Protection des données : relire l'entretien de 2012

En juin 2012, un entretien publié sur ce site portait sur l’effectivité de la protection des données et sur le projet de règlement européen. Sa question centrale reste utile : une règle protège-t-elle réellement les personnes si les organisations ne l’appliquent pas ? Les références juridiques et les comparaisons financières de l’époque ne doivent toutefois pas être utilisées comme description du droit actuel.

Cette page propose une lecture rétrospective de cet entretien. Elle ne reconstitue pas de nouvelles réponses attribuées aux interlocuteurs.

Ce dont discutait l’entretien

L’échange abordait trois sujets : le décalage perçu entre les peines prévues et leur application, l’intérêt d’ajouter de nouvelles obligations, et la capacité des autorités à faire respecter un cadre européen commun. La proposition COM(2012) 11 final venait alors d’ouvrir la discussion législative.

Les prises de position sur la sévérité des sanctions étaient des appréciations de 2012. Elles ne constituaient ni une mesure de la probabilité d’un contrôle ni une invitation à ignorer la loi. Une comparaison financière demande des données vérifiables et un périmètre cohérent ; une image frappante ne remplace pas ces éléments.

Le droit actuel combine prévention et contrôle

Le RGPD applicable depuis le 25 mai 2018 n’impose pas seulement de réagir après un manquement. L’Art. 24(1) oblige le responsable du traitement à mettre en œuvre des mesures appropriées et à pouvoir démontrer la conformité. L’Art. 25 impose la protection des données dès la conception et par défaut. La sécurité relève notamment de l’Art. 32 : texte officiel du chapitre IV.

Ces obligations donnent une traduction opérationnelle au débat de 2012. Une équipe qui prépare un nouveau formulaire doit déterminer sa finalité, réduire les champs, contrôler les accès et organiser la conservation avant sa diffusion. Elle ne doit pas attendre de connaître le montant d’une éventuelle sanction. Le guide de la protection des données dès la conception présente cette démarche.

L’amende est un outil, pas une mesure complète du dommage

L’Art. 83(1) exige des amendes effectives, proportionnées et dissuasives. Son paragraphe 2 prévoit une appréciation des circonstances : gravité, durée, catégories de données, mesures d’atténuation, coopération et autres facteurs. Les plafonds ne sont pas des montants automatiquement appliqués à toute violation. Voir le chapitre VIII du RGPD.

La discussion ne peut donc pas se limiter à comparer un coût de conformité avec une amende supposée. Une violation peut aussi interrompre un traitement et causer un dommage aux personnes. L’exercice des droits et les recours doivent fonctionner indépendamment de la perspective d’une sanction. Notre analyse de la priorisation de la conformité par les risques distingue ces questions.

Une grille pour relire une ancienne analyse juridique

Avant d’utiliser un entretien ancien dans une formation ou une note interne, vérifiez :

1. La date et le statut du texte : proposition, règlement adopté ou règle entrée en application.
2. La référence de l’obligation : l’ancien Art. 34 de la loi Informatique et Libertés n’est pas le même texte que l’Art. 34 du RGPD, qui traite de l’information des personnes après une violation.
3. La portée des chiffres : montant d’une décision précise, plafond légal ou estimation sans source.
4. La décision à prendre aujourd’hui : quelle mesure concrète protège les personnes et qui en vérifie l’application ?

La lecture historique garde son intérêt pour comprendre les débats. Pour organiser un contrôle interne actuel, utilisez la procédure de sanction CNIL et les textes applicables, sans extrapoler une ancienne appréciation de l’activité de l’autorité.

Transformer le débat sur l’effectivité en contrôle concret

L’effectivité d’une règle se vérifie dans une opération réelle : une personne peut-elle comprendre l’usage de ses données, faire corriger une erreur ou obtenir l’arrêt d’une prospection ? Une procédure écrite est nécessaire à l’organisation, mais elle ne démontre pas à elle seule que ces actions sont possibles dans les outils et chez les prestataires.

Pour préparer une revue interne, choisissez un traitement précis et suivez son parcours. Identifiez la collecte, les accès, les transmissions, la conservation et le traitement des demandes. Rapprochez ensuite chaque règle annoncée d’un élément vérifiable : paramétrage, attribution d’une tâche, réponse documentée ou confirmation d’une action. Cette méthode proposée donne un contenu pratique à l’Art. 24(1).

Distinguez les niveaux de preuve. Une clause contractuelle établit un engagement ; un écran de configuration montre un réglage à une date donnée ; une trace d’exécution renseigne sur une opération déterminée. Aucun de ces éléments ne démontre, isolément, la conformité de tous les traitements de l’organisation. Le dossier doit indiquer ce qui a été examiné et ce qui reste inconnu.

Exemple fictif : une nouvelle collecte avant mise en ligne

L’entreprise fictive Alisier prépare un formulaire destiné aux demandes d’assistance. Le projet comporte des coordonnées, une description du problème et un champ libre permettant de joindre un document. L’équipe veut savoir si la collecte peut être ouverte ; cet exemple ne décrit aucun audit réellement réalisé.

