RGPD: le principe de finalité

I) Reconnaissance du principe

L’article 6, 2° de la loi informatique et libertés prévoit que les données à caractère personnel « sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités ».

Dans la première version de la loi, le principe de finalité n’avait pas explicitement été érigé au rang de principe, à tout le moins pas directement. Ce principe n’était qu’évoqué en ce que le détournement de la finalité du traitement était sanctionné. Autrement dit, le législateur de 1978 ne consacrait pas la finalité comme une condition positive de licéité ; il se bornait à en réprimer la méconnaissance, par le truchement de l’incrimination du détournement de finalité. La finalité était donc saisie par sa transgression, et non par son exigence — signe qu’elle gouvernait déjà la matière, fût-ce en creux.

En 2004, lors de la transposition – tardive – de la directive du 24 octobre 1995, le législateur s’est saisi de l’occasion pour préciser que les données doivent être collectées « pour des finalités déterminées » et ne peuvent être « traitées ultérieurement de manière incompatible avec ces finalités ». Le principe accède alors au rang de condition autonome de licéité, formulée de manière affirmative.

Ce complément majeur résulte du point b) du paragraphe 1) de l’article 6 de la directive. Il figurait déjà presque dans les mêmes termes dans la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 — premier instrument international contraignant en la matière —, ce qui atteste l’ancienneté et la constance de l’exigence. D’un instrument à l’autre, la formulation demeure remarquablement stable : la généalogie du principe révèle une continuité normative qui en renforce l’autorité.

Le principe de finalité a été réaffirmé par le RGPD qui prévoit en son article 5, 1, b) que « les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités ». Le règlement, en le rangeant parmi les principes relatifs au traitement énoncés dès son article 5 — au même titre que la licéité, la loyauté, la minimisation ou l’exactitude —, en consacre la nature de norme matricielle, dont procèdent les obligations plus spécifiques disséminées dans le texte.

II) Signification du principe

Le principe de finalité est, sans aucun doute, la pierre angulaire de la loi informatique et libertés. Il signifie que, pour être licite, un traitement de données à caractère personnel doit être assorti d’une finalité.

Autrement dit, la collecte de données à caractère personnel ne peut jamais être une fin en soi. Pour être mise en œuvre, elle doit être justifiée par la poursuite d’un but déterminé. On ne peut pas se livrer à une collecte de données « au cas où ». Cette prohibition de la collecte spéculative emporte une conséquence concrète de premier ordre : sont par principe illicites la constitution de bases de données « dormantes », l’accumulation préventive d’informations dans la perspective d’usages futurs indéterminés, ou encore la conservation de données dont la finalité initiale est épuisée. La finalité ne se contente pas de justifier la collecte : elle en délimite, dans l’espace et dans le temps, le domaine légitime.

Lorsqu’il est procédé à un traitement de données, celui-ci doit poursuivre une finalité, laquelle finalité doit être portée à la connaissance de la personne concernée. Ainsi, le principe de finalité est étroitement lié à l’exigence de consentement qui préside au traitement de données à caractère personnel. Pour consentir à un traitement de données, encore faut-il avoir été informé de sa finalité.

Le lien est donc de stricte interdépendance : la finalité est le présupposé du consentement, et le consentement la sanction subjective de la finalité. Là où le but du traitement demeure indéterminé, le consentement est privé de son objet et, partant, dépourvu de validité. C’est précisément pourquoi un consentement « global », recueilli pour des finalités multiples et indistinctes, ne saurait être tenu pour valable : la personne concernée doit pouvoir consentir finalité par finalité.

Le considérant 42 du RGPD énonce en ce sens que « pour que le consentement soit éclairé, la personne concernée devrait connaître au moins l’identité du responsable du traitement et les finalités du traitement auquel sont destinées les données à caractère personnel. Le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d’une véritable liberté de choix ou n’est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice ».

Dans son avis n°03/2013 du 2 avril 2013, le groupe de l’article 29 justifie le principe de finalité en indiquant qu’il répond à trois impératifs :

• Un impératif de transparence
  • La personne dont les données sont collectées doit être informée de la finalité du traitement afin d’être en capacité d’y consentir.
  • Autrement dit, la transparence garantit la prévisibilité et permet ainsi à la personne concernée de contrôler l’usage de ses données.

