Journée européenne de la protection des données 2027

La Journée européenne de la protection des données a lieu chaque 28 janvier

La date est fixe : la Journée européenne de la protection des données est observée le 28 janvier de chaque année. Son jour dans la semaine change selon le calendrier, mais pas sa date civile. Elle ne dépend donc ni d'un dimanche particulier, ni d'une décision annuelle, ni d'une période mobile.

Cette règle répond à la question la plus fréquente, mais la date ne constitue pas un choix arbitraire. Le 28 janvier renvoie à l'ouverture à la signature de la Convention 108 du Conseil de l'Europe en 1981. Cette convention internationale concerne la protection des personnes à l'égard du traitement automatisé des données à caractère personnel.

La formule abrégée « Journée de la protection des données » est également courante. « Journée RGPD » est compréhensible dans une communication professionnelle, mais reste réducteur : la commémoration précède le Règlement général sur la protection des données et dépasse le seul droit de l'Union européenne. Elle s'inscrit plus largement parmi les enjeux de la Journée mondiale des communications et de la société de l'information.

Pourquoi le 28 janvier a-t-il été choisi ?

Le 28 janvier commémore la Convention 108, ouverte à la signature au Conseil de l'Europe le 28 janvier 1981. Ce texte a constitué le premier instrument international juridiquement contraignant consacré à la protection des personnes face au traitement automatisé des données personnelles.

Le Conseil de l'Europe a lancé la Journée de la protection des données en 2006. L'objectif était de mieux faire connaître les droits liés à la vie privée et les responsabilités associées au traitement de l'information. Ce cadre historique explique pourquoi le mot « européenne » renvoie ici au Conseil de l'Europe, organisation distincte de l'Union européenne.

Cette histoire relie protection juridique, évolution technique et circulation internationale des informations. Elle rejoint les questions de création et de contrôle des usages abordées lors de la Journée mondiale de la propriété intellectuelle, sans confondre données personnelles et droits d'auteur.

Que signifie réellement la protection des données personnelles ?

Protéger les données personnelles consiste à encadrer leur collecte, leur utilisation, leur conservation, leur partage et leur suppression. Une donnée personnelle est une information se rapportant à une personne physique identifiée ou identifiable. Un nom peut suffire, mais l'identification peut aussi résulter du croisement de plusieurs éléments.

Une adresse électronique nominative, une photographie reconnaissable, une adresse IP, un identifiant de compte, une donnée de localisation ou un numéro de téléphone peuvent relever de cette définition. Toutes les informations personnelles ne sont pas publiques, secrètes ou sensibles au même degré. Leur statut dépend de leur capacité à concerner une personne identifiable et du contexte de traitement.

Le RGPD ne se résume pas à « trois principes ». Son article 5 énonce notamment la licéité, la loyauté et la transparence, la limitation des finalités, la minimisation, l'exactitude, la limitation de la conservation, l'intégrité et la confidentialité, ainsi que la responsabilité du responsable du traitement. La réflexion sur l'accès compréhensible aux contenus se prolonge avec la Journée internationale de l'accès universel à l'information.

Une initiative européenne devenue internationale

L'événement est d'origine européenne, mais son sujet et ses usages sont mondiaux. En dehors de l'Europe, l'appellation anglaise Data Privacy Day est largement employée. Certaines campagnes utilisent aussi Data Protection Day, formulation plus proche du nom retenu par le Conseil de l'Europe.

Les expressions « Journée mondiale de la protection des données » et « Journée internationale de la protection des données » apparaissent dans l'usage courant. Elles désignent généralement la même sensibilisation du 28 janvier, mais elles ne doivent pas faire oublier l'origine institutionnelle précise de la journée. Les lois, autorités compétentes et droits opposables varient selon les pays.

La dimension transfrontalière rapproche cette journée des débats sur l'innovation responsable portés par la Journée mondiale de la créativité et de l'innovation. Elle concerne aussi les services devenus quotidiens, comme le rappelle l'anniversaire de ChatGPT pour les outils conversationnels et leurs nouveaux usages.

Quels droits le RGPD permet-il d'exercer ?

Le RGPD donne aux personnes plusieurs droits, mais leur exercice dépend de la situation et peut connaître des limites légales. Il faut généralement contacter l'organisme qui traite les données, préciser sa demande et fournir les éléments permettant de retrouver le dossier. Une preuve d'identité ne devrait être demandée qu'en présence d'un doute raisonnable sur l'identité du demandeur.

