On ne peut pas traiter des données personnelles comme on veut. L'article 5 du RGPD fixe sept principes qui servent de guide dans chaque tâche. Quand vous ne savez pas quoi faire, relisez cette liste.
Les principes de l'article 5
- Licéité, loyauté et transparence. Il faut une base juridique, on ne trompe personne et on explique clairement ce que l'on fait des données.
- Limitation des finalités. Les données sont collectées dans un but précis et ne sont pas utilisées ensuite dans un autre but incompatible. Les données d'un formulaire de candidature ne servent pas à envoyer de la publicité.
- Minimisation des données. On ne demande et n'utilise que les données nécessaires. Si le nom suffit, on ne demande pas aussi la date de naissance.
- Exactitude. Les données doivent être à jour. Si quelqu'un signale une erreur, on la corrige.
- Limitation de la conservation. Les données ne sont pas gardées indéfiniment, mais le temps nécessaire ou celui qu'une loi exige.
- Intégrité et confidentialité. On les protège contre l'accès non autorisé, la perte et la destruction.
- Responsabilité. L'entreprise doit pouvoir démontrer qu'elle respecte les règles, avec des documents, des registres et des procédures.
Les bases qui permettent de traiter des données
Pour traiter des données, il faut au moins l'une des bases de l'article 6 du RGPD :
- le consentement de la personne
- l'exécution d'un contrat, par exemple le contrat de travail
- une obligation légale, comme la communication des données à la Seguridad Social (la sécurité sociale espagnole)
- la sauvegarde des intérêts vitaux d'une personne
- une mission d'intérêt public ou l'exercice de l'autorité publique
- un intérêt légitime de l'entreprise ou d'un tiers, tant que les droits de la personne ne prévalent pas
Pour une entreprise, la plupart des données du personnel sont traitées au titre du contrat et des obligations légales : fiches de paie, embauches, cotisations et retenues. Demander le consentement du personnel est rarement une bonne base, car le travailleur dépend de l'entreprise et peut ne pas se sentir libre de dire non.
Le consentement
Quand le consentement est bien la base, il doit être libre, spécifique, éclairé et univoque, donné par une déclaration ou un acte positif clair. Une case déjà cochée ou le silence ne valent pas. La personne peut le retirer à tout moment, et le retirer doit être aussi simple que de le donner.
L'âge des mineurs
La LOPDGDD, à son article 7, fixe à 14 ans l'âge à partir duquel un mineur peut consentir seul au traitement de ses données. En dessous, le consentement du titulaire de l'autorité parentale ou du tuteur est nécessaire. Cela compte dans les académies, les clubs sportifs, les établissements d'enseignement et les entreprises qui proposent des services aux familles.
L'information à donner
Quand on collecte des données, il faut informer la personne (articles 13 et 14 du RGPD) : qui est le responsable, à quoi servent les données, sur quelle base juridique, à qui elles sont communiquées, combien de temps elles sont conservées et quels droits elle a. La LOPDGDD (article 11) permet de le faire par niveaux : une information de base bien visible et le reste dans un endroit facile à trouver, par exemple une adresse web.
Retenez : si vous allez utiliser des données pour quelque chose de nouveau qui n'a pas été expliqué à la personne, consultez d'abord la personne compétente dans votre entreprise.