🔐 Données personnelles vs données sensibles : les distinctions clés du RGPD expliquées en 6 points essentiels ! ⚖️📊

Il est essentiel de comprendre ces distinctions et les règles qui les entourent. Du traitement des données à la base légale, en passant par les principes cardinaux de protection, découvrez les éléments clés pour appréhender votre mise en conformité au RGPD 🚀

La distinction entre données à caractère personnel et données sensibles à caractère personnel est fondamentale (1), elle est davantage plus parlante en donnant des exemples concrets (2).

Pour être correctement appréhendée, cette distinction nécessite de définir ce qu’est un traitement de données à caractère personnel (3) et de présenter les bases légales des traitements (4).

Enfin, la présentation des principes cardinaux de la protection des données (5) permet de mieux différencier les régimes de protection entre données à caractère personnel et données sensibles à caractère personnel (6).

1 - Définition des notions

> Données à caractère personnel :

Les données à caractère personnel sont définies comme toute information se rapportant à une personne physique identifiée ou identifiable, selon l’article 4.1 du RGPD. Une personne est identifiable si elle peut être reconnue directement (par exemple avec son nom, prénom) ou indirectement (par exemple avec son numéro de téléphone, son adresse postale, son adresse IP).

> Données sensibles à caractère personnel :

Les données sensibles, quant à elles, sont une sous-catégorie spécifique de données personnelles qui nécessitent une protection renforcée en raison de leur nature, selon l’article 9 du RGPD.

2 - Exemples de données à caractère personnel et de données sensibles à caractère personnel

> Données à caractère personnel :

Prénom, nom, numéro d’identifiant, numéro de téléphone, adresse postale, adresse IP ....

> Données sensibles à caractère personnel :

Opinions syndicales, opinions politiques, orientation sexuelle, état de santé, infractions pénales ...

3 - Définition de la notion de traitement de données à caractère personnel

Le traitement des données à caractère personnel se réfère à toute opération ou ensemble d’opérations effectuées sur ces données, de manière automatisée ou non.

Il s’agit ainsi, selon l’article 4.2 du RGPD, de la collecte, l’enregistrement, l’organisation, la conservation, la modification, l’extraction, la consultation, la communication, la suppression …

Un des exemples les plus topiques concerne un formulaire en ligne qui enregistre les coordonnées d’un utilisateur constitue un traitement.

4 - Présentation des bases légales

La base légale est le fondement juridique permettant de traiter des données personnelles de manière conforme au RGPD, selon son article 6. Les bases légales principales sont :

• Le consentement : Lorsque la personne a donné son accord explicite (par exemple : l’inscription à une newsletter).

• L’exécution d’un contrat : Traitement nécessaire pour fournir un service ou respecter un contrat (par exemple : un contrat de travail).

• L’obligation légale : Traitement imposé par la loi (par exemple : les déclarations fiscales).

• L’intérêt légitime : Lorsque l’intérêt de l’entreprise est légitime et proportionné (par exemple : pour l’exercice de droits en justice).

• La protection des intérêts vitaux : En cas d’urgence mettant en danger une personne (par exemple : le traitement des informations contenues dans un dossier médical).

• L’exercice d’une mission d’intérêt public : Activités dans un cadre légal et réglementaire (par exemple : le traitement d’une demande dans le cadre d’un service public ).

5 - Présentation des principes cardinaux de la protection des données à caractère personnel

Les principes fondamentaux pour le traitement des données personnelles (y compris sensibles) sont les suivants, au terme de l’article 5 du RGPD :

• Licéité, loyauté et transparence : Toute collecte doit être justifiée par une base légale, réalisée de manière transparente et explicite.

• Limitation des finalités : Utiliser les données qu’aux fins prévues initialement.

• Minimisation des données : Ne collecter que les données strictement nécessaires.

• Exactitude : Maintenir les données à jour et corriger toute inexactitude.

• Limitation de la conservation : Conserver les données uniquement le temps nécessaire.

• Sécurité : Assurer la sécurité des données contre les accès non autorisés ou les violations.

Ces principes permettent de garantir un traitement conforme et éthique des données à caractère personnel et sensibles.

6 - Régimes de protection des données à caractère personnel et des données sensibles à caractère personnel

Tout traitement de données à caractère personnel, sensibles ou non, devra respecter les principes cardinaux de la protection des données (loyauté, transparence, collecte minimisée, durée de conservation limitée, sécurité ...)

Si le traitement de données à caractère personnel concerne des données sensibles est en principe interdit, sauf s’il repose sur une base légale particulière (consentement de la personne concernée, sauvegarde de ses intérêts vitaux). Le cas échéant le traitement de ces données devra respecter les principes cardinaux de la protection des données, en prenant en compte leur sensibilité particulière.

Dès lors, certaines garanties supplémentaires pourront être prises, comme la réalisation d’une analyse d’impact relative à la protection des données (AIPD), ou encore une demande d’autorisation auprès de la CNIL du traitement de données sensibles à caractère personnel.