L'employeur peut-il consulter les emails et fichiers d'un salarié ?
Mathilde Levasseur
Associée
Qu'est-ce qu'une donnée personnelle au sens du RGPD ?
Toute information permettant d'identifier une personne, directement ou indirectement. Une définition plus large qu'il n'y paraît, et ses conséquences pratiques.
Toute information permettant d'identifier une personne, directement ou indirectement. Une définition plus large qu'il n'y paraît, et ses conséquences pratiques.
Introduction
La qualification de donnée personnelle déclenche l’application de l’ensemble du règlement. Sa définition large explique que presque toutes les activités d’une entreprise soient concernées.
La définition
Constitue une donnée à caractère personnel toute information se rapportant à une personne physique identifiée ou identifiable.
Est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité.
Deux éléments méritent attention : l’identification indirecte, et le recours à des éléments combinés.
L’identification indirecte
Une donnée qui ne comporte aucun nom peut néanmoins être personnelle.
Un numéro de client, un identifiant de connexion, une plaque d’immatriculation, un numéro de dossier permettent de remonter à une personne dès lors que l’on dispose de la table de correspondance.
Le critère retenu est celui des moyens raisonnablement susceptibles d’être utilisés pour identifier la personne, par le responsable ou par un tiers.
Les exemples courants sous-estimés
L’adresse IP, qui identifie un abonné et constitue en pratique une donnée personnelle.
Les identifiants de terminaux et cookies, qui permettent de suivre un utilisateur.
Les données de géolocalisation, y compris agrégées lorsqu’elles restent rattachables.
Les enregistrements vocaux et les images de vidéosurveillance.
Les métadonnées de connexion, journaux d’accès et historiques.
Les appréciations et évaluations portées sur une personne, y compris subjectives.
Les données sensibles
Certaines catégories font l’objet d’une protection renforcée.
Il s’agit des données révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que des données génétiques, biométriques aux fins d’identification, des données concernant la santé, la vie sexuelle ou l’orientation sexuelle.
Leur traitement est en principe interdit, sauf dans les cas limitativement prévus, notamment le consentement explicite, une obligation en matière de droit du travail, ou la sauvegarde des intérêts vitaux.
Une entreprise collecte parfois ces données sans le mesurer : un justificatif d’arrêt de travail, une adaptation de poste, une photographie révélant une caractéristique.
Les données pénales
Les données relatives aux condamnations pénales et aux infractions obéissent à un régime spécifique et ne peuvent être traitées que dans des conditions strictes.
Un extrait de casier judiciaire demandé lors d’un recrutement relève de cette catégorie et n’est licite que lorsque la loi le prévoit pour le poste concerné.
Les données pseudonymisées et anonymisées
La distinction est essentielle.
La pseudonymisation remplace les identifiants directs par un code, mais la réidentification reste possible grâce à des informations conservées séparément. Les données pseudonymisées demeurent des données personnelles.
L’anonymisation rend l’identification impossible de manière irréversible. Les données véritablement anonymisées sortent du champ du règlement.
Cette seconde opération est techniquement exigeante : une simple suppression du nom ne suffit pas, la combinaison des données résiduelles permettant souvent de réidentifier.
Le cas des personnes morales
Le règlement protège les personnes physiques.
Les données d’une société, dénomination, numéro d’identification, adresse du siège, ne sont pas des données personnelles.
En revanche, les coordonnées nominatives d’un interlocuteur au sein de cette société le sont, ce qui explique que la prospection entre professionnels reste soumise au règlement.
Qualifier avant de traiter
La qualification détermine l’ensemble des obligations applicables. Notre expertise RGPD et protection des données personnelles accompagne ces analyses.
En résumé
- Toute information permettant d’identifier une personne, directement ou indirectement, est une donnée personnelle.
- Adresse IP, identifiants en ligne, enregistrements et évaluations en font partie.
- Les données sensibles font l’objet d’une interdiction de principe, assortie d’exceptions limitées.
- Les données pseudonymisées restent des données personnelles ; seules les données anonymisées sortent du champ.
- Les coordonnées nominatives d’un contact professionnel sont des données personnelles.
Questions fréquentes
Une adresse IP est-elle une donnée personnelle ?
Oui, dès lors qu'elle permet, seule ou combinée à d'autres informations, d'identifier une personne. C'est le cas en pratique pour la plupart des adresses IP collectées par un site.
Les données d'une entreprise sont-elles concernées ?
Une personne morale n'est pas une personne physique. En revanche, les coordonnées d'un contact au sein d'une entreprise, nom, fonction, adresse électronique nominative, sont des données personnelles.
Qu'est-ce qu'une donnée sensible ?
Une donnée révélant l'origine, les opinions politiques, les convictions religieuses, l'appartenance syndicale, ainsi que les données de santé, biométriques, génétiques, ou relatives à la vie sexuelle. Leur traitement est en principe interdit, sauf exceptions.
Nous contacter :
Nous répondons volontiers à toutes vos questions. Écrivez-nous à mc@cabinetpersee.com , contactez le cabinet sur WhatsApp, ou remplissez notre formulaire de contact.
Articles associés
Autres analyses juridiques du cabinet
