Droit de l'Union européenne

L'article 4 du RGPD définit la donnée à caractère personnel comme « toute information se rapportant à une personne physique identifiée ou identifiable […] ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ». Cette définition est légèrement plus approfondie que celle qui figurait à l'article 2 de la directive 95/46/CE, laquelle précisait que la personne devenait identifiable « notamment par référence à un numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale »^[4].

Droit français

La loi informatique et libertés ne formulant pas de définition de la donnée à caractère personnelle, celle de l'article 4 du RGPD s'applique.

Selon l'article 2 de la loi informatique et libertés en vigueur jusqu'au 25 mai 2018, une donnée à caractère personnelle était définie comme « toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres ». Elle ajoutait que « pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne ». Lors de la transposition, le législateur français n'a pas repris exactement les termes de la directive de 1995, laquelle ajoute dans son considérant 26 que « pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens susceptibles d'être raisonnablement mis en œuvre, soit par le responsable du traitement, soit par une autre personne, pour identifier ladite personne ».

La loi informatique et libertés originale du 6 janvier 1978^[1]référait plutôt aux « informations nominatives », celles donnant « une définition du profil ou de la personnalité de l'intéressé » (article 2), et « qui permettent sous quelque forme que ce soit, directement ou non, l'identification des personnes physiques auxquelles elles s'appliquent » (article 4).

Droit extra-communautaire

La Convention 108 du Conseil de l'Europe définit les données à caractère personnel en son article 2 comme « toute information concernant une personne physique identifiée ou identifiable ».

Exemples de données à caractère personnel

Sont considérées comme des données à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée directement ou indirectement à l'aide d'un ou plusieurs identifiants. Ces identifiants peuvent être des informations directement nominatives telles que le nom, le prénom, la photographie du visage, mais aussi indirectement nominatives, telles que la date et le lieu de naissance, l'adresse du domicile, l'adresse électronique, le pseudonyme, un numéro de référence, un code de pseudo anonymisation ou le numéro de téléphone, qui peuvent être reliées à la personne par recoupement d'informations. Une adresse IP est également considérée comme une donnée à caractère personnel, qu'elle soit fixe ou dynamique^[6] car elle peut être utilisée, sans connaître le nom réel de l'individu , pour tracer ses comportements sur internet, construire des "profils" détaillés et ainsi envoyer des publicités personnalisées basées sur ses habitudes de navigation et son historique d'achat.

Ces données peuvent être objectives, comme le groupe sanguin, le numéro de sécurité sociale ou de carte bancaire, ou subjectives, comme des avis ou des appréciations (dans les « zones bloc-note » des logiciels de gestion client, par exemple) sur la personne concernées, lesquels n'ont même pas besoin d'être vrais.

Les données n'ont pas à être structurées ni même contenues dans une base de données pour être à caractère personnel. Elles ne doivent pas non plus à être nécessairement exploitables par celui qui les a en sa possession.

De même, le format est indifférent : il peut s'agir d'images (photographies, tableau, dessins), de vidéos (enregistrements de vidéosurveillance), de sons (échantillons de la voix), d'une partie du corps (empreinte digitale, rétinienne ou veineuse).

En revanche, une donnée à caractère personnel ne peut concerner qu'une personne physique, les informations relatives aux personnes morales n'entrant pas dans le cadre de la réglementation sur les données personnelles. Pour autant, des fichiers tels que le registre du commerce et des sociétés contiennent de nombreuses données à caractère personnel, parmi lesquelles les informations relatives aux dirigeants, sur ce point entre autres il est à noter que la réglementation sur les données personnelles doit être considérée conjointement avec d'autre réglementations qui peuvent limiter certains droits tels que le droit à la suppression ou à l'accès des données personnelles.

Exemple des données des dossiers passagers (PNR)

Les données des dossiers passagers (ou PNR, de l'anglais Passenger Name Record) sont des données personnelles concernant tous les détails d'un voyage pour des passagers voyageant ensemble. La CNIL, et son homologue européen le G29, considèrent que l'échange de ces données entre États ainsi que l'utilisation qui en est faite soulèvent un certain nombre de problèmes quant au respect de la vie privée, particulièrement avec les États-Unis dont la législation protège moins bien ces données que ne le fait la législation de l'Union européenne. Dans son avis concernant la décision-cadre du Conseil européen de novembre 2007, qui reprenait maintes dispositions de l'accord entre l'UE et les États-Unis de juillet 2007 sur l'échange des données PNR, le G29 déclarait : « Un régime PNR européen ne saurait aboutir à la surveillance généralisée de tous les passagers »^[7]. En avril 2012, le Parlement européen a donné son aval au stockage d’informations sur les passagers aériens européens par les autorités américaines^[8]. En avril 2016, le Parlement Européen a adopté la Directive sur les données des dossiers passagers de l'UE^[9].

