Hors collection - Droit des données à caractère personnel - 1re - 80

DROIT

DES DONNÉES À CARACTÈRE PERSONNEL

- elles permettent d'identifier une personne, c'est-à-dire de dire qui elle est ;
- elles permettent aussi de l'authentifier, permettant de confirmer que la personne est bien celle
qu'elle prétend être.
Ces données sont enregistrées sous forme d'un « gabarit » représentant les caractéristiques de la
personne, comme son image ; ce sont des « données biométriques dérivées »172.
En raison du développement des traitements de données biométriques, des règles spéciales ont été
instituées pour les encadrer. Tout traitement de données biométriques doit remplir les conditions
permettant de lever l'interdiction du traitement de ces données, doit respecter l'ensemble des dispositions applicables aux traitements de données (comme la finalité poursuivie ou l'information des
personnes concernées) et suppose la désignation d'un délégué à la protection des données à caractère
personnel et, le plus souvent, la réalisation d'une analyse d'impact. L'interdiction du traitement des
données biométriques est écartée pour les traitements conformes aux règlements types établis par la
CNIL173, mis en œuvre par les employeurs ou les administrations, qui portent sur les données strictement nécessaires au contrôle de l'accès aux lieux de travail ainsi qu'aux appareils et aux applications
utilisés dans le cadre des missions confiées aux salariés, agents, stagiaires et prestataires174. Les traitements qui portent sur des données biométriques (ou génétiques) nécessaires à l'authentification ou au
contrôle de l'identité des personnes et qui sont mis en œuvre pour le compte de l'État agissant dans
l'exercice de ses prérogatives de puissance publique - ce qui constitue la base juridique du traitement -
sont autorisés par décret en Conseil d'État après avis motivé et publié de la CNIL175. Le défi actuel
porte sur le développement de la reconnaissance faciale176. Se pose en particulier la question de la
proportionnalité du recours à cette technologie au regard de la finalité poursuivie. La CNIL a par
exemple rappelé, à propos de la mise en place d'un portique de reconnaissance faciale à l'entrée de
deux lycées, qu'il existe des moyens alternatifs pour assurer le contrôle à l'entrée des établissements,
la fluidité de la circulation des lycéens et la sécurité, comme des badges177.
123. Données concernant la santé. La notion de « données concernant la santé » est discutée178. La
Cour de justice a précisé, sous l'empire de la directive 95/46/CE que ces données doivent faire l'objet
d'une « interprétation large de telle sorte qu'elles comprennent des informations concernant tous les
aspects, tant physiques que psychiques, de la santé d'une personne »179. Le Conseil d'État avait eu
l'occasion de qualifier de donnée relative à la santé la mention, à propos de l'inscription d'un enfant
172. CNIL, délib. nº 2019-001, 10 janv. 2019 portant règlement type relatif à la mise en œuvre de dispositifs ayant pour
finalité le contrôle d'accès par authentification biométrique - qui conduira à comparer l'image de la personne avec
celle dont le gabarit est enregistré - aux locaux, aux appareils et aux applications informatiques sur les lieux de travail,
art. 1er.
173. L., 6 janv. 1978, art. 44, 4º et art. 8, I, 2º, c ; RGPD, art. 9, § 2, b.
174. CNIL, délib. nº 2019-001, 10 janv. 2019, préc.
175. L., 6 janv. 1978, art. 32.
176. CNIL, Reconnaissance faciale. Pour un débat à la hauteur des enjeux, 15 nov. 2019.
177. CNIL, 17 oct. 2019, séance plénière consacrée à une expérimentation de la reconnaissance faciale à l'entrée de deux
lycées.
178. Bossi Malafosse J., « Le traitement des données de santé et le règlement européen sur la protection des données du
27 avril 2016 », Comm. com. électr. 2018, étude 12 ; v. aussi : Slimani S., « RGPD et données de santé : une continuité
de la loi Informatique et libertés », RGDM 2018, nº 68, p. 266 ; Fargeaud P., « Les données de santé du sportif », Jurisport avr. 2019, nº 196, p. 30.
179. CJCE, 6 nov. 2003, nº C-101/01, Bodil Lindqvist, pt. 51 : « il convient de donner à l'expression " données relatives à la
santé " employée à son article 8, paragraphe 1, une interprétation large de sorte qu'elle comprenne des informations
concernant tous les aspects, tant physiques que psychiques, de la santé d'une personne ».

Hors collection - Droit des données à caractère personnel - 1re

Table des matières de la publication Hors collection - Droit des données à caractère personnel - 1re