Le RGPD ne couvre pas toutes les données ni tous les traitements. L’article 2 du règlement (UE) 2016/679 délimite précisément son champ d’application matériel et exclut plusieurs catégories de situations. Comprendre ces exclusions évite de mobiliser des ressources de conformité sur des traitements qui n’entrent pas dans le périmètre du texte.
Anonymisation irréversible et pseudonymisation : la frontière technique qui détermine l’exemption RGPD
Une donnée rendue anonyme de manière irréversible sort du champ du RGPD. Le considérant 26 du règlement pose le critère : si aucune personne ne peut raisonnablement être identifiée, directement ou indirectement, l’information n’est plus une donnée à caractère personnel.
A lire en complément : Quelles sont les 3 parties d'un mapping des risques ?
La difficulté réside dans le seuil de l’irréversibilité. Le responsable de traitement doit évaluer l’ensemble des moyens raisonnablement susceptibles d’être utilisés pour réidentifier la personne concernée, y compris par croisement avec d’autres jeux de données. Un simple retrait du nom ou du prénom ne suffit pas.
La pseudonymisation ne constitue pas une exemption. L’article 4, point 5, du règlement la définit comme un traitement qui empêche l’attribution directe à une personne sans information supplémentaire. Tant que cette information supplémentaire existe quelque part, les données pseudonymisées restent des données personnelles soumises au RGPD.
A lire également : Quelle est la meilleure application de sécurité ?
En pratique, la distinction se joue sur un test de réidentification. Si un tiers disposant de ressources raisonnables peut reconstituer le lien entre le jeu de données et une personne physique, l’anonymisation est considérée comme insuffisante et le traitement reste dans le périmètre du règlement.
Traitements exclus par l’article 2 du RGPD : activités personnelles, sécurité nationale et personnes décédées
L’article 2, paragraphe 2, liste les traitements auxquels le règlement ne s’applique pas. Trois exclusions méritent une lecture attentive.
Activités strictement personnelles ou domestiques
Le point c de l’article 2, paragraphe 2, exclut le traitement effectué par une personne physique dans le cadre d’une activité exclusivement personnelle ou domestique. Le considérant 18 précise que cette exemption couvre la correspondance privée, la tenue d’un répertoire d’adresses ou l’utilisation de réseaux sociaux dans un cadre personnel.
L’interprétation est stricte. Dès qu’une publication devient accessible à un nombre indéterminé de personnes, ou qu’une activité présente un caractère professionnel ou commercial, l’exemption tombe. Un blog personnel à audience restreinte peut relever de l’exemption ; un compte public diffusant du contenu à finalité promotionnelle n’en relève plus.
Sécurité nationale et politique étrangère
Les traitements liés à la politique étrangère et de sécurité commune de l’Union, ainsi que ceux relevant de la sécurité nationale des États membres, sont exclus par l’article 2, paragraphe 2, points a et b. Ces traitements relèvent de cadres juridiques nationaux spécifiques, et non du droit de l’Union en matière de protection des données.
Données des personnes décédées
Le RGPD protège les personnes physiques vivantes. Le considérant 27 confirme que les données relatives aux personnes décédées ne relèvent pas du règlement. Les États membres conservent la faculté d’adopter des règles nationales sur ce point. En France, la loi Informatique et Libertés prévoit un droit pour les héritiers de gérer les données du défunt, mais cette protection découle du droit national, pas du RGPD.
Données de personnes morales et informations non identifiantes : ce que le RGPD ne protège pas
Le règlement vise exclusivement les personnes physiques. Les informations se rapportant à une personne morale (raison sociale, numéro SIRET, adresse du siège) ne sont pas des données à caractère personnel au sens de l’article 4, point 1.
Attention au piège fréquent : l’adresse e-mail professionnelle nominative ([email protected]) reste une donnée personnelle parce qu’elle identifie une personne physique. L’adresse générique ([email protected]) ne l’est pas. Nous constatons que cette distinction génère régulièrement des erreurs dans les registres de traitement.
De même, les données purement statistiques agrégées qui ne permettent aucune identification, même indirecte, ne relèvent pas du RGPD. Un taux de conversion global, un chiffre d’affaires sectoriel ou une moyenne salariale par branche ne sont pas des données à caractère personnel, à condition qu’aucun recoupement ne permette d’isoler un individu.
- Coordonnées génériques d’entreprise (adresse postale du siège, numéro de standard, e-mail de contact non nominatif) : hors périmètre RGPD
- Statistiques agrégées sans possibilité de réidentification : hors périmètre RGPD
- Données techniques non rattachables à une personne (logs serveur sans adresse IP, données de capteurs industriels sans lien avec un opérateur identifiable) : hors périmètre RGPD
- E-mail nominatif professionnel ou numéro de ligne directe d’un salarié : donnée personnelle soumise au RGPD
Limites pratiques des exemptions RGPD pour le responsable de traitement
Les exemptions ne fonctionnent pas comme des cases à cocher. Elles reposent sur une analyse contextuelle que le responsable de traitement doit documenter.
L’anonymisation, par exemple, doit résister à un test prospectif. Les techniques évoluent, et un jeu de données considéré comme anonyme aujourd’hui peut devenir réidentifiable demain si de nouvelles sources de croisement apparaissent. Le caractère irréversible s’apprécie au regard des moyens raisonnablement disponibles, pas uniquement des outils actuels du responsable de traitement.
L’exemption pour activité personnelle ou domestique pose un problème similaire. La frontière entre usage privé et diffusion publique se déplace avec les fonctionnalités des plateformes numériques. Un paramètre de confidentialité modifié peut faire basculer un traitement du côté du RGPD sans que la personne concernée en ait conscience.
- Documenter la méthode d’anonymisation et les tests de réidentification réalisés
- Réévaluer périodiquement le risque de réidentification en fonction des nouvelles techniques disponibles
- Vérifier que l’exemption revendiquée correspond bien au cas d’usage réel, et non à une interprétation extensive
L’exclusion pour sécurité nationale, quant à elle, ne peut pas être invoquée par un organisme privé. Elle concerne les activités régaliennes des États membres, pas les prestataires qui interviennent dans ce secteur. Un sous-traitant traitant des données pour le compte d’une administration de défense reste soumis au RGPD pour ses propres obligations.
Le périmètre des exemptions RGPD est volontairement étroit. Le règlement a été conçu pour couvrir le plus large spectre possible de traitements de données personnelles. Chaque exclusion revendiquée doit pouvoir être justifiée par une analyse factuelle, sous peine de constituer un manquement documentable par la CNIL.
