fbpx

RGPD

Une nouvelle version de l’outil de PIA pour la réalisation des analyses d’impact

Une nouvelle version de l’outil de PIA pour la réalisation des analyses d’impact 960 640 jeremy

Deux ans après l’entrée en application du RGPD, les analyses d’impact sur la vie privée se sont multipliées au sein des organismes.

A titre de rappel, l’analyse d’impact est obligatoire à partir du moment où le traitement est « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées ». En effet, soit le traitement envisagé figure dans la liste des types d’opérations de traitement pour lesquelles la CNIL a estimé obligatoire de réaliser une analyse d’impact relative à la protection des données (ex. traitement de données de localisation à large échelle) soit le traitement remplit au moins deux des neuf critères issus des lignes directrices du G29 tels que : la surveillance automatique, la collecte de données sensibles, la collecte de données concernant des personnes vulnérables, etc…

En revanche, la PIA n’est pas nécessaire lorsque le traitement figure dans la liste des exceptions adoptée par la CNIL (ex. traitement mis en œuvre uniquement à des fins de ressources humaines), lorsque le traitement ne présente pas de risque élevé pour les droits et libertés des personnes ou encore lorsque le traitement répond à une obligation légale ou est nécessaire à l’exercice d’une mission de service public.

La CNIL a mis à la disposition des responsables de traitement et leur délégué à la protection des données, un logiciel de PIA pour faciliter la conduite et la formalisation des analyses d’impact telles que prévues par le RGPD.

Cet outil, dans sa version 2.3, s’est enrichi de nouvelles fonctionnalités afin de faciliter la gestion des analyses d’impact et ainsi permettre au responsable de traitement un suivi de l’évolution d’une analyse. Quelques nouveautés :

  • Possibilité de faire des recherches par mots clés pour filtrer les analyses d’impact
  • Possibilité d’archiver les analyses d’impact
  • Possibilité de créer plusieurs versions d’analyse d’impact
  • Possibilité de catégoriser les analyses d’impact
  • Amélioration du pourcentage d’avancement au niveau des analyses d’impact
  • Elargissement des langues notamment avec 20 langues disponibles : allemand, espagnol, anglais, etc…
  • Harmonisation de l’interface graphique
  • Mise à jour des bibliothèques de développement

Rapport d’activité 2019 : rappel des temps forts et enjeux à venir

Rapport d’activité 2019 : rappel des temps forts et enjeux à venir 960 640 jeremy

Cette année encore, la CNIL revient sur les temps forts de 2019 et les grands enjeux à venir. Avec ce nouveau rapport d’activité, la CNIL constate des chiffres inédits preuve d’une grande mobilisation des citoyens face aux enjeux de la protection des données.

Cette année aura également été marquée par une sanction record à l’encontre du géant américain Google (50 millions d’euros, sanction confirmée par le Conseil d’Etat) traduisant la mise en place effective des nouveaux plafonds de sanctions prévus par le Règlement.

Le bilan d’activité en quelques chiffres :

8 sanctions ont été prononcées en 2019, dont :

  • 7 amendes d’un montant total de 51 370 000 euros comprenant la plus forte amende prononcée à ce jour par une autorité de protection des données en Europe ;
  • 5 injonctions sous astreinte
  • 42 mises en demeure

Les sanctions concernaient les points suivants : atteintes à la sécurité des données personnelles ; manquements à l’obligation d’information des personnes ; manquements liés aux durées de conservations des données.

A côté de ces chiffres, la CNIL rappelle les enjeux 2020 :

Une recommandation sur les cookies et autres traceurs

La CNIL a proposé un plan d’action le 28 juin 2019 qui se poursuit en 2020. Ce plan d’action a deux objectifs : répondre aux plaintes individuelles et collectives et accompagner les professionnels du secteur du marketing dans leur mise en conformité par rapport aux obligations du RGPD.

