RGPD - Règlement Général sur la Protection des Données

Le Règlement général sur la protection des données (RGPD) est une règlementation européenne en matière de droit à la vie privée. Elle est entrée en vigueur le 25 mai 2018.

Donnée à caractère personnel = toute information relative à une personne physique identifiée ou identifiable (article 4 RGPD)

NB : les règles de protection des données personnelles ne s'appliquent pas aux personnes décédées.

Traitement de donnée à caractère personnel = toute opération effectuée sur une donnée à caractère personnel.

Les principes à respecter (article RGPD) lors du traitement des données personnelles :

• Licéité, loyauté et transparence
• Limitation de la finalité
• Minimisation des données
• Précision des données
• Limitation de la conservation des données
• Intégrité et confidentialité
• Responsabilité

Le traitement est licite s'il remplit au moins l'une des conditions suivantes :

• La personne concernée a donné son consentement.
• Le traitement est nécessaire au respect d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles à la demande de la personne concernée.
• Le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis.
• Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne.
• Le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers.

Il est important de comprendre que le consentement n'est pas toujours nécessaire ! Toutefois, lorsque le consentement constitue la base de la licéité du traitement, il doit être librement donné, spécifique, éclairé et non équivoque. Il doit s'agir d'un acte affirmatif clair. Il ne peut donc y avoir de consentement en cas de silence ou d'inactivité. Il peut être retiré à tout moment.

Les données sensibles :

Certaines données sont qualifiées de "sensibles". 

En principe, il est interdit de traiter des données sensibles (= données relatives à l'origine raciale ou ethnique, aux opinions politiques, philosophiques ou religieuses, à l'appartenance syndicale, aux données génétiques et biométriques, à la santé et à la vie sexuelle) SAUF dans certaines conditions limitativement énumérées à l'article 9 du RGPD. L'une de ces conditions est la recherche scientifique, pour autant qu'elle s'accompagne de garanties appropriées (articles 9 et 89 du GDPR).

La transparence et l'information : 

Le RGPD impose au responsable du traitement de fournir un certain nombre d'informations à la personne dont les données sont traitées. Ces informations sont les suivantes :

• l'identité et les coordonnées du responsable du traitement ou de son représentant ;
• les coordonnées du délégué à la protection des données, s'il en existe un ;
• les données collectées ;
• les finalités du traitement et la base juridique ;
• les destinataires des données à caractère personnel ;
• le transfert éventuel à un pays tiers ou à une organisation internationale ;
• la durée de conservation ou les critères pour la déterminer
• existence des droits de la personne concernée (accès, rectification, effacement, limitation, opposition, portabilité + droit de retirer son consentement à tout moment) ;
• existence du droit d'introduire une réclamation auprès de l'autorité de contrôle ;
• l'existence d'une prise de décision automatisée.

Il en va de même lorsque les données n'ont pas été collectées auprès de la personne concernée. CEPENDANT, dans le domaine de la recherche, le responsable du traitement ultérieur est exempté de l'obligation d'information lorsque celle-ci s'avère impossible ou exige des efforts disproportionnés.

Le droit des personnes concernées :

Les personnes dont les données sont traitées détiennent un certain nombre de droits. Toutefois, ceux-ci peuvent être limités (accès, rectification, limitation, opposition et effacement) s'ils rendent impossible ou entravent sérieusement la réalisation des objectifs de la recherche.

La durée de conservation des données :

Le principe de minimisation du RGPD oblige à ne pas conserver des données à caractère personnel plus longtemps que cela est nécessaire à la réalisation des finalités annoncées. Les données à caractère personnel peuvent être conservées plus longtemps à condition qu'elles soient traitées uniquement à des fins de recherche scientifique et que :

• les objectifs de la recherche peuvent être atteints par un traitement qui ne permet pas ou plus l'identification des personnes concernées ;
• des garanties appropriées existent.

La déléguée à la protection des données (DPO) :

Pour toute question relative au GDPR, veuillez contacter Michèle Remy, Déléguée GDPR de l'UCLouvain : privacy@uclouvain.be