Article 4 RGPD : qualifier les données et les acteurs
Article 4 RGPD : comprendre les définitions utiles pour qualifier une donnée, un traitement, les rôles des organismes et une violation.
- Repérer les définitions de l’article 4
- Une personne peut être identifiable sans nom
- Traiter ne signifie pas seulement collecter
- Qualifier les rôles pour chaque opération
- Pseudonymisation, profilage et données particulières
- Consentement et violation : deux qualifications concrètes
- Passer des définitions à une fiche de qualification
- Ce qu’il faut retenir
- FAQ
Une équipe pense que son fichier sort du RGPD parce qu’il contient des identifiants et non des noms. Un prestataire se présente comme sous-traitant tout en réutilisant les informations pour son propre service. L’article 4 fournit les définitions nécessaires pour examiner ces situations avant de choisir les obligations et les contrats.
Repérer les définitions de l’article 4
L’Art. 4 du RGPD contient 26 définitions. Cette carte de lecture permet de retrouver les notions selon la question posée ; elle ne remplace pas leur texte complet.
| Points | Notions | Question pratique |
|---|---|---|
| 1 à 6 | Données personnelles, traitement, limitation, profilage, pseudonymisation, fichier | Que fait-on et sur quelles informations ? |
| 7 à 10 | Responsable, sous-traitant, destinataire, tiers | Quel rôle chaque intervenant exerce-t-il ? |
| 11 et 12 | Consentement, violation de données | Quel événement ou quelle manifestation de volonté qualifie-t-on ? |
| 13 à 15 | Données génétiques, biométriques et de santé | Un régime particulier doit-il être examiné ? |
| 16 à 20 | Établissement principal, représentant, entreprise, groupe et règles contraignantes d’entreprise | Quelle organisation et quels rattachements ? |
| 21 à 26 | Autorités, traitement transfrontalier, objection pertinente et motivée, service de la société de l’information, organisation internationale | Quelles règles de compétence, coopération ou transfert ? |
Attention aux numéros : les règles d’entreprise contraignantes figurent au point 20, l’objection pertinente et motivée au point 24, et le service de la société de l’information au point 25.
Une personne peut être identifiable sans nom
L’Art. 4(1) couvre toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement. Un numéro client ou une référence de dossier peut donc être personnel lorsque le rapprochement est possible.
Le considérant 26 invite à tenir compte des moyens raisonnablement susceptibles d’être utilisés pour identifier une personne, avec les éléments objectifs pertinents. N’assimilez pas toute possibilité purement théorique à une identification certaine ; n’écartez pas non plus les moyens de rapprochement effectivement disponibles.
La définition des données personnelles propose d’autres exemples. Une information professionnelle peut concerner une personne physique : le contexte professionnel ne la fait pas automatiquement sortir du règlement.
Traiter ne signifie pas seulement collecter
L’Art. 4(2) couvre une opération ou un ensemble d’opérations, automatisées ou non, appliquées à des données personnelles. Sa liste inclut notamment la conservation, la consultation, la communication, le rapprochement et l’effacement. Elle est illustrative, pas une liste fermée des seules opérations possibles.
L’Art. 4(6) définit le fichier structuré accessible selon des critères déterminés. L’Art. 2(1) précise le champ matériel : automatisation totale ou partielle, ou données d’un traitement non automatisé contenues ou destinées à figurer dans un fichier. Un classement papier structuré peut donc être concerné.
Exemple hypothétique : un salarié consulte un dossier archivé sans le modifier. Il réalise une opération de traitement. L’accès doit rester autorisé et justifié, même si aucune nouvelle donnée n’est enregistrée.
Qualifier les rôles pour chaque opération
L’Art. 4(7) vise celui qui détermine, seul ou conjointement, les finalités et moyens. L’Art. 4(8) vise celui qui traite pour le compte du responsable. La réalité des décisions compte, avec les éventuelles désignations prévues par le droit applicable.
Un prestataire peut être sous-traitant pour une prestation et responsable pour un usage propre distinct. Une telle réutilisation ne transforme pas automatiquement toute la relation en responsabilité conjointe : il faut examiner si les décisions sont conjointes pour les opérations concernées.