Participer aux expérimentations sur la reconnaissance faciale

La reconnaissance faciale est devenue, depuis quelques années, une inquiétude pour les citoyens. Face au développement des portiques de reconnaissances faciale (Nice, Marseille), la CNIL a publié ses objectifs :

  • Présenter techniquement la reconnaissance faciale, et surtout, la diversité des usages possibles ;
  • Mettre en lumière les risques ;
  • Rappeler le cadre s’imposant aux dispositifs pour respecter les droits des personnes ;
  • Préciser le rôle de la CNIL dans les futurs expérimentations ou déploiements de dispositifs de reconnaissance faciale.
Mobiliser face au Coronavirus (COVID-19) :

La CNIL reste également mobilisée face à la pandémie puisqu’elle a publié de nombreux contenus à destination des professionnels mais également des particuliers. Elle s’est mobilisée pour instruire en priorité, dans des délais brefs, les demandes d’autorisation de projets de recherche portant sur le COVID-19, lorsque les traitements ne sont pas conformes aux méthodologies et référence déjà adoptées.

La position du Conseil d’État concernant les lignes directrices de la CNIL en matière de cookies et autres traceurs

La position du Conseil d’État concernant les lignes directrices de la CNIL en matière de cookies et autres traceurs 960 640 jeremy

Lors de notre dernière newsletter, nous vous avions fait part des nouvelles recommandations de la CNIL en matière de cookies et autres traceurs.  En effet, la CNIL avait publié ses lignes directrices début juillet pour encadrer le dépôt et la lecture des cookies et autres traceurs lorsque l’internaute se rend sur un site internet.

Le 19 juin 2020, le Conseil d’Etat a validé pour l’essentiel les lignes directrices relatives aux cookies et traceurs adoptées par la CNIL le 4 juillet 2019. L’objectif de ces lignes directrices était d’encadrer juridiquement l’utilisation des cookies et traceurs afin de garantir aux utilisateurs la maitrise de leurs données personnelles.

Toutefois, une pratique a été formellement annulée par le Conseil d’Etat, à savoir le « Cookies Walls ». Les cookie walls sont utilisés par les sites web pour refuser l’accès aux utilisateurs s’ils ne consentent pas à tous les cookies et traceurs présents sur ce site.

Les lignes directrices validées par le Conseil d’Etat

Lors de sa décision, le Conseil d’Etat a validé l’essentiel des interprétations ou recommandations contenues dans les lignes directrices à savoir :

  • Toute personne doit pouvoir refuser de donner son consentement aussi facilement que de l’accorder;
  • Toute personne doit pouvoir retirer son consentement aussi facilement qu’elle ne l’a donné ;
  • Tout consentement doit être donné pour une finalité déterminée ce qui implique une information spécifique pour chaque finalité envisagée ;
  • Toute personne doit être informée de l’identité du/des responsable(s) de traitement qui effectue(nt) le dépôt des cookies
  • Tout responsable de traitement doit être en mesure de démontrer que le consentement recueillis est valide

La censure du Conseil d’Etat

Le Conseil d’Etat a pris la décision de censurer un alinéa par lequel la CNIL estimait qu’un internaute ne devait pas subir d’inconvénients majeurs en cas d’absence ou de retrait du consentement. La CNIL avait précisé dans ses recommandations que l’accès au site internet ne pouvait jamais être interdit si l’utilisateur n’accepte pas les cookies.

Pour prendre une telle décision, la CNIL s’était basée sur la position du CEPD (Comité Européen de Protection des Données personnelles).

Le Conseil d’Etat estime qu’en déduisant cette interdiction générale du RGPD, la CNIL a été au-delà de ce qu’il est légalement possible de faire dans le cadre de lignes directrices.

Et maintenant ?

Pour conclure, et suite à la décision du Conseil d’Etat, les lignes directrices seront ajustées afin de prendre en considération les différents points apportés par le Conseil d’Etat et ainsi être conforme.

Pour rappel, les modalités de recueil du consentement aux cookies seront précisées dans une future recommandation de la CNIL, qui a fait l’objet d’une consultation publique.

L’ajustement des lignes directrices et l’adoption de cette recommandation doit intervenir après la rentrée de septembre 2020.

Focus sur la plateforme des données de santé – PDS ou Health Data Hub

Focus sur la plateforme des données de santé – PDS ou Health Data Hub 960 640 jeremy

La CNIL fait un rappel des enjeux pour les libertés individuelles et les règles à suivre concernant la Plateforme des Données de Santé – PDS ayant pour objectif de faciliter le partage des données de santé issues de sources variées afin de favoriser la recherche.

