Par quelle analyse tu décides que le login (géré par la boite, à sa totale discrétion) est une donnée dont l'utilisateur peut décider qu'elle est ou pas "correcte", et donc qu'il peut faire jouer dessus son droit de rectification ?
Alors ça dépend bien sur du type de boite. Si ta boite te file un login totalement aléatoire (genre 8 chiffres au pif) pour je ne sais pas quel raison, oui, ça va être dur d'argumenter.
Si ta boite est une startup qui te laisse choisir ton login et que tu choisis "batman" et que tu t'appelles Jean Dupont, c'est difficilement applicable aussi.
Par contre, si ton login est jean.dupont et que c'est pareil dans toute la boite (cad qu'il y a prénom.nom quand applicable, ou des variations du même genre par défaut), c'est déjà plus dur de dire que ça n'a rien de personnel.
Et il y une jurisprudence sur le sujet, l'affaire 2023-8336 devant l'autorité de protection des données (DPA) de la Suède (l'IMY), ou une banque a reçu une amende pour avoir refusé de changer le login d'un client suite à une demande sous l'article 16. Certes, le login était aussi l'email, mais ça ne change pas grand chose. Et comme le but du RGPD est d'unifier les lois au niveau européen, les DPA sont censées être d'accord les unes avec les autres (article 63 du RGPD).
Et je pense que le point qui me semble important, c'est de savoir si on peut déduire une info spécifique (en l’occurrence le nom et/ou le prénom) à partir du login, et ce qui arriverait si on décide que ça n'est pas couvert par l'article 16.
Pour illustrer le raisonnement, je vais me référer à un arrêt de la CJUE (Cour de Justice de l'Union Européenne) qui a tenu exactement ce raisonnement dans le cas C-184/20 sur la publication du nom du ou de la partenaire des haut fonctionnaires en Lituanie (pour des questions de transparence, etc, etc).
En 2022, la cour a estimé que comme on peut déduire l'orientation sexuelle de quelqu'un avec cette info (vu qu'on peut déduire le genre avec le prénom, en général), c'est une info dite sensible pour le RGPD au sens de l'article 9. Et donc, pour avoir une protection efficace des données notamment sensibles (§126 de l'arrêt), alors il faut considérer que ça couvre les données directs comme "Jean Dupont est gay", mais aussi des données qui permettent de déduire la même information comme "Le mari de Jean Dupont est Robert Dupont".
Et il n'y a pas besoin de rentrer dans les détails de savoir si Jean et/ou Robert sont homosexuels, bisexuels ou hétéros qui veulent des réductions d’impôts, car au nom du principe d'égalité ça marcherais aussi si Jean était marié à Roberta. Même si il y a une présomption d'hétérosexualité dans la société, ça reste une orientation sexuelle, et la loi ne fait pas la distinction à ce niveau.
Si on regarde bien le §126 qui détaille l'avis des juges, la cour explique que si elle avait décidé le contraire (e.g. le nom d'un/une partenaire n'est pas une info couverte par l'article 9), alors ça aurait ouvert un trou dans la protection du RGPD, et donc, ça n'était pas la bonne option.
Donc pour l'article 16, le raisonnement serait le même. Si le RGPD te donne le droit de rectifier ton nom/prénom, mais qu'on estime que ce droit ne s'applique plus quand on combine les 2 (jean.dupont), qu'on rajoute un chiffre ou n'importe quoi de réversible pour faire un login (j.dupont), alors ça permettrait au contrôleur d'éviter trivialement les demandes, donc ça réduirait la portée des droits du RGPD.
Si rajouter 1234 dans le fichier (par exemple, une base de donnée) permet d'éviter les obligations de l'article 16, on pourrait dire que ça permet aussi d'éviter l'article 17 (droit à l'effacement) et donc sans doute tout le RGPD.
Donc il y a de fortes chances que la CJUE ou les DPAs décident que ça n'est pas le bon raisonnement, et donc que les nom/prénom combinés pour faire un login doivent être couvert par le droit accordé au titre de l'article 16.
