La question peut être posée, à la lecture d’un récent arrêt du Conseil d’Etat (CE, 31 mai 2024, Assoc. Ouvre-boîte, n° 472883). En résumé, la plus haute juridiction administrative conclut ici que des données statistiques contenant des renseignements individuels ou permettant l’identification des personnes ne peuvent être communiquées à des tiers, à peine de violation dudit secret.
Dans cette situation, point de risque d’attaque par reconstruction, comme le craint fréquemment la « CNIL italienne » (GPDP, 18 juillet 2023, Azienda Ospedaliera Universitaria Careggi, n° 9920977).
La problématique tient ici à l’existence de données permettant :
- L’identification des personnes : diantre, la solution était évidente, n’est-ce pas?
- L’isolement d’un individu dans les données statistiques : c’est alors l’agrégation, qui fait défaut, écartant la possibilité de l’anonymat (G29 – Avis 05/2014 sur les Techniques d’anonymisation).
Rien d’étonnant, certes. Une redite de la position de la CNIL et de ses homologues (Utilisation de Google Analytics et transferts de données vers les États-Unis : la CNIL met en demeure un gestionnaire de site web – CNIL, Février 2022 ; Datatilsynet, 26 juin 2023, n° 20/03771-17)
Mais le sujet peut rapidement se complexifier. Ainsi, ce 2nd critère est entendu de façon particulièrement extensive. Les autorités n’hésitent pas à considérer que l’anonymat suppose une agrégation de données au niveau d’une ou plusieurs (jusqu’à 5, dans certaines délibérations : Délibération n° 2017-285 du 26 octobre 2017) dizaine de personnes.
Toute violation du secret statistique n’implique pas une atteinte à des données personnelles. En revanche, ce secret doit être apprécié, en la matière, à l’aune des critères posées par les autorités de protection des données et le G29/CEPD.
Avez-vous déjà dû distinguer des statistiques de données personnelles ? Des RETEX, des craintes, sur ce sujet ? Partagez-les en commentaires.
Besoin de sécuriser votre position quant à la qualification de données statistiques ? N’hésitez pas à me contacter.