Le cadre réglementaire d’utilisation de la donnée tient notamment à la Réglementation Générale de la Protection des Données (RGPD) applicable (via la CNIL) au sein de l’union européenne depuis le 25 mai 2018, et qui renforce notamment la protection des données personnelles. Aussi, il s’étend plus largement sur la loi informatique et libertés.

Donnée (personnelle)
Une donnée personnelle est une information se rapportant à une personne physique, qui permet de l’identifier directement (ex : ses nom et prénom) ou indirectement (ex : un numéro de sécurité sociale).

Si une information ou un croisement d’informations permet d’identifier un individu, alors cette information ou ce croisement d’informations est une donnée personnelle.

Traitement de données
Un traitement est toute opération effectuée sur la donnée personnelle. La définition est donc très large.

Il peut s’agit de la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication, le rapprochement ou l’interconnexion, la limitation, l’effacement ou encore la destruction de données.

Finalité de traitement
La finalité d’un traitement, c’est l’objectif poursuivi, la raison pour laquelle on traite une donnée.

Responsable de traitement
Un Responsable du traitement est la personne physique ou morale, l’autorité publique, le service qui, seul ou conjointement avec d’autres, détermine les finalités (les objectifs) et les moyens du traitement.

Destinataire des données
Un destinataire est la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui reçoit la communication de données, qu’il s’agisse ou non d’un tiers, sans pour autant réaliser de traitement sur les données.

Violation des données personnelles
Le RGPD vise la violation de la sécurité entraînant, de façon accidentelle ou non, la destruction, la perte, l’altération, la divulgation non autorisée de données personnelles, ou l’accès non autorisé à ces données.

En cas de violation de données, le responsable de traitement et le sous-traitant (s’il existe) peuvent engager leur responsabilité conjointe.

Intérêt légitime
L’intérêt légitime est une des bases légales prévues par le RGPD sur laquelle peut se fonder un traitement de données personnelles. Le recours à cette base légale suppose que les intérêts (commerciaux, de sécurité des biens, etc.) poursuivis par l’organisme traitant les données ne créent pas de déséquilibre au détriment des droits et intérêts des personnes dont les données sont traitées.

Consentement (de la personne concernée)
Lorsque la personne concernée doit donner son consentement à un traitement de ses données (ce consentement n’est pas toujours requis), ce consentement doit remplir certains critères importants. A défaut, le consentement donné n’est pas valable. Le consentement de la personne concernée est une manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données personnelles la concernant fassent l’objet d’un traitement. Le consentement doit donc être express (non implicite), préalable au traitement (non a posteriori), donné en toute connaissance de cause (avant de donner son accord, la personne doit notamment être informée de manière claire et transparente de la ou des finalités de traitements de ses données).

Donnée sensible
Une donnée sensible est d’abord une donnée personnelle. Elle est ensuite une donnée dite « sensible » car elle concerne des informations particulières d’une personne : la santé, l’ethnie, la religion, la race, l’appartenance politique ou syndicale, l’orientation et la vie sexuelle. Retenez que le traitement d’une donnée sensible est en principe interdit, sauf cas particuliers.