RGPD: les exceptions au principe du consentement

Le consentement est souvent présenté comme la clé de voûte du droit de la protection des données, au point d’éclipser les autres titres qui autorisent un traitement. Cette présentation est trompeuse : loin d’être la base supérieure que l’on ne pourrait écarter qu’à titre exceptionnel, le consentement n’est que l’une des bases légales que l’article 6 du RGPD place sur un strict pied d’égalité. Là où l’étude des fondements juridiques du traitement de données à caractère personnel dresse la carte de ces titres concurrents, c’est leur économie propre — celle des cinq fondements qui dispensent de tout consentement — qu’il s’agit ici de mettre au jour.

Si le consentement joue un rôle important dans la mise en œuvre d’un traitement de données à caractère personnel, cela n’exclut pas la possibilité que, compte tenu du contexte, d’autres fondements juridiques puissent être jugés plus appropriés par le responsable du traitement ou la personne concernée.

Loin d’ériger le consentement en passage obligé de tout traitement, le droit de la protection des données l’inscrit, au contraire, dans une pluralité de fondements concurrents et de même rang. L’article 6, paragraphe 1, du RGPD — auquel fait écho l’article 7 de la loi « Informatique et libertés » (LIL) — énonce en effet que le traitement n’est licite que s’il repose sur l’une des bases qu’il énumère limitativement. Le consentement n’en est que la première ; il n’est ni le principe dont les autres seraient l’exception, ni la base supérieure que l’on ne pourrait écarter qu’à titre subsidiaire. Toutes ces bases possèdent la même valeur juridique : c’est le contexte du traitement qui commande le choix de l’une plutôt que de l’autre.

Le RGPD et la LIL prévoient 5 autres fondements juridiques sur la base desquels un traitement de données à caractère personnel peut être mise en œuvre.

Au nombre de ces fondements juridiques figurent :

• Le respect d’une obligation légale incombant au responsable du traitement ;
• La sauvegarde de la vie de la personne concernée ;
• L’exécution d’une mission de service public dont est investi le responsable ou le destinataire du traitement ;
• L’exécution, soit d’un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ;
• La réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux de la personne concernée.

Une distinction peut ainsi être établie entre le cas où le traitement des données à caractère personnel se fonde sur le consentement indubitable de la personne concernée et les cinq autres cas.

En résumé, ces derniers décrivent des scénarios où le traitement peut se révéler nécessaire dans un contexte spécifique, comme l’exécution d’un contrat conclu avec la personne concernée, le respect d’une obligation légale imposée au responsable du traitement, etc.

Le critère qui sépare ces deux blocs tient à la source de la légitimité du traitement. Dans l’hypothèse où le consentement de la personne est requis, ce sont les personnes concernées elles-mêmes qui autorisent le traitement de leurs données à caractère personnel.

Il leur appartient de décider si elles permettent que leurs données soient traitées. Le consentement n’élimine pas pour autant la nécessité de respecter les principes énoncés par la LIL — licéité, loyauté, transparence, limitation des finalités, minimisation, exactitude, limitation de la conservation et sécurité demeurent applicables, quelle que soit la base retenue.

De plus, le consentement doit encore remplir certaines conditions essentielles pour être légitime. Dès lors que le traitement des données de l’utilisateur est, en définitive, laissé à sa discrétion, tout dépend de la validité et de la portée du consentement de la personne concernée.

Autrement dit, le premier motif, mentionné à l’article 6 a) du RGPD (le consentement) a trait à l’autodétermination de la personne concernée comme fondement de la légitimité. L’idée directrice est celle d’une maîtrise par l’individu du sort de ses propres données : en consentant, la personne arbitre elle-même la balance entre l’usage projeté et la protection de sa vie privée.

Cette logique d’autodétermination ne se cantonne d’ailleurs pas au seul droit de la protection des données ; elle irradie l’ensemble des domaines où l’exploitation d’informations personnelles est en cause. La Cour de cassation a ainsi jugé, en matière de procédure pénale, que la personne qui donne son assentiment à la fouille de ses effets consent, par là même, à l’exploitation des données à caractère personnel contenues dans les téléphones saisis — illustration de ce que le consentement, lorsqu’il est librement donné, emporte autorisation d’un traitement qui, à défaut, eût supposé une autre base légale.

Tous les autres motifs, en revanche, autorisent le traitement – moyennant des garanties et des mesures définies – dans des situations où, indépendamment du consentement, il est approprié et nécessaire de traiter les données dans un certain contexte pour servir un intérêt légitime spécifique.

En toute hypothèse, c’est au responsable du traitement des données qu’il revient initialement d’apprécier si les critères énoncés à l’article 7, points a) à f), sont remplis, sous réserve du respect du droit applicable et des orientations relatives à la façon dont ce droit doit être appliqué.

Ensuite, la légitimité du traitement peut faire l’objet d’une autre évaluation, et éventuellement être contestée, par les personnes concernées, par d’autres parties prenantes, par les autorités chargées de la protection des données, et en définitive la question peut être tranchée par les tribunaux.

L’enjeu de ce contrôle n’a rien de théorique. Le choix d’une base inadéquate prive le traitement de tout fondement et le rend, par voie de conséquence, illicite — exposant le responsable aux sanctions administratives prononcées par l’autorité de contrôle, susceptibles d’atteindre les plafonds les plus élevés du règlement, mais aussi à l’action en réparation de la personne concernée. Toute personne ayant subi un dommage, matériel ou moral, du fait d’une violation du règlement européen sur la protection des données est en effet en droit d’obtenir la réparation intégrale de son préjudice auprès du responsable du traitement. C’est dire que la détermination de la base légale n’est pas une formalité préalable, mais la condition première de la sécurité juridique du traitement.

I) Le respect d’une obligation légale

Ce fondement juridique renvoie à l’hypothèse où le traitement de données à caractère personnel est imposé au responsable du traitement par une obligation légale. La logique en est simple : lorsque la loi commande le traitement, il serait contradictoire d’en subordonner la licéité au consentement de la personne, lequel pourrait toujours être refusé et ferait alors obstacle à l’exécution de la prescription légale.

Il pourrait, par exemple, s’agir d’un texte qui impose aux employeurs de communiquer des données relatives aux rémunérations de leurs salariés à la sécurité sociale ou à l’administration fiscale, ou lorsque les institutions financières sont tenues de signaler certaines opérations suspectes aux autorités compétentes en vertu de règles visant à lutter contre le blanchiment d’argent.

Pour que ce fondement juridique, puisse s’appliquer, l’obligation à laquelle est soumis le responsable du traitement doit satisfaire à un certain nombre de conditions :

• Une obligation légale ou réglementaire
  • L’obligation sur le fondement de laquelle le traitement est mis en œuvre, doit être imposée par la loi ou par un texte réglementaire et non, par exemple, par une cause contractuelle.
  • A cet égard, le texte légal doit remplir toutes les conditions requises pour rendre l’obligation valable et contraignante, et doit aussi être conforme au droit applicable en matière de protection des données, notamment aux principes de nécessité, de proportionnalité et de limitation de la finalité.

