Mettre en œuvre le droit à l'oubli dans Confluence conformément au RGPD

Depuis le 25 mai 2018, le Règlement général sur la protection des données (RGPD) s'applique légalement dans toute l'Union européenne et constitue ainsi un cadre réglementaire uniforme en matière de données à caractère personnel. En Allemagne, la loi fédérale sur la protection des données (BDSG), entrée en vigueur le 1er janvier 1978, ainsi que la directive européenne sur la protection des données, en vigueur depuis 1995, s’appliquaient jusqu’à présent. Le RGPD régit désormais le traitement et la protection des données à caractère personnel dans le cadre d’un traitement entièrement ou partiellement automatisé, ainsi que dans le cadre d’un traitement non automatisé de données à caractère personnel qui sont stockées ou destinées à être stockées dans un système de fichiers. 

Par rapport à la jurisprudence en vigueur auparavant, les nouveaux aspects suivants ont été ajoutés dans le RGPD :

• Principe du lieu de commercialisation
• Principe du « guichet unique »
• Obligation de rendre compte
• Analyse d'impact relative à la protection des données
• Consentements valables des personnes concernées
• Obligations de notification en cas de violation de la protection des données
• Ajout du droit à l'oubli.

Pseudonymisation 

désigne, conformément à l’article 4, paragraphe 5, du RGPD, « le traitement de données à caractère personnel de telle sorte que ces données ne puissent plus être associées à une personne concernée spécifique sans recourir à des informations supplémentaires, à condition que ces informations supplémentaires soient conservées séparément et fassent l’objet de mesures techniques et organisationnelles garantissant que les données à caractère personnel ne soient pas associées à une personne physique identifiée ou identifiable. »

Voici quelques exemples de pseudonymisation :

• adresses e-mail
• Pseudonymes ou noms d’utilisateur sur les forums et les réseaux sociaux
• Numéros d’employé, de matricule ou de client
• Profilage des déplacements via les adresses IP ou MAC

L'anonymisation 

n’est pas explicitement défini dans le RGPD – On trouve toutefois la définition suivante dans l’ancienne loi allemande sur la protection des données (BSGD) : « L’anonymisation consiste à modifier des données à caractère personnel de telle sorte que les informations relatives à la situation personnelle ou matérielle ne puissent plus être attribuées à une personne physique identifiée ou identifiable, ou ne puissent l’être qu’au prix d’un effort disproportionné en termes de temps, de coûts et de main-d’œuvre. » Le considérant 26 précise toutefois que les données anonymisées ne relèvent plus du champ d'application du RGPD.

Voici quelques exemples d’anonymisation :

• Les élections, car elles sont à la fois secrètes et anonymes. Certes, dans certaines circonstances (comme lors des élections au Bundestag), il est possible de déterminer qui a voté et qui n’a pas voté ; toutefois, il n’est pas possible d’établir un lien entre un bulletin de vote et un électeur.
• Les analyses de marché et les sondages, à condition qu’aucune donnée spécifique à l’utilisateur ne soit demandée et qu’il ne soit plus possible, à partir des questionnaires, d’établir un lien avec les personnes interrogées.