Définitions

Exemples de données personnelles directement identifiantes

○ le prénom et le nom de famille;
○ adresse;
○ photo;
○ voix.

Exemples de données personnelles indirectement identifiantes

○ numéro de téléphone ;
○ numéro SCIPER;
○ numéro AVS;
○ données de localisation ;
○ l’adresse du protocole Internet (IP).

Données personnelles sensibles

Il s’agit d’une sous-catégorie de données personnelles qui nécessite des mesures de protection adéquates. Elle comprend des données sur:

1. les opinions ou activités religieuses, idéologiques, politiques ou syndicales;

2. la santé, la sphère intime ou l’origine raciale ;

3. données génétiques ;

4. les données biométriques qui identifient sans équivoque une personne physique ;

5. les données relatives aux procédures et sanctions administratives ou pénales ;

6. les mesures de sécurité sociale.

Exemples de données personnelles sensibles

○ empreintes digitales;
○ les images médicales;
○ les dossiers hospitaliers;
○ les caractéristiques biologiques et génétiques;
○ l’appartenance à un parti politique l’information ou un groupe religieux;
○ l’orientation sexuelle;
○ les casiers judiciaires. 

Exemples de personnes concernées

○ Étudiant·e s ou employé·es de l’EPFL;
○ Les participants humains qui prennent part au projet de recherche. 

La “finalité” se rapporte à l’objectif du traitement :

• pourquoi la collecte de données est-elle nécessaire?

Le terme “moyens” désigne les caractéristiques essentielles de la conception du traitement :

• quel type de données personnelles doit être collecté?

• Pendant combien de temps les données seront-elles conservées?

• À qui les données seront-elles communiquées?

Une institution/organisation peut également être un responsable conjoint du traitement lorsqu’elle détermine conjointement avec une ou plusieurs organisations pourquoi et comment les données personnelles doivent être traitées.

Exemple

En tant qu’entité juridique, l’EPFL est responsable du traitement des données personnelles qu’elle traite. S’il fallait choisir la personne qui incarne le mieux ce rôle, ce serait clairement le président de l’EPFL.
La présidente ou le président de l’EPFL peut déléguer cette responsabilité à d’autres personnes dans un cercle donné. Par exemple, pour le traitement des données du personnel, c’est la directrice ou directeur des ressources humaines qui représente la présidente ou le président de l’EPFL en tant que responsable du traitement.

Dans le cadre d’un projet de recherche, le responsable délégué du traitement des données est la chercheuse ou le chercheur principal.

Exemple

Un laboratoire de recherche est chargé d’effectuer une analyse sur des données fournies par une autre institution (le responsable du traitement). Il renvoie ensuite les données (et les résultats) à cette institution.
Les obligations du sous-traitant à l’égard du responsable du traitement doivent être précisées dans un contrat ou un accord écrit.

Un autre exemple est celui d’un fournisseur de services informatiques.

Exemple de traitement

○ la collecte automatique de données personnelles sur le web,
○ la gestion d’une base de données,
○ le partage des données avec un tiers,
○ l’enregistrement vidéo de participants humains à un projet de recherche,
○ stocker des adresses IP ou des adresses MAC,
○ la création d’une liste de diffusion des participants,
○ l’anonymisation des données, etc.

Des explications plus spécifiques sur le traitement des données dans le cadre de la recherche sont disponibles sur la page Vie privée dans la recherche dans la section “En pratique”.