Déterminer la base juridique d'un traitement

Conditions de licéité du traitement

Quelles garanties d’un traitement licite ?

Les conditions de licéité du traitement existaient déjà en leur principe dans la directive 95/46/CE du 24 octobre 1995, abrogée depuis le 25 mai 2018, même si leur expression était différente. Au sens du RGPD et de la loi Informatique et libertés, le traitement n’est licite que si au moins une des conditions suivantes est remplie (RGPD, art. 6, § 1  ; L. n° 78-17, 6 janv. 1978, art. 5  :

• la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
• le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ;
• le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;
• le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique ;
• le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;
• le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.

Les différentes bases juridiques d’un traitement

Le consentement

Le consentement tient une place importante dans le RGPD et correspond à une approche selon laquelle la personne concernée est la plus à même de déterminer si elle souhaite communiquer ses données à caractère personnel et permettre leur traitement pour une finalité déterminée. Même si cette vision peut connaître des limites, la clarification opérée par le RGPD sur la notion même de consentement est bienvenue. Il est ainsi prévu que le consentement doit être donné par un acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des données à caractère personnel la concernant, par exemple au moyen d’une déclaration écrite, y compris par voie électronique, ou d’une déclaration orale ( Règl. n^o (UE) 2016/679 du Parlement européen et du Conseil, 27 avr. 2016, considérant 32).

En pratique, cela signifie que tout organisme collectant des données à caractère personnel sur la base du consentement de la personne doit proposer des systèmes d’« opt-in » ou d’acceptation par acte positif parmi lesquels notamment :

• une case à cocher (« opt-in ») ;
• une action visant à cliquer pour permettre la collecte et le traitement de ses données ;
• un champ libre dans lequel il est possible d’inscrire son adresse email et/ou toute autre information (par exemple pour s’inscrire à une newsletter), suivi par exemple d’un bouton « m’enregistrer », « m’inscrire », « valider », etc.

La nécessité de l’exécution d’un contrat auquel la personne concernée est partie

Il peut paraître peu évident de distinguer cette base juridique de celle du consentement de la personne concernée dès lors que, dans notre système juridique, le contrat nécessite le consentement de la personne concernée.

Or, le RGPD élargit un peu les situations dans lesquelles un traitement est nécessaire à l’exécution d’un contrat en indiquant que le traitement devrait être considéré comme licite lorsqu’il est nécessaire non seulement dans le cadre d’un contrat mais également de l’intention de conclure un contrat ( Règl. n^o (UE) 2016/679 du Parlement européen et du Conseil, 27 avr. 2016, considérant 44).

En outre, il faut rappeler que le consentement, s’il est libre, peut normalement être retiré à tout moment. Il est donc envisageable, dans les cas où les données sont initialement collectées et traitées à la fois sur le fondement du consentement et la nécessaire exécution d’un contrat, que le responsable du traitement continu de les traiter quand bien même la personne aurait retiré son consentement. Le responsable du traitement sera alors en mesure de poursuivre ce traitement pour les nécessités de l’exécution d’un contrat [cela est également le cas pour les autres bases juridiques, mais seulement si le traitement est initialement réalisé sur la base d’une ou plusieurs autre(s) base(s) juridique(s)].

La nécessité contractuelle dans les services en ligne

Le Comité européen de protection des données (CEPD) a adopté des lignes directrices sur le champ d’application de la nécessité contractuelle comme base légale dans le contexte des services en ligne de la société de l’information, et notamment son interaction avec les autres bases légales ( Lignes directrices du CEPD, 2/2019, 8 oct. 2019 ). Il a examiné l’applicabilité de la nécessité contractuelle à certains types de traitements :

• Amélioration du service. Le CEPD remarque que, dans la plupart des cas, la collecte de données relatives à l’utilisation d’un service ne peut être regardée comme nécessaire à la fourniture d’un service, compte tenu du fait que ce service pourrait être fourni même en l’absence de traitement de ces données personnelles. Néanmoins, l’intérêt légitime du responsable de traitement ou le consentement des personnes concernées pourraient constituer des bases juridiques valables. Le CEPD estime que la nécessité contractuelle ne peut dès lors constituer une base juridique appropriée pour l’amélioration d’un service en ligne ou pour développer de nouvelles fonctionnalités dans un service déjà existant ;
• Prévention de la fraude. Le CEPD souligne que le traitement à des fins de prévention de la fraude pourrait impliquer la surveillance et le profilage de clients. Pour le Comité, un tel traitement pourrait aller au-delà de ce qui est strictement nécessaire à l’exécution d’un contrat avec la personne concernée. Cependant, il considère que le traitement des données strictement nécessaires à la prévention de la fraude pourrait relever de l’intérêt légitime du responsable de traitement et pourrait dès lors constituer une base juridique adéquate, dans les conditions prévues à l’article 6, §1, f) du RGPD. Pour un tel traitement, le respect d’une obligation légale peut aussi constituer une base légale ;
• Publicité comportementale en ligne. Le CEPD relève que la publicité comportementale en ligne est un procédé souvent utilisé dans le domaine de la fourniture de services financiers en ligne. Il considère que l’article 6, §1, b) du RGPD ne peut pas servir de base légale à la publicité comportementale en ligne car cette publicité finance indirectement la fourniture du service. Le Comité estime par ailleurs que le suivi et le profilage d’utilisateurs peuvent être effectués dans le but d’identifier des groupes d’individus avec des caractéristiques similaires, pour permettre la publicité ciblée à une même audience. Or un tel traitement ne peut avoir lieu sur le fondement de la nécessité contractuelle, car il n’est pas objectivement nécessaire à l’exécution du contrat avec l’utilisateur ;
• Personnalisation des contenus. Le CEPD reconnaît que la personnalisation des contenus fait partie intégrante de la fourniture d’un service en ligne et pourrait être regardée comme nécessaire à l’exécution du contrat avec le client. Mais plusieurs critères sont à prendre en compte, tels que la nature du service fourni, les attentes de la personne concernée, et le fait que le service peut être fourni sans personnalisation. Lorsque la personnalisation n’est pas objectivement nécessaire à l’exécution du contrat, par exemple si elle ne fait pas partie intégrante de l’utilisation du service, les responsables de traitement devront envisager une base légale alternative.

Le respect d’une obligation légale à laquelle le responsable du traitement est soumis

Dans son avis sur la notion d’intérêt légitime poursuivi par le responsable du traitement des données au sens de l’article 7 de la directive 95/46/CE ( Avis du G29 n^o 06/2014 (WP217), 9 avr. 2014 ), le CEPD pose deux conditions cumulatives qui peuvent utilement être reprises sous l’empire du RGPD :

• l’obligation doit avoir une origine légale (cela vise à notre sens les actes normatifs émanant de l’Union européenne et/ou d’un État membre) ;
• l’obligation doit être explicite quant à la nécessité de réaliser un traitement.

La sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique

Le CEPD, dans son avis n^o 06/2014 précité, a précisé que les traitements entrant dans le champ de ce fondement se limitent à des considérations de vie ou de mort, ou à tout le moins à des menaces qui comportent un risque de blessure, ou une autre atteinte à la santé de la personne concernée.

Cela peut concerner par exemple des cas d’épidémie, des situations de catastrophe naturelle, etc.

L’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement

Cela peut concerner aussi bien le secteur public que le secteur privé, dès lors que :

• la personne est investie d’une mission de service public ;
• ou que le traitement est nécessaire à l’exécution d’une mission de service public.

Le CEPD, dans son avis n^o 06/2014 précité, donne pour exemple la déclaration fiscale qui collecterait et traiterait la déclaration de revenus d’une personne afin d’établir ou de vérifier le montant de l’impôt à payer.

Les fichiers de police peuvent également reposer sur cette base juridique.

L’intérêt légitime du responsable de traitement

L’intérêt légitime du responsable de traitement est l’une des bases juridiques courantes d’un traitement de données à caractère personnel (après le consentement et l’exécution d’un contrat).

Il est toutefois utile de rappeler aux responsables du traitement que leur intérêt légitime ne peut constituer une condition de licéité d’un traitement que dans la mesure où ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.

Un tel intérêt légitime pourrait, par exemple, exister lorsqu’il existe une relation pertinente et appropriée entre la personne concernée et le responsable du traitement dans des situations telles que celles où la personne concernée est un client du responsable du traitement ou est à son service. En tout état de cause, l’existence d’un intérêt légitime devrait faire l’objet d’une évaluation attentive, notamment afin de déterminer si une personne concernée peut raisonnablement s’attendre, au moment et dans le cadre de la collecte de ses données, à ce que celles-ci fassent l’objet d’un traitement à une fin donnée ( Règl. n^o (UE) 2016/679 du Parlement européen et du Conseil, 27 avr. 2016, considérant 47).

Vidéosurveillance au travail et intérêt légitime de l’employeur

Un autre exemple ressort de l’arrêt de la Cour européenne des droits de l’homme (CEDH) qui a estimé, à propos de caméras secrètes installées dans un supermarché pour surveiller des employés de caisse soupçonnés de vol, que l’intérêt légitime de l’employeur résidait dans « l’adoption de mesures pour découvrir les responsables des pertes constatées et de les sanctionner, dans le but d’assurer la protection de ses biens et le bon fonctionnement de l’entreprise. En l’espèce, la Cour de Strasbourg a tenu compte de la proportionnalité et de la légitimité de la mesure : « si elle ne saurait accepter que, de manière générale, le moindre soupçon que des détournements ou d’autres irrégularités aient été commis par des employés puisse justifier la mise en place d’une vidéosurveillance secrète par l’employeur, l’existence de soupçons raisonnables que des irrégularités graves avaient été commises et l’ampleur des manques constatés peuvent apparaître comme des justifications sérieuses » ( CEDH, 17 oct. 2019, aff. 1874/13 et 8567/13, Lopez Ribalda et autres c/ Espagne).

Changement de finalité du traitement

Compatibilité avec la finalité initiale

Lorsque le traitement à une fin autre que celle pour laquelle les données ont été collectées n’est pas fondé sur le consentement de la personne concernée ou sur le droit de l’Union ou le droit d’un État membre, le responsable du traitement doit déterminer s’il est compatible avec la finalité initiale. Il tient compte, entre autres (RGPD, art. 6, § 4) :

• de l’existence éventuelle d’un lien entre les finalités pour lesquelles les données à caractère personnel ont été collectées et les finalités du traitement ultérieur envisagé ;
• du contexte dans lequel les données à caractère personnel ont été collectées, en particulier en ce qui concerne la relation entre les personnes concernées et le responsable du traitement ;
• de la nature des données à caractère personnel, en particulier si le traitement porte sur des catégories particulières de données à caractère personnel, ou si des données à caractère personnel relatives à des condamnations pénales et à des infractions sont traitées ;
• des conséquences possibles du traitement ultérieur envisagé pour les personnes concernées ;
• de l’existence de garanties appropriées, qui peuvent comprendre le chiffrement ou la pseudonymisation.

Cette disposition a pour conséquence d’assouplir le principe de finalité posé à l’article 5 du RGPD, mais demeure néanmoins bien encadrée pour sauvegarder les droits des personnes concernées en imposant au responsable de traitement de procéder à un véritable test de compatibilité entre les finalités. En application du principe d’« accountability », il est par ailleurs recommandé de documenter et de conserver une trace de ce test de compatibilité.

Identification de la personne concernée

Si les finalités pour lesquelles des données à caractère personnel sont traitées n’imposent pas ou n’imposent plus au responsable du traitement d’identifier une personne concernée, celui-ci n’est pas tenu de conserver, d’obtenir ou de traiter des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter le RGPD (RGPD, art. 11, § 1).