Nouveau règlement européen : profilage et traitement des données

À partir du 25 mai 2018, le nouveau cadre européen concernant la protection des données personnelles entrera en application au sein des 28 pays de l’Union européenne.

Outre l’homogénéisation de la réglementation au sein de l’UE, le texte vise aussi le renforcement des droits des personnes sur leurs informations personnelles, ainsi que la sensibilisation de chaque acteur sur l’importance de protéger les données personnelles.

Retour sur deux notions clés de ce nouveau texte : le profilage et le traitement des données personnelles.

Deux notions clés : Le profilage et le traitement des données

Le profilage

Le nouveau règlement encadre la pratique du profilage, qui consiste à analyser les données à caractère personnel d’un individu (santé, situation économique, déplacements…) afin de prédire certains comportements ou simplement d’évaluer certains aspects personnels.

Le RGPD introduit le droit pour une personne de ne pas faire l’objet d’une décision basée uniquement sur ces préférences et sur le traitement de ces données. A noter enfin que le profilage est interdit pour les mineurs.

Le traitement

La CNIL rappelle que le traitement des données peut être défini comme « toute opération, ou ensemble d’opérations, portant sur de telles données, quel que soit le procédé utilisé ». Il concerne, entre autres, la collecte, la conservation, la modification, l’utilisation, mais aussi l’effacement ou la destruction des données en question.

Par ailleurs, le nouveau règlement (articles 9-2) réaffirme le caractère illégal des traitements de données sensibles (religion, race, santé, orientation sexuelle…) sauf dans quelques cas rigoureusement définis par la loi. La nomination d’un DPO est fortement conseillée, car il jouera un rôle primordial dans le respect de ces nouvelles obligations.

Enfin, le règlement européen précise que la personne concernée a le droit de s’opposer au traitement ou au profilage RGPD de ses données ; toutefois, ce droit d’opposition n’est possible « que pour des raisons tenant à sa situation particulière ». Par exemple, si le traitement de ces données est nécessaire à l’exécution d’une mission d’intérêt public ou que le responsable du traitement des données prouve qu’il a un motif légitime et impérieux qui prévaut sur les intérêts, les droits et les libertés de la personne en question, le droit d’opposition ne s’applique pas.