La qualification du responsable de traitement aide à documenter cette analyse. Le contrat doit refléter le rôle réel ; son étiquette ne suffit pas à le créer.
L’Art. 4(9) définit le destinataire, qu’il soit ou non un tiers, avec une précision pour les autorités publiques recevant des données dans une mission d’enquête particulière. L’Art. 4(10) exclut notamment de la notion de tiers le responsable, le sous-traitant et les personnes autorisées agissant sous leur autorité directe. Un destinataire n’est donc pas nécessairement un responsable autonome.
Pseudonymisation, profilage et données particulières
La pseudonymisation de l’Art. 4(5) repose sur des informations supplémentaires conservées séparément et protégées pour éviter l’attribution non autorisée. Remplacer un nom par un code ne démontre pas une anonymisation. L’analyse d’identifiabilité reste contextuelle ; le guide pseudonymisation et anonymisation approfondit cette distinction.
Le profilage de l’Art. 4(4) suppose un traitement automatisé visant à évaluer certains aspects personnels. Il ne se confond pas avec toute décision exclusivement automatisée produisant des effets juridiques ou similaires : l’Art. 22 a ses conditions propres. Toute classification simple ne déclenche pas automatiquement toutes les obligations de cet article.
Les Art. 4(13), (14) et (15) définissent les données génétiques, biométriques et de santé. Pour la biométrie, le traitement technique spécifique et la capacité d’identification unique comptent. L’application du régime de l’Art. 9 nécessite aussi d’examiner sa rédaction, notamment la finalité d’identification unique pour les données biométriques.
Consentement et violation : deux qualifications concrètes
L’Art. 4(11) exige une volonté libre, spécifique, éclairée et univoque manifestée par une déclaration ou un acte positif clair. Il faut ensuite appliquer les autres conditions, notamment l’Art. 7. Accepter des conditions générales ne prouve pas, à lui seul, un consentement valable à tous les usages.
L’Art. 4(12) couvre la destruction, perte, altération, divulgation ou l’accès non autorisés résultant d’une violation de sécurité. L’origine peut être accidentelle ou illicite. La qualification n’est donc pas réservée aux attaques informatiques ; notre guide de l’article 33 explique les décisions de documentation et de notification qui suivent.
Passer des définitions à une fiche de qualification
Pour qualifier un traitement, le nom du logiciel donne rarement la bonne unité d’analyse. Une fiche utile décrit d’abord l’opération, les informations et les décisions. Le dossier suivant est un exemple fictif, construit pour montrer ce raisonnement ; il ne rapporte aucun audit d’entreprise.
La société Liseron utilise un outil d’assistance pour répondre aux demandes de ses clients. Chaque demande comporte une référence, le courriel du client, ses messages, le nom de l’agent et les dates d’intervention. Un prestataire héberge l’outil et assure son fonctionnement suivant les instructions de Liseron. L’équipe souhaite aussi publier des indicateurs mensuels et envisage un classement automatique des clients susceptibles de résilier leur abonnement.
Quatre objets qui ne reçoivent pas la même réponse
| Objet examiné | Qualification motivée | Suite pratique |
|---|---|---|
| Demande numéro D-418 avec courriel et échanges | Informations relatives au client et, selon le contenu, à l’agent ou à d’autres personnes | Organiser les accès et examiner les données concernant chacun lors d’une demande d’accès |
| Export sans nom, avec référence D-418 | La table de correspondance permet encore à Liseron de retrouver le client | Conserver le raisonnement RGPD ; vérifier la séparation et la protection avant de parler de pseudonymisation |
| Indicateur « délai moyen de réponse : 12 heures » | Le seul chiffre ne suffit pas à conclure sur l’ensemble du tableau publié | Examiner les autres colonnes, les petits groupes et les recoupements possibles |
| Score individuel calculé à partir des réclamations | L’automatisation évalue un comportement ou une situation personnelle | Examiner le profilage de l’Art. 4(4), puis les conséquences et les conditions propres de l’Art. 22 |
Dans la troisième ligne, ajouter la date précise, une catégorie rare et le nom d’une petite équipe peut changer l’analyse. L’absence de nom dans la colonne principale ne démontre pas une anonymisation. Inversement, l’origine personnelle des données ne rend pas nécessairement identifiable tout résultat statistique. La conclusion doit porter sur la version effectivement diffusée et les moyens de rapprochement raisonnablement utilisables, selon le considérant 26.
