Un responsable du traitement doit faire la distinction entre tous ces concepts, car ils ont des implications juridiques différentes. Ils sont clairement liés, mais pas du tout équivalents, et le principal résultat juridique concerne la question de savoir si un certain traitement relève ou non de l’article 22 du RGPD.
En effet, la casuistique peut être très variée : il peut y avoir un traitement automatisé des données sans profilage ; cependant, le profilage peut également servir de support à des processus décisionnels automatisés ; de plus, le profilage peut servir de base à des processus décisionnels entièrement automatisés ; mais les processus décisionnels automatisés peuvent être effectués avec ou sans profilage préalable. Par exemple, tout traitement automatisé de données à caractère personnel n’implique pas nécessairement un profilage. En outre, la création d’un profil d’utilisateur n’implique pas toujours un profilage. Un profil d’utilisateur peut inclure des informations telles que le nom d’utilisateur et les caractéristiques observées sans créer ou déduire de nouvelles données, ni associer à une personne des connaissances dérivées d’autres données ou processus analytiques.
Le tableau suivant montre les différences entre ces concepts[1] :
| Concept | Définition | Exemple |
| Traitement automatisé des données à caractère personnel | Le RGPD s’applique au “traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier” (article 2 du RGPD). | Traitement effectué par les caméras photo qui imposent des amendes liées au dépassement de la vitesse autorisée.
Stockage des données dans un formulaire Excel permettant de les trier automatiquement par date, nom, etc. |
| Profilage | Il est défini par le RGPD comme “consistant à utiliser des données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des aspects concernant la performance au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique.”
Le profilage se compose de trois éléments: – le traitement automatisé des données ; – les données personnelles ; et -il doit avoir pour but d’évaluer des aspects personnels concernant une personne physique. |
Les photos prises par les appareils photo sont incluses dans un fichier correspondant au conducteur qui subit l’amende. Elles sont utilisées pour durcir les sanctions en cas de récidive ou de mauvaises habitudes de conduite. |
| Processus de décision entièrement automatisés de l’article 22 du RGPD. | Il s’agit de décisions prises et exécutées sans intervention humaine décisive, avec des effets juridiques ou qui affectent de manière significative et similaire les personnes concernées. | Le système de caméras est conçu pour déclencher l’envoi automatique d’une sanction personnalisée en fonction de l’historique des sanctions, du comportement du contrevenant avant l’action sanctionnée, de l’âge du véhicule, de la vitesse moyenne des autres conducteurs à ce moment-là, etc. |
- Ce tableau a été construit sur la base des distinctions faites par Jorge García ici : https://jorgegarciaherrero.com/decisiones-automatizadas-profiling-inteligencia-artificial-que-son/#De_que_hablamos_cuando_hablamos_de_profiling_en_que_se_diferencia_el_profiling_de_las_decisiones_automatizadas_del_art_22. ↑