Cet article explique, pas à pas, comment traiter les métadonnées sous l’angle du RGPD : ce qu’elles sont, pourquoi elles peuvent être des données personnelles, quelles règles s’appliquent et quelles mesures organisationnelles et techniques mettre en place selon le contexte.
Comprendre : que sont les métadonnées et pourquoi elles posent un enjeu RGPD
Les métadonnées sont des informations qui décrivent des données. Elles peuvent prendre la forme d’un horodatage, d’un auteur, d’une géolocalisation embarquée dans une photo (EXIF), d’en-têtes d’email, d’identifiants techniques ou d’autres propriétés de fichiers. Leur rôle est d’améliorer la réutilisabilité et la recherche, mais elles transportent parfois des éléments qui identifient une personne directement ou indirectement.
Quand une métadonnée permet d’identifier une personne, elle tombe sous le champ d’application du RGPD. L’identification peut être directe ou résulter d’un croisement avec d’autres données. La CNIL rappelle que les métadonnées qui rendent une personne identifiable doivent être traitées comme des données personnelles. La conséquence concrète est que les principes du RGPD s’appliquent également aux traitements qui ne portent a priori que sur des métadonnées.
Le risque principal lié aux métadonnées est la ré-identification : des éléments dispersés ou jugés « techniques » peuvent, combinés, permettre d’identifier une personne. C’est ce potentiel de reconstruction qui justifie d’appliquer les règles de minimisation, de conservation limitée et d’information des personnes concernées.
Principes RGPD applicables aux métadonnées
Les principes généraux du RGPD s’appliquent aux métadonnées comme à toute autre catégorie de données : licéité des traitements, limitation des finalités, minimisation des données, limitation des durées de conservation et responsabilité des acteurs impliqués. L’analyse de conformité doit expliciter l’objectif du traitement des métadonnées et vérifier que chaque champ collecté est nécessaire à cette finalité.
L’obligation d’informer les personnes doit couvrir le traitement des métadonnées lorsqu’elles contiennent des éléments personnels. Les articles relatifs à l’information (article 13/14 du RGPD) imposent de rendre accessibles au public ou à la personne concernée, selon le cas, les finalités, les bases légales et les droits. La CNIL est une source de référence pour la manière de présenter cette information.
Enfin, les responsabilités entre responsable de traitement et sous-traitant doivent être clarifiées pour les flux de métadonnées. L’EDPB rappelle que les principes s’appliquent à ces échanges et que les contrats doivent prévoir les obligations liées à la protection des métadonnées quand elles sont personnelles.
Mesures organisationnelles et procédurales : que faire concrètement
Commencer par cartographier les métadonnées : identifier qui les génère, où elles sont stockées, qui y accède et comment elles sont exposées. La cartographie doit lister les formats et les flux, et indiquer les points où une suppression, une pseudonymisation ou une anonymisation est possible.
Appliquer une politique de minimisation : collecter et conserver uniquement les métadonnées nécessaires à la finalité identifiée. Toute collecte superflue doit être supprimée à la source ou filtrée avant stockage. Les décisions de minimisation doivent être documentées pour pouvoir être justifiées en cas de contrôle.
Définir et documenter des durées de conservation adaptées à la finalité. La CNIL propose des outils et guides pour établir ces durées ; la règle pratique consiste à associer une finalité explicite à chaque catégorie de métadonnées et à fixer une durée qui en découle.
Mettre en place une gouvernance : rôle du DPO, procédures de revue régulière des traitements et workflows pour l’anonymisation ou la pseudonymisation. Les procédures doivent inclure la gestion des demandes des personnes concernées (accès, portabilité, effacement). Lors de réponses à des demandes de portabilité, prévoir le format de restitution des métadonnées en respectant le principe de minimisation.
Mesures techniques (outils et bonnes pratiques)
Prévoir des épurations automatiques : avant toute exportation ou partage, supprimer les métadonnées non nécessaires. Pour les images, retirer les champs EXIF de géolocalisation ou d’auteur si ces informations ne sont pas essentielles à la finalité de diffusion. Pour les documents, épurer les propriétés internes (p.ex. « propriétés » des fichiers PDF) qui contiennent des identifiants personnels.
Pseudonymiser ou anonymiser les champs métadonnées quand cela est possible. L’anonymisation présente des limites selon le contexte et les techniques ; l’EDPB signale certaines limites pour des technologies particulières comme la blockchain et pour des approches fondées sur le hachage. Les choix techniques doivent être évalués au regard du risque de ré-identification.
Mettre en place des contrôles d’accès et du chiffrement au repos et en transit pour les dépôts de métadonnées sensibles. Tenir des journaux d’accès pour conserver la traçabilité des opérations portant sur les métadonnées et permettre des audits.
Adapter les formats d’export pour la portabilité : conserver les métadonnées utiles à la portabilité sans exposer des identifiants inutiles. Se référer aux recommandations techniques évoquées dans les guides officiels pour structurer les formats d’échange.
Publication et ouverture de données : concilier métadonnées utiles et protection des personnes
Pour les catalogues publics, définir quels champs de métadonnées seront obligatoires et lesquels seront optionnels. Lorsque la diffusion pourrait porter atteinte aux droits des personnes, marquer les jeux ou certains champs comme « non publié » ou restreindre l’accès. Les bonnes pratiques de catalogage recommandent de documenter explicitement les champs de confidentialité et les motifs de restriction.
Avant l’ouverture d’un jeu, anonymiser les données et leurs métadonnées quand la publication présente un risque. Documenter la méthodologie d’anonymisation et l’intégrer dans les métadonnées elle-même pour assurer la transparence de la réutilisation. Les guides officiels insistent sur le fait qu’il faut concilier la réutilisabilité et la protection des personnes.
