposition ;
  • La durée pendant laquelle les données à caractère personnel seront conservées ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;
  • Lorsque le traitement est fondé sur la poursuite d’un intérêt légitime, ceux poursuivis par le responsable du traitement ou par un tiers ;
  • L’existence du droit de demander au responsable du traitement l’accès aux données à caractère personnel, la rectification ou l’effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ainsi que du droit de s’opposer au traitement et du droit à la portabilité des données ;
  • Lorsque le traitement est fondé sur le consentement, l’existence du droit de retirer le consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;
  • Le droit d’introduire une réclamation auprès d’une autorité de contrôle ;
  • La source d’où proviennent les données à caractère personnel et, le cas échéant, une mention indiquant qu’elles sont issues ou non de sources accessibles au public ;
  • L’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.

==> Le moment de la fourniture de l’information à la personne concernée

  • Principe
    • L’article 14 du RGPD prévoit que les informations communiquées à la personne concernée doivent lui être fournies dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées
  • Tempéraments
    • Si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne concernée, elles doivent lui être communiquées, au plus tard, au moment de la première communication à ladite personne
    • S’il est envisagé de communiquer les informations à un autre destinataire, elles doivent lui être communiquées, au plus tard, lorsque les données à caractère personnel sont communiquées pour la première fois.

La prohibiton de la collecte indirecte de données à caractère personnel

I) L’exigence de collecte directe

L’obligation de loyauté, suppose que les données soient collectées directement auprès de la personne concernée

Par nature un traitement de données à caractère personnel est regardé comme déloyal, dès lors qu’il est effectué à l’insu de la personne concernée.

Aussi, appartient-il au responsable du traitement d’informer la personne dont les données sont collectées de l’existence d’un traitement.

Dans un arrêt du 14 mars 2006, la Cour de cassation a qualifié de déloyal la collecte d’adresses électroniques, « en ce qu’elles ont été utilisées sans rapport avec l’objet de leur mise en ligne »[1].

Dans une décision du n°2016-007 du 26 janvier 2016, la CNIL a encore considéré que la collecte de données relatives à la navigation d’internautes au moyen de cookies sans les en avertir constituait un manquement à la règle aux termes de laquelle les données à caractère personnel sont collectées et traitées de manière loyale et licite.

 Ainsi, pour qu’un traitement de données à caractère personnel soit loyal, la personne concernée doit être informée de l’existence du traitement.

II) La prohibition de la collecte indirecte

==> Notion

La collecte est indirecte lorsqu’elle n’est pas directement réalisée auprès de la personne concernée, soit lorsqu’elle intervient par l’entremise d’une tierce personne.

Il en va ainsi en cas d’achat d’un fichier de données ou de collecte sur une plateforme numérique.

En effet, de nombreuses entreprises achètent, cèdent ou revendent des fichiers de données à caractère personnel, qui sont ainsi collectées de façon indirecte.

Dans cette hypothèse, pour ne pas être considérée comme déloyale, la collecte indirecte doit nécessairement s’accompagner d’une information à la personne concernée de l’existence d’un traitement de ses données ainsi que de ses droits qui en découlent (droit d’accès, d’opposition etc.).

Le fait que la personne dont les données sont collectées indirectement ait déjà consenti au traitement de ses données ne dispense pas l’auteur d’une collecte indirecte de satisfaire à son obligation d’information.

==> Droit antérieur

Il peut être observé que, avant l’entrée en vigueur de la loi du 6 août 2004 transposant la directive du 24 octobre 1995, cette obligation n’existait pas.

À cet égard, dans un arrêt du 25 octobre 1995, la Cour de cassation avait explicitement considéré que « la loi du 6 janvier 1978 ne fait nulle obligation au responsable du fichier, qui recueille auprès de tiers des informations nominatives aux fins de traitement, d’en avertir la personne concernée »[2].