Il y aurait sans doute d'autres arguments, comme un angle de minimisation des données (l'arrêt Mousse c. SNCF Connect et CNIL vis à vis du fait que garder le login et corriger le nom d'affichage va révéler soit une situation maritale, soit une transition de genre, mais ça me semble plus faible comme argument.
Par contre, dans le cas des transitions de genre, je pense que l'employeur a également un certain nombre d’obligation de protection contre les discriminations (en droit français depuis 2012), et qu'on pourrait sans doute argumenter que ça recouvre une obligation de ne pas afficher leur transition ad vitam eternam contre le gré des gens, surtout quand la demande émane de la personne elle même.
autant on ne m'a jamais fait remonter ça comme une exigence réglementaire
Je suis pas spécialement étonné, personne n'en parle, et je pense que les boites le font déjà sans avoir besoin de sortir le bazooka.
Ma collègue juriste en charge de la vie privée pour l'Europe m'a dit que toute la profession a été prise par surprise par l'arrêt C-184/20 (en Lituanie sur l'orientation sexuelle), alors que personnellement, ça m'a semblé assez évident depuis le début. De même, l'issue de C-394/23 (Mousse c. SNCF) m'a paru prévisible vis à vis de la libre circulation des personnes dans l'Union. À partir du moment ou tu peux vivre en France avec une carte d'identité allemande qui peut avoir plus que M/F, les boites doivent s'adapter même si l'ordre juridique français ne reconnaît que 2 options (une position validé par la CEDH (cour européenne des droits de l'homme) dans l'affaire Y c. France en 2023).
Genre, en cas d'homonyme, comment tu satisferais cette exigence pour les 2 personnes à la fois ?
De la même façon que tu le fait sans l'article 16. Je sais pas dans quel boite tu bosses, mais parmi mes 20000 collègues, il y a 3 qui s'appellent Matthew Miller, depuis 10 ans. Pour les logins, on prends la première lettre du prénom + le nom, et on limite à 8 lettre, donc il y en a un avec première lettre du prénom + nom, l'autre avec les 2 premières lettres, etc. Parfois, ils recoivent des courriers pour les autres, donc je dit pas que ça n'apporte pas son lot d'emmerde, mais aucun n'a changé de nom, et aucun n'habite en Europe. Donc le RGPD n'a rien changé.
Et pire encore le système de création de compte est tombé en panne il y a 12 ans car il n'était plus capable de produire des variations de nom/prénom après avoir embauché trop de gens avec les mêmes nom/prénom. J'ai plus les détails exactes, mais c'était des noms et prénoms chinois assez court, genre Lee Sun. Ça a du faire lsun, lesun, leesun et pour le 4eme, le système a tourné en boucle toute la journée.
Donc il n'y a rien de spécial à ce genre de conflit de nom et prénom, c'est déjà un souci qui existe à l'embauche et partir d'une certaine taille de boite.
Et tu peux pas dire "on embauche pas tel personne car on a déjà un Jean Dupont dans la boite", car ça serait refuser d'embaucher quelqu'un sur la base de son patronyme, ergo une discrimination interdite (Article 225-1 du code pénal) et sans doute non justifiable (c'est difficile de dire que c'est techniquement impossible quand le reste du monde y arrive).
Et dans l'hypothèse où tu aurais raison, Linux serait très loin d'être le seul concerné par cette application difficile de l'exigence que tu sembles attribuer à l'article 16. (G|Hot|Yahoo)Mail seraient bien en peine de modifier ton adresse après un changement de nom d'usage, par exemple.
Je n'ai pas de compte mail perso chez un des providers cités, mais que je sache, ça ne pose pas de souci particulier sur Google Workspace au taf.
