Données Personnelles

Les données personnelles sont les informations qui permettent d'identifier directement ou indirectement une personne physique. Elles sont protégées par divers instruments juridiques concernant le droit à la vie privée, dont notamment la loi Informatique, fichiers et libertés de 1978, la directive 95/46/CE au niveau communautaire ainsi que la Convention n°108 pour la protection des données personnelles du Conseil de l'Europe. A l'instar de la CNIL française, beaucoup de pays disposent aujourd'hui d'autorités chargées de la protection des données personnelles, qui sont souvent des autorités administratives indépendantes (ou des équivalent de celles-ci).

Les données personnelles (ou nominatives) correspondent aux noms, prénoms, adresses (physique et électronique), numéro de téléphone, lieu et date de naissance, numéro de sécurité sociale, etc. Aujourd'hui, en effet, une recherche à l'aide d'un moteur de recherche sur une ou plusieurs bases de données, en utilisant la combinaison de quelques-unes simplement de ces données, permet d'identifier et de retrouver avec précision n'importe quel individu. Certaines de ces données, dont en particulier le numéro de sécurité sociale ou le NIR, ainsi que les données biométriques (empreinte digitale, échantillon ADN, etc.), sont particulièrement sensibles, car elles fonctionnent en tant qu'« identifiants universels », qui permet de raccorder différents fichiers entre eux et ainsi d'opérer leur interconnexion.

Selon une déclaration du Conseil des ministres du Conseil de l'Europe de 1997, elles incluent les données médicales et génétiques ^[1], ainsi que les empreintes digitales et, en général, toute caractéristique biométrique.

Plusieurs éléments essentiels sont pris en compte concernant ces données, dont leur durée de conservation, leur finalité, le consentement de la personne vis-à-vis de cette collecte des données personnelles, l'obligation d'information et, dans le cadre de l'entreprise, la consultation des instances représentatives, le niveau de protection technique dont elles bénéficient (ou non), etc.

Sommaire 1 Les données personnelles en France 1.1 Les données de santé 1.2 Traces numériques et ciblage comportemental: vie privée et informatique 2 Au niveau européen 3 Au niveau international 4 Données des dossiers passagers (PNR) 5 Notes et références 6 Voir aussi

Les données personnelles en France

Selon la loi Informatique, fichiers et libertés de 1978, lorsqu'il s'agit du secteur privé, ces données ne peuvent être collectées, traitées et conservées par un organisme ou une entreprise que si la personne ou le service qui est responsable de ces opérations a effectué au préalable une déclaration à la CNIL, qui doit être validée par l'attribution d'un numéro d'enregistrement. Ce numéro doit être indiqué sur le site Web en plus de l'adresse de contact du service qui va gérer le fichier des données personnelles.

Depuis la loi sur la sécurité quotidienne de 2001, modifiée par la loi de 2006 relative à la lutte contre le terrorisme, les FAI et les opérateurs télécom sont tenus de conserver les données de connexion de leurs usagers et de les mettre à la disposition des autorités policières si celles-ci le désirent.

Le responsable du fichier ou du traitement de données personnelles doit informer les personnes concernées du but de ce traitement, de l'identité des destinataires de ces informations, et des droits dont ils disposent conformément aux articles 32 et 38 de la loi informatique et libertés de 1978.

Les partis politiques, les églises, les syndicats et les associations ne sont pas tenus de déclarer le fichier de leurs membres à la CNIL. Les sites web mis en œuvre par des particuliers dans le cadre d’une activité exclusivement personnelle sont aussi dispensés de déclaration, comme le stipule la dispense de déclaration n°6 ^[2] de la CNIL.

La loi française qualifie de « données sensibles » les données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à leur santé ou à leur vie sexuelle. Il est a priori interdit de collecter et d'enregistrer ces données, seuls les fichiers d'Etat (police, RG, etc.) pouvant déroger à cette règle, sous certaines conditions.