• Une obligation édictée par l’Union européenne ou un État membre
  • Il importe de souligner que l’obligation légale dont se prévaut le responsable du traitement doit se rapporter aux lois de l’Union européenne ou d’un État membre.
  • Les obligations imposées par les lois de pays tiers (comme, par exemple, l’obligation de mettre en place des mécanismes de dénonciation des dysfonctionnements, instaurée en 2002 par la loi Sarbanes-Oxley aux États-Unis) ne relèvent pas de ce motif.
  • La raison en est claire : admettre qu’une obligation édictée par un État tiers fonde un traitement reviendrait à laisser des ordres juridiques étrangers commander la licéité de traitements opérés dans l’Union, au mépris de la souveraineté normative que le règlement entend précisément préserver.

• Une obligation à laquelle le responsable du traitement ne peut pas déroger
  • Le responsable du traitement ne doit pas avoir le choix de se conformer ou non à l’obligation.
  • Les engagements volontaires unilatéraux et les partenariats public-privé qui supposent le traitement de données au-delà de ce qui est requis par la loi n’entrent donc pas dans le champ d’application de l’article 7, point 1° de la LIL.
  • Par exemple, si un fournisseur de services internet décide – sans y être contraint par une obligation légale claire et précise – de surveiller ses utilisateurs afin de lutter contre le téléchargement illégal, l’article 7, 1°, ne pourra pas être invoqué comme fondement juridique approprié à cet effet.

• Une obligation suffisamment claire et précise
  • L’obligation légale elle-même doit être suffisamment claire à propos du traitement de données à caractère personnel qu’elle requiert.
  • En conséquence, l’article 7, point 1°, s’applique sur la base de dispositions juridiques mentionnant explicitement la nature et l’objet du traitement.
  • Le responsable du traitement ne doit pas avoir de marge d’appréciation injustifiée quant à la façon de se conformer à l’obligation légale.

II) La sauvegarde de la vie de la personne concernée

Pour que ce fondement juridique puisse servir de base à un traitement de données à caractère personnel, il est nécessaire que le responsable du traitement justifie de la nécessité de protéger un intérêt essentiel à la vie de la personne concernée ou à celle d’une autre personne physique.

Le traitement de données à caractère personnel fondé sur l’intérêt vital d’une autre personne physique ne devrait en principe avoir lieu que lorsque le traitement ne peut manifestement pas être fondé sur une autre base juridique. Ce fondement présente, en ce sens, un caractère résiduel : il n’a vocation à jouer que là où les autres bases — et singulièrement le consentement — font défaut ou se révèlent impossibles à mobiliser.

Selon le Groupe de l’article 29, l’expression « intérêt vital » semble limiter l’application de ce motif à des questions de vie ou de mort, ou, à tout le moins, à des menaces qui comportent un risque de blessure ou une autre atteinte à la santé de la personne concernée.

A cet égard, le considérant 31 de la Directive du 24 octobre 1995 confirme que l’objectif de ce fondement juridique est de « protéger un intérêt essentiel à la vie de la personne concernée ».

Ni la directive, ni le RGPD ne précise, néanmoins, si la menace doit être immédiate. Ce silence, n’est pas sans soulever des questions quant à la portée de la collecte de données, par exemple, à titre de mesure préventive ou à grande échelle, comme la collecte des données relatives aux passagers transportés par une compagnie aérienne en cas de risque d’épidémie ou d’incident de sûreté.

Le groupe de l’article 29 considère qu’il convient de donner une interprétation restrictive à cette disposition. Bien que l’article 7, 2° de la LIL, ne limite pas expressément l’utilisation de ce motif à des situations où le consentement ne peut servir de fondement juridique, il est raisonnable de supposer que, lorsqu’il est possible et nécessaire de demander un consentement valable, il y a effectivement lieu d’obtenir ce consentement chaque fois que les conditions le permettent.

Cette disposition voit ainsi son application limitée à une analyse au cas par cas et elle ne peut normalement servir à légitimer, ni la collecte massive de données à caractère personnel, ni leur traitement.

III) L’exécution d’une mission de service public

Lorsqu’une personne exécute une mission de service public, l’article 7, 3° de l’autorise à mettre en œuvre un traitement de données à caractère personnel, sans qu’il soit besoin qu’elle recueille, au préalable, le consentement de la personne concernée.

Encore faut-il que la mission confiée au responsable du traitement porte bien sur une mission de service public, ce qui implique qu’elle relève de l’exercice d’une autorité publique conférée en vertu d’un texte légal ou réglementaire. Ce rattachement à un texte n’est pas une simple condition de forme : il garantit que la prérogative invoquée procède bien de la puissance publique, et non d’une initiative privée se parant des atours de l’intérêt général.

Ce fondement juridique couvre deux situations :

• Première situation
  • Il concerne des situations où le responsable du traitement est lui-même investi d’une autorité publique ou d’une mission d’intérêt public (sans nécessairement être lui aussi soumis à une obligation légale de traiter des données) et où le traitement est nécessaire à l’exercice de cette autorité ou de cette mission.
  • Par exemple, une administration fiscale peut collecter et traiter la déclaration de revenus d’une personne afin d’établir et de vérifier le montant de l’impôt à payer.

• Seconde situation
  • Ce fondement juridique couvre aussi des situations où le responsable du traitement n’est pas investi d’une autorité publique, mais est invité à communiquer des données à un tiers investi d’une telle autorité.
  • Par exemple, un agent d’un service public compétent pour enquêter sur un crime peut demander au responsable du traitement sa coopération dans le cadre d’une enquête en cours, plutôt que de lui ordonner de se soumettre à une demande de coopération spécifique.

La distinction entre ces deux situations mérite d’être soulignée : dans la première, l’autorité publique est incarnée par le responsable du traitement lui-même ; dans la seconde, elle lui est extérieure, le responsable n’étant qu’un relais qui prête son concours à l’autorité requérante. Dans les deux cas, c’est la nécessité du traitement au regard de la mission qui en commande la licéité.

En toute hypothèse, pour être licite, il faut que le traitement soit « nécessaire à l’exécution d’une mission de service public », ou encore que le responsable du traitement ou le tiers auquel il communique les données soit investi d’une autorité publique et que le traitement des données soit nécessaire à l’exercice de cette autorité.

Si, toutefois, le traitement suppose une ingérence dans la vie privée ou si le droit national l’exige par ailleurs afin de garantir la protection des personnes concernées, la base juridique encadrant le genre de traitement de données qui peut être autorisé devra être suffisamment précise et spécifique.

