En bref. L’accès public laisse subsister les obligations du RGPD, dont une base légale applicable et des obligations de transparence soumises à des exceptions précises.

Définition : Le caractère public de données personnelles, c’est-à-dire d’informations relatives à une personne physique identifiée ou identifiable, ne les soustrait pas au règlement général sur la protection des données (RGPD). L’avis 28/2024 du Comité européen de la protection des données (CEPD) applique les articles 5 et 6 du RGPD aux traitements liés aux modèles d’IA, y compris à la collecte à partir de sources accessibles au public.

Points clés

L’avis 28/2024 du CEPD, adopté le 17 décembre 2024, exige une évaluation documentée des intérêts légitimes, de la nécessité du traitement et de la mise en balance avec les droits des personnes lorsque le traitement lié à un modèle d’IA repose sur les intérêts légitimes.
Les articles 5 et 6 du RGPD imposent le respect des principes du traitement et l’existence d’une base légale applicable, y compris lorsque la source est accessible au public.
Les recommandations de la CNIL du 5 janvier 2026 incluent le moissonnage du web (web scraping) dans la collecte indirecte et exigent une évaluation documentée au cas par cas avant d’invoquer des efforts disproportionnés pour ne pas informer les personnes individuellement.

Quelles obligations subsistent lorsque les données sont publiques ?

Selon l’article 4 du RGPD, le traitement comprend la collecte, la conservation et l’utilisation. Le responsable du traitement est la personne ou l’organisme qui détermine les finalités et les moyens du traitement. Ces définitions couvrent les opérations portant sur des données personnelles obtenues à partir de sites web.

L’article 5 impose un traitement licite, loyal et transparent, des finalités déterminées, la minimisation des données, leur exactitude, une conservation limitée et une sécurité appropriée. La minimisation des données consiste à limiter les données personnelles à ce qui est nécessaire à la finalité du traitement. L’article 5(2) rend le responsable du traitement comptable du respect de ces exigences et lui impose de pouvoir le démontrer.

L’article 6(1) exige une base légale applicable. Les fondements prévus comprennent le consentement et, sous réserve de ses conditions, les intérêts légitimes. Le caractère public d’une source ne constitue aucune base légale supplémentaire en dehors de cet article. L’accessibilité d’un site web laisse donc à l’organisme qui collecte les données la responsabilité de déterminer une base légale pour la finalité de son propre traitement.

Quel rôle joue l’accès public dans l’évaluation des intérêts légitimes ?

La base légale des intérêts légitimes prévue à l’article 6(1)(f) permet les traitements nécessaires aux intérêts légitimes du responsable du traitement ou d’un tiers, sous réserve d’une mise en balance avec les intérêts et les droits fondamentaux des personnes. L’avis du CEPD exige l’évaluation et la documentation de ces trois conditions. L’examen de la nécessité comprend l’étude de moyens moins intrusifs de poursuivre l’intérêt en question.

Les paragraphes 93 et 94 traitent des attentes raisonnables lors du développement d’un modèle. Les facteurs pertinents comprennent les paramètres de confidentialité du site source, la relation avec l’organisme qui collecte les données, les utilisations ultérieures possibles du modèle et le fait que les personnes sachent que leurs données sont en ligne. Le fait que la personne ait elle-même rendu les données publiques compte également. L’accès public est un élément de cette évaluation.

Quelles informations l’organisme qui collecte les données doit-il fournir ?

L’article 14 du RGPD régit les obligations d’information lorsque les données personnelles proviennent d’une autre source. Les informations requises comprennent l’identité du responsable du traitement, les finalités, la base légale, les catégories de données, les modalités de conservation et les droits applicables. L’article 14(2)(f) exige expressément des informations sur la source et, le cas échéant, sur son caractère accessible au public.

L’article 14(3) fixe un délai raisonnable d’un mois au maximum après l’obtention des données. Si une communication avec la personne ou une transmission à un autre destinataire intervient plus tôt, l’information doit être fournie au plus tard lors de cette première communication ou transmission.

L’article 14(5)(b) prévoit une exception lorsque l’information des personnes se révèle impossible ou exige des efforts disproportionnés, sous réserve de ses conditions. Il impose néanmoins des mesures de protection, notamment la mise à disposition publique des informations. Les recommandations de la CNIL sur l’information des personnes exigent une mise en balance documentée de la charge liée à l’information individuelle et des effets sur les personnes. Dans l’exemple donné, un responsable du traitement qui réutilise des données de clients doit utiliser leurs adresses électroniques, s’il les détient encore, pour les informer individuellement.

Termes associés

Questions fréquentes

Devez-vous obtenir un consentement pour chaque page web publique contenant des données personnelles ?

L’article 6(1) du RGPD prévoit plusieurs bases légales. Vous devez en déterminer une qui s’applique à votre traitement et en respecter les conditions ; le consentement est l’une des possibilités.

Un message public supprime-t-il les restrictions applicables aux données de santé ?

Les données de santé relèvent des catégories particulières de l’article 9, dont le traitement exige une exception applicable en plus d’une base légale. L’article 9(2)(e) concerne les données manifestement rendues publiques par la personne ; l’avis du CEPD précise que la seule accessibilité publique ne suffit pas à établir cette condition.

Pouvez-vous vous opposer au traitement après la mise en ligne de vos données ?

L’article 21(1) permet de s’opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur les intérêts légitimes. Le responsable du traitement doit y mettre fin, sauf s’il démontre l’existence de motifs légitimes et impérieux qui prévalent, ou si le traitement sert à la constatation, à l’exercice ou à la défense de droits en justice.

Sources

Vérifiez comment une page se lit pour les moteurs de réponse. Ouvrir l’analyseur de score GEO

L’accès public aux données du web supprime-t-il les obligations du RGPD ?