Personne exceptionnelle. Données personnelles.
Par Damien Grangé, Mastère Spécialisé en Management Digital 2020 @ESSCA le 05/11/2020
Cet article présente une réflexion personnelle préalablement publiée sur le blog de mon établissement portant sur l'identification à partir d'informations atypiques.
Cette capture d’écran est issue du site internet de la Commission Nationale de l'Informatique et des Libertés (CNIL). J'attire votre attention sur ce pointé en jaune. Sont considérées comme données personnelles, les informations permettant d’identifier quelqu’un indirectement. Pas plus de précision.
I Je donne un exemple :
Imaginons que vous alliez sur internet et que vous tombiez au hasard de votre activité sur la photo de ce sympathique jeune homme :
Vous ne savez pas qui c’est. Vous n'avez pas son nom ni son prénom. Néanmoins grâce à la magie d’internet, vous pouvez effectuer une recherche et découvrir que c’est ma photo de profil Facebook. Identifier quelqu’un indirectement, c’est ça. En prenant du recul on se rend compte que la notion d’identification indirecte est toute relative. Il existe des informations ne permettant pas d’identifier le plus grand nombre, mais juste quelques individus.
II Je vous propose un jeu :
Capture d'écran de l’article de La Voix du Nord : À 44 ans, la mère de la famille la plus nombreuse au Royaume-Uni attend un 22e enfant
Si vous écrivez record famille nombreuse sur google et ouvrez le premier résultat, vous faîtes connaissance avec Sue Radford, mère de 22 enfants. Le nombre d’enfants de Sue Radford est une information. Si je vous dis que je parle de la fameuse mère de 22 enfants ; de qui est-ce que je parle précisément ? De Sue Radford. Son nombre d’enfants est une information permettant de l’identifier indirectement.
III Est-ce que le nombre d’enfants de Sue est une donnée personnelle, au sens du RGPD ?
Dans la suite de cet article je parlerai de données exceptionnelles, en ce qu’elles peuvent exceptionnellement permettre d’identifier UNE personne -ou un groupe très restreint de personnes-.
Il existe trois possibilités :
- Soit on considère qu’une donnée personnelle doit pouvoir permettre d’identifier tous les citoyens européens. Et qu’à ce titre, comme le nombre d'enfants ne permet d'identifier QUE Sue, ça signifie que le nombre d'enfants n'est PAS une donnée personnelle.
- Soit on considère qu’une donnée personnelle doit permettre d’identifier au moins un des citoyens européens. Et qu'à ce titre comme le nombre d'enfants permet d'identifier AU MOINS Sue, ça signifie que le nombre d'enfants EST une donnée personnelle POUR TOUT LE MONDE.
- Soit on considère qu’une donnée personnelle d'UN CITOYEN doit pouvoir permettre d'identifier CE CITOYEN. Et qu’à ce titre, comme le nombre d'enfants ne permet d'identifier QUE Sue, ça signifie que le nombre d'enfants EST une donnée personnelle EXCLUSIVEMENT POUR SUE.
IV Discussion
Je pense qu’on est tous la somme de données exceptionnelles.
L'exemple de Sue correspond à un cas rarissime !
Je pose la question de la valeur juridique de ces informations pour ces cas rarissimes. Je pense qu’on est tous la somme de données exceptionnelles. Par exemple, j’ai mis fin à mes fonctions de modérateur européen bénévole pour l’ESL en 2009 pour le jeu S4League. Si un jour dans un fichier il est inscrit a exercé d’anciennes fonctions de modérateur européen bénévole en 2009 pour l’ESL ; alors avec une recherche Google on m’aura identifié.
Voilà ! On doit faire une recherche !
Je pense également que vous ne saviez pas que c’était moi sur la photo mise plus haut. Il y avait aucun nom, ni prénom dessus. Pourtant c'est une donnée personnelle et est protégée, justement parce que vous pouvez m'identifier avec indirectement.
V Réponse
J’ai présenté ma problématique à des copains juristes. Leur avis n’est que consultatif, puisque c’est pas leur domaine d’étude respectif. Selon eux il faut absolument pas oublier la finalité, et ainsi en fonction du contexte, le juge pourra qualifier l’information de donnée personnelle ou non. Dans cette approche, aucune des réponses listées préalablement n'est bonne.
