RGPD: le droit à être informé de la mise en œuvre d’un traitement de données à caractère personnel

L’information, condition de licéité du traitement

Nul ne saurait exercer un droit qu’il ignore. C’est tout l’enjeu du droit à être informé de la mise en œuvre d’un traitement de données à caractère personnel : avant même de pouvoir s’opposer à un traitement, en demander la rectification ou l’effacement, encore faut-il que la personne concernée sache que ses données sont collectées, par qui, pour quelles finalités et selon quel régime juridique. L’information est ainsi la clef de voûte de l’ensemble des droits reconnus par le règlement général sur la protection des données (RGPD) et par la loi informatique et libertés — la condition première de leur effectivité.

Le RGPD érige cette exigence en composante du principe de traitement loyal et transparent : un traitement dont la personne concernée ignorerait jusqu’à l’existence serait, par construction, déloyal. L’information n’est donc pas une formalité accessoire, mais une condition de la licéité même du traitement. Sa portée varie toutefois selon que les données sont recueillies auprès de la personne elle-même — collecte directe régie par l’article 13 du RGPD — ou par l’entremise d’un tiers — collecte indirecte régie par l’article 14.

Cette distinction n’est pas purement formelle : elle commande le contenu de l’information due, le moment auquel elle doit être délivrée et l’étendue des exceptions admises. Là où la collecte directe place la personne en présence du responsable du traitement, la collecte indirecte la prive de ce contact — d’où des garanties renforcées, parmi lesquelles l’obligation d’indiquer la source des données. C’est cette double mécanique que le présent article entend exposer.

§1 — La collecte directe de données à caractère personnel

L’obligation d’informer la personne concernée

• Principe
  • Le principe de traitement loyal et transparent exige que la personne concernée soit informée de l’existence de l’opération de traitement et de ses finalités.
  • Aussi, le responsable du traitement a-t-il pour obligation de fournir à la personne concernée toute autre information nécessaire pour garantir un traitement équitable et transparent, compte tenu des circonstances particulières et du contexte dans lesquels les données à caractère personnel sont traitées.
  • Les informations qui doivent être communiquées à la personne concernée en cas de collecte directe de ses données, soit lorsque ladite collecte a été effectuée auprès de la personne, ont été définies à l’article 13 du RGPD.

• Exception
  • L’obligation d’informer la personne concernée en cas de collecte directe est assortie d’une exception.
  • Le RGPD prévoit que le responsable du traitement est dispensé de cette obligation lorsque la personne concernée dispose déjà des informations qui doivent lui être communiquées.
  • Il appartiendra alors au responsable de prouver que la personne concernée disposait de ces informations pour s’exonérer de sa responsabilité — actori incumbit probatio, la charge de la preuve pesant sur celui qui invoque la dispense.

Le contenu de l’information à fournir à la personne concernée

L’article 13 du RGPD prévoit que le responsable du traitement doit fournir à la personne concernée les informations suivantes :

• L’identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ;
• Le cas échéant, les coordonnées du délégué à la protection des données ;
• Les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;
• Lorsque le traitement est fondé sur la poursuite d’un intérêt légitime, ceux poursuivis par le responsable du traitement ou par un tiers ;
• Les destinataires ou les catégories de destinataires des données à caractère personnel, s’ils existent ;
• Le cas échéant, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, et l’existence ou l’absence d’une décision d’adéquation rendue par la Commission ou, dans le cas des transferts visés à l’article 46 ou 47, ou à l’article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d’en obtenir une copie ou l’endroit où elles ont été mises à disposition ;
• La durée de conservation des données à caractère personnel ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;
• L’existence du droit de demander au responsable du traitement l’accès aux données à caractère personnel, la rectification ou l’effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ou du droit de s’opposer au traitement et du droit à la portabilité des données ;
• Lorsque le traitement est fondé sur le consentement, l’existence du droit de retirer son consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;
• Le droit d’introduire une réclamation auprès d’une autorité de contrôle ;
• Des informations sur la question de savoir si l’exigence de fourniture de données à caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la conclusion d’un contrat et si la personne concernée est tenue de fournir les données à caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de ces données ;
• L’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.

Le moment de la fourniture de l’information à la personne concernée

La fourniture de l’information doit intervenir au moment où les données à caractère personnel de la personne concernée sont collectées.

À cet égard, lorsque le responsable du traitement a l’intention d’effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle les données ont été collectées, il doit fournir, au préalable, à la personne concernée des informations au sujet de cette autre finalité et toute autre information pertinente. La règle traduit l’exigence de transparence dans la durée : l’information n’est pas figée à l’instant de la collecte, elle suit le traitement dans ses évolutions.