1. Droit à l'information : comprendre qui utilise les données, pourquoi, pendant combien de temps et avec quels destinataires.
2. Droit d'accès : obtenir confirmation d'un traitement et accéder aux données concernées.
3. Droit de rectification : faire corriger une information inexacte ou compléter une donnée incomplète.
4. Droit à l'effacement : demander une suppression lorsque les conditions prévues sont réunies.
5. Droit à la limitation : demander le gel temporaire de certains usages dans des situations déterminées.
6. Droit d'opposition : s'opposer à certains traitements, notamment à la prospection commerciale.
7. Droit à la portabilité : récupérer certaines données fournies dans un format structuré et lisible par machine.
8. Droits liés aux décisions automatisées : obtenir des garanties face à certaines décisions fondées exclusivement sur un traitement automatisé.

Pour une demande simple, un message daté et précis est préférable à une formule juridique vague. Il faut conserver une copie des échanges. En cas de difficulté persistante, l'autorité nationale compétente peut informer la personne sur les voies de recours. Ces droits numériques complètent les libertés publiques mises en avant par la Journée des droits de l'homme.

Comment célébrer cette journée sans se limiter à un message symbolique ?

La meilleure manière de marquer le 28 janvier est de transformer la sensibilisation en vérifications réalisables. Une personne peut sécuriser ses comptes et réduire les données inutilement exposées. Une organisation peut documenter ses traitements, corriger une information peu claire ou tester sa procédure de réponse aux demandes.

Pour les particuliers, un parcours utile tient en quelques actions :

• mettre à jour les appareils et les applications encore utilisés ;
• employer des mots de passe différents, longs et stockés dans un gestionnaire fiable ;
• activer l'authentification multifacteur lorsque le service la propose ;
• réviser les permissions de localisation, microphone, caméra et contacts ;
• supprimer les comptes abandonnés et les applications inutiles ;
• vérifier les destinataires avant d'envoyer un document contenant des informations personnelles ;
• se méfier des messages qui imposent urgence, secret ou paiement immédiat ;
• sauvegarder les fichiers importants sur un support ou un service adapté.

Pour une organisation, les priorités sont différentes : tenir un registre adapté des traitements, limiter les accès, définir des durées de conservation, encadrer les prestataires, informer clairement les personnes, former les équipes et préparer la gestion des violations de données. Le délégué à la protection des données conseille et contrôle le respect du cadre, mais la responsabilité ne repose pas sur lui seul.

Le tri des comptes, fichiers et services peut être prolongé lors du Digital Cleanup Day. Il faut toutefois distinguer suppression utile et effacement irréfléchi : certaines données doivent être conservées pour respecter une obligation ou défendre un droit.

Quelles confusions faut-il éviter ?

La protection des données n'est ni une interdiction générale de collecter, ni un synonyme de secret absolu. Elle impose que les traitements disposent d'un fondement, poursuivent des finalités déterminées, restent proportionnés et soient suffisamment sécurisés.

• « Le RGPD interdit les données » : faux. Il encadre leur traitement.
• « Il faut toujours demander le consentement » : faux. D'autres bases juridiques existent.
• « Une donnée pseudonymisée n'est plus personnelle » : pas nécessairement. Si une réidentification demeure possible, le cadre peut continuer à s'appliquer.
• « Une information publique est librement réutilisable pour tout » : faux. Publication et réutilisation sont deux opérations distinctes.
• « La cybersécurité suffit » : faux. Un système peut être techniquement sécurisé tout en collectant trop de données ou en les utilisant sans base valable.
• « Le RGPD ne concerne que l'Europe » : formulation trompeuse. Son champ territorial peut inclure certains organismes établis hors de l'Union européenne.

Les réseaux sociaux illustrent ces distinctions : la sécurité du mot de passe ne règle ni la visibilité d'une publication, ni la conservation du compte, ni les usages publicitaires. L'anniversaire de Facebook offre un autre repère pour examiner l'évolution du partage social, tandis que l'anniversaire de WhatsApp permet d'aborder messagerie, carnet d'adresses et sauvegardes.

La journée conserve ainsi une fonction simple : donner un rendez-vous commun à un sujet quotidien. Le réflexe le plus durable consiste à demander, avant chaque collecte, quelles données sont réellement nécessaires, pour quelle finalité, pendant combien de temps et sous le contrôle de qui.