Qu’est-ce qu’un traitement ?
On assimile souvent le traitement de données à caractère personnel au numérique.
Pourtant, un traitement de données à caractère personnel ne requiert pas nécessairement de recourir à un outil numérique pour être soumis au RGPD[0].
En effet, le RGPD s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.
Ceci s’explique par le principe dit de « neutralité technologique » qui implique que l’application du RGPD ne dépende pas de la technologie utilisée[1].
Mais attention, si les traitements de données à caractère personnel, automatisés ou non, sont tous deux soumis au RGPD, ce n’est pas tout à fait dans les mêmes conditions.
En effet, le traitement non automatisé n’est soumis au RGPD que dans la mesure où les données à caractère personnel sont contenues ou appelées à figurer dans un fichier.
- 1ère question : qu’est-ce qu’un fichier ?
Il s’agit de tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique[2].
Exemples
- Constituent un fichier le répertoire téléphonique manuscrit dans lequel les contacts sont classés par ordre alphabétique ou les registres de catholicité reliés
- Ne constituent pas un fichier les dossiers ainsi que leurs couvertures qui ne sont pas structurés selon des critères déterminés[3]
- 2ème question : qu’est-ce qu’un traitement ?
L’on pourrait définir le traitement comme à peu près toute opération/manipulation de données à caractère personnel. Le RGPD le définit en effet comme « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction »[4].
La notion est donc très large.
Exemples :
- Enregistrement de coordonnées sur son répertoire
- Consultation du répertoire
- Mise à jour du répertoire
- Suppression d’un contact sur le répertoire
- Transmissions des coordonnées figurant sur le répertoire
Autant de traitements différents les uns des autres.
En somme, même si l’activité d’une entreprise n’a pas trait au numérique ou aux traitements de données à caractère personnel, elle peut être soumise au RGPD.
Alors, avant de traiter des données à caractère personnel, anticipez et consultez !
Mon Cabinet d’avocat en droit des affaires situé à proximité de Laval, en Mayenne, est à votre disposition pour répondre à toutes vos questions !
[0] Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE
[1] « Afin d’éviter de créer un risque grave de contournement, la protection des personnes physiques devrait être neutre sur le plan technologique et ne devrait pas dépendre des techniques utilisées. » (Considérant n°15 du RGPD)
Voir aussi :
#7 RGPD : Le saviez-vous ? – Données dites sensibles
#6 RGPD : Le saviez-vous ? – Quelle base légale pour un traitement ?
#5 RGPD : Le saviez-vous ? – To transfer ou not to transfer ?
#4 RGPD : Le saviez-vous ? – 2023, une année à fêter !
#3 RGPD : Le saviez-vous ? – Thématiques prioritaires de contrôle de la CNIL
#2 RGPD : Le saviez-vous ? – Donnée à caractère personnel
#1 RGPD : Le saviez-vous ? – Genèse de la LIL
AFCDP (RGPD)
RGPD et Syndicat : consultation de la CNIL
Open data des décisions de justice
Photo de Maksym Kaharlytskyi sur Unsplash