• Un impératif de prévisibilité
  • Pour le groupe de l’article 29, dès lors que la finalité du traitement est déterminée, les personnes concernées peuvent savoir à quoi s’attendre, en ce sens qu’elles connaissent le traitement dont est susceptible de faire l’objet leurs données ainsi que l’étendue de ce traitement.

• Un impératif de sécurité juridique
  • L’exigence de détermination de la finalité du traitement apporte aux personnes concernées une sécurité juridique dans la mesure où elles sont en mesure de contrôler l’usage de leurs données, notamment en exerçant leurs droits, d’accès, d’opposition, de suppression, de rectification etc.
  • Cette sécurité juridique profite aussi, en retour, au responsable du traitement lui-même : une finalité clairement arrêtée stabilise le cadre de son action, le prémunit contre le grief de détournement et borne l’étendue de sa responsabilité.

Ces trois impératifs ne sont pas juxtaposés ; ils s’ordonnent selon une logique de progression. La transparence est la condition de la prévisibilité, et la prévisibilité, la condition de la sécurité juridique. Privée d’information sur le but du traitement, la personne ne peut anticiper l’usage de ses données ; privée de cette anticipation, elle ne dispose d’aucune assise pour exercer ses droits. La finalité apparaît ainsi comme la clef de voûte de l’ensemble de l’édifice protecteur.

Pratiquement, il ressort de l’article 6 de la LIL que le principe de finalité met à la charge du responsable du traitement, deux séries d’obligations qui interviennent à deux stades bien distincts du traitement :

• A) Au stade de la collecte des données
• B) Au stade du traitement ultérieur des données

Cette articulation en deux temps recoupe la structure même du texte : l’exigence d’une finalité déterminée, explicite et légitime gouverne l’amont — le moment où les données sont recueillies — tandis que l’exigence de compatibilité gouverne l’aval — le moment où ces mêmes données sont réutilisées. Le principe de finalité déploie ainsi son emprise sur tout le cycle de vie de la donnée, de sa naissance à son éventuelle réaffectation.

III) §1 : L’exigence d’une finalité déterminée, explicite et légitime au stade de la collecte des données

Si, pour être licite, une collecte de données à caractère personnel doit être assortie d’une finalité, la satisfaction de cette condition n’est pas suffisante. Encore faut-il que cette finalité présente certaines qualités, faute de quoi elle ne remplirait pas la fonction protectrice qui lui est assignée.

L’article 6 de la LIL exige que la finalité de la collecte soit :

• Déterminée
• Explicite
• Légitime

Ces trois qualités, bien que voisines, ne se recouvrent pas. La détermination intéresse la précision du but ; l’explicitation, sa révélation à la personne concernée ; la légitimité, sa conformité à l’ordre juridique. Une finalité peut être déterminée sans être explicite — si le responsable la garde par-devers lui — ou explicite sans être légitime — si le but révélé heurte une règle de droit. Les trois conditions sont donc cumulatives ; le défaut de l’une suffit à vicier la collecte.

A) Une finalité déterminée

Les données à caractère personnel doivent être collectées à des fins déterminées. Aussi, appartient-il au responsable du traitement de soigneusement analyser, le ou les buts pour lesquels les données seront collectées.

Cette analyse doit se faire en amont de la collecte. À cet égard, le responsable du traitement doit documenter sa démarche et être en mesure de justifier la finalité communiquée à la personne visée. Cette obligation de documentation n’est pas un simple formalisme : elle prolonge le principe de responsabilité (accountability) que consacre l’article 5, 2 du RGPD, en vertu duquel le responsable doit non seulement respecter les principes, mais aussi être en mesure d’en démontrer le respect. La charge de la preuve de la détermination pèse ainsi sur le responsable lui-même.

Il devra notamment veiller à ce que la finalité retenue ne soit pas trop large. Elle doit donc être clairement et précisément identifiée. Plus encore, la finalité doit être suffisamment précise pour que la personne concernée soit en mesure de savoir quelles sont les utilisations incluses et exclues de ses données par le responsable du traitement. La précision de la finalité remplit une double fonction : elle informe la personne concernée et, simultanément, elle borne l’action du responsable, en lui interdisant tout usage qui excéderait le périmètre annoncé.

Le G29 considère, par exemple, qu’une finalité est très vague ou générale lorsqu’elle est présentée comme consistant à « améliorer l’expérience utilisateur » ou qu’elle est exposée sous le terme « finalité marketing » ou encore « finalité sécurité IT ».

Au vrai, le degré de précision de la finalité annoncée dépend du contexte particulier dans lequel les données sont collectées et de la complexité du traitement. L’exigence de détermination s’apprécie donc in concreto : ce qui passe pour suffisamment précis dans un traitement simple peut s’avérer trop vague dans un traitement complexe, susceptible d’affecter de nombreux droits de la personne concernée.

B) Une finalité explicite

En plus d’être déterminée, la finalité du traitement doit être explicite. Elle doit, autrement dit, être clairement révélée et exprimée de façon intelligible.

L’explicitation de la finalité doit intervenir, selon le Groupe de l’article 29, au plus tard, au moment de la collecte des données. Cette exigence temporelle se comprend aisément : une finalité révélée après coup ne permettrait plus à la personne de consentir en connaissance de cause, ni d’opposer un refus utile. L’information doit donc précéder ou accompagner la collecte, jamais lui succéder.

L’objectif de cette exigence est de garantir la bonne compréhension du but poursuivi par le responsable du traitement, lequel ne saurait être imprécis ou ambigu.

La finalité annoncée doit, en somme, être suffisamment explicite pour que la personne concernée comprenne l’intention du responsable du traitement. La détermination et l’explicitation entretiennent ici un rapport de complémentarité : la première intéresse le contenu de la finalité, qui doit être précis ; la seconde, sa formulation, qui doit être accessible. Une finalité pourrait être déterminée dans l’esprit du responsable mais exprimée en termes si techniques ou si obscurs qu’elle en deviendrait inintelligible pour le profane — auquel cas l’exigence d’explicitation ne serait pas satisfaite.

C) Une finalité légitime

Selon le Groupe de l’article 29 pour que la finalité d’un traitement de données soit légitime, il est nécessaire que, à tous les stades et à tout moment, celui-ci repose :

• Soit sur le consentement de la personne concernée
• Soit sur l’un des cas prévus par dérogation à l’exigence de consentement (art. 7 de la LIL)

La légitimité comporte ainsi un premier versant, que l’on pourrait dire interne au droit des données : la finalité doit s’adosser à l’une des bases licites énumérées par les textes — le consentement ou l’un des fondements alternatifs (exécution d’un contrat, obligation légale, sauvegarde des intérêts vitaux, mission d’intérêt public, intérêt légitime du responsable). Hors de ces hypothèses, le traitement est dépourvu de fondement et, partant, illégitime.

L’exigence de légitimité signifie encore que les finalités du traitement soient conformes à la loi. Il peut donc s’agir de respecter une réglementation différente de celle posée par la LIL. La légitimité revêt ici un second versant, externe : la finalité ne doit contrevenir à aucune règle de l’ordre juridique, fût-elle étrangère au droit des données. Une finalité parfaitement déterminée et explicite demeurerait illégitime si le but poursuivi était en lui-même illicite — telle la constitution d’un fichier destiné à une discrimination prohibée.

Pour apprécier la légitimité de la finalité, pourront ainsi être pris en compte, le droit du travail, le droit de la consommation, la jurisprudence, la coutume, la déontologie. L’appréciation de la légitimité dépasse donc le seul énoncé textuel pour embrasser l’ensemble des normes susceptibles de gouverner l’activité du responsable du traitement.

§2 : L’exigence de compatibilité du traitement ultérieur avec la finalité initiale de la collecte des données

Le principe de finalité n’a pas seulement vocation à s’appliquer au stade de la collecte des données à caractère personnel, il doit également être respecté en cas de traitement ultérieur.

Plus précisément, l’article 6 de la LIL pose une exigence de compatibilité entre la finalité de la collecte et celle des traitements futurs. C’est ici que le principe de finalité révèle toute sa portée : il ne suffit pas que le but soit licitement défini au départ ; encore faut-il que les usages postérieurs demeurent dans l’orbite de ce but. La finalité initiale projette ainsi son emprise sur l’avenir du traitement.

Pour écarter le risque d’un usage injustifié, même décalé dans le temps, ce texte pose ainsi un principe d’interdiction de tout traitement ultérieur des données « incompatible avec les finalités pour lesquelles elles ont été collectées ».

