REMARQUE IMPORTANTE
Pour des raisons légales, tout nouveau membre devra indiquer dans sa fiche avoir pris connaissance du contenu de ce topic. Les anciens membres seront informés par une Newsletter de l’existence de ce topic.
Bonjour,
Ce topic à visée informatif a pour but d’informer tout utilisateur du forum sur l’utilisation qui est faite de ses
données personnelles. Il s’agit en effet maintenant d’une obligation légale découlant du
Règlement Général sur la Protection des Données, abrégé RGPD. Ce règlement est un règlement européen adopté le 14 avril 2016 par le Parlement Européen, et devant entrer en vigueur dans les différents États-membres de l’Union Européenne le 25 mai 2018.
Concrètement, en France, les dispositions du RGPD ont été codifiées pour une certaine partie dans la célèbre
loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, plus communément appelée «
Loi informatique et Libertés », une très importante loi française visant à légiférer sur la protection des données personnelles des internautes.
Pour commencer, quelques petites notions à bien comprendre avant d’appréhender le fond du sujet :
- Une donnée personnelle est, au sens de l’article 4 du RGPD, toute information permettant d’identifier une personne physique « directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. ». Autrement dit, il s’agit de tout élément susceptible de permettre l’identification d’une personne physique. De tels éléments sont réglementés et régulés dès lors que le site Internet que vous utilisez dispose d’un système de traitement automatisé de ces données et les stocke dans des données. Dans une décision assez récente du 3 novembre 2016, la Cour de cassation a retenu qu’une adresse IP constituait une donnée personnelle (voir l’arrêt ici.
- La Commission Nationale de l’Informatique et des Libertés, la CNIL, est une autorité administrative indépendante (AAI) ayant pour but de veiller au respect des libertés individuelles sur Internet. C’est l’une des AAI les plus connues sur Internet, qui dispose de son propre site Internet, et rend régulièrement des avis, réalise des études, des sondages, et dispose de pouvoirs assez conséquent.
Qu’en est-il de LGJ ? LGJ récolte-t-il certaines de vos données personnelles ?La réponse est à la fois... Oui et non.
Oui, en vous inscrivant sur ce forum, vos données personnelles, notamment votre adresse IP, sont récoltées.
La subtilité, ici, vient toutefois du fait que ce n’est pas LGJ en elle-même qui récolte des données personnelles, mais l’association qui héberge LGJ, le
Hérisson Bleu.
Le droit français impose en effet à tout hébergeur de service Internet de collecter et de détenir un certain nombre de données personnelles. Cette obligation découle de l’
article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique, dite plus communément «
LCEN ».
Cet article 6 indigeste et particulièrement long prévoit en substance que «
les personnes physiques ou morales qui assurent, même à titre gratuit, pour mise à disposition du public par des services de communication au public en ligne, le stockage de signaux, d'écrits, d'images, de sons ou de messages de toute nature (autrement dit, tous les hébergeurs, que ce soit à titre gratuit ou non) [...]
détiennent et conservent les données de nature à permettre l'identification de quiconque a contribué à la création du contenu ou de l'un des contenus des services dont elles sont prestataires ».
En clair ==> l’association du Hérisson Bleu héberge du contenu, et rentre donc dans le cadre de l’article 6 de la LCEN.
L’association doit donc détenir et conserver tous les éléments de nature à permettre l’identification de tout utilisateur qui participe au forum.Le contenu et le délai de conservation de ces données a été précisé dans l’un des décrets d’application de la LCEN, le
décret n° 2011-219 du 25 février 2011.
Ce décret définit certaines catégories de données personnelles devant être conservées en fonction de telle situation. Schématiquement, deux cas de figure sont envisagés : la «
création d’un compte », l’étape où vous rejoignez le forum en créant votre compte, et «
l’opération de création », autrement dit l’étape où vous participez au développement du forum... Autrement dit, chaque message.
Pour ces deux types d’opérations, les données personnelles conservées sont les suivantes :
Article 1 décret n° 2011-219 du 25 février 2011
« Les données mentionnées au II de l'article 6 de la loi du 21 juin 2004 susvisée, que les personnes sont tenues de conserver en vertu de cette disposition, sont les suivantes :
[...]
