Glossaire de la protection des données

Il s'agit d'un principe fondamental du RGPD visant à garantir que les responsables du traitement aient la charge de démontrer, dans la pratique, le respect des principes de protection des données. La responsabilité exige que les organisations mettent en place des mécanismes internes et des systèmes de contrôle garantissant la conformité, et qu'elles fournissent des éléments probants, tels que des rapports d'audit, de la documentation et des registres, afin de démontrer cette conformité aux autorités de contrôle et aux personnes concernées.

Une décision d’adéquation est une décision de la Commission européenne établissant qu’un pays tiers ou une organisation internationale assure un niveau de protection des données essentiellement équivalent à celui de l’Union européenne. Les décisions d’adéquation permettent le transfert de données à caractère personnel vers ce pays sans garanties supplémentaires, telles que les clauses contractuelles types. La Commission européenne les réexamine périodiquement et peut les retirer si les mesures de protection s’affaiblissent.

Le Bureau de l'IA est l'organe de la Commission européenne chargé de superviser et de faire respecter la loi européenne sur l'IA, notamment en ce qui concerne les modèles d'IA à usage général et la coordination transfrontalière. Le Bureau de l'IA apporte son soutien aux autorités nationales, publie des lignes directrices, enquête sur les cas de non-conformité et peut infliger des sanctions aux fournisseurs de modèles d'IA à usage général qui manquent à leurs obligations. Il travaille en collaboration avec le représentant de l'UE pour l'IA, qui fait office de point de contact pour les fournisseurs non européens.

La suppression ou la transformation irréversible des données à caractère personnel, de sorte que les personnes ne puissent plus être identifiées, ni directement ni indirectement. Une véritable anonymisation rompt définitivement le lien entre les données et l'identité, ce qui signifie que les données ne relèvent plus du champ d'application des réglementations en matière de protection des données. Parvenir à une véritable anonymisation est techniquement complexe et nécessite de prendre en compte toutes les méthodes de réidentification raisonnablement disponibles.

La prise de décision automatisée désigne toute décision concernant une personne concernée, prise exclusivement par des moyens automatisés, sans intervention humaine significative, et qui produit des effets juridiques ou des effets tout aussi importants. En vertu de l’article 22 du RGPD, les personnes ont le droit de ne pas faire l’objet de décisions purement automatisées dans la plupart des cas, et les organisations qui invoquent des exceptions limitées, telles que le consentement, doivent tout de même prévoir un moyen de faire procéder à un examen humain et de contester le résultat, en particulier lorsque la décision implique un profilage.

Politiques internes de protection des données adoptées par des organisations internationales ou des groupes multinationaux, qui permettent des transferts légitimes de données à caractère personnel entre différentes entités au sein d’un même groupe. Les règles d’entreprise contraignantes (Binding Corporate Rules ) constituent un cadre juridiquement contraignant qui garantit des normes cohérentes en matière de protection des données dans l’ensemble des entités du groupe et dont l’approbation par les autorités chargées de la protection des données est requise.

Données à caractère personnel résultant d’un traitement technique spécifique des caractéristiques physiques, physiologiques ou comportementales d’une personne physique, telles que les empreintes digitales, les scans de l’iris, les données de reconnaissance faciale, les profils vocaux et l’ADN. Les données biométriques sont généralement considérées comme une catégorie particulière de données nécessitant une protection renforcée et une justification juridique spécifique pour leur traitement.

Une loi américaine sur la protection de la vie privée a été adoptée en Californie en 2018, accordant aux résidents californiens des droits sur leurs données personnelles, notamment le droit de savoir quelles données sont collectées, le droit de supprimer ces données, le droit de s'opposer à la vente de leurs données et le droit à la non-discrimination. La CCPA s'applique aux entreprises à but lucratif qui collectent des données personnelles auprès de résidents californiens et qui atteignent certains seuils en matière de chiffre d'affaires ou de volume de données.

La modification et l'extension de la CCPA, adoptée en Californie en 2020, ont renforcé les droits des consommateurs, notamment le droit de rectifier ses données personnelles, le droit de limiter l'utilisation des données personnelles sensibles et les droits liés à la prise de décision automatisée. La CPRA a créé l'Agence californienne de protection de la vie privée (California Privacy Protection Agency) chargée de faire respecter la législation en matière de protection de la vie privée et d'imposer des sanctions en cas d'infraction.

