droit (ECT, 1re et 2e années) · Chapitre 6 · Application directe du cours
Données personnelles ou non ?
Les actifs immatériels de l'entreprise · niveau 1 (application)
Énoncé
Une enseigne de sport tient les fichiers suivants. Lesquels contiennent des données personnelles au sens de l'article 4 du RGPD ? Qui est le responsable du traitement ?
- Les nom, prénom, adresse électronique et historique d'achat des titulaires de sa carte de fidélité.
- Les chiffres d'affaires mensuels de ses magasins.
- Les numéros SIREN et les adresses des sièges de ses fournisseurs, tous constitués en sociétés.
- Les images de vidéosurveillance de ses magasins, conservées par un prestataire de sécurité.
Corrigé
La règle. Une donnée personnelle est « toute information se rapportant à une personne physique identifiée ou identifiable », directement ou indirectement (article 4, 1, du RGPD). Le responsable du traitement détermine les finalités et les moyens du traitement (article 4, 7).
1. Oui : nom, adresse électronique et historique d'achat se rapportent à des personnes physiques identifiées.
2. Non : des données agrégées sur l'activité des magasins ne se rapportent à aucune personne physique.
3. Non : les fournisseurs sont des personnes morales ; le RGPD ne protège que les personnes physiques (attention cependant aux noms et coordonnées des interlocuteurs, qui sont des données personnelles).
4. Oui : les images permettent d'identifier les clients et les salariés filmés.
Le responsable du traitement est l'enseigne, qui décide pourquoi et comment ces données sont traitées ; le prestataire de sécurité qui conserve les images pour son compte est un sous-traitant.