Que faire en cas de collecte de données personnelles ?



Il y a plusieurs cas de figure qui permettent, selon le RGPD, la collecte de données personnelles (obligation légale, exécution d’une mission de service public, exécution d’un contrat, etc.). L’un de ces cas est l’obtention du consentement de la personne enquêtée. Ce consentement doit être non équivoque et donné suite à une information précise et claire. Il faut penser à conserver une trace de ce consentement, par exemple via une autorisation signée, une déclaration filmée ou enregistrée (formulaire type proposé par l’ENS de Lyon ; quelques exemples utilisés au sein de la fédération VISA + http://icar.cnrs.fr/projets/corinte/recueil/demande_autorisation.htm - Attention la plupart est antérieure au RGPD).
 

Le principe (légal et de précaution) est de ne collecter que les informations personnelles strictement nécessaires à notre recherche. Moins les informations personnelles sont collectées, moins il y a de risque d’identification directe. Néanmoins, ce principe est difficile à tenir dans le cadre d’une collecte de données vidéo, qui fixe l’image physique de l’enquêté et souvent au moins son prénom. De plus, il faut être vigilant aux identifications indirectes (par exemple par recoupement d’informations).

Outre le consentement, il est nécessaire de respecter plusieurs principes pour rester dans le cadre réglementaire :

-     INFORMATION : Il faut informer les personnes & respecter leurs droits ;

-    FINALITÉS : La ou les finalités du recueil doit/doivent être claires, explicites et légitimes et le traitement doit être en cohérence avec ces finalités (cela pose donc la question de la réutilisation des données dans des recherches ultérieures) ;

-    QUALITÉ : Les données doivent être exactes et pouvoir être modifiées si une personne le demande ;

-   SÉCURITÉ : Il faut s’assurer de la sécurité et confidentialité des données, c’est-à-dire, mettre en place des solutions qui visent à protéger ces données (y compris contre leur destruction).

-  CONSERVATION : Il est nécessaire de trouver une solution de stockage et de conservation fiable, pérenne et entrant dans les conditions légales (c’est ce que propose la base de données VISA).

 

·      Bien informer les enquêtés ?

La personne enquêtée doit être informée de façon claire et précise sur la collecte, le traitement et la conservation des données, mais aussi sur son droit d’accès, de rectification et de rétractation. Cette information doit être transparente, ainsi elle doit être compréhensible, simple et adaptée au public (ex : traduction des autorisations de filmer si les enquêtés comprennent mal le français), lisible (éviter les textes trop longs), etc.

 

·      Bien conserver ? Droits des personnes ?

La conservation des données personnelles est un enjeu crucial. En effet, elle doit être sécurisée et pérenne (données en accès restreint, encryptage des ordinateurs et disques durs, etc.).

De plus, les données doivent être accessibles et modifiables en cas de demande d’une personne enquêtée d’avoir accès, ou de pouvoir modifier certaines données. En effet, les personnes ayant fourni des données personnelles peuvent à tout moment, pour des motifs légitimes, s’opposer à leur traitement, accéder à l’ensemble des informations le concernant et exiger la modification, complétion, mise à jour ou suppression (plus d’informations : https://www.cnil.fr/fr/respecter-les-droits-des-personnes). Il est donc particulièrement important d’indiquer clairement auprès de qui les personnes peuvent faire valoir ces droits.

La base de données VISA propose une solution de conservation, spécialement conçue pour répondre aux impératifs légaux de la conservation de données de recherche (cf. page Base de données).

 

·      Diffuser ? Publier ? RGPD et droit à l’image

Le RGPD conseille, autant que possible la pseudonymisation des données. De manière générale, il recommande de post-traiter les données collectées afin qu’elles ne soient plus identifiantes : « Chaque fois que ces finalités peuvent être atteintes par un traitement ultérieur ne permettant pas ou plus l'identification des personnes concernées, il convient de procéder de cette manière. » (RGPD, article 89).

De plus le RGPD concerne la collecte et le traitement des données personnelles et n’intègre pas la question du droit à l’image, qui relève du droit pénal. Il est donc conseillé d’ajouter au consentement une question portant spécifiquement sur le droit de diffusion des images captées.

 

Références et sources d’information en ligne :

https://www.cnil.fr

https://www.vie-publique.fr/actualite/dossier/securite-internet/reglement-general-protection-donnees-quoi-s-agit-il.html

Emilie Masson, 2018, Aspects juridiques du traitement de données personnelles. http://25images.msh-lse.fr/rgpd/video/aspects-juridiques/fr.

Marie Plessz, 2017, « mon enquête respecte-t-elle la Loi Informatique et Liberté (LIL) ? », note de blog, disponible ici : https://solal.hypotheses.org/619.

Verbrugge, J. & Lacour, M. (2018), Le RGPD pour les Photographes et vidéastes, Collection Checklist, 29 bis Editions. Ouvrage à 24€ (https://blog.droit-et-photographie.com/le-rgpd-pour-les-photographes-et-videastes-episode-3-il-est-la/).