La titularité des données personnelles décrit la position de la personne à laquelle se rapporte une information. Si un enregistrement contient son nom, sa localisation, son historique d’achats ou un identifiant numérique, cette personne en est le titulaire — ou la « personne concernée », selon la terminologie européenne — même si une autre entité recueille, stocke ou utilise cet enregistrement.
Cette définition paraît simple, mais elle emporte une conséquence importante : quiconque traite des données d’autrui n’obtient pas un pouvoir illimité sur celles-ci. Il doit pouvoir expliquer ce qu’il fait, sur quel fondement et selon quelles règles. Dans le même temps, être titulaire ne confère pas nécessairement un droit de propriété absolu sur chaque copie de la donnée.
La portée concrète varie selon les pays. C’est pourquoi il convient d’abord de comprendre la fonction de la titularité, puis de consulter la législation applicable à chaque cas.
Idée clé : La titularité rattache les données à la personne qu’elles décrivent et active des garanties face à leur traitement ; elle n’équivaut pas, à elle seule, à être propriétaire de chaque fichier ou base de données.
Une position juridique face au traitement
Les données personnelles peuvent circuler dans des systèmes que le titulaire ne contrôle pas physiquement : une application, un assureur, un employeur ou une administration publique. La titularité ne dépend ni de qui gère le serveur, ni de qui conserve une copie. Elle dépend de la personne que l’information identifie ou rend identifiable.
De cette position découlent des facultés qui remplissent généralement trois fonctions :
- Information : savoir qui traite les données, à quelles fins elles sont utilisées et pendant combien de temps l’entité prévoit de les conserver.
- Décision : consentir à certains usages lorsque le consentement constitue la base pertinente, le retirer dans les conditions prévues ou manifester son opposition.
- Réclamation : demander l’accès ou la rectification et s’adresser à une autorité lorsque les règles ne sont pas respectées.
Ces facultés limitent l’asymétrie entre une personne et une organisation capable de rassembler, de croiser et d’analyser des informations sur elle. Elles ne garantissent pas que le titulaire décide de chaque opération, mais elles exigent que le pouvoir informationnel repose sur un fondement, comporte des limites et dispose de mécanismes de responsabilité.
Titularité, vie privée et propriété ne sont pas la même chose
La titularité répond à une question : de qui parle la donnée ? La vie privée en pose une autre : quelles ingérences dans la vie personnelle sont admissibles ? La protection des données en ajoute une troisième : à quelles conditions cette information peut-elle être recueillie, utilisée, conservée ou partagée ?
Ces concepts sont liés, mais ne se substituent pas les uns aux autres. Un traitement peut porter atteinte à la vie privée ; il peut également enfreindre les règles de protection des données sans révéler de secret intime, par exemple si une organisation conserve une information inexacte et refuse de la corriger.
Il ne convient pas non plus d’utiliser « titulaire » comme synonyme automatique de « propriétaire ». Une entreprise peut détenir des droits sur le logiciel ou sur la structure d’une base, tandis que les personnes conservent des garanties concernant les données qui les décrivent. À l’inverse, ces garanties ne signifient pas qu’une personne puisse toujours ordonner la suppression de chaque copie : il peut exister des obligations légales de conservation, des droits de tiers ou d’autres exceptions.
Le débat sur la propriété des données personnelles mérite une analyse propre. Pour comprendre la titularité, une distinction plus modeste suffit : possession technique, propriété civile et protection de la personne opèrent sur des plans différents.
Titulaire, responsable et sous-traitant : un exemple
Imaginons une plateforme d’apprentissage qui demande un nom, une adresse électronique et des progrès dans ses études. La personne utilisatrice est la titulaire parce que l’information se rapporte à elle. La plateforme est le responsable du traitement si elle décide des finalités pour lesquelles ces données sont collectées et de la manière dont elles seront pour l’essentiel utilisées.
