Source: https://www.nxtbook.fr/newpress/celog/celog-expertises-1609_416/index.php?startid=300
Timestamp: 2019-12-12 00:59:55+00:00

Document:
ou des méthodologies générales aux
fins de certification de la conformité
à la présente loi de processus d'anonymisation des données à caractère
personnel, notamment en vue de la
mises en ligne»36. Ceci permettrait de
compléter utilement l'avis du G29, qui
remettait plus en cause les techniques
d'anonymisation existantes qu'il ne
proposait de solutions fiables.
Enfin, des solutions à grande échelle
ont été proposées, notamment que le
législateur intervienne pour réguler
de façon spécifique les catégories
d'acteurs qui détiennent les principales bases de données permettant
la réidentification (établissements de
crédits, courtiers en données, moteurs
de recherche, etc.)37.
Le rôle du législateur et surtout des
autorités de protection sera ainsi
déterminant pour parvenir à trouver
une solution proportionnée à la difficile question de l'anonymisation.
Juriste en droit des nouvelles
technologies et protection des
(20) G29, op. cit. p.10
(1) Directive 95/46/CE du Parlement européen
et du Conseil, du 24 octobre 1995, relative
à la protection des personnes physiques à
l'égard du traitement des données à caractère personnel et à la libre circulation de
(21) EL EMAM, Khaled, ALVAREZ, Cecilia,
op. cit. p.12
(2) Sur la notion en droit allemand, voir
KUNER, Christopher, European Data
Protection Law, Corporate Regulation and
Compliance, Oxford University Press ,
Second Edition (Avril 2007), 2.08, p. 65
(3) Règlement (UE) 2016/679 du Parlement
européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques
à l'égard du traitement des données à
caractère personnel et à la libre circulation
de ces données, et abrogeant la directive
95/46/CE (règlement général sur la protection des données)
(4) Cela n'exempte pas totalement le responsable de toutes ses obligations, par
exemple au regard de l'article 5 de la
directive 2002/58 du 12 juillet 2002 concernant le traitement des données à caractère
personnel et la protection de la vie privée
dans le secteur des communications électroniques (directive vie privée et communications électroniques), concernant les
cookies : pour ces technologies, la nature
personnelle ou anonyme des données n'a
pas d'impact sur le régime qui leur est
Accountability Act du 21 août 1996 modifiée
(public law 104-191)
(6) OHM, Paul, « Broken promises of privacy : responding to the surprising failure
of anonymization », 57 UCLA Law Review,
2010, p.1717
(7) Avis du groupe de travail de l'article
29 n°5/2014 (WP216) sur les techniques
d'anonymisation
(8) Projet de loi pour une République numérique, texte de la commission mixte paritaire n°744 rectifié, déposé le 30 juin 2016 :
(9) Règlement général sur la protection des
données, préc. considérant 26
(10) Idem, art 4-1)
(11) Avis du groupe de travail de l'article 29
n°4/2007 (WP136) sur le concept de données
(22) Loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, créant
les articles L. 1461-1 et suivants du code de
la santé publique, concernant le système
national des données de santé
(23) Sur le SNDS, voir notamment : EON,
Florence, « Hôpital public et données
personnelles des patients », RDSS, 2015, n°
hors-série, p. 85-95.
(24) Article L1461-2 du code de la santé
(25) ESAYAS S. Y., « The role of anonymization
and pseudonymisation under the EU data
privacy rules: beyond the all or nothing'
approach », European Journal of Law and
Technology, Vol. 6, n°2, 2015
(26) CNIL, préc.
(27) EL EMAM, Khaled, ALVAREZ, Cecilia,
op. cit. p.7
(28) OHM, Paul, « In order to be useful,
anonymized data must be imperfectly
anonymous. [...] No matter what the data
administrator does to anonymize the
data, an adversary with the right outside
information can use the data's residual
utility to reveal other information. Thus,
at least for useful databases, perfect
anonymization is impossible. Theorists
call this the impossibility result. There is
always some piece of outside information
that could be combined with anonymized
data to reveal private information about an
individual. » op. cit.
(29) CNIL, Délib. n°2016-047 du 25 février 2016
(30) ENISA, « Study on data collection and
storage in the EU », 2012
(31) Rapp. Sénat n°469, 16 avril 2014, Rapport
d'information sur l'open data et la protection de la vie privée
(32) OHM, Paul, op. cit., p.1728
(33) METALLINOS, Nathalie, BOTCHORICHVILI,
Nana, « Réforme du cadre européen de la
protection des données à caractère personnel : où en est-on ? », RLDI, 2013-99
(15) Cnil, Délib. n°2011-246 du 8 septembre 2011,
Celtipharm. V. également CE, 26 mai 2014,
(34) Règlement général sur la protection des
données, préc. art. 34-3 a). Dans cet article,
le règlement ne cite que le chiffrement
comme exemple de mesure permettant
de rendre les données incompréhensibles,
néanmoins à l'article 32, la pseudonymisation est mise sur le même plan que le chiffrement en termes de mesures de sécurité
entourant les données. Le contexte et la
nature de la faille devront permettre de
déterminer si la pseudonymisation constitue en l'occurrence une mesure appropriée
qui exempterait le responsable de la notification aux personnes concernées.
(16) OHM, Paul, op. cit. p.1717
(35) Cnil, préc.
(17) G29, préc. p.3
(36) Projet de loi pour une République
numérique, préc. art. 30. V. MAISNIERBOCHÉ, Lorraine, BOTCHORICHVILI,
Nana, « Projet de loi 'pour une République
numérique' : quels impacts sur la protection des données personnelles ? », RLDI
(12) G29, préc. p.6
(13) Idem, p.6
(14) Cnil, Délib. n°2015-255 du 16 juillet 2015 :
Comm. com. électr. 2016, comm. 55, Nathalie
(18) EL EMAM, Khaled, ALVAREZ, Cecilia, « A critical
Appraisal of the Article 29 Working Party
Opinion 05/2014 on Data Anonymization
Techniques », 2014
(19) OHM, Paul, op. cit. p.1711
(37) OHM, Paul, op. cit., p.1760

References: l'article 5
 l'article
29
 l'article 29
 art. 34
 l'article 32
 art. 30