Sur l'intranet de mon employeur, on a un document gigantesque sur comment changer ton login à différent endroits avec tout les soucis qu'on trouve, les tickets pour que ça soit corriger, les contournements, etc. Il n'y a aucune instruction sur le changement de login pour Google Workspace, ce qui signifie que ça marche directement (comprendre une fois qu'on a changé l'annuaire, ça se fait tout seul).
[^] # Re: Pour moi, ça sera avec de la sauce caramel
Posté par Misc (site web personnel) . En réponse au lien EU-OS, une démonstration de principe d'un OS pour le secteur public européen. Évalué à 7.
Alors ça dépend bien sur du type de boite. Si ta boite te file un login totalement aléatoire (genre 8 chiffres au pif) pour je ne sais pas quel raison, oui, ça va être dur d'argumenter.
Si ta boite est une startup qui te laisse choisir ton login et que tu choisis "batman" et que tu t'appelles Jean Dupont, c'est difficilement applicable aussi.
Par contre, si ton login est jean.dupont et que c'est pareil dans toute la boite (cad qu'il y a prénom.nom quand applicable, ou des variations du même genre par défaut), c'est déjà plus dur de dire que ça n'a rien de personnel.
Et il y une jurisprudence sur le sujet, l'affaire 2023-8336 devant l'autorité de protection des données (DPA) de la Suède (l'IMY), ou une banque a reçu une amende pour avoir refusé de changer le login d'un client suite à une demande sous l'article 16. Certes, le login était aussi l'email, mais ça ne change pas grand chose. Et comme le but du RGPD est d'unifier les lois au niveau européen, les DPA sont censées être d'accord les unes avec les autres (article 63 du RGPD).
Et je pense que le point qui me semble important, c'est de savoir si on peut déduire une info spécifique (en l’occurrence le nom et/ou le prénom) à partir du login, et ce qui arriverait si on décide que ça n'est pas couvert par l'article 16.
Pour illustrer le raisonnement, je vais me référer à un arrêt de la CJUE (Cour de Justice de l'Union Européenne) qui a tenu exactement ce raisonnement dans le cas C-184/20 sur la publication du nom du ou de la partenaire des haut fonctionnaires en Lituanie (pour des questions de transparence, etc, etc).
En 2022, la cour a estimé que comme on peut déduire l'orientation sexuelle de quelqu'un avec cette info (vu qu'on peut déduire le genre avec le prénom, en général), c'est une info dite sensible pour le RGPD au sens de l'article 9. Et donc, pour avoir une protection efficace des données notamment sensibles (§126 de l'arrêt), alors il faut considérer que ça couvre les données directs comme "Jean Dupont est gay", mais aussi des données qui permettent de déduire la même information comme "Le mari de Jean Dupont est Robert Dupont".
Et il n'y a pas besoin de rentrer dans les détails de savoir si Jean et/ou Robert sont homosexuels, bisexuels ou hétéros qui veulent des réductions d’impôts, car au nom du principe d'égalité ça marcherais aussi si Jean était marié à Roberta. Même si il y a une présomption d'hétérosexualité dans la société, ça reste une orientation sexuelle, et la loi ne fait pas la distinction à ce niveau.
Si on regarde bien le §126 qui détaille l'avis des juges, la cour explique que si elle avait décidé le contraire (e.g. le nom d'un/une partenaire n'est pas une info couverte par l'article 9), alors ça aurait ouvert un trou dans la protection du RGPD, et donc, ça n'était pas la bonne option.
Donc pour l'article 16, le raisonnement serait le même. Si le RGPD te donne le droit de rectifier ton nom/prénom, mais qu'on estime que ce droit ne s'applique plus quand on combine les 2 (jean.dupont), qu'on rajoute un chiffre ou n'importe quoi de réversible pour faire un login (j.dupont), alors ça permettrait au contrôleur d'éviter trivialement les demandes, donc ça réduirait la portée des droits du RGPD.
Si rajouter 1234 dans le fichier (par exemple, une base de donnée) permet d'éviter les obligations de l'article 16, on pourrait dire que ça permet aussi d'éviter l'article 17 (droit à l'effacement) et donc sans doute tout le RGPD.