Dépôt officiel auprès d'une autorité chargée de la protection des données ou d'une autorité de contrôle par une personne physique alléguant qu'une organisation a porté atteinte à ses droits en matière de protection des données. Les autorités chargées de la protection des données ont le pouvoir d'enquêter sur les plaintes et de faire respecter la réglementation par le biais d'enquêtes, d'injonctions et de sanctions.

Principe du RGPD qui impose de protéger les données à caractère personnel contre tout accès non autorisé ou accidentel, toute divulgation ou toute utilisation abusive. La confidentialité garantit que seules les personnes autorisées peuvent accéder aux données à caractère personnel, ce qui oblige les organisations à mettre en œuvre des mesures de protection techniques et organisationnelles tout au long du cycle de vie des données.

Une évaluation de conformité est le processus permettant de vérifier qu’un système d’IA à haut risque répond aux exigences de la loi européenne sur l’IA avant sa mise sur le marché. Les évaluations de conformité peuvent être réalisées en interne par le fournisseur ou en externe par un organisme notifié, en fonction de la catégorie du système d’IA, et aboutissent à l’apposition du marquage « CE » et à l’établissement d’une déclaration de conformité de l’UE.

Autorisation librement donnée, spécifique, éclairée et sans ambiguïté, relative au traitement des données à caractère personnel à des fins bien définies. Elle implique que les personnes concernées comprennent ce à quoi elles consentent, sachent comment leurs données seront utilisées et puissent retirer leur consentement à tout moment. Le consentement doit être véritablement volontaire et ne peut constituer une condition préalable à la fourniture de services sans rapport avec ledit traitement.

L'organisation ou la personne physique qui détermine les finalités, les moyens et les méthodes du traitement des données à caractère personnel. Les responsables du traitement assument la responsabilité première du respect de la réglementation et doivent veiller à ce que tous les principes de protection des données soient respectés, notamment la licéité, la transparence, la sécurité et les droits des personnes concernées.

Incident au cours duquel des données à caractère personnel sont consultées, utilisées ou divulguées sans autorisation, ou sont détruites, perdues ou altérées de manière accidentelle ou illicite. Les organisations doivent évaluer les violations et en informer les parties concernées. Si une violation est susceptible de compromettre les droits des personnes, les autorités et les personnes concernées doivent en être informées.

Ce principe exige que seules les données à caractère personnel qui sont adéquates, pertinentes et nécessaires à des finalités spécifiques soient collectées et traitées. Le principe de minimisation des données permet d'éviter toute collecte excessive de données et de réduire les risques liés à la vie privée en limitant la quantité d'informations à caractère personnel détenues par une organisation.

Contrat écrit conclu entre un responsable du traitement et un sous-traitant, précisant la nature, la portée et la finalité du traitement, les obligations en matière de sécurité, les droits des personnes concernées et les exigences de confidentialité. Les accords de sous-traitance sont obligatoires lorsque le responsable du traitement fait appel à un sous-traitant pour traiter des données à caractère personnel en son nom.

Organisme public indépendant (également appelé « autorité de contrôle ») chargé de veiller au respect de la législation en matière de protection des données, d'instruire les plaintes et de protéger les droits des personnes. Les autorités chargées de la protection des données disposent de pouvoirs d'enquête et d'exécution, notamment pour émettre des recommandations, réaliser des audits et infliger des sanctions.

La protection des données dès la conception et par défaut est une obligation prévue par le RGPD qui impose aux organisations d’intégrer dès le départ des mesures de protection des données dans leurs systèmes et de veiller à ce que, par défaut, seules les données à caractère personnel nécessaires à une finalité spécifique soient traitées. L’article 25 du RGPD s’applique tant à la conception technique des systèmes qu’aux paramètres par défaut des utilisateurs, et s’inscrit, aux côtés du respect de la vie privée dès la conception et du principe de minimisation des données, parmi les principes fondamentaux de responsabilité.

Une analyse structurée s'impose lorsqu'une organisation prévoit des activités de traitement présentant un risque élevé pour les droits et libertés des personnes. Les analyses d'impact relatives à la protection des données permettent d'identifier les risques potentiels, d'évaluer leur probabilité et leur gravité, et de consigner les mesures mises en œuvre pour les atténuer. Elles témoignent de la responsabilité de l'organisation et aident celle-ci à mettre en place des mesures de protection de la vie privée dès la conception du projet.

