Les directives particulières sont celles qui ne concernent que les traitements qu'elles visent expressément. Elles doivent être enregistrées auprès de ceux-ci.
Les directives particulières
Les directives particulières
– Des directives éparpillées. – Les directives particulières ne concernent que les traitements de données à caractère personnel mentionnées par ces directives.
Il ne s'agit pas simplement, par exclusion, des directives qui ne seraient pas générales. À la différence de celles-ci, des directives particulières peuvent n'être que partielles, ne portant que sur certaines données d'un traitement identifié. Ce sera le cas par exemple si les directives portent sur les photos d'un site particulier et non sur les correspondances qui leur sont associées.
Partielles, ces directives risqueront d'être incomplètes, toute énonciation étant sujette à omission. Dans ce cas, les données pour lesquelles des directives particulières n'auront pas été prises seront traitées selon le régime prévu en l'absence de directives.
On mesure rapidement ici la limite de telles dispositions, tant les données personnelles sont éparpillées, sans connaissance ou conscience précise par les personnes concernées de l'ensemble des responsables de traitement auprès desquels il conviendrait de les consigner.
Ceci est d'autant plus aigu si l'on ajoute aux responsables de ces traitements leurs sous-traitants, pour lesquels rien n'est expressément prévu afin d'assurer la transmission de ces directives particulières jusqu'à eux. Toutefois, même en l'absence d'indication légale ou réglementaire expresse, il pourra être soutenu que cette transmission devra être faite de la même manière, que la personne concernée soit morte ou vivante, sur le fondement du maintien temporaire des droits des vivants.
Partielles, ces directives seront en outre par nature éparpillées (comme les données elles-mêmes) auprès des différents responsables de traitement que la personne concernée aura identifiés, en oubliant les autres.
Ces aspects partiels et éparpillés des directives présenteront forcément une limite, sinon à leur exécution, du moins au contrôle de celles-ci. Sans parler du moyen pour le responsable de traitement de prendre connaissance et de se faire justifier du décès de la personne concernée, en vue de leur exécution.
– Des directives formatées. – Ces directives doivent faire l'objet d'un consentement spécifique et ne peuvent résulter de la seule approbation de conditions générales d'utilisation. Il ne sera donc pas possible de prévoir des directives automatiques ou par défaut.
Et rien n'obligera non plus les responsables de traitement, au-delà de l'information qu'ils doivent aux personnes concernées sur la possibilité de prendre des directives particulières (ou générales), d'obtenir de telles directives à l'occasion de la collecte de données. Ainsi qu'il est spécifiquement indiqué pour les prestataires de service de communication au public en ligne
L. no 78-17, 6 janv. 1978, art. 85, III.
, seule une information est obligatoire sur le sort des données d'une personne à son décès et son droit de les communiquer ou non, à un tiers qu'il désigne.
Les directives particulières doivent être enregistrées auprès des responsables des traitements concernés (réseaux sociaux, messageries, fournisseurs, prestataires de toutes sortes).
À cet effet, les grandes plateformes internet ont prévu des fonctions particulières sur leurs sites. Celles-ci sont tout autant des guides que des carcans, suggérant les décisions à prendre, mais les limitant parallèlement.
– Un possible exécuteur ? – La personne concernée peut-elle désigner une personne chargée de la mise en œuvre de ses directives ? Ou cette faculté est-elle réservée à l'exécution des seules directives générales ?
Le 8e alinéa de l'article 85 de la loi informatique et libertés, qui prévoit la désignation d'un exécuteur, énonce : « Les directives mentionnées au premier alinéa du présent I peuvent désigner une personne chargée de leur exécution… ». Cette formulation, qui semble réserver cette faculté à certaines directives seulement, fait cependant référence à l'alinéa qui les vise toutes, générales comme particulières. C'est le deuxième alinéa de l'article qui vise les seules directives générales, et le quatrième qui ne vise que les directives particulières.
Pourquoi cette formulation inutilement troublante ? S'il s'agissait d'ouvrir cette faculté à toutes les directives, il aurait alors suffi de viser au 8e alinéa « les directives, générales ou particulières » ou simplement « toutes les directives ».
S'il avait été question de réserver cette faculté aux seules directives générales, ce qui était peut-être l'intention initiale du législateur en cohérence avec la suite du texte, c'est le deuxième alinéa qu'il aurait fallu viser, et non le premier.
Dans le doute, il appartiendra aux plateformes elles-mêmes, dans leurs formulaires de recueil de directives, de prévoir ou non la désignation d'un tiers.
Dans ce cas, même si la loi ne l'a pas expressément prévu, comme pour les directives générales
V. supra, no
.
, il serait possible de désigner plusieurs personnes, ensemble ou à défaut les unes des autres.
– Quelques exemples : Google et Facebook. – La loi ou le décret n'ont pas prévu de forme spécifique aux directives particulières. Ce sont les plateformes, d'ailleurs dès avant la loi, qui les ont prévues pour faciliter l'enregistrement et la mise en œuvre des directives des personnes concernées sur leurs données après leur mort, ou la prise en compte du décès de titulaires de compte.
Sur une page dédiée, Google propose à la fois d'enregistrer les volontés d'une personne concernée sur le sort de ses données à son décès et la possibilité pour un tiers de signaler le décès du titulaire d'un compte :
« Nos utilisateurs s'attendent à ce que nous protégions leurs informations, même après leur décès.
Décider de ce qu'il adviendra de votre compte
Le gestionnaire de compte inactif est le meilleur moyen de nous indiquer la personne qui doit avoir accès à vos informations et de nous dire si vous souhaitez la suppression de votre compte. Configurez le gestionnaire de compte inactif pour votre compte.
Envoyer une demande concernant le compte d'un utilisateur décédé
Nous sommes conscients que de nombreuses personnes décèdent sans laisser d'instructions claires concernant la gestion de leurs comptes sur internet. Le cas échéant, nous pouvons collaborer avec la famille immédiate et les représentants légaux de l'utilisateur décédé afin de clôturer son compte. Dans certaines circonstances, nous pouvons restituer des contenus issus de son compte. Notre principale responsabilité est d'assurer la sécurité et la confidentialité des informations de nos utilisateurs, quoi qu'il arrive. Nous ne pouvons pas fournir les mots de passe et autres informations de connexion. Toute décision d'accéder à ce type de demande ne sera prise qu'après un examen approfondi ».
Autre exemple : sur une page internet accessible depuis n'importe quel compte, Facebook propose en cas de décès la clôture d'un compte et sa transformation en compte commémoratif. Le compte est figé, mais demeure accessible et consultable.
« Selon notre règlement, si Facebook est informé du décès d'une personne, nous transformons son compte en compte de commémoration. Les comptes de commémoration permettent aux amis et à la famille de se réunir et de partager des souvenirs après le décès d'une personne. Transformer un compte en compte de commémoration permet également de le sécuriser en empêchant n'importe quel utilisateur d'ouvrir une session à l'aide de celui-ci.
Si vous êtes vous-même un contact légataire, découvrez comment gérer un compte de commémoration. Si vous souhaitez signaler le compte d'une personne décédée pour qu'il devienne un compte de commémoration, veuillez nous contacter. »
Une suppression est également possible, ce qui conduira à la disparition du compte, qui ne sera plus accessible.