Réutilisation statistique : cadrer le dossier RGPD

Réutiliser des dossiers clients pour mesurer les délais de traitement est possible sous conditions. Il faut définir un résultat statistique, établir la licéité de la réutilisation, limiter les données et contrôler ce qui sera diffusé. Le fait de produire une moyenne n’autorise ni la conservation indéfinie des dossiers ni une décision individuelle cachée derrière un tableau de bord.

La question pratique est double : pouvez-vous réaliser cette analyse, et votre calcul répond-il réellement au besoin annoncé ? Un dossier statistique utile doit traiter les deux. Voici une méthode illustrée par un calcul entièrement hypothétique, avec une fiche de lancement renseignée.

Ce qu’il faut retenir

• Une finalité statistique vise des résultats agrégés, sans utilisation pour décider du sort d’une personne particulière.
• L’Art. 89(1) impose des garanties ; il n’est pas une base légale autonome.
• Excluez les données inutiles avant l’analyse et justifiez les identifiants temporaires restants.
• Contrôlez séparément la qualité du calcul, le risque d’identification et les destinataires de la sortie.

Qualifier la finalité avant de choisir les colonnes

Écrivez le résultat attendu et son utilisation. « Mesurer, chaque mois, la part des demandes clôturées ayant dépassé le délai cible pour dimensionner le service » décrit une finalité. « Étudier nos clients » laisse le projet indéterminé.

Le considérant 162 du RGPD explique que les résultats statistiques sont agrégés et ne constituent pas des données personnelles. Il précise également que ces résultats ou les données utilisées ne servent pas à appuyer des mesures ou décisions concernant une personne physique particulière. RGPD, considérant 162.

Ainsi, un tableau destiné à réorganiser les moyens du service se distingue d’une liste de clients à moins bien servir parce qu’ils auraient coûté davantage. De même, un indicateur utilisé pour sanctionner nominativement un salarié ne relève pas de cette seule finalité statistique. Si le projet comporte ces usages, qualifiez-les séparément dans le dossier de changement de finalité.

Une entreprise privée peut poursuivre une finalité statistique. Cela ne lui donne pas le statut d’un service public de statistique ni les éventuelles prérogatives attachées à des textes particuliers. Ne transposez pas automatiquement les règles d’une enquête officielle à votre analyse interne.

Distinguer compatibilité, licéité et garanties

L’Art. 5(1)(b) prévoit qu’un traitement ultérieur à des fins statistiques n’est pas considéré comme incompatible avec les finalités initiales lorsqu’il respecte l’Art. 89(1). Cette disposition ne dispense pas de justifier la licéité du traitement, la collecte initiale et les autres principes. Le considérant 50 précise l’articulation avec la base juridique d’une réutilisation compatible. Art. 5(1)(b), 5(2) et 6.

Dans la fiche, identifiez donc la provenance des données, la finalité initiale, son fondement et le cadre retenu pour l’analyse. Si un consentement est invoqué, vérifiez sa portée et ses conditions. Si des données de santé ou d’autres catégories de l’Art. 9(1) interviennent, une base de l’Art. 6 ne suffit pas : il faut également une condition applicable de l’Art. 9(2). Le mot « statistiques » ne lève pas cette protection.

L’Art. 89(1) exige des garanties appropriées, notamment pour la minimisation. La pseudonymisation peut en faire partie. Lorsque la finalité peut être atteinte sans permettre l’identification, il faut procéder de cette manière. La question n’est donc pas « avons-nous retiré les noms ? », mais « pourquoi chaque donnée personnelle restante est-elle nécessaire ? ».

Une analyse d’impact n’est pas automatiquement imposée à tout tableau. Elle doit être effectuée avant le traitement lorsque les conditions de l’Art. 35(1), notamment le risque élevé, sont réunies. La nature des données, les rapprochements et l’échelle peuvent modifier cette appréciation.

Fiche renseignée : mesurer le délai des demandes

L’exemple est fictif. Atelier Boréal souhaite dimensionner son équipe de traitement des demandes clients. Les données nécessaires à la gestion des demandes ont été collectées licitement pour exécuter les prestations demandées, sur le fondement de l’Art. 6(1)(b). Le dossier retient une réutilisation statistique compatible, sous les garanties décrites ci-dessous. Aucune décision individuelle n’est prise à partir de l’analyse.

Le seuil de cinq jours est un objectif interne inventé pour le calcul. Les trente jours constituent aussi un choix illustratif, à justifier selon le travail réellement nécessaire. Aucun de ces nombres n’est un délai légal universel.

La présence d’une date de réception antérieure à septembre ne constitue pas un élargissement arbitraire : elle est nécessaire pour mesurer le délai d’un dossier clôturé pendant le mois. En revanche, les échanges complets du client n’apportent rien à cette question. L’analyste n’en reçoit pas une copie « au cas où ».

Calculer un indicateur dont le dénominateur est expliqué

Le fichier pédagogique comprend 132 lignes. Douze sont des répétitions d’un dossier déjà présent, dues à des lignes d’historique. Après rapprochement des références et résolution des doublons, il reste 120 demandes distinctes.

Parmi ces demandes, 100 sont clôturées en septembre, 12 sont encore ouvertes à la date d’extraction et 8 ont été annulées avant traitement. L’indicateur choisi porte sur les clôtures : son dénominateur est donc 100, et non 132 ni 120. Les dossiers ouverts et annulés ne disparaissent pas du compte rendu méthodologique ; ils sont décrits séparément.