Expert indépendant désigné par des organisations pour veiller au respect de la réglementation en matière de protection des données et assurer la liaison avec les autorités chargées de la protection des données. Les délégués à la protection des données contrôlent la conformité, tiennent à jour les registres de traitement, traitent les demandes des personnes concernées et fournissent des conseils sur les obligations en matière de protection des données. Dans de nombreuses juridictions, les autorités publiques et les organisations qui traitent d’importants volumes de données sont tenues de désigner un délégué à la protection des données.

La durée pendant laquelle les organisations sont autorisées à conserver des données à caractère personnel. Les cadres réglementaires en matière de protection des données exigent que les données à caractère personnel ne soient conservées que pendant la durée nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées. Les organisations doivent établir et documenter des calendriers de conservation, puis supprimer de manière sécurisée ou anonymiser les données une fois la période de conservation écoulée.

Un accord de partage de données est un contrat conclu entre deux ou plusieurs responsables du traitement qui définit la finalité, la portée et les conditions dans lesquelles les données à caractère personnel seront partagées entre eux. Contrairement à un accord de sous-traitance, un accord de partage de données régit le partage entre des responsables du traitement indépendants, y compris les responsables conjoints, et couvre généralement la sécurité, la conservation des données ainsi que la manière dont les demandes des personnes concernées seront traitées par chaque partie.

Toute personne physique identifiée ou identifiable à laquelle se rapportent des données à caractère personnel. Les personnes concernées disposent de droits spécifiques en vertu de la législation sur la protection des données, notamment le droit d’accéder à leurs données, de faire rectifier des informations inexactes, de s’opposer au traitement et d’en demander la suppression. Les organisations doivent reconnaître et respecter les droits des personnes concernées dans l’ensemble de leurs pratiques en matière de traitement des données.

Demande officielle adressée par une personne physique à une organisation concernant ses données à caractère personnel. Les demandes des personnes concernées comprennent notamment les demandes d'accès, de rectification, d'effacement, d'opposition et de portabilité. Les organisations doivent disposer de procédures permettant de recevoir, de vérifier et de répondre aux demandes des personnes concernées dans les délais prévus par la loi.

Le transfert transfrontalier de données à caractère personnel, en particulier en dehors de la juridiction où elles ont été collectées. Les transferts de données vers des pays ne disposant pas de cadres adéquats en matière de protection des données nécessitent des mécanismes juridiques tels que les clauses contractuelles types, les règles d'entreprise contraignantes ou les décisions d'adéquation, afin de garantir que les données restent correctement protégées.

La loi sur les services numériques (Digital Services Act, DSA) est un règlement de l’Union européenne (2022/2065) qui définit des règles applicables aux plateformes en ligne, aux places de marché et aux services d’intermédiation en matière de modération des contenus, de transparence et de sécurité des utilisateurs. La DSA recoupe la législation sur la protection des données en ce qui concerne la publicité ciblée et le profilage dans les systèmes de recommandation, et impose des obligations plus strictes aux très grandes plateformes en ligne et aux moteurs de recherche. 

Le marketing direct consiste à diffuser des supports publicitaires à des personnes spécifiques par courrier postal, téléphone, e-mail ou tout autre moyen électronique. Il est régi à la fois par les exigences du RGPD en matière de base légale et par des règles spécifiques relatives à la vie privée et aux communications électroniques, telles que le PECR, qui exigent généralement un consentement préalable pour le marketing électronique et prévoient systématiquement un droit d'opposition effectif. 

La législation européenne (2009/136/CE) complète la réglementation en matière de protection des données en traitant de la confidentialité des communications électroniques et en encadrant l'utilisation des cookies. La directive « e-vie privée » exige le consentement préalable avant tout stockage d'informations sur les appareils des utilisateurs et limite l'utilisation des données à caractère personnel à des fins de marketing électronique.

Le Comité européen de la protection des données (EDPB) représente l'ensemble des autorités chargées de la protection des données des États membres de l'Union européenne et est chargé de veiller à l'application cohérente de la législation en matière de protection des données dans toute l'Union européenne. L'EDPB publie des lignes directrices et des avis qui fournissent une interprétation faisant autorité des exigences en matière de protection des données. Le Contrôleur européen de la protection des données (CEPD) veille au respect de la protection des données au sein des institutions de l'Union européenne.

