Vos données clients ne se valent pas toutes. Certaines sont fournies par la personne, d’autres captées à son insu, d’autres encore calculées par vos algorithmes. Cette origine décide de vos obligations.
Données déclarées, observées, déduites : quelles différences ?
Une donnée déclarée est celle que la personne vous transmet volontairement. Nom saisi dans un formulaire, adresse renseignée à la commande, réponse à un sondage.
Une donnée observée est captée pendant l’usage de vos services. Historique d’achat, géolocalisation, pages visitées, journaux de connexion.
Une donnée déduite résulte d’un calcul ou d’un croisement que vous opérez. Score d’appétence, segment marketing, profil de risque, catégorie socioprofessionnelle estimée.
Prenons un cas B2B concret. Un prospect remplit votre formulaire de démonstration: la donnée est déclarée. Il ouvre ensuite trois de vos emails: cette activité est observée. Votre outil lui attribue alors un score chaud: cette note est déduite. Une même personne, trois régimes.
Ces trois familles couvrent tout le cycle de vie d’une donnée. Les distinguer n’est pas un exercice théorique: chaque origine active des règles différentes.
Pourquoi l’origine change-t-elle vos obligations ?
La première conséquence touche l’information des personnes. Quand vous collectez une donnée directement, l’article 13 du RGPD s’applique. Quand elle provient d’un tiers ou d’un calcul, c’est l’article 14.
L’article 14 impose d’indiquer la source des données et les catégories concernées. Beaucoup d’organismes l’oublient pour leurs données observées et déduites.
La base légale peut aussi varier selon l’origine. Une donnée déclarée repose souvent sur l’exécution du contrat. Une donnée observée à des fins d’analyse s’appuie fréquemment sur l’intérêt légitime.
Enfin, une donnée déduite peut devenir sensible. Inférer un état de santé ou une opinion politique fait basculer le traitement sous l’article 9 du RGPD.
Cette gradation du risque mérite votre attention. Plus une donnée s’éloigne de la déclaration volontaire, plus la charge de transparence et de justification pèse sur votre organisme.
| Critère | Donnée déclarée | Donnée observée | Donnée déduite |
|---|---|---|---|
| Exemple | Formulaire de contact | Historique de navigation | Score d’appétence |
| Information | Article 13 | Article 13 ou 14 | Article 14 |
| Base légale fréquente | Contrat ou consentement | Intérêt légitime | Intérêt légitime |
| Droit à la portabilité | Oui | Oui | Non |
| Risque de requalification | Faible | Moyen | Élevé |
Le droit à la portabilité couvre-t-il les données déduites ?
Non, et c’est une confusion fréquente. Le droit à la portabilité prévu à l’article 20 vise les seules données fournies par la personne.
Les lignes directrices européennes en retiennent une lecture large. Cela englobe les données déclarées et les données observées lors de l’utilisation du service.
En revanche, les données déduites ou dérivées que vous créez échappent à la portabilité. Un profil marketing calculé en interne n’a pas à être transmis ailleurs.
Cette nuance a un intérêt pratique fort. Elle protège votre travail d’analyse tout en respectant les droits de la personne. Vous transmettez la matière première, pas vos modèles.
Le droit d’accès, lui, reste plus large. La personne peut demander à connaître ces données déduites, même sans pouvoir les emporter.
Comment tracer l’origine des données dans votre registre ?
Votre registre des traitements gagne à documenter l’origine de chaque catégorie de données. Cette colonne, souvent absente, clarifie vos obligations en un coup d’œil.
Voici les réflexes à intégrer:
- Ajouter un champ origine, déclarée, observée ou déduite, pour chaque catégorie de données.
- Vérifier que chaque donnée non déclarée déclenche bien une information au titre de l’article 14.
- Repérer les données déduites susceptibles de révéler une information sensible.
- Isoler les données observées et déclarées pour préparer une éventuelle demande de portabilité.
- Réévaluer la base légale des données observées et déduites, rarement le simple contrat.
- Dater la base légale retenue pour tracer vos arbitrages en cas de contrôle.
Cartographier l’origine de chaque donnée demande du temps et un œil exercé. Un accompagnement par un DPO externalisé sécurise votre registre et vos mentions d’information sans mobiliser vos équipes.
FAQ
Une donnée déduite est-elle une donnée personnelle ?
Oui. Dès qu’un score, un profil ou une catégorie se rattache à une personne identifiable, il devient une donnée personnelle. Le RGPD s’applique pleinement: information, droit d’accès, sécurité. Peu importe que votre organisme ait produit cette donnée par calcul plutôt que par collecte directe.
Faut-il informer les personnes des données observées ?
Oui. Les données captées pendant l’usage de vos services doivent figurer dans votre notice d’information. Si elles ne sont pas collectées directement auprès de la personne, l’article 14 impose d’en préciser l’origine et les catégories. L’oubli expose à une réclamation.
Peut-on refuser la portabilité d’un profil marketing ?
Oui. Le droit à la portabilité ne couvre que les données fournies par la personne, déclarées ou observées. Un profil que vous avez calculé constitue une donnée déduite: il échappe à ce droit. La personne conserve toutefois un droit d’accès à ce profil.
Une donnée déduite peut-elle devenir sensible ?
Oui. Inférer une origine ethnique, une orientation ou un état de santé fait basculer le traitement sous l’article 9 du RGPD. Vous devez alors réunir une condition renforcée, souvent le consentement explicite. Le simple calcul ne neutralise jamais la nature sensible de l’information obtenue.
