RGPD : maîtriser le consentement et les droits pour protéger vos données

1. Consentement et licéité du traitement des données à caractère personnel

(1) Le RGPD exige que toute information relative au consentement soit compréhensible, aisément accessible et rédigée en des termes clairs et simples, sans clause abusive (considérants 42, 58). Pour que le consentement soit éclairé, la personne concernée doit connaître au minimum l’identité du responsable du traitement et les finalités du traitement envisagé.

(2) Le consentement libre suppose une véritable liberté de choix: la personne doit pouvoir refuser ou retirer son consentement sans subir de préjudice (considérant 42). Dès lors qu’il existe un déséquilibre manifeste entre la personne concernée et le responsable du traitement, le consentement ne constitue généralement pas un fondement juridique valable, en particulier lorsque le responsable est une autorité publique (considérant 43).

(3) Le consentement est présumé ne pas être libre lorsqu’il est groupé pour plusieurs opérations de traitement sans possibilité d’accord distinct alors que cela serait approprié, ou lorsque l’exécution d’un contrat ou la fourniture d’un service est subordonnée à un consentement non nécessaire à cette exécution (considérant 43).

(4) Lorsque le consentement n’est pas possible dans des conditions de liberté suffisante, le responsable doit s’appuyer sur une autre base légale du traitement (contrat, obligation légale, mission d’intérêt public, intérêt légitime, protection des intérêts vitaux), clairement identifiée et documentée.

2. Les autres bases légales du traitement : contrat, loi, intérêt public, intérêt vital, intérêt légitime

(5) Le traitement est licite lorsqu’il est nécessaire à l’exécution d’un contrat ou à l’intention de conclure un contrat avec la personne concernée (considérant 44). Dans ce cas, aucune demande de consentement «en plus» ne doit masquer cette base juridique principale.

(6) Lorsque le traitement repose sur une obligation légale ou sur une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, il doit trouver son fondement dans le droit de l’Union ou le droit d’un État membre (considérant 45). Ce droit détermine notamment la finalité du traitement, le type de données, les destinataires, la durée de conservation et les garanties qui encadrent la licéité et la loyauté du traitement.

(7) Le traitement peut également être licite lorsqu’il est nécessaire à la protection d’un intérêt vital de la personne concernée ou d’une autre personne physique, par exemple dans des cas d’urgence humanitaire ou pour suivre des épidémies et leur propagation (considérant 46). Cette base ne doit toutefois être utilisée que lorsqu’aucune autre base juridique n’est manifestement applicable.

(8) Les intérêts légitimes du responsable ou d’un tiers peuvent constituer une base juridique, à condition que ne prévalent pas les intérêts ou les droits et libertés fondamentaux de la personne concernée, appréciés au regard de ses attentes raisonnables (considérant 47). Le lien entre la personne et le responsable (client, employé, utilisateur) joue un rôle essentiel dans cette appréciation.

(9) Le RGPD cite comme exemples d’intérêt légitime le traitement strictement nécessaire à la prévention de la fraude ou le traitement à des fins de prospection (considérant 47), ainsi que la transmission intra‑groupe pour des fins administratives internes (considérant 48) et le traitement destiné à garantir la sécurité du réseau et des informations (prévention des intrusions, codes malveillants, attaques par déni de service) (considérant 49).

3. Compatibilité des finalités et traitement ultérieur

(10) Le traitement ultérieur de données à caractère personnel à des fins autres que celles pour lesquelles elles ont été initialement collectées n’est autorisé que s’il est compatible avec les finalités initiales (considérant 50). Dans ce cas, aucune nouvelle base juridique n’est nécessaire.

(11) Pour apprécier la compatibilité des finalités, le responsable tient compte du lien entre les finalités initiales et ultérieures, du contexte de collecte et des attentes raisonnables des personnes, de la nature des données, des conséquences pour les personnes et des garanties appropriées mises en œuvre.

(12) Le traitement ultérieur à des fins archivistiques dans l’intérêt public, de recherche scientifique ou historique ou à des fins statistiques est présumé compatible et licite (considérant 50), sous réserve du respect des principes du RGPD, notamment la minimisation des données et la mise en place de garanties spécifiques (pseudonymisation, accès restreint).