Le droit des personnes physiques de demander à des organisations de supprimer leurs données à caractère personnel. Également appelé «droit à l'oubli », ce droit s'applique lorsque les données ne sont plus nécessaires à la finalité pour laquelle elles ont été collectées, lorsque la personne physique retire son consentement, lorsqu'elle s'oppose au traitement ou lorsque les données ont été traitées de manière illicite. Des exceptions sont prévues en cas d'obligations légales et à d'autres fins légitimes.

Règlement de l’UE (2024/1689) établissant un cadre juridique complet pour les systèmes d’intelligence artificielle utilisés dans l’UE. La loi sur l’IA classe les systèmes d’IA par niveau de risque et impose des exigences aux systèmes d’IA à haut risque, notamment en matière de documentation, de transparence, de contrôle humain et d’évaluations d’impact. Ce règlement traite des risques spécifiques à l’IA pour les droits et libertés fondamentaux, y compris le droit à la vie privée. Les pratiques interdites en matière d’IA sont entrées en vigueur le 2 février 2025, tandis que les exigences plus générales relatives aux systèmes à haut risque s’appliquent à compter d’août 2026.

Un représentant de l’IA au sein de l’UE est un interlocuteur local désigné dans l’Union européenne par les fournisseurs de systèmes d’IA à haut risque qui ne disposent pas d’établissement sur le territoire de l’UE. Rendu obligatoire par l’article 54 de la loi européenne sur l’IA, ce rôle fait écho à l’obligation de désigner un représentant de l’UE prévue à l’article 27 du RGPD : il assure la communication avec le Bureau de l’IA et les autorités nationales de surveillance du marché, et tient à disposition la documentation technique requise en vue d’un contrôle. 

Un représentant dans l’Union européenne est un interlocuteur local au sein de l’Union européenne, désigné par un responsable du traitement ou un sous-traitant ne disposant d’aucun établissement dans l’Union européenne et qui traite les données à caractère personnel de personnes situées dans l’Union européenne. Conformément à l’article 27 du RGPD, le représentant dans l’Union européenne gère la correspondance avec les autorités chargées de la protection des données et les personnes concernées, et conserve une copie du registre des activités de traitement de l’organisation ; toutefois, sa désignation n’atténue en rien la responsabilité juridique du responsable du traitement.

Une analyse d’impact sur les droits fondamentaux (FRIA) est une évaluation obligatoire que certains exploitants de systèmes d’IA à haut risque doivent réaliser en vertu de la loi européenne sur l’IA afin d’identifier les risques que le système fait peser sur les droits fondamentaux des personnes. Une FRIA porte sur la manière dont le système sera utilisé, les personnes susceptibles d’être concernées, ainsi que les garanties et les mesures de contrôle humain mises en place ; elle joue un rôle similaire à celui d’une analyse d’impact relative à la protection des données, mais s’inscrit dans le cadre de la loi sur l’IA plutôt que du RGPD.

Le principal règlement en matière de protection des données au sein de l'Union européenne, en vigueur depuis 2018, régit le traitement des données à caractère personnel et protège les droits des personnes concernées au sein de l'UE. Le RGPD s'applique aux organisations qui traitent les données à caractère personnel de résidents de l'UE, quel que soit leur lieu d'implantation, et définit des exigences en matière de licéité, de transparence, de sécurité, de droits individuels et de responsabilité.

Un modèle d’IA à usage général est un modèle d’IA entraîné à grande échelle sur un vaste ensemble de données, capable d’effectuer un large éventail de tâches et d’être intégré dans de nombreuses applications en aval. En vertu de la loi européenne sur l’IA, les fournisseurs de modèles d’IA à usage général sont soumis à des obligations de transparence, et les modèles classés comme présentant un « risque systémique » sont soumis à des exigences supplémentaires en matière d’évaluation, de tests et de signalement des incidents, sous la supervision du Bureau de l’IA. 