En ce qui concerne les entreprises un sondage de juin 2008 élaboré par LEGAL SUITE, éditeur de solutions juridiques d’entreprises et hébergé sur le Village de la Justice ^[3] "met à jour les manques qu’ont les entreprises en matière de données personnelles. Presque la moitié des sondés (sur un total de 300 professionnels) déclarent ne pas maîtriser la gestion des données à caractère personnel. Des manques qui pourraient donner des sueurs froides à certains dirigeants car les amendes infligées par la CNIL peuvent monter jusqu’à 300.000 euros."^[4] "Pourtant une majorité (60 %) affirme être bien ou plutôt bien informée sur la notion et les enjeux des données à caractère personnel."^[5] Selon l'étude "cela montre que les entreprises, bien qu'informées des obligations légales vis-à-vis de la CNIL ne gèrent pas de manière rigoureuse l'ensemble de leurs déclarations et traitements soumis à la loi." D'après ITRmanager.com "les choses devraient néanmoins changer progressivement puisque depuis deux ans, la CNIL mène auprès des entreprises françaises des opérations de sensibilisation."^[6]

Les données de santé

Les données de santé sont considérées comme des « données sensibles » par la directive 95/46/CE et par la loi Informatique et libertés. Elles ne peuvent donc être collectées que dans certains cas bien précis, encadrés par la loi, par exemple pour le dossier médical informatisé d'un patient hospitalisé. Le rapport Babusiaux de 2003 préconisait de transmettre ces données non seulement aux CPAM (Caisses primaires d'assurance maladie), mais aussi aux mutuelles et aux assurances, sous condition qu'elles soient anonymisées ^[7]. Une petite minorité de médecins s'est rebellé contre l'informatisation des dossiers médicaux, lors de la mise en place de la Carte Vitale, en alléguant la nécessité de protéger le secret médical^[8].

A la fin des années 1990, un débat eut lieu concernant l'inclusion, ou non, du SIDA dans la liste des maladies infectieuses à déclaration obligatoire. Le secrétaire d'Etat à la santé Bernard Kouchner du gouvernement Jospin avait proposé de contraindre les séropositifs à déclarer leur maladie, ces données étant anonymisées; les associations de lutte contre le SIDA n'étaient pas hostiles à ce projet tant que les données restaient anonymes ^[9],[10]. La proposition était aussi soutenue par Jean-Baptiste Brunet, le directeur du Centre européen de surveillance du sida ^[9]. Toutefois, le Conseil national du SIDA s'était opposé au projet, soulignant les « risques d'atteinte aux libertés individuelles » ainsi que la moindre efficacité de « mesures obligatoires qui ne sont pas directement dans l'intérêt des malades »: « l'obligation supposerait un dispositif automatique, un système illusoire de sanctions en cas de non-respect de la réglementation, voire un aménagement législatif du code de santé publique » ^[9]. En mai 1999, un décret impose toutefois la déclaration obligatoire du SIDA, en application avec la loi de 1998 sur la veille sanitaire ^[11]. Un autre décret, publié le 6 mai 1999, suscite les craintes des associations de lutte contre le SIDA à l'été 1999, en raison de la possible inclusion de données nominatives dans le traitement automatisé mis en œuvre par l'Institut de veille sanitaire, et de la discrimination que cela engendrerait. Le ministre annonce alors que ce décret sera modifié, tandis que la CNIL diffère en septembre 2009 la mise en oeuvre par l'IVS du traitement automatisé ^[12]

Traces numériques et ciblage comportemental: vie privée et informatique

Se pose encore à l'heure actuelle la question de savoir si les traces numériques (cookies, etc.) doivent être considérés comme étant des données personnelles. Le fait est que certains permettent d'obtenir des renseignements sur les habitudes de navigation des internautes, opérant ainsi une collecte d'informations personnelles à l'insu du visiteur d'un site et permettant l'élaboration ultérieur de profils, utilisés notamment à fins publicitaires ou/et commerciales (ciblage comportemental), mais pouvant aussi être utilisés dans le cadre d'enquêtes judiciaires. L'adresse IP, elle, n'est pas considérée comme une donnée personnelle, depuis un arrêt de la Cour de cassation (13 janvier 2009) ^[13].

Plusieurs techniques existent pour naviguer de façon anonyme sur Internet.

