En bref. Le principe d’exactitude du RGPD exige des données personnelles exactes, les mises à jour nécessaires et des mesures raisonnables pour rectifier ou effacer sans tarder les inexactitudes.

Définition : L’article 5(1)(d) du règlement général sur la protection des données (RGPD) exige que les données à caractère personnel soient exactes et, si nécessaire, tenues à jour. Toutes les mesures raisonnables doivent être prises pour effacer ou rectifier sans tarder les données personnelles inexactes, compte tenu des finalités du traitement.

Points clés

L’article 5 du RGPD impose au responsable du traitement de respecter ces obligations et de pouvoir en démontrer le respect.
Le rapport du groupe de travail ChatGPT du Comité européen de la protection des données (CEPD), daté du 23 mai 2024, distingue l’exactitude des données d’entrée de celle des données de sortie.
L’article 16 du RGPD accorde aux personnes un droit à la rectification, dans les meilleurs délais, des données personnelles inexactes les concernant.

Quelles informations et responsabilités l’article 5 couvre-t-il ?

Les données à caractère personnel désignent les informations relatives à une personne physique identifiée ou identifiable. Le responsable du traitement est la personne ou l’organisme qui détermine les finalités et les moyens du traitement. Ces définitions figurent à l’article 4. Le traitement comprend la collecte, l’utilisation et la diffusion : la question de l’exactitude s’étend donc aux informations personnelles communiquées dans une réponse lorsque le RGPD s’applique.

La disposition relative à l’exactitude lie la rectification aux finalités pour lesquelles les données sont traitées. Elle exige de prendre toutes les mesures raisonnables pour remédier aux inexactitudes des données personnelles et de les mettre à jour si nécessaire. L’article 5(2) ajoute le principe de responsabilité : le responsable du traitement doit pouvoir démontrer le respect de ces obligations.

Les dispositions pertinentes pour un contrôle de l’exactitude sont les suivantes :

RGPD Article 5(1)(d) : exactitude
RGPD Article 5(2) : responsabilité

Pour un site web qui publie des informations personnelles, cela implique d’en examiner l’exactitude au regard de la finalité de leur publication et de rectifier ou d’effacer sans tarder les données inexactes. En vertu de cette même disposition sur la responsabilité, les éléments attestant le contrôle et les mesures prises servent à démontrer la conformité.

Comment ce principe s’applique-t-il aux réponses des assistants IA ?

Dans son rapport du groupe de travail, le CEPD décrit les données d’entrée comme comprenant des données collectées par extraction automatisée de pages web (web scraping) et des informations fournies dans les requêtes (prompts). Les données de sortie sont les réponses produites lors des interactions avec ChatGPT. Le rapport présente des positions préliminaires et réserve aux autorités de contrôle compétentes l’analyse propre à chaque enquête.

Le rapport explique que la production probabiliste de texte peut aboutir à des informations inventées sur des personnes, que les utilisateurs perçoivent comme factuelles. Il précise que le principe d’exactitude doit néanmoins être respecté. Les informations expliquant le manque de fiabilité des réponses contribuent à la transparence, mais le rapport considère que ces mesures de transparence ne suffisent pas, à elles seules, à satisfaire au principe d’exactitude.

Pour le contrôle de l’exactitude, l’annexe du rapport demande de documenter la manière dont l’exactitude des données personnelles est mesurée et évaluée dans les données d’entraînement, de test et de validation, ainsi que dans les sorties du modèle. Elle distingue ainsi concrètement l’examen des données sources de celui des réponses concernant des personnes.

Que se passe-t-il lorsqu’une personne conteste une réponse ?

Les dispositions du RGPD relatives aux droits relient l’exactitude aux moyens d’action des personnes concernées. L’article 16 couvre la rectification des données personnelles inexactes et la possibilité de compléter les données incomplètes, compte tenu des finalités du traitement, y compris au moyen d’une déclaration complémentaire.

L’article 18(1)(a) prévoit un droit à la limitation du traitement lorsque la personne conteste l’exactitude des données, pendant la durée nécessaire au responsable du traitement pour la vérifier. Une demande de rectification et une demande de limitation répondent donc à des aspects différents du traitement d’une information personnelle contestée : corriger l’information et limiter le traitement pendant la vérification de son exactitude.

Termes associés

Questions fréquentes

Dans quel délai un responsable du traitement doit-il répondre à ma demande ?

Selon l’article 12(3), vous recevez des informations sur les mesures prises dans les meilleurs délais et dans un délai d’un mois à compter de la réception de votre demande. La complexité et le nombre de demandes peuvent justifier une prolongation de deux mois supplémentaires ; le responsable du traitement doit vous informer de cette prolongation et de ses motifs au cours du premier mois.

Puis-je demander que des informations incomplètes me concernant soient complétées ?

Oui. L’article 16 du même chapitre du RGPD vous permet d’obtenir que des données personnelles incomplètes soient complétées, compte tenu des finalités du traitement, y compris en fournissant une déclaration complémentaire.

Sources

Vérifiez comment une page se lit pour les moteurs de réponse. Ouvrir l’analyseur de score GEO

Principe d’exactitude du RGPD