Composantes du principe de minimisation (lequel apparaît en tant que tel au considérant 156 et aux articles 5, 25, 47 et 89), la nécessité et la limitation de la durée de conservation sont deux rouages essentiels du Règlement Général sur la Protection des Données Personnelles.
Quid de la nécessité : à défaut d’être nécessaire (c’est-à-dire indispensable et dont on ne peut se passer – Def Larousse) à l’atteinte de la finalité poursuivie, la donnée ne peut être traitée.
Elle ne peut donc ni être collectée, ni utilisée. Une donnée « simplement utile » ne répondrait donc pas à l’exigence de nécessité : elle ne pourrait et ne devrait donc pas être traitée. Modérons ici notre propos puisque le critère d’appréciation mis en avant par la CNIL est celui de « non excessif » et non de « strictement nécessaire » – il y a donc une tolérance de la CNIL par rapport à la lettre du texte.
La nécessité est « LE » critère commun à toutes les bases légales de traitement en ce qui concerne leur licéité (sauf pour le consentement – Art. 6).
Quid de l'exactitude et de la conservation limitée : les données ont une durée de vie limitée. Une donnée collectée à un instant « T » doit être rectifiée et mise à jour à intervalles utiles pour qu’elle reste exacte. A défaut elle doit être effacée. L’exigence d’exactitude est prévue à l’article 5d du Règlement.Enfin, la donnée doit rester adéquate et pertinente et des durées de conservation fixées, au delà desquelles les données doivent être purgées, anonymisées ou - dans certains cas - archivées : en tout état de cause, elles ne doivent plus être traitées activement.
Minimisation et nécessité vont donc de pair.
Minimisation, mise à jour et purge régulière aussi.
C’est ce que vient de rappeler la CNIL dans une délibération du 29 octobre 2021 où la RATP est sanctionnée d’une amende administrative d’un montant de 400 000 (quatre cent mille) euros pour collecte de données non nécessaires (article 5.1.c) et manquement à l’obligation de limiter la durée de conservation des données (article 5.1.e) (outre un manquement à la sécurité des données – article 32 du Règlement Général sur la Protection des Données Personnelles).
Notons enfin que la CNIL est entrée en voie de condamnation envers la RATP en qualité de responsable de traitement et ceci au titre de manquements causés par ses agents alors même qu’il existait une politique officielle devant prévenir les faits finalement reprochés. Mais ici, c’est l’absence de prise de mesures organisationnelles et techniques réellement effectives pour la faire respecter qui fonde la sanction (actes non-isolés/ défaut de supervision, manque de rigueur, défaut de mesures préventives ayant pu empêcher la survenance des comportements déviants).
Commentaires
Enregistrer un commentaire