Site icon Gdroit

RGPD: les fondements juridiques du traitement de données à caractère personnel

Aurélien Bamdé

==> Genèse

Dans sa version initiale, la loi informatique et libertés n’exigeait pas que le consentement des personnes soit recueilli préalablement au traitement de leurs données à caractère personnel.

Tout au plus, le texte leur conférait la faculté de s’opposer « pour des raisons légitimes » à ce que les informations les concernant fassent l’objet d’un traitement.

Afin de renforcer la protection des personnes, le législateur européen a, lors de l’adoption de la directive du 24 octobre 1995, décidé de mettre en terme à cette situation en posant l’exigence d’obtention du consentement préalablement à la mise en œuvre d’un traitement de données à caractère personnel.

==> Les textes

L’article 7 de la LIL prévoit que « un traitement de données à caractère personnel doit avoir reçu le consentement de la personne concernée ».

Cette exigence a été reprise par le RGPD dont l’article 6 prévoit que « le traitement n’est licite que si […] la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ».

Il ressort donc de ces deux textes que le recueil du consentement de la personne concernée est requis préalablement au traitement de ses données à caractère personnel. C’est ce que l’on appelle le principe de l’opt in, par opposition au principe de l’opt out.

En somme :

Les deux systèmes sont ainsi radicalement opposés. Tandis que le législateur français avait opté pour le système de l’opt out en 1978, il a finalement retenu le système de l’opt in en 2004 lors de la transposition de la directive du 24 octobre 1995.

Reste que, un certain nombre de dérogations au principe du consentement sont prévues par la LIL.

Dans le RGPD ces exceptions sont placées au même niveau que l’exigence de consentement, en ce sens que, selon le texte, un traitement de données à caractère personnel peut avoir 5 fondements juridiques alternatifs autre que le consentement.

==> Articulation du consentement avec les autres fondements juridiques

Le RGPD envisage clairement le consentement comme une condition de licéité.

De son côté, la LIL le présente comme une condition privilégiée, parfois proche d’un principe constitutionnel, liée au statut de droit fondamental de la protection des données.

Afin d’éclairer le rôle du consentement dans des cas spécifiques, il est utile de préciser le rapport entre le consentement et d’autres conditions de licéité, notamment par rapport aux contrats, aux missions d’intérêt public ou à l’intérêt légitime du responsable du traitement et au droit de s’opposer au traitement.

L’ordre dans lequel les fondements juridiques sont cités à l’article 6 est important, mais il ne signifie pas que le consentement soit toujours le fondement le plus approprié pour légitimer le traitement de données à caractère personnel.

L’article 6 mentionne d’abord le consentement et poursuit en énumérant les autres fondements juridiques, comme les contrats et les obligations légales, avant de passer progressivement à l’équilibre des intérêts.

Il y a lieu d’observer que les cinq fondements qui suivent le consentement imposent un critère de « nécessité », qui donc limite strictement le contexte dans lequel ils peuvent s’appliquer.

Cela ne signifie nullement que l’obligation de consentement laisse davantage de marge de manœuvre que les autres fondements cités à l’article 6.

En outre, l’obtention d’un consentement n’annule pas les obligations imposées au responsable du traitement en termes d’équité, de nécessité, de proportionnalité ainsi que de qualité des données.

Ainsi, même si le traitement de données à caractère personnel a reçu le consentement de l’utilisateur, cela ne justifie pas la collecte de données excessives au regard d’une fin particulière.

Ce n’est que dans des circonstances très restreintes que le consentement peut légitimer des traitements de données qui auraient été interdits autrement, notamment dans le cas du traitement de certaines données sensibles ou pour permettre le traitement ultérieur de données à caractère personnel, que celui-ci soit ou non compatible avec la finalité spécifiée à l’origine.

Tout bien pesé, il est indifférent que les fondements juridiques alternatifs au principe du consentement soient présentés comme des exceptions ou soient placés au même niveau.

Ce qui importe, c’est de considérer qu’il constitue une condition de licéité du traitement et non d’une renonciation à l’application d’autres principes.

Au total, il convient de retenir qu’un traitement de données à caractère personnel peut être mis en œuvre sur la base de plusieurs fondements juridiques distincts, au nombre desquels figurent le consentement qui, tant dans le RGPD que dans la LIL, occupe une place centrale.