Deux exemples :
Situation 1 : Lidl utilise le nombre d’enfants pour proposer à Sue des offres famille nombreuse exclusives.
Dans ce contexte, il n’y a pas de souci évident à récolter cette information, et même à l’utiliser.
- On peut penser que Lidl a demandé à la joindre pour partager des offres personnalisées.
- On peut penser que comme il y a ici une notion d'avantage (les promotions), Sue ne subit aucun dommage.
- On peut penser que Lidl ne demande qu'une approximation du nombre d'enfants, par exemple : Avez-vous plus de 5 enfants ?
[Aparté : Je pense par ailleurs qu'il serait bon que les entreprises privilégient autant que possible l'alternative présentée dans cet exemple de la compartimentation du nombre d'enfants. Ce qui permet de limiter les possibilités d'identification par regroupement d'informations. Ce principe est généralisable à plein d'autres informations (comme la tranche salariale pour indiquer le salaire, ou la catégorie socioprofessionnelle pour indiquer le métier). C'est une recommandation usuellement faîte. Je me questionne actuellement sur l'utilité éventuelle d'un guide publié par la Commission Nationale de l'Informatique et des Libertés (CNIL) qui présenterait des recommandations de formulaires aux entreprises pour collecter une donnée souhaitée, par exemple sur la manière de poser la question, les catégories à choisir, les options de réponse, etc... donnée, par donnée. Questionnement qui fera peut-être l'objet d'un prochain article.]
Situation 2 : Sue est impliquée dans une affaire de braquage armé. On présume son innocence. Les media écrivent : La fameuse mère de 22 enfants serait à l’origine d’un braquage armé.
On dira que mes scénarios sont loufoques. Je répondrai que notre monde l’est de plus en plus. D’après mes copains dans ce contexte précis ça lui porte atteinte. Tout le monde sait qu’on parle de Sue. Le juge peut qualifier cette information de donnée personnelle. Et peut donc engueuler les media. Parce qu’ils auront :
- Utilisé cette donnée personnelle sans le consentement de Sue
- Accessoirement diffamée la personne
- Sans doute plein d’autres raisons encore
Il faudrait donc attendre un litige avant de pouvoir considérer que le nombre d’enfants de Sue est une donnée personnelle, ou avoir une imagination plus féconde que la mienne pour trouver un scénario plus crédible dans lequel cette information pourrait être utilisée pour lui nuire. Proposez !
Conclusion
Dans un précédent article j'ai pu parler de la notion d'attribut de la personne et du fait que l'image bénéficiait de ce statut juridique. On peut imaginer une possibilité que la notion de donnée exceptionnelle que je présente bénéficie de ce statut. Dans un autre article portant sur la manière dont on peut identifier quelqu'un à l'aide d'un regroupement d'informations, j'avais expliqué que renseigner la fonction pouvait permettre d'identifier Monsieur Emmanuel Macron. On pourrait considérer que la fonction présidentielle est un attribut de sa personne. Dit ainsi, je trouve que ça fait joli.
Pratiquant le marketing et non le droit, j'éviterai de trop m'avancer. Un point d'ombre serait par exemple la possibilité de concevoir que l'on ne possède pas tous les mêmes attributs de la personnalité. En effet, si on considère que le nombre d'enfants de Sue est une donnée personnelle et bénéficie du statut d'attribut de la personne, cela devrait-il être le cas pour tout le monde en cas de litige ? D'un point de vue purement idéologique, j'aime à penser que non, que chaque individu a ses spécificités et que les discriminer d'un point de vue du droit tend vers cette reconnaissance.
Néanmoins, évitons l'emballement et gardons juste en tête qu'il y a des informations permettant de vous identifier vous, et pas quelqu’un d’autre. C’est le principal intérêt de l’article que vous venez de lire.
L'article sur le blog de mon établissement :
Personne exceptionnelle. Données personnelles.
Mes articles LinkedIn :
Données Personnelles et Attributs de la Personnalité
Données personnelles. Qui est-ce ?
Collecter des données en temps de COVID-19
A quel moment ma photo est une donnée à caractère personnel ?
Photographies et échelle d'identification
Commentaires sur l'émission Monétisation des données : la data aux œufs d’or