Quand le RGPD s’applique
Le RGPD s’applique lorsque les données d’entraînement contiennent des données personnelles, c’est-à-dire des informations sur une personne identifiée ou identifiable. Cela inclut les noms et coordonnées, mais aussi les visages sur les photos, les voix, les plaques d’immatriculation et les combinaisons d’informations qui désignent une personne.
Base légale et finalité
Tout traitement de données personnelles nécessite une base légale, et des données collectées pour une finalité ne peuvent pas être librement réutilisées pour une autre. Vérifiez pourquoi les données ont été collectées à l’origine et si l’entraînement d’un modèle est compatible avec cette finalité. La décision revient au responsable du traitement ; associez votre DPO ou votre conseil juridique.
Minimiser
Ne gardez que les données personnelles dont le modèle a réellement besoin. On peut souvent supprimer ou masquer noms, coordonnées et numéros d’identification sans dégrader la tâche. Pour minimiser, il faut d’abord les trouver. Données personnelles dans les jeux de textes.
Anonymiser n’est pas pseudonymiser
Les données anonymes, pour lesquelles personne ne peut être identifié par des moyens raisonnablement susceptibles d’être utilisés, sortent du champ du RGPD. Les données pseudonymisées, pour lesquelles les identifiants ont été remplacés mais la personne reste identifiable avec des informations supplémentaires, restent des données personnelles (considérant 26 du RGPD). Remplacer des noms par des codes est une pseudonymisation, pas une anonymisation.
Catégories particulières
Les données de santé, les données biométriques utilisées pour identifier une personne et les autres catégories particulières obéissent à des règles plus strictes. Les photos de visages sont des données personnelles lorsqu’une personne est identifiable. Elles ne deviennent des données biométriques que lorsqu’elles font l’objet d’un traitement technique spécifique permettant l’identification unique (article 4, point 14, considérant 51), et une catégorie particulière lorsqu’elles sont utilisées à cette fin (article 9). Compter des visages sans identifier personne est un autre usage, mais les photos restent des données personnelles.
Documenter
Notez les sources, les finalités, la base légale, les données personnelles trouvées et leur traitement. Ce guide fournit des informations générales et ne constitue pas un conseil juridique.