★ À maîtriser
La liberté de communiquer sur l’espace numérique est mondialisée et sans frontières, ce qui donne une ampleur considérable aux agissements individuels.
La publication et le partage massifs d’informations facilitent les rassemblements, propagent les informations et peuvent uniformiser les comportements des utilisateurs.
Les utilisateurs peuvent modifier le comportement d’autres utilisateurs, et certains usagers spécifiques, comme les influenceurs, disposent d’un pouvoir particulièrement fort.
Compléments
Les plateformes peuvent favoriser la recherche d’informations qui confortent les idées de chacun sans vérification systématique des sources, mais elles peuvent aussi multiplier l’offre de contenus.
L’intelligence artificielle démultiplie les données publiées, y compris des contenus que les utilisateurs n’ont pas eux-mêmes créés ou trouvés, et renforce ainsi leur pouvoir régulateur.
Publication mondiale → diffusion massive → influence sur les comportements
★ À maîtriser
Compléments
Les restrictions applicables au numérique sont considérées par une partie de la doctrine comme un frein à l’innovation et comme un facteur de retard pour les États européens dans la course au numérique.
Le législateur est confronté à une difficulté de formation et de compréhension des réalités du numérique.
Circulation des données hier, protection des libertés fondamentales aujourd’hui
★ À maîtriser
L’article 9 du Code civil protège la vie privée et peut fonder une action liée au numérique.
L’article 29 de la loi du 29 juillet 1881 sur la liberté de la presse est déterminant pour sanctionner la diffamation.
La loi Informatique et Libertés du 6 janvier 1978 protège les personnes physiques face au traitement informatique de leurs données et a fondé la CNIL.
Compléments
L’article 1366 du Code civil encadre la preuve électronique, tandis que l’article L221-14 du Code de la consommation concerne les contrats conclus par voie électronique.
Les principales lois spéciales citées sont : la loi Godfrain de 1988 sur la criminalité informatique, la LCEN de 2004, la loi pour une République numérique du 7 octobre 2016, la loi du 15 novembre 2021 sur l’impact environnemental, la loi du 9 juin 2023 sur les influenceurs
Les sources étatiques comprennent aussi : le Code des postes et des communications électroniques, la jurisprudence, les usages et coutumes, la soft law de la CNIL et de l’ARPP
★ À maîtriser
Compléments
La Convention européenne des droits de l’homme peut être mobilisée en cas d’atteinte aux libertés fondamentales des utilisateurs.
La Convention de Budapest sur la cybercriminalité, dite STE n° 185, vise à adopter une politique pénale internationale et est signée par 77 États.
Les traités de l’OMPI cités comprennent : les traités Internet de 1996, le traité de Pékin en matière audiovisuelle, le traité de Marrakech, qui vise l’accès de tous
Les coutumes numériques se sont notamment manifestées par les chartes d’utilisation des usagers, appelées Nétiquette, puis par les conditions générales d’utilisation.
Les règles négociées du numérique prennent notamment la forme de : accords professionnels, conventions collectives, guides de bonnes pratiques, comme GreenIT, qui présente 74 pratiques
Le W3C élabore des standards internationaux considérés comme vertueux, qui ne sont pas obligatoires mais sont largement suivis, notamment par Google.
📌 Le principe de transparence du RGPD exige que les informations relatives au traitement des données personnelles soient concises, transparentes, compréhensibles et facilement accessibles en termes simples et clairs.
Lex electronica négociée ou spontanée ; compliance orientée vers un objectif imposé
★ À maîtriser
📌 La vision réaliste considère les données personnelles comme des biens appropriables que la personne peut contrôler et éventuellement vendre, tandis que la vision personnaliste les considère comme des attributs de la personnalité, incessibles et hors commerce.
📌 L’article 3 du RGPD s’applique notamment à un responsable établi dans l’Union européenne et aux traitements visant des personnes qui s’y trouvent, lorsqu’ils sont liés à une offre de biens ou services ou au suivi de leur comportement dans l’Union.
Compléments
📌 Une identification directe repose notamment sur l’identité civile ou génétique, tandis qu’une identification indirecte résulte du rapprochement de la donnée avec d’autres informations permettant d’identifier la personne.
📌 Une donnée anonymisée sort du champ des données personnelles si le lien avec la personne n’a jamais existé ou a été supprimé de manière irréversible.
📌 L’exemption domestique écarte l’application du RGPD pour le traitement réalisé par une personne seule à des fins purement personnelles ou domestiques et non lucratives, mais pas pour une diffusion large sur un site public ou Internet.
Vision réaliste : données appropriables ; vision personnaliste : attribut de la personne
★ À maîtriser
La CNIL, créée par la loi Informatique et Libertés de 1978, est une autorité administrative indépendante composée d’un collège de 18 membres et d’agents contractuels de l’État.
La CNIL conseille les organismes, édicte des normes souples, contrôle la conformité et peut rappeler à l’ordre, ordonner une mise en conformité, limiter ou suspendre un traitement et infliger des amendes administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.
