Big Data et RGPD : guide de conformité pratique

·

Big data et protection des données sont compatibles dès lors que l'entreprise définit d'abord pourquoi elle a besoin de l'information, quelle base légale en permet l'usage et quels risques le traitement fait courir aux personnes. Le volume n'allège en rien les exigences du RGPD : il impose au contraire de renforcer la gouvernance, la minimisation, la sécurité et la capacité à démontrer chaque décision.

Big data et protection des données : commencer par la finalité et la base légale

Un projet analytique ne doit pas commencer par la collecte de toutes les données disponibles « au cas où elles seraient utiles ». Le point de départ consiste à décrire une finalité précise, légitime et compréhensible : détecter la fraude, anticiper la demande, réduire l'attrition, segmenter les communications ou améliorer un processus. Il faut ensuite déterminer quelles données sont réellement nécessaires et quelle base de l'article 6, paragraphe 1, du RGPD légitime chaque traitement.

Les bases les plus courantes sont les suivantes :

Si des catégories particulières de données sont en jeu — santé, biométrie destinée à identifier une personne, opinions politiques ou autres données visées à l'art. 9, § 1 — une exception valable au titre de l'art. 9, § 2, est nécessaire en plus d'une base de l'art. 6. L'utilisation de données relatives aux condamnations et infractions pénales relève, elle, de l'art. 10.

L'information donnée aux personnes doit répondre aux exigences des art. 13 ou 14 du RGPD, selon que les données sont recueillies directement ou indirectement. Dans des contextes complexes, une information par couches peut être utilisée, mais la première couche doit exposer clairement les finalités principales, la logique pertinente des profils établis et les modalités d'exercice des droits.

Avant d'intégrer des sources de données, notre service de gouvernance des données aide à construire un inventaire des ensembles de données, des finalités, des propriétaires, de la qualité, de la provenance, des durées de conservation et des autorisations. Cette traçabilité évite qu'un lac de données ne se transforme en un dépôt sans contrôle.

Minimisation, limitation de la finalité et qualité des données

L'article 5, paragraphe 1, b), du RGPD exige que les données soient collectées pour des finalités déterminées, explicites et légitimes, et ne soient pas traitées ultérieurement de manière incompatible. L'art. 5, § 1, c), impose la minimisation : les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire. L'art. 5, § 1, d), ajoute l'exigence d'exactitude, et l'art. 5, § 1, e), limite la conservation.

En pratique, une PME peut traduire ces principes en contrôles concrets :

  1. Définir la question métier et écarter les variables qui n'apportent pas d'amélioration démontrable.
  2. Séparer les identifiants directs du jeu de données analytique et restreindre l'accès à la table de correspondance.
  3. Définir des règles de qualité, de provenance et de mise à jour ; une donnée massive mais biaisée produit des décisions massives et biaisées.
  4. Fixer des durées de conservation par finalité et automatiser la révision, le blocage ou la suppression.
  5. Éviter les réutilisations incompatibles. Si une nouvelle finalité apparaît, sa compatibilité doit être analysée au regard de l'art. 6, § 4, du RGPD, ou une autre base valable doit être trouvée.
  6. Travailler avec des échantillons, des données agrégées ou des données synthétiques lorsqu'ils permettent d'atteindre l'objectif avec un impact moindre.

La protection des données dès la conception et par défaut, prévue à l'art. 25, impose d'intégrer ces décisions avant de contracter la plateforme ou d'entraîner le modèle. Par défaut, l'accès ne devrait pas être ouvert à toute l'organisation, ni les données conservées indéfiniment. L'art. 32 exige des mesures de sécurité adaptées au risque : contrôle d'accès, chiffrement, journalisation de l'activité, sauvegardes, tests et réponse aux incidents, entre autres.

Quand le big data impose-t-il une AIPD ?

L'analyse d'impact relative à la protection des données (AIPD) n'est pas un document de pure forme. Selon l'art. 35, § 1, du RGPD, elle doit être réalisée avant le traitement lorsque celui-ci est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, compte tenu de sa nature, de sa portée, de son contexte et de ses finalités.

