Article 11 - Traitement ne nécessitant pas l'identification
1. Si les finalités pour lesquelles des données à caractère personnel sont traitées n'imposent pas ou n'imposent plus au responsable du traitement d'identifier une personne concernée, celui-ci n'est pas tenu de conserver, d'obtenir ou de traiter des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter le présent règlement.2. Lorsque, dans les cas visés au paragraphe 1 du présent article, le responsable du traitement est à même de démontrer qu'il n'est pas en mesure d'identifier la personne concernée, il en informe la personne concernée, si possible. En pareils cas, les articles 15 à 20 ne sont pas applicables, sauf lorsque la personne concernée fournit, aux fins d'exercer les droits que lui confèrent ces articles, des informations complémentaires qui permettent de l'identifier.
En savoir plus...
Pendant du principe de minimisation évoqué à l'article 5 du RGPD, l'article 11 prévoit que lorsqu'un traitement ne nécessite pas ou plus l'identification de la personne concernée, le responsable du traitement doit agir en conséquence, en supprimant ou en masquant d'une autre manière la référence d'identification de la personne concernée. Autrement dit, le responsable du traitement n'est pas tenu de traiter des informations supplémentaires concernant la personne concernée dans le seul but de se conformer au RGPD sauf à ce qu'une personne concernée souhaite exercer ses droits au titre du RGPD et fournit à cet effet des informations supplémentaires permettant sa (ré)identification, le responsable du traitement prend en compte ces informations et, si possible, répond à la demande.Il est notable que l'article 11 du RGPD ne porte pas préjudice aux autres règles posées par le Règlement, notamment la tenue de registres, de preuves ou d'éléments de preuve.
Le RGPD prévoit-il une amende en cas d'infraction à cet article ?
Considérants pertinents
26. Il y a lieu d'appliquer les principes relatifs à la protection des données à toute information concernant une personne physique identifiée ou identifiable. Les données à caractère personnel qui ont fait l'objet d'une pseudonymisation et qui pourraient être attribuées à une personne physique par le recours à des informations supplémentaires devraient être considérées comme des informations concernant une personne physique identifiable. Pour déterminer si une personne physique est identifiable, il convient de prendre en considération l'ensemble des moyens raisonnablement susceptibles d'être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement, tels que le ciblage. Pour établir si des moyens sont raisonnablement susceptibles d'être utilisés pour identifier une personne physique, il convient de prendre en considération l'ensemble des facteurs objectifs, tels que le coût de l'identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de l'évolution de celles-ci. Il n'y a dès lors pas lieu d'appliquer les principes relatifs à la protection des données aux informations anonymes, à savoir les informations ne concernant pas une personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable. Le présent règlement ne s'applique, par conséquent, pas au traitement de telles informations anonymes, y compris à des fins statistiques ou de recherche.
[Informations additionnelles pour l'identification ?]
57. Si les données à caractère personnel qu'il traite ne lui permettent pas d'identifier une personne physique, le responsable du traitement ne devrait pas être tenu d'obtenir des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter une disposition du présent règlement. Toutefois, le responsable du traitement ne devrait pas refuser des informations supplémentaires fournies par la personne concernée afin de faciliter l'exercice de ses droits. L'identification devrait comprendre l'identification numérique d'une personne concernée, par exemple au moyen d'un mécanisme d'authentification tel que les mêmes identifiants utilisés par la personne concernée pour se connecter au service en ligne proposé par le responsable du traitement.
[Vérification d'identité]
64. Le responsable du traitement devrait prendre toutes les mesures raisonnables pour vérifier l'identité d'une personne concernée qui demande l'accès à des données, en particulier dans le cadre des services et identifiants en ligne. Un responsable du traitement ne devrait pas conserver des données à caractère personnel à la seule fin d'être en mesure de réagir à d'éventuelles demandes.
Droit souple
Lignes directrices et recommandations
N/AGuides pratiques
N/ARéférences
Cet article cite...
Cet article est cité par...
Autres textes liés
Jurisprudence
Cliquez sur une ligne pour obtenir tous les détails.
