Guidelines

Ici viendront les guidelines

Union Européenne

Le GDPR

Selon l’article 11 du Règlement, lorsque les finalités du traitement n’imposent pas ou plus d’identifier une personne concernée, le responsable du traitement ne doit ni chercher à obtenir ou à conserver des informations supplémentaires, ni procéder à d’autres traitements pour identifier la personne concernée à la seule fin de respecter le Règlement.

À première vue, cette nouvelle disposition peut sembler superflue. Toutefois, l’article 11 doit être lu en gardant à l’esprit la définition d’une donnée à caractère personnel selon laquelle constitue une donnée à caractère personnel : « toute information concernant une personne physique identifiée ou identifiable ("personne concernée") est réputée identifiable une personne qui peut être identifiée directement ou indirectement, notamment par référence à un identifiant, par exemple un nom, un numéro d'identification, des données de localisation, ou un identifiant en ligne, ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale » (cfr. art. 4, 1)).

Selon le considérant 26 du Règlement, pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne (tels que le coût de l’identification et le temps nécessaire à celle-ci, les technologies disponibles et leur évolution)

Ce faisant, un traitement est susceptible de relever du champ d’application du Règlement lorsque le Responsable dispose de la faculté ou peut avoir accès à des moyens permettant d’identifier une personne, à partir des données traitées.

Si la finalité ne justifie pas ou plus le recours à des tels moyens –et donc, semble-t-il que le responsable n’y recourt pas ou plus, en conformité avec le principe de finalité, le Règlement souligne d’abord que le responsable ne doit pas maintenir, acquérir ou traiter des informations additionnelles sur les personnes dans l’unique but de se conformer au Règlement, à moins que la ou les finalité(s) du traitement ne l’impose(nt). 

Dans ce cas, et pour autant qu’il soit capable de démontrer qu’il n’est pas (plus) en position d’identifier les personnes, le responsable doit en informer les personnes concernées, si cela est possible. Dans ce cas, les articles 15 (relatif au droit d’accès de la personne concernée), 16 (relatif droit de rectification), 17 (relatif au Droit à l'effacement et à l’oubli numérique), 18 (relatif au droit à la limitation du traitement), 19 (relatif à l’obligation de notification en ce qui concerne la rectification, l'effacement ou la limitation) et 20 (relatif au droit à la portabilité des données) ne sont pas applicables aux traitements ne permettant pas l’identification.

La personne concernée par ces traitements pourra toutefois invoquer le bénéfice des dispositions susmentionnées afin d’exercer les droits que leur confèrent ces articles, pour autant que celle-ci fournisse au responsable du traitement des informations complémentaires qui permettent de l’identifier. Le responsable ne peut donc pas refuser des informations supplémentaires fournies par la personne concernée afin de faciliter l'exercice de ses droits (Cfr. le considérant 57).

La Directive

Ni la Directive, ni les législations belge et française ne prévoient ce type de disposition.

Difficultés probables

Les conditions d’application de la disposition ne sont pas claires. La logique voudrait que le responsable n’accède pas ou plus à des moyens d’identification, conformément au principe de finalité qui ne lui impose plus d’identifier les personnes concernées, au moment où la conformité au Règlement se pose.

L’obligation d’information d’une telle situation posera également difficultés. Non seulement il est illogique de prévoir une obligation d’informer des personnes que l’on est plus capable d’identifier mais dès lors que le responsable doit apporter la preuve d’une impossibilité d’identification (preuve négative), des contestations peuvent survenir a posteriori sur ce point.