Geneanet > Ressources > Blog > Geneanet

Les impacts du RGPD pour les généalogistes

Le 25 juil. 2018 par admin
 

Suite à la mise en place du Règlement Général sur la Protection des Données (RGPD) entré en application le 25 mai 2018, nous avons demandé à un cabinet d'avocats disposant d'une expertise reconnue sur le sujet de mettre à jour la note que nous avions publiée en 2006 sur les questions liées à la gestion des données personnelles.

Le 25 mai 2018, le Règlement (UE) 2016/679 du Parlement Européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (plus communément appelé RGPD) est entré en vigueur provoquant une prise de conscience du grand public concernant les sujets relatifs aux données personnelles.

Contrairement à ce qui a parfois été déclaré, ce Règlement Européen reste, au regard du droit français et de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, une évolution à droit constant : Ce n’est pas une révolution mais plutôt une continuation et une consécration de règles et principes connus.

L’une des principales modifications reste l’introduction du principe de responsabilité (l’ « accountability ») entrainant la modification des démarches pour la mise en conformité des responsables de traitement de données à caractère personnel : des obligations d’autocontrôle ont supplanté les formalités préalables et la responsabilité à l’égard des des sous-traitants de données personnelles est renforcée.

Les droits des individus sont également renforcés quant à leur information préalable, les prérogatives dont ils disposent et la nature de leur consentement mais les principes des traitements restent quant à eux quasiment inchangés.

Puis-je mettre dans mon arbre généalogique des informations sur des personnes vivantes ?

La définition d’une donnée à caractère personnel n’a pas été sensiblement modifiée par le RGPD, celui-ci les définissant comme suit « toute information se rapportant à une personne physique identifiée ou identifiable ; est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ».

La question de la mention d’informations sur des personnes vivantes dans un arbre généalogique est une question qui peut s’avérer complexe au regard de la législation actuelle en matière de données personnelles et dépend de plusieurs facteurs :

Si le traitement est réalisé à des fins strictement personnelles et ne fait l’objet d’aucune diffusion (tel qu’un arbre généalogique consultable que par son seul créateur ou par son cercle familial restreint), il n’est pas soumis au RGPD.

Dans d’autres hypothèses, il convient de se conformer au RGPD.

A cet égard, les CGU de Geneanet rappellent les fondements possibles pour la mention d’une personne vivante au sein d’un arbre généalogique.

Au titre des fondements envisageables, la recherche historique ou scientifique est le plus pertinent dans la mesure où la généalogie est une science historique et que la constitution d’un arbre généalogique constitue un travail de recherche historique et scientifique.

Cela rappelé, le consentement de la personne concernée reste le fondement le plus sûr au regard du RGPD. Attention, concernant les mineurs de moins de 16 ans (15 ans au regard de la dernière version du projet de loi française), le consentement doit être recueilli auprès des personnes investies de l’autorité parentale.

Geneanet peut-il être tenu pour responsable des informations personnelles que ses membres déposeraient sur son site ?

La responsabilité de Geneanet au regard des données personnelles déposées par ses membres sur son site reste inchangée, le régime applicable étant celui de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique.

Geneanet limitant son action à la mise à disposition d’un espace en ligne permettant à ses utilisateurs de téléverser des documents ou des données généalogiques, bénéficie de la qualification d’hébergeur.

A ce titre, Geneanet ne peut être responsable des données hébergées que si le caractère illicite d’une information (attention « illicite » ne veut pas dire « contestée ») a été portée à sa connaissance sous les formes prescrites par la loi et que Geneanet n’a pas agi promptement pour retirer ces données ou en rendre l’accès impossible.

C’est pour cette raison que les CGU prévoient explicitement les conditions dans lesquelles les droits d’accès, de rectification, d’effacement ou d’opposition peuvent être exercés.

A contrario, les membres restent pleinement responsables des informations qu’ils déposent sur le site internet geneanet.org, dans les espaces mis à leur disposition. Ils sont également responsables des traitements qu’ils font de ces données tels que leur incorporation dans un arbre généalogique.

Quels sont vos droits si vous constatez que des informations personnelles figurent dans un arbre Geneanet ?

Les droits des personnes concernées par les traitements de données à caractère personnel ont été quelque peu renforcés. Sont au nombre de ces droits :

  • Le droit d’accès permettant à toute personne d’avoir connaissance des données traitées la concernant et des conditions de ce traitement.
  • Le droit de portabilité vient compléter ce droit en ce qu’il permet aux personnes concernées de recevoir les données à caractère personnel les concernant dans un format structuré, couramment utilisé et lisible.
  • Le droit de rectification et de limitation permettant de modifier ou limiter les données à caractère personnel qui sont inexactes ou non nécessaires au traitement.
  • Le droit à l’effacement (ou droit à l’oubli), qui existait déjà dans la jurisprudence, permettant à toute personne d’obtenir du responsable du traitement le retrait, dans les meilleurs délais, de données à caractère personnel la concernant.
    Il est important de rappeler que ce droit est limité lorsque le traitement poursuit des fins de recherche scientifique ou historique comme cela est le cas pour des recherches généalogiques.
  • Le droit d’opposition permettant aux personnes de s’opposer à tout moment, pour des raisons tenant à leur situation particulière, aux traitements des données personnelles les concernant.

Ces droits doivent être exercés auprès du responsable de traitement qui peut exiger un justificatif d’identité.

Par exemple, concernant les arbres généalogiques, les demandes doivent être adressées aux créateurs des arbres, et non à Geneanet qui est simple hébergeur de ces données.

Par ailleurs, ces droits ne peuvent pas être exercés pour autrui.

Enfin, le RGPD ne s’applique et ne bénéficie qu’aux personnes vivantes.

A cet égard, le conseil d’Etat a récemment rappelé que ces droits, tel que le droit d’accès, n’étaient pas transmissibles aux héritiers. Cette décision vient contredire les dispositions de la récente loi pour une République numérique du 7 octobre 2016 notamment en son article 40-1 permettant aux héritiers, en absence de directive des personnes décédées, d’exercer un droit d’accès, s’il est nécessaire pour le règlement de la succession du défunt, ou un droit d’opposition pour procéder à la clôture des comptes utilisateurs du défunt et s’opposer au traitement de leurs données.