DossierRGPD: tout savoir sur le règlement européen qui chamboule vos traitements de données
2 - Quelles sont les données visées par le RGPD?
De prime à bord, définir ce qu'est une donnée personnelle semble plutôt simple. Pourtant, selon le traitement adopté, certaines données comportementales peuvent revêtir un caractère personnel. Quelques précisions, donc, sur les données visées par le RGPD.
L'une des difficultés posées par le RGPD va consister à définir les données personnelles concernées.
Le règlement stipule qu'il s'agit de "toute information concernant une personne physique identifiée ou identifiable", directement ou indirectement. Des données indirectement identifiantes, telles qu'un numéro de téléphone, ou un identifiant, sont donc concernées. De même, les données comportementales collectées sur Internet (notamment recueillies dans le cadre d'actions marketing de profilage et utilisées au sein d'une DMP), si elles sont corrélées à une identité, deviennent des données à caractère personnel.
Selon le traitement appliqué aux données, des informations non identifiantes peuvent ainsi devenir identifiantes, par croisement des informations collectées.
À noter, le RGPD prévoit des exceptions selon les traitements concernés, notamment au niveau des traitements de données RH (recrutement, contrat de travail...), pour lesquels les États membres peuvent prévoir "des règles plus spécifiques pour assurer la protection des droits et libertés" (article 88).
Définition du "traitement" selon le RGPD: "Toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction."