La revue commence par la finalité. Les informations nécessaires pour identifier la demande et apporter une réponse ne sont pas nécessairement celles qui seraient utiles à une campagne commerciale future. Cette dernière utilisation demande son analyse propre. Le service doit aussi décider comment traiter les documents déposés spontanément, qui peuvent contenir des informations sans rapport avec le problème signalé.

La protection par défaut conduit à examiner les destinataires internes, les champs obligatoires et les réglages de conservation. Si tous les salariés disposent d’un accès au dossier, la seule présence d’une mention de confidentialité ne répond pas à la question de la nécessité de cet accès. Il faut attribuer les habilitations selon les tâches et organiser leur retrait lorsqu’elles ne sont plus nécessaires.

Le dossier de lancement d’Alisier pourrait donc comporter une description de la finalité, la justification des champs, les informations destinées aux personnes, la liste des accès et la règle de conservation. Ce sont des pièces proposées, à adapter au traitement. Elles doivent correspondre aux choix effectivement retenus ; un modèle complété avec des hypothèses non vérifiées ne permet pas de fermer la revue.

Prioriser les écarts selon leurs effets sur les personnes

Une organisation peut découvrir plusieurs difficultés en même temps : un formulaire trop bavard, des accès excessifs ou une demande de droit laissée sans suivi. La priorité ne doit pas être déduite seulement du montant d’une amende ancienne. Examinez les personnes concernées, la nature des données, la durée de l’exposition et les conséquences plausibles.

Une fiche d’arbitrage peut distinguer les éléments suivants :

Le responsable de l’action et son échéance doivent être identifiés. Une décision de report doit rendre visibles ses conséquences et les mesures provisoires retenues. Elle ne rend pas licite un traitement qui ne l’est pas et ne remplace pas l’exécution d’un droit dans les conditions prévues par le règlement.

Cette approche ne supprime pas la discussion budgétaire. Elle la rend plus précise : le coût concerne une mesure définie, protégeant un traitement identifié, avec un résultat vérifiable. Une comparaison globale entre « conformité » et « amende probable » laisse souvent de côté ces éléments essentiels.

Ne pas confondre incident, manquement et sanction

La survenance d’un incident demande d’établir les faits et d’apprécier les obligations applicables. Elle n’établit pas automatiquement, à elle seule, un manquement à toute obligation de sécurité. Inversement, l’absence d’incident connu ne démontre pas que les mesures requises étaient suffisantes. L’analyse doit porter sur le traitement et les risques, avec les informations effectivement disponibles.

L’Art. 32(1)(d) inclut une procédure visant à tester, analyser et évaluer régulièrement l’efficacité des mesures de sécurité. Pour l’entreprise, cela suppose de prévoir des vérifications adaptées puis d’en exploiter les résultats. Un calendrier d’exercices encore futurs ne constitue pas une preuve d’efficacité déjà obtenue.

Les mesures prises après un problème doivent également être distinguées de celles qui existaient auparavant. Une correction peut limiter les conséquences et améliorer la situation ; elle ne réécrit pas les faits passés. Gardez les dates et le périmètre des interventions afin de pouvoir expliquer ce qui a changé.

Utiliser l’archive dans une formation sans lui prêter des conclusions nouvelles

Présentez l’entretien de 2012 comme un point de départ historique. Dans le support de formation, séparez les propos de l’époque, le texte adopté ultérieurement et l’application que vous proposez aujourd’hui. Les exemples Alisier et la grille ci-dessus sont des outils pédagogiques contemporains ; ils ne sont pas des réponses supplémentaires attribuées aux participants à l’entretien.

Pour chaque citation juridique ancienne, inscrivez le nom du texte et sa version. L’ancien Art. 34 de la loi Informatique et Libertés traitait de la sécurité ; l’Art. 34 du RGPD organise une autre obligation. Une recherche par numéro, sans lecture de la source, peut ainsi conduire à appliquer une règle étrangère au sujet discuté.

Terminez la formation par un livrable limité : une action à vérifier, une responsabilité à clarifier ou une pièce à compléter pour un traitement déterminé. Le résultat attendu n’est pas une opinion plus ferme sur la sévérité des sanctions, mais une amélioration observable de la protection des personnes. Il faut ensuite vérifier sa réalisation, conserver les limites du contrôle et rouvrir le dossier lorsque les faits ou le droit évoluent.

Ce qu’il faut retenir

• L’entretien de 2012 discutait une réforme encore en projet.
• Ses opinions historiques ne décrivent pas la politique répressive actuelle.
• Le RGPD impose aussi des mesures préventives et la preuve de leur application.
• Une archive juridique se lit avec sa date, ses sources et ses limites.

FAQ

L’entretien portait-il sur le RGPD déjà applicable ?

Non. Il concernait les débats entourant le projet présenté en janvier 2012. Le règlement adopté ultérieurement s’applique depuis mai 2018.

Le numéro d’un article suffit-il à identifier une obligation ?

Non. Il faut aussi nommer le texte et sa version. Deux textes peuvent avoir un article portant le même numéro mais un contenu différent.

Peut-on déduire le risque actuel d’une sanction ancienne ?

Une décision ancienne renseigne sur un dossier et son cadre juridique. Elle ne fournit pas, à elle seule, la probabilité ni le montant d’une sanction future.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.