Personenbezogene Daten

Presque tout ordinateur portable, smartphone ou appareil multifonction mis au rebut contient des données sur des personnes : noms dans les e-mails, numéros de téléphone dans le carnet d’adresses, visages sur des photos. Dès que de telles données sont en jeu, le RGPD s’applique. Cette entrée explique ce que sont les données à caractère personnel, où elles se cachent sur les anciens appareils et ce qui en découle pour la mise au rebut.

Qu’est-ce qui est considéré comme personnel ?

Ce qui compte, c’est de savoir si une personne peut être reconnue directement ou indirectement. Elle est directement identifiée, par exemple, par son nom. Elle est indirectement identifiable lorsque des informations peuvent être recoupées avec d’autres données, par exemple un numéro de client avec la base de données clients. Tous les moyens susceptibles d’être raisonnablement utilisés sont pris en compte.

Type	Exemples	Emplacement de stockage typique sur d’anciens appareils
Données d’identification	Nom, date de naissance, numéro de personnel ou de client	Documents, bases de données, profils d’utilisateur
Coordonnées	Adresse e-mail, numéro de téléphone, adresse postale	Boîtes aux lettres, carnets d’adresses, smartphones
Identifiants en ligne	Adresses IP, identifiants d’appareils, cookies, données de connexion	Stockage du navigateur, fichiers journaux, équipements réseau
Contenus	Photos, messages vocaux, notes d’entretien	Smartphones, tablettes, lecteurs réseau
Catégories particulières	Données de santé, données biométriques, religion, appartenance syndicale	Dossiers du personnel, systèmes de cabinet ou de laboratoire

Des règles plus strictes s’appliquent au dernier groupe en vertu de l’art. 9 du RGPD. Pour en savoir plus, voir l’entrée catégories particulières de données à caractère personnel.

Ce qui n’entre pas dans cette notion

• Données anonymes : Si une personne ne peut plus être reconnue, même avec un effort raisonnable, le RGPD ne s’applique pas.
• Données relatives aux entreprises : Les chiffres d’affaires ou les adresses d’entreprise ne sont pas des données à caractère personnel. Il en va autrement lorsqu’elles se rapportent à une personne, par exemple l’adresse e-mail d’un interlocuteur.
• Données de personnes décédées : Le RGPD ne protège que les personnes vivantes. D’autres dispositions, comme le secret professionnel, peuvent néanmoins s’appliquer.

Les données pseudonymisées restent en revanche des données à caractère personnel, car la clé permet de rétablir le lien avec la personne.

Ce que cela signifie pour le matériel mis au rebut

Les fichiers supprimés, les disques durs formatés ou les smartphones réinitialisés contiennent souvent encore des données récupérables. Tant que c’est possible, les obligations de protection du RGPD continuent de s’appliquer, en particulier les principes de l’art. 5 du RGPD. Si les données tombent entre de mauvaises mains, il y a une Violation de données . Quiconque met des appareils au rebut a donc besoin d’un procédé qui couvre chaque Support de données et prouve l’effacement pour chaque appareil. Notre article montre quelles traces peuvent subsister sur d’anciens disques durs : L’ADN de l’entreprise sur les disques durs.

Données à caractère personnel chez Second IT

Second IT contrôle à la réception des marchandises chaque appareil quant à tous ses supports de stockage et l’enregistre par numéro de série. L’effacement est réalisé avec Blancco, y compris dans les zones cachées comme HPA et DCO, avec un certificat d’effacement signé numériquement pour chaque appareil. De plus, les éléments d’identification du client, par exemple les autocollants, sont entièrement retirés. Les collaborateurs sont tenus au secret des données. En savoir plus sur Sécurité des données chez Second IT.

Questions fréquentes sur les données à caractère personnel

Une adresse IP est-elle une donnée à caractère personnel ?

Dans de nombreux cas, oui. En 2016, la Cour de justice de l’Union européenne a jugé que même les adresses IP dynamiques peuvent constituer des données à caractère personnel si le responsable du traitement dispose de moyens légaux de les attribuer à une personne. Vous devriez donc les traiter comme des données à caractère personnel sur les équipements réseau et dans les fichiers journaux.

Les adresses e-mail professionnelles sont-elles des données à caractère personnel ?

Oui, si elles sont attribuées à une personne, par exemple vorname.nachname@firma.de. Les adresses fonctionnelles comme info@ sans lien avec une personne ne le sont en règle générale pas.

Suffit-il de supprimer les fichiers personnels avant de remettre les appareils ?

Non. Les fichiers supprimés peuvent souvent être restaurés, et des données se trouvent aussi dans les caches, les profils ou des zones cachées. Seul l’effacement de l’ensemble du support de données par un procédé vérifié et avec preuve, ou sa destruction physique, est sûr.

Quelle est la différence entre données anonymes et données pseudonymisées ?

Les données anonymes ne peuvent plus être attribuées à une personne, même avec un effort raisonnable ; c’est pourquoi le RGPD ne s’y applique pas. Les données pseudonymisées restent des données à caractère personnel, car la clé permet de rétablir le lien avec la personne.

Les photos et messages vocaux sont-ils des données à caractère personnel ?

Oui, dès qu’une personne peut y être reconnue, par exemple à son visage ou à sa voix. De tels contenus se trouvent souvent sur les smartphones, tablettes et lecteurs réseau. Lors de la mise au rebut de ces appareils, ils doivent donc être effacés de manière prouvée.