Obligations en matière de protection des données personnelles (RGPD)
Traitement de données personnelles : définition
Qu'est-ce qu'un traitement de données personnelles ?

Un traitement de données personnelles consiste en toute opération portant sur des données personnelles, quel que soit le procédé utilisé (ex : la collecte, l’enregistrement, la conservation, la modification, la consultation, la diffusion ou l’effacement de données). Autrement dit, on parle de traitement de données dès que les données d'une personne sont utilisées d'une manière ou d'une autre et peu importe à qui appartiennent ces données (un client, un fournisseur, un prestataire, un employé, un candidat à l'embauche, etc.). Un traitement de données personnelles n’est pas nécessairement informatisé, les fichiers papier sont également concernés et doivent être protégés dans les mêmes conditions. Exemple:
- Création d'un fichier clients ou fournisseurs (papier ou informatisé)
- Consultation d’un tableau Excel contenant des données de ressources humaines (bulletins de paie, contrats de travail, CV et lettres de motivation...)
- Prospection commerciale par courrier ou par e-mail
- Livraison d'une commande
- Conservation d’adresses IP
- Enregistrement de vidéosurveillance dans un magasin
- Destruction de documents papiers contenant des données personnelles.
(À savoir: D’une manière générale, dès qu'une entreprise emploie du personnel , les services des ressources humaines sont amenés à effectuer un traitement de données des employés (gestion de la paie, recrutement, contrats de travail...) et sont donc systématiquement concernés par le RGPD .)
Pour être conforme au RGPD, le traitement de données doit obéir aux principes suivants :
- Le traitement doit être licite : il doit être fondé sur l'une des 6 bases légales fixées par le RGPD notamment le consentement de la personne concernée, l'exécution d'un contrat ou le respect d'une obligation légale.
- Le traitement doit être transparent : la personne dont les données sont collectées doit être informée de la collecte et de sa finalité, ainsi que des droits dont elle dispose sur ses données (accès, rectification, portabilité, effacement...).
- Le traitement doit avoir une finalité : le responsable du traitement doit définir l'objectif poursuivi par la collecte des données (ex : prospection, suivi de relations clients, ressources humaines). Les données ne doivent pas être traitées d’une manière incompatible avec cette finalité.
- Le traitement doit être proportionnel et pertinent : seules les données strictement nécessaires à la réalisation de l’objectif peuvent être collectées. On parle de « principe de minimisation ». Par exemple, une société n'a pas à collecter le numéro de téléphone de ses clients lorsqu'elle adresse uniquement de la prospection par mail.
- Le traitement doit être temporaire : la durée de conservation des informations doit être définie dès la mise en place du dispositif qui collecte ces données. Une fois l’objectif atteint, les informations collectées ne sont plus nécessaires et doivent donc être supprimées.
- Le traitement doit être sécurisé : toutes les mesures nécessaires pour garantir la sécurité, et notamment la confidentialité des données personnelles doivent être mises en place (ex : mots de passe, https, sauvegarde). Ces mesures de sécurité sont proportionnelles aux risques encourus (ex : vol ou perte de données).
Sauf exceptions, tout traitement portant sur des données dites sensibles est interdit. Il s'agit d'une catégorie de données éminemment personnelles qui sont susceptibles de conduire à des discriminations si elles sont révélées (ex : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, orientation sexuelle, appartenance syndicale, données génétiques).