IA et droit des données
Des fichiers de sinistre mémoire
- 2WW : l’exemple du fichier juif de la préfecture de police de Paris
- Guerre froide : l’exemple des fichiers de la Stasi
- Le vertige du fichage universel sur “criminocorpus”
L’informatisation des fichiers et l’affaire SAFARI
Premières réactions nationales
- En Allemagne : dès 1970 dans le land de Hesse
- En Suède : dès 1973
- En France :
- Rapport de la commission IL (1975)
- Adoption de la LIL (1978)
Le Conseil de l’Europe
- la convention 108 (1981)
- la convention modernisée (2018, en attente d’EEV)
L’Union européenne
- La directive de 1995
- le RGPD de 2016
- la directive police-justice de 2016
Les données personnelles, première approche technique
- Des coordonnées sociales : nom, prénom, adresse…
- Des coordonnées biologiques : la biométrie
- Des identifiants (adresse IP, numéro de sécurité sociale), des pseudonymes
- Des combinaisons d’informations anodines
- Des traces de navigation
Zoom sur la géolocalisation
- Le NY Times : One nation, tracked
- L’enquête sur Strava de J.-M. Manach
Les données personnelles, première approche juridique
- Art. 4 RGPD : l’information se rapportant à une personne identifiée ou identifiable
- Une personne physique, vivante
- La difficile anonymisation des données
Licéité, loyauté, transparence
Détermination des finalités
- Fixer une finalité et s’y tenir
- Les SMS d’Auvergne-Rhône-Alpes ?
- Facebook et le 2FA
- CE, 2020, OPH Rennes
- CNIL, 2023, réforme des retraites
Minimisation
- Traiter le moins possible au regard de la finalité
- Biométrie à l’entrée des lycées : CNIL, TA de Marseille
- CNIL, 2023, Amazon logistique mais renié par CE, 2025
- CJUE, 2024, Schrems contre Meta
- CJUE, 2025, Mousse
Exactitude
- Objectif : des données exactes
- Eviter les erreurs de saisie
- Assurer l’actualisation
- Rectification de genre et transidentité : CJUE, 2025
Conservation limitée
Intégrité et confidentialité
- Quelles définitions ?
- Accidents, attaques
- Intégrité
- Les ransomwares
- Affaire OVH Strasbourg
- Confidentialité
- Affaire Ashley Madison
- CNIL, 2019, Sergic
La nécessité pour l’exécution d’un contrat
- Banque, e-commerce, assurance…
- Jeux vidéo
- Et la publicité ciblée ? CJUE, 2023 Meta Plateforms
Le respect d’une obligation légale
- Modération de contenus sur les PF
- Banques et LCB-FT
La sauvegarde des intérêts vitaux
- Situations médicales d’urgence
- Fondement le plus étroit
La mission d’interêt public
- Vocation large
- Le consentement est généralement exclu pour les administrations
- Ex : administration fiscale, CJUE, 2022
L’intérêt légitime
- Une fausse martingale
- Un contrôle de proportionnalité délicat
- Refus dans l’affaire Mousse c./ SNCF, CJUE, 2025
- Refus pour la publicité ciblée Meta Plateforms, CJIE, 2023
- Refus dans l’affaire CDiscount; CE, 2020
Le consentement
- Ses qualités théoriques : art. 7
- Lignes directrices, CEPD, 2020
- Renforcement pour les enfants : art. 8
Finalité du système
- Fiche CNIL 2
- Cas 1 : finalité identifiée ab initio
- Cas 2 : SIA à usage général
Qualification des acteurs
- Fiche CNIL 3
- Distinguer
- Responsables du traitement
- Responsables conjoints
- Sous-traitants
Base légale du traitement
- Fiche CNIL 4-1
- Collecte initiale ou réutilisation ?
- La nécessité pour le contrat ?
- Au passage : la difficile utilisation de données sensibles (art. 9)
- Le projet de réforme Digital Omnibus
- Le consentement ?
L’incontournable intérêt légitime
- Fiche CNIL 8
- Un intérêt “légitime”
- Un traitement “nécessaire”
- Une balance très complexe
L’analyse d’impact
- Art. 35 s. RGPD
- Fiche CNIL 5
- Très souvent nécessaire
- Une méthodologie précise
Privacy by design et conception
- Fiche CNIL 6
- Importance du principe de minimisation
Gouvernance des données
- Fiche CNIL 7
- Nettoyage des données
- Quelle durée de conservation ?
- Sécurité
L’information des personnes concernées
- Fiche CNIL 9
- Distinguer collecte et indirecte
- Dérogations pour les collectes indirectes
- Forme et contenu de l’information
Les droits des personnes concernées
- Fiche CNIL 10
- Accès, rectification, effacement…
- L’obstacle de l’identification
Les décisions automatisées (art. 22)
- The Good Place ou l’ultime scoring
- Conseil de lecture : Cathy O’Neil, Weapons of math destruction
- Le “droit de ne pas faire l’objet”
- Décision entièrement automatisée ?
- Exceptions
- périmètre
- garanties