Au niveau européen

Les données personnelles sont protégées au niveau européen par plusieurs directives, la première étant la directive 95/46/CE. L'article 5 de la directive 2002/58/CE (« Vie privée et communications électroniques »)^[14] dispose que l'internaute doit être informé de l'existence de toute collecte d'information; qu'il a le droit d'en connaître la finalité et de s'y opposer :

« Les États membres garantissent que l’utilisation des réseaux de communications électroniques en vue de stocker des informations ou d’accéder à des informations stockées dans l’équipement terminal d’un abonné ou d’un utilisateur ne soit permise qu’à condition que l’abonné ou l’utilisateur, soit muni, dans le respect de la directive 95/46/CE, d’une information claire et complète, entre autres sur les finalités du traitement, et que l’abonné ou l’utilisateur ait le droit de refuser un tel traitement par le responsable du traitement des données. »

Cette directive a été modifiée par la directive 2006/24/CE sur la conservation des données, dont l'article 3 stipule:

« Les articles 5, 6 et 9 de la directive 2002/58/CE définissent les règles applicables au traitement, par les fournisseurs de réseaux et de services, de données relatives au trafic et de données de localisation générées par l’utilisation de services de communications électroniques. Ces données doivent être effacées ou rendues anonymes lorsqu'elles ne sont plus nécessaires à la transmission d'une communication, sauf les données requises pour établir les factures et les paiements pour interconnexion; moyennant l’accord de l’intéressé, certaines données peuvent également être traitées à des fins commerciales ou de fourniture de services à valeur ajoutée. »

Il existe aussi un Contrôleur européen de la protection des données chargé d'évaluer les politiques relevant de ce domaine. Il a, par exemple, autorisé la mise en place du Système d'information des visas (SIV), une base de données biométrique.

Au niveau international

La Conférence Internationale sur la protection des données personnelles a mis sur pied, en 1983, un groupe de travail spécifiquevisant à protéger les données personnelles dans le domaine des télécommunications, le International Working Group on Data Protection in Telecommunications (IWGDPT) ^[15]. Quelques années plus tard, le grand public apprenait l'existence du réseau ECHELON et la puissance du renseignement d'origine électromagnétique moderne.

En septembre 2005, la 27ème Conférence internationale des Commissaires à la protection des données et à la vie privée, a débouché sur l'adoption de la Déclaration de Montreux visant, selon la CNIL, « au renforcement du caractère universel des principes de la protection des données. La Conférence a également adopté une résolution sur l’utilisation des données biométriques dans les passeports, cartes d’identité et documents de voyage et une résolution sur l’utilisation de données personnelles pour la communication politique. » ^[16]

Données des dossiers passagers (PNR)

Les données des dossiers passagers (ou PNR, pour l'anglais Passenger Name Record) sont des données personnelles concernant tous les détails d'un voyage pour des passagers voyageant ensemble. Leur échange entre Etats, ainsi que leur utilisation, pose pour la CNIL et son homologue européen, le G29, un certain nombre de problèmes quant au respect de la vie privée. L'échange de ces données avec les Etats-Unis pose en particulier un certain nombre de problèmes, ces données étant bien moins protégées par la législation américaine que dans les Etats de l'Union européenne. L'avis du G29 concernant la décision-cadre du Conseil européen de novembre 2007, qui reprenait maintes dispositions de l'accord entre l'UE et les Etats-Unis de juillet 2007 concernant l'échange des données PNR, déclarait ainsi: « Un régime PNR européen ne saurait aboutir à la surveillance généralisée de tous les passagers. »^[17].

Notes et références

Voir aussi

• Données des dossiers passagers (PNR)
• Liste d'autorités chargées de la protection des données (Data Protection Authorities)
• Loi informatique et libertés de 1978
• Vie privée et informatique
• Sécurité des données
• Fuite d'information
• Fichage
• Renseignement d'origine électromagnétique
• Association Française des Correspondants à la protection des Données à caractère Personnel (AFCDP)
• Identité numérique (Internet)
• Traces numériques
• Commission nationale de l'informatique et des libertés (CNIL)

• Portail du droit
• Portail de la sécurité informatique