Les tags NFC relèvent-ils de la protection des données ?
Un tag vierge portant une adresse n'est pas une donnée personnelle et ne crée aucune obligation. Ce qui en crée, c'est le système qu'il alimente : un enregistrement de qui a posé son téléphone sur quoi et quand, ou un identifiant rattachable à une personne. Les règles suivent l'enregistrement, pas l'objet qui l'a déclenché.
L'objet est rarement en cause
Un tag portant une adresse, des identifiants de réseau ou un texte sur un produit n'est pas une donnée personnelle et ne le devient pas parce qu'il est sur un tag.
Un tag peut porter des données personnelles, bien sûr, et ce sont alors des données personnelles sur un objet lisible par quiconque le manipule, ce qui fait un sujet à part entière.
Qu'un déploiement donné relève d'un cadre donné, lequel s'applique et quels sont les seuils dépendent entièrement de la juridiction et de la nature du traitement. L'autorité est le droit national et votre propre conseil plutôt que cette page.
Ce qu'on peut dire en général, c'est où siège le risque, et il ne siège pas sur le tag.
L'enregistrement l'est d'ordinaire
Un identifiant rattachable à une personne est en général traité comme une donnée personnelle, même quand l'identifiant lui-même ressemble à un nombre sans signification.
Un identifiant de badge à côté d'un nom, une adresse par tag à côté d'une session, ou un journal de lectures à côté d'un compte sont donc tous des enregistrements sur des personnes.
L'identifiant d'un tag est exactement ce genre de valeur. Seul, il nomme un objet ; joint à quoi que ce soit sur une personne, il nomme la personne.
Les déploiements se trompent en raisonnant sur le tag plutôt que sur la jointure, et c'est à la jointure qu'apparaît l'obligation.
Les cas qui prennent les gens de court
La présence et l'accès, où l'enregistrement de qui était où et quand est créé comme effet de bord du simple fonctionnement du système.
Les adresses par tag dans un déploiement public, qui produisent des données de localisation sur les visiteurs sans que personne ait décidé de collecter de la localisation.
Les systèmes tournés vers les salariés, où le rapport de force change ce qui vaut consentement et où les obligations sont d'ordinaire plus lourdes.
Et la conservation, qui est l'échec que personne ne remarque : un système qui garde tout parce que l'effacement n'a jamais été spécifié.
Que faire
Décider ce que le déploiement doit enregistrer avant de le bâtir, et enregistrer cela plutôt que tout ce que la technologie rend disponible.
Écrire combien de temps chaque enregistrement est gardé et ce qui l'efface, puisqu'une règle de conservation qui n'existe qu'à l'état d'intention n'existe pas.
Traiter les données par tag comme des données de localisation en interne, cadrage qui produit des décisions sensées sans réclamer un avis juridique pour chacune.
Et prendre conseil pour tout ce qui touche aux salariés, au contrôle des accès, ou à un déploiement public d'ampleur, parce que ce sont les cas où la réponse dépend de la juridiction et où se tromper coûte réellement.
Questions fréquentes
Un identifiant de tag est-il une donnée personnelle ?
Seul, il identifie un objet. Joint à quoi que ce soit sur une personne, il identifie la personne, et c'est à cette jointure qu'apparaissent les obligations.
Un tag sur une affiche crée-t-il des obligations ?
Pas le tag. La destination, oui, puisque c'est là qu'une visite est enregistrée.
Quel cadre s'applique à moi ?
Cela dépend de la juridiction et de ce que vous traitez. Le droit national et votre propre conseil font autorité, pas un guide général.
Quelle est l'erreur la plus fréquente ?
La conservation. Les systèmes gardent tout parce que l'effacement n'a jamais été spécifié, et c'est l'échec que personne ne remarque.