La législation fédérale américaine protège la confidentialité et la sécurité des informations de santé dans le secteur des soins de santé. La loi HIPAA s'applique aux entités concernées (prestataires de soins de santé, caisses d'assurance maladie, centres de traitement des données de santé) et à leurs partenaires commerciaux. Elle impose des mesures de protection des informations de santé protégées, garantit aux personnes le droit d'accéder à leurs informations de santé et de les modifier, et prévoit des obligations de notification en cas de violation de la sécurité des données.

Un système d’IA à haut risque est un système d’IA que la loi européenne sur l’IA classe comme présentant un risque significatif pour la santé, la sécurité ou les droits fondamentaux, tel que les systèmes utilisés dans le recrutement, l’évaluation de la solvabilité, l’application de la loi ou les infrastructures critiques. Les systèmes d’IA à haut risque doivent faire l’objet d’une évaluation de conformité et d’une analyse d’impact sur les droits fondamentaux avant leur mise sur le marché, ainsi que satisfaire à des exigences en matière de gestion des risques, de gouvernance des données, de documentation technique et de supervision humaine.

Norme internationale relative aux systèmes de gestion de la sécurité de l'information. La norme ISO/IEC 27001 définit les exigences relatives à la mise en place, à la mise en œuvre, au maintien et à l'amélioration d'un système de gestion de la sécurité de l'information. Les organisations peuvent obtenir la certification en démontrant leur conformité aux contrôles de sécurité et aux exigences de gestion prévus par la norme, qui contribuent au respect des obligations en matière de protection des données.

Norme internationale fournissant des lignes directrices et des recommandations relatives aux mesures de contrôle en matière de gestion de la sécurité de l'information. La norme ISO/IEC 27002 propose des conseils détaillés sur la mise en œuvre des mesures de contrôle requises par la norme ISO/IEC 27001, notamment des mesures spécifiques concernant la protection des données, le contrôle d'accès, le chiffrement, la gestion des incidents et la sensibilisation à la sécurité.

Norme internationale qui élargit le champ d’application des normes ISO/IEC 27001 et 27002 afin de traiter spécifiquement la gestion de la vie privée. La norme ISO/IEC 27701 définit des exigences et fournit des recommandations pour la gestion des données à caractère personnel par le biais de systèmes de gestion de l’information relative à la vie privée (PIMS), facilitant ainsi la mise en conformité avec les réglementations en matière de protection des données telles que le RGPD, le CCPA, la LGPD et d’autres cadres réglementaires similaires. Elle aide les organisations à intégrer les considérations relatives à la vie privée dans leurs programmes plus larges de sécurité de l’information et constitue la première norme internationale spécifiquement dédiée à la gestion de l’information relative à la vie privée.

Les responsables conjoints du traitement sont deux ou plusieurs responsables qui déterminent conjointement les finalités et les moyens du traitement des mêmes données à caractère personnel. En vertu de l’article 26 du RGPD, les responsables conjoints du traitement doivent définir leurs responsabilités respectives en matière de conformité dans le cadre d’un accord transparent, souvent formalisé par un accord de partage des données, et les personnes concernées peuvent exercer leurs droits à l’encontre de l’une ou l’autre des parties, indépendamment de l’accord interne. 

Le RGPD repose sur des principes fondamentaux, notamment la licéité, l'équité, la transparence, la limitation des finalités, la minimisation des données, l'exactitude, la limitation de la conservation, l'intégrité, la confidentialité et la responsabilité.

Une justification juridique est requise avant tout traitement de données à caractère personnel. Les cadres réglementaires en matière de protection des données prévoient généralement plusieurs bases légales, telles que le consentement, la nécessité contractuelle, l’obligation légale, la protection d’intérêts vitaux, l’exécution d’une mission d’intérêt public et les intérêts légitimes. Chaque opération de traitement de données à caractère personnel doit s’appuyer sur au moins une de ces bases légales.

L'une des nombreuses bases légales justifiant le traitement des données à caractère personnel lorsque l'organisation ou un tiers poursuit des intérêts commerciaux légitimes qui ne l'emportent pas sur les droits et libertés des personnes concernées. Le traitement fondé sur des intérêts légitimes nécessite de mettre en balance les intérêts de l'organisation et les attentes des personnes concernées en matière de vie privée ; il doit en outre être nécessaire et proportionné.

Une évaluation des intérêts légitimes est une analyse documentée que les organisations réalisent avant de se fonder sur les intérêts légitimes comme base légale pour le traitement des données à caractère personnel. Une telle évaluation comprend une analyse de la finalité, une analyse de la nécessité et une mise en balance avec les droits de la personne concernée ; la conservation d'un compte rendu de cette évaluation permet de respecter le principe de responsabilité si cette base venait à être contestée ultérieurement.

La loi générale sur la protection des données du Brésil, en vigueur depuis 2020, protège les droits des personnes concernées brésiliennes et s'applique aux organisations qui traitent les données à caractère personnel de résidents brésiliens. La LGPD suit une structure similaire à celle du RGPD, exigeant des bases légales pour le traitement, le respect des droits individuels, des mesures de sécurité et la responsabilité. Elle s'applique au traitement des données à caractère personnel de personnes physiques situées au Brésil ou effectué au Brésil.

Une personne physique est un être humain vivant, par opposition à une personne morale telle qu'une entreprise ou une organisation. La législation sur la protection des données protège spécifiquement les données à caractère personnel des personnes physiques ; les personnes décédées et les informations purement relatives aux entreprises ne relèvent généralement pas de son champ d'application.

La directive NIS 2 est un texte législatif de l’Union européenne (2022/2555) qui renforce les exigences en matière de cybersécurité pour les organisations opérant dans des secteurs critiques et importants, en remplacement de la directive NIS initiale. La directive NIS 2 impose des mesures de gestion des risques et l’obligation de signaler les incidents ; elle recoupe de plus en plus les obligations prévues par le RGPD en matière de confidentialité et de notification des violations de données pour les organisations soumises aux deux régimes, et fait souvent l’objet d’une évaluation parallèlement à la certification ISO/IEC 27001. 

Le droit d’opposition permet aux personnes concernées de s’opposer au traitement de leurs données à caractère personnel effectué à des fins de marketing direct, d’intérêts légitimes ou dans le cadre d’une mission d’intérêt public. Lorsqu’une personne s’oppose au marketing direct, le traitement doit cesser immédiatement, sans exception ; pour les autres fondements, le responsable du traitement doit cesser le traitement, sauf s’il peut démontrer l’existence de motifs légitimes et impérieux prévalant sur les intérêts de la personne concernée. 

Le PECR est la réglementation britannique transposant la directive « e-privacy », qui régit le marketing électronique, les cookies et les technologies de suivi similaires. Le PECR s'applique parallèlement à la loi britannique de 2018 sur la protection des données et exige généralement le consentement préalable avant de stocker des informations sur l'appareil d'un utilisateur ou d'envoyer des communications de marketing électronique.

Toute information relative à une personne physique identifiée ou identifiable. Cette définition est large et englobe les noms, les numéros d'identification, les données de localisation, les identifiants en ligne, les adresses e-mail, les adresses IP et toute autre information permettant, directement ou indirectement, d'identifier une personne ou susceptible de l'identifier lorsqu'elle est combinée avec d'autres données.

La loi fédérale canadienne sur la protection de la vie privée régit la manière dont les organisations du secteur privé collectent, utilisent et communiquent les données à caractère personnel. La LPRPDE s'applique aux entreprises à but lucratif exerçant des activités commerciales et établit les droits des personnes, notamment en matière d'accès, d'exactitude, de consentement et de mécanismes de réclamation. Les provinces canadiennes ont adopté des lois similaires en matière de protection de la vie privée, offrant des garanties substantiellement équivalentes.

Le droit à la portabilité des données permet aux personnes concernées de recevoir les données à caractère personnel qu’elles ont fournies à un responsable du traitement dans un format structuré et lisible par machine, et de les faire transmettre directement à un autre responsable du traitement lorsque cela est possible. Il s’applique uniquement lorsque le traitement repose sur le consentement ou un contrat et est effectué par des moyens automatisés, contrairement au droit d’accès, qui s’applique quelle que soit la base légale.

Principe selon lequel les organisations doivent intégrer les considérations relatives à la protection des données dans leurs technologies, leurs systèmes et leurs processus métier dès les premières étapes de leur développement. Le concept de « protection de la vie privée dès la conception » consiste à ancrer les mesures de protection de la vie privée dès la phase initiale des projets, plutôt que de se contenter d'assurer la conformité a posteriori, une fois la mise en œuvre achevée.

Une organisation ou une personne physique qui traite des données à caractère personnel pour le compte d'un responsable du traitement. Les sous-traitants doivent suivre les instructions du responsable du traitement et mettre en œuvre les mesures de sécurité appropriées. Les sous-traitants agissent dans le cadre de contrats écrits précisant l'étendue du traitement et les obligations en matière de sécurité.

Le profilage désigne le traitement automatisé de données à caractère personnel utilisé pour évaluer des aspects personnels d'un individu, tels que la prévision de son comportement, de ses préférences, de son état de santé ou de sa situation économique. Le profilage fait l'objet d'une réglementation plus stricte lorsqu'il s'inscrit dans le cadre d'un processus décisionnel automatisé produisant des effets juridiques ou des effets d'une importance similaire.

Une pratique interdite en matière d’IA désigne toute utilisation de l’IA que la loi européenne sur l’IA interdit formellement, car le risque qu’elle fait courir aux personnes est jugé inacceptable, comme la notation sociale par les pouvoirs publics ou l’utilisation de l’IA visant à manipuler les comportements dans le but de causer un préjudice. Ces pratiques interdites sont entrées en vigueur le 2 février 2025, bien avant les délais de mise en conformité fixés pour l’ensemble des systèmes d’IA à haut risque.

Le traitement des données à caractère personnel de manière à empêcher toute identification directe sans recourir à des informations supplémentaires conservées séparément et sécurisées. Contrairement à l’anonymisation, la pseudonymisation est réversible ; si l’on dispose d’informations permettant d’établir un lien, il est possible de réidentifier les personnes concernées. Les données pseudonymisées restent des données à caractère personnel, mais présentent moins de risques pour la vie privée.

Un destinataire désigne toute personne physique ou morale, autorité publique ou autre organisme auquel des données à caractère personnel sont communiquées, qu’il s’agisse ou non d’un tiers. La définition du destinataire au sens du RGPD est large et inclut d’autres responsables du traitement et sous-traitants, ce qui la distingue de la notion plus restrictive de « tiers ».

Documentation tenue par les responsables du traitement et les sous-traitants, détaillant l'ensemble des activités de traitement des données à caractère personnel. Le ROPA doit inclure des informations sur les finalités du traitement, les catégories de données à caractère personnel traitées, les destinataires des données, les durées de conservation ainsi que les mesures de sécurité techniques et organisationnelles. Le ROPA sert de preuve de la responsabilité et du respect des obligations en matière de protection des données.

Le droit à la limitation du traitement permet aux personnes concernées de restreindre l'utilisation de leurs données à caractère personnel dans des situations spécifiques, par exemple lorsque l'exactitude de ces données est contestée ou lorsqu'une opposition est en cours d'examen. Lorsque le traitement est limité, les données peuvent toujours être conservées, mais ne peuvent faire l'objet d'aucun autre traitement sans consentement, sauf à des fins de défense en justice.

Le droit des personnes à demander et à obtenir une copie de leurs données à caractère personnel détenues par une organisation, ainsi que des informations sur la manière dont celles-ci sont traitées. Les organisations sont tenues de répondre aux demandes d'accès dans les délais fixés, en fournissant généralement les données dans un format électronique couramment utilisé.

Le droit des personnes à demander la rectification de données à caractère personnel inexactes. Les organisations doivent rectifier les informations inexactes sans retard injustifié et, dans la mesure du possible, informer les tiers ayant reçu ces données inexactes de la rectification effectuée.

Catégorie plus large que celledes«données de catégorie spéciale»,les informations personnelles sensibles comprennent les données qui nécessitent une protection renforcée en vertu des cadres réglementaires relatifs à la protection des données. Il s'agit notamment des informations relatives à la santé, des données financières, des données biométriques, des données comportementales, des informations génétiques et des numéros de sécurité sociale. Le traitement des informations personnelles sensibles nécessite généralement un consentement explicite ou d'autres justifications juridiques spécifiques.

Les données relevant de catégories particulières sont des données à caractère personnel révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses, l'appartenance syndicale, les données biométriques utilisées à des fins d'identification, les données relatives à la santé, ou encore celles concernant la vie sexuelle ou l'orientation sexuelle. Le traitement des données relevant de catégories particulières est interdit par défaut et nécessite à la fois une base légale standard et une condition spécifique prévue à l'article 9, telle que le consentement explicite — une catégorie plus restreinte que celle des informations personnelles sensibles. 

