Ben, si, ça change beaucoup de choses, en fait. Dans le cas que tu cites, la personne voulait faire rectifier son email, qui n'était pas le bon et qui aurait empêché la personne concernée de récupérer son compte en cas de difficulté, par exemple
L'article 16 (et d'autres) ne demande pas de démontrer une conséquence négative pour avoir le droit de faire rectifier des données. Donc la distinction entre l'email ou tu vois des raisons et le login ou tu en vois moins n'a pas d'impact.
Ce que l'affaire que j'ai cité pointe, c'est que la DPA considére que la réponse de Klarna est une violation de l'article 12, celui qui dit que le contrôleur doit faciliter l'application de l'article 16 (entre autres). Dire que c'est pas possible pour des raisons techniques n'est pas suffisant vis à vis des obligations, et donc n'est pas une réponse valable.
Et en pratique ça n'était sans doute pas motivé par des questions de récupération du compte. Comme son nom l'indique, Klarna Bank est une banque, donc elle a des obligations de vérification qui font qu'il faut sans doute plus qu'un simple email pour ouvrir un compte (lutte contre le financement du terrorisme, contre le blanchiment, KYC, etc), donc même si l'email est incorrect, la banque a le moyen de retrouver son client. Ça n'est pas non plus une question d'affichage, le texte en suédois dit à un moment que le service client a réussi à éditer les factures existantes.
on a en France eu une décision du conseil d'état (N°431875) qui a déterminé que la publication du statut de travailleur handicapé, sans précision sur la nature du handicap, ne valait pas publication d'une donnée de santé
Sauf que ça ne compte pas vraiment pour le RGPD.
Pour commencer, le §10 auquel tu fais référence n'est pas la décision en tant que tel, la décision est après le §13, et aucun des 5 articles ne parle de ça. Donc le caractère normatif est assez réduit.
Le §10, c'est juste le raisonnement, et il est quand même un peu pourri, parce que le conseil d'état speedrun sa réponse (cf §11) en s'appuyant sur l'équivalent de l'article 4 du RGPD pour contredire le tribunal d'en dessous. Le §8, c'est comme Indiana Jones dans l'arche perdu, le film se termine de la même façon sans lui. En l'occurrence, ça ne sert à rien de discuter le fait que ça tombe sous l'équivalent de article 9 ou pas si au final, la réponse serait la même qu'on dise oui ou qu'on dise non (car même si le CE avait estimé que ça tombe sous l'article 9, le ministère aurait quand même du retirer l'info vu que le raisonnement se base sur le fait qu'il n'y a plus besoin de l'afficher).
Ensuite, c'est une décision du Conseil d'État, une juridiction avec un périmètre restreint, l'administration de l'état français. Ses décisions n'ont qu'un impact juridiquement limité au contraire de la CJUE ou d'une DPA.
Enfin, c'est une décision de 2021, antérieur à mon exemple de la CJUE qui date de 2022.
C'est aussi en contradiction avec le raisonnement de la CJUE dans l'affaire C‐21/23 en 2024 qui touche directement à la question des données de santé et de l'article 9. La Cour, dans son paragraphe §81, applique le même raisonnement que dans l'affaire C‐184/20 (celle de 2022) et rappelle qu'il faut avoir une interprétation large de ce qui correspond à des données de santé.
Mais c'est aussi une décision qui juge une affaire qui est plus vielle que la mise en pratique du RGPD (vu que le premier courrier date de 2015, le RGPD en tant que tel est applicable à partir de mai 2018).
Donc pour tout ça, il y a des chances que la CNIL soit plus lié par des raisonnements plus récents, plus nombreux par un tribunal plus spécialisé dans le domaine qui concerne la CNIL, que par un raisonnement plus vieux, moins détaillé, d'un tribunal non spécialisé et plus limité (et avec sans doute moins de juges, moins de contradictoire et une visée normative moindre).
Ensuite, je parle en tant que personne qui bosse dans le privé, donc peut être que les injonctions du CE t'impacte plus que moi, je sais pas ou tu bosses ou ce que tu gères.
mais je ne vois en revanche pas le lien avec un login sur un système interne, qui permet certes au rares personnes qui y ont accès de déduire que la personne concernée a porté un autre nom, mais ne met pas vraiment ses droits et libertés en péril (puisque c'est l'enjeu principal du RGPD dans la protection des personnes).
Comme dit plus haut, l'appréciation du contrôleur sur les droits et libertés et leur périls n'as pas vraiment d'importance sur le droit ou pas d'utiliser l'article 16. Ça n'est pas conditionnel aux nombre de personnes qui ont l'info, ça n'est pas conditionnel aux risques dans la situation précise de quelqu'un qui veut jouir de ses droits.
