Les données personnelles correspondent à toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres (article 2 de la loi informatique et liberté). Elles sont protégées par divers instruments juridiques concernant le droit à la vie privée, dont notamment la loi Informatique, fichiers et libertés de 1978, la directive 95/46/CE au niveau communautaire ainsi que la Convention n°108 pour la protection des données personnelles du Conseil de l'Europe. À l'instar de la CNIL française, beaucoup de pays disposent aujourd'hui d'autorités chargées de la protection des données personnelles, qui sont souvent des autorités administratives indépendantes (ou des équivalents de celles-ci).
Les données personnelles qui permettent l'identification (ou nominatives) correspondent aux noms, prénoms, adresses (physique et électronique), numéro de téléphone, lieu et date de naissance, numéro de sécurité sociale, numéro de carte de paiement, plaque d'immatriculation d'un véhicule, photo, empreinte digitale, ADN, etc. Aujourd'hui, en effet, une recherche à l'aide d'un moteur de recherche sur une ou plusieurs bases de données, en utilisant la combinaison de quelques-unes simplement de ces données, permet d'identifier et de retrouver avec précision n'importe quel individu. Certaines de ces données, dont en particulier le numéro de sécurité sociale ou le NIR, ainsi que les données biométriques (empreinte digitale, échantillon ADN, etc.), sont particulièrement sensibles, car elles fonctionnent en tant qu'« identifiants universels », qui permet de raccorder différents fichiers entre eux et ainsi d'opérer leur interconnexion.
Selon une déclaration du Conseil des ministres du Conseil de l'Europe de 1997, les données personnelles incluent les données médicales et génétiques1, ainsi que les empreintes digitales et, en général, toute caractéristique biométrique.
Plusieurs éléments essentiels sont pris en compte concernant le traitement de ces données, dont leur durée de conservation, la finalité du traitement concerné, le consentement de la personne vis-à-vis de ce traitement, l'obligation d'information et, dans le cadre de l'entreprise, la consultation des instances représentatives le niveau de protection technique dont elles bénéficient (ou non), etc.
Selon la loi Informatique, fichiers et libertés de 1978, lorsqu'il s'agit du secteur privé, ces données ne peuvent être collectées, traitées et conservées par un organisme ou une entreprise que si la personne ou le service qui est responsable de ces opérations a effectué au préalable une déclaration à la CNIL, qui doit être validée par l'attribution d'un numéro d'enregistrement. Ce numéro doit être indiqué sur le site web en plus de l'adresse de contact du service qui va gérer le fichier des données personnelles.
Depuis la loi sur la sécurité quotidienne de 2001, modifiée par la loi de 2006 relative à la lutte contre le terrorisme, les FAI et les opérateurs télécom sont tenus de conserver les données de connexion de leurs usagers et de les mettre à la disposition des autorités policières si celles-ci le désirent.
Le responsable du fichier ou du traitement de données personnelles doit informer les personnes concernées du but de ce traitement, de l'identité des destinataires de ces informations, et des droits dont ils disposent conformément aux articles 32 et 38 de la loi informatique et libertés de 1978.
Les partis politiques, les églises, les syndicats et les associations ne sont pas tenus de déclarer le fichier de leurs membres à la CNIL. Les sites web mis en œuvre par des particuliers dans le cadre d’une activité exclusivement personnelle sont aussi dispensés de déclaration, comme le stipule la dispense de déclaration n° 65 de la CNIL.
La loi française qualifie de « données sensibles » les données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à leur santé ou à leur vie sexuelle ; de même les données relatives aux infractions, condamnations et mesures de sûreté bénéficient d'un régime spécifique. Il est a priori interdit de collecter et d'enregistrer ces données, seuls les fichiers d’État (police, RG, etc.) pouvant déroger à cette règle, sous certaines conditions.
En ce qui concerne les entreprises un sondage de juin 2008 hébergé sur le Village de la Justice6 « met à jour les manquements des entreprises en matière de données personnelles. Presque la moitié des sondés (sur un total de 300 professionnels) déclarent ne pas maîtriser la gestion des données à caractère personnel. Des manques qui pourraient donner des sueurs froides à certains dirigeants car les amendes infligées par la CNIL peuvent monter jusqu’à 300 000 euros7. » « Pourtant une majorité (60 %) affirme être bien ou plutôt bien informée sur la notion et les enjeux des données à caractère personnel8. » Selon l'étude, « cela montre que les entreprises, bien qu'informées des obligations légales vis-à-vis de la CNIL ne gèrent pas de manière rigoureuse l'ensemble de leurs déclarations et traitements soumis à la loi. » D'après ITRmanager.com, « les choses devraient néanmoins changer progressivement puisque depuis deux ans, la CNIL mène auprès des entreprises françaises des opérations de sensibilisation. »
Melenchon_Deter
MxGreen