Clauses contractuelles pré-approuvées autorisant les transferts de données à caractère personnel d'une juridiction à une autre lorsque les législations en matière de protection des données peuvent différer. Les clauses contractuelles types constituent une base juridique pour les transferts internationaux en l'absence de décision d'adéquation, mais les organisations doivent réaliser des analyses d'impact afin d'identifier et d'atténuer les risques spécifiques à chaque pays.

Un sous-traitant secondaire est un tiers auquel un sous-traitant fait appel pour effectuer des activités de traitement pour le compte du responsable du traitement. En vertu de l'article 28 du RGPD, un sous-traitant doit obtenir l'autorisation écrite préalable du responsable du traitement avant de faire appel à un sous-traitant secondaire, et il reste pleinement responsable envers le responsable du traitement du respect par ce dernier de ses obligations en matière de protection des données. 

Demande officielle émanant d'une personne physique visant à obtenir une copie de ses données à caractère personnel ainsi que des informations sur la manière dont l'organisme les traite. Les organismes doivent y répondre dans les délais fixés, en fournissant l'ensemble des données à caractère personnel détenues concernant cette personne ainsi que des précisions sur leur traitement.

Un représentant suisse est un interlocuteur local en Suisse désigné par un responsable du traitement ne disposant pas d'établissement en Suisse et qui traite les données à caractère personnel de personnes se trouvant en Suisse. Requis en vertu de l'article 14 de la LPD suisse, ce rôle est fonctionnellement équivalent à celui du représentant au sein de l'UE et du représentant au Royaume-Uni, bien qu'il relève du droit suisse plutôt que du droit de l'Union européenne.

Tout pays ne relevant pas de la juridiction couverte par un cadre de protection des données (par exemple, en dehors de l'UE/EEE au sens du RGPD). Les transferts vers des pays tiers nécessitent des mécanismes juridiques tels que des décisions d'adéquation, des clauses contractuelles types ou des règles d'entreprise contraignantes afin de garantir une protection adéquate des données.

Toute personne physique ou morale autre que la personne concernée, le responsable du traitement, le sous-traitant ou les salariés habilités à traiter des données sous l’autorité du responsable du traitement. Les tiers peuvent être des destinataires externes des données ou des responsables du traitement indépendants prenant leurs propres décisions en matière de traitement.

Ce principe exige que les organisations fournissent aux personnes concernées des informations claires et accessibles sur la manière dont leurs données à caractère personnel sont collectées, utilisées et protégées. La transparence passe généralement par la publication d'avis de confidentialité et d'autres informations, qui aident les personnes concernées à comprendre les pratiques en matière de traitement des données.

Législation britannique transposant et complétant les exigences du RGPD au Royaume-Uni. La loi de 2018 sur la protection des données (Data Protection Act 2018) définit les règles spécifiques au Royaume-Uni en matière de traitement des données, établit le rôle du Bureau du commissaire à l'information (ICO) et étend la protection des données à des domaines non couverts par le RGPD, notamment le traitement des données à des fins répressives et la sécurité nationale. Elle s'applique aux organisations qui traitent les données à caractère personnel de résidents britanniques.

Un représentant au Royaume-Uni est un interlocuteur local au Royaume-Uni désigné par un responsable du traitement ou un sous-traitant ne disposant pas d’établissement au Royaume-Uni et qui traite les données à caractère personnel de personnes situées au Royaume-Uni. Prévue par l’équivalent de l’article 27 du RGPD britannique, cette obligation est entrée en vigueur le 1er janvier 2021, date à laquelle le Royaume-Uni est devenu un pays tiers du point de vue de l’Union européenne. Cela signifie que la plupart des entreprises non européennes doivent désormais désigner des représentants distincts pour l’Union européenne et pour le Royaume-Uni, plutôt que de recourir à une désignation unique.

Systèmes permettant de capturer et de stocker des images ou des enregistrements vidéo contenant des données à caractère personnel. La vidéosurveillance doit être licite, nécessaire et proportionnée, et doit s'accompagner d'une signalisation claire informant les personnes qu'elles font l'objet d'une surveillance. L'accès doit être réservé au personnel habilité, et la durée de conservation doit être limitée au strict nécessaire.