§1 : Le principe du consentement

Par principe, un traitement de données à caractère personnel ne peut être mis en œuvre qu’à la condition d’avoir recueilli préalablement le consentement de la personne concernée.

A défaut, sauf à rentrer dans le champ d’application d’une exception, le traitement est illicite, ce qui est de nature à exposer le responsable à des sanctions.

La question qui immédiatement se pose est alors de savoir ce que l’on doit entendre par consentement ?

Simple en apparence, l’appréhension de la notion de consentement n’est pas sans soulever de nombreuses difficultés.

L’altération de la volonté d’une personne est, en effet, susceptible de renvoyer à des situations très diverses :

Il ressort de toutes ces situations que le défaut de consentement d’une personne peut être d’intensité variable et prendre différentes formes.

Aussi, convient-il de déterminer quels sont les caractères que doit présenter le consentement d’une personne faisant l’objet d’un traitement de données à caractère personnel pour être valable.

I) La qualité du consentement

Tandis que la LIL ne définit pas la notion de consentement, le RGPD remédie à ce silence textuel en le définissant comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».

Il ressort de cette définition que pour être valable, le consentement doit consister en :

  1. Une manifestation de volonté par laquelle la personne concernée accepte le traitement

La question qui ici se pose est de savoir ce que l’on doit entendre par manifestation de volonté.

Pour le déterminer, il convient de se reporter au considérant n°32 du RGPD dont on peut tirer plusieurs enseignements.

2. Une manifestation de volonté libre

Pour être valable, le consentement de la personne concernée doit avoir été donné sans contrainte.

Le consentement ne peut être valable que si la personne concernée est véritablement en mesure d’exercer un choix et s’il n’y a pas de risque de tromperie, d’intimidation, de coercition ou de conséquences négatives importantes si elle ne donne pas son consentement.

Si les conséquences du consentement sapent la liberté de choix des personnes, le consentement n’est pas libre.

C’est le cas, par exemple, lorsque la personne concernée est sous l’influence du responsable du traitement, dans le cadre d’une relation de travail, notamment.

Dans ce cas, même s’il n’en est pas nécessairement toujours ainsi, la personne concernée peut se trouver dans une situation de dépendance vis-à-vis du responsable du traitement – en raison de la nature de la relation ou de circonstances particulières – et peut craindre d’être traitée différemment si elle n’accepte pas le traitement de ses données.

Le Groupe de l’article 29 a eu l’occasion d’affirmer que «le consentement libre désigne une décision volontaire, prise par une personne en pleine possession de ses facultés, en l’absence de toute coercition, qu’elle soit sociale, financière, psychologique ou autre ».

3. Une manifestation de volonté spécifique

Pour être valable, le consentement ne doit pas seulement être libre, il doit également être spécifique.

En d’autres termes, un consentement général, sans préciser la finalité exacte du traitement, n’est pas valable.

Pour être spécifique, le consentement doit mentionner, de façon claire et précise, l’étendue et les conséquences du traitement des données. Il ne peut pas s’appliquer à un ensemble illimité d’activités de traitement.

En d’autres termes, le contexte dans lequel le consentement s’applique est limité.

Le consentement doit être donné sur les différents aspects, clairement définis, du traitement. Il couvre notamment les données qui sont traitées et les finalités pour lesquelles elles le sont.

Un « consentement spécifique » est dès lors intrinsèquement lié au fait que le consentement doit être informé.

En principe, il devrait suffire que les responsables du traitement obtiennent un consentement unique pour les différentes opérations, si celles-ci relèvent des attentes raisonnables de la personne concernée.

La Cour de justice de l’Union européenne s’est prononcée sur cette question dans un arrêt du 5 mai 2001, dans le cadre d’une question préjudicielle posée sur l’article 12, paragraphe 2, de la directive « vie privée et communications électroniques ».

Cette question portait sur la nécessité du renouvellement du consentement des abonnés qui ont déjà consenti à la publication de leurs données personnelles dans un annuaire, afin que celles-ci soient transférées en vue de leur publication par d’autres services d’annuaire.

