C'est toute information relative à une personne physique susceptible d'être identifiée, directement ou indirectement.
Le responsable d'un traitement de données à caractère personnel est en principe la personne, l'autorité publique, la société ou l'organisme qui détermine les finalités et les moyens de ce fichier, qui décide de sa création. En pratique, il s'agit généralement de la personne morale (entreprise, collectivité, etc.)
Les données relatives à l'identité (nom, prénom, adresse, photo, date et lieu de naissance, etc.) Les données relatives à la vie personnelle (habitudes de vie, de consommation, loisirs, situation familiale, etc.) Les données relatives à la vie professionnelle (CV, diplômes, formation, fonction, lieu de travail, etc.)
Ce sont des informations qui révèlent la prétendue origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des ...
Protéger ces données revient à protéger l'intimité, la dignité et les autres droits fondamentaux de cette personne comme, le droit à la vie privée, le droit à l'image, le droit à l'honneur, etc.
Le principe de sécurité et de confidentialité : le responsable du fichier doit garantir la sécurité et la confidentialité des informations qu'il détient. Il doit en particulier veiller à ce que seules les personnes autorisées aient accès à ces informations ; Les droits des personnes.
Ce sont également les données génétiques, les données biométriques aux fins d'identifier une personne physique de manière unique, les données concernant la santé, la vie sexuelle ou l'orientation sexuelle d'une personne physique. Il est interdit de recueillir et d'utiliser ces données.
Une personne physique peut être identifiée : directement (exemple : nom et prénom) ; indirectement (exemple : par un numéro de téléphone ou de plaque d'immatriculation, un identifiant tel que le numéro de sécurité sociale, une adresse postale ou courriel, mais aussi la voix ou l'image).
Le sigle RGPD signifie « Règlement Général sur la Protection des Données » (en anglais « General Data Protection Regulation » ou GDPR). Le RGPD encadre le traitement des données personnelles sur le territoire de l'Union européenne.
Dans certaines circonstances, cela pourrait inclure toute sorte d'informations allant du nom d'une personne à son apparence physique. Les données personnelles sensibles sont un ensemble spécifique de « catégories spéciales » qui doivent être traitées avec une sécurité supplémentaire.
On parle depuis quelques années du phénomène de big data , que l'on traduit souvent par « données massives ». Avec le développement des nouvelles technologies, d'internet et des réseaux sociaux ces vingt dernières années, la production de données numériques a été de plus en plus nombreuse : textes, photos, vidéos, etc.
Les traitements non concernés par le RGPD
Les traitements sur des données à caractère personnel d'individus ne résidant pas dans l'union européenne ou n'ayant pas la citoyenneté européenne ne sont pas concernés par le RGPD.
Aujourd'hui, le consommateur est devenu le point focal de la collecte et l'exploitation des données. Des géants comme Google ou Facebook dominent le marché de la publicité ciblée et engrangent des milliards de dollars, notamment grâce à l'émergence des technologies dites de « Big Data ».
La personne qui traite les données personnelles (un commerçant en ligne par exemple) doit respecter certaines obligations. Notamment : Recueillir l'accord préalable des clients. Informer les clients de leurs droits d'accès, de rectification, d'opposition et de suppression des informations collectées.
Le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées.
Le RGPD est obligatoire dans l'ensemble des 28 états membres depuis le 25 mai 2018. Tous les acteurs ayant recours à des données personnelles doivent se conformer à ce règlement européen.
Il n'y a donc pas de différences à proprement parler entre le Règlement Général sur la Protection des Données et la loi Informatique et Libertés, le premier complétant désormais la seconde.
En 3 points, l'objectif du RGPD (règlement général sur la protection des données) c'est : Une protection des données à caractère personnel similaire entre les habitants des l'UE ; Un cadre légal sur le traitement de données personnelles simplifié et allégé ; Une responsabilité accrue de la part des entreprises.
Le principe de minimisation prévoit que les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
Quand le règlement ne s'applique pas
Ses clients peuvent utiliser ses services lorsqu'ils voyagent dans d'autres pays, y compris au sein de l'UE. À condition que votre entreprise n'adresse pas spécifiquement ses services aux personnes établies au sein de l'UE, elle n'est pas soumise aux règles du RGPD.
Un message identifié comme personnel est considéré comme une correspondance privée et votre employeur doit en respecter le secret. La violation du secret des correspondances est une infraction pénale ! Par contre il peut lire vos messages professionnels.
Avec le RGPD (Règlement Général sur la Protection des Données), le montant des sanctions pécuniaires peut s'élever jusqu'à 20 millions d'euros ou dans le cas d'une entreprise jusqu'à 4 % du chiffre d'affaires annuel mondial. Ces sanctions peuvent être rendues publiques.
Les adresses IP, qui permettent d'identifier indirectement une personne physique, constituent des données à caractère personnel dont la collecte constitue un traitement de données nominatives devant faire l'objet d'une déclaration préalable auprès de la CNIL.
Le numéro de sécurité sociale (NIR)
Dans la mesure où il est unique à chaque personne, particulièrement identifiant et signifiant, son utilisation présente un risque de fichage de la population et de rapprochements de fichiers sans cesse plus importants. Aussi, l'usage du NIR est strictement encadré par la loi.
Quand est-ce qu'une analyse d'impact est obligatoire ? Une AIPD doit obligatoirement être menée quand le traitement est « susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées ».