Article 6 RGPD - Licéité du traitement

1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie:

a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques;

b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci;

c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis;

d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique;

e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement;

f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.

Le point f) du premier alinéa ne s’applique pas au traitement effectué par les autorités publiques dans l’exécution de leurs missions.

2. Les États membres peuvent maintenir ou introduire des dispositions plus spécifiques pour adapter l’application des règles du présent règlement pour ce qui est du traitement dans le but de respecter le paragraphe 1, points c) et e), en déterminant plus précisément les exigences spécifiques applicables au traitement ainsi que d’autres mesures visant à garantir un traitement licite et loyal, y compris dans d’autres situations particulières de traitement comme le prévoit le chapitre IX.

3. Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par:

a) le droit de l’Union; ou

b) le droit de l’État membre auquel le responsable du traitement est soumis.

Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l’application des règles du présent règlement, entre autres: les conditions générales régissant la licéité du traitement par le responsable du traitement; les types de données qui font l’objet du traitement; les personnes concernées; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l’être; la limitation des finalités; les durées de conservation; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d’autres situations particulières de traitement comme le prévoit le chapitre IX. Le droit de l’Union ou le droit des États membres répond à un objectif d’intérêt public et est proportionné à l’objectif légitime poursuivi.

4. Lorsque le traitement à une fin autre que celle pour laquelle les données ont été collectées n’est pas fondé sur le consentement de la personne concernée ou sur le droit de l’Union ou le droit d’un État membre qui constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir les objectifs visés à l’article 23, paragraphe 1, le responsable du traitement, afin de déterminer si le traitement à une autre fin est compatible avec la finalité pour laquelle les données à caractère personnel ont été initialement collectées, tient compte, entre autres:

a) de l’existence éventuelle d’un lien entre les finalités pour lesquelles les données à caractère personnel ont été collectées et les finalités du traitement ultérieur envisagé;

b) du contexte dans lequel les données à caractère personnel ont été collectées, en particulier en ce qui concerne la relation entre les personnes concernées et le responsable du traitement;

c) de la nature des données à caractère personnel, en particulier si le traitement porte sur des catégories particulières de données à caractère personnel, en vertu de l’article 9, ou si des données à caractère personnel relatives à des condamnations pénales et à des infractions sont traitées, en vertu de l’article 10;

d) des conséquences possibles du traitement ultérieur envisagé pour les personnes concernées;

e) de l’existence de garanties appropriées, qui peuvent comprendre le chiffrement ou la pseudonymisation.

Considérants pertinents

Foire aux questions

Réponses brèves aux questions fréquentes sur cette disposition. Elles constituent une information générale et non un conseil juridique.

En vertu du paragraphe 1, le traitement n’est licite que si, et dans la mesure où, l’une au moins de six conditions est remplie, à savoir le consentement, la nécessité pour l’exécution d’un contrat auquel la personne concernée est partie, le respect d’une obligation légale, la sauvegarde des intérêts vitaux, l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, ou des intérêts légitimes sur lesquels ne prévalent pas les intérêts ou les libertés et droits fondamentaux de la personne concernée. Les mots dans la mesure où indiquent que chaque finalité de traitement doit être rattachée à une base juridique.

Non, pas dans l’exécution de leurs missions. Le paragraphe 1, deuxième alinéa, écarte le point f) pour le traitement effectué par les autorités publiques dans l’exécution de leurs missions, la raison en étant qu’il appartient au législateur de fournir leur base juridique, typiquement au titre des points c) ou e) lus en combinaison avec le paragraphe 3.

Le traitement doit être nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, et sur ces intérêts ne doivent pas prévaloir les intérêts ou les libertés et droits fondamentaux de la personne concernée, avec un poids particulier lorsque la personne concernée est un enfant. Le considérant 47 cite la prospection commerciale comme exemple d’intérêt légitime possible, et le recours au point f) ouvre à la personne concernée le droit d’opposition prévu à l’article 21, paragraphe 1.

Le paragraphe 3 exige que le fondement du traitement visé au paragraphe 1, points c) et e), soit défini par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis, et que ce droit réponde à un objectif d’intérêt public et soit proportionné à l’objectif légitime poursuivi. Le paragraphe 2 permet en outre aux États membres de maintenir ou d’introduire des dispositions plus spécifiques adaptant le règlement pour ces deux fondements.

Lorsque le traitement ultérieur n’est pas fondé sur le consentement de la personne concernée ni sur un droit de l’Union ou d’un État membre garantissant les objectifs visés à l’article 23, paragraphe 1, le paragraphe 4 impose au responsable du traitement d’apprécier la compatibilité avec la finalité initiale. L’appréciation tient compte, entre autres, du lien entre les finalités, du contexte de la collecte, de la nature des données, en particulier s’il s’agit de catégories particulières de données au titre de l’article 9 ou de données visées à l’article 10, des conséquences possibles pour les personnes concernées, et de l’existence de garanties telles que le chiffrement ou la pseudonymisation.