L’article 7, 3°, a potentiellement un champ d’application très large, ce qui plaide en faveur d’une interprétation stricte et d’une définition précise, au cas par cas, de l’intérêt public en jeu et de l’autorité publique justifiant le traitement.

IV) L’exécution, d’un contrat ou de mesures précontractuelles

L’article 7, 4° prévoit que le consentement de la personne concernée n’est pas requis lorsque le traitement de données à caractère personnel procède de l’exécution :

• Soit d’un contrat auquel la personne concernée est partie
• Soit de mesures précontractuelles prises à la demande de celle-ci

La justification de ce fondement est intuitive : lorsqu’une personne s’engage contractuellement, elle accepte par là même les traitements de données sans lesquels le contrat ne pourrait être exécuté. Exiger, par surcroît, un consentement distinct au traitement reviendrait à dédoubler artificiellement une volonté déjà exprimée par la conclusion du contrat. Encore faut-il, et c’est le tempérament essentiel, que le traitement soit réellement nécessaire à cette exécution — la notion de nécessité constituant le pivot de tout ce fondement.

A) Sur l’exécution d’un contrat

Le fondement juridique de l’article 7, 4° vise d’abord les situations dans lesquelles le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie.

Pour exemple :

• Il couvre, par exemple, la collecte de données à caractère personnel dans le cadre des formulaires bancaires que doit remplir la personne demandant l’ouverture d’un compte.
• Il peut encore s’agir du traitement de son adresse pour que des produits achetés en ligne puissent être livrés, ou du traitement des informations figurant sur une carte de crédit afin d’effectuer une transaction.
• Dans le contexte des relations de travail, ce motif peut autoriser, par exemple, le traitement des informations relatives aux salaires et des coordonnées de comptes bancaires pour que les salariés puissent être payés.

Comme le relève le Groupe de l’article 29, ce fondement juridique doit être interprétée de façon restrictive et ne couvre pas les situations dans lesquelles le traitement n’est pas véritablement nécessaire à l’exécution d’un contrat, mais plutôt imposé unilatéralement à la personne concernée par le responsable du traitement.

Le fait qu’un certain traitement de données soit couvert par un contrat ne signifie pas non plus automatiquement que le traitement soit nécessaire à son exécution.

Par exemple, l’article 7, 4° de la LIL ne peut pas servir de fondement juridique pour établir un profil des goûts et du mode de vie de l’utilisateur à partir de son historique de navigation sur un site internet et des articles achetés.

En effet, le responsable du traitement des données n’a pas été chargé, dans le contrat, d’établir un profil mais de fournir des produits et des services, par exemple.

Même si ces activités de traitement sont expressément mentionnées en petits caractères dans le contrat, elles n’en deviennent pas pour autant « nécessaires » à l’exécution de ce dernier. La nécessité s’apprécie objectivement, au regard de la finalité réelle du contrat, et non subjectivement, au gré des stipulations que le responsable aurait unilatéralement glissées dans ses conditions générales.

Il existe donc ici un lien évident entre l’appréciation de la nécessité et le respect du principe de limitation de la finalité. L’un et l’autre concourent à empêcher que le contrat ne serve de paravent à des traitements qui lui sont étrangers.

Il importe de déterminer la raison d’être exacte du contrat, c’est-à-dire sa substance et son objectif fondamental, car c’est ce qui permettra de vérifier si le traitement des données est nécessaire à l’exécution du contrat.

B) Sur l’exécution de mesures précontractuelles

Le recueil du consentement préalable de la personne concernée n’est pas non plus requis en cas d’exécution de mesures précontractuelles, soit celles prises avant la conclusion du contrat.

Il peut donc s’appliquer aux relations précontractuelles, pour autant que les démarches soient accomplies à la demande de la personne concernée, plutôt qu’à l’initiative du responsable du traitement ou d’un tiers. Cette exigence d’une initiative émanant de la personne concernée constitue le critère cardinal : elle trace la ligne de partage entre la mesure précontractuelle, qui répond à une sollicitation de l’intéressé, et la démarche de prospection, qui procède de l’initiative du responsable.

Par exemple, si une personne demande à un détaillant de lui faire une offre de prix pour un produit, le traitement de données effectué à cette fin, tel que la conservation, pour une durée limitée, de l’adresse et des informations à propos de ce qui est demandé, pourra s’appuyer sur ce fondement juridique.

De même, si quelqu’un demande un devis à un assureur pour sa voiture, l’assureur est en droit de traiter les données nécessaires, par exemple, la marque et l’âge de la voiture, ainsi que d’autres données pertinentes et proportionnées, afin d’établir le devis.

En revanche, des vérifications détaillées comme, par exemple, le traitement de données d’examens médicaux par une compagnie d’assurances avant de proposer une assurance maladie ou une assurance vie ne seraient pas considérées comme une étape nécessaire accomplie à la demande de la personne concernée. La sollicitation d’un devis n’emporte pas, en effet, demande de traiter des données aussi sensibles : la nécessité s’apprécie à l’aune de la démarche effectivement initiée par la personne, et non de l’ensemble des opérations que le responsable jugerait commode d’accomplir.

Le traitement à des fins de prospection commerciale sur l’initiative du responsable du traitement ne pourra pas non plus s’appuyer sur ce motif — précisément parce qu’il fait défaut la condition d’une démarche entreprise à la demande de la personne concernée.

V) La réalisation d’un intérêt légitime

Au terme de la revue des fondements alternatifs au consentement, il reste à envisager celui dont la plasticité est la plus grande — et, par voie de conséquence, le plus délicat à manier. Là où les autres bases juridiques (exécution d’un contrat, obligation légale, sauvegarde des intérêts vitaux, mission d’intérêt public) reposent sur un critère objectif et aisément vérifiable, l’intérêt légitime suppose, à lui seul, une appréciation casuistique et une pondération de valeurs concurrentes. C’est, en quelque sorte, le fondement « ouvert » du système, celui qui confère au responsable du traitement la marge de manœuvre la plus large, mais aussi celui qui lui fait peser la charge probatoire la plus lourde.

Dernier fondement juridique susceptible de servir de base à la mise en œuvre d’un traitement de données à caractère personnel : la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux de la personne concernée.

Ce fondement juridique, d’une portée exceptionnellement générale, est issu de la directive du 24 octobre 1995. Cette généralité constitue tout à la fois sa force et sa faiblesse : sa force, en ce qu’il permet d’appréhender les situations que le législateur n’avait pu anticiper ; sa faiblesse, en ce qu’il fait courir le risque, faute d’encadrement, de se muer en clause-balai justifiant a posteriori n’importe quel traitement. C’est précisément pour conjurer ce risque que le texte assortit ce fondement — seul de tous — d’une mise en balance obligatoire.

Cette directive ne donnait toutefois aucun critère. Son considérant 30 se bornait à donner des exemples pouvant fonder la licéité de traitements :

• Les activités de gestion courante des entreprises et autres organismes
• La prospection commerciale
• La prospection par une association à but caritatif ou par d’autres associations ou fondations, par exemple à caractère politique

La directive précisait que les traitements devaient, en tout état de cause, être mis en œuvre dans le respect des dispositions visant à permettre aux personnes concernées de s’opposer sans devoir indiquer leurs motifs et sans frais au traitement de données les concernant.

Sans préciser ce que l’on doit entendre par la notion d’« intérêt légitime », le RGPD énonce, dans son considérant 47 que « les intérêts légitimes d’un responsable du traitement, y compris ceux d’un responsable du traitement à qui les données à caractère personnel peuvent être communiquées, ou d’un tiers peuvent constituer une base juridique pour le traitement, à moins que les intérêts ou les libertés et droits fondamentaux de la personne concernée ne prévalent, compte tenu des attentes raisonnables des personnes concernées fondées sur leur relation avec le responsable du traitement ».

Le texte ajoute que l’existence d’un intérêt légitime devrait faire l’objet d’une évaluation attentive, notamment afin de déterminer si une personne concernée peut raisonnablement s’attendre, au moment et dans le cadre de la collecte des données à caractère personnel, à ce que celles-ci fassent l’objet d’un traitement à une fin donnée.

Les intérêts et droits fondamentaux de la personne concernée pourraient, en particulier, prévaloir sur l’intérêt du responsable du traitement lorsque des données à caractère personnel sont traitées dans des circonstances où les personnes concernées ne s’attendent raisonnablement pas à un traitement ultérieur.

Le critère des attentes raisonnables mérite une attention particulière, car il innerve l’ensemble du raisonnement : il fait du point de vue de la personne concernée — et non de la seule volonté du responsable — la mesure de la licéité du traitement.

Bien que le RGPD apporte des précisions sur le fondement de l’intérêt légitime, il ne définit pas la notion, de sorte qu’il y a lieu de se reporter à l’avis émis par le Groupe de l’article 29 en date du 9 avril 2014.

Selon ce Groupe, pour déterminer si un traitement de données à caractère personnel peut être mis en œuvre sur le fondement de l’intérêt légitime poursuivi par le responsable du traitement, il convient de procéder par étapes. Ce raisonnement séquencé — véritable méthode d’examen — se déploie en quatre temps successifs, chacun conditionnant le suivant :

• Première étape — apprécier la légitimité de l’intérêt poursuivi ;
• Deuxième étape — vérifier la nécessité du traitement au regard de cet intérêt ;
• Troisième étape — procéder à la mise en balance de l’intérêt du responsable avec l’intérêt et les droits de la personne concernée ;
• Quatrième étape — porter une appréciation d’ensemble, le cas échéant à la lumière des garanties supplémentaires de nature à faire pencher la balance.

L’ordre de ces étapes n’est pas indifférent : il obéit à une logique d’entonnoir, chaque condition non remplie faisant tomber le fondement sans qu’il soit besoin d’examiner les suivantes.

A) Première étape

Elle consiste à déterminer si l’intérêt poursuivi par le responsable du traitement est légitime.

Il convient, tout d’abord, de noter que la notion d’intérêt légitime doit être distinguée de la notion de finalité. Cette distinction, en apparence subtile, commande pourtant toute l’analyse : la finalité répond à la question « pour quoi faire ? », tandis que l’intérêt répond à la question « pour quel bénéfice ? ».

• La finalité est la raison spécifique pour laquelle les données sont traitées : le but de leur traitement
• L’intérêt, quant à lui, est l’enjeu plus large poursuivi par le responsable du traitement, ou le bénéfice qu’il tire – ou que la société pourrait tirer – du traitement.

La question qui alors se pose est de savoir ce qui rend un intérêt légitime ou illégitime. Il s’agit, autrement dit, de déterminer le seuil de ce qui constitue un intérêt légitime.

Pour le Groupe de l’article 29, un intérêt peut être considéré comme légitime dès lors que le responsable du traitement est en mesure de poursuivre cet intérêt dans le respect de la législation sur la protection des données et d’autres législations.

Autrement dit, un intérêt légitime doit être « acceptable au regard du droit ».

Aussi, un « intérêt légitime » doit donc :

• Être licite (c’est-à-dire conforme au droit en vigueur dans l’Union et dans le pays concerné)
• Être formulé en termes suffisamment clairs pour permettre l’application du critère de mise en balance avec l’intérêt et les droits fondamentaux de la personne concernée (c’est-à-dire suffisamment précis)
• Constituer un intérêt réel et présent (c’est-à-dire non hypothétique)

Ces trois exigences sont cumulatives. La première écarte du débat tout intérêt qui, fût-il économiquement rationnel, contreviendrait à une règle de droit : on ne saurait fonder un traitement sur un intérêt illicite. La deuxième impose au responsable de formuler son intérêt en des termes assez précis pour qu’une pondération soit matériellement possible — un intérêt énoncé en termes vagues (« améliorer nos services ») se dérobant, par son indétermination même, à tout contrôle. La troisième, enfin, exige que l’intérêt soit actuel et tangible, et non spéculatif : un avantage purement éventuel, qui ne se réaliserait que dans un futur incertain, ne saurait justifier dès à présent une atteinte à la vie privée.

Le fait que le responsable du traitement poursuive un tel intérêt légitime en traitant certaines données ne signifie pas qu’il puisse nécessairement invoquer l’article 7, 5°, comme fondement juridique justifiant le traitement.

La légitimité de l’intérêt poursuivi n’est qu’un point de départ. La possibilité d’invoquer ce fondement juridique dépend du résultat de la mise en balance entre l’intérêt du responsable du traitement avec l’intérêt ou les droits et libertés fondamentaux de la personne concernée.

À titre d’illustration : des responsables du traitement peuvent avoir un intérêt légitime à connaître les préférences de leurs clients pour être en mesure de mieux personnaliser leurs offres et, en fin de compte, de proposer des produits et des services qui correspondent mieux aux besoins et aux désirs des clients.

Dans cette perspective, l’article 7, 5°, peut constituer un fondement juridique approprié pour certains types d’activités de prospection, en ligne ou hors ligne, pour autant qu’il existe des garanties appropriées, incluant, entre autres, un mécanisme fonctionnel permettant de s’opposer à ce traitement

Cela ne signifie pas pour autant que les responsables du traitement pourraient invoquer l’article 7, 5°, pour surveiller indûment les activités en ligne ou hors ligne de leurs clients, pour compiler d’importants volumes de données à leur propos en provenance de différentes sources, collectées à l’origine dans d’autres contextes et à des fins différentes, et pour créer des profils complexes concernant la personnalité et les préférences des clients, sans les en informer, ni mettre à leur disposition un mécanisme fonctionnel permettant d’exprimer leur opposition, pour ne rien dire de leur consentement éclairé.

Une telle activité de profilage risque de constituer une violation grave de la vie privée du client et, dans ce cas, l’intérêt et les droits de la personne concernée prévaudraient sur l’intérêt poursuivi par le responsable du traitement.

L’on perçoit ici la ligne de partage : la personnalisation attendue, transparente et révocable demeure dans le champ du licite ; le profilage occulte, massif et croisé en sort. Entre l’une et l’autre, la différence n’est pas de nature mais de degré — c’est précisément ce que les étapes suivantes ont pour office de mesurer.

B) Deuxième étape

Il s’agit ici de déterminer si le traitement de données à caractère personnel que le responsable envisage de mettre en œuvre est nécessaire à la réalisation de l’intérêt poursuivi.

La condition de nécessité ne se réduit pas à un simple lien d’utilité entre le traitement et l’intérêt : elle commande de vérifier qu’aucun moyen moins intrusif ne permettrait d’atteindre le même résultat. Le traitement n’est « nécessaire » que s’il constitue la voie la moins attentatoire aux droits de la personne concernée parmi celles qui s’offrent au responsable. Dès lors qu’une mesure alternative — collecte de données moins nombreuses, recours à des données anonymisées, durée de conservation plus brève — suffirait à servir l’intérêt poursuivi, le traitement initialement envisagé cesse d’être nécessaire. Cette exigence rejoint, du reste, le principe cardinal de minimisation des données, qui veut que seules soient traitées les données adéquates, pertinentes et limitées à ce qui est strictement utile au regard des finalités.

Cette exigence a notamment été rappelée par la CJUE dans un arrêt du 13 mai 2014 aux termes duquel elle a considéré que l’article 7 de la directive du 24 octobre 1995 (devenu l’article 6 du RGPD), « permet le traitement de données à caractère personnel lorsqu’il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les libertés et les droits fondamentaux de la personne concernée, notamment son droit au respect de sa vie privée à l’égard du traitement des données à caractère personnel » (CJUE, 13 mai 2014, aff. C-131/12).

Lorsque, dès lors, le traitement n’est pas absolument nécessaire à la poursuite de l’intérêt légitime du responsable, le fondement de l’article 6 du RGPD n’est pas applicable. La nécessité opère ainsi comme un filtre intermédiaire : un intérêt parfaitement légitime ne suffit pas si le traitement qu’il commande excède ce qu’exige sa réalisation.

C) Troisième étape

A supposer que le traitement de données à caractère personnel soit nécessaire à la réalisation de l’intérêt légitime du responsable, encore faut-il, pour être licite, que cet intérêt ne porte pas atteinte à l’intérêt et aux droits et libertés fondamentaux de la personne concernée. Aussi, cela implique-t-il d’opérer une mise en balance.

A cet égard, comme le souligne le Groupe de l’article 29, il importe de relever qu’à la différence de l’«intérêt» du responsable du traitement, l’«intérêt» des personnes concernées n’est pas suivi ici de l’adjectif «légitime».

Cette asymétrie rédactionnelle n’est nullement fortuite : elle traduit un choix de politique juridique en faveur de la personne concernée. Tandis que le responsable ne peut faire valoir que des intérêts légitimes, la personne concernée peut, elle, opposer l’ensemble de ses intérêts — fussent-ils dépourvus de qualification juridique particulière, voire moralement discutables.

Cela suppose que la protection de l’intérêt et des droits des individus a une portée plus vaste. Même les personnes qui se livrent à des activités illégales ne devraient pas faire l’objet d’une ingérence disproportionnée dans l’exercice de leurs droits et de leurs intérêts.

Par exemple, un individu qui peut avoir commis un vol dans un supermarché pourrait encore voir son intérêt prévaloir contre la publication par le propriétaire du magasin de sa photo et de son adresse privée sur les murs du supermarché ou et/ou sur l’internet.

En toute hypothèse, il apparaît que l’intérêt légitime poursuivi par le responsable du traitement et les incidences sur l’intérêt et les droits de la personne concernée se présentent sous la forme d’un spectre.

L’intérêt légitime peut être, selon les cas, minime, relativement important ou impérieux.

De même, les incidences sur l’intérêt et les droits des personnes concernées peuvent présenter plus ou moins de gravité et peuvent être anodines ou très préoccupantes.

• L’intérêt légitime poursuivi par le responsable du traitement, quand il est peu important, ne prévaudra généralement sur l’intérêt et les droits des personnes concernées que dans les cas où les incidences sont encore plus insignifiantes.
• D’un autre côté, un intérêt légitime impérieux peut justifier, dans certains cas et sous réserve de garanties et de mesures adéquates, une ingérence même grave dans la vie privée ou d’autres conséquences importantes pour l’intérêt ou les droits des personnes concernées.

La mise en balance n’est donc pas une opération binaire mais une appréciation de proportionnalité graduée : il s’agit de confronter l’intensité de l’intérêt poursuivi à la gravité de l’atteinte subie, étant entendu que plus l’intérêt est ténu, plus l’atteinte tolérée doit être faible, et inversement.

Il importe ici de souligner le rôle essentiel que les garanties peuvent jouer pour réduire les incidences injustifiées sur les personnes concernées et, partant, modifier l’équilibre des droits et des intérêts, au point que ceux de ces personnes ne prévalent plus sur l’intérêt légitime poursuivi par le responsable du traitement des données.

Le recours à des garanties ne suffit bien sûr pas à justifier, à lui seul, n’importe quel traitement dans toutes les situations envisageables.

Il faut en outre que les garanties en question soient adéquates et suffisantes, et qu’elles réduisent indubitablement et sensiblement les incidences sur les personnes concernées. Les garanties ne sont, en d’autres termes, ni une formalité ni une clause de style : elles ne déplacent le curseur de la balance que pour autant qu’elles produisent un effet réel et mesurable sur la situation de la personne concernée.

La mise en balance des intérêts en présence suppose de confronter les deux plateaux de la balance :

1) Sur le premier plateau de la balance

S’agissant du premier plateau de la balance, il convient d’apprécier l’intérêt légitime du responsable du traitement.

S’il est impossible de porter des jugements de valeur à l’égard de toutes les formes d’intérêt légitime envisageables, il est possible de formuler certaines orientations.

Comme indiqué précédemment, cet intérêt peut être insignifiant ou impérieux, manifeste ou plus controversé.

