Principes fondamentaux

Le principe de responsabilité (l’accountability pour les anglo-saxons) est une innovation majeure du RGPD. Il porte une nouvelle façon d’appréhender la protection des données personnelles et le basculement d’un régime de formalités préalables statique à un régime de conformité globale dynamique.

Le principe de responsabilité se traduit par un renversement de la charge de la preuve. L’Inserm doit être en mesure de démontrer à tout moment que les traitements mis en œuvre sous sa responsabilité respectent l’ensemble des principes de protection des données personnelles définis par le RGPD et, pour ce faire, doit documenter l’ensemble des démarches entreprises. L’établissement devra être en mesure de produire la documentation en cas de contrôle. Le simple fait de ne pas être en mesure de produire la documentation qui atteste de la conformité est passible de sanctions alors même qu’il n’y a pas eu de violation de données.

Ce principe se traduit notamment par :

• la définition de politiques de protection des données et de sécurité des systèmes d’information ;
• l’obligation de mener analyse d’impact pour les traitements qui présentent des risques élevés,
• la tenue d’un registre des activités de traitement ;
• la déclaration des violations de données personnelles ;
• la prise en compte des principes de Privacy by design et Privacy by default.

Le​RGPD exige que les données soient :

• « collectées pour des finalités déterminées, explicites et légitimes », et
• ne soient pas « traitées ultérieurement de manière incompatible avec ces finalités ».

La finalité correspond à l’objectif du traitement (ex : gestion des recrutements, de la paie, objectif principal poursuivi par la recherche, protection des biens et des personnes…). Une même collecte peut répondre à plusieurs objectifs distincts (ex : soins/recherche).

La ou les finalités doivent être :

• déterminées préalablement, ce qui exclut toute collecte de données au hasard ou à des fins préventives ;
• explicites, c’est-à-dire portées à la connaissance de la personne concernée de manière compréhensible et suffisamment claire ;
• légitimes au regard de la nature et à l’activité de l’organisme mettant en œuvre le traitement.

Compatibilité de la finalité de recherche scientifique avec une finalité initiale différente

Les informations recueillies pour une finalité peuvent être réutilisées pour poursuivre un autre objectif à condition que cet objectif soit compatible avec la finalité initiale.

Le RGPD et la loi Informatique et Libertés posent une présomption de compatibilité des traitements ultérieurs avec les finalités initiales pour trois catégories de traitements :

• les traitements à des fins de de recherche scientifique ou historique ;
• les traitements à des fins statistiques ;
• les traitements archivistiques répondant à un intérêt public.

Les données à caractère personnel doivent être traitées de manière licite, c’est-à-dire permise par la loi.

L’exigence de loyauté et de transparence renvoie à l’information des personnes concernées – cf. Respect des droits des personnes concernées – et vise à éviter les traitements occultes ou cachés. Un traitement déloyal exposera son auteur à un risque de sanction.

Les données doivent être “adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées”. Egalement appelé principe de pertinence et de proportionnalité, le principe de minimisation des données vise à garantir que ne seront collectées que les données qui sont strictement nécessaires pour atteindre l’objectif poursuivi et à exclure toute collecte réalisée “à toutes fins utiles” ou dans l’éventualité où ces données pourraient un jour se révéler utiles. Il est donc nécessaire au moment du montage d’un projet de mener une réflexion sur le besoin de collecter des données et de le justifier, particulièrement lorsqu’il s’agit de données identifiantes ou sensibles.​

Les données doivent être exactes et, si nécessaire, tenues à jour. Le responsable du traitement doit donc s’assurer que les données dont il dispose sont exactes et, le cas échéant, supprimer les données obsolètes.

Le RGPD prévoit que les données sont “conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées” (art. 5). Une dérogation est toutefois admise par le texte applicable à la recherche scientifique.

La sécurité des données a été érigée par le RGPD en principe de base de la protection des données. Cette exigence est donc renforcée. Les données doivent être « traitées de façon à garantir une sécurité appropriée des données à caractère personnel […] à l’aide de mesures techniques ou organisationnelles appropriées ». (art. 5).

Cette obligation incombe aux responsables de traitement et aux sous-traitants qui doivent mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque. Le caractère approprié des mesures de sécurité à mettre en place s’apprécie au regard de :

• de la nature, de la portée, du contexte et des finalités du traitement ; 
• de l’état des connaissances, des coûts de mise en œuvre ;
• des risques (probabilité et gravité) pour les droits et libertés des personnes.

La sécurité vise à garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement. Le RGPD mentionne notamment au titre des mesures à mettre en place selon les besoins (art. 32) : 

• La pseudonymisation et le chiffrement des données à caractère personnel (qui doivent être mis en place par défaut pour la recherche sauf justification) ;
• Le Plan de reprise et de continuité d’activité ;
• Les procédures d’audit.

Cette liste n’est pas exhaustive. Les mesures de sécurité doivent être revues régulièrement pour être ajustées en fonction de l’évolution des risques.

De cette obligation de sécurité découle l’obligation nouvelle de notifier à la CNIL certaines brèches de sécurité. Cette brèche devra également dans certains cas être communiquée à la personne concernée.

Princ​ipales références en matière de sécurité

Normes internationales

• ISO/IEC 27001 : exigences pour un système de management de la sécurité de l’information (SMSI)
• ISO/IEC 27002 : catalogue de bonnes pratiques pour la sécurité de l’information​