==> Droit positif

  • Principe
    • La loi du 6 août 2004 a pris le contre-pied de la Cour de cassation en posant à l’article 32 de la loi informatique et libertés que « lorsque les données à caractère personnel n’ont pas été recueillies auprès de la personne concernée, le responsable du traitement ou son représentant doit fournir à cette dernière les informations énumérées au I dès l’enregistrement des données ou, si une communication des données à des tiers est envisagée, au plus tard lors de la première communication des données»
    • Ainsi, le principe est désormais la prohibition de la collecte de données à caractère personnel, sauf à en informer la personne concernée.
  • Exceptions
    • La prohibition de la collecte indirecte de données a été assortie par le législateur de 5 exceptions énoncées aux articles 26, 27 et 32, III de la loi informatique et libertés :
      • Première exception (art. 32 LIL)
        • Lorsque les données à caractère personnel ont été initialement recueillies pour un autre objet, les dispositions de l’alinéa précédent ne s’appliquent pas aux traitements nécessaires à la conservation de ces données à des fins historiques, statistiques ou scientifiques, dans les conditions prévues au livre II du code du patrimoine ou à la réutilisation de ces données à des fins statistiques dans les conditions de l’article 7 bis de la loi n° 51-711 du 7 juin 1951 sur l’obligation, la coordination et le secret en matière de statistiques.
        • Ainsi, dès lors qu’il s’agit d’exploiter les données collectées à des fins historiques, statistiques ou scientifiques, il n’est pas nécessaire d’en informer la personne concernée.
      • Seconde exception (art. 32 LIL)
        • Il est encore fait exception à la prohibition de la collecte indirecte de données lorsque la personne concernée est déjà informée ou quand son information se révèle impossible ou exige des efforts disproportionnés par rapport à l’intérêt de la démarche.
        • Dans l’hypothèse où l’information de la personne dont les données sont collectées est matériellement difficile à mettre en œuvre, voire impossible, alors l’auteur de la collecte indirecte s’en trouve dispensé.
      • Troisième exception (art. 26 LIL)
        • La collecte indirecte est autorisée lorsque les données recueillies indirectement sont utilisées au profit d’un traitement dit « de souveraineté » mis en œuvre pour l’Etat (intéressant la sûreté de l’Etat, la défense ou la sécurité publique ou ayant pour objet l’exécution de condamnations pénales ou de mesures de sûreté)
        • Reste que cette collecte est subordonnée à autorisation par arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés
      • Quatrième exception (art. 26 LIL)
        • La collecte indirecte de données est encore autorisée lorsqu’elle a pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté.
        • Là encore, l’autorisation est soumise à l’édiction d’un arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés
      • Cinquième exception (art. 27 LIL)
        • Il est prévu que la collecte indirecte de données est autorisée pour les traitements de données à caractère personnel mis en œuvre pour le compte de l’Etat, agissant dans l’exercice de ses prérogatives de puissance publique, qui portent sur des données génétiques ou sur des données biométriques nécessaires à l’authentification ou au contrôle de l’identité des personnes.
        • L’autorisation ne peut résulter que d’un décret en Conseil d’Etat, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés.

Au bilan, sauf à s’inscrire dans l’une des exceptions prévues par le législateur, la collecte indirecte de données à caractère personnel est prohibée.

Dans un arrêt du 12 mars 2014, le Conseil d’État a considéré en ce sens que le responsable d’un traitement de données n’est pas exonéré de ses obligations « du fait du caractère indirect de la collecte des données »[3].

En l’espèce, la juridiction administrative relève que :

  • D’une part, les personnes dont les données à caractère personnel étaient extraites de réseaux sociaux pour être agrégées au service d’annuaire ” Pages Blanches ” n’étaient informées de leur droit d’opposition que si elles consultaient ce service
  • D’autre part, le droit d’opposition ne pouvait être exercé de manière effective et durable, eu égard à la complexité de la procédure et à la circonstance que les demandes imprécises ou incomplètes n’étaient pas traitées
  • Enfin, que l’exercice du droit de rectification n’était pas garanti, le responsable du traitement estimant qu’il en était exonéré du fait du caractère indirect de la collecte des données ; qu’ainsi, la formation restreinte de la CNIL, qui est légalement tenue de garantir

Le Conseil d’État en déduit que la collecte ainsi réalisée présentait un caractère déloyal.

[1] Cass. crim., 14 mars 2006, n° 05-83423

[2] Cass., ch. crim., 25 oct. 1995, n° 94-85781

[3] CE, 12 mars 2014, n° 353193, Sté Pages Jaunes

RGPD: les principes de loyauté et de licéité du traitement des données

==> Les textes

Aux termes de l’article 6, 1° de la loi informatique et libertés, « un traitement ne peut porter que sur des données à caractère personnel qui […] sont collectées et traitées de manière loyale et licite ».

Les principes de loyauté et de licéité sont également énoncés par la Charte européenne des droits fondamentaux en son article 8(2).