L'art. 35, § 3, mentionne expressément, entre autres cas, l'évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé — y compris le profilage — servant à des décisions produisant des effets juridiques ou affectant de manière significative de façon similaire, ainsi que le traitement à grande échelle de catégories particulières de données ou de données pénales.

« Grande échelle » ne correspond pas à un seuil universel. Il faut apprécier conjointement le nombre ou la proportion de personnes concernées, le volume et la variété des données, la durée et l'étendue géographique. L'AEPD (autorité espagnole de protection des données) et le Comité européen de la protection des données (CEPD) invitent également à prendre en compte des critères tels que la surveillance systématique, le croisement de plusieurs ensembles de données, les personnes vulnérables, les technologies innovantes, les données très personnelles, ou les obstacles à l'exercice d'un droit ou à l'accès à un service.

Par prudence, si plusieurs critères de risque élevé sont réunis, la décision doit être documentée et l'AIPD doit, en principe, être réalisée. Son contenu minimal, conformément à l'art. 35, § 7, comprend :

L'AIPD est un processus vivant. Elle doit être révisée dès que les données, la finalité, l'algorithme, les destinataires, l'infrastructure ou le niveau de risque évoluent. Si, après les mesures prises, un risque résiduel élevé subsiste, une consultation préalable de l'autorité de contrôle s'impose au titre de l'art. 36. Le DPD, lorsqu'il existe, doit être consulté, conformément aux art. 35, § 2, et 39, § 1, c).

Anonymisation et pseudonymisation

Les deux notions ne se confondent pas. La pseudonymisation, définie à l'art. 4, point 5, du RGPD, empêche d'attribuer les données à une personne sans recourir à des informations supplémentaires, à condition que ces informations soient conservées séparément et protégées. Elle réduit les risques, mais les données restent des données personnelles et le RGPD continue de s'appliquer.

L'anonymisation vise à rendre la personne non identifiable par des moyens raisonnablement susceptibles d'être utilisés, compte tenu des coûts, du temps, de la technologie et des sources auxiliaires. Si elle est véritablement irréversible, l'information cesse d'être une donnée personnelle. Remplacer des noms par des codes, supprimer un numéro de pièce d'identité ou appliquer un simple hachage relève généralement de la pseudonymisation, non de l'anonymisation.

Dans le big data, la possibilité de réidentification en combinant des variables apparemment anodines augmente. Il convient donc d'évaluer l'individualisation, la corrélation et l'inférence ; d'appliquer la généralisation, la suppression, l'agrégation ou la perturbation ; et de vérifier périodiquement le risque. Le guide d'anonymisation de l'AEPD insiste sur la nécessité de réduire au minimum la réidentification sans détruire l'utilité des données, mais aucune méthode ne doit être présentée comme une garantie absolue indépendamment du contexte.

Il importe également de savoir qui détient la clé et quelles sources externes existent. Le responsable du traitement doit documenter la technique employée, les hypothèses retenues, les tests réalisés et les restrictions de réutilisation. Publier un jeu de données « anonymisé » exige une évaluation bien plus exigeante que son usage dans un environnement interne maîtrisé.

Profilage et décisions automatisées

Le profilage est un traitement automatisé destiné à évaluer des aspects personnels, au sens de l'art. 4, point 4, du RGPD. Il peut porter sur le rendement, la situation économique, les préférences, la fiabilité, le comportement, la localisation ou les déplacements. Tout profilage n'est pas interdit, mais chacun exige une finalité, une base légale, de la transparence, de la minimisation et un contrôle des biais.

L'art. 22, § 1, reconnaît le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant la personne de manière significative de façon similaire. En sont des exemples potentiels le refus automatique d'un service essentiel, l'exclusion d'une personne d'une opportunité, ou une décision d'emploi significative prise sans réelle intervention humaine.

Les exceptions prévues à l'art. 22, § 2, sont limitées : nécessité à la conclusion ou à l'exécution d'un contrat, autorisation légale assortie de garanties, ou consentement explicite. Dans les cas du contrat et du consentement, la personne doit au moins disposer du droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision — art. 22, § 3. Les décisions ne doivent pas se fonder sur des catégories particulières de données, sauf dans les conditions strictes de l'art. 22, § 4.

