Comment identifier une donnée personnelle ?

Dans un monde où le numérique prime, les organisations traitent de plus en plus de données, notamment des données personnelles.

La notion générique de « donnée » correspond à une information dont on peut déduire un message. Les données dites « personnelles » sont les informations qui tendent à identifier directement ou indirectement une personne. Le RGPD érige un cadre protecteur des données personnelles dans le but de faire respecter les droits et libertés, notamment la vie privée, des personnes physiques.

La réponse au sondage : « Est-ce que les enregistrement vocaux sont des données personnelles ? »

À l’occasion d’un sondage réalisé le 12 octobre 2021 sur notre page LinkedIn, nous vous avons demandé si selon vous les enregistrements vocaux ont la qualité de données personnelles. Vous avez été très forts ! 89% ont répondu juste, contre 6% de réponses fausses et 4% d’entre vous ne savaient pas (sondage auquel 178 votants ont participé). Il s’agit effectivement de données personnelles car la voix permet d’identifier une personne. 

Un enregistrement sonore en soit n’est pas une donnée personnelle, ce peut être l’enregistrement de tout bruit. Mais dès lors qu’il contient une voix, son statut évolue.

D’après Jean-François Bonastre, avec la voix on peut identifier le sexe de la personne, son âge approximativement, son origine géographique et socioculturelle, son état de santé, etc. autant d’informations qui permettent de reconnaitre une personne. La voix est donc considérée comme une donnée personnelle. Il s’agit même d’une donnée biométrique, en tant que caractéristique biologique. De ce fait, elle relève de la catégorie des données sensibles et nécessite de ce fait un traitement particulier. Et donc, un niveau de sécurité plus important et une protection accrue. Enfin, il ne faut pas oublier de considérer le contenu de l’enregistrement, lequel peut comporter des informations sensibles et contenir des données personnelles supplémentaires.

Comment utiliser cette donnée personnelle ?

Dans le but de sécuriser les données que vous traitez et surtout les données sensibles, vous avez pour obligation de les protéger tout au long du traitement.

La première obligation réside dans le fait de ne collecter que les données strictement nécessaires à votre activité.

N’oubliez pas la base légale de votre traitement : ce qui vous donne le droit de traiter ces données. Si votre traitement n’est pas justifié, vous n’êtes pas en mesure de l’opérer.

Vous devez entre autres limiter l’accès aux données par des mesures techniques et organisationnelles tant physiques que logiques. C’est-à-dire réguler autant que possible les entrées dans vos locaux et hiérarchiser les accès aux données. Autrement dit ces données, surtout celles dites sensibles, ne doivent être communiquées qu’aux personnes ayant à en connaitre et soumises à une obligation de confidentialité adaptée. 

Notez également que les données ne doivent pas être conservées indéfiniment. Soyez vigilants, la durée de conservation peut être prévue par la règlementation. Si ce n’est pas le cas, veillez à fixer au préalable une durée de conservation raisonnable et proportionnée à la finalité poursuivie par le traitement. Une fois la durée de conservation passée, assurez-vous d’anonymiser les données ou de les supprimer.

Le logiciel Mission RGPD et les données sensibles

Avec Mission RGPD, vous identifiez facilement les données sensibles que vous traitez afin de mesurer le risque. En cas de fuite de données le logiciel vous indique la démarche à suivre (signalement à la CNIL et éventuellement aux personnes concernées).

Vous priorisez vos actions en effectuant un audit préalable qui découle à un plan d’actions personnalisé.

Ne perdez plus de temps, c’est si simple !

Pour aller plus loin sur la donnée personnelle

Jean-François Bonastre interrogé pour le laboratoire d’innovation numérique de la CNIL (LINC) « La voix n’est pas une biométrie classique », rédigé par Félicien Vallet, 02 février 2017.