Protection des données personnelles dans le système d’information

La protection des données personnelles est parfois considérée comme une contrainte pour une organisation, mais également comme le domaine réservé d’un membre bien identifié des services juridiques ou de la direction des systèmes d’information, chargé de s’assurer que les bons formulaires de déclaration sont envoyés et que les mentions obligatoires apparaissent là où elles sont attendues. Néanmoins, les règles et les contraintes administratives, qui peuvent apparaître pénibles pour les personnes chargées de concevoir ou d’exploiter les systèmes, ne sont qu’une portion particulièrement visible d’un ensemble de règlementations instauré et maintenu pour éviter que des individus (qu’ils soient des salariés, des clients, des partenaires, des utilisateurs, des prospects…) ne soient atteints dans leur vie privée.

Une « brèche de vie privée » est un risque juridique et opérationnel réel pour une organisation, que cette organisation soit une entreprise, une association, une administration… Elle prend généralement sa source dans une défaillance de la confidentialité d’informations personnelles et peut prendre la forme d’une divulgation incontrôlée, d’une usurpation d’identité, d’une intrusion ou ingérence indésirable dans la sphère privée, ou de diverses formes de discrimination et de harcèlement. Lorsque des personnes subissent de telles atteintes par le fait d’une organisation, les conséquences pour elles sont souvent bénignes, mais parfois catastrophiques. Une brèche de vie privée peut avoir un impact plus ou moins sérieux sur les relations sociales (pouvant aller, dans les cas extrêmes, jusqu’à des tentatives de suicide), entraîner des pertes financières, des désagréments administratifs, des risques de poursuites pénales (dans le cas d’une usurpation d’identité par exemple), ainsi bien sûr que des désagréments plus mineurs comme des communications non sollicitées. Les conséquences pour l’organisation en question peuvent affecter sa réputation ou son positionnement sur le marché. De plus, sa responsabilité juridique peut être retenue au civil comme au pénal.

Pour ces raisons, les risques pesant sur les données personnelles manipulées par l’organisation sont de plus en plus intégrés au périmètre opérationnel du responsable de la sécurité des systèmes d’information et pris au sérieux au même titre que la protection du patrimoine informationnel de l’entreprise (dont les données personnelles sont souvent une composante essentielle). Afin que cette protection soit assurée efficacement, il est essentiel que tous les membres de l’organisation, et en particulier les personnes interagissant avec les systèmes de traitements automatisés de données, aient une réelle conscience de la nature des risques, de leur responsabilité dans le traitement des données et des motivations et principes qui sous-tendent les règles et contraintes existantes.

Cet article vise à proposer une vision concrète et pragmatique de ce cadre réglementaire. Il ne s’agit pas ici d’un ouvrage de droit, ni d’un guide juridique exhaustif, mais de la vision d’un ingénieur et d’un informaticien sur un cadre juridique trop souvent fantasmé, perçu comme plus ou moins contraignant qu’il ne l’est et parfois critiqué, à tort ou à raison, comme échouant à atteindre son objectif de protection des personnes. Une première partie propose un aperçu des concepts et des textes applicables en matière de protection de la vie privée et des données personnelles. Le cadre réglementaire actuellement applicable en France est ensuite détaillé, avant une présentation des récentes évolutions à l’échelle européenne. Un éclairage particulier, à la fois juridique et technique, sera enfin apporté sur le droit à l’oubli, ainsi que sur les problématiques liées à l’anonymisation et à la réidentification.