Une révision humaine ne peut se réduire à une validation automatique. La personne chargée de la révision doit disposer des compétences, des informations, du temps et de l'autorité nécessaires pour modifier le résultat. Par ailleurs, les art. 13, § 2, f), 14, § 2, g), et 15, § 1, h), exigent des informations utiles sur la logique appliquée, ainsi que sur l'importance et les conséquences prévues, le cas échéant.

Transferts internationaux et prestataires

Le recours à un service cloud, à une API analytique ou à un support à distance peut impliquer un accès depuis l'extérieur de l'Espace économique européen. Les art. 44 à 49 du RGPD exigent que le transfert n'abaisse pas le niveau de protection.

L'ordre pratique consiste à vérifier si une décision d'adéquation au titre de l'art. 45 existe. À défaut, des garanties appropriées de l'art. 46 peuvent être utilisées, comme les clauses contractuelles types, accompagnées d'une évaluation du transfert et de mesures supplémentaires lorsque cela s'avère nécessaire. Les dérogations de l'art. 49 sont réservées à des situations spécifiques, non à une solution structurelle pour des flux habituels.

Le contrat conclu avec le sous-traitant doit satisfaire aux exigences de l'art. 28 : objet, durée, instructions, confidentialité, sécurité, sous-traitants ultérieurs, assistance pour l'exercice des droits, restitution ou suppression des données, et audit. Il faut connaître les régions d'hébergement, les copies, la télémétrie, le support, les sous-traitants ultérieurs et l'usage fait des données pour améliorer les propres services du prestataire. Un contrat ne remplace pas la vérification technique.

Responsabilité (accountability) : démontrer, revoir et améliorer

L'art. 5, § 2, du RGPD impose de respecter les principes et de pouvoir le démontrer. L'art. 24 exige des mesures appropriées et révisables. Dans le big data, la responsabilité (accountability) s'appuie sur des preuves :

Le manquement aux principes ou aux droits peut entraîner les sanctions prévues à l'art. 83, § 5, du RGPD : jusqu'à 20 millions d'euros ou, pour une entreprise, jusqu'à 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. L'objectif d'une bonne gouvernance n'est pas de travailler par crainte de la sanction, mais de réduire les dommages, d'améliorer les décisions et de préserver la confiance.

Summum Consultoría peut accompagner la PME dans l'inventaire, la base légale, l'AIPD, les contrats et la supervision. Lorsque le traitement exige un accompagnement continu, notre service de DPO externalisé apporte une fonction indépendante et orientée vers le risque, sans se substituer à la responsabilité de l'entreprise.

Questions fréquentes

Le RGPD s'applique-t-il si nous utilisons des données accessibles au public ?

Oui, si ces données permettent d'identifier des personnes. Le fait qu'une donnée soit accessible n'autorise pas n'importe quelle réutilisation ; une finalité, une base légale, la transparence et le respect des droits restent nécessaires.

Le consentement est-il nécessaire pour tout projet de big data ?

Non. Une autre base de l'art. 6, § 1, du RGPD peut exister, mais elle doit être adaptée à la finalité. L'intérêt légitime exige nécessité et mise en balance ; le contrat ne couvre que les traitements objectivement nécessaires.

Tout traitement à grande échelle impose-t-il une AIPD ?

L'art. 35 l'impose lorsqu'un risque élevé est probable et, expressément, pour les catégories particulières ou les données pénales à grande échelle. Il faut également prendre en compte le profilage, la surveillance, le croisement de sources, la vulnérabilité et les technologies innovantes.

Les données pseudonymisées échappent-elles au RGPD ?

Non. Elles restent des données personnelles, car elles peuvent être attribuées à l'aide d'informations supplémentaires. La pseudonymisation est une garantie de sécurité et de conception, non une exemption.

Pouvons-nous recourir à un prestataire analytique situé hors de l'UE ?

Cela peut être possible en appliquant le chapitre V du RGPD : adéquation ou garanties appropriées, évaluation du contexte et mesures supplémentaires le cas échéant. Le contrat de sous-traitance de l'art. 28 doit également être formalisé.