Le texte prévoit que les données à caractère personnel « doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi. »

Les principes directeurs de l’ONU prévoient encore que « les données concernant les personnes ne doivent pas être obtenues ou traitées à l’aide de procédés illicites ou déloyaux, ni utilisées à des fins contraires aux buts et aux principes de la Charte des Nations Unies. »

Selon le RGPD, les principes de loyauté et de licéité répondent à un impératif de transparence.

À cet égard, le considérant 39 énonce que, « le fait que des données à caractère personnel concernant des personnes physiques sont collectées, utilisées, consultées ou traitées d’une autre manière et la mesure dans laquelle ces données sont ou seront traitées devraient être transparents à l’égard des personnes physiques concernées ».

==> Distinction entre les principes de loyauté et de licéité

Il convient d’observer que le principe de loyauté se distingue du principe de licéité.

  • Un traitement de données peut parfaitement être licite, car autorisé par la loi, mais déloyale car ne répondant pas aux exigences de transparence dictées par le principe de loyauté
  • À l’inverse, un traitement peut être illicite, car prohibé par les textes, mais loyal car effectué en toute transparence pour la personne concernée

Tandis que le respect du principe de licéité s’apprécie au regard d’un seul critère, le respect de la règle de droit, l’observation du principe de loyauté est plus délicate à établir.

Il s’infère, en effet, du principe de loyauté plusieurs obligations pour le responsable du traitement :

  • Une obligation d’information
  • Une obligation de garantir l’exercice des droits d’accès et d’opposition
  • Une obligation de garantir la conservation limitée des données traitées
  • Une obligation de garantir la confidentialité et la sécurité des données traitées

I) Sur l’obligation d’information

A) Sur les modalités d’exécution de l’obligation d’information

Selon le RGPD, le principe de transparence exige que toute information et communication relatives au traitement de ces données à caractère personnel soient aisément accessibles, faciles à comprendre, et formulées en des termes clairs et simples.

Autrement dit, il appartient au responsable du traitement de rendre facilement accessible les informations qu’il lui appartient de communiquer aux personnes dont les données à caractère personnel sont collectées.

Ce principe vaut, notamment, pour les informations communiquées aux personnes concernées sur :

  • l’identité du responsable du traitement
  • les finalités du traitement
  • leur droit d’obtenir la confirmation et la communication des données à caractère personnel les concernant qui font l’objet d’un traitement.

B) Sur le contenu de l’obligation d’information

Le responsable du traitement est tenu de communiquer à la personne concernée un certain nombre d’informations.

  1. Informations relatives à la collecte de données à caractère personnel

a) L’exigence de collecte directe

L’obligation de loyauté, suppose que les données soient collectées directement auprès de la personne concernée

Par nature un traitement de données à caractère personnel est regardé comme déloyal, dès lors qu’il est effectué à l’insu de la personne concernée.

Aussi, appartient-il au responsable du traitement d’informer la personne dont les données sont collectées de l’existence d’un traitement.

Dans un arrêt du 14 mars 2006, la Cour de cassation a qualifié de déloyal la collecte d’adresses électroniques, « en ce qu’elles ont été utilisées sans rapport avec l’objet de leur mise en ligne »[1].

Dans une décision du n°2016-007 du 26 janvier 2016, la CNIL a encore considéré que la collecte de données relatives à la navigation d’internautes au moyen de cookies sans les en avertir constituait un manquement à la règle aux termes de laquelle les données à caractère personnel sont collectées et traitées de manière loyale et licite.

 Ainsi, pour qu’un traitement de données à caractère personnel soit loyal, la personne concernée doit être informée de l’existence du traitement.

b) La prohibition de la collecte indirecte

==> Notion

La collecte est indirecte lorsqu’elle n’est pas directement réalisée auprès de la personne concernée, soit lorsqu’elle intervient par l’entremise d’une tierce personne.

Il en va ainsi en cas d’achat d’un fichier de données ou de collecte sur une plateforme numérique.

En effet, de nombreuses entreprises achètent, cèdent ou revendent des fichiers de données à caractère personnel, qui sont ainsi collectées de façon indirecte.

Dans cette hypothèse, pour ne pas être considérée comme déloyale, la collecte indirecte doit nécessairement s’accompagner d’une information à la personne concernée de l’existence d’un traitement de ses données ainsi que de ses droits qui en découlent (droit d’accès, d’opposition etc.).

Le fait que la personne dont les données sont collectées indirectement ait déjà consenti au traitement de ses données ne dispense pas l’auteur d’une collecte indirecte de satisfaire à son obligation d’information.