Une exception est néanmoins prévue au profit des traitements réalisés à des fins statistiques ou scientifiques ou historiques, sous réserve qu’ils respectent les conditions de licéité. L’article 5, 1, b) in fine du RGPD précise en ce sens que le traitement ultérieur à de telles fins, ainsi qu’à des fins archivistiques dans l’intérêt public, n’est pas, par principe, réputé incompatible avec les finalités initiales — présomption de compatibilité qui n’exonère toutefois pas le responsable du respect des garanties appropriées exigées par l’article 89 du règlement.

D) Le principe

C’est donc l’interdiction de tout traitement ultérieur des données « incompatible avec les finalités pour lesquelles elles ont été collectées ».

On observera que le texte ne prohibe pas tout traitement ultérieur différent, mais seulement le traitement ultérieur incompatible. La nuance est capitale : la réutilisation des données à une fin nouvelle n’est pas en soi proscrite ; elle ne l’est qu’à la condition que cette fin nouvelle entre en contradiction avec la finalité d’origine. Le critère décisif n’est donc pas l’identité des finalités, mais leur compatibilité.

On peut en déduire que le traitement de données à caractère personnel pour d’autres finalités que celles pour lesquelles les données à caractère personnel ont été collectées initialement n’est autorisé que s’il est compatible avec les finalités pour lesquelles les données à caractère personnel ont été collectées initialement.

Dans ce cas, aucune base juridique distincte de celle qui a permis la collecte des données à caractère personnel n’est requise. La compatibilité opère ainsi comme un titre de continuité juridique : le traitement ultérieur compatible se rattache au fondement initial et n’a pas à en chercher un nouveau.

Lorsque, en revanche, le traitement ultérieur est incompatible, il conviendra de fonder le traitement sur un nouveau fondement juridique, ce qui pourrait consister, par exemple, à solliciter le consentement de la personne visée. L’incompatibilité ne condamne donc pas irrémédiablement le traitement projeté ; elle impose seulement de le réancrer sur une base licite autonome.

La question qui immédiatement se pose est alors de savoir ce que l’on doit entendre par la notion de compatibilité du traitement ultérieur avec les finalités initiales de la collecte.

Pour le déterminer, il convient de se reporter au test de compatibilité établi par le Groupe de l’article 29 et aux critères posés par le RGPD.

1) Le test de compatibilité établi par le Groupe de l’article 29

1. a) La méthode

Afin de déterminer si un traitement ultérieur de données est compatible avec la finalité initiale de leur collecte, le Groupe de l’article 29 suggère de procéder à deux sortes d’évaluations :

• Une évaluation formelle
  • Elle consistera à comparer les finalités initialement déclarées par le responsable du traitement dans le cadre de l’information fournie à la personne concernée, à celles poursuivies ultérieurement et vérifier que ces dernières sont couvertes implicitement ou explicitement.
  • Cette première méthode peut sembler, à première vue, des plus objectives et neutres.
  • Toutefois, elle risque d’être trop rigide, en ce qu’elle se limite à une analyse seulement textuelle des finalités poursuivies.

• Une évaluation matérielle
  • Il conviendra ici d’aller au-delà des déclarations officielles pour identifier à la fois les nouvelles finalités et celles initialement poursuivies, en tenant compte de la manière dont elles ont été effectivement comprises par la personne concernée.
  • Cette seconde méthode est, de toute évidence, plus souple et pragmatique que la première, mais aussi plus efficace.
  • Elle permet de s’adapter aux évolutions futures de la finalité du traitement, tout en continuant à protéger efficacement les données à caractère personnel.

Loin de s’exclure, ces deux évaluations se complètent : la première fournit un point de départ objectif — la lettre des finalités déclarées —, que la seconde vient corriger et affiner à la lumière du contexte et des attentes de la personne concernée. La compatibilité ne se laisse donc pas réduire à une simple confrontation de libellés ; elle exige une appréciation substantielle, attentive à la réalité du rapport noué entre le responsable et la personne dont les données sont traitées.

Plusieurs exemples sont fournis par le Groupe de l’article 29 :

i) Exemple 1 : la compatibilité est évidente à première vue

Un client effectue une commande en ligne auprès d’un commerçant en vue de se faire livrer chaque semaine des paniers de légumes bio.

Après avoir collecté, lors de la conclusion du contrat, l’adresse et les coordonnées bancaires du client, ces données sont traitées ultérieurement par le commerçant les semaines suivantes pour les besoins de la livraison et du paiement.

