Règlement général sur la protection des données (GDPR)
Le 25 mai , le Règlement général sur la protection des données (RGPD) entrera en vigueur. Avec son entrée en vigueur, la protection des données personnelles devient primordiale. Les entreprises doivent se conformer à des règles plus nombreuses et plus strictes en matière de protection des données. Toutefois, l'entrée en vigueur du RGPD soulève diverses questions. Pour les entreprises, il peut être difficile de déterminer quelles données sont considérées comme des données personnelles et relèvent du champ d'application du RGPD. C'est le cas des adresses électroniques : une adresse électronique est-elle considérée comme une donnée personnelle ? Les entreprises qui utilisent des adresses électroniques sont-elles soumises au RGPD ? Cet article répondra à ces questions.
Données personnelles
Afin de répondre à la question de savoir si une adresse e-mail est considérée ou non comme des données personnelles, le terme données personnelles doit être défini. Ce terme est expliqué dans le RGPD. Sur la base de l'article 4 sous a RGPD, les données personnelles désignent toute information relative à une personne physique identifiée ou identifiable. Une personne physique identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment en référence à un identifiant tel qu'un nom, un numéro d'identification, des données de localisation ou un identifiant en ligne. Les données personnelles concernent les personnes physiques. Par conséquent, les informations concernant des personnes décédées ou des personnes morales ne sont pas considérées comme des données personnelles.
Adresse courriel
Maintenant que la définition des données personnelles est établie, il convient d'évaluer si une adresse électronique est considérée comme telle. La jurisprudence néerlandaise indique que les adresses électroniques peuvent potentiellement constituer des données personnelles, mais que ce n'est pas systématique. Cela dépend de la possibilité d'identifier ou non une personne physique à partir de son adresse électronique.[1] La structure même de l'adresse électronique doit être prise en compte pour déterminer si elle peut être considérée comme une donnée personnelle.
De nombreuses personnes physiques structurent leur adresse électronique de telle sorte qu'elle doit être considérée comme une donnée personnelle. C'est le cas, par exemple, d'une adresse électronique structurée comme suit : [email protected] . Cette adresse électronique expose le nom et le prénom de son utilisateur.
Par conséquent, cette personne peut être identifiée grâce à cette adresse électronique. Les adresses électroniques utilisées à des fins professionnelles peuvent également contenir des données personnelles. C'est le cas lorsqu'une adresse électronique est structurée de la manière suivante : [email protected] . À partir de cette adresse électronique, il est possible de déduire les initiales de son utilisateur, son nom de famille et son lieu de travail. Ainsi, la personne utilisant cette adresse électronique est identifiable grâce à celle-ci.
Une adresse électronique n'est pas considérée comme une donnée personnelle lorsqu'elle ne permet pas d'identifier une personne physique. C'est le cas, par exemple, de l'adresse électronique suivante : [email protected] Cette adresse ne contient aucune donnée permettant d'identifier une personne physique. Les adresses électroniques génériques utilisées par les entreprises, telles que [email protected] , ne sont pas non plus considérées comme des données personnelles.
Cette adresse e-mail ne contient aucune information personnelle permettant d'identifier une personne physique. De plus, l'adresse e-mail n'est pas utilisée par une personne physique, mais par une personne morale. Par conséquent, elle n'est pas considérée comme une donnée personnelle. La jurisprudence néerlandaise permet de conclure que les adresses e-mail peuvent être des données personnelles, mais ce n'est pas toujours le cas ; cela dépend de la structure de l'adresse e-mail.
Il est fort probable que des personnes physiques puissent être identifiées par l'adresse électronique qu'elles utilisent, ce qui fait des adresses électroniques des données personnelles. Pour que les adresses électroniques soient considérées comme des données personnelles, il importe peu que l'entreprise utilise effectivement les adresses électroniques pour identifier les utilisateurs. Même si une entreprise n'utilise pas les adresses électroniques à des fins d'identification de personnes physiques, les adresses électroniques à partir desquelles des personnes physiques peuvent être identifiées sont néanmoins considérées comme des données personnelles.