Pour apprécier la teneur de cet intérêt, plusieurs facteurs doivent être pris en compte :

• L’exercice d’un droit fondamental par le responsable du traitement
  • Pour que l’intérêt légitime du responsable du traitement prévale, le traitement des données doit être « nécessaire » et « proportionné » à l’exercice du droit fondamental concerné.
  • À titre d’illustration, selon les circonstances, il peut s’avérer nécessaire et proportionné qu’un journal publie certains éléments incriminants à propos du train de vie d’un haut fonctionnaire impliqué dans un scandale de corruption présumé.
  • Il n’est pas question, néanmoins, de donner aux médias toute latitude de publier sans motif valable n’importe quel détail sur la vie privée des personnalités publiques.

• Intérêt public/intérêt de la collectivité
  • Dans certains cas, le responsable du traitement peut choisir d’invoquer l’intérêt public ou l’intérêt de la collectivité (que ce soit prévu ou non par les lois ou les réglementations nationales).
  • Par exemple, des données à caractère personnel peuvent être traitées par une association caritative aux fins de la recherche médicale, ou par une organisation sans but lucratif dans le cadre d’une action de mobilisation contre la corruption.
  • Il peut aussi arriver que l’intérêt commercial d’une société privée coïncide dans une certaine mesure avec un intérêt public.
  • Cela peut être le cas, par exemple, pour lutter contre la fraude financière ou l’utilisation abusive de services
  • En général, le fait qu’un responsable du traitement agisse non seulement dans son propre intérêt légitime (commercial, par exemple), mais aussi dans l’intérêt de la collectivité, peut donner plus de « poids » à cet intérêt.

• Autres intérêts légitimes
  • Dans certains cas, le contexte dans lequel un intérêt légitime apparaît peut se rapprocher de ceux où certains autres fondements juridiques peuvent être retenus
  • Par exemple, il se peut qu’une activité de traitement des données ne soit pas strictement nécessaire, mais qu’elle reste néanmoins pertinente pour l’exécution d’un contrat, comme il est possible qu’une loi autorise, le traitement de certaines données, sans pour autant l’exiger.

2) Le second plateau de la balance

L’autre plateau de la balance, à savoir l’incidence du traitement sur l’intérêt ou les droits et libertés fondamentaux de la personne concernée, constitue un critère crucial.

Pour apprécier l’incidence du traitement, il convient de prendre en considération les conséquences aussi bien positives que négatives.

Il peut s’agir notamment de décisions ou de mesures éventuelles qui seront prises ultérieurement par des tiers et de situations où le traitement peut aboutir à l’exclusion de certaines personnes, à une discrimination à leur encontre, à de la diffamation ou, plus généralement, de situations qui comportent un risque de nuire à la réputation, au pouvoir de négociation ou à l’autonomie de la personne concernée.

En plus des conséquences négatives qui peuvent être spécifiquement prévues, il faut aussi tenir compte des répercussions morales, comme l’irritation, la crainte et le désarroi qui peuvent résulter de la perte du contrôle exercé par la personne concernée sur ses informations à caractère personnel, ou de la découverte d’une utilisation abusive ou d’une compromission effective ou potentielle de ces informations – du fait, par exemple, de leur divulgation sur l’internet.

L’effet dissuasif sur un comportement protégé, comme la liberté de recherche ou la liberté d’expression, qui peut résulter d’une surveillance constante ou d’un traçage, doit aussi être dûment pris en considération.

Cette prise en compte des incidences ne se limite donc pas aux préjudices patrimoniaux immédiatement chiffrables : elle embrasse également les atteintes immatérielles — psychologiques, sociales ou réputationnelles — que la seule perte de maîtrise sur ses propres données est susceptible d’engendrer.

Afin d’évaluer l’incidence du traitement de données à caractère personnel sur la personne concernée, le Groupe de l’article 29 préconise de prendre en compte un certain nombre de facteurs :

• La nature des données
  • En général, plus les informations sont sensibles, plus les conséquences qu’elles peuvent avoir pour la personne concernée sont importantes.
  • Cela ne veut pas dire, cependant, qu’il est permis de traiter librement des données qui, en elles-mêmes, peuvent paraître anodines.
  • En effet, selon la façon dont elles sont traitées, même ces données peuvent avoir une incidence importante sur les individus

• La façon dont les données sont traitées
  • L’analyse d’impact au sens large peut consister notamment à examiner si les données ont été publiées ou rendues accessibles par quelque autre moyen à un grand nombre de personnes, ou si des volumes considérables de données à caractère personnel sont traités ou combinés avec d’autres données (par exemple, en cas d’établissement de profils, à des fins commerciales, judiciaires, ou autres).
  • Le traitement à grande échelle de données apparemment anodines et leur combinaison avec d’autres données peuvent parfois permettre des inférences à propos de données plus sensibles.

• Les attentes raisonnables de la personne concernée
  • Les attentes raisonnables de la personne concernée quant à l’utilisation et à la divulgation des données doivent être prises en compte dans la mise en balance.
  • A cet égard, il est important d’examiner si le statut du responsable du traitement des données, la nature de la relation ou du service fourni ou les obligations légales ou contractuelles applicables (ou d’autres engagements pris lors de la collecte) pourraient susciter des attentes raisonnables de confidentialité plus stricte et de limitations plus strictes en cas d’utilisation ultérieure.

• Le statut du responsable du traitement des données et de la personne concernée
  • Le statut de la personne concernée et du responsable du traitement des données est aussi pertinent pour apprécier l’incidence du traitement.
  • Selon que le responsable du traitement des données est un individu ou une petite organisation, une grande multinationale, ou un organisme du secteur public et en fonction des circonstances, le rapport de force avec la personne concernée peut être plus ou moins grand.
  • Une grande multinationale dispose, par exemple, de ressources et d’un pouvoir de négociation considérables vis-à-vis d’une personne concernée, à titre individuel, et elle peut par conséquent être à même d’imposer ce qu’elle considère comme son « intérêt légitime » à la personne concernée, surtout si l’entreprise occupe une position dominante sur le marché.
  • D’un autre côté, le statut de la personne concernée a aussi son importance. Si, en principe, il y a lieu d’appliquer le critère de mise en balance par rapport à un individu moyen, certaines situations spécifiques appellent plutôt une approche au cas par cas : par exemple, il serait pertinent de prendre en considération le fait que la personne concernée est un enfant ou appartient à une catégorie de population plus vulnérable qui requiert une protection spéciale, comme, par exemple, les malades mentaux, les demandeurs d’asile ou les personnes âgées.

Ces quatre facteurs ne s’apprécient pas isolément mais se combinent : c’est de leur conjonction que se déduit l’intensité réelle de l’atteinte. Une donnée anodine, traitée à grande échelle, combinée à d’autres et exploitée par un acteur en position dominante à l’égard d’une personne vulnérable et dans un contexte inattendu, peut emporter une incidence bien supérieure à celle d’une donnée sensible traitée de manière ponctuelle, transparente et conforme aux attentes de l’intéressé.

