Article 11 - Traitement ne nécessitant pas l'identification
1. Si les finalités pour lesquelles des données à caractère personnel sont traitées n'imposent pas ou n'imposent plus au responsable du traitement d'identifier une personne concernée, celui-ci n'est pas tenu de conserver, d'obtenir ou de traiter des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter le présent règlement.2. Lorsque, dans les cas visés au paragraphe 1 du présent article, le responsable du traitement est à même de démontrer qu'il n'est pas en mesure d'identifier la personne concernée, il en informe la personne concernée, si possible. En pareils cas, les articles 15 à 20 ne sont pas applicables, sauf lorsque la personne concernée fournit, aux fins d'exercer les droits que lui confèrent ces articles, des informations complémentaires qui permettent de l'identifier.
En savoir plus...
Pendant du principe de minimisation évoqué à l'article 5 du RGPD, l'article 11 prévoit que lorsqu'un traitement ne nécessite pas ou plus l'identification de la personne concernée, le responsable du traitement doit agir en conséquence, en supprimant ou en masquant d'une autre manière la référence d'identification de la personne concernée. Autrement dit, le responsable du traitement n'est pas tenu de traiter des informations supplémentaires concernant la personne concernée dans le seul but de se conformer au RGPD sauf à ce qu'une personne concernée souhaite exercer ses droits au titre du RGPD et fournit à cet effet des informations supplémentaires permettant sa (ré)identification, le responsable du traitement prend en compte ces informations et, si possible, répond à la demande.Il est notable que l'article 11 du RGPD ne porte pas préjudice aux autres règles posées par le Règlement, notamment la tenue de registres, de preuves ou d'éléments de preuve.
Le RGPD prévoit-il une amende en cas d'infraction à cet article ?
Considérants pertinents
26. Il y a lieu d'appliquer les principes relatifs à la protection des données à toute information concernant une personne physique identifiée ou identifiable. Les données à caractère personnel qui ont fait l'objet d'une pseudonymisation et qui pourraient être attribuées à une personne physique par le recours à des informations supplémentaires devraient être considérées comme des informations concernant une personne physique identifiable. Pour déterminer si une personne physique est identifiable, il convient de prendre en considération l'ensemble des moyens raisonnablement susceptibles d'être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement, tels que le ciblage. Pour établir si des moyens sont raisonnablement susceptibles d'être utilisés pour identifier une personne physique, il convient de prendre en considération l'ensemble des facteurs objectifs, tels que le coût de l'identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de l'évolution de celles-ci. Il n'y a dès lors pas lieu d'appliquer les principes relatifs à la protection des données aux informations anonymes, à savoir les informations ne concernant pas une personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable. Le présent règlement ne s'applique, par conséquent, pas au traitement de telles informations anonymes, y compris à des fins statistiques ou de recherche.
[Informations additionnelles pour l'identification ?]
57. Si les données à caractère personnel qu'il traite ne lui permettent pas d'identifier une personne physique, le responsable du traitement ne devrait pas être tenu d'obtenir des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter une disposition du présent règlement. Toutefois, le responsable du traitement ne devrait pas refuser des informations supplémentaires fournies par la personne concernée afin de faciliter l'exercice de ses droits. L'identification devrait comprendre l'identification numérique d'une personne concernée, par exemple au moyen d'un mécanisme d'authentification tel que les mêmes identifiants utilisés par la personne concernée pour se connecter au service en ligne proposé par le responsable du traitement.
[Vérification d'identité]
64. Le responsable du traitement devrait prendre toutes les mesures raisonnables pour vérifier l'identité d'une personne concernée qui demande l'accès à des données, en particulier dans le cadre des services et identifiants en ligne. Un responsable du traitement ne devrait pas conserver des données à caractère personnel à la seule fin d'être en mesure de réagir à d'éventuelles demandes.
Droit souple
Lignes directrices et recommandations
Guides pratiques
Documents anciens
Références
Cet article cite...
Cet article est cité par...
Autres textes liés
En savoir plus...
Droit souple (sectoriel ou transversal)
Lignes directrices et recommandations
Référentiels
Guides pratiques
Jurisprudence
Cliquez sur une ligne pour obtenir tous les détails.