Cas d’usage fréquents : jeux géospatiaux, annuaires ou publications d’archives. Chaque cas impose des mitigations spécifiques : suppression de la géolocalisation pour les images, agrégation des points sensibles pour les données géospatiales, ou exclusion de champs nominaux pour les annuaires. Les guides GOV.UK et data.europa donnent des exemples de bonnes pratiques adaptées aux catalogues publics.
Cas particuliers : blockchain, images, emails et logs
Pour la blockchain, éviter d’enregistrer des données personnelles on-chain. L’EDPB recommande de stocker les données personnelles hors chaîne et d’utiliser des identifiants non personnels on-chain pour pointer vers des données off-chain. Cette approche limite le risque de divulgation irréversible sur un registre distribué.
Les images embarquent souvent des EXIF contenant géolocalisation et informations d’auteur. Retirer ces champs quand ils ne sont pas nécessaires à la finalité de publication. Des procédures simples d’épuration peuvent être intégrées aux flux de publication pour automatiser cette étape.
Les emails et les logs système peuvent contenir des en-têtes, des adresses IP et des identifiants. Ces éléments exigent une attention particulière : prévoir des règles de pseudonymisation, limiter la durée de conservation et documenter les traitements. Les journaux d’accès doivent comporter des mesures de sécurité et des processus d’archivage respectant les principes de conservation limitée.
Les données fournies par des tiers (agrégateurs, brokers) soulèvent des questions de responsabilité partagée. Les contrats entre responsables et sous-traitants doivent préciser qui assure la protection des métadonnées et comment les obligations sont réparties.
Que documenter et conserver pour prouver la conformité
Tenir un registre des traitements qui inclut les catégories de métadonnées pertinentes et les finalités associées. Documenter les décisions de minimisation, les raisons d’une conservation prolongée et les politiques d’anonymisation ou de pseudonymisation appliquées.
Journaliser les accès et les opérations sensibles (suppression, anonymisation). Ces traces constituent la preuve que les mesures ont été appliquées et facilitent la réponse aux incidents et aux demandes des personnes concernées.
Si une page affirme des éléments « vérifiés », prévoir une page méthodologique datée et un module technique correspondant avant d’utiliser le terme « vérifié ». Cette exigence évite d’afficher des validations sans méthode traçable.
Checklist rapide
Cartographier les métadonnées et leurs flux.
Appliquer la minimisation : collecter uniquement ce qui est nécessaire.
Documenter finalités et durées de conservation.
Automatiser l’épuration avant export/partage.
Journaliser accès et opérations sensibles.
Actions immédiates
Avant toute publication, vérifier si des métadonnées identifiantes sont présentes et les supprimer si inutiles.
Mettre en place un workflow d’anonymisation/pseudonymisation pour les jeux destinés à l’ouverture.
Actualiser le registre des traitements pour y inclure les métadonnées critiques.
Prévoir une revue contractuelle avec les sous-traitants concernant la gestion des métadonnées.
Documenter les choix techniques et organisationnels pour pouvoir les justifier en cas de contrôle.
Questions fréquentes (FAQ)
Les métadonnées sont-elles toujours des données personnelles ? Non. Elles deviennent des données personnelles si, prises seules ou combinées, elles permettent d’identifier une personne. Voir le rappel de la CNIL sur l’identification des données personnelles.
Quels risques en cas de publication accidentelle ? Les risques incluent la ré-identification, l’atteinte à la vie privée et des risques de sécurité opérationnelle. Les actions immédiates consistent à retirer la ressource, analyser l’étendue de la diffusion et notifier les personnes concernées si nécessaire selon les obligations applicables.
Ressources et liens officiels
CNIL — Identifier les données personnelles. cnil.fr.
CNIL — Tenir compte de la protection des données dans la collecte et la gestion des données. cnil.fr.
CNIL — Les durées de conservation des données. cnil.fr.
CNIL — Comment réutiliser les données diffusées ? cnil.fr.
EDPB — Guidelines 2/2019 on processing of personal data under Article 6(1)(b). edpb.europa.eu.
EDPB — Consultation / blockchain recommendations (réponse publique). edpb.europa.eu.
W3C — Data on the Web Best Practices. w3.org.
Data.europa.eu — Data Quality Guidelines. op.europa.eu.
GOV.UK — Metadata best practice guide for data publishers. gov.uk.
Recherche.data.gouv.fr — Guide de saisie des métadonnées de fichiers. recherche.data.gouv.fr.
EU Web Guide — Removing Metadata & Personal Information. op.europa.eu.
Les durées de conservation chiffrées applicables à toutes les organisations ne sont pas fournies dans cet article. Ces durées dépendent de la finalité et doivent être définies au cas par cas, en se référant aux outils et guides de la CNIL.
L’existence d’un Data-Bank.md spécifique au site n’a pas été fournie ; aucun chiffre d’usage, nombre d’enregistrements ou taux de métadonnées sensibles n’est inventé ici.
Les procédures internes spécifiques de l’organisation de l’internaute (politiques DPO, contrats de sous-traitance détaillés) ne sont pas décrites. Pour ces éléments, il faut réaliser un audit ou consulter un spécialiste.
Il n’y a pas de liste exhaustive d’outils payants ou de configurations exactes testées : cet article propose des pistes et renvoie aux guides officiels pour les choix techniques et les tests approfondis.
Disclaimer : article d’information ; ne remplace pas un avis juridique ou l’analyse d’un DPO pour un cas concret.