D) Quatrième étape

Afin de déterminer si le traitement de données à caractère personnel peut être mis en œuvre sur le fondement juridique de l’intérêt légitime du responsable du traitement, c’est l’appréciation générale de la mise en balance qui déterminera si le résultat est acceptable ou non.

Plus l’incidence sur la personne concernée est significative, plus il faudra prêter attention aux garanties qu’il convient de mettre en place.

Après une analyse et un examen attentif de tous les aspects du problème, un bilan provisoire peut être établi : une conclusion préliminaire peut être tirée afin de déterminer si l’intérêt légitime poursuivi par le responsable du traitement prévaut sur les droits et les intérêts des personnes concernées.

Il peut cependant y avoir des cas où le résultat de la mise en balance n’est pas clair et où il subsiste un doute quant à la question de savoir si l’intérêt légitime du responsable du traitement (ou du tiers) prévaut et si le traitement peut se fonder sur l’article 7, 5°.

C’est pourquoi il importe de procéder à une évaluation complémentaire dans le cadre de l’exercice de mise en balance.

À ce stade, le responsable du traitement peut envisager d’introduire d’autres mesures, qui vont au-delà du respect des dispositions horizontales de la directive, afin de contribuer à protéger les personnes concernées.

Les garanties supplémentaires destinées à prévenir toute incidence indue sur les personnes concernées peuvent notamment inclure :

• La minimisation des données (par exemple, une limitation stricte du volume de données collectées, ou la suppression immédiate des données après utilisation)
• Des mesures techniques et organisationnelles garantissant que les données ne peuvent servir à la prise de décisions ou d’autres mesures à l’endroit des individus («séparation fonctionnelle»)
• Un large recours aux techniques d’anonymisation, l’agrégation des données, les technologies renforçant la protection de la vie privée, la prise en compte du respect de la vie privée dès la conception, les analyses d’impact relatives à la vie privée et à la protection des données
• Une transparence accrue, un droit général et inconditionnel de refuser le traitement, la portabilité des données et autres mesures connexes visant à renforcer le pouvoir des personnes concernées.

Il convient enfin de relever que cette appréciation d’ensemble ne saurait demeurer purement intellectuelle. En vertu du principe de responsabilité (accountability) qui irrigue l’ensemble du RGPD, le responsable du traitement doit non seulement procéder à cette mise en balance, mais encore être en mesure de la démontrer à tout instant — au moyen, en pratique, d’une analyse d’intérêt légitime formalisée et documentée. Le fondement de l’intérêt légitime est ainsi le seul qui transfère sur le responsable la charge de prouver, par avance et de manière traçable, la licéité de son traitement. À défaut d’une telle démonstration, l’invocation de ce fondement demeure fragile et expose son auteur à la censure de l’autorité de contrôle.

Lorsque les garanties prises par le responsable du traitement sont insuffisantes, la CNIL n’hésite pas à prononcer des sanctions à son encontre.

Tel avait été le cas dans le cadre d’une délibération rendue le 19 juillet 2012 (CNIL, délib. n°2012-214 du 19 juillet 2012)

• Les faits
  • Il s’agissait d’une société (la FNAC) qui avait pour activité la vente à distance sur catalogue.
  • Elle exploitait, plus précisément, un site de e-commerce
  • Lors du contrôle diligenté par la CNIL dans les locaux de cette société, il a été établi que dans les bases de la société figuraient notamment les données sur les produits commandés ainsi que sur les transactions commerciales effectuées, une table de cette base étant par ailleurs réservée aux coordonnées bancaires des clients.
  • Dans cette table apparaissaient les noms des porteurs des cartes bancaires, leurs numéros et leurs dates d’expiration, qui correspondent à environ 10 millions de cartes bancaires en cours de validité ainsi qu’à un grand nombre de cartes bancaires dont la date de validité est expirée.
  • La finalité de la conservation de ces données, qui permet aux clients de la société de ne pas avoir à les ressaisir lors d’une prochaine commande, consistait donc à leur offrir une prestation de portefeuille électronique.

• Moyens de défense de la FNAC
  • Pour justifier cette pratique, la FNAC soutenait que la conservation de ces coordonnées bancaires dans ses bases était conforme aux conditions posées par les articles 7-4° et 7-5° de la loi du 6 janvier 1978 modifiée, qui prévoient qu’il n’est pas nécessaire de recueillir le consentement des personnes quand le traitement est lié
    • Soit à l’exécution d’un contrat auquel la personne concernée est partie
    • Soit à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux de la personne concernée
  • A cet égard, elle soutenait
    • D’une part, que la conservation des données bancaires était conforme à la finalité annoncée au client
    • D’autre part, que cette prestation faisait pleinement partie du service qui est proposé par l’e-commerçant
    • Enfin, qu’elle a en outre adopté une approche transparente à l’égard des visiteurs sur son site, où la conservation du numéro de carte bancaire et la possibilité de le supprimer sont mentionnés à plusieurs reprises.

• Décision
  • Bien que pertinents, les arguments avancés n’ont pas suffi à emporter la conviction de la CNIL.
  • La Commission rejette notamment l’argument tenant à l’invocation du fondement de l’intérêt légitime poursuivi par la FNAC.
  • Celui-ci consistait, en l’espèce, à faciliter la réalisation d’un ou de plusieurs paiements successifs dans la durée, et par conséquent en l’optimisation des transactions commerciales effectuées sur son site.
  • Si la CNIL ne nie pas l’existence de cet intérêt légitime, elle rappelle, néanmoins, que doit être effectuée une balance entre les intérêts poursuivis par la société et ceux des personnes concernées.
  • A cet égard, la FNAC soutenait que les personnes étaient amplement informées de la conservation de leurs données bancaires ainsi que de la possibilité de les supprimer en se connectant à leur compte client après chaque transaction effectuée sur son site.
  • Pour la Commission, sur ce point, si l’intérêt légitime de la société justifie parfaitement la conservation de données commerciales habituelles (nom, adresse, numéro de téléphone, etc.) en contrepartie d’une information adéquate des personnes, la fourniture d’un service de portefeuille électronique, en revanche, doit être entourée de garanties renforcées.
  • En l’occurrence, compte tenu de la sensibilité toute particulière que revêtent leurs données bancaires pour les personnes concernées, de seules mesures d’information sur la conservation de ces données associées à une faculté d’effacement ex post ne sauraient constituer de telles garanties.
  • Pour la CNIL, c’est bien au titre des garanties minimales qu’il incombait à la FNAC de recueillir le consentement des personnes au stockage de leurs coordonnées bancaires au-delà de la réalisation de la transaction, ce qu’elle n’a pas fait.
  • Elle estime par ailleurs que l’argument tiré d’une meilleure ergonomie du site ne pouvait pas prospérer.