Exemple des données médicales

Les données médicales surtout quand elles sont nominatives sont considérées comme des « données sensibles » par le RGPD et par la loi Informatique et libertés. Elles ne peuvent être collectées que dans certains cas, encadrés par la loi, par exemple pour le dossier médical informatisé d'un patient hospitalisé. Le rapport Babusiaux de 2003 préconisait de les transmettre aux CPAM (Caisses primaires d'assurance maladie), aux mutuelles et aux assurances après anonymisation^[10]. Une petite minorité de médecins s'est rebellé contre l'informatisation des dossiers médicaux, lors de la mise en place de la Carte Vitale, en alléguant la nécessité de protéger le secret médical^[11]. La « Loi relative à l'assurance maladie » (13 août 2004) prévoit^[12] la création d'un Institut des données de santé (IDS, groupement d'intérêt public, opérationnel en 2007) puis aussi soumis à la loi de 2011 de simplification et d'amélioration de la qualité du droit^[13]) ; il réunit l'État, les caisses nationales d'assurance maladie, l'Union nationale des organismes d'assurance maladie complémentaire et l'Union nationale des professionnels de santé et doit assurer la cohérence et la qualité des systèmes d'information utilisés pour la gestion du risque maladie ; il « met à disposition de ses membres, de la Haute Autorité de santé, des unions régionales des professionnels de santé et de certains organismes désignés par décret en Conseil d'État, à des fins de gestion du risque maladie ou pour des préoccupations de santé publique, des données issues des systèmes d'information de ses membres, dans des conditions garantissant l'anonymat fixées par décret en Conseil d'État pris après avis de la Commission nationale de l'informatique et des libertés » et publie annuellement un rapport d'activité d'abord transmis au Parlement.

Exemple des données biométriques

La biométrie « désigne une technologie d'identification qui consiste à transformer une caractéristique morphologique ou comportementale en une empreinte numérique. Son objectif est d'attester l'unicité d'une personne à partir de la mesure d'une partie inchangeable et immaîtrisable de son corps »^[19]. Le règlement 2016/679 les définit comme « les données à caractère personnel résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques » (article 4 (14)).

Pour être employées, les caractéristiques en question doivent répondre à certaines exigences cumulatives : elles doivent être uniques, universelles, permanentes et mesurables^[20]. Les caractéristiques du corps susceptibles d'être employées par un dispositif d'identification ou d'authentification biométriques sont notamment l'empreinte digitale, le contour de la main, l'analyse de la rétine, de l'iris, du réseau veineux du doigt, de la main ou du visage, la géométrie faciale, jusqu'à l'ADN. Toutes les données biométriques extraites de ces caractéristiques lors de l'enrôlement sont des données à caractère personnel.

Les données biométriques font l'objet d'un régime spécifique en droit français depuis la loi n^o 2004-801 du 6 août 2004, qui figure à l'article 25 de la loi informatique et libertés, lequel soumet leur traitement à une autorisation préalable de la CNIL. Le règlement général sur la protection des données personnelles les qualifie de « catégories particulières de données à caractère personnel » (article 9 (1)), dont le traitement est, en principe, interdit.

Vie privée, données publiques

Nos sociétés assistent, avec Internet et les médias sociaux, à un élargissement de notre vision de la vie privée. Nous partageons tous les jours de nombreuses informations et données, parfois consciemment sur nos profils Facebook, Instagram ou Twitter, parfois involontairement par notre traces laissées par l'acceptation de cookies de certains sites. En publiant et partageant des informations sur nos profils numériques, on accepte de partager l'appartenance de ces données à notre réseau d'abord (amis, followers…), à la plateforme ensuite et à toutes les personnes ayant accès à ces profils. Ces informations, même partagées avec le monde entier, restent des données personnelles. Ces nouvelles formes de dévoilement stratégique d'informations personnelles à des fins de gestion du capital social en ligne n'est en rien une renonciation à la privacy; notre besoin de protéger notre intimité existe toujours^[21]. Il existe de multiples motivations de la révélation de soi sur les réseaux sociaux. En fonction du réseau social observé, plusieurs façons de gérer son capital social apparaissent. Tous permettent un ajustement de la présentation en ligne de l'utilisateur, certains permettent la mise en commun de détails sélectionnés à différentes sphères plus ou moins intimes. Selon le sociologue Antonio Casilli, sur les médias sociaux, la notion de capital social désigne « l'acquisition, via des relations médiatisées pas les TIC, de ressources matérielles, informationnelles ou émotionnelles »^[21]. Ce dévoilement et cette gestion du capital social sont soumis à des coûts, comme celle de la perte de privacy ; se faire connaître oblige, notamment, à sacrifier une partie de sa vie privée afin d'attirer des connexions^[22]. Toujours d'après Antonio Casilli, « aucune des données partagées n'est privée ou publique, elle représente en quelque sorte un signal que les usagers envoient à leur environnement (ici, les membres de leurs réseaux personnels en ligne), afin de recevoir un retour (feedback) dudit environnement »^[21]. La privacy est alors basée sur la recherche d'un accord entre plusieurs parties ; les acteurs sont prêts à confronter leurs intérêts et à faire des concessions mutuelles en termes de dévoilement d'informations potentiellement intimes. La confidentialité, l'intimité et la privacy ne dépendent pas uniquement de caractères propres à l'individu mais deviennent contextuelles et donc sujettes à concertation collective^[21].