==> Droit antérieur

Il peut être observé que, avant l’entrée en vigueur de la loi du 6 août 2004 transposant la directive du 24 octobre 1995, cette obligation n’existait pas.

À cet égard, dans un arrêt du 25 octobre 1995, la Cour de cassation avait explicitement considéré que « la loi du 6 janvier 1978 ne fait nulle obligation au responsable du fichier, qui recueille auprès de tiers des informations nominatives aux fins de traitement, d’en avertir la personne concernée »[2].

==> Droit positif

  • Principe
    • La loi du 6 août 2004 a pris le contre-pied de la Cour de cassation en posant à l’article 32 de la loi informatique et libertés que « lorsque les données à caractère personnel n’ont pas été recueillies auprès de la personne concernée, le responsable du traitement ou son représentant doit fournir à cette dernière les informations énumérées au I dès l’enregistrement des données ou, si une communication des données à des tiers est envisagée, au plus tard lors de la première communication des données»
    • Ainsi, le principe est désormais la prohibition de la collecte de données à caractère personnel, sauf à en informer la personne concernée.
  • Exceptions
    • La prohibition de la collecte indirecte de données a été assortie par le législateur de 5 exceptions énoncées aux articles 26, 27 et 32, III de la loi informatique et libertés :
      • Première exception (art. 32 LIL)
        • Lorsque les données à caractère personnel ont été initialement recueillies pour un autre objet, les dispositions de l’alinéa précédent ne s’appliquent pas aux traitements nécessaires à la conservation de ces données à des fins historiques, statistiques ou scientifiques, dans les conditions prévues au livre II du code du patrimoine ou à la réutilisation de ces données à des fins statistiques dans les conditions de l’article 7 bis de la loi n° 51-711 du 7 juin 1951 sur l’obligation, la coordination et le secret en matière de statistiques.
        • Ainsi, dès lors qu’il s’agit d’exploiter les données collectées à des fins historiques, statistiques ou scientifiques, il n’est pas nécessaire d’en informer la personne concernée.
      • Seconde exception (art. 32 LIL)
        • Il est encore fait exception à la prohibition de la collecte indirecte de données lorsque la personne concernée est déjà informée ou quand son information se révèle impossible ou exige des efforts disproportionnés par rapport à l’intérêt de la démarche.
        • Dans l’hypothèse où l’information de la personne dont les données sont collectées est matériellement difficile à mettre en œuvre, voire impossible, alors l’auteur de la collecte indirecte s’en trouve dispensé.
      • Troisième exception (art. 26 LIL)
        • La collecte indirecte est autorisée lorsque les données recueillies indirectement sont utilisées au profit d’un traitement dit « de souveraineté » mis en œuvre pour l’Etat (intéressant la sûreté de l’Etat, la défense ou la sécurité publique ou ayant pour objet l’exécution de condamnations pénales ou de mesures de sûreté)
        • Reste que cette collecte est subordonnée à autorisation par arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés
      • Quatrième exception (art. 26 LIL)
        • La collecte indirecte de données est encore autorisée lorsqu’elle a pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté.
        • Là encore, l’autorisation est soumise à l’édiction d’un arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés
      • Cinquième exception (art. 27 LIL)
        • Il est prévu que la collecte indirecte de données est autorisée pour les traitements de données à caractère personnel mis en œuvre pour le compte de l’Etat, agissant dans l’exercice de ses prérogatives de puissance publique, qui portent sur des données génétiques ou sur des données biométriques nécessaires à l’authentification ou au contrôle de l’identité des personnes.
        • L’autorisation ne peut résulter que d’un décret en Conseil d’Etat, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés.

Au bilan, sauf à s’inscrire dans l’une des exceptions prévues par le législateur, la collecte indirecte de données à caractère personnel est prohibée.

Dans un arrêt du 12 mars 2014, le Conseil d’État a considéré en ce sens que le responsable d’un traitement de données n’est pas exonéré de ses obligations « du fait du caractère indirect de la collecte des données »[3].

En l’espèce, la juridiction administrative relève que :

  • D’une part, les personnes dont les données à caractère personnel étaient extraites de réseaux sociaux pour être agrégées au service d’annuaire ” Pages Blanches ” n’étaient informées de leur droit d’opposition que si elles consultaient ce service
  • D’autre part, le droit d’opposition ne pouvait être exercé de manière effective et durable, eu égard à la complexité de la procédure et à la circonstance que les demandes imprécises ou incomplètes n’étaient pas traitées
  • Enfin, que l’exercice du droit de rectification n’était pas garanti, le responsable du traitement estimant qu’il en était exonéré du fait du caractère indirect de la collecte des données ; qu’ainsi, la formation restreinte de la CNIL, qui est légalement tenue de garantir

Le Conseil d’État en déduit que la collecte ainsi réalisée présentait un caractère déloyal.