Ici, il ne fait aucun doute que le traitement ultérieur des données est conforme à la finalité de la collecte initiale. La réutilisation s’inscrit dans le prolongement naturel et prévisible du contrat conclu : elle était, sinon expressément stipulée, du moins nécessairement impliquée par l’objet même de la relation.

ii) Exemple 2 : La compatibilité n’est pas évidente et nécessite une analyse plus approfondie

Le commerçant souhaite, dans ce scénario, utiliser l’adresse e-mail du client afin de lui adresser des offres personnalisées et des bons de réductions pour des produits similaires, y compris sa gamme de produits laitiers biologiques.

Il souhaite également communiquer les données du client, dont son nom, adresse électronique, numéro de téléphone et historique des achats à un autre commerçant qui a ouvert une boucherie biologique dans le même quartier.

Dans les deux cas, ici le commerçant ne peut pas considérer que ce traitement ultérieur est compatible avec la finalité initiale de la collecte de données, de sorte que des analyses approfondies devront être menées par le responsable du traitement. La prospection commerciale comme la communication des données à un tiers excèdent l’horizon d’attente du client, qui n’avait consenti qu’à l’exécution d’un contrat de livraison.

Pour le groupe de l’article 29, plus la différence entre la finalité initiale de la collecte et celle du traitement ultérieur est grande, plus le test de compatibilité doit être détaillé, ce qui pourra conduire à adopter des mesures supplémentaires pour compenser le changement de finalité, comme, par exemple, fournir des informations supplémentaires à la personne concernée.

iii) Exemple 3 :

En plus d’acheter un panier de légumes bio le client commande une gamme d’autres produits biologiques sur le site web du commerçant, dont certains à prix réduit.

Le commerçant, sans informer le client, a mis en place une solution logicielle de personnalisation des prix prête à l’emploi, qui – entre autres choses – détecte si le client utilise un ordinateur Apple ou un PC Windows.

Le commerçant offre alors automatiquement des rabais plus importants aux utilisateurs de Windows.

Dans ce cas, le traitement ultérieur des données est clairement incompatible avec la finalité de la collecte initiale.

Si les données sont traitées de telle manière qu’une personne raisonnable trouverait le traitement, non seulement inattendu, mais également inapproprié, il est fort probable que celui-ci puisse être considéré comme incompatible. Le défaut d’information aggrave ici l’incompatibilité : à l’usage imprévisible des données s’ajoute une opacité qui prive le client de toute possibilité de réaction.

Ces trois illustrations, prises ensemble, dessinent une gradation. À l’une des extrémités, la compatibilité évidente, qui dispense de tout examen approfondi ; à l’autre, l’incompatibilité manifeste, qui condamne d’emblée le traitement ; et, entre les deux, la zone grise, qui appelle une analyse circonstanciée au moyen de critères précis.

b) Les critères

Afin d’évaluer la compatibilité d’un traitement ultérieur de données, le Groupe de l’article 29 a posé un certain nombre de critères. Ces critères ne s’appliquent pas isolément ; ils forment un faisceau, dont l’appréciation globale — et non la satisfaction mécanique de chacun pris à part — détermine la compatibilité.

La relation entre les finalités pour lesquelles les données ont été collectées et les finalités du traitement ultérieur

Ce facteur est peut-être le plus évident car l’évaluation de la compatibilité repose, d’abord, sur la relation entre la finalité initiale de la collecte et la finalité du traitement ultérieur.

Ce critère peut couvrir des situations où le traitement ultérieur était déjà plus ou moins compris implicitement dans les finalités initiales, ou supposé comme l’étape logique suivante du traitement selon ces fins.

En tout état de cause, plus la différence entre les finalités de la collecte et celles du traitement ultérieur est grande plus l’évaluation de la compatibilité est problématique.

Afin de procéder à cette évaluation, il sera nécessaire de toujours se reporter au contexte factuel et à la finalité telle qu’elle a été comprise par la personne visée.

Le contexte dans lequel les données ont été collectées et les attentes raisonnables de la personne concernée quant à leur utilisation ultérieure

Ce deuxième critère est axé sur le contexte spécifique dans lequel les données ont été collectées et sur les attentes raisonnables des personnes concernées quant à l’utilisation de leurs données dans ce contexte.

En d’autres termes, la question ici est de savoir à quoi une personne raisonnable, qui se trouverait dans la situation de la personne concernée, s’attendrait s’agissant du traitement ultérieur de ses données. Ce standard objectif — celui de la personne raisonnable placée dans la même situation — emprunte sa logique au droit commun : il substitue à l’appréciation subjective et variable de chaque individu une mesure stable, fondée sur les attentes légitimes que la généralité des personnes pourrait nourrir.

A priori, plus le traitement ultérieur des données est inattendu ou surprenant, plus il est probable qu’il soit considéré comme incompatible.

La nature des données et l’impact du traitement ultérieur sur les personnes concernées

Le groupe de l’article 29 recommande ici de prendre en compte la nature des données collectées.

Au fond, l’idée sous-jacente est que plus les informations en cause sont sensibles, plus la marge de compatibilité est étroite. Les catégories particulières de données — celles qui révèlent l’origine, les opinions, les convictions, l’état de santé ou l’orientation sexuelle — appellent ainsi une vigilance renforcée : à l’égard de telles données, la moindre réaffectation est suspecte, car le risque d’atteinte aux droits fondamentaux y est, par hypothèse, plus aigu.

À cela s’ajoute la prise en compte de l’incidence du traitement ultérieur sur les libertés de la personne concernée. Le critère ne se limite donc pas à la nature des données saisies en elles-mêmes ; il englobe l’effet — actuel ou potentiel — du traitement sur la situation de la personne, qu’il s’agisse d’une discrimination, d’une exclusion, d’une atteinte à la réputation ou d’un préjudice patrimonial.

i) L'existence de garanties appropriées

À ces critères s’ajoute enfin la considération des garanties dont le responsable du traitement entoure la réutilisation des données. La mise en place de mesures techniques propres à atténuer l’incidence du traitement ultérieur — au premier rang desquelles le chiffrement et la pseudonymisation — peut faire pencher l’appréciation en faveur de la compatibilité. La logique est ici de proportionnalité : une garantie qui réduit le risque pesant sur la personne concernée élargit, à due concurrence, la marge de réutilisation licite des données.

ii) Les critères du RGPD

Selon l’article 6, 4 du RGPD, afin de déterminer si le traitement à une autre fin est compatible avec la finalité pour laquelle les données à caractère personnel ont été initialement collectées, le responsable du traitement tient compte, entre autres :

• de l’existence éventuelle d’un lien entre les finalités pour lesquelles les données à caractère personnel ont été collectées et les finalités du traitement ultérieur envisagé;
• du contexte dans lequel les données à caractère personnel ont été collectées, en particulier en ce qui concerne la relation entre les personnes concernées et le responsable du traitement;
• de la nature des données à caractère personnel, en particulier si le traitement porte sur des catégories particulières de données à caractère personnel, en vertu de l’article 9, ou si des données à caractère personnel relatives à des condamnations pénales et à des infractions sont traitées, en vertu de l’article 10;
• des conséquences possibles du traitement ultérieur envisagé pour les personnes concernées;
• de l’existence de garanties appropriées, qui peuvent comprendre le chiffrement ou la pseudonymisation.

De toute évidence, les critères ici énoncés par le RGPD sont directement issus de l’avis formulé par le Groupe de l’article 29. Le législateur européen a ainsi consacré, en les hissant au rang de norme contraignante, des lignes directrices qui n’avaient jusque-là qu’une valeur interprétative. La continuité entre l’avis de 2013 et l’article 6, 4 du règlement témoigne de la maturation du test de compatibilité, passé du statut de recommandation à celui de règle de droit positif.

E) La sanction de la méconnaissance du principe

L’exposé du principe de finalité serait incomplet s’il n’était fait mention des conséquences attachées à sa transgression. Norme cardinale du droit des données, le principe de finalité est assorti d’un dispositif répressif et réparateur à la mesure de son importance.

1) Les sanctions administratives

La méconnaissance des principes énoncés à l’article 5 du RGPD — au nombre desquels figure le principe de finalité — relève de la catégorie la plus sévèrement réprimée. L’article 83, paragraphe 5, du règlement soumet ces violations à des amendes administratives pouvant s’élever jusqu’à 20 000 000 euros ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Le législateur européen a ainsi voulu doter l’autorité de contrôle d’un pouvoir de sanction dont la portée dissuasive fût proportionnée aux enjeux.

L’amende n’est, au demeurant, que l’une des mesures à la disposition de l’autorité de contrôle. Celle-ci peut également prononcer un rappel à l’ordre, enjoindre la mise en conformité du traitement, ou ordonner la limitation, voire l’interdiction définitive de celui-ci — sanction radicale qui peut, à elle seule, anéantir l’intérêt économique de l’opération litigieuse.

2) La réparation du préjudice

À la répression administrative s’ajoute un volet réparateur. Aux termes de l’article 82 du RGPD, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir du responsable du traitement, ou du sous-traitant, la réparation du préjudice subi. La violation du principe de finalité — par exemple le détournement des données à des fins non consenties — peut ainsi ouvrir droit à une action en responsabilité, indépendante de toute sanction prononcée par l’autorité de contrôle. La consécration expresse de la réparation du dommage moral, à côté du dommage matériel, marque la volonté d’appréhender l’atteinte dans toutes ses dimensions, y compris celles qui échappent à l’évaluation patrimoniale.

3) Les sanctions pénales

Enfin, le droit français maintient, en marge du dispositif administratif, un volet pénal hérité de la loi de 1978. Le détournement de la finalité d’un traitement — c’est-à-dire le fait de traiter des données à des fins étrangères à celles qui ont justifié leur collecte — demeure constitutif d’une infraction réprimée par le code pénal. Cette survivance de la répression pénale, à laquelle l’institution du dispositif administratif du RGPD n’a pas mis fin, illustre la gravité que l’ordre juridique attache à la fidélité du traitement à sa finalité : le principe de finalité est tout à la fois une condition de licéité, une norme dont la violation est administrativement sanctionnée, une source de responsabilité civile et, dans ses manifestations les plus caractérisées, le siège d’une incrimination pénale.

F) Les exceptions

Le principe d’interdiction du traitement ultérieur des données incompatible avec les finalités pour lesquelles elles ont été collectées n’est pas absolu. À l’instar de tout principe juridique, il souffre des tempéraments que le législateur européen et national ont jugé nécessaire d’aménager afin de concilier la protection des données à caractère personnel avec d’autres intérêts légitimes — qu’ils relèvent de l’autonomie de la personne concernée ou de la poursuite d’objectifs d’intérêt général. Ces tempéraments sont au nombre de deux : la première exception présente un caractère général ; la seconde, un caractère spécifique.

Avant d’en exposer le régime, il importe de rappeler la portée exacte de la dérogation. Une exception au principe de compatibilité ne saurait s’entendre d’une licence accordée au responsable du traitement de méconnaître, en toute hypothèse, la finalité initialement assignée à la collecte. Elle constitue seulement l’hypothèse dans laquelle l’ordre juridique admet qu’un traitement a priori incompatible puisse néanmoins être conduit, à raison soit de la volonté de la personne concernée, soit d’un impératif supérieur dûment caractérisé. Cette précision commande l’interprétation stricte qui gouverne, classiquement, l’application des textes dérogatoires — exceptio est strictissimae interpretationis.

1. 1) L’exception générale

Il ressort de l’article 6, 4° du RGPD que, en cas d’incompatibilité du traitement ultérieur avec les finalités poursuivies initialement au stade de la collecte, celui-ci est, malgré tout, autorisé dans deux séries d’hypothèses, qui correspondent à deux logiques distinctes : l’une repose sur le consentement de la personne concernée, l’autre sur l’existence d’un fondement normatif protégeant un objectif d’intérêt général.

a) Le consentement de la personne concernée

La première branche de l’exception générale tient au consentement. Lorsque la personne concernée a exprimé son consentement au traitement ultérieur, l’incompatibilité de celui-ci avec la finalité initiale cesse de faire obstacle à sa licéité. La logique sous-jacente est aisément intelligible : la finalité étant édictée dans l’intérêt de la personne dont les données sont traitées, celle-ci peut, par un acte de volonté, en relever le responsable du traitement.

Le caractère spécifique revêt ici une importance particulière. Le consentement doit porter précisément sur la nouvelle finalité envisagée : un assentiment donné au stade de la collecte, pour les seules finalités alors annoncées, ne saurait valoir blanc-seing pour des traitements ultérieurs étrangers à celles-ci. Le responsable du traitement est donc tenu, en pratique, de recueillir un consentement ad hoc, distinct de celui éventuellement obtenu lors de la collecte.

b) Le fondement normatif protégeant un objectif d’intérêt général

La seconde branche de l’exception générale autorise le traitement ultérieur incompatible lorsque celui-ci est fondé sur le droit de l’Union ou le droit d’un État membre qui constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir les objectifs visés à l’article 23, paragraphe 1 du RGPD. Deux observations s’imposent.

