{"id":1582,"date":"2023-10-10T08:59:21","date_gmt":"2023-10-10T08:59:21","guid":{"rendered":"https:\/\/www.murielle-cahen.com\/a\/?p=1582"},"modified":"2023-10-31T10:35:36","modified_gmt":"2023-10-31T10:35:36","slug":"quest-ce-quun-traitement-illicite-de-donnees","status":"publish","type":"post","link":"https:\/\/www.murielle-cahen.com\/a\/quest-ce-quun-traitement-illicite-de-donnees\/","title":{"rendered":"Qu\u2019est-ce qu\u2019un traitement \u00ab illicite \u00bb de donn\u00e9es ?"},"content":{"rendered":"

Aujourd\u2019hui les donn\u00e9es \u00e0 caract\u00e8re personnel sont particuli\u00e8rement pr\u00e9sentes sur internet. La donn\u00e9e \u00e0 d\u00e9sormais une valeur importante pour les entreprises. Ces derni\u00e8res les r\u00e9coltent pour pouvoir conna\u00eetre davantage leur client. <\/strong><\/p>\n

Pour faire supprimer un contenu qui bafoue vos droits, utilisez le service mis en place par le cabinet Murielle-Isabelle CAHEN.<\/span><\/span><\/strong><\/a><\/p>\n

Les services propos\u00e9s sur internet sont majoritairement gratuits. Cela n\u2019est pas r\u00e9