Note importante : cette base de données n'est pas achevée ; par ailleurs, le développement du "RGPD annoté" implique sa re-structuration complète: il est donc possible que la partie soit vide, ou que certains résultats soient peu pertinents ou soient manquants. Veuillez ne pas hésiter à me le signaler !
Actualités
Profitez de nos actualités en lien avec cet article !Amende prononcée contre une radio polonaise pour l’absence de procédures protégeant les droits des protagonistes des publications
L’autorité polonaise a aujourd’hui publié un communiqué de presse annonçant la condamnation de la radio Szcezin en raison de l’absence de procédures protégeant les droits des personnes concernées par les publications même lorsqu’il ne s’agit pas de personna [...]
Un particulier condamné pour avoir publié des données personnelles sur Facebook de manière illicite
L’autorité Espagnole a aujourd’hui sanctionné un particulier en raison d’une publication Facebook qui a été observée comme un traitement de données illicite. Cette affaire comme avec une plainte a été déposée contre A.A.A. par B.B.B. concernant la publication non autorisée de données personnelles sur Fac [...]
Vidéosurveillance: une entreprise sanctionnée à 4000 euros d’amende en Espagne pour des angles de vue trop larges
L’autorité espagnole (AEPD) a aujourd’hui publié une décision de sanction à l’encontre de la société SNOW INK SIERRA NEVADA, S.L., lui infligeant une amende de 4000 euros en raison de lacunes liées à la gestion de la vidéosurveillance. L’affaire a débuté par une réclamation co [...]
Iberia Cards condamné pour avoir refusé d’accorder les bonus « nouveau client » à une personne ayant précédemment exercé son droit à l’effacement
L’autorité espagnole a aujourd’hui publié une décision de sanction à l’encontre d’Iberia Cards en raison de traitements jugés illicites. Comme souvent, cette affaire commence par une réclamation déposée près qu’Iberia Cards ait refusé [...]
En Espagne, une chaîne hôtelière échappe à la sanction grâce aux délais de prescriptions locaux
L’AEPD a aujourd’hui publié une décision d’archivage d’un dossier en raison du dépassement du délai de prescription des frais reprochés, celui-ci étant de 3 ans en Espagne. La réclamation initiale a été déposée auprès de l’autorité allemande de protection des données de Bavière en avril 2021 par [...]
Un établissement d’hébergement touristique pour avoir systématiquement demandé la carte d’identité complète des clients
L’autorité espagnole a publié aujourd’hui une décision de sanction à l’encontre de la société RESIDENTIAL QUALITY ENJOY, S.L. pour avoir enfreint le principe de minimisation des données en exigeant la copie des cartes d’identité de ses clients. Comme souvent, l&rsquo [...]
Un hôtel condamné pour ne pas avoir accordé l’accès aux images de vidéosurveillance
L’autorité roumaine a aujourd’hui publié le résumé d’une décision de sanction à l’encontre de Noy Business Transactions SRL (avec une amende de 1 000 euros à la clef) pour ne pas avoir répondu correctement à une demande d’exercice des droits. L’enquête a été initiée à la suite d’une plainte [...]
Stratégie de protection des données pour l’année 2025
Dans un communiqué de presse paru ce jour, l’autorité de protection des données islandaise a annoncé avoir décidé qu’en 2025, l’accent sera mis sur les domaines suivants dans les activités de l’institution.
* Le traitement des données personnelles à des fins de marketing, y compris par les agences de publicité.
* Le traitemen [...]
La France se lance enfin dans le chantier « NIS 2 » pour sécuriser tout le tissu économique
La menace cyber continue de progresser : au cours de l’année 2024, l’Agence nationale de la sécurité des systèmes d’information (Anssi) a traité – avec « un degré d’engagement variable » – 4386 événements de sécurité, soit une augmentation de 15% par rapport à l’année 2023. Ces chiffres proviennent du « Panorama de la cybe [...]
L’Université de Rennes victime d’une cyberattaque sur un “sous-réseau pédagogique”
L’Université de Rennes (ex-Rennes 1) a annoncé le 10 mars avoir été victime d’une cyberattaque au cours du week-end. “Une action informatique malveillante a été repérée ce week-end sur un sous-réseau pédagogique de l’établissement, explique l’université dans un communiqué transmis à L’Usine Digitale. L [...]
<< Retourner au menu