RGPD - Règlement Général sur la Protection des Données
biul |
Le Règlement général sur la protection des données (RGPD) est une règlementation européenne en matière de droit à la vie privée. Elle est entrée en vigueur le 25 mai 2018.
Donnée à caractère personnel = toute information relative à une personne physique identifiée ou identifiable (article 4 RGPD).
Une personne physique identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à l'identité physique, psychologique, génétique, psychique, économique, culturelle, sociale d'une personne physique (article 4.1.).
Les identifiants indirects, ou leurs combinaisons, peuvent également conduire à l'identification et sont donc également des données à caractère personnel (Idem).
NB : les règles de protection des données personnelles ne s'appliquent pas aux personnes décédées.
Traitement de donnée à caractère personnel = toute opération effectuée sur une donnée à caractère personnel.
Ce concept large couvre la collecte des données ainsi que leur enregistrement, organisation, modification, transfert, stockage/conservation, utilisation, consultation, communication, destruction, etc. (article 4.2)
Certaines données à caractère personnel sont qualifiées de « sensibles » ou de "particulières" :
Données sensibles = données relatives à l'origine raciale ou ethnique, aux opinions politiques, aux convictions philosophiques ou religieuses, à l'appartenance syndicale, aux données génétiques et biométriques, aux données relatives à la santé et à la vie sexuelle ou à l'orientation sexuelle.
En principe, le traitement de ces données est INTERDIT sauf dans le cas d'exceptions limitées (énumérées de manière exhaustive à l'article 9 du GDPR). L'une de ces conditions est la recherche scientifique, pour autant qu'elle s'accompagne de garanties appropriées (articles 9 et 89 du GDPR).
Le traitement de données sensibles ne peut intervenir que si les deux conditions cumulatives suivantes sont remplies :
- le traitement est valablement fondé sur l'une des bases légales prévues à l’article 6 du RGPD (cf. infra);
- une des exceptions mentionnées à l’article 9 du RGPD est applicable au traitement concerné.
Données anonymes, anonymisées et pseudonymisées :
Une donnée est anonyme lorsqu’elle ne peut pas ou plus être mise en lien avec une personne identifiée ou identifiable, et ce par qui que ce soit.
La pseudonymisation signifie que les données à caractère personnel ne peuvent plus être attribuées à une personne précise sans avoir recours à des informations supplémentaires (art. 4.5.).
Les données anonymes ou anonymisées ne sont pas couvertes par le RGPD. En revanche, les données pseudonymisées sont couvertes par le RGPD ! En effet, la "dé-personnalisation" est réversible : il est toujours possible d'identifier les personnes concernées, mais cela est plus difficile.
Comment déterminer si vos données contiennent des données à caractère personnel ? Check here !
(Illustration : The Turing Way Community, & Scriberia. (2020). CC-BY 4.0. Zenodo. https://doi.org/10.5281/zenodo.4323154)
Les principes à respecter (article 5) lors du traitement des données personnelles :
Licéité, loyauté et transparence : base légale (cf. infra) ; les données ne sont pas obtenues ou traitées de manière déloyale ou trompeuse ; des informations spécifiques sont fournies aux personnes concernées ;
Limitation de la finalité (finalité et proportionnalité) : les données sont collectées pour des finalités déterminées, explicites et légitimes. La finalité est claire et sans ambiguïté ;
Minimisation des données : adéquates, pertinentes et limitées à ce qui est nécessaire pour atteindre les objectifs ;
Exactitude - précision des données : les données doivent être exactes et, si nécessaire, mises à jour sans délai.
Limitation de la conservation : les données ne peuvent pas être conservées sous une forme permettant l'identification plus longtemps que nécessaire pour la poursuite des objectifs ;
Intégrité et confidentialité : assurer une sécurité appropriée des données ; les protéger contre tout traitement non autorisé ou illicite et contre toute perte, destruction ou détérioration accidentelle via des mesures de sécurité techniques ou organisationnelles (notamment : cryptage, anonymisation, pseudonymisation, ...) ;
Responsabilité : vous devez être en mesure de démontrer que tous ces principes ont été respectés dans le traitement des données à caractère personnel.
Le traitement n'est licite que s'il repose sur l'un des bases juridiques suivantes (article 6) :
- La personne concernée a donné son consentement au traitement pour une ou plusieurs finalités spécifiques ;
- Le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures contractuelles prises à la demande de celle-ci ;
- Le traitement est nécessaire au respect d'une obligation légale ;
- Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ;
- le traitement est nécessaire à l'exécution d'une mission d'intérêt public ;
- Le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable de traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.
Pour pouvoir être mis en œuvre, tout traitement de données doit se fonder sur l'une de ces bases légales. Dans le domaine de la recherche, les bases légales "intérêt public", "consentement” et, dans une certaine mesure, "intérêt légitime du responsable du traitement ou d'un tiers" sont généralement les plus appropriées (Utrecht University - Data Privacy Handbook : legal bases). Plus d'informations sur les bases légales : ici.
Les droit des personnes concernées :
Les personnes dont les données sont traitées détiennent un certain nombre de droits (art. 12 - 13)
- Droit à l'information (connaître l'utilisation de vos données)
- Droit d'accès (accéder à vos données)
- Droit de rectification (corriger, compléter)
- Droit à l'effacement/à l'oubli, déréférencement
- Droit à la limitation du traitement
- Droit à la portabilité des données (récupérer et réutiliser vos données)
- Droit d'opposition (refuser l'utilisation de vos données)
Vous devez fournir aux personnes concernées les coordonnées d’un point de contact auprès
duquel elles pourront exercer leurs droits. Vous pouvez recourir à une adresse générique ou nominative.
Dans un contexte de recherche, certains droits peuvent être limités dans des circonstances bien définies, à savoir lorsque l’exercice de ces droits est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs du projet de recherche.
La durée de conservation des données :
Le principe de limitation de la conservation prévu par le RGPD oblige à ne pas conserver des données à caractère personnel plus longtemps que cela est nécessaire à la réalisation des finalités annoncées. Les données à caractère personnel peuvent être conservées plus longtemps à condition qu'elles soient traitées uniquement à des fins de recherche scientifique et que :
- les objectifs de la recherche peuvent être atteints par un traitement qui ne permet pas ou plus l'identification des personnes concernées ;
- des garanties appropriées existent (des mesures techniques et organisationnelles).
Enregistrez votre traitement de données à caractère personnel :
Le Règlement général sur la protection des données exige que les traitements de données à caractère personnel au sein de l’UCLouvain soient documentés et enregistrés dans un registre des activités de traitement.
La déléguée à la protection des données (DPO) :
Pour toute question relative au RGPD, veuillez contacter Michèle Remy, Déléguée RGPD de l'UCLouvain : privacy@uclouvain.be
(Sources : UCLouvain, Vade mecum on the application of the GDPR and its framework law in the field of research ; Utrecht University, Data Privacy Handbook)