2° Pour les personnes mentionnées au 2 du I du même article et pour chaque opération de création :
a) L'identifiant de la connexion à l'origine de la communication ;
b) L'identifiant attribué par le système d'information au contenu, objet de l'opération ;
c) Les types de protocoles utilisés pour la connexion au service et pour le transfert des contenus ;
d) La nature de l'opération ;
e) Les date et heure de l'opération ;
f) L'identifiant utilisé par l'auteur de l'opération lorsque celui-ci l'a fourni ;
3° Pour les personnes mentionnées aux 1 et 2 du I du même article, les informations fournies lors de la souscription d'un contrat par un utilisateur ou lors de la création d'un compte :
a) Au moment de la création du compte, l'identifiant de cette connexion ;
b) Les nom et prénom ou la raison sociale ;
c) Les adresses postales associées ;
d) Les pseudonymes utilisés ;
e) Les adresses de courrier électronique ou de compte associées ;
f) Les numéros de téléphone ;
g) Le mot de passe ainsi que les données permettant de le vérifier ou de le modifier, dans leur dernière version mise à jour ; »
Comme vous le voyez, cela fait beaucoup de données !
S'agissant de la durée de conservation des données, celle-ci est d'une année, à partir du moment où le post a été fait, ou, dans le cas d'un compte, à compter du jour où le compte est fermé. Autrement dit, même si votre compte est supprimé, il ne l'est pas totalement, puisque nous devons encore détenir les données s'y rattachant pendant une durée d'une année :
Article 6 du décret n° 2011-219 du 25 février 2011 :
« La durée de conservation des données mentionnées à l'article 1er est d'un an :
a) S'agissant des données mentionnées aux 1° et 2°, à compter du jour de la création des contenus, pour chaque opération contribuant à la création d'un contenu telle que définie à l'article 2 ;
b) S'agissant des données mentionnées au 3°, à compter du jour de la résiliation du contrat ou de la fermeture du compte ; »
Pour résumer ==> l’association est obligée par le législateur français de conserver pendant une durée d’un an un certain nombre de données personnelles.Ces données ne sont évidemment pas utilisées à des fins publicitaires ou autres, mais sont stockées parce qu’il s’agit d’une obligation légale.
Quid du RGPD dans tout ce bazar ?Différents cas de figure sont prévus par le RGPD pour s’assurer de la «
licéité du traitement », c’est-à-dire différents scénarii où l’hébergeur peut utiliser un système de traitement des données sans que cela ne soit illégal. Ces cas de figure sont situés à l’article 6 du RGPD :
Article 6 du RGPD
« 1. Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie:
a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques;
b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci;
c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis;
d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique;
e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement;
f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. »
Dans notre situation, le système de collecte et de traitement des données est celui figurant au «
c) », puisqu’il s’agit d’un traitement découlant de la LCEN, comme exposé précédemment.
Il était évidemment important d’informer aussi bien les anciens que les nouveaux membres de l’existence de ce système. Encore une fois, le Hérisson Bleu ne tire aucun bénéfice, qu’il soit commercial ou non, dans ce système, qui est en réalité plus lourd qu’autre chose, puisqu’il nous contraint à devoir conserver des données.
Le RGPD introduit de nouveaux rapports dans le système de traitement des données personnelles, puisqu’il vise à alléger les formalités administratives incombant aux personnes privées (avant cela, tout hébergeur devait, pour pouvoir instaurer un système de traitement automatisé, obtenir l’autorisation de la CNIL, ce qui n’est désormais plus le cas), mais assortit cela, en contrepartie, d’un renforcement de l’information de l’utilisateur, et de plus fortes sanctions.
Le consentement occupe une part centrale du RGPD, figurant notamment dans le considérant n°32 du RGPD :
Considérant n°32 du RGPD :
« Le consentement devrait être donné par un acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des données à caractère personnel la concernant, par exemple au moyen d'une déclaration écrite, y compris par voie électronique, ou d'une déclaration orale. Cela pourrait se faire notamment en cochant une case lors de la consultation d'un site internet, en optant pour certains paramètres techniques pour des services de la société de l'information ou au moyen d'une autre déclaration ou d'un autre comportement indiquant clairement dans ce contexte que la personne concernée accepte le traitement proposé de ses données à caractère personnel. Il ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d'inactivité. Le consentement donné devrait valoir pour toutes les activités de traitement ayant la ou les mêmes finalités. Lorsque le traitement a plusieurs finalités, le consentement devrait être donné pour l'ensemble d'entre elles. Si le consentement de la personne concernée est donné à la suite d'une demande introduite par voie électronique, cette demande doit être claire et concise et ne doit pas inutilement perturber l'utilisation du service pour lequel il est accordé. »
C’est en raison de l’importance donnée au consentement qu’il faudra désormais que
chaque nouveau membre, lorsqu’il postera sa fiche de présentation, précise avoir lu ce topic, et avoir donc été informé de l’utilisation qui est faite de ses données personnelles.
Vous trouverez un lien suivant un fichier .PDF récapitulant les informations données ci-dessus ==>
https://drive.google.com/file/d/1kDrVT3eG2bE3fkunbNVqgy3HBPcwJmEr/view.
Enfin, n’hésitez pas à poser vos questions, si vous en avez
