Quel contour pour la donnée à caractère personnel en pratique ?
Rappelons tout d'abord la définition de la donnée à caractère personnel aux termes de l'article 4, 1 du RGPD :
"toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée») ; est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale"
Si l'on observe cette définition, elle est structurée en 3 éléments :
- Définition générale : la personne peut être identifiée ou identifiable ;
- Précisions sur le caractère de personne identifiable : la personne peut être identifiée; directement ou indirectement ;
- Une série d'exemples possibles, dont la liste n'est pas exhaustive ("notamment").
La définition la plus accueillante possible
Les rédacteurs du RGPD, tout comme ceux de la loi française du 6 janvier 1978 ont toujours entendu que cette définition du caractère identifiable d'une personne soit la plus large et la plus accueillante possible, de manière à protéger le plus possible la "personne concernée" par de telles données en l'abritant sous les règles protectrices du RGPD ou de la loi.
On est là en face d'une de ces définitions abstraites (ou génériques) qui relèvent de la règle de droit la plus intemporelle, à l'image de ces articles du Code civil, datant de 1804 et qui n'ont pas pris une ride parce qu'ils règlent des points de droit, intemporelles, et non des situations concrètes, par définition éphémères.
C'est ainsi qu'après avoir connu des hésitations, la jurisprudence et la Cnil se sont accordées pour reconnaître le caractère de donnée personnelle à l'adresse IP d'un internaute, tout comme on admettait depuis longtemps son numéro de téléphone, voire la plaque minéralogique de son véhicule.
L'empreinte olfactive : donnée à caractère personnel ?
C'est ce qui nous amène tout droit à la question que se posent certains juristes face à l'évolution des moyens de la police scientifique, spécialement face aux techniques de captation et d'analyse de l'empreinte olfactive qu'une personne laisse, par exemple sur les lieux d'une infraction pénale.
A priori, il n'est pas douteux que dès l'instant où il devient possible de capter et de reconnaître l'empreinte (ou signature) olfactive d'une personne, il s'agit là d'une donnée à caractère personnel. Mais compte tenu du champ d'application de cette technique (les enquêtes criminelles en vue d'identifier d'éventuels coupables), cette donnée n'est pas forcément "protectrice" de la personne, puisqu'elle est susceptible d'être utilisée à charge contre elle.
On comprend donc que le tout premier questionnement qui se pose n'est pas dans le fait qu'il y ait donnée personnelle ou pas, mais bien plutôt dans la fiabilité incontestable (notamment unicité et permanence de l'empreinte) de la technique d'identification, comme on a pu le reconnaître, dans le temps pour les empreintes digitales et aujourd'hui pour l'ADN.
Ensuite, il s'agit de bien réfléchir à toutes les conséquences qu'il y aurait à admettre une telle technique d'identification. Si tel est le cas, il convient de considérer qu'il s'agit d'une donné biométrique, dont le traitement est strictement encadré par le RGPD puisque ces données biométriques ont été ajoutées par le Règlement aux classiques données dites sensibles, c'est-à-dire celles qui sont considérées comme particulièrement intrusives dans la vie des personnes. Il conviendrait donc de manier ces données avec la plus grande précaution, tout comme celles sur la santé ou la vie sexuelle de la personne, pour ne citer que quelques-unes des autres données sensibles énumérées à l'article 9, 1 du RGPD.
Une intéressante étude juridique
Dans un article publié le 12 février dernier sur la site du Village de la Justice, intitulé "L’empreinte olfactive : une nouvelle catégorie de donnée à caractère personnel ?" Mélanie Cras et Justine de Saulieu, de la société Datacy, spécialisée en conseil sur les données personnelles, se penchent sur toutes les facettes juridiques de cette technique.
Les auteures y passent en revue les divers aspects juridiques de la signature olfactive en la confrontant aux diverses règles de protection des données et des droits de l'homme, depuis la Convention 108 du Conseil de l'Europe de 1981, modifiée (sur la protection des données à caractère personnel) jusqu'au RGPD, en passant inévitablement par la directive "Police-Justice", publiée en même temps que le RGPD et entrée en application le même 25 mai 2018, puisque ce sera bien de police judiciaire qu'il s'agira lorsque la signature olfactive sera au point et donc admise parmi les outils de la police scientifique. Elles se penchent également sur la jurisprudence de la Cour européenne des droits de l'Homme et de la Cour de justice de l'Union européenne. Elles y confrontent notamment la notion de données à caractère personnel, celle de donnée biométrique avec les critères qu'elle suppose.
Gageons que d'ici quelques années, certains criminels, se croyant intouchables, pourront légitimement prétendre " se sentir mal"...
