Accueil / Données personnelles, la vigilance obligatoire

Ce qui exige une prudence particulière avant de faire traiter un document

Les données d'identité, de santé ou de situation personnelle sont des catégories protégées, et un secret ne doit jamais transiter par une conversation, même brièvement.

Un dossier de travail mêle souvent plusieurs types d'information sans qu'on y prête attention : un nom, une date de naissance, un état de santé, un mot de passe collé en bas de page pour ne pas l'oublier. Avant de faire traiter ce dossier par un outil d'intelligence artificielle, certaines de ces informations exigent une prudence que les autres n'exigent pas.

Quatre catégories qui changent la règle

L'identité d'une personne, nom, date de naissance, adresse, l'identifie directement. Son état de santé, un diagnostic, un traitement, une situation de dépendance, relève de ce que la CNIL appelle une donnée sensible, quelle que soit la manière dont il est formulé : décrire un besoin de soins dans un langage plus doux et plus clinique décrit toujours le même état, et la sensibilité d'un fait ne dépend pas des mots choisis pour le dire. Deux choses seulement l'en font sortir, et une seule est à votre portée : retirer l'information du document, ou l'anonymiser de façon irréversible, ce qui suppose que plus personne, nulle part, ne détienne le moyen de remonter à la personne. Sortir de la catégorie n'est d'ailleurs pas la seule voie. Le règlement en interdit le recueil et l'usage, puis énumère cinq cas où il les autorise quand même, dont le consentement exprès de la personne et l'intérêt public en matière de santé. Ces cas existent, et une association qui les ignore renonce à ce qu'elle a le droit de faire : ils se lisent à l'adresse en fin de leçon, et se tranchent avec votre délégué à la protection des données, pas avec ce cours. La situation personnelle d'une personne, âge, composition du foyer, ressources, ne l'identifie pas toujours seule, mais la combinaison de plusieurs de ces champs dans le même document réduit souvent les possibilités à une seule personne, même quand aucun champ pris isolément n'y suffit. Un secret d'entreprise ou d'accès, clé d'API, mot de passe, jeton d'authentification, n'est pas une donnée personnelle mais suit la même règle de prudence : une fenêtre de conversation garde une trace de ce qu'on y colle, un secret qui y transite, même brièvement, doit donc être considéré comme déjà compromis.

Remplacer un nom ne suffit pas

Remplacer un nom par un numéro de référence donne l'impression que le document devient sûr à transmettre. Ce n'est vrai que si aucune table de correspondance ne relie plus jamais ce numéro à la personne. Tant qu'un tel tableau existe quelque part dans l'organisation, le document reste une donnée personnelle, quel que soit son aspect en surface. La règle pratique tient en une phrase : réduire un détail identifiant à la fois, plutôt que de juger le document dans son ensemble, et retirer ce qui n'est pas strictement nécessaire à la tâche confiée à l'outil.

Les deux formulations ci-dessous sont fabriquées pour la démonstration, elles ne décrivent personne. La première est un exemple de ce qu'il ne faut pas transmettre.

À éviter : « Le dossier de la personne suivie, née le 4 mars 1958, domiciliée avenue de la Gare, avec un diagnostic d'insuffisance cardiaque, doit être réactualisé. »
Moins exposé : « Le dossier du bénéficiaire référence 4, tranche d'âge 65 à 75 ans, doit être réactualisé. »
Ce qui reste vrai de la seconde : tant qu'un tableau relie quelque part la référence 4 à un nom, elle porte encore une donnée personnelle.

Un secret suit un chemin différent mais la même prudence. Il ne se corrige pas, il se retire entièrement de la conversation et se range là où se rangent les mots de passe, dans un gestionnaire de mots de passe plutôt que dans le texte échangé avec l'outil, et surtout pas dans un coin de document ou de courriel. Si un secret a déjà été collé, la seule action qui répare l'exposition est de le révoquer à la source et d'en générer un nouveau, sur le service qui l'a émis. La leçon suivante précise ce que garantit le compte d'organisation une fois ce premier tri fait, et ce qu'il ne garantit pas.