(13) Lorsque le traitement ultérieur se fonde sur un consentement spécifique ou sur une mesure nécessaire et proportionnée prévue par le droit de l’Union ou d’un État membre pour des objectifs d’intérêt public général, il peut être effectué même si les finalités ne sont pas compatibles, à condition d’informer la personne concernée et de respecter ses droits, notamment le droit d’opposition (considérant 50).

4. Catégories particulières de données à caractère personnel et santé publique

(14) Certaines données sont jugées particulièrement sensibles et bénéficient d’une protection spécifique en raison des risques importants pour les droits et libertés: origine raciale ou ethnique, opinions politiques, religion ou convictions philosophiques, appartenance syndicale, données génétiques, données biométriques aux fins d’identification, données concernant la santé et vie sexuelle ou orientation sexuelle (considérant 51).

(15) Le traitement de ces catégories particulières est en principe interdit, sauf dérogations explicitement prévues: consentement explicite, obligations légales spécifiques, missions d’intérêt public, ou activités légitimes d’associations et fondations visant l’exercice des libertés fondamentales (considérant 51).

(16) Des dérogations sont également possibles lorsque le droit de l’Union ou d’un État membre l’autorise pour des motifs d’intérêt public, notamment en droit du travail et de la protection sociale (retraites, prestations), à des fins de sécurité, de surveillance et d’alerte sanitaires, de prévention ou de contrôle de maladies transmissibles, ou encore à des fins archivistiques, scientifiques, historiques ou statistiques (considérant 52).

(17) Les données de santé peuvent être traitées à des fins de gestion des services et systèmes de soins de santé ou de protection sociale, de contrôle de la qualité, de supervision générale des systèmes de soins, de continuité des soins, de sécurité, surveillance et alerte sanitaires, ainsi que pour des études dans l’intérêt public dans le domaine de la santé publique (considérant 53).

(18) Le RGPD renvoie à une définition large de la santé publique couvrant l’état de santé (morbidité, handicap), les déterminants de santé, les besoins de soins, les ressources et dépenses de santé, leur financement et les causes de mortalité (considérant 54). Les traitements opérés pour ces motifs ne doivent pas conduire à l’utilisation des données par des tiers tels que employeurs, assureurs ou banques pour d’autres finalités.

(19) Par ailleurs, certains traitements de données sensibles peuvent être justifiés par des motifs d’intérêt public liés à des associations religieuses officiellement reconnues (considérant 55) ou à des activités électorales permettant aux partis politiques de collecter des données relatives aux opinions politiques, sous réserve de garanties appropriées (considérant 56).

5. Information, transparence et modalités d’exercice des droits

(20) Le principe de transparence impose que toute information adressée au public ou à une personne soit concise, facilement accessible, facile à comprendre et rédigée en termes clairs et simples, éventuellement illustrée par des éléments visuels (considérant 58). Ceci est essentiel dans des contextes technologiquement complexes comme la publicité en ligne.

(21) Une attention particulière doit être portée aux enfants, qui méritent une protection spécifique: les informations et communications les concernant doivent être formulées dans un langage qu’un enfant peut aisément comprendre (considérant 58).

(22) Des modalités pratiques doivent faciliter l’exercice des droits: accès, rectification, effacement, opposition, y compris par des moyens électroniques lorsque les données sont traitées de manière électronique (considérant 59). Les demandes doivent être traitées gratuitement et le responsable doit répondre dans un délai d’un mois, en motivant tout refus de donner suite.

(23) Le traitement loyal et transparent exige d’informer la personne de l’existence du traitement, de ses finalités, de la base légale, des destinataires, de la durée de conservation, de l’existence d’un profilage et de ses conséquences (considérant 60). Lorsque les données sont collectées directement, il convient de préciser si la fourniture des données est obligatoire et les conséquences du refus.

(24) Les informations doivent être fournies au moment de la collecte ou, lorsque les données proviennent d’une autre source, dans un délai raisonnable (considérant 61). La personne doit également être informée lorsque les données sont communiquées pour la première fois à un nouveau destinataire, ou avant tout traitement ultérieur à une autre fin.

(25) Certaines exceptions à l’obligation d’information sont prévues lorsque la personne dispose déjà des informations, lorsque la loi impose l’enregistrement ou la communication, ou lorsque l’information est impossible ou disproportionnée, notamment pour des traitements à des fins archivistiques, scientifiques, historiques ou statistiques impliquant un grand nombre de personnes ou des données anciennes (considérant 62).

6. Droit d’accès, de rectification et «droit à l’oubli»

(26) Toute personne doit pouvoir exercer facilement et à intervalles raisonnables un droit d’accès à ses données à caractère personnel, afin de prendre connaissance du traitement et d’en vérifier la licéité (considérant 63). Ce droit couvre notamment les données de santé contenues dans les dossiers médicaux (diagnostics, résultats d’examen, avis médicaux, traitements).

(27) L’accès doit permettre d’obtenir les finalités du traitement, la durée de conservation si possible, l’identité des destinataires, la logique du traitement automatisé, y compris en cas de profilage, et les conséquences pour la personne (considérant 63). Lorsque c’est possible, un accès à distance sécurisé peut être mis en place.

(28) Le responsable doit prendre des mesures raisonnables pour vérifier l’identité de la personne exerçant ses droits, en particulier dans le cadre des services en ligne (considérant 64). Il ne doit pas conserver des données uniquement pour pouvoir répondre à d’éventuelles demandes d’accès.

(29) Le RGPD garantit le droit de rectification et un droit à l’oubli lorsque la conservation des données viole le règlement ou le droit applicable (considérant 65). L’effacement est notamment requis lorsque les données ne sont plus nécessaires aux finalités, lorsque le consentement est retiré, lorsqu’il existe une opposition légitime ou lorsque le traitement est autrement illicite.

(30) Le droit à l’oubli est particulièrement pertinent lorsque le consentement a été donné alors que la personne était enfant et n’avait pas pleinement conscience des risques, notamment sur internet (considérant 65). Ce droit peut être exercé même une fois devenue adulte.

(31) L’effacement doit toutefois être concilié avec d’autres intérêts essentiels: liberté d’expression et d’information, obligations légales, missions d’intérêt public, santé publique, archivage dans l’intérêt public, recherche scientifique ou historique, statistiques et défense de droits en justice (considérant 65).

(32) Afin de renforcer le droit à l’oubli numérique, lorsque le responsable a rendu des données publiques, il doit prendre des mesures raisonnables pour informer les autres responsables qui les traitent de la demande d’effacement, y compris des liens, copies ou reproductions de ces données, compte tenu des technologies disponibles et des moyens dont il dispose (considérant 66).

7. Limitation du traitement et portabilité des données

(33) La limitation du traitement constitue un mécanisme intermédiaire entre la conservation et l’effacement complet. Elle peut consister à déplacer temporairement les données, à les rendre inaccessibles aux utilisateurs ou à les retirer temporairement d’un site internet (considérant 67). Dans les fichiers automatisés, cette limitation doit être assurée par des moyens techniques clairement indiqués dans le système.

(34) Le RGPD introduit un droit à la portabilité des données lorsque le traitement est automatisé et fondé sur le consentement ou sur un contrat (considérant 68). La personne peut recevoir les données qu’elle a fournies dans un format structuré, couramment utilisé, lisible par machine et interopérable, et les transmettre à un autre responsable, voire demander un transfert direct lorsque c’est techniquement possible.

(35) Le droit à la portabilité ne s’applique pas lorsque le traitement est fondé sur une obligation légale, une mission d’intérêt public ou l’exercice de l’autorité publique (considérant 68). Il ne crée pas non plus d’obligation de compatibilité technique entre systèmes ni de suppression automatique des données nécessaires à l’exécution d’un contrat en cours.

8. Droit d’opposition, prospection et profilage

(36) Lorsqu’un traitement est fondé sur une mission d’intérêt public, l’exercice de l’autorité publique ou un intérêt légitime, la personne concernée peut s’opposer au traitement pour des raisons tenant à sa situation particulière (considérant 69). Il incombe alors au responsable de démontrer l’existence d’intérêts légitimes impérieux prévalant sur ceux de la personne.

(37) En matière de prospection, la personne dispose d’un droit d’opposition absolu: elle peut s’y opposer à tout moment et sans frais, y compris lorsque la prospection implique un profilage (considérant 70). Ce droit doit être explicitement porté à son attention et présenté clairement et séparément de toute autre information.

(38) La personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou l’affectant de manière significative, comme le rejet automatique d’un crédit ou des pratiques de recrutement entièrement automatisées (considérant 71).

(39) Une telle prise de décision automatisée n’est permise que si elle est expressément autorisée par la loi, nécessaire à la conclusion ou l’exécution d’un contrat ou fondée sur le consentement explicite de la personne (considérant 71). Dans tous les cas, elle doit s’accompagner de garanties appropriées: information spécifique, droit à une intervention humaine, droit d’exprimer son point de vue, d’obtenir une explication et de contester la décision. Ce type de dispositif ne devrait pas viser les enfants.

(40) Le responsable doit utiliser des procédures mathématiques ou statistiques adéquates, corriger les erreurs de données, minimiser le risque d’erreur, sécuriser les données et prévenir les effets discriminatoires fondés sur l’origine raciale ou ethnique, les opinions politiques, la religion, l’appartenance syndicale, le statut génétique, l’état de santé ou l’orientation sexuelle (considérant 71). Le profilage reste soumis à l’ensemble des règles de licéité, de transparence et de minimisation prévues par le RGPD (considérant 72).

9. Limitations légales à certains droits

(41) Le droit de l’Union ou des États membres peut prévoir des limitations à certains principes et droits (information, accès, rectification, effacement, portabilité, opposition, décisions fondées sur le profilage, notification des violations de données) dans la mesure nécessaire et proportionnée pour garantir, dans une société démocratique, par exemple: la sécurité publique, la prévention des infractions, les enquêtes pénales, l’exécution de sanctions pénales, la protection contre les menaces pour la sécurité publique ou la protection sociale, la santé publique et des finalités humanitaires (considérant 73).

(42) Ces limitations doivent respecter les exigences de la Charte des droits fondamentaux de l’Union européenne et de la Convention européenne des droits de l’homme, et être encadrées par des garanties appropriées en droit interne (considérant 73).

10. Responsabilité, analyse des risques et protection des données dès la conception

(43) Le RGPD consacre une logique de responsabilisation («accountability») du responsable du traitement, qui est responsable de tout traitement réalisé par lui ou pour son compte et doit être en mesure de démontrer la conformité au règlement (considérant 74). Les mesures techniques et organisationnelles mises en œuvre doivent être adaptées à la nature, la portée, le contexte et les finalités du traitement, ainsi qu’au risque pour les droits et libertés.

(44) Les risques peuvent entraîner des dommages physiques, matériels ou moraux: discrimination, vol ou usurpation d’identité, perte financière, atteinte à la réputation, perte de confidentialité de données protégées par le secret professionnel, renversement de la pseudonymisation, ou autres dommages économiques ou sociaux importants (considérant 75). Les risques sont particulièrement élevés en présence de données sensibles, de personnes vulnérables (notamment enfants), de profilage étendu ou de volumes importants de données.

(45) La probabilité et la gravité des risques doivent être évaluées objectivement, au regard de la nature, de la portée, du contexte et des finalités du traitement, afin de déterminer s’il existe un risque élevé nécessitant des mesures renforcées ou une analyse d’impact relative à la protection des données (considérant 76).

(46) Des lignes directrices, codes de conduite et procédures de certification peuvent aider à identifier les meilleures pratiques pour réduire ces risques et démontrer le respect du règlement (considérant 77). Le délégué à la protection des données et le comité européen peuvent fournir des indications sur les traitements présentant un risque faible ou des mesures jugées suffisantes.

(47) Le principe de protection des données dès la conception et par défaut impose que les responsables adoptent des règles internes et des mesures techniques limitant au minimum le volume de données traitées, recourant à la pseudonymisation dès que possible, garantissant la transparence sur les fonctions et traitements, et permettant aux personnes de contrôler l’usage de leurs données (considérant 78).

(48) Les fabricants de produits, producteurs d’applications et prestataires de services doivent intégrer le droit à la protection des données dès la conception de leurs outils, de manière à ce que les responsables et sous‑traitants puissent satisfaire à leurs obligations (considérant 78). Ces principes doivent aussi être pris en compte dans les marchés publics, afin d’ancrer la protection des données dans la conception même des systèmes d’information.

Pour en savoir plus

(49) Texte intégral du règlement général sur la protection des données (RGPD) et ressources d’analyse détaillées sur le site de l’autorité de contrôle française : Le règlement général sur la protection des données – RGPD | CNIL.