Le Comité européen de la protection des données, créé en 2018 par le RGPD, favorise la cohérence et la coopération entre autorités nationales, conseille la Commission et publie des orientations, mais ne dispose ni de pouvoir d’enquête ni de pouvoir de sanction.
Compléments
La loi pour une République numérique de 2016 permet à une personne décédée d’avoir prévu des directives relatives à ses données personnelles ; en leur absence, les héritiers peuvent exercer certains droits pour organiser la succession et informer les opérateurs du décès.
Une plainte auprès de la CNIL doit établir la violation alléguée et montrer que des démarches ont d’abord été entreprises auprès de l’opérateur ; le lancement d’alerte bénéficie d’une protection renforcée par une loi de 2022.
🔄 Le contrôle de cohérence suit ces étapes :
Responsable : décide pourquoi et comment ; sous-traitant : exécute pour son compte
★ À maîtriser
L’article 5 du RGPD fixe le socle des principes du traitement des données personnelles, repris notamment par l’article 4 de la loi Informatique et Libertés, la Convention 108 et l’article 8 de la Charte des droits fondamentaux de l’Union européenne.
Le principe d’accountability impose au responsable du traitement de respecter les principes applicables et de pouvoir démontrer qu’il les respecte.
Un traitement de données personnelles doit reposer sur une base juridique, poursuivre une finalité déterminée et être proportionné à cette finalité.
Selon l’article 6 du RGPD, le consentement est une base juridique du traitement s’il est libre, éclairé, relatif à une ou plusieurs finalités spécifiques et exprimé par un acte positif clair.
Compléments
📌 Le traitement des données ordinaires est licite s’il repose sur un fondement juridique, tandis que celui des données sensibles est interdit sauf justification exceptionnelle prévue par un fondement juridique.
📌 Le traitement nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à sa demande peut constituer une base juridique au titre de l’article 6, paragraphe 1, point b), du RGPD.
★ À maîtriser
L’article 6 du RGPD autorise un traitement nécessaire au respect d’une obligation légale à laquelle le responsable est soumis.
L’article 6 du RGPD permet de fonder un traitement nécessaire à l’exécution d’une mission d’intérêt public.
📌 Un intérêt légitime privé peut fonder un traitement s’il ne porte pas atteinte aux droits et libertés fondamentaux des personnes concernées.
Compléments
La prévention de la fraude et la poursuite d’un intérêt économique peuvent constituer des intérêts légitimes.
Dans l’arrêt Google Spain du 13 mai 2014, la CJUE admet qu’un traitement puisse être fondé sur un intérêt économique, sous réserve du respect des droits et libertés.
L’équilibre entre l’intérêt légitime poursuivi et les droits des personnes est apprécié par le responsable du traitement.
Intérêt général : obligation et mission publiques ; intérêt privé : avantage soumis aux droits fondamentaux.
★ À maîtriser
📌 L’article 9 du RGPD interdit en principe le traitement des données sensibles, sauf si une exception prévue par le règlement est établie.
📌 Le traitement de données sensibles peut être licite si la personne concernée donne un consentement explicite pour une ou plusieurs finalités particulières.
Compléments
📌 Des intérêts publics ou certains intérêts privés peuvent justifier le traitement de données sensibles s’ils prennent en compte les intérêts de la personne concernée ou de la population.
Le droit du travail, la sécurité et la protection sociale font partie des domaines où certains intérêts particuliers strictement encadrés peuvent justifier un traitement de données sensibles.
La médecine préventive et la médecine du travail peuvent justifier un traitement de données sensibles, notamment pour évaluer la capacité de travail ou établir un diagnostic médical, sous le secret professionnel.
★ À maîtriser
Chaque finalité doit être déterminée, légitime et explicite, et suffisamment précise et compréhensible pour permettre son contrôle par les personnes concernées.
Le principe d’intangibilité impose que la finalité justifiant la collecte fonde également le traitement des données.
Le responsable doit collecter uniquement les données adéquates et nécessaires à la finalité, et les conserver seulement pendant la durée nécessaire à celle-ci.
Compléments
Les données anonymisées peuvent être conservées sans limite de durée lorsqu’elles sont traitées uniquement à des fins d’archives.
Les développeurs de big data soutiennent que l’entraînement d’un modèle de langage constitue une finalité claire, précise et licite, mais les techniques de collecte posent des difficultés au regard du RGPD.
Finalité précise → données nécessaires seulement → conservation limitée.
★ À maîtriser
📌 L’article 12 du RGPD impose au responsable de prendre des mesures appropriées pour informer les personnes concernées de manière concise, transparente, compréhensible et facilement accessible, en termes clairs et simples.
Compléments
📌 Une manœuvre destinée à tromper, à maintenir des informations floues ou à les cacher peut entraîner des sanctions au titre du principe de loyauté.
★ À maîtriser
Compléments
Les mesures de sécurité citées comprennent : la pseudonymisation, le chiffrement, le transfert confidentiel, les moyens garantissant l’intégrité des données
🔄 Le responsable vérifie l’efficacité de son système de sécurité en devant :
Le responsable doit gérer les incidents affectant ses outils et prévenir la CNIL lorsqu’un défaut de sécurité survient.
