Source: https://gdpr-expert.com/article.html?mid=1&id=11
Timestamp: 2020-04-01 01:45:09+00:00

Document:
GDPR.expert, l'outil d'analyse du nouveau règlement européen, développé par le cabinet d'avocats Ulys Article 11 : Traitement ne nécessitant pas l'identification - GDPR.expert
Traitement ne nécessitant pas l'identification
Afficher les articles et mots clés liés à l’article 11 du Règlement keyboard_arrow_down Cacher les articles et mots clés liés à l’article 11 keyboard_arrow_up
Articles liés à l'article 11
Mots clés liés à l'article 11
Afficher les considérants du Règlement liés à l'article 11 keyboard_arrow_down Cacher les considérants du Règlement liés à l'article 11 keyboard_arrow_up
(57) Si les données à caractère personnel qu'il traite ne lui permettent pas d'identifier une personne physique, le responsable du traitement ne devrait pas être tenu d'obtenir des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter une disposition du présent règlement. Toutefois, le responsable du traitement ne devrait pas refuser des informations supplémentaires fournies par la personne concernée afin de faciliter l'exercice de ses droits. L'identification devrait comprendre l'identification numérique d'une personne concernée, par exemple au moyen d'un mécanisme d'authentification tel que les mêmes identifiants utilisés par la personne concernée pour se connecter au service en ligne proposé par le responsable du traitement.
Il n'y pas de considérant de la Directive 95/46 lié à l'article 11.
Selon l’article 11 du Règlement, lorsque les finalités du traitement n’imposent pas ou plus d’identifier une personne concernée, le responsable du traitement ne doit ni chercher à obtenir ou à conserver des informations supplémentaires, ni procéder à d’autres traitements pour identifier la personne concernée à la seule fin de respecter le Règlement.
À première vue, cette nouvelle disposition peut sembler superflue. Toutefois, l’article 11 doit être lu en gardant à l’esprit la définition d’une donnée à caractère personnel selon laquelle constitue une donnée à caractère personnel : « toute information concernant une personne physique identifiée ou identifiable ("personne concernée") est réputée identifiable une personne qui peut être identifiée directement ou indirectement, notamment par référence à un identifiant, par exemple un nom, un numéro d'identification, des données de localisation, ou un identifiant en ligne, ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale » (cfr. art. 4, 1)).
Selon le considérant 26 du Règlement, pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne (tels que le coût de l’identification et le temps nécessaire à celle-ci, les technologies disponibles et leur évolution)
Ce faisant, un traitement est susceptible de relever du champ d’application du Règlement lorsque le Responsable dispose de la faculté ou peut avoir accès à des moyens permettant d’identifier une personne, à partir des données traitées.
Si la finalité ne justifie pas ou plus le recours à des tels moyens –et donc, semble-t-il que le responsable n’y recourt pas ou plus, en conformité avec le principe de finalité, le Règlement souligne d’abord que le responsable ne doit pas maintenir, acquérir ou traiter des informations additionnelles sur les personnes dans l’unique but de se conformer au Règlement, à moins que la ou les finalité(s) du traitement ne l’impose(nt).
Dans ce cas, et pour autant qu’il soit capable de démontrer qu’il n’est pas (plus) en position d’identifier les personnes, le responsable doit en informer les personnes concernées, si cela est possible. Dans ce cas, les articles 15 (relatif au droit d’accès de la personne concernée), 16 (relatif droit de rectification), 17 (relatif au Droit à l'effacement et à l’oubli numérique), 18 (relatif au droit à la limitation du traitement), 19 (relatif à l’obligation de notification en ce qui concerne la rectification, l'effacement ou la limitation) et 20 (relatif au droit à la portabilité des données) ne sont pas applicables aux traitements ne permettant pas l’identification.
La personne concernée par ces traitements pourra toutefois invoquer le bénéfice des dispositions susmentionnées afin d’exercer les droits que leur confèrent ces articles, pour autant que celle-ci fournisse au responsable du traitement des informations complémentaires qui permettent de l’identifier. Le responsable ne peut donc pas refuser des informations supplémentaires fournies par la personne concernée afin de faciliter l'exercice de ses droits (Cfr. le considérant 57).
Ni la Directive, ni les législations belge et française ne prévoient ce type de disposition.
Les conditions d’application de la disposition ne sont pas claires. La logique voudrait que le responsable n’accède pas ou plus à des moyens d’identification, conformément au principe de finalité qui ne lui impose plus d’identifier les personnes concernées, au moment où la conformité au Règlement se pose.
L’obligation d’information d’une telle situation posera également difficultés. Non seulement il est illogique de prévoir une obligation d’informer des personnes que l’on est plus capable d’identifier mais dès lors que le responsable doit apporter la preuve d’une impossibilité d’identification (preuve négative), des contestations peuvent survenir a posteriori sur ce point.
arrow_back Article précédent • Article 11 • Article suivant arrow_forward
arrow_back Article précédent • Article 11 Article suivant arrow_forward
Si les données traitées par un responsable du traitement ne lui permettent pas d'identifier une personne physique, le responsable du traitement n'est pas tenu d'obtenir des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter une disposition du présent règlement.
1. Si les finalités pour lesquelles des données à caractère personnel sont traitées n'imposent pas ou n'imposent plus au responsable du traitement d'identifier une personne concernée, celui-ci n'est pas tenu de conserver ou d'obtenir des informations supplémentaires ni de procéder à d'autres traitements pour identifier la personne concernée à la seule fin de respecter (…) le présent règlement. (...)
2. Lorsque, dans de tels cas, le responsable du traitement ne peut pas identifier la personne concernée, les articles 15, 16, 17, 17 bis, 17 ter et 18 ne sont pas applicables, sauf lorsque la personne concernée fournit, afin d'exercer les droits que lui confèrent ces articles, des informations complémentaires qui permettent de l'identifier.

References: l'article 11
 l'article 11
 l'article 11
 l'article 11
 l'article 11
 art. 4