Note importante : cette base de données n'est pas achevée ; par ailleurs, le développement du "RGPD annoté" implique sa re-structuration complète: il est donc possible que la partie soit vide, ou que certains résultats soient peu pertinents ou soient manquants. Veuillez ne pas hésiter à me le signaler !
Actualités
Profitez de nos actualités en lien avec cet article !Note importante : Le flux RSS correpondant à cet article semble vide. Nous avons très récemment re-structuré la partie 'veille' afin de vous proposer des actualités plus précises sur le RGPD annoté, mais il va falloir un peu de temps pour 'remplir' la partie actualité de chaque article. En attendant, nous vous proposons le flux ci-dessous, qui utilise une catégorie plus large.
Ordre du jour de la prochaine séance plénière de l’EDPB Aujourd’hui, l’EDPB a publié l’ordre du jour de sa prochaine séance plénière qui aura lieu jeudi. Au programme, notamment : 🔹 Des lignes directrices sur la pseudonymisation 🔹 La position de l’EDPB sur l’articulation du droit de la concurrence et du RGPD 🔹 Commencement de […]
Corée – États-Unis (Californie), main dans la main dans le domaine de la protection des données personnelles La PIPC (présidée par Ko Hak-soo, ci-après ‘la Commission’) a annoncé élargir le champ de sa coopération internationale en matière de protection des données personnelles par la signature d’un accord de coopération avec l’Agence californienne de protection des […]
Tinder, Grindr, Candy Crush, voici la liste des apps concernées par la giga fuite de géolocalisation Des milliers d’applications travaillaient directement, ou à travers des partenaires, avec la société de gestion de données de géolocalisation de Gravy Analytics. Ces informations ont été dérobées par un groupe de hackers et un échantillon a été mis en […]
Amende d’environ 1,7 millions d’euros contre le Bureau administratif des tribunaux pour fuite de numéro de registre et violation des obligations de sécurité La PIPC (présidée par Ko Hak-soo) a tenu sa première réunion plénière le 8 janvier et a décidé d’imposer une amende administrative de 2,7 milliards de wons et une amende de 6 […]
Ordre du jour de la séance plénière du 9 janvier 2025 La Commission nationale de l’informatique et des libertés s’est réunie le jeudi 9 janvier 2025 à 9 h 30 avec l’ordre du jour suivant : Partie I (avec débats): * Examen d’un projet de délibération portant avis sur un projet d’arrêté relatif à la transmission […]
RGPD et transport ferroviaire : l’identité de genre du client n’est pas une donnée nécessaire pour l’achat d’un titre de transport Dans un arrêt publié ce 9 janvier 2025, la CJUE a estimé que la collecte de données relatives à la civilité des clients n’est pas objectivement indispensable, en particulier, lorsqu’elle a pour finalité une […]
L’autorité autrichienne de protection des données sanctionnée par la CJUE dans son arrêt C‑416/23 Dans l’arrêt C‑416/23 en date du 9 janvier 2025, l’autorité autrichienne de protection des données (DSB) a reçu un camouflet de la part de la CJUE. L’autorité a – arbitrairement – fixé le nombre de plaintes que les personnes concernées peuvent […]
Les Etats-Unis lancent un label de sécurité informatique pour les objets connectés Le gouvernement Biden a annoncé le lancement du “US Cyber Trust Mark”, un label en forme de bouclier destiné à rassurer les consommateurs américains lors de l’achat d’un objet connecté. Pour obtenir ce logo, les fabricants d’appareils connectés devront répondre aux critères du […]
Le Tribunal condamne la Commission à payer des dommages et intérêts à un visiteur de son site Internet en raison du transfert de données à caractère personnel aux États-Unis Le Tribunal de l’UE a aujourd’hui publié une décision de sanction à l’encontre de la Commission Européenne en raison de transferts vers les Etats-Unis mal encadrés […]
Des hackers ont dérobé la mine d’or des données : un fichier massif de géolocalisation Des hackers ont probablement touché à l’un des maillons les plus sensibles dans la vente de données : les informations de géolocalisation. Gravy Analytics, une entreprise américaine qui collecte et revend des infos sur les déplacements de millions d’utilisateurs de […]
