arrow_back Retour à tous les articles

Article 11
Traitement ne nécessitant pas l'identification

Textes officiels D'où vient-on ? Où va-t-on ? Difficultés probables
Afficher les considérants du Règlement liés à l'article 11 keyboard_arrow_down Cacher les considérants du Règlement liés à l'article 11 keyboard_arrow_up

(57) Si les données à caractère personnel qu'il traite ne lui permettent pas d'identifier une personne physique, le responsable du traitement ne devrait pas être tenu d'obtenir des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter une disposition du présent règlement. Toutefois, le responsable du traitement ne devrait pas refuser des informations supplémentaires fournies par la personne concernée afin de faciliter l'exercice de ses droits. L'identification devrait comprendre l'identification numérique d'une personne concernée, par exemple au moyen d'un mécanisme d'authentification tel que les mêmes identifiants utilisés par la personne concernée pour se connecter au service en ligne proposé par le responsable du traitement.

Il n'y pas de considérant de la Directive 95/46 lié à l'article 11.

Guidelines

Ici viendront les guidelines

D'où vient-on ?

Ni la Directive, ni les législations belge et française ne prévoient ce type de disposition.

Où va-t-on ?

Selon l’article 11 du Règlement, lorsque les finalités du traitement n’imposent pas ou plus d’identifier une personne concernée, le responsable du traitement ne doit ni chercher à obtenir ou à conserver des informations supplémentaires, ni procéder à d’autres traitements pour identifier la personne concernée à la seule fin de respecter le Règlement.

À première vue, cette nouvelle disposition peut sembler superflue. Toutefois, l’article 11 doit être lu en gardant à l’esprit la définition d’une donnée à caractère personnel selon laquelle constitue une donnée à caractère personnel : « toute information concernant une personne physique identifiée ou identifiable ("personne concernée") est réputée identifiable une personne qui peut être identifiée directement ou indirectement, notamment par référence à un identifiant, par exemple un nom, un numéro d'identification, des données de localisation, ou un identifiant en ligne, ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale » (cfr. art. 4, 1)).

Selon le considérant 26 du Règlement, pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne (tels que le coût de l’identification et le temps nécessaire à celle-ci, les technologies disponibles et leur évolution)

Ce faisant, un traitement est susceptible de relever du champ d’application du Règlement lorsque le Responsable dispose de la faculté ou peut avoir accès à des moyens permettant d’identifier une personne, à partir des données traitées.

Si la finalité ne justifie pas ou plus le recours à des tels moyens –et donc, semble-t-il que le responsable n’y recourt pas ou plus, en conformité avec le principe de finalité, le Règlement souligne d’abord que le responsable ne doit pas maintenir, acquérir ou traiter des informations additionnelles sur les personnes dans l’unique but de se conformer au Règlement, à moins que la ou les finalité(s) du traitement ne l’impose(nt). 

Dans ce cas, et pour autant qu’il soit capable de démontrer qu’il n’est pas (plus) en position d’identifier les personnes, le responsable doit en informer les personnes concernées, si cela est possible. Dans ce cas, les articles 15 (relatif au droit d’accès de la personne concernée), 16 (relatif droit de rectification), 17 (relatif au Droit à l'effacement et à l’oubli numérique), 18 (relatif au droit à la limitation du traitement), 19 (relatif à l’obligation de notification en ce qui concerne la rectification, l'effacement ou la limitation) et 20 (relatif au droit à la portabilité des données) ne sont pas applicables aux traitements ne permettant pas l’identification.

La personne concernée par ces traitements pourra toutefois invoquer le bénéfice des dispositions susmentionnées afin d’exercer les droits que leur confèrent ces articles, pour autant que celle-ci fournisse au responsable du traitement des informations complémentaires qui permettent de l’identifier. Le responsable ne peut donc pas refuser des informations supplémentaires fournies par la personne concernée afin de faciliter l'exercice de ses droits (Cfr. le considérant 57).

Difficultés probables

Les conditions d’application de la disposition ne sont pas claires. La logique voudrait que le responsable n’accède pas ou plus à des moyens d’identification, conformément au principe de finalité qui ne lui impose plus d’identifier les personnes concernées, au moment où la conformité au Règlement se pose.

L’obligation d’information d’une telle situation posera également difficultés. Non seulement il est illogique de prévoir une obligation d’informer des personnes que l’on est plus capable d’identifier mais dès lors que le responsable doit apporter la preuve d’une impossibilité d’identification (preuve négative), des contestations peuvent survenir a posteriori sur ce point.

Règlement
1e 2e

Art. 11

1. Si les finalités pour lesquelles des données à caractère personnel sont traitées n'imposent pas ou n'imposent plus au responsable du traitement d'identifier une personne concernée, celui-ci n'est pas tenu de conserver, d'obtenir ou de traiter des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter le présent règlement.

2. Lorsque, dans les cas visés au paragraphe 1 du présent article, le responsable du traitement est à même de démontrer qu'il n'est pas en mesure d'identifier la personne concernée, il en informe la personne concernée, si possible. En pareils cas, les articles 15 à 20 ne sont pas applicables, sauf lorsque la personne concernée fournit, aux fins d'exercer les droits que lui confèrent ces articles, des informations complémentaires qui permettent de l'identifier.

Proposition 1 close

Si les données traitées par un responsable du traitement ne lui permettent pas d'identifier une personne physique, le responsable du traitement n'est pas tenu d'obtenir des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter une disposition du présent règlement.

Proposition 2 close

1. Si les finalités pour lesquelles des données à caractère personnel sont traitées n'imposent pas ou n'imposent plus au responsable du traitement d'identifier une personne concernée, celui-ci n'est pas tenu de conserver ou d'obtenir des informations supplémentaires ni de procéder à d'autres traitements pour identifier la personne concernée à la seule fin de respecter (…) le présent règlement. (...)

2. Lorsque, dans de tels cas, le responsable du traitement ne peut pas identifier la personne concernée, les articles 15, 16, 17, 17 bis, 17 ter et 18 ne sont pas applicables, sauf lorsque la personne concernée fournit, afin d'exercer les droits que lui confèrent ces articles, des informations complémentaires qui permettent de l'identifier.

Directive

Ni la Directive, ni les législations belge et française ne prévoient ce type de disposition.

France

Belgique

Ulys logo

Cabinet d’avocats moderne et humain,
au service de la création et de l’innovation

En savoir plus
Droit & Technologies logo white

Depuis 1997, le Portail du Droit des Technologies
Retrouvez-y les derniers actualités et des dossiers exclusifs.

En savoir plus
close

En poursuivant votre navigation sur notre site, vous acceptez l’utilisation de cookies afin de nous permettre d’améliorer votre expérience utilisateur. En savoir plus

OK