2. Informations relatives aux droits de la personne concernée

L’information de la personne dont les données sont collectées de l’existence d’un traitement ne suffit pas, elle doit être complétée par la fourniture d’informations relatives aux droits qui lui sont conférés par la loi informatique et libertés.

Plus précisément, l’information doit porter sur 3 éléments :

  • Les risques, règles, garanties et droits liés au traitement des données à caractère personnel
  • Les modalités d’exercice de leurs droits en ce qui concerne le traitement dont les personnes concernées font l’objet
  • Les finalités spécifiques du traitement qui doit être explicite et légitime et déterminée lors de la collecte des données à caractère personnel

II) Une obligation de garantir la conservation limitée des données traitées

==> La conservation des données

Selon le considérant 39 du RGPD, le respect du principe de loyauté exige que le responsable du traitement garantisse la durée de conservation des données soit limitée au strict minimum.

Aussi, afin de garantir que les données ne sont pas conservées plus longtemps que nécessaire, des délais devraient être fixés par le responsable du traitement pour leur effacement ou pour un examen périodique.

Par ailleurs, la garantie tenant à la conservation des données suppose qu’elles soient conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées;

Dans sa décision du 11 octobre 2005, la CNIL a eu l’occasion d’affirmer que « face à la mémoire de l’informatique, seul le principe du “droit” à l’oubli consacré par l’article 6-5° de la loi du 6 janvier 1978 peut garantir que les données collectées sur les individus ne soient pas conservées, dans les entreprises, pour des durées qui pourraient apparaître comme manifestement excessive »[4].

À cet égard, le droit à l’oubli a été consacré par le RGPD qui prévoit que « la personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais ».

==> La durée de conservation

La durée de conservation doit être établie en fonction de la finalité de chaque traitement.

Le responsable de traitement la fixe de façon “raisonnable” en fonction de l’objectif du traitement.

La détermination de la durée de conservation doit s’appuyer sur le critère « une donnée vivante est une donnée dont on a régulièrement besoin ». Cette durée correspond à la durée de vie des archives courantes.

Au-delà, les données peuvent être faire l’objet d’archives intermédiaires, voire d’archives définitives.

III) Sur l’obligation de garantir la confidentialité et la sécurité des données traitées

Autre obligation qui participe du respect du principe de loyauté, celle qui commande au responsable du traitement d’assurer la confidentialité et la sécurité des données traitées.

Autrement dit, les données à caractère personnel doivent être traitées de manière à garantir une sécurité et une confidentialité appropriées, y compris pour prévenir l’accès non autorisé à ces données et à l’équipement utilisé pour leur traitement ainsi que l’utilisation non autorisée de ces données et de cet équipement.

Le niveau de sécurité attendu est fixé par l’article 32 du RGPD.

Cette disposition prévoit que compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins :

  • La pseudonymisation et le chiffrement des données à caractère personnel;
  • Des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement;
  • Des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique;
  • Une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.

De son côté, l’article 34 de la loi informatique et libertés dispose que « le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. »

Afin de garantir un niveau de sécurité satisfaisant, le chiffrement des données est fortement encouragé par la CNIL.

Dans son rapport annuel de 2017, elle a ainsi souligné que « dans un contexte de numérisation croissante de nos sociétés et d’accroissement exponentiel des cybermenaces, le chiffrement est un élément vital de notre sécurité. Il contribue aussi à la robustesse de notre économie numérique et de ses particules élémentaires que sont les données à caractère personnel, dont la protection est garantie par l’article 8 de la Charte des droits fondamentaux de l’Union européenne ».

Le Conseil national du numérique, dans son avis de septembre 2017, a, pris une position similaire, rappelant que « le chiffrement est un outil vital pour la sécurité en ligne ; en conséquence, il doit être diffusé massivement auprès des citoyens, des acteurs économiques et des administrations ».

[1] Cass. crim., 14 mars 2006, n° 05-83423

[2] Cass., ch. crim., 25 oct. 1995, n° 94-85781

[3] CE, 12 mars 2014, n° 353193, Sté Pages Jaunes

[4] Délibération n°2005-213 du 11 octobre 2005