Donc il y a de fortes chances que la CJUE ou les DPAs décident que ça n'est pas le bon raisonnement, et donc que les nom/prénom combinés pour faire un login doivent être couvert par le droit accordé au titre de l'article 16.
Il y aurait sans doute d'autres arguments, comme un angle de minimisation des données (l'arrêt Mousse c. SNCF Connect et CNIL vis à vis du fait que garder le login et corriger le nom d'affichage va révéler soit une situation maritale, soit une transition de genre, mais ça me semble plus faible comme argument.
Par contre, dans le cas des transitions de genre, je pense que l'employeur a également un certain nombre d’obligation de protection contre les discriminations (en droit français depuis 2012), et qu'on pourrait sans doute argumenter que ça recouvre une obligation de ne pas afficher leur transition ad vitam eternam contre le gré des gens, surtout quand la demande émane de la personne elle même.
Je suis pas spécialement étonné, personne n'en parle, et je pense que les boites le font déjà sans avoir besoin de sortir le bazooka.
Ma collègue juriste en charge de la vie privée pour l'Europe m'a dit que toute la profession a été prise par surprise par l'arrêt C-184/20 (en Lituanie sur l'orientation sexuelle), alors que personnellement, ça m'a semblé assez évident depuis le début. De même, l'issue de C-394/23 (Mousse c. SNCF) m'a paru prévisible vis à vis de la libre circulation des personnes dans l'Union. À partir du moment ou tu peux vivre en France avec une carte d'identité allemande qui peut avoir plus que M/F, les boites doivent s'adapter même si l'ordre juridique français ne reconnaît que 2 options (une position validé par la CEDH (cour européenne des droits de l'homme) dans l'affaire Y c. France en 2023).
De la même façon que tu le fait sans l'article 16. Je sais pas dans quel boite tu bosses, mais parmi mes 20000 collègues, il y a 3 qui s'appellent Matthew Miller, depuis 10 ans. Pour les logins, on prends la première lettre du prénom + le nom, et on limite à 8 lettre, donc il y en a un avec première lettre du prénom + nom, l'autre avec les 2 premières lettres, etc. Parfois, ils recoivent des courriers pour les autres, donc je dit pas que ça n'apporte pas son lot d'emmerde, mais aucun n'a changé de nom, et aucun n'habite en Europe. Donc le RGPD n'a rien changé.
Et pire encore le système de création de compte est tombé en panne il y a 12 ans car il n'était plus capable de produire des variations de nom/prénom après avoir embauché trop de gens avec les mêmes nom/prénom. J'ai plus les détails exactes, mais c'était des noms et prénoms chinois assez court, genre Lee Sun. Ça a du faire lsun, lesun, leesun et pour le 4eme, le système a tourné en boucle toute la journée.
Donc il n'y a rien de spécial à ce genre de conflit de nom et prénom, c'est déjà un souci qui existe à l'embauche et partir d'une certaine taille de boite.
Et tu peux pas dire "on embauche pas tel personne car on a déjà un Jean Dupont dans la boite", car ça serait refuser d'embaucher quelqu'un sur la base de son patronyme, ergo une discrimination interdite (Article 225-1 du code pénal) et sans doute non justifiable (c'est difficile de dire que c'est techniquement impossible quand le reste du monde y arrive).
Je n'ai pas de compte mail perso chez un des providers cités, mais que je sache, ça ne pose pas de souci particulier sur Google Workspace au taf.
Sur l'intranet de mon employeur, on a un document gigantesque sur comment changer ton login à différent endroits avec tout les soucis qu'on trouve, les tickets pour que ça soit corriger, les contournements, etc. Il n'y a aucune instruction sur le changement de login pour Google Workspace, ce qui signifie que ça marche directement (comprendre une fois qu'on a changé l'annuaire, ça se fait tout seul).