Cas Google

Si les fuites de données personnelles relèvent parfois de piratage par des entités extérieures, il arrive également que celles-ci soient volontaires de la part de leurs détenteurs, au risque de pénaliser les utilisateurs. En août 2014, un utilisateur de la messagerie Gmail a été dénoncé aux autorités locales par Google à la suite de l’envoi d’une photo pédopornographique en pièce-jointe d’un mail^[30]. Or, Google le dit clairement dans ses conditions d’utilisation : « Nos systèmes automatisés analysent vos contenus (y compris les e-mails) afin de vous proposer […] Cette analyse a lieu lors de l'envoi, de la réception et du stockage des contenus »^[31].

Si nul ne peut contester le bien fondé de cette action, ce fait divers met en lumière le contrôle massif des échanges effectué par Google. Cette méthode entre par ailleurs en contradiction avec l’article 29 de la CNIL qui stipule que : « L'accès à des données à caractère personnel aux fins de sécurité n'est pas acceptable dans une société démocratique dès lors qu'il est massif et sans condition. La conservation, l'accès et l'utilisation de données par les autorités nationales compétentes doivent être limitées à ce qui est strictement nécessaire et proportionné dans une société démocratique. Elles doivent être soumises à des garanties substantielles et effectives »^[32].

Chine

Depuis 2012 et une « décision » du Comité permanent de l’ANP appelant au renforcement la protection des données issues d’internet et proposant une première définition des « données personnelles », des dispositions liées à la protection de ces dernières ont infusé de nombreux textes, notamment sectoriels, jusqu’à 2017 et l’édiction de la loi sur la cybersécurité (CSL, 2017), sorte de loi-cadre depuis complétée par une multitude de textes. Parmi ces deniers : (1) un standard (Personal Information Security Specification ou « PISS ») théoriquement volontaire mais largement obligatoire dans la pratique, et qui précise les mesures à prendre en matière de collecte, stockage, utilisation, partage, transfert et publication de données personnelles (mai 2018) ; (2) un projet de nouvelle règlementation encadrant les transferts transfrontaliers de données personnelles (juin 2019)^[35].

L’ensemble de ce dispositif juridique et règlementaire est largement inspiré du RGPD^[36]. Bien que le RGPD soit souvent à la fois plus global et précis, et qu’il procède d’un point de départ différent (protection des droits individuels, alors que la CSL insiste sur la sauvegarde de la sécurité nationale), les deux régimes se rejoignent sur de nombreux points, dont notamment les suivants : (1) la nécessité d’obtenir le consentement de l’utilisateur préalablement à la collecte de ses données (la loi chinoise sur la cybersécurité requiert même un consentement « explicite ») ; (2) certains principes comme la minimisation de l’information recueillie relativement à l’objectif recherché ; la minimisation de la durée de stockage, etc. ; (3) le droit des utilisateurs d’accéder aux données, et de demander leur correction ou suppression ; (4) la limitation du partage des données à des tiers (PISS ne l’autorise qu’en cas de « nécessité » et à condition que le destinataire soit en mesure d’en assurer la sécurité) ; (5) l’adoption d’une approche contractuelle pour les transferts transnationaux de données personnelles^[37].

Des différences notables demeurent toutefois. Dans certains cas, le droit chinois se révèle être plus contraignant que le RGPD. Ainsi : (1) la loi sur la cybersécurité prévoit des sanctions pouvant aller jusqu’à dix fois le montant des bénéfices réalisés du transferts transfrontaliers font l’objet de contrôles plus stricts en Chine : l’utilisateur doit en avoir été informé et avoir consenti à toute sortie de données sensibles, un rapport d’évaluation du risque doit avoir été soumis et approuvé par les autorités, etc. ; (2) en matière de sécurisation des données personnelles, le corpus chinois est beaucoup plus prescriptif concernant les moyens à mettre en œuvre ; audit et formation annuels, mise en place de plans d’urgence, création d’un poste de « data security officer » à temps plein dans les organisations réunissant certains critères, notification de toute faille de sécurité aux autorités, etc. Toutefois, le « droit à l’oubli » n’est pas reconnu comme tel en Chine et la suppression des données sur demande des utilisateurs est soumise à plusieurs conditions (absence de consentement, collecte ou utilisation illégale, etc.) telles qu’édictées dans le standard « PISS ». En outre, il n’existe aucune autorité spécifique chargée de la protection des données personnelle, alors même que les opérateurs de réseau et les fournisseurs de services se voient requis de partager les données recueillies avec leurs administrations de tutelles et les organes de sécurité publique^[37].

