Une donnée inexacte n’est pas une simple imperfection administrative : elle nourrit des décisions qui engagent la vie des personnes. Un solde bancaire erroné, une mention périmée dans un fichier de recouvrement, une adresse obsolète associée à une procédure — autant d’inexactitudes qui peuvent fonder un refus de crédit, un contentieux mal dirigé ou une atteinte à la réputation. C’est pourquoi le droit de la protection des données ne se contente pas d’encadrer la licéité du traitement : il en exige aussi la justesse.
L’exigence d’un traitement portant sur des données exactes et complètes constitue l’un des principes cardinaux de la matière. La loi Informatique et Libertés comme le Règlement général sur la protection des données (RGPD) imposent au responsable du traitement de veiller à ce que les données qu’il manipule reflètent fidèlement la réalité qu’elles sont censées décrire — et de corriger ou d’effacer celles qui ne le font plus.
Reste une question décisive, qui commande l’intensité de la responsabilité encourue : cette exigence est-elle une obligation de résultat — le responsable garantit l’exactitude, et répond de toute donnée fausse — ou une simple obligation de moyens — il lui suffit d’avoir pris les mesures raisonnables ? La lettre des textes nationaux et européens ne fournit pas, sur ce point, une réponse univoque.
I) Le principe d’exactitude des données traitées
Exactitude des données — qualité d’une donnée à caractère personnel qui correspond fidèlement à la réalité qu’elle décrit, au regard de la finalité du traitement. Le principe d’exactitude commande que les données traitées soient à la fois exactes (conformes au réel) et, le cas échéant, complètes et tenues à jour, faute de quoi elles doivent être rectifiées ou effacées sans tarder.
Le principe se conçoit comme le corollaire des finalités du traitement : une donnée n’a de valeur — et de licéité — que pour autant qu’elle sert correctement l’objet pour lequel elle a été collectée. Quod nullum est, nullum producit effectum : une donnée fausse vicie l’usage qui en est fait. L’exactitude n’est donc pas une exigence abstraite, mais une exigence relative, appréciée eu égard aux finalités du traitement.
A) Les textes : loi Informatique et Libertés et RGPD
L’article 6, 4° de la loi Informatique et Libertés prévoit que peuvent faire l’objet d’un traitement les données à caractère personnel « exactes, complètes, si nécessaire, mises à jour ».
De son côté, le RGPD énonce en son article 5 que les données à caractère personnel doivent répondre à un principe d’exactitude :
« Les données à caractère personnel doivent être exactes et, si nécessaire, tenues à jour ; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude). »
Il ressort de ces dispositions que l’exactitude des données à caractère personnel est exigée tant au moment de la collecte qu’au moment du traitement.
B) Une exigence à la collecte comme au traitement
Pour assurer le respect de cette obligation, il appartient au responsable du traitement de « prendre les mesures appropriées pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées ». L’exactitude n’est ainsi pas figée au jour de la collecte : elle se prolonge dans le temps, le responsable devant maintenir la justesse des données pendant toute la durée du traitement.
Un organisme de crédit conserve dans son fichier la mention d’un incident de paiement régularisé depuis dix-huit mois. La donnée, exacte à l’origine, est devenue inexacte au regard de la finalité (l’appréciation de la solvabilité actuelle). Le responsable du traitement doit la mettre à jour ou l’effacer sans tarder ; à défaut, le débiteur peut se voir refuser un nouveau prêt sur le fondement d’une situation qui n’existe plus.
Ce devoir de mise à jour donne corps, du côté des personnes concernées, au droit de rectification : la possibilité d’exiger la correction des données erronées est le pendant subjectif de l’obligation objective d’exactitude qui pèse sur le responsable.
C) Obligation de moyens ou obligation de résultat ?
La nature exacte de l’exigence a fait l’objet d’une lecture stricte de l’autorité de contrôle. Dans une délibération du 1er mars 2016, la CNIL a précisé que « l’article 6-4° consiste sans ambiguïté en une obligation de résultat en ce qu’il impose au responsable de traitement de garantir l’exactitude des données à caractère personnel qu’il traite en prenant toutes les mesures utiles afin de rectifier ou d’effacer les données inexactes. Le droit pour les personnes concernées d’obtenir du responsable de traitement la rectification ou l’effacement de données inexactes, énoncé à l’article 40 de la loi Informatique et Libertés, est le corollaire de cette obligation. Il s’agit ainsi pour ce dernier d’atteindre un objectif déterminé et non de déployer ses meilleurs efforts afin d’y parvenir » (CNIL, délib. n° 2016-053 du 1er mars 2016).
Reste qu’il s’infère du RGPD que l’exigence d’un traitement portant sur des données exactes et complètes est une obligation, non pas de résultat, mais de moyens.
Le texte prévoit, en effet, que « toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder ». La référence aux « mesures raisonnables » déplace l’axe de l’appréciation : ce n’est plus l’exactitude elle-même qui est garantie, mais la diligence déployée pour l’atteindre. Là où la délibération de 2016 lisait une obligation d’atteindre un résultat déterminé, la lettre du Règlement paraît se contenter de la mise en œuvre de moyens proportionnés à la finalité.
La tension est nette, et elle n’est pas seulement théorique : de la qualification retenue dépend l’intensité de la responsabilité du responsable du traitement. Sous l’angle de l’obligation de résultat, toute donnée inexacte engage par elle-même sa responsabilité, la seule diligence ne suffisant pas à l’exonérer. Sous l’angle de l’obligation de moyens, c’est au contraire à la personne concernée — ou à l’autorité de contrôle — qu’il revient d’établir un défaut de diligence, l’inexactitude résiduelle d’une donnée n’étant pas, à elle seule, fautive. Le standard des « mesures raisonnables » du RGPD invite ainsi à apprécier le comportement du responsable au regard de l’état de la technique, du coût des vérifications et de la sensibilité des données en cause, plutôt qu’à exiger de lui une exactitude absolue.
