Je développe une application nécessitant un compte utilisateur
Quelles données et quelles garanties prévoir pour les comptes de mon application ?
Ce qu’il faut retenir
Pour créer les comptes de votre application, identifiez les données nécessaires à l’accès au service et distinguez-les des journaux techniques et des autres usages. Les formalités dépendent des données et des fonctions réellement prévues.
Un identifiant technique ou une adresse électronique ne doit pas être assimilé automatiquement aux identifiants visés par l’article 7.
Pourquoi cette situation mérite votre attention
Un compte peut relier une personne à ses connexions, à ses demandes et à son historique d’utilisation ; l’analyse ne s’arrête donc pas aux champs du formulaire d’inscription.
L’article 28 prévoit une information lors de la collecte. Cette information doit correspondre aux usages réels du compte et aux destinataires des données.
Ce qui peut changer l’analyse
- Quels champs et quelles traces sont effectivement collectés pour créer et utiliser le compte ?
- Un numéro de téléphone, un numéro national d’identification ou un autre identifiant particulier est-il traité ?
- Quels intervenants accèdent aux données du compte et pour quels usages ?
Ces questions aident à comprendre votre situation ; leurs réponses ne valent pas décision.
Que pouvez-vous faire ?
- Inventoriez les données du formulaire, les journaux et les données produites pendant l’utilisation.
- Préparez une information correspondant aux finalités, destinataires et modalités de conservation réels.
- Faites examiner le régime du traitement à partir des identifiants réellement utilisés, sans déduire une autorisation spéciale du seul mot « compte ».
Ce que prévoit la loi
« Le traitement des données à caractère personnel est soumis à une déclaration préalable auprès de l’Autorité de protection des données à caractère personnel. »
Ce que ce texte établit. L’article 5, alinéa 1, énonce le principe de déclaration préalable, sans constituer à lui seul une qualification complète de chaque application.
Pourquoi il concerne votre situation. Si le compte permet d’identifier un utilisateur, sa création et son utilisation comportent un traitement de données personnelles ; les catégories effectivement traitées déterminent les vérifications complémentaires.
Ce qui reste à apprécier
- La nature des identifiants et l’éventuelle application de l’article 7, notamment pour les numéros de téléphone.
- Les finalités, accès et garanties de sécurité du service concret.
- Pour les identifiants visés, l’existence d’un encadrement par d’autres dispositions légales et réglementaires, mentionnée à l’article 6 du décret n° 2015-79, et son articulation avec l’article 7 de la loi.
Autres articles à consulter (3)
- Loi n° 2013-450 — article 28Information à fournir lors de la collecte ; lire également la suite de l’article en page 16.
- Loi n° 2013-450 — article 7Catégories soumises à autorisation préalable, dont certains identifiants expressément visés.
- Décret n° 2015-79, article 6, tiret relatif aux identifiants, page 3Le décret vise les traitements des identifiants concernés lorsque le traitement n’est pas déjà encadré par d’autres dispositions légales et réglementaires ; cette précision doit être articulée avec l’article 7 de la loi.