Il n’est pas toujours possible de faire un lien technique ou fortuit entre une personne et des données pour qualifier ces dernières de données personnelles. Toutefois, s’il existe une possibilité que les adresses électroniques puissent être utilisées pour identifier les utilisateurs, par exemple pour détecter des cas de fraude, les adresses électroniques sont considérées comme des données personnelles. Dans ce cas, il importe peu que l’entreprise ait ou non l’intention d’utiliser les adresses électroniques à cette fin. La loi parle de données personnelles lorsqu’il existe une possibilité que les données puissent être utilisées à des fins permettant d’identifier une personne physique.[2]
Données personnelles spéciales
Bien que les adresses électroniques soient généralement considérées comme des données personnelles, elles ne constituent pas des données personnelles sensibles. Les données personnelles sensibles comprennent les données révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance à une organisation professionnelle, ainsi que les données génétiques ou biométriques. Cette définition découle de l'article 9 du RGPD. Par ailleurs, une adresse électronique contient moins d'informations publiques qu'une adresse postale , par exemple.
Il est plus difficile de connaître l'adresse électronique d'une personne que son adresse personnelle et cela dépend en grande partie de l'utilisateur de l'adresse électronique de rendre publique ou non son adresse électronique. De plus, la découverte d'une adresse électronique qui aurait dû rester cachée a des conséquences moins graves que la découverte d'une adresse personnelle qui aurait dû rester cachée. Il est plus facile de changer une adresse électronique que l'adresse personnelle et la découverte d'une adresse électronique peut conduire à un contact numérique, tandis que la découverte d'une adresse personnelle peut conduire à un contact personnel.[3]
Traitement des données personnelles
Nous avons établi que les adresses e-mail sont considérées comme des données personnelles la plupart du temps. Cependant, le RGPD ne s'applique qu'aux entreprises qui traitent des données personnelles. Le traitement des données personnelles existe de chaque action en ce qui concerne les données personnelles. Ceci est défini plus en détail dans le RGPD. Conformément à l'article 4, paragraphe 2, du RGPD, le traitement des données à caractère personnel s'entend de toute opération effectuée sur des données à caractère personnel, que ce soit ou non de manière automatique. Les exemples sont la collecte, l'enregistrement, l'organisation, la structuration, le stockage et l'utilisation des données personnelles. Lorsque les entreprises effectuent les activités susmentionnées en ce qui concerne les adresses e-mail, elles traitent des données personnelles. Dans ce cas, ils sont soumis au RGPD.
Conclusion
Toutes les adresses électroniques ne sont pas considérées comme des données personnelles. Toutefois, les adresses électroniques sont considérées comme des données personnelles lorsqu'elles fournissent des informations identifiables sur une personne physique. De nombreuses adresses électroniques sont structurées de manière à ce que la personne physique qui utilise l'adresse électronique puisse être identifiée. C'est le cas lorsque l'adresse électronique contient le nom ou le lieu de travail d'une personne physique. Par conséquent, de nombreuses adresses électroniques seront considérées comme des données personnelles.
Il est difficile pour les entreprises de distinguer les adresses électroniques considérées comme des données personnelles de celles qui ne le sont pas, car cela dépend entièrement de la structure de l'adresse. Par conséquent, on peut affirmer sans risque que les entreprises qui traitent des données personnelles seront amenées à traiter des adresses électroniques considérées comme telles. Cela signifie que ces entreprises sont soumises au RGPD et doivent mettre en œuvre une politique de confidentialité conforme à ce règlement.
[1] ECLI: NL: GHAMS: 2002: AE5514.
[2] Kamerstukken II 1979/80, 25 892, 3 (MvT).
[3] ECLI: NL: GHAMS: 2002: AE5514.