Les missions de la PDS sont prévues par l’article L.1462-1 du Code de la santé publique et consiste par exemple à :

  • Réunir, organiser et mettre à disposition des données, issues notamment du SNDS (Système National des Données de Santé)
  • Informer les patients, promouvoir et faciliter l’exercice des droits ;
  • Contribuer à l’élaboration des référentiels de la CNIL

La CNIL a par ailleurs eu l’occasion de se prononcer à deux reprises et notamment en avril 2020 concernant sa mise en œuvre anticipée pour les besoins de la gestion de l’urgence sanitaire. Dans son avis, la CNIL a attiré l’attention sur les risques liés aux conditions de démarrage anticipé de la solution et les éventuels risques matériels et juridiques en matière d’accès direct par les autorités de pays tiers. Ainsi, la CNIL fait part de ses recommandations et règles à suivre :

Sur la constitution d’un entrepôt de données au sein de la PDS

La constitution de cette base, ne saurait être encadrée que pour la période d’urgence sanitaire déclaré à l’article 4 de la loi du 23 mars 2020. Au-delà, ce traitement ne disposerait plus de base légale.

La centralisation de données au sein du « catalogue » de la PDS, qui constitue un entrepôt de données, devra être soumis à autorisation préalable de la CNIL.

Sur la sécurité globale de la PDS

Sous réserve de la mise en œuvre des mesures prévues dans le plan d’action défini dans l’homologation de la PDS, la CNIL considère que la sécurité des données mises à disposition par la PDS est assurée. Il faut toutefois garder à l’esprit que les mesures de sécurité devront être réévaluées régulièrement pour prendre en compte les évolutions de la plateforme.

La CNIL recommande notamment au niveau des imports/exports, qu’une vigilance particulière soit de mise afin de garantir l’anonymat effectif des exports et qu’une vision plus globale de sécurité soit donnée aux responsables de traitement pour les informer des conditions de sécurité.

Pour tout démarrage anticipé, la CNIL exige que la PDS s’assure que cette mise en œuvre n’engendre pas de risque supplémentaire pour les personnes concernées.

Sur les transferts de données hors Union Européenne (UE)

La CNIL estime que des données personnelles pourront être transférées hors de l’UE et prend acte de la mise en place de clauses contractuelles types pour encadrer ces transferts, conformément aux dispositions du RGPD.

Au regard du caractère sensible et du volume des données ayant vocation à être hébergées au sein de la PDS, la CNIL demande qu’une vigilance particulière soit accordée aux conditions de conservation et aux modalités d’accès aux données.

La CNIL souhaite que son hébergement ainsi que les services liés à sa gestion soient réservés à des entités relevant exclusivement des juridictions de l’Union Européenne.

Et après ?

La CNIL devrait être saisie prochainement pour avis d’un projet de décret modifiant le décret n°2016-1871 du 26 décembre 2016 relatif au traitement de données personnelles dénommé « système national des données de santé ». Ce décret doit préciser la répartition des responsabilités entre PDS et porteurs de projets et les modalités d’information des personnes concernées par le SNDS et d’exercice de leurs droits.

analyse d’impact AIPD

Les analyses d’impact AIPD

Les analyses d’impact AIPD 1260 839 jeremy

analyse d’impact AIPD grenoble chambery annecy lyon valence

analyse d’impact isère

analyse d’impact AIPD france

Analyse d’impact AIPD

Définition :

L’analyse d’impact relative à la protection des données est une procédure de contrôle fixée par l’article 35 du RGPD. Elle intervient lorsque le traitement de données personnelles mis en place par un organisme (privé ou public) est susceptible de présenter un risque important pour les droits et libertés des individus concernés par ce même traitement.

L’analyse d’impact RGPD doit être mise en œuvre en amont du traitement en question, pour ensuite être mis à jour en fonction de son développement. En effet, dans la mesure où les technologies évoluent, il est nécessaire de prévenir au maximum les risques qu’un nouvel environnement de traitement pourrait occasionner sur les données analysées.

Un « risque sur la vie privée » est un scénario décrivant un événement redouté (atteinte à la confidentialité, la disponibilité ou l’intégrité des données, et ses impacts potentiels sur les droits et libertés des personnes) et toutes les menaces qui permettraient qu’il survienne.


Cas obligatoires ou non :

L’analyse d’impact est obligatoire à partir du moment où le traitement est « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées ». En effet, soit le traitement envisagé figure dans la liste des types d’opérations de traitement pour lesquelles la CNIL a estimé obligatoire de réaliser une analyse d’impact relative à la protection des données soit le traitement remplit au moins deux des neuf critères issus des lignes directrices du G29.