La quatrième ligne appelle également une distinction. Un classement exploité par un agent pour préparer un échange n’est pas, par cette seule description, une décision exclusivement automatisée produisant des effets juridiques ou similaires. Il faut examiner l’usage réel du score : une intervention humaine purement formelle ne suffit pas à résoudre la question. Qualifier le profilage ouvre l’analyse ; cela ne constitue ni une interdiction générale ni une autorisation de le déployer. RGPD, Art. 22(1) à (4).
Décrire les décisions au lieu de recopier le contrat
Dans la fiche de Liseron, une ligne décrit l’assistance aux clients : Liseron choisit la finalité, les catégories de personnes et les informations nécessaires ; le fournisseur assure la prestation sur instruction. Ces faits étayent les qualifications respectives de responsable et de sous-traitant pour cette opération. Les choix purement techniques du fournisseur ne suffisent pas à lui attribuer toutes les décisions essentielles.
Une seconde ligne doit être ouverte si le fournisseur propose de réutiliser les messages pour constituer son propre produit d’analyse. L’équipe demande alors quelles données seraient reprises, qui fixerait l’objectif et qui déciderait des paramètres essentiels. Elle ne modifie pas rétroactivement toute la relation sur la seule annonce d’un projet. Elle suspend cet usage tant que sa qualification et ses conditions ne sont pas examinées. L’Art. 28(10) précise la conséquence pour le sous-traitant qui détermine lui-même les finalités et les moyens d’un traitement : il est considéré comme responsable à son égard. RGPD, Art. 28(10).
Cette rédaction évite une fiche intitulée seulement « fournisseur : sous-traitant ». Elle permet ensuite de vérifier si l’accord et les notices décrivent les opérations réelles, sans présenter la qualification contractuelle comme une preuve suffisante.
Un même dossier peut concerner plusieurs personnes
Le message D-418 peut contenir une appréciation de l’agent et citer un autre client. Dire que le dossier « appartient au client » ne résout ni la qualification des informations ni leur communication. Liseron repère les données relatives au demandeur, celles relatives à d’autres personnes et les passages qui concernent plusieurs personnes à la fois. Le droit à copie doit ensuite être articulé aux droits et libertés d’autrui, conformément à l’Art. 15(4), sans refuser tout le dossier par défaut.
La fiche peut enfin distinguer un simple défaut de qualité d’un événement de sécurité. Une saisie initiale inexacte n’établit pas, à elle seule, une violation au sens de l’Art. 4(12). L’envoi du dossier au mauvais client constitue en revanche une divulgation non autorisée dans les faits supposés ici. Il faut alors appliquer les règles de gestion des violations, sans confondre leur qualification avec la décision ultérieure de notifier.
Ce qu’il faut retenir
- L’absence de nom n’exclut pas l’identifiabilité.
- Conservation, consultation et effacement sont aussi des traitements.
- Les rôles s’analysent opération par opération à partir des décisions réelles.
- Une définition doit être articulée aux conditions de l’article qui crée l’obligation.
FAQ
Un identifiant client est-il une donnée personnelle ?
Il peut l’être si la personne est identifiable, notamment par rapprochement avec d’autres informations. L’analyse porte sur les moyens raisonnablement utilisables dans le contexte.
Un prestataire peut-il avoir plusieurs rôles ?
Oui. Il peut agir pour le compte du client sur certaines opérations et déterminer ses propres finalités pour d’autres. Documentez les périmètres au lieu d’attribuer une qualification unique à toute l’entreprise.
Toute violation doit-elle être annoncée aux personnes ?
Non. La définition de l’Art. 4(12) permet d’identifier la violation ; les Art. 33 et 34 déterminent ensuite les obligations selon le risque et les conditions prévues.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.