Derrière le Digital Omnibus, les traces des lobbies des Big Tech

L’un des axes principaux, que soulignait la représentante de European Digital Rights (EDRi) Itxaso Dominguez auprès de Next en novembre, consisterait à limiter la définition de ce qu’est une donnée personnelle en fonction de la capacité d’une entreprise X à l’utiliser pour identifier à nouveau la personne. Si l’entreprise X n’en est pas capable, alors la donnée ne serait plus considérée comme personnelle.

J'avais raté ce point dans l'article précédent et j'ai été surpris de lire ça ici, parce que ça mélange deux notions : une donnée identifiante et une donnée personnelle. Par exemple, une date de naissance est une donnée personnelle mais pas une donnée identifiante : on est plusieurs à être nés le même jour.

Je suis donc allé relire l'article précédent et surtout le PDF en lien qui en parle.

Et, j'avais raison d'être surpris, ce n'est pas ce qui est dit.
Il est dit :

Protection would depend on whether each organisation claims it can identify a person, rather than on whether the information is about an identifiable individual in general. While the aim is supposedly to align the GDPR with the SRB European Court of Justice (CJEU) ruling, in practice this would turn the objective definition of personal data into a controller-specific one. This would allow companies argue that information is ‘non-personal’ simply because they claim to lack the means or intent to identify someone, even when others could easily do so.

Donc, non, dans la nouvelle définition, il ne faudrait pas que la donnée permette l'identification de la personne mais que le responsable de traitement soit capable ou ait la volonté d'identifier la personne (par d'autres moyens), même si d'autres seraient capables d'identifier la personne. Ce serait un retour en arrière sur une jurisprudence très ancienne de la CJUE antérieure au RGPD (citée récemment par aeris ici).
Une donnée se rattachant à une personne non identifiée ou identifiable par le responsable de traitement ne serait donc plus une donnée personnelle, même si c'est par exemple sa date de naissance.

Il suffirait donc que le responsable du traitement soit de mauvaise foi pour qu'il dise ne pas traiter de données personnelles.

Mais on est bien d'accord que cette nouvelle définition serait néfaste. Par exemple, une adresse IP ne serait plus une donnée personnelle sauf pour les autorité judiciaires ou policières qui peuvent demander l'identification d'un individu aux FAI, pour ceux-ci aussi, ce serait une donnée personnelle.

@MathildeSaliou pour info. Je n'ai pas fait une remontée d'erreur parce que c'était trop complexe à expliquer dans la petite boite de dialogue. En plus, je pense que ça peut intéresser d'autres personnes.
Je pense qu'il faudrait aussi reprendre l'article précédent.

Bien sûr que des données identifiantes sont des données personnelles. Ça me semblait tellement évident qu'inutile à rappeler.
Mais l'idée (mauvaise) ici est de supprimer ou jouer sur le identifiable. Ça affaiblit énormément le RGPD.