La plateforme peut faire appel à un fournisseur d’infrastructure pour les stocker. Si ce fournisseur agit pour le compte de la plateforme et selon ses instructions, il remplit la fonction de sous-traitant. Détenir les serveurs ne fait pas automatiquement de lui le responsable de toutes les décisions.
La distinction repose sur les fonctions réelles, et non sur le seul intitulé du contrat. Quiconque détermine les finalités et les moyens essentiels est responsable ; quiconque exécute le traitement pour son compte est sous-traitant. L’externalisation n’efface pas non plus la responsabilité de la plateforme envers la personne.
Distinction utile : La personne est titulaire parce que les données la décrivent ; le responsable décide de la finalité et des éléments essentiels de l’utilisation ; le sous-traitant assure le service de traitement en suivant des instructions.
Quels droits le titulaire a-t-il généralement ?
Il n’existe pas de liste identique à l’échelle mondiale. Cependant, des cadres tels que la loi mexicaine, la loi 29733 du Pérou et le Règlement général sur la protection des données de l’Union européenne reconnaissent, sous des dénominations et des conditions différentes, plusieurs facultés fréquentes :
- recevoir une information claire sur le traitement ;
- accéder aux données et connaître leur utilisation ;
- rectifier des informations inexactes ou incomplètes ;
- s’opposer à certains usages ;
- demander la suppression, l’effacement ou la limitation lorsque cela s’applique ;
- obtenir ou transférer certaines données dans les régimes qui reconnaissent la portabilité.
Chaque droit est assorti de conditions, d’exceptions et de procédures propres. Le « droit à l’effacement » ne signifie pas une suppression immédiate en toute circonstance, tout comme l’« opposition » ne fonctionne pas comme un veto universel. Le vocabulaire varie également : certains ordres juridiques parlent de droits d’accès, de rectification, d’annulation et d’opposition ; d’autres intègrent la limitation ou la portabilité.
Consentir n’est pas donner un chèque en blanc
Le consentement peut constituer une base pour traiter des données, mais il n’est pas la seule. Selon la juridiction et le contexte, il peut également exister des obligations légales, des contrats, des motifs d’intérêt public ou d’autres fondements. C’est pourquoi deux affirmations opposées s’avèrent trompeuses : affirmer que tout usage sans consentement est nécessairement illégal et considérer qu’accepter une politique autorise n’importe quel usage futur.
Lorsque l’on recourt au consentement, celui-ci doit avoir une portée réelle. Informer clairement permet à la personne d’évaluer la décision ; limiter le traitement à des finalités définies évite qu’une autorisation précise ne se transforme en permission illimitée. Cette relation avec l’utilisation de l’IA et les données personnelles est particulièrement visible lorsque des données recueillies pour fournir un service sont réutilisées pour entraîner ou évaluer des systèmes.
Idée clé : Consentir à un usage spécifique ne suppose pas de renoncer à toute protection, et retirer son consentement n’élimine pas nécessairement les traitements fondés sur une autre base juridique valide.
Contrôle avec limites et responsabilité
La titularité protège l’autonomie personnelle en empêchant les entreprises ou les autorités de traiter l’information comme si la personne avait disparu de l’équation. Elle oblige à justifier les décisions, à rendre les règles prévisibles et à offrir des voies de rectification ou de réclamation. En ce sens, elle distribue le pouvoir : quiconque en sait beaucoup sur autrui doit répondre de l’usage de cette connaissance.
Mais cette protection ne crée pas une souveraineté absolue sur chaque donnée. Il existe des traitements légitimes qui ne dépendent pas d’une autorisation individuelle et des copies qui doivent être conservées pendant un délai légal. L’équilibre ne consiste pas à choisir entre le contrôle total de la personne ou la liberté totale de l’organisation, mais à soumettre le traitement à des finalités légitimes, à des limites vérifiables et à des responsabilités claires.
Comprise ainsi, la titularité n’est pas une métaphore de propriété. C’est la reconnaissance du fait que les données sont traitées dans des systèmes, mais continuent de se rapporter à des êtres humains dotés de droits.
Partager