En l’absence de canal effectif permettant aux citoyens de faire valoir leurs droits, la mise en œuvre de ce corpus de textes se fait principalement à l’initiative du gouvernement et demeure très imparfaite. Une première « campagne » a visé les géants chinois du numérique : Alibaba, Tencent, Sina, Baidu, etc., tour à tour inspectés. En 2018, l’accent a été mis sur les comportements criminels et malveillants (vol, vente de données personnelles), sous la houlette du Ministère de la sécurité publique. Puis, en 2019, sur les applications de téléphonie mobile les plus populaires pour évaluer si ces dernières récoltaient des données illégalement ou en quantités excessives. Des sanctions financières et pénales sont prévues mais, la plupart du temps, les entreprises se voient sommées de mettre en œuvre des mesures correctives et, dans certains cas, des applications sont mises hors ligne. La mise en œuvre reste en grande partie réalisée de manière verticale, sur initiative des autorités publiques. De cette logique de campagne découle mécaniquement une mise en œuvre d’intensité variable dans le temps, selon les acteurs et les secteurs. Le droit est, en outre, susceptible d’être adapté aux circonstances et aux intérêts supérieurs de l’État. À titre d’exemple : en février 2020, afin de lutter contre l’épidémie de COVID-19, le gouvernement chinois a généralisé le recours à des solutions de pistage des individus potentiellement atteints développées par Tencent et Alibaba. Selon le New York Times, l’application d’Alibaba partageait automatiquement les données avec la police sans en avertir les utilisateurs^[38].

États-Unis d'Amérique

Ces données peuvent être vendues, si la personne concernée n'exprime pas explicitement son désaccord. C'est par exemple le cas des données des logiciels de paie^[39].

France

Le droit positif français de la protection des données à caractère personnel consiste en la loi informatique et libertés modifiée, laquelle assure la transposition de la directive 95/46/CE. Le 25 mai 2018 le Règlement général sur la protection des données est entré en application dans toute l'Union européenne, puis qu'il s'agit d'une norme d'application directe, ne nécessitant pas d'être transposé. Cela dit, un projet de loi a été présenté en Conseil des ministres le 13 décembre 2017^[40] afin d'adapter la loi informatique et libertés aux dispositions de ce Règlement, notamment en ce qui concerne les choix nationaux autorisés par les nombreuses clauses d'ouvertures présentes dans le texte communautaire (âge minimum pour consentir au traitement, régime des données sensibles…).

En synthèse, le droit de la protection des données à caractère personnel impose au responsable du traitement de ces données de respecter les principes suivants :

• Licéité de la collecte et du traitement
• Limitation des finalités, lesquelles doivent être explicites et légitimes
• Minimisation des données collectées au regard des finalités
• Exactitude des données
• Limitation de la durée de conservation à celle nécessaire à l'accomplissement des finalités
• Sécurité et confidentialité des données

Les personnes concernées disposent de droits à l'information, à la rectification voire à l'effacement des données (parfois nommé « droit à l'oubli » ou « au déréférencement »), de s'opposer ou de limiter le traitement, et, avec le Règlement, du droit d'exiger la portabilité des données (on parle alors de « droit à la portabilité »).

Suisse

La Loi fédérale sur la protection des données du 19 juin 1992 (dans son état au 1^er janvier 2011) a mis en place une protection très stricte de la vie privée en interdisant pratiquement tout traitement de données non explicitement autorisé par la personne intéressée^[41]. Il est en particulier prescrit que :

• le traitement de données personnelles doit être effectué conformément aux principes de la bonne foi et de la proportionnalité ;
• les données personnelles ne doivent être traitées que dans le but qui est indiqué lors de leur collecte ;
• la collecte de données personnelles, et en particulier les finalités du traitement, doivent être reconnaissables pour la personne concernée :
• lorsque son consentement est requis pour justifier le traitement de données personnelles la concernant, la personne concernée ne consent valablement que si elle exprime sa volonté librement et après avoir été dûment informée. Lorsqu'il s'agit de données sensibles et de profils de la personnalité, son consentement doit être au surplus explicite.

En sus, tout particulier peut demander par écrit à une entreprise (gérant un fichier) la rectification ou la suppression des données le concernant^[42]. L'entreprise doit répondre dans les trente jours^[42].

L'ensemble du dispositif est soumis à l'autorité d'un Préposé fédéral à la protection des données et à la transparence^[43].