Dans presque tous les emplois, on manipule des données de personnes. Qui est à l'accueil note le nom d'un visiteur. Qui sert dans un magasin relève une adresse de livraison. Qui travaille à l'administration voit des fiches de paie, des arrêts maladie et des contrats. C'est pourquoi les règles de protection des données ne sont pas seulement l'affaire de la direction : elles vous concernent aussi.
Les règles qui s'appliquent en Espagne
- Le règlement général sur la protection des données (RGPD, règlement (UE) 2016/679) s'applique directement dans tous les pays de l'Union européenne.
- La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD, la loi organique espagnole sur la protection des données personnelles et la garantie des droits numériques) complète le règlement en Espagne. Elle régit, par exemple, l'âge du consentement, le devoir de confidentialité, la vidéosurveillance et les droits numériques au travail.
- L'Agencia Española de Protección de Datos (AEPD, aepd.es, l'agence espagnole de protection des données) est l'autorité qui veille au respect de ces règles.
Ce qu'est une donnée personnelle
C'est toute information concernant une personne physique identifiée ou identifiable (article 4, point 1, du RGPD). Par exemple :
- nom, prénom, adresse, téléphone et adresse e-mail
- numéro de DNI (Documento Nacional de Identidad, la carte d'identité espagnole) ou de NIE (numéro d'identification des étrangers), numéro de salarié ou de client
- photographies, vidéos et enregistrements de voix où la personne est reconnaissable
- adresses IP, données de localisation et plaques d'immatriculation associées à une personne
- salaire, horaires, absences, évaluations et données de la vie professionnelle
La donnée n'a pas besoin d'être secrète. Une adresse e-mail publiée sur un site web reste une donnée personnelle. Les données d'une société (son CIF ou son chiffre d'affaires) n'en sont pas, mais celles de la personne qui se trouve derrière une activité indépendante en sont.
Les données anonymes, qui ne permettent plus d'identifier personne, sont hors du champ des règles. Les données pseudonymisées, où le nom est remplacé par un code mais où l'on peut revenir à la personne grâce à une clé conservée à part, restent des données personnelles.
Ce qu'est un traitement
Le traitement est tout ce que l'on peut faire avec des données : les collecter, enregistrer, conserver, consulter, rechercher, envoyer, modifier, partager et effacer (article 4, point 2). Quand vous regardez simplement une fiche à l'écran, vous traitez déjà des données. Les règles s'appliquent aux traitements automatisés et aussi aux fichiers papier, s'ils sont organisés selon des critères, par exemple un classeur rangé par nom de famille.
Qui est qui
- La personne concernée est la personne à laquelle se rapportent les données : une cliente, un patient, un élève ou un collègue de travail.
- Le responsable du traitement décide des finalités et des moyens du traitement (article 4, point 7). C'est normalement l'entreprise ou l'organisme pour lequel vous travaillez, pas vous personnellement.
- Le sous-traitant traite des données pour le compte du responsable, par exemple une gestoría (cabinet qui tient la comptabilité et prépare les fiches de paie) ou le fournisseur d'un logiciel en ligne (article 4, point 8). Entre les deux, il doit y avoir un contrat ou un autre acte juridique écrit (article 28).
Qui travaille sous l'autorité de l'entreprise ne peut traiter les données que sur ses instructions (article 29 du RGPD). Il ne peut pas décider de son propre chef d'utiliser la liste des clients dans un autre but.
Pourquoi c'est important
Des données mal utilisées peuvent causer de vrais dommages : escroqueries, usurpation d'identité, harcèlement, discrimination ou perte d'un emploi. Une erreur nuit aussi à l'entreprise et peut aboutir à une sanction.
Retenez : avant d'utiliser les données d'une personne, demandez-vous si vous en avez besoin pour votre travail et si l'entreprise vous autorise à les utiliser ainsi.