Les seuls conditions sont énoncés à l'article 12 et 11, et c'est quand même assez limités.
[^] # Re: Pour moi, ça sera avec de la sauce caramel
Posté par Misc (site web personnel) . En réponse au lien EU-OS, une démonstration de principe d'un OS pour le secteur public européen. Évalué à 4.
L'article 16 (et d'autres) ne demande pas de démontrer une conséquence négative pour avoir le droit de faire rectifier des données. Donc la distinction entre l'email ou tu vois des raisons et le login ou tu en vois moins n'a pas d'impact.
Ce que l'affaire que j'ai cité pointe, c'est que la DPA considére que la réponse de Klarna est une violation de l'article 12, celui qui dit que le contrôleur doit faciliter l'application de l'article 16 (entre autres). Dire que c'est pas possible pour des raisons techniques n'est pas suffisant vis à vis des obligations, et donc n'est pas une réponse valable.
Et en pratique ça n'était sans doute pas motivé par des questions de récupération du compte. Comme son nom l'indique, Klarna Bank est une banque, donc elle a des obligations de vérification qui font qu'il faut sans doute plus qu'un simple email pour ouvrir un compte (lutte contre le financement du terrorisme, contre le blanchiment, KYC, etc), donc même si l'email est incorrect, la banque a le moyen de retrouver son client. Ça n'est pas non plus une question d'affichage, le texte en suédois dit à un moment que le service client a réussi à éditer les factures existantes.
Sauf que ça ne compte pas vraiment pour le RGPD.
Pour commencer, le §10 auquel tu fais référence n'est pas la décision en tant que tel, la décision est après le §13, et aucun des 5 articles ne parle de ça. Donc le caractère normatif est assez réduit.
Le §10, c'est juste le raisonnement, et il est quand même un peu pourri, parce que le conseil d'état speedrun sa réponse (cf §11) en s'appuyant sur l'équivalent de l'article 4 du RGPD pour contredire le tribunal d'en dessous. Le §8, c'est comme Indiana Jones dans l'arche perdu, le film se termine de la même façon sans lui. En l'occurrence, ça ne sert à rien de discuter le fait que ça tombe sous l'équivalent de article 9 ou pas si au final, la réponse serait la même qu'on dise oui ou qu'on dise non (car même si le CE avait estimé que ça tombe sous l'article 9, le ministère aurait quand même du retirer l'info vu que le raisonnement se base sur le fait qu'il n'y a plus besoin de l'afficher).
Ensuite, c'est une décision du Conseil d'État, une juridiction avec un périmètre restreint, l'administration de l'état français. Ses décisions n'ont qu'un impact juridiquement limité au contraire de la CJUE ou d'une DPA.
Enfin, c'est une décision de 2021, antérieur à mon exemple de la CJUE qui date de 2022.
C'est aussi en contradiction avec le raisonnement de la CJUE dans l'affaire C‐21/23 en 2024 qui touche directement à la question des données de santé et de l'article 9. La Cour, dans son paragraphe §81, applique le même raisonnement que dans l'affaire C‐184/20 (celle de 2022) et rappelle qu'il faut avoir une interprétation large de ce qui correspond à des données de santé.
Mais c'est aussi une décision qui juge une affaire qui est plus vielle que la mise en pratique du RGPD (vu que le premier courrier date de 2015, le RGPD en tant que tel est applicable à partir de mai 2018).
Donc pour tout ça, il y a des chances que la CNIL soit plus lié par des raisonnements plus récents, plus nombreux par un tribunal plus spécialisé dans le domaine qui concerne la CNIL, que par un raisonnement plus vieux, moins détaillé, d'un tribunal non spécialisé et plus limité (et avec sans doute moins de juges, moins de contradictoire et une visée normative moindre).
Ensuite, je parle en tant que personne qui bosse dans le privé, donc peut être que les injonctions du CE t'impacte plus que moi, je sais pas ou tu bosses ou ce que tu gères.
Comme dit plus haut, l'appréciation du contrôleur sur les droits et libertés et leur périls n'as pas vraiment d'importance sur le droit ou pas d'utiliser l'article 16. Ça n'est pas conditionnel aux nombre de personnes qui ont l'info, ça n'est pas conditionnel aux risques dans la situation précise de quelqu'un qui veut jouir de ses droits.
Les seuls conditions sont énoncés à l'article 12 et 11, et c'est quand même assez limités.