L’enseignement de cette délibération est précieux, en ce qu’il donne corps à la troisième étape du raisonnement. La CNIL ne conteste ni la légitimité de l’intérêt commercial poursuivi, ni même la nécessité de la conservation des données : c’est au stade de la mise en balance que l’argumentation de la société se brise. La sensibilité particulière des coordonnées bancaires faisait pencher si lourdement le second plateau de la balance que seules des garanties renforcées — et non une simple information assortie d’une faculté d’effacement a posteriori — étaient de nature à rétablir l’équilibre. Faute de telles garanties, l’intérêt légitime cédait le pas, et le retour au consentement s’imposait comme l’unique fondement admissible. La leçon est limpide : plus la donnée est sensible, plus l’intérêt légitime se révèle un fondement précaire, dont la légitimité de principe ne dispense jamais de l’épreuve concrète de la pondération.

Au demeurant, l’insuffisance des garanties n’expose pas seulement le responsable du traitement au prononcé de sanctions administratives par l’autorité de contrôle ; elle l’expose tout autant à la réparation des préjudices subis par les personnes concernées. Le RGPD consacre, en effet, un droit à réparation au profit de quiconque a subi un dommage, matériel ou moral, du fait d’un traitement opéré en violation de ses dispositions — le responsable ne pouvant s’exonérer qu’en prouvant que le fait générateur du dommage ne lui est nullement imputable. L’invocation indue de l’intérêt légitime, lorsqu’elle masque en réalité l’absence d’une base juridique valable, engage ainsi pleinement la responsabilité de son auteur, tant à l’égard de l’autorité de régulation qu’à l’égard des intéressés.

Au bilan, il ressort de cette délibération de la CNIL que lorsqu’à l’issue de la mise en balance il apparaît que l’impact du traitement sur la personne concernée s’avère négatif, il appartient au responsable de traitement de mettre en place des garanties appropriées, sinon renforcées, afin de rééquilibrer la balance. Loin de constituer une formalité accessoire, cette exigence opère comme la condition même de licéité du traitement : c’est elle qui permet à l’intérêt légitime — fondement dérogatoire au consentement — de l’emporter sur les droits et libertés de la personne concernée. Tant que le rééquilibrage n’est pas atteint, le déséquilibre subsiste, et avec lui l’illicéité du traitement.

1) La gradation des garanties exigées du responsable de traitement

La logique présidant à cette exigence est résolument proportionnelle. Plus l’impact du traitement sur la personne concernée se révèle pénétrant, plus les garanties attendues doivent être substantielles. On peut, à cet égard, distinguer trois registres de mesures correctrices, dont la combinaison dépend de la gravité de l’atteinte caractérisée.

a) Les garanties de transparence En amont, le responsable de traitement doit assurer à la personne concernée une information claire, accessible et complète sur la nature des données collectées, sur les finalités poursuivies et sur l’existence même du fondement de l’intérêt légitime. La transparence constitue la garantie première : elle restitue à la personne concernée la maîtrise minimale qui lui fait défaut lorsque le traitement repose, non sur son consentement, mais sur l’intérêt du responsable.

b) Les garanties de minimisation À un degré supérieur, le rééquilibrage suppose une réduction du périmètre du traitement : limitation des catégories de données collectées à ce qui est strictement nécessaire, restriction de leur durée de conservation, pseudonymisation, voire anonymisation lorsque la finalité poursuivie s’en accommode. La minimisation agit sur l’assiette même du traitement et, partant, sur l’ampleur de l’atteinte susceptible d’en résulter.

c) Les garanties de contrôle renforcé Lorsque l’atteinte demeure marquée en dépit des mesures précédentes, le responsable doit offrir à la personne concernée des leviers d’opposition effectifs — droit d’opposition facilité, faculté de retrait simplifiée, mécanismes de réexamen — assortis, le cas échéant, de mesures de sécurité spécifiques. C’est à ce stade que se manifestent les garanties dites renforcées, dont la délibération de la CNIL fait la condition ultime de licéité.

2) Le sort du traitement à l’issue d’une balance demeurée négative

Encore convient-il d’envisager l’hypothèse où, en dépit des garanties déployées, la balance demeure défavorable à la personne concernée. Le constat s’impose alors avec rigueur : le traitement ne saurait reposer sur l’intérêt légitime. Le responsable de traitement se trouve placé devant une alternative — renoncer purement et simplement au traitement, ou rechercher un autre fondement de licéité, au premier rang duquel figure le consentement dont l’article entend précisément cerner les tempéraments. Hors ces hypothèses, la persistance du traitement l’expose à un double ordre de conséquences.

a) La réparation du préjudice subi par la personne concernée Toute personne ayant subi un dommage, matériel ou moral, du fait d’une violation du règlement européen sur la protection des données est en droit d’obtenir la réparation intégrale de son préjudice auprès du responsable de traitement. Le caractère intégral de cette réparation interdit toute mutilation de l’indemnisation : le préjudice moral — dont la consistance, en matière de données personnelles, ne se laisse pas aisément quantifier — est réparé au même titre que le préjudice patrimonial, dès lors qu’il est établi.

b) Les sanctions administratives Indépendamment de l’action réparatrice, le traitement illicite expose son auteur aux sanctions prononcées par l’autorité de contrôle, lesquelles peuvent atteindre des montants d’une sévérité considérable, calculés en pourcentage du chiffre d’affaires annuel mondial de l’entreprise. La dissuasion ainsi recherchée confère à l’exigence de garanties appropriées toute sa portée pratique : le rééquilibrage de la balance n’est pas une préconisation, mais une obligation dont la méconnaissance se paie.

Cette dernière proposition, dégagée par la chambre criminelle de la Cour de cassation, éclaire en creux l’économie générale de la matière. Elle confirme que le consentement demeure la pierre angulaire du traitement licite, au point que son expression — fût-elle implicite, lorsqu’elle se déduit de l’assentiment donné à une opération qui en commande nécessairement les suites — suffit à fonder l’exploitation des données. C’est précisément l’absence d’un tel consentement qui contraint le responsable de traitement à se replier sur les fondements dérogatoires, et notamment sur l’intérêt légitime, dont on vient de mesurer combien il demeure suspendu à la condition d’un juste équilibre.

Ainsi se referme le cercle des exceptions au principe du consentement : qu’il s’agisse de l’intérêt légitime, de l’exécution d’un contrat, du respect d’une obligation légale ou de la sauvegarde d’intérêts vitaux, aucun de ces fondements ne dispense le responsable de traitement d’une appréciation concrète, circonstanciée et tracée des incidences du traitement sur la personne concernée. Le consentement, s’il n’est plus la condition exclusive de la licéité, en demeure l’étalon : les exceptions ne valent que dans la mesure où elles assurent à la personne concernée une protection équivalente à celle qu’elle eût retirée d’un consentement libre, spécifique, éclairé et univoque.