Expertises des Systèmes d'information - Février 2020 - N°454 - Le mensuel du droit de l'informatique et du multimédia - 67

de traitements par des responsables
de traitement et sous-traitants établis
hors de l'Union  européenne mais
qui sont dirigés vers des personnes
concernées se trouvant sur le
territoire de l'Union  européenne.
Le CCPA protège donc uniquement
les résidents de l'État de Californie
alors que l'approche  européenne
a tout d'abord été de chercher à
policer les traitements de données
effectués sur son territoire, pour
n'acquérir qu'avec le RGPD un
caractère extraterritorial en poliçant
également les traitements effectués
hors de l'Union  européenne
mais visant les ressortissants
communautaires, ce dernier critère
de rattachement étant d'ailleurs
beaucoup
moins
clairement
défini que dans le CCPA et devant
faire l'objet d'une clarification
jurisprudentielle.
Alors que le RGPD a pour vocation
de couvrir tous les traitements
de
données
effectués
dans
l'Union européenne ou ciblant des
personnes concernées situées dans
l'Union, le CCPA ne concerne que
les traitements des informations
personnelles des Californiens, où
que soient situés le responsable de
traitement ou le sous-traitant, ce
qui lui donne paradoxalement une
extra-territorialité au moins aussi
importante que celle du RGPD.

Quelques notions
de base similaires
Le CCPA définit tout d'abord les
informations personnelles comme
toute « information qui directement
ou indirectement, identifie, est liée à,
décrit, peut être associée, ou pourrait
raisonnablement être associée à un
consommateur ou un foyer particulier. »4 Le CCPA énonce ensuite une
très longue liste d'exemples, non
limitatifs, d'informations personnelles qui incluent le nom, l'adresse,
l'adresse IP, l'adresse e-mail, le
numéro de sécurité sociale, de
passeport, de permis de conduire,
numéro de carte bancaire, informations biométriques, informations
commerciales,
historique
de
navigation sur Internet, données de
géolocalisation...

Cette définition est très proche de
celle du RGPD qui définit comme
une donnée à caractère personnel « toute information se rapportant
à une personne physique identifiée
ou identifiable (ci-après dénommée
«personne concernée») » ; et précise
ensuite qu' «  est réputée être une
'personne physique identifiable' une
personne physique qui peut être
identifiée, directement ou indirectement, notamment par référence
à un identifiant, tel qu'un nom,
un numéro d'identification, des
données de localisation, un identifiant en ligne, ou à un ou plusieurs
éléments spécifiques propres à son
identité physique, physiologique,
génétique, psychique, économique,
culturelle ou sociale ».
Il est intéressant de constater que la
définition d'informations personnelles du CCPA est plus large que
celle qui existait déjà dans le code
civil californien et a été étendue par
l'utilisation des termes « directement
ou indirectement » pour qualifier la
possibilité d'identifier une personne
avec les informations considérées,
qui semble un emprunt direct au
droit  européen. En effet, par cette
notion, les autorités de protection
des données et la Cour de justice
de l'Union européenne ont procédé
à une interprétation très extensive
de la notion de données personnelles pour inclure par exemple
l'adresse IP (qui est expressément
couverte par le CCPA) ou comme
l'a fait la Cnil, suivie par le Conseil
d'État, dans le dossier JC Decaux,
les adresses MAC de téléphones
portables après qu'elles ont été très
fortement pseudonymisées5. L'ajout
du terme foyer («  household  »)
ne nous semble en revanche pas
présenter un véritable intérêt,
puisqu'un foyer étant par nature
composé d'individus, les informations permettant, directement ou
indirectement, l'identification d'un
foyer permettent donc dans tous les
cas l'identification d'individus.
L'exclusion par le CCPA des données
publiquement disponibles, définies
comme les données disponibles
dans les registres gouvernementaux
EXPERTISES Février 2020

de la définition des informations
personnelles ne constitue pas non
plus une différence majeure par
rapport au RGPD. Tout d'abord, le
CCPA restreint la définition des
données en excluant les données
biométriques collectées par une
entreprise (les données biométriques
peuvent en effet par nature être
considérées comme publiquement
disponibles) mais aussi les données
qui sont utilisées pour un objet qui
n'est pas compatible avec l'objet pour
lequel les données sont collectées et
communiquées dans les registres
gouvernementaux, ce qui constitue
une réelle limite à la réutilisation de
ces données. De plus, le RGPD prévoit
également un traitement spécial
pour les données personnelles
présentes dans les registres publics,
puisqu'il prévoit, dans son article 86,
que les données à caractère personnel figurant dans les documents
officiels détenus par une autorité
publique pour l'exécution d'une
mission de service public peuvent
être communiquées conformément
au droit applicable de l'État membre
afin de concilier le droit d'accès du
public aux documents officiels et
le droit à la protection de données
personnelles. La loi Informatique et
libertés6 prévoit, elle, dans son article
7 que « ses dispositions ne font pas
obstacle à l'application, au bénéfice
de tiers, des dispositions relatives
à l'accès aux documents administratifs et archives publiques.    » Les
deux législations permettent donc
le traitement des données personnelles présentes dans les registres
publics mais encadrent ces traitements, en les limitant pour le CCPA
aux traitements compatibles avec
l'objet pour lequel le registre public
est maintenu et en instaurant une
obligation d'information préalable
des personnes concernées pour le
RGPD, sauf lorsque cette information se révèle manifestement
impossible ou exigerait des efforts
disproportionnés.
Finalement, le traitement des
informations
personnelles
est
défini comme «  toute opération
ou ensemble d'opérations qui
est effectuée sur des données

67
Expertises des Systèmes d'information - Février 2020 - N°454 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Février 2020 - N°454 - Le mensuel du droit de l'informatique et du multimédia