§2 — La collecte indirecte de données à caractère personnel

L’obligation d’informer la personne concernée

• Principe
  • La collecte est indirecte lorsqu’elle n’est pas directement réalisée auprès de la personne concernée, soit lorsqu’elle intervient par l’entremise d’une tierce personne.
  • Il en va ainsi en cas d’achat d’un fichier de données ou de collecte sur une plateforme numérique.
  • En effet, de nombreuses entreprises achètent, cèdent ou revendent des fichiers de données à caractère personnel, qui sont ainsi collectées de façon indirecte.
  • Dans cette hypothèse, pour ne pas être considérée comme déloyale, la collecte indirecte doit nécessairement s’accompagner d’une information à la personne concernée de l’existence d’un traitement de ses données ainsi que des droits qui en découlent (droit d’accès, d’opposition, etc.).
  • Le fait que la personne dont les données sont collectées indirectement ait déjà consenti au traitement de ses données ne dispense pas l’auteur d’une collecte indirecte de satisfaire à son obligation d’information.
  • L’article 14 du RGPD prévoit ainsi que, lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée, le responsable du traitement doit fournir à celle-ci un certain nombre d’informations.

• Exceptions
  • L’exigence d’informer la personne concernée en cas de collecte indirecte de ses données à caractère personnel est assortie de plusieurs exceptions :
    • La personne concernée dispose déjà de ces informations ;
    • La fourniture de telles informations se révèle impossible ou exigerait des efforts disproportionnés, en particulier pour le traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques sous réserve des conditions et garanties visées à l’article 89, paragraphe 1, ou dans la mesure où l’obligation visée au paragraphe 1 du présent article est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement. En pareils cas, le responsable du traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles ;
    • L’obtention ou la communication des informations sont expressément prévues par le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement est soumis et qui prévoit des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée ;
    • Les données à caractère personnel doivent rester confidentielles en vertu d’une obligation de secret professionnel réglementée par le droit de l’Union ou le droit des États membres, y compris une obligation légale de secret professionnel.

Le contenu de l’information à fournir à la personne concernée

Au nombre des informations qui doivent être communiquées à la personne concernée en cas de collecte indirecte de ses données à caractère personnel figurent :

• L’identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ;
• Le cas échéant, les coordonnées du délégué à la protection des données ;
• Les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;
• Les catégories de données à caractère personnel concernées ;
• Le cas échéant, les destinataires ou les catégories de destinataires des données à caractère personnel ;
• Le cas échéant, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données à caractère personnel à un destinataire dans un pays tiers ou une organisation internationale, et l’existence ou l’absence d’une décision d’adéquation rendue par la Commission ou, dans le cas des transferts visés à l’article 46 ou 47, ou à l’article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d’en obtenir une copie ou l’endroit où elles ont été mises à disposition ;
• La durée pendant laquelle les données à caractère personnel seront conservées ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;
• Lorsque le traitement est fondé sur la poursuite d’un intérêt légitime, ceux poursuivis par le responsable du traitement ou par un tiers ;
• L’existence du droit de demander au responsable du traitement l’accès aux données à caractère personnel, la rectification ou l’effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ainsi que du droit de s’opposer au traitement et du droit à la portabilité des données ;
• Lorsque le traitement est fondé sur le consentement, l’existence du droit de retirer le consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;
• Le droit d’introduire une réclamation auprès d’une autorité de contrôle ;
• La source d’où proviennent les données à caractère personnel et, le cas échéant, une mention indiquant qu’elles sont issues ou non de sources accessibles au public ;
• L’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.

On relèvera la différence cardinale avec la collecte directe : l’article 14 impose d’indiquer la source des données — information par hypothèse inutile lorsque la personne s’est elle-même livrée — tandis qu’il fait l’économie de la mention relative au caractère obligatoire de la fourniture des données, sans objet hors d’une collecte auprès de l’intéressé.

Le moment de la fourniture de l’information à la personne concernée

• Principe
  • L’article 14 du RGPD prévoit que les informations communiquées à la personne concernée doivent lui être fournies dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées.

• Tempéraments
  • Si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne concernée, elles doivent lui être communiquées, au plus tard, au moment de la première communication à ladite personne ;
  • S’il est envisagé de communiquer les informations à un autre destinataire, elles doivent lui être communiquées, au plus tard, lorsque les données à caractère personnel sont communiquées pour la première fois.