Une analyse d’impact est obligatoire dans certains cas, notamment pour le traitement de données de patients dans des établissements de santé et pour les dispositifs de veille sanitaire ou de télémédecine.
Concevoir, protéger par défaut, sécuriser, tester, gérer les incidents.
★ À maîtriser
📌 Le droit d’opposition prévu à l’article 21 du RGPD concerne les traitements fondés sur l’intérêt légitime ou sur une mission d’intérêt public ou l’exercice de l’autorité publique.
📌 Le droit de rectification permet de corriger des données inexactes ou de compléter des données incomplètes, et le responsable doit effectuer une rectification justifiée dans un délai d’un mois.
📌 Le droit à l’effacement prévu à l’article 17 du RGPD permet d’obtenir l’effacement de données identifiantes lorsque les conditions prévues sont réunies, notamment si elles ne sont plus nécessaires à la finalité ou si le traitement est illicite.
Compléments
📌 Le responsable peut limiter ou refuser l’accès si la communication porte atteinte aux droits et libertés d’autrui et qu’il ne peut éviter cette atteinte en supprimant certaines informations.
📌 Après une opposition, le responsable peut poursuivre le traitement s’il démontre des motifs légitimes et impérieux prévalant sur les intérêts et droits de la personne concernée.
Pour la prospection publicitaire, le droit d’opposition est discrétionnaire et la volonté de la personne prévaut toujours.
Pendant une limitation, les données concernées ne peuvent plus faire l’objet que d’une conservation.
Le droit à l’effacement ne s’applique pas lorsque le traitement est nécessaire à certaines finalités, notamment l’exercice du droit d’expression, le respect d’une obligation légale, une mission d’intérêt public ou la santé publique.
📌 Le droit à la portabilité s’applique lorsque le traitement est fondé sur le consentement ou sur la nécessité d’exécuter un contrat.
★ À maîtriser
📌 Les données de santé par nature sont recueillies en milieu médical, les données par croisement deviennent des données de santé lorsqu’elles sont rapprochées d’autres données, et les données par destination le deviennent en raison de leur utilisation.
📌 La donnée génétique brute est un échantillon matériel, tandis que la donnée génétique informative est l’analyse immatérielle de cet échantillon qui rend l’information exploitable.
Compléments
Les données concernant la santé peuvent révéler l’état de santé passé, actuel ou futur d’une personne, quelle que soit la source de l’information.
Le RGPD définit les données génétiques, contrairement à la LIL et à la directive de 1995.
Selon le considérant 34 du RGPD, les données génétiques peuvent provenir d’un échantillon biologique, notamment des chromosomes, de l’ADN ou de l’ARN, ou de l’analyse d’un autre élément permettant d’obtenir des informations équivalentes.
Le patient peut consulter son dossier médical, mais ne peut ni se l’approprier, ni le transmettre, ni le détruire, car le professionnel doit le tenir à jour.
Mon espace santé comprend une messagerie sécurisée et permet de visualiser les accès au dossier, contrairement au dossier papier dont les consultations ne sont pas traçables de la même manière.
★ À maîtriser
L’échange de données correspond à une communication adressée à un ou plusieurs destinataires identifiés, tandis que le partage les met à disposition d’une catégorie de professionnels.
Les échanges et partages de données de santé doivent porter uniquement sur les informations strictement nécessaires à la continuité des soins.
La durée de conservation des données de santé dépend de la finalité et, à son expiration, les données sont supprimées ou archivées sous forme anonymisée.
Compléments
📌 Le secret professionnel, prévu par l’article 226-13 du code pénal, sanctionne la révélation volontaire d’une information secrète obtenue à titre professionnel et comportant un élément de la vie privée.
📌 La conservation en base active dure le temps nécessaire à l’atteinte du but, tandis que la base intermédiaire correspond à l’archivage.
Catégories de données de santé
| Catégorie | Critère | Exemple du cours |
|---|---|---|
| Par nature | Recueillie en milieu médical | Donnée collectée dans un cadre médical |
| Par croisement | Devient santé après rapprochement | Donnée initialement non médicale croisée avec d’autres |
| Par destination | Devient santé en raison de son utilisation | Notification MDPH |
Teste tes connaissances sur RGPD et données de santé avec 11 questions à choix multiples et corrections détaillées.
1. Lors d’une crise locale, des milliers d’utilisateurs partagent rapidement les mêmes informations et organisent un rassemblement. Quel effet cette dynamique peut-elle produire sur leurs comportements ?
2. Pourquoi un influenceur peut-il exercer un pouvoir régulateur particulièrement fort sur l’espace numérique ?
Mémorisez les concepts clés de RGPD et données de santé avec 10 flashcards interactives.
Quelle ampleur prennent les agissements individuels grâce à la communication numérique sans frontières ?
Une ampleur considérable.
Que peuvent uniformiser les partages massifs d’informations chez les utilisateurs ?
Leurs comportements.
Vers quelle finalité le droit du numérique s’est-il déplacé ?
Vers la protection des libertés fondamentales.
Importe ton cours et l'IA génère fiches, QCM et flashcards en 30 secondes.
Générateur de fiches