Une notion-pivot du droit des données personnelles
La personne concernée est le sujet autour duquel tout le droit des données personnelles s’ordonne — c’est elle qui supporte le traitement, c’est à elle qu’appartiennent les droits d’accès, de rectification, d’effacement et d’opposition. Avant de pouvoir déterminer quels droits sont en jeu, encore faut-il identifier qui est concerné : la qualification commande l’application même du régime protecteur. Une donnée qui ne se rapporte à aucune personne physique identifiée ou identifiable échappe au RGPD ; à l’inverse, dès qu’un lien se noue entre une information et un individu, la mécanique des obligations du responsable du traitement se déclenche.
L’enjeu pratique est considérable. Le périmètre de la notion détermine ce qu’un employeur, une plateforme, une administration ou un assureur peut collecter, conserver et exploiter sans franchir le seuil de la protection. Or ce lien entre l’information et la personne n’est pas toujours évident : si le dossier médical d’un patient le « concerne » à l’évidence, qu’en est-il des données relatives à un objet, à une machine ou à un événement, qui ne touchent l’individu que par ricochet ?
C’est précisément cette zone grise que les textes — et la doctrine du groupe de l’article 29 (G29) — ont entrepris de baliser, en dégageant trois critères de rattachement alternatifs : le contenu, la finalité et le résultat. La présente étude restitue cette grille de lecture, qui constitue aujourd’hui le test de référence pour décider si une information « concerne » une personne physique au sens du droit des données personnelles.
La définition textuelle : loi du 6 janvier 1978 et RGPD
L’article 2 de la loi informatique et libertés prévoit que « la personne concernée par un traitement de données à caractère personnel est celle à laquelle se rapportent les données qui font l’objet du traitement ».
De son côté, le RGPD, pris en son article 4, retient une définition de la personne identifiable construite autour d’un faisceau d’identifiants — directs ou indirects.
« une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ».
Personne physique vivante à laquelle se rapportent les données traitées et qui, par le jeu d’un ou de plusieurs identifiants, peut être identifiée directement ou indirectement. Elle est le titulaire des droits que le RGPD organise (accès, rectification, effacement, opposition, portabilité) et le point de référence à partir duquel s’apprécie le caractère personnel d’une donnée.
D’une manière générale, on peut considérer que les informations « concernent » une personne physique lorsqu’elles ont trait à cette personne. Dans nombre de situations, ce lien est facile à établir.
Ainsi, dans le cas de données enregistrées dans le dossier personnel d’un employé au sein d’un service du personnel, il s’agit clairement de données « concernant » la situation de l’intéressé en sa qualité d’employé. Il en va de même des données relatives aux résultats de l’examen médical d’un patient consignées dans son dossier médical, ou de l’image d’une personne filmée sur une vidéo lors d’une interview.
Quand des informations « concernent »-elles une personne ?
On peut citer un certain nombre de situations où il n’est pas toujours aussi évident que dans les cas précédents de déterminer que les informations « concernent » une personne physique.
Dans certaines hypothèses, les informations découlant des données concernent en premier lieu des objets, et non des personnes. Ces objets appartiennent en général à quelqu’un, ou peuvent subir l’influence particulière de personnes — ou exercer une influence particulière sur des personnes —, ou encore se trouver d’une manière ou d’une autre à proximité physique ou géographique de personnes ou d’autres objets. Ce n’est donc que de manière indirecte que l’on pourra considérer que ces informations concernent ces personnes.
Ce principe vaut également pour les données concernant en premier lieu des processus ou des événements — par exemple des informations sur le fonctionnement d’une machine nécessitant une intervention humaine. Il est, dès lors, possible de considérer ce type d’informations comme « concernant » une personne physique.
La valeur vénale d’un appartement est, en première lecture, une donnée relative à un objet. Mais si cette estimation est versée au dossier d’un emprunteur pour apprécier sa solvabilité et lui accorder — ou lui refuser — un crédit, l’information « concerne » alors la personne : utilisée pour évaluer sa situation, elle se rapporte à elle par sa finalité, voire par son résultat. La même donnée bascule ainsi du régime des choses à celui des personnes selon l’usage qui en est fait.
Les trois critères de rattachement : contenu, finalité, résultat
Le G29 a pu relever que « les données concernent une personne si elles ont trait à l’identité, aux caractéristiques ou au comportement d’une personne ou si cette information est utilisée pour déterminer ou influencer la façon dont cette personne est traitée ou évaluée ».
Il ajoute que « pour considérer que les données « concernent » une personne physique, la présence d’un élément de « contenu » OU de « finalité » OU de « résultat » est indispensable ». Trois critères, donc, dont la réunion d’un seul suffit à opérer le rattachement.
L’élément de « contenu »
- Cet élément est présent lorsque — conformément à la perception la plus évidente et la plus commune, dans une société, du mot « concerner » — des informations ayant trait à une personne particulière sont communiquées, indépendamment de toute finalité de la part du responsable du traitement ou du tiers, ou de l’impact de ces informations sur la personne concernée.
- Les informations « concernent » une personne lorsqu’elles ont « trait » à cette personne, et une évaluation s’impose à la lumière de l’ensemble des circonstances du cas d’espèce.
- Ainsi, les résultats d’une analyse médicale concernent manifestement le patient, tout comme les informations contenues dans le dossier au nom d’un certain client concernent celui-ci.
L’élément de « finalité »
- Cet élément peut lui aussi jouer un rôle pour déterminer si des informations « concernent » une certaine personne.
- Il sera réputé présent lorsque les données sont utilisées ou susceptibles d’être utilisées, compte tenu de l’ensemble des circonstances du cas d’espèce, afin d’évaluer, de traiter d’une certaine manière ou d’influer sur le statut ou le comportement d’une personne physique.
L’élément de « résultat »
- Même en l’absence de tout élément de « contenu » ou de « finalité », on peut considérer que des données « concernent » une personne physique lorsque leur utilisation est susceptible d’avoir un impact sur certains de ses droits et intérêts, compte tenu de l’ensemble des circonstances du cas d’espèce. Il n’est pas nécessaire que le résultat potentiel ait un impact majeur : il suffit qu’une personne physique puisse être traitée différemment par rapport à d’autres à la suite du traitement de ces données.
Des conditions alternatives, non cumulatives
Pour le G29, ces trois éléments — contenu, finalité, résultat — sont à considérer comme des conditions alternatives, et non cumulatives. La logique est celle du distributivement, non conjointement : la satisfaction d’un seul critère emporte la qualification.
Lorsque l’élément de contenu est présent, il n’est dès lors pas nécessaire que les autres le soient pour considérer que les informations concernent la personne. Le corollaire de ce constat est qu’une même information peut concerner simultanément plusieurs personnes, selon l’élément retenu pour chacune d’entre elles — telle donnée se rattachant à l’une par son contenu, à l’autre par sa seule finalité ou par son résultat. La notion de personne concernée se révèle ainsi pleinement relationnelle : ce n’est pas l’information en soi qui la définit, mais le lien — parfois pluriel — qu’elle tisse avec un ou plusieurs individus.
