Les entités utilisant des données personnelles pour leurs activités sont nombreuses et ont souvent recours à des bases de données qu’elles n’ont pas constituées elles-mêmes. Rappel des précautions à prendre dans ce cas-là…
Données personnelles collectées par un tiers : s’assurer de la légalité de la ressource
Pour se constituer des bases de données, les responsables de traitement peuvent procéder eux-mêmes à une collecte de données auprès des personnes concernées.
Mais il est également possible d’accéder à des bases de données déjà constituées soit en les acquérant auprès de tiers, comme les courtiers en données, soit en utilisant des bases de données librement accessibles en ligne.
Ces méthodes peuvent représenter un risque puisque le responsable de traitement ne peut alors être totalement certain du bon respect de la réglementation en vigueur lors de la constitution de ces bases de données.
La Commission nationale de l’informatique et des libertés (CNIL) propose dès lors un rappel des précautions qu’il faut observer lors de la réutilisation de bases de données afin de s’assurer une utilisation respectueuse du Règlement général sur la protection des données (RGPD).
Ainsi, plusieurs points sont à vérifier dans le contenu des données :
- la source des données est bien mentionnée ;
- la constitution ou la diffusion de la base de données ne relèvent pas manifestement d’un crime ou d’un délit ;
- l’origine des données est bien documentée ;
- la base ne contient pas de données sensibles (relatives à la religion, la santé, l’orientation sexuelle, les opinions politiques, etc.) ou concernant des infractions pénales.
En plus de ces précautions, et lorsque la base de données a été fournie par un tiers, la CNIL recommande également d’encadrer la mise à disposition de cette base par un contrat.
Les parties peuvent ainsi matérialiser clairement les informations permettant d’établir la légalité de la constitution de cette base de données.
Réutilisation de bases de données : prendre ses précautions – © Copyright WebLex
