Cette FAQ publie les questions qui nous ont été adressées dans le cadre de nos activités (→ voir Qui sommes-nous ?), et les réponses que nous y avons apportées en nous appuyant sur la réglementation en vigueur. La tonalité souvent normative de ces billets ne doit cependant pas décourager le débat sur les conditions d’application de ces règles : n’hésitez pas à les commenter !
Les “fiches CNIL” pour la recherche, publiées en 2022, permettent d’éclaircir la notion de “données manifestement rendues publiques” qui est peu mentionnée dans les textes juridiques (LIL1 ou RGPD2).
Une donnée “manifestement rendue publique” doit avoir été délibérément divulguée par la personne concernée (par exemple, des opinions politiques exprimées lors d’une émission télévisée). Toutes les données publiées sur les réseaux sociaux n’ont pas été divulguées délibérément au grand public. Aussi, le Comité européen de la protection des données (CEPD) liste des critères à prendre en compte pour établir la publicisation délibérée des données :
- le paramétrage par défaut de la plateforme de médias sociaux (est-ce que la personne concernée a fait une action pour changer ces paramètres privés par défaut en paramètres publics ?) ;
- la vocation de la plateforme de médias sociaux (exemple : nouer des relations intimes ou partager des médias…)
- l’accessibilité de la page où les données sont publiées (est-ce que les informations sont accessibles au grand public ? la création d’un compte est-elle nécessaire ?…) ;
- la visibilité de l’information sur le caractère public des contenus publiés (comment la plateforme de médias sociaux informe-t-elle les personnes de la publicisation de leurs données ? par une bannière continue ? une notice à accepter avant chaque publication ?…) ;
- l’auteur des données publiées : est-ce que la personne concernée a elle-même publié les données sensibles, ou les données ont-elles été publiées par un tiers ?
A titre d’exemple, les données traitées par l’UMR LORIA, extraites des profils du réseau social “Facebook”, librement accessibles à tout internaute, semblent avoir été considérées comme “manifestement rendues publiques” par la CNIL (→ voir la délibération du 3 mai 2018 dans le billet “Je veux traiter des données personnelles issues du “web-scraping” : comment procéder ?”)
Les données manifestement rendues publiques par les personnes concernées n’échappent nullement au cadre juridique du RGPD et de la LIL.
Dans la réglementation, la seule particularité des données rendues manifestement publiques (par rapport à d’autres données personnelles) est d’autoriser le traitement de données sensibles (article 9 du RGPD) – au même titre que le consentement des personnes ou l’utilisation des données à des fins de recherche publique sous réserve d’un avis de la CNIL (→ voir “Que sont les données personnelles “sensibles” ? Peut-on les traiter ?”). Cette exception qui peut être mobilisée pour traiter des données sensibles ne se substitue nullement à la base légale du traitement (qui peut reposer, pour la recherche exclusivement publique en SHS, sur l’exécution d’une mission d’intérêt public).
L’intérêt du cadre juridique actuel, pour les personnes, n’est pas tant “l’obligation” (souvent contournable) de consentement, mais la garantie d’un certain nombre de droits : information, accès, rectification, effacement, opposition, voire portabilité (→ voir étape 5, partie 5.3 du billet “Comment traiter des données personnelles en SHS : étapes élémentaires”). Une personne qui a manifestement dévoilé des données la concernant, doit pouvoir être informée (entre autres) de l’utilisation que vous souhaitez en faire. Certaines dérogations au droit d’information peuvent être accordées aux projets de recherche, selon les circonstances (→ voir étape 5, partie 5.3 du billet “Comment traiter des données personnelles en SHS : étapes élémentaires”).
Le traitement de ces données rendues manifestement publiques peut aussi comporter des risques pour les personnes, s’il conduit par exemple à l’évaluation de la personne, ou est utilisé pour automatiser des prises de décision. Une analyse d’impact pourrait alors être nécessaire (→ voir “Qu’est-ce qu’une analyse d’impact relative à la protection des données (AIPD, DPIA ou AIVP) ? Dans quels cas doit-on y avoir recours, et comment ?”).
En somme, même si l’on traite de données rendues publiques par les intéressés, toutes les étapes assurant un traitement licite doivent être menées et respectées (→ voir “Comment traiter des données personnelles en SHS : étapes élémentaires).
Références
- CNIL – Recherche scientifique hors santé : focus sur certaines catégories de données personnelles
- → voir d’autres références généralistes sur la page “Ressources”
Notes
- Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (LIL) – voir la version en vigueur [↩]
- Règlement Général sur la Protection des Données Personnelles (RGPD) du 27 avril 2016 – voir la version en vigueur [↩]
OpenEdition vous propose de citer ce billet de la manière suivante :
Aliette ROUX (13 octobre 2022). Je veux traiter des données personnelles rendues manifestement publiques : comment procéder ? So MSH ! Consulté le 21 avril 2026 à l’adresse https://doi.org/10.58079/ugfq