En premier lieu, le fondement de la dérogation n’est pas la volonté privée, mais la loi entendue au sens matériel : seule une norme — européenne ou nationale — peut autoriser le responsable du traitement à s’affranchir de l’exigence de compatibilité. En second lieu, cette norme ne suffit pas à elle seule : encore faut-il qu’elle satisfasse à un double test, de nécessité et de proportionnalité, apprécié au regard des exigences d’une société démocratique. La dérogation est ainsi enserrée dans les bornes que le droit européen assigne traditionnellement aux atteintes portées aux droits fondamentaux.

Au nombre des objectifs visés à l’article 23, paragraphe 1 figurent :

• la sécurité nationale;
• la défense nationale;
• la sécurité publique;
• la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces;
• d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, notamment un intérêt économique ou financier important de l’Union ou d’un État membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale;
• la protection de l’indépendance de la justice et des procédures judiciaires;
• la prévention et la détection de manquements à la déontologie des professions réglementées, ainsi que les enquêtes et les poursuites en la matière;
• une mission de contrôle, d’inspection ou de réglementation liée, même occasionnellement, à l’exercice de l’autorité publique, dans les cas visés aux points a) à e) et g);
• la protection de la personne concernée ou des droits et libertés d’autrui;
• l’exécution des demandes de droit civil.

L’examen de cette énumération révèle qu’elle embrasse, pour l’essentiel, les fonctions régaliennes de l’État et les missions d’intérêt général dont la mise en œuvre suppose, par hypothèse, une certaine plasticité dans l’usage des données. La dérogation ne vaut, toutefois, que dans la stricte mesure où elle sert l’un de ces objectifs : elle ne saurait être détournée au profit d’intérêts purement privés du responsable du traitement, lesquels relèvent, le cas échéant, d’autres bases de licéité.

2) L’exception spécifique

Par exception au principe d’interdiction du traitement incompatible, l’article 6 de la loi du 6 janvier 1978 dite « informatique et libertés » pose une exception au bénéfice des traitements ultérieurs de données poursuivant certaines finalités jugées intrinsèquement légitimes. Sont visés les traitements opérés :

• à des fins archivistiques dans l’intérêt public;
• à des fins statistiques;
• à des fins de recherche scientifique;
• à des fins de recherche historique.

Le fondement de cette exception réside dans une présomption de compatibilité : le législateur considère que ces finalités, par leur objet même, ne contredisent pas les finalités initiales de la collecte mais en prolongent, en quelque sorte, l’utilité sociale. Aussi un traitement ultérieur poursuivant l’une de ces fins n’est-il pas réputé incompatible avec les finalités originaires.

Cette présomption n’est, pour autant, ni absolue ni inconditionnelle. Elle ne dispense nullement le responsable du traitement du respect des garanties appropriées exigées par les textes — au premier rang desquelles la minimisation des données et, lorsqu’elle est possible, la pseudonymisation — destinées à prévenir tout détournement de la dérogation au préjudice de la personne concernée.

Selon le Groupe de l’article 29, ce texte ne doit pas être interprété comme instituant une exception générale à l’exigence de compatibilité.

Il ne saurait s’agir d’une règle qui vise à autoriser, en toutes circonstances, le traitement des données à des fins historiques, statistiques ou scientifiques.

Comme dans tout autre cas de traitement ultérieur, toutes les circonstances et tous les facteurs pertinents doivent être pris en compte pour décider quelles garanties peuvent être considérées comme appropriées et suffisantes.

En définitive, l’exception spécifique ne renverse pas la logique du principe de finalité : elle l’aménage. Le responsable du traitement demeure tenu de procéder à l’appréciation circonstanciée que commande, en toute hypothèse, le traitement ultérieur, et de calibrer ses garanties à la mesure du risque encouru par la personne concernée. La dérogation ne joue, en somme, qu’au prix d’un surcroît de précautions — illustration de ce que, en matière de protection des données, l’allègement d’une contrainte se paie toujours du renforcement d’une autre.