En revanche, la PIA n’est pas nécessaire lorsque le traitement figure dans la liste des exceptions adoptée par la CNIL, lorsque le traitement ne présente pas de risque élevé pour les droits et libertés des personnes ou encore lorsque le traitement répond à une obligation légale ou est nécessaire à l’exercice d’une mission de service public.


Procédure :

La CNIL a mis à la disposition des responsables de traitement et leur délégué à la protection des données, un logiciel de PIA pour faciliter la conduite et la formalisation des analyses d’impact telles que prévues par le RGPD.  S’agissant de la procédure, elle doit contenir :

– La description détaillée, l’intérêt et la finalité de l’opération envisagée afin de décrire précisément le traitement de données.

– Une évaluation de la nécessité de ce traitement en fonction des risques encourus sur les droits et libertés des personnes concernées

– Les mesures de sécurité et garanties envisagées pour diminuer les risques cités au préalable

Par la suite, aucune obligation de publication n’est demandée. Toutefois, si suite à l’analyse d’impact, les risques pour la sécurité des données restent élevés, le rapport doit être transmis à la CNIL. Cette dernière peut également initier cette vérification en demandant elle-même à avoir accès à ce rapport.


Avantages de la réalisation d’une analyse d’impact :

La réalisation d’une analyse d’impact est un bon moyen pour les entreprises de réduire les craintes, les inquiétudes des personnes concernées quant à l’utilisation de leurs données personnelles. Elle offre également un cadre de travail précis pour parvenir à rester conforme aux exigences du RGPD et aux recommandations de la CNIL. Enfin, c’est une preuve de sérieux, de professionnalisme qui ne peut qu’être bénéfique auprès des partenaires, clients, administrés …


Sanctions en cas de non-respect :

En cas de non-respect des règles relatives aux analyses d’impact posées par l’article 35 du RGPD, la sanction peut être est exemplaire. En effet, l’amende peut atteindre jusqu’à dix millions d’euros. Pour une entreprise, le montant retenu correspond à 2 % des chiffres d’affaires réalisés précédemment. La somme retenue étant la plus élevée.

Pour en savoir plus …

Le nouvel avis de la CNIL sur l’application mobile STOPCOVID

Le nouvel avis de la CNIL sur l’application mobile STOPCOVID 1260 839 jeremy

La mise en place par le Gouvernement d’une application mobile intitulé « STOPCOVID » permettant aux utilisateurs d’être informée qu’ils ont été à proximité d’une personne diagnostiquée positive au Covid-19, par le biais d’un système de reconstruction de l’historique des contacts d’une personne contaminée via un traçage des données mobiles, pose de nombreuses interrogations en matière de protection des données personnelles. Après un premier avis rendu par la CNIL le 24 avril 2020, dont nous vous avions parlé en détail lors de notre actualité d’avril 2020, la CNIL vient de rendre un second avis, le 25 mai 2020, après avoir eu plus d’informations sur la mise en application concrète de cette application mobile.

Les principales recommandations émises par la CNIL dans son avis du 24 avril 2020, ont été suivi par le Gouvernement et notamment l’utilisation de l’application sur la base du volontariat, l’absence de conséquence juridique négative en cas de refus de recourir à l’application, l’absence de création d’une liste de personnes contaminées mais seulement d’une liste de contacts ou encore la mise en place de mesures de sécurité afin de garantir la protection des données.

Dans son second avis du 25 mai 2020, la CNIL rappelle que la crise sanitaire actuelle est « de nature à justifier, dans certaines conditions, des atteintes transitoires au droit à la protection de la vie privée et des données à caractère personnel. » Elle considère donc que l’application peut être déployée sous certaines conditions et sous réserve d’une évaluation de la nécessité et/ou utilité de cette application après son lancement.

La CNIL ajoute donc à ces précédentes recommandations, les préconisations suivantes :

  • une meilleure information des utilisateurs notamment quant aux traitements de leurs données personnelles et aux possibilités d’effacement de celles-ci ;
  • la mise en place d’une information particulière pour les mineurs et leurs responsables légaux;
  • l’intégration dans le décret instituant l’application, du droit d’opposition et d’effacement pour les utilisateurs ;
  • l’accès libre des utilisateurs à la structure de programmation de l’application.

La CNIL a rappelé qu’elle opèrera un contrôle régulier de la mise en œuvre pratique de cette application. Nous vous tiendrons informé de ces recommandations et des points d’alerte à observer en cas d’utilisation de cette application.

Déconfinement : l’avis de la CNIL sur le projet de décret encadrant la politique nationale de dépistage

Déconfinement : l’avis de la CNIL sur le projet de décret encadrant la politique nationale de dépistage 1260 840 jeremy

À la suite de la crise sanitaire inédite qui nous touche, le Gouvernement a mis en place, à compter du 11 mai, une Politique de déconfinement progressif. Cette Politique s’accompagne de mesures permettant de dépister les malades du Covid-19 et de réaliser des enquêtes sanitaires.

Pour ce faire,  la loi n°2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire a permis la création temporaire de deux fichiers nationaux permettant d’identifier les personnes infectées (« patients 0 »), les personnes susceptibles d’être contaminées par ce patient 0 (« cas contact ») et les chaînes de contamination : le fichier SI-DEP et le fichier Contact Covid.

Afin de garantir la protection des données personnelles des personnes enregistrées dans ces fichiers, la CNIL a émis un avis le 8 mai 2020, avant même l’adoption de la loi prorogeant l’état d’urgence sanitaire, sur le projet de décret encadrant les conditions de mise en œuvre de ces fichiers.

Des fichiers sensibles en matière de protection des données personnelles

Les fichiers SI-DEP et Contact Covid contiennent des données personnelles et de vie personnelle (identité, hébergement, déplacement, participation à des rassemblements, etc.) ainsi que des données sensibles telles que des données de santé. De plus, ces fichiers pourront être consultées par un grand nombre d’acteurs, tels que les enquêteurs sanitaires.

La CNIL a estimé que le dispositif mis en place était « globalement » conforme au RGPD, notamment en raison du caractère nécessaire du traitement de données pour la réalisation de la politique sanitaire de déconfinement. Elle a également relevé que des moyens permettant de garantir la protection des données personnelles étaient mis en œuvre, tels que :

  • le caractère volontaire de la participation aux enquêtes
  • la limitation des données de santé traitée
  • le caractère temporaire du dispositif.
 Les recommandations de la CNIL

Cependant, aux vues du grand nombre de données personnelles collectées et enregistrées, dont sensibles ainsi que de leur grande accessibilité, la CNIL a recommandé que soit mis en œuvre un certain nombre d’éléments permettant de garantir la protection des données personnelles tels que :

  • la limitation des accès des utilisateurs des fichiers en fonction du poste occupé au sein du dispositif sanitaire ;
  • la formation des personnes ayant accès aux fichiers et la mise en place de mesures de traçabilité des consultations ;
  • la limitation des durées de conservation des données dans le système à 3 mois à compter de la collecte ;
  • la garantie des droits d’accès, d’information, de rectification et d’opposition.

Le Gouvernement a pris en compte l’avis de la CNIL puisque le décret, paru le 12 mai a suivi ses recommandations. La CNIL a toutefois précisé qu’elle opérerait des contrôles dans les semaines suivant la mise de place du dispositif, afin de vérifier son application pratique et que la nécessité de réaliser un tel traitement de données serait « régulièrement réévalué ».

A quel moment devez-vous réaliser une analyse d’impact ?

A quel moment devez-vous réaliser une analyse d’impact ? 1260 840 jeremy

L’analyse d’impact relative à la protection des données (PIA) est une procédure de contrôle fixée par l’article 35 du RGPD. Elle intervient lorsque le traitement de données personnelles mis en place par un organisme (privé ou public) est susceptible de présenter un risque important pour les droits et libertés des individus concernés par ce même traitement. L’analyse d’impact RGPD doit être mise en œuvre en amont du traitement en question, pour ensuite être mis à jour en fonction de son développement.

Un « risque sur la vie privée » est un scénario décrivant un événement redouté (atteinte à la confidentialité, la disponibilité ou l’intégrité des données, et ses impacts potentiels sur les droits et libertés des personnes) et toutes les menaces qui permettraient qu’il survienne.


Comment déterminer le caractère obligatoire de l’analyse d’impact ?

L’analyse d’impact est obligatoire à partir du moment où le traitement est « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées ». En effet, soit le traitement envisagé figure dans la liste des types d’opérations de traitement pour lesquelles la CNIL a estimé obligatoire de réaliser une analyse d’impact relative à la protection des données (ex. traitement de données de localisation à large échelle) soit le traitement remplit au moins deux des neuf critères issus des lignes directrices du G29 tels que : la surveillance automatique, la collecte de données sensibles, la collecte de données concernant des personnes vulnérables, etc…

En revanche, la PIA n’est pas nécessaire lorsque le traitement figure dans la liste des exceptions adoptée par la CNIL (ex. traitement mis en œuvre uniquement à des fins de ressources humaines), lorsque le traitement ne présente pas de risque élevé pour les droits et libertés des personnes ou encore lorsque le traitement répond à une obligation légale ou est nécessaire à l’exercice d’une mission de service public.


Comment réaliser une analyse d’impact ?

La CNIL a mis à la disposition des responsables de traitement et leur délégué à la protection des données, un logiciel de PIA pour faciliter la conduite et la formalisation des analyses d’impact telles que prévues par le RGPD. Le logiciel permet de suivre une procédure bien définie notamment effectuant une description détaillée du traitement, en évaluant les risques et impacts sur les droits et libertés des personnes concernées et enfin en mettant en place des mesures de sécurité et garanties pour diminuer ce risques. Aucune obligation de publication n’est demandée. Toutefois, si suite à l’analyse d’impact, les risques pour la sécurité des données restent élevés, le rapport doit être transmis à la CNIL. Cette dernière peut également initier cette vérification en demandant elle-même à avoir accès à ce rapport.


Quels sont les avantages ?

La réalisation d’une analyse d’impact est un bon moyen pour les entreprises de réduire les craintes, les inquiétudes des personnes concernées quant à l’utilisation de leurs données personnelles. Elle offre également un cadre de travail précis pour parvenir à rester conforme aux exigences du RGPD et aux recommandations de la CNIL. Enfin, c’est une preuve de professionnalisme qui ne peut qu’être bénéfique auprès des partenaires, clients, administrés …


Quels risques encourus en cas de non-respect des règles en matière d’analyse d’impact ?

En cas de non-respect des règles relatives aux analyses d’impact posées par l’article 35 du RGPD, la sanction peut être est exemplaire. En effet, l’amende peut atteindre jusqu’à dix millions d’euros. Pour une entreprise, le montant retenu correspond à 2 % des chiffres d’affaires réalisés précédemment. La somme retenue étant la plus élevée.

 

L’anonymisation : Rendre impossible toute re-identification d’une personne

L’anonymisation : Rendre impossible toute re-identification d’une personne 1260 840 jeremy
Qu’entend-on par anonymiser ?

L’anonymisation est une technique permettant d’empêcher de manière irréversible l’identification d’une donnée. L’anonymisation consiste à changer le contenu ou la structure même des données, de sorte que toutes les informations directes ou indirectes pouvant permettre l’identification d’une personne soient supprimées ou modifiées. Anonymiser une donnée suppose donc la suppression de l’identité de la personne à qui cette donnée se rapporte, rendant donc impossible la ré-identification de la personne à partir de cette donnée, et ceci même après traitement.


Pourquoi anonymiser les données ?

Cette technique ouvre des potentiels de réutilisation des données initialement interdits du fait du caractère personnel des données exploitées, et permet ainsi aux acteurs d’exploiter et de partager leur « gisement » de données sans porter atteinte à la vie privée des personnes. Elle permet également de conserver des données au-delà de leur durée de conservation.

Le RGPD ne s’applique pas aux données anonymisées dans la mesure où l’utilisation de ces données n’ont pas d’impact sur les droits et libertés des personnes concernées.


Quelles différences avec la pseudonymisation ?

La pseudonymisation est un traitement de données personnelles réalisé de manière à ce qu’on ne puisse plus attribuer les données relatives à une personne physique sans information supplémentaire. En pratique, la pseudonymisation consiste à remplacer les données directement identifiantes (nom, prénom, etc.) d’un jeu de données par des données indirectement identifiantes (alias, numéro séquentiel, etc.). La pseudonymisation permet ainsi de traiter les données d’individus sans pouvoir identifier ceux-ci de façon directe. En pratique, il est toutefois bien souvent possible de retrouver l’identité de ceux-ci grâce à des données tierces. L’opération de pseudonymisation est également réversible, contrairement à l’anonymisation.


Quels procédés utilisés pour anonymiser les données ?

Deux grandes méthodes existent pour anonymiser les données. Il s’agit de :

– La randomisation : cette méthode permet la destruction du lien entre la donnée et la personne, par l’emploi de techniques telles que la troncature, la substitution, la suppression ou la mise à blanc.

– La généralisation : cette méthode se caractérise par la dilution de la donnée, ou sa généralisation par modification de sa précision, de son échelle et de sa grandeur.


Comment s’assurer que l’anonymisation est effective ?

Les autorités de protection des données européennes définissent trois critères qui permettent de s’assurer qu’un jeu de données est véritablement anonyme :

Individualisation :

    • ll ne doit pas être possible d’isoler un individu dans le jeu de données
    • Ex : une base de données de CV où seuls les nom et prénoms d’une personne auront été remplacés par un numéro (qui ne correspond qu’à elle) permet d’individualiser cette personne. Dans ce cas, cette base de données est considérée comme pseudonymisée et non comme anonymisée.

Corrélation :

    • Il ne doit pas être possible de relier entre eux des ensembles de données distincts concernant un même individu 
    • Ex : une base de données cartographique renseignant les adresses de domiciles de particuliers ne peut être considérée comme anonyme si d’autres bases de données, existantes par ailleurs, contiennent ces mêmes adresses avec d’autres données permettant d’identifier les individus.

Inférence :

    • Il ne doit pas être possible de déduire, de façon quasi certaine, de nouvelles informations sur un individu.
    • Ex : si un jeu de données supposément anonyme contient des informations sur le montant des impôts de personnes ayant répondu à un questionnaire, que tous les hommes ayant entre 20 et 25 ans qui ont répondu sont non imposables, il sera possible de déduire, si on sait que M. X, homme âgé de 24 ans, a répondu au questionnaire, que ce dernier est non imposable.

Quelle utilisation du numéro de sécurité sociale

Quelle utilisation du numéro de sécurité sociale 1260 840 jeremy

Le numéro d’inscription des personnes (NIR), plus couramment appelé « Numéro de sécurité sociale » est une donnée considérée comme « sensible » par le droit français. En effet, c’est un numéro personnel unique attaché à chaque personne et permettant ainsi son identification sans aucune ambiguïté. Sa collecte et son utilisation doit donc faire l’objet d’une nécessité ainsi que de mesures de protection particulières afin de garantir la protection des données personnelles.

Or, il était difficile de savoir en pratique dans quelle mesure une entreprise pouvait ou avait besoin d’utiliser ce fameux NIR, tant nous avions l’habitude de l’utiliser, notamment sur les fiches de paye du personnel. Pour pus d’information sur l’utilisation du numéro de sécurité sociale, vous pouvez consulter notre précédente Newsletter de mars 2020. (que vous pouvez consulter en cliquant ici)

Le Décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l’usage du numéro d’inscription au répertoire national d’identification des personnes physiques ou nécessitant la consultation de ce répertoire est venu clarifier la situation en établissant une liste limitative des acteurs et des finalités pour lesquels le NIR peut être utilisé.

Il détermine donc 4 secteurs pour lesquels le NIR peut être utilisé ainsi que des acteurs s’y rattachant :

  • pour la réalisation de missions en matière de sécurité sociale: Pôle Emploi, de la Caisse des dépôts et consignation, de la Caisse nationale de sécurité sociale ou d’assurance vieillesse.
  • pour la réalisation de missions en matière d’action sociale: les Collectivités territoriales, les maisons départementales ou les organismes versant les rémunérations ou les aides à l’emploi et à la formation.
  • pour la réalisation de missions en matière de prévoyance: organismes chargés de l’assurance maladie ou retraite complémentaire.
  • pour la réalisation de missions à des fins sanitaires et médico-sociales : les établissements ou services prenant en charge des mineurs et des majeurs de moins de vingt et un ans, les établissements ou services d’enseignement qui assurant une éducation adaptée et un accompagnement social ou médico-social aux mineurs ou jeunes adultes handicapés ou présentant des difficultés d’adaptation, les centres d’action médico-sociale précoce ou encore les établissements ou services mettant en œuvre les mesures éducatives ordonnées par l’autorité judiciaire par exemple.

Vous pouvez consulter la liste de l’ensemble des acteurs et des finalités de traitement par secteur directement sur le site de la CNIL.