Traitement des données pour intérêt légitime, quand et comment ? l’EDPB publie ses lignes directrices.

L’EDPB (ou « Comité Européen de la Protection des Données ») a publié début octobre sur son site ses lignes directrices sur les critères licites du traitement des données à caractère personnel pour « intérêt légitime » selon l’article 6(1)(f) du Règlement Général sur la Protection des Données (RGPD). Explications pratiques.

Contexte

L’article 6(1)(f) de ce règlement fait partie des six bases légales possibles pour le traitement licite des données à caractère personnel, dont trois critères cumulatifs doivent être respectés :

• la poursuite d’un intérêt légitime;
• la nécessité de traiter des données personnelles pour l’intérêt légitime énoncé;
• l’intérêt ou les libertés et droits fondamentaux des personnes concernées ne doivent pas prévaloir sur les intérêts légitimes du contrôleur ou du tierce partie en question.

Dans ses lignes directrices, l’EDPB propose des critères d’évaluation et une approche au cas par cas avec une série d’exemples concrets comme dans le domaine du marketing, la fraude et le traitement des données de personnes mineures. Les conseils de l’EDPB portent également sur l’impact et les conséquences possibles du traitement des données sur les personnes concernées, ainsi que la mise en application de l’article 6(1)(f) par rapport aux autres droits fondamentaux sur la vie privée, tel que le droit de rectification, le droit d’accès ou d’oubli.

L’Autorité de protection des données a à de nombreuses reprises dans le cas de litiges dû évaluer la possibilité ou non pour une organisation de recourir à l’ « intérêt légitime » comme base légale pour un traitement de données. Ce fut par exemple le cas dans la décision 169/2023 de la Chambre Contentieuse sur le droit d’être effacé du registre de baptêmes d’une église.

Autres documents

Le 8 octobre, l’EDPB a également publié plusieurs autres documents intéressants, dont un avis sur certaines obligations des responsables du traitement qui ont recours à des sous-traitants. La liste de ces documents est disponible dans le communiqué de presse de l’EDPB.