Dix-huit des 100 dossiers clôturés dépassent cinq jours calendaires. Le résultat est 18 ÷ 100 × 100 = 18 %. Utiliser les 120 dossiers donnerait 15 %, mais répondrait à une autre question en mélangeant des situations qui ne permettent pas toutes de mesurer un délai de clôture.

Le compte rendu indique aussi que les 12 dossiers encore ouverts ne sont pas réputés traités dans les temps. Leur ancienneté peut faire l’objet d’un indicateur distinct, avec une définition spécifique. Cette précaution évite de présenter une amélioration artificielle lorsqu’un service laisse les dossiers difficiles ouverts.

Pour calculer le délai, fixez les conventions : dates ou instants précis, jours calendaires ou ouvrés, traitement d’une réouverture, clôture réellement définitive. Dans cet exercice, le délai utilise les dates de réception initiale et de clôture définitive, en jours calendaires. Une réouverture ne devient pas une nouvelle demande simplement pour réduire le délai affiché.

Si une clôture précède la réception, l’analyste ne remplace pas discrètement la valeur par zéro. Il signale la référence temporaire au référent métier, qui vérifie la source. La diffusion attend la correction ou mentionne une exclusion justifiée avec son effet sur le calcul. L’exigence d’exactitude de l’Art. 5(1)(d) dépend de la finalité ; ici, une date erronée fausse directement le résultat recherché.

Réduire les possibilités de rattachement

L’identifiant temporaire sert ici à éviter les doubles comptes et à corriger une anomalie. Il n’a pas vocation à devenir une clé permanente de suivi des clients. Définissez qui peut le rapprocher du dossier source et retirez-le de la sortie statistique.

Lorsqu’une correspondance doit être conservée pendant la vérification, la table de correspondance pseudonymisée est séparée du jeu d’analyse, avec des accès propres. Cette séparation réduit le risque ; elle ne rend pas automatiquement les données anonymes pour l’organisme qui conserve les moyens de rattachement.

Si le système peut produire directement le résultat nécessaire sans transmettre les lignes individuelles à l’analyste, examinez cette option. Le contrôle de qualité peut parfois être réalisé dans l’environnement source par une personne déjà habilitée. Ne créez pas systématiquement un nouvel entrepôt parce qu’un export est techniquement facile.

Avec un prestataire, encadrez la mission et le rôle au titre du RGPD. S’il agit comme sous-traitant, les instructions doivent limiter l’usage aux travaux convenus, prévoir la sécurité et le sort des copies. Le contrat ne justifie pas une transmission de colonnes inutiles. Art. 28(3) et 32.

Vérifier ce que révèle le résultat diffusé

Un agrégat n’est pas nécessairement anonyme. Une catégorie rare, un cas publiquement connu ou le rapprochement avec un autre tableau peut révéler une personne. La destination compte : un responsable de proximité peut connaître davantage de situations qu’un lecteur extérieur.

Supposons que l’on veuille décomposer les 100 clôtures en deux catégories de 96 et 4 dossiers. Masquer seulement la cellule « 4 » ne protège rien si le total 100 et la cellule 96 restent visibles : la soustraction restitue l’effectif. Le risque peut porter aussi sur un délai ou un événement sensible associé à ce petit groupe.

Il faut alors revoir le découpage ou les valeurs publiées, pas seulement leur mise en forme. Le guide des tableaux de bord à petits effectifs détaille cette revue. Aucun seuil unique d’effectif ne garantit l’anonymat de tous les tableaux.

L’analyste valide le calcul ; la personne chargée de la conformité examine le risque de divulgation et l’usage prévu. Cette répartition est une proposition d’organisation, à adapter. La version diffusée doit être identifiable et accompagnée de ses limites : période, population, exclusions et définition du délai.

Informer, traiter les droits et fermer la copie

L’information doit refléter la réutilisation, notamment selon les Art. 13(3) ou 14(4). Les exceptions éventuelles s’examinent selon leurs conditions. Une statistique interne ne permet pas d’affirmer que l’information serait toujours impossible ou disproportionnée. Art. 13 et 14.

L’Art. 89(2) permet au droit de l’Union ou d’un État membre de prévoir certaines dérogations aux droits, sous conditions. Une PME ne peut pas créer sa propre dispense en inscrivant « fichier statistique » dans sa procédure. Tant que des données personnelles subsistent, les demandes doivent être examinées selon le régime applicable et les éventuels textes précis invoqués.

Enfin, distinguez le dossier client source, la copie de travail et les résultats. Leurs durées ne sont pas nécessairement identiques. Supprimez la copie devenue inutile et les correspondances sans objet, sans effacer automatiquement les pièces dont la conservation demeure justifiée pour une autre finalité. L’Art. 5(1)(e) n’autorise pas un stock nominatif illimité pour d’éventuelles études futures.

FAQ

Peut-on publier 18 % sans autre information ?

Il faut vérifier le risque d’identification et expliquer ce que mesure le chiffre. Sans population, période et dénominateur, un taux peut être trompeur même s’il ne révèle aucune personne.

Faut-il conserver tous les dossiers pour reproduire le calcul ?

Non. Gardez une méthode et des éléments de contrôle proportionnés. La reproductibilité ne justifie pas automatiquement la conservation indéfinie de chaque copie nominative.

Une donnée anonyme peut-elle redevenir identifiable après partage ?

Les possibilités de rapprochement doivent être anticipées selon le contexte. Si la sortie permet encore raisonnablement une identification, la qualifier d’anonyme dans le titre du fichier ne change pas son régime.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.