La Cour a jugé que, dès lors que l’abonné a été correctement informé de la possible transmission des données à caractère personnel le concernant à une entreprise tierce et que celui-ci a consenti à la publication desdites données dans un tel annuaire, la transmission de ces données n’exige pas de nouveau consentement de la part de l’abonné, s’il est garanti que les données concernées ne seront pas utilisées à des fins autres que celles pour lesquelles elles ont été collectées en vue de leur première publication (CJUE,  5 mai 2001 Aff.  C-543/09, Deutsche Telekom AG)

4. Une manifestement de volonté informée

Il ressort du RGPD que le consentement de la personne concernée par le traitement doit être informée.

Selon le Groupe de l’article 29 cela signifie que qu’« un consentement … doit être fondé sur l’appréciation et la compréhension des faits et des conséquences d’une action. La personne concernée doit recevoir, de façon claire et compréhensible, des informations exactes et complètes sur tous les éléments pertinents, en particulier ceux spécifiés aux articles 10 et 11 de la directive, tels que la nature des données traitées, les finalités du traitement, les destinataires d’éventuels transferts et ses droits. Cela suppose également la connaissance des conséquences du refus de consentir au traitement des données en question ».

Autrement dit, la personne concernée doit être à même de consentir au traitement en toute connaissance de cause.

Afin de satisfaire cet objectif, il convient donc que les informations qui lui sont fournies appropriées.

Deux exigences doivent alors être remplies qui tiennent à :

II) La preuve du consentement

Le considérant n°42 du RGPD énonce que lorsque le traitement est fondé sur le consentement de la personne concernée, le responsable du traitement devrait être en mesure de prouver que ladite personne a consenti à l’opération de traitement.

Il échoit, en conséquence, aux responsables de traitements de données à caractère personnel de conserver les preuves attestant que le consentement a effectivement été donné par la personne concernée.

A cet égard, des déclarations expresses pour marquer un accord, comme un accord signé ou une déclaration écrite attestant la volonté de consentir sont des procédures ou des mécanismes qui se prêtent particulièrement bien à la fourniture d’un consentement indubitable.

Plus délicate en revanche est le système des cases à cocher :

III) Le consentement des enfants

Alors que la directive du 24 octobre 1995 n’abordait pas la question du consentement des mineurs, exposés tout autant au les majeurs, à des traitements de données à caractère personnel, le RGPD posent des conditions spécifiques applicables au consentement des enfants.

Le législateur européen justifie cette démarche en arguant que les enfants méritent une protection spécifique en ce qui concerne leurs données à caractère personnel parce qu’ils peuvent être moins conscients des risques, des conséquences et des garanties concernées et de leurs droits liés au traitement des données à caractère personnel.

Cette protection spécifique doit, notamment, s’appliquer à l’utilisation de données à caractère personnel relatives aux enfants à des fins de marketing ou de création de profils de personnalité ou d’utilisateur et à la collecte de données à caractère personnel relatives aux enfants lors de l’utilisation de services proposés directement à un enfant.

A cet égard, l’article 8 du RGPD prévoit que « en ce qui concerne l’offre directe de services de la société de l’information aux enfants, le traitement des données à caractère personnel relatives à un enfant est licite lorsque l’enfant est âgé d’au moins 16 ans. Lorsque l’enfant est âgé de moins de 16 ans, ce traitement n’est licite que si, et dans la mesure où, le consentement est donné ou autorisé par le titulaire de la responsabilité parentale à l’égard de l’enfant. »

Ainsi, cette disposition opère une distinction entre

Le texte confère aux États membres une marge de manœuvre, en ce qu’ils peuvent prévoir par la loi un âge inférieur pour autant que cet âge inférieur ne soit pas en-dessous de 13 ans. Le législateur français a retenu comme limite, l’âge de 15 ans.

Lorsque le mineur n’a pas atteint l’âge limite, le RGPD précise qu’il appartient au responsable du traitement de vérifier que le consentement est donné ou autorisé par le titulaire de la responsabilité parentale à l’égard de l’enfant, compte tenu des moyens technologiques disponibles.

§2 : Les dérogations au principe du consentement

Si le consentement joue un rôle important dans la mise en œuvre d’un traitement de données à caractère personnel, cela n’exclut pas la possibilité que, compte tenu du contexte, d’autres fondements juridiques puissent être jugés plus appropriés par le responsable du traitement ou la personne concernée.

Le RGPD et la LIL prévoient 5 autres fondements juridiques sur la base desquels un traitement de données à caractère personnel peut être mise en œuvre.

Au nombre de ces fondements juridiques figurent :

Une distinction peut ainsi être établie entre le cas où le traitement des données à caractère personnel se fonde sur le consentement indubitable de la personne concernée et les cinq autres cas.

En résumé, ces derniers décrivent des scénarios où le traitement peut se révéler nécessaire dans un contexte spécifique, comme l’exécution d’un contrat conclu avec la personne concernée, le respect d’une obligation légale imposée au responsable du traitement, etc.

Dans l’hypothèse où le consentement de la personne est requis, ce sont les personnes concernées elles-mêmes qui autorisent le traitement de leurs données à caractère personnel.

Il leur appartient de décider si elles permettent que leurs données soient traitées. Le consentement n’élimine pas pour autant la nécessité de respecter les principes énoncés par la LIL.

De plus, le consentement doit encore remplir certaines conditions essentielles pour être légitime. Dès lors que le traitement des données de l’utilisateur est, en définitive, laissé à sa discrétion, tout dépend de la validité et de la portée du consentement de la personne concernée.

Autrement dit, le premier motif, mentionné à l’article 6 a) du RGPD (le consentement) a trait à l’autodétermination de la personne concernée comme fondement de la légitimité.

Tous les autres motifs, en revanche, autorisent le traitement – moyennant des garanties et des mesures définies – dans des situations où, indépendamment du consentement, il est approprié et nécessaire de traiter les données dans un certain contexte pour servir un intérêt légitime spécifique.

En toute hypothèse, c’est au responsable du traitement des données qu’il revient initialement d’apprécier si les critères énoncés à l’article 7, points a) à f), sont remplis, sous réserve du respect du droit applicable et des orientations relatives à la façon dont ce droit doit être appliqué.

Ensuite, la légitimité du traitement peut faire l’objet d’une autre évaluation, et éventuellement être contestée, par les personnes concernées, par d’autres parties prenantes, par les autorités chargées de la protection des données, et en définitive la question peut être tranchée par les tribunaux.

I) Le respect d’une obligation légale

Ce fondement juridique renvoie à l’hypothèse où le traitement de données à caractère personnel est imposé au responsable du traitement par une obligation légale.

Il pourrait, par exemple, s’agir d’un texte qui impose aux employeurs de communiquer des données relatives aux rémunérations de leurs salariés à la sécurité sociale ou à l’administration fiscale, ou lorsque les institutions financières sont tenues de signaler certaines opérations suspectes aux autorités compétentes en vertu de règles visant à lutter contre le blanchiment d’argent. I

Pour que ce fondement juridique, puisse s’appliquer, l’obligation à laquelle est soumis le responsable du traitement doit satisfaire à un certain nombre de conditions :

II) La sauvegarde de la vie de la personne concernée

Pour que ce fondement juridique puisse servir de base à un traitement de données à caractère personnel, il est nécessaire que le responsable du traitement justifie de la nécessité de protéger un intérêt essentiel à la vie de la personne concernée ou à celle d’une autre personne physique.

Le traitement de données à caractère personnel fondé sur l’intérêt vital d’une autre personne physique ne devrait en principe avoir lieu que lorsque le traitement ne peut manifestement pas être fondé sur une autre base juridique.

Selon le Groupe de l’article 29, l’expression « intérêt vital » semble limiter l’application de ce motif à des questions de vie ou de mort, ou, à tout le moins, à des menaces qui comportent un risque de blessure ou une autre atteinte à la santé de la personne concernée.

A cet égard, le considérant 31 de la Directive du 24 octobre 1995 confirme que l’objectif de ce fondement juridique est de « protéger un intérêt essentiel à la vie de la personne concernée ».

Ni la directive, ni le RGPD ne précise, néanmoins, si la menace doit être immédiate. Ce silence, n’est pas sans soulever des questions quant à la portée de la collecte de données, par exemple, à titre de mesure préventive ou à grande échelle, comme la collecte des données relatives aux passagers transportés par une compagnie aérienne en cas de risque d’épidémie ou d’incident de sûreté.

Le groupe de l’article 29 considère qu’il convient de donner une interprétation restrictive à cette disposition. Bien que l’article 7, 2° de la LIL, ne limite pas expressément l’utilisation de ce motif à des situations où le consentement ne peut servir de fondement juridique, il est raisonnable de supposer que, lorsqu’il est possible et nécessaire de demander un consentement valable, il y a effectivement lieu d’obtenir ce consentement chaque fois que les conditions le permettent.

Cette disposition voit ainsi son application limitée à une analyse au cas par cas et elle ne peut normalement servir à légitimer, ni la collecte massive de données à caractère personnel, ni leur traitement.

III) L’exécution d’une mission de service public

Lorsqu’une personne exécute une mission de service public, l’article 7, 3° de l’autorise à mettre en œuvre un traitement de données à caractère personnel, sans qu’il soit besoin qu’elle recueille, au préalable, le consentement de la personne concernée.

Encore faut-il que la mission confiée au responsable du traitement porte bien sur une mission de service public, ce qui implique qu’elle relève de l’exercice d’une autorité publique conférée en vertu d’un texte légal ou réglementaire.

Ce fondement juridique couvre deux situations :

En toute hypothèse, pour être licite, il faut que le traitement soit « nécessaire à l’exécution d’une mission de service public », ou encore que le responsable du traitement ou le tiers auquel il communique les données soit investi d’une autorité publique et que le traitement des données soit nécessaire à l’exercice de cette autorité.

Si, toutefois, le traitement suppose une ingérence dans la vie privée ou si le droit national l’exige par ailleurs afin de garantir la protection des personnes concernées, la base juridique encadrant le genre de traitement de données qui peut être autorisé devra être suffisamment précise et spécifique.

L’article 7, 3°, a potentiellement un champ d’application très large, ce qui plaide en faveur d’une interprétation stricte et d’une définition précise, au cas par cas, de l’intérêt public en jeu et de l’autorité publique justifiant le traitement.

IV) L’exécution, d’un contrat ou de mesures précontractuelles

L’article 7, 4° prévoit que le consentement de la personne concernée n’est pas requis lorsque le traitement de données à caractère personnel procède de l’exécution :

==> Sur l’exécution d’un contrat

Le fondement juridique de l’article 7, 4° vise d’abord les situations dans lesquelles le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie.

Pour exemple :

Comme le relève le Groupe de l’article 29, ce fondement juridique doit être interprétée de façon restrictive et ne couvre pas les situations dans lesquelles le traitement n’est pas véritablement nécessaire à l’exécution d’un contrat, mais plutôt imposé unilatéralement à la personne concernée par le responsable du traitement.

Le fait qu’un certain traitement de données soit couvert par un contrat ne signifie pas non plus automatiquement que le traitement soit nécessaire à son exécution.

Par exemple, l’article 7, 4° de la LIL ne peut pas servir de fondement juridique pour établir un profil des goûts et du mode de vie de l’utilisateur à partir de son historique de navigation sur un site internet et des articles achetés.

En effet, le responsable du traitement des données n’a pas été chargé, dans le contrat, d’établir un profil mais de fournir des produits et des services, par exemple.

Même si ces activités de traitement sont expressément mentionnées en petits caractères dans le contrat, elles n’en deviennent pas pour autant « nécessaires » à l’exécution de ce dernier.

Il existe donc ici un lien évident entre l’appréciation de la nécessité et le respect du principe de limitation de la finalité.

Il importe de déterminer la raison d’être exacte du contrat, c’est-à-dire sa substance et son objectif fondamental, car c’est ce qui permettra de vérifier si le traitement des données est nécessaire à l’exécution du contrat.

==> Sur l’exécution de mesures précontractuelles

Le recueil du consentement préalable de la personne concernée n’est pas non plus requis en cas d’exécution de mesures précontractuelles, soit celles prises avant la conclusion du contrat.

Il peut donc s’appliquer aux relations précontractuelles, pour autant que les démarches soient accomplies à la demande de la personne concernée, plutôt qu’à l’initiative du responsable du traitement ou d’un tiers.

Par exemple, si une personne demande à un détaillant de lui faire une offre de prix pour un produit, le traitement de données effectué à cette fin, tel que la conservation, pour une durée limitée, de l’adresse et des informations à propos de ce qui est demandé, pourra s’appuyer sur ce fondement juridique.

De même, si quelqu’un demande un devis à un assureur pour sa voiture, l’assureur est en droit de traiter les données nécessaires, par exemple, la marque et l’âge de la voiture, ainsi que d’autres données pertinentes et proportionnées, afin d’établir le devis.

En revanche, des vérifications détaillées comme, par exemple, le traitement de données d’examens médicaux par une compagnie d’assurances avant de proposer une assurance maladie ou une assurance vie ne seraient pas considérées comme une étape nécessaire accomplie à la demande de la personne concernée.

Le traitement à des fins de prospection commerciale sur l’initiative du responsable du traitement ne pourra pas non plus s’appuyer sur ce motif.

V) La réalisation d’un intérêt légitime

Dernier fondement juridique susceptible de servir de base à la mise en œuvre d’un traitement de données à caractère personnel : la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux de la personne concernée.

Ce fondement juridique, d’une portée exceptionnellement générale, est issue de la directive du 24 octobre 1995.

Cette directive ne donnait toutefois aucun critère. Son considérant 30 se bornait à donner des exemples pouvant fonder la licéité de traitements :

La directive précisait que les traitements devaient, en tout état de cause, être mis en œuvre dans le respect des dispositions visant à permettre aux personnes concernées de s’opposer sans devoir indiquer leurs motifs et sans frais au traitement de données les concernant.

Sans préciser ce que l’on doit entendre par la notion d’« intérêt légitime », le RGPD énonce, dans son considérant 47 que « les intérêts légitimes d’un responsable du traitement, y compris ceux d’un responsable du traitement à qui les données à caractère personnel peuvent être communiquées, ou d’un tiers peuvent constituer une base juridique pour le traitement, à moins que les intérêts ou les libertés et droits fondamentaux de la personne concernée ne prévalent, compte tenu des attentes raisonnables des personnes concernées fondées sur leur relation avec le responsable du traitement ».

Le texte ajoute que l’existence d’un intérêt légitime devrait faire l’objet d’une évaluation attentive, notamment afin de déterminer si une personne concernée peut raisonnablement s’attendre, au moment et dans le cadre de la collecte des données à caractère personnel, à ce que celles-ci fassent l’objet d’un traitement à une fin donnée.

Les intérêts et droits fondamentaux de la personne concernée pourraient, en particulier, prévaloir sur l’intérêt du responsable du traitement lorsque des données à caractère personnel sont traitées dans des circonstances où les personnes concernées ne s’attendent raisonnablement pas à un traitement ultérieur.

Bien que le RGPD apporte des précisions sur le fondement de l’intérêt légitime, il ne définit pas la notion, de sorte qu’il y a lieu de se reporter à l’avis émis par le Groupe de l’article 29 en date du 9 avril 2014.

Selon ce Groupe, pour déterminer si un traitement de données à caractère personnel peut être mise en œuvre sur le fondement de l’intérêt légitime poursuivi par le responsable du traitement, il convient de procéder par étape

A) Première étape

Elle consiste à déterminer si l’intérêt poursuivi par le responsable du traitement est légitime.

Il convient, tout d’abord, de noter que la notion d’intérêt légitime doit être distinguée de la notion de finalité.

La question qui alors se pose est de savoir ce qui rend un intérêt légitime ou illégitime. Il s’agit, autrement dit, de déterminer le seuil de ce qui constitue un intérêt légitime.

Pour le Groupe de l’article 29, un intérêt peut être considéré comme légitime dès lors que le responsable du traitement est en mesure de poursuivre cet intérêt dans le respect de la législation sur la protection des données et d’autres législations.

Autrement dit, un intérêt légitime doit être « acceptable au regard du droit ».

Aussi, un « intérêt légitime » doit donc :

Le fait que le responsable du traitement poursuive un tel intérêt légitime en traitant certaines données ne signifie pas qu’il puisse nécessairement invoquer l’article 7, 5°, comme fondement juridique justifiant le traitement.

La légitimité de l’intérêt poursuivi n’est qu’un point de départ. La possibilité d’invoquer ce fondement juridique dépend du résultat de la mise en balance entre l’intérêt du responsable du traitement avec l’intérêt ou les droits et libertés fondamentaux de la personne concernée.

À titre d’illustration : des responsables du traitement peuvent avoir un intérêt légitime à connaître les préférences de leurs clients pour être en mesure de mieux personnaliser leurs offres et, en fin de compte, de proposer des produits et des services qui correspondent mieux aux besoins et aux désirs des clients.

Dans cette perspective, l’article 7, 5°, peut constituer un fondement juridique approprié pour certains types d’activités de prospection, en ligne ou hors ligne, pour autant qu’il existe des garanties appropriées, incluant, entre autres, un mécanisme fonctionnel permettant de s’opposer à ce traitement

Cela ne signifie pas pour autant que les responsables du traitement pourraient invoquer l’article 7, 5°, pour surveiller indûment les activités en ligne ou hors ligne de leurs clients, pour compiler d’importants volumes de données à leur propos en provenance de différentes sources, collectées à l’origine dans d’autres contextes et à des fins différentes, et pour créer des profils complexes concernant la personnalité et les préférences des clients, sans les en informer, ni mettre à leur disposition un mécanisme fonctionnel permettant d’exprimer leur opposition, pour ne rien dire de leur consentement éclairé.

Une telle activité de profilage risque de constituer une violation grave de la vie privée du client et, dans ce cas, l’intérêt et les droits de la personne concernée prévaudraient sur l’intérêt poursuivi par le responsable du traitement.

B) Deuxième étape

Il s’agit ici de déterminer si le traitement de données à caractère personnel que le responsable envisage de mettre en œuvre est nécessaire à la réalisation de l’intérêt poursuivi.

Cette exigence a notamment été rappelée par la CJUE dans un arrêt du 13 mai 2014 aux termes duquel elle a considéré que l’article 7 de la directive du 24 octobre 1995 (devenu l’article 6 du RGPD), « permet le traitement de données à caractère personnel lorsqu’il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les libertés et les droits fondamentaux de la personne concernée, notamment son droit au respect de sa vie privée à l’égard du traitement des données à caractère personnel » (CJUE, 13 mai 2014, aff. C-131/12).

Lorsque, dès lors, le traitement n’est pas absolument nécessaire à la poursuite de l’intérêt légitime du responsable, le fondement de l’article 6 du RGPD n’est pas applicable.

C) Troisième étape

A supposer que le traitement de données à caractère personnel soit nécessaire à la réalisation de l’intérêt légitime du responsable, encore faut-il, pour être licite, que cet intérêt ne porte pas atteinte à l’intérêt et aux droits et libertés fondamentaux de la personne concernée. Aussi, cela implique-t-il d’opérer une mise en balance.

A cet égard, comme le souligne le Groupe de l’article 29, il importe de relever qu’à la différence de l’«intérêt» du responsable du traitement, l’«intérêt» des personnes concernées n’est pas suivi ici de l’adjectif «légitime».

Cela suppose que la protection de l’intérêt et des droits des individus a une portée plus vaste. Même les personnes qui se livrent à des activités illégales ne devraient pas faire l’objet d’une ingérence disproportionnée dans l’exercice de leurs droits et de leurs intérêts.

Par exemple, un individu qui peut avoir commis un vol dans un supermarché pourrait encore voir son intérêt prévaloir contre la publication par le propriétaire du magasin de sa photo et de son adresse privée sur les murs du supermarché ou et/ou sur l’internet.

En toute hypothèse, il apparaît que l’intérêt légitime poursuivi par le responsable du traitement et les incidences sur l’intérêt et les droits de la personne concernée se présentent sous la forme d’un spectre.

L’intérêt légitime peut être, selon les cas, minime, relativement important ou impérieux.

De même, les incidences sur l’intérêt et les droits des personnes concernées peuvent présenter plus ou moins de gravité et peuvent être anodines ou très préoccupantes.

Il importe ici de souligner le rôle essentiel que les garanties peuvent jouer pour réduire les incidences injustifiées sur les personnes concernées et, partant, modifier l’équilibre des droits et des intérêts, au point que ceux de ces personnes ne prévalent plus sur l’intérêt légitime poursuivi par le responsable du traitement des données.

Le recours à des garanties ne suffit bien sûr pas à justifier, à lui seul, n’importe quel traitement dans toutes les situations envisageables.

Il faut en outre que les garanties en question soient adéquates et suffisantes, et qu’elles réduisent indubitablement et sensiblement les incidences sur les personnes concernées.

La mise en balance des intérêts en présence suppose de confronter les deux plateaux de la balance :

==> Sur le premier plateau de la balance

S’agissant du premier plateau de la balance, il convient d’apprécier l’intérêt légitime du responsable du traitement.

S’il est impossible de porter des jugements de valeur à l’égard de toutes les formes d’intérêt légitime envisageables, il est possible de formuler certaines orientations.

Comme indiqué précédemment, cet intérêt peut être insignifiant ou impérieux, manifeste ou plus controversé.

Pour apprécier la teneur de cet intérêt, plusieurs facteurs doivent être pris en compte :

==> Le second plateau de la balance

L’autre plateau de la balance, à savoir l’incidence du traitement sur l’intérêt ou les droits et libertés fondamentaux de la personne concernée, constitue un critère crucial.

Pour apprécier l’incidence du traitement, il convient de prendre en considération les conséquences aussi bien positives que négatives.

Il peut s’agir notamment de décisions ou de mesures éventuelles qui seront prises ultérieurement par des tiers et de situations où le traitement peut aboutir à l’exclusion de certaines personnes, à une discrimination à leur encontre, à de la diffamation ou, plus généralement, de situations qui comportent un risque de nuire à la réputation, au pouvoir de négociation ou à l’autonomie de la personne concernée.

En plus des conséquences négatives qui peuvent être spécifiquement prévues, il faut aussi tenir compte des répercussions morales, comme l’irritation, la crainte et le désarroi qui peuvent résulter de la perte du contrôle exercé par la personne concernée sur ses informations à caractère personnel, ou de la découverte d’une utilisation abusive ou d’une compromission effective ou potentielle de ces informations – du fait, par exemple, de leur divulgation sur l’internet.

L’effet dissuasif sur un comportement protégé, comme la liberté de recherche ou la liberté d’expression, qui peut résulter d’une surveillance constante ou d’un traçage, doit aussi être dûment pris en considération.

Afin d’évaluer l’incidence du traitement de données à caractère personnel sur la personnel concernée, le Groupe de l’article 29 préconise de prendre en compte un certain nombre de facteurs :

D) Quatrième étape

Afin de déterminer si le traitement de données à caractère personne peut être mis en œuvre sur le fondement juridique de l’intérêt légitime du responsable du traitement, c’est l’appréciation générale de la mise en balance qui déterminera si le résultat est acceptable ou non.

Plus l’incidence sur la personne concernée est significative, plus faudra prêter attention aux garanties qu’il convient de mettre en place.

Après une analyse et un examen attentif de tous les aspects du problème, un bilan provisoire peut être établi : une conclusion préliminaire peut être tirée afin de déterminer si l’intérêt légitime poursuivi par le responsable du traitement prévaut sur les droits et les intérêts des personnes concernées.

Il peut cependant y avoir des cas où le résultat de la mise en balance n’est pas clair et où il subsiste un doute quant à la question de savoir si l’intérêt légitime du responsable du traitement (ou du tiers) prévaut et si le traitement peut se fonder sur l’article 7, 5°.

C’est pourquoi il importe de procéder à une évaluation complémentaire dans le cadre de l’exercice de mise en balance.

À ce stade, le responsable du traitement peut envisager d’introduire d’autres mesures, qui vont au-delà du respect des dispositions horizontales de la directive, afin de contribuer à protéger les personnes concernées.

Les garanties supplémentaires destinées à prévenir toute incidence indue sur les personnes concernées peuvent notamment inclure :

Lorsque les garanties prises par le responsable du traitement sont insuffisantes, la CNIL n’hésite pas à prononcer des sanctions à son encontre.

Tel avait été le cas dans le cadre d’une délibération rendue 19 juillet 2012 (CNIL, délib. n°2012-214 du 19 juillet 2012)

Au bilan, il ressort de cette délibération de la CNIL que lorsqu’à l’issue de la mise en balance il apparaît que l’impact du traitement sur la personne concernée s’avère négatif, il appartient au responsable de mettre en place des garanties appropriée, sinon renforcées, afin de rééquilibrer la balance.

Quitter la version mobile