Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Janvier 2016 - n°409 - 16

traitement doit s'assurer que le destinataire ne peut pas ré-identifier les
données.

La pseudonymisation
La pseudonymisation quant à elle, ne
permet pas d'échapper à l'application de la réglementation des données
personnelles selon l'opinion précitée
du G29 sur les techniques d'anonymisation. A cet égard, la pseudonymisation pouvant recourir au chiffrement, il convient de préciser ici que le
chiffrement est « sans incidence » sur
la qualification de donnée personnelle (Conseil d'État, 10e-9e SSR,
11 mai 2015, Renault Trucks c. Cnil,
www.legalis.net)3.Chiffrement dont la
Cnil pourrait devenir promoteur, par
affirmation de la loi, en vertu du projet
de loi sur la République numérique.
La pseudonymisation permet néanmoins de réduire les exigences de
sécurité.
Cependant, il convient de s'interroger sur la gestion de pseudonymes,
identifiants
potentiellement
très
forts s'agissant d'identifiant uniques
- contrairement aux noms, par
exemple, qui présentent toujours un
risque d'homonymie.
Enfin, il convient de noter que toutes
ces solutions techniques induisent des
coûts et peuvent également induire
des difficultés techniques de mise
en œuvre, par exemple sur les objets
connectés - qui peuvent être trop
petits, trop bons marché, trop peu
autonomes pour permettre d'installer
des solutions techniques de sécurité.
Enfin, toutes ces techniques - anonymisation, pseudonymisation, chiffrement - se heurtent au même obstacle que le droit. De même qu'elles
permettent de faire parler les données
les plus mineures, les capacités techniques permettent de faire sauter
toutes ces sécurités, par les croisements et les analyses de masse
qu'elles autorisent. Dans ce contexte
où toutes les réponses semblent
imparfaites, il est intéressant de se
pencher sur les propositions du législateur européen.

16

L'inévitable expansion de la
notion de donnée personnelle, dans l'objectif de protéger la vie privée
Le G29 affirmait bien, dans son
opinion 4/2007 précitée, que la notion
de donnée personnelle devait recevoir une acception large, mais précisait qu'elle ne devait pas être surexploitée. Qu'en est-il aujourd'hui ?

la commission d'une infraction pénale
(adresse IP pour identifier l'auteur d'un
téléchargement illicite, par exemple).
On peut encore ajouter la difficulté
qui peut survenir pour distinguer une
donnée sensible, telle une donnée de
santé, d'une donnée de « bien-être »,
qui pourrait être considérée comme
une donnée personnelle non sensible
si elle ne relevait pas de l'état de santé
d'une personne.

L'expansion du périmètre
des données personnelles

De l'identification à la connaissance des individus

Données relatives à des objets et
à des usages

Ont été peu à peu englobées des informations qui semblent faiblement identifiantes mais qui, combinées peuvent
devenir des identifiants forts. Ainsi, la
Cour de justice de l'Union européenne
a pu décider que les données de
trafic « prises dans leur ensemble, sont
susceptibles de permettre de tirer des
conclusions très précises concernant
la vie privée des personnes dont les
données ont été conservées, telles que
les habitudes de la vie quotidienne, les
lieux de séjour permanents ou temporaires, les déplacements journaliers
ou autres, les activités exercées, les
relations sociales de ces personnes
et les milieux sociaux fréquentés par
celles-ci » (CJUE, 8 avril 2014, Digital
Rights Ireland Ltd, affaires jointes
C-293/12 et C-594/12, § 27).

Certaines données ne sont pas relatives à des personnes mais à des
objets (carte bancaire) ou à des
usages (nombre de pas, relevés de
consommation de compteur électrique, adresse IP ou cookies, données
de paiement, etc.). Ne relevant pas
d'une personne, elles ne devraient
donc, a priori, pas être considérées
comme des données personnelles.
Cependant, tout enregistrement de
l'usage qui est fait d'un objet peut
renseigner sur son utilisateur. Ainsi,
pour ne citer qu'un exemple, la Cnil
indique au sujet des compteurs
communicants qu'une « courbe de
charge avec un pas de dix minutes
permet notamment d'identifier les
heures de lever et de coucher, les
heures ou périodes d'absence, ou
encore, sous certaines conditions, le
volume d'eau chaude consommée par
jour, le nombre de personnes présentes
dans le logement, etc. » (délibération
Cnil n° 2012-404 du 15 novembre 2012
portant recommandation relative aux
traitements des données de consommation détaillées collectées par les
compteurs communicants).
De plus, il peut s'agir de données
dont on peut déduire des données
sensibles telles que les opinions
politiques ou l'état de santé d'une
personne, « données qui sont susceptibles par leur nature de porter
atteinte aux libertés fondamentales
ou à la vie privée » (considérant 33 de
la directive). Plus grave, il peut s'agir
de données utilisées pour caractériser

EXPERTISES JANVIER 2016

L'entourage des individus n'est pas
oublié : le traçage d'un individu peut
également happer des données relatives à des tiers, tel le correspondant
du titulaire d'un compte de messagerie (voir à cet égard délibération
Cnil n°2013-420 du 3 janvier 2014
prononçant une sanction pécuniaire
à l'encontre de la société Google Inc.,
section II, 2).
L'analyse de volumes massifs d'informations peut générer une large
connaissance des individus par le
profilage : opinions, goûts, vie quotidienne, relations sociales, déplacements, etc.
En définitive, un paradoxe apparaît
dans lequel chaque donnée devient
moins personnelle, alors que, prises
en masse, elles peuvent permettre
d'attribuer un profil complet et cohérent à un individu.
http://www.legalis.net)3
Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Janvier 2016 - n°409
