Données personnelles

Une donnée personnelle est toute information permettant d’identifier, directement ou indirectement, une personne physique. Leur traitement est encadré par le RGPD et la loi Informatique et Libertés en France.

Quels exemples de données personnelles ?

Nom, prénom, adresse email, numéro de téléphone, mais aussi adresse IP, identifiant de connexion, ou toute combinaison d’informations permettant de ré-identifier une personne, même sans son nom explicite.

Quels sont les droits des personnes concernées ?

Toute personne dispose d’un droit d’accès à ses données, de rectification en cas d’erreur, d’effacement (« droit à l’oubli »), de portabilité, ainsi que d’un droit d’opposition et de limitation du traitement, exerçables auprès du responsable du traitement.

Combien de temps peut-on conserver ces données ?

La durée de conservation doit être proportionnée à la finalité du traitement. Pour des données de contact commercial, une conservation de trois ans après le dernier contact est généralement considérée comme raisonnable par la CNIL.

Comment sécuriser les données collectées ?

Chiffrement des échanges (HTTPS), accès restreint aux seules personnes habilitées, mots de passe robustes, et sélection de prestataires (hébergeur, outils d’emailing) eux-mêmes conformes au RGPD sont des mesures de base recommandées.

Anonymisation et pseudonymisation

Anonymiser des données les rend définitivement non ré-identifiables, tandis que la pseudonymisation, réversible, remplace simplement un identifiant direct par un code. Seule une anonymisation complète et irréversible fait sortir une donnée du champ d’application du RGPD.

Qui décide de l’usage de ces données ?

Le responsable de traitement, généralement l’éditeur du site, détermine les finalités et moyens du traitement. C’est également lui qui répond aux demandes d’exercice de droits formulées par les personnes concernées.

Exemple concret

Un site vitrine avec un formulaire « nom, e-mail, message » traite des données personnelles dès la première soumission. Notre article « RGPD pour un petit site » détaille ce cas très fréquent.

Comment répondre à une demande d'accès à ses données personnelles ?

Un visiteur peut exercer ses droits RGPD à tout moment. Voici la procédure à suivre :

1. Vérifier l'identité du demandeur. Assurez-vous que la demande provient bien de la personne concernée, pour éviter toute divulgation à un tiers.
2. Identifier les données détenues. Recensez l'ensemble des données personnelles que vous traitez concernant cette personne.
3. Répondre dans le délai légal. Adressez une réponse complète dans un délai maximal d'un mois, conformément au RGPD.
4. Appliquer la demande. Selon la demande, communiquez, corrigez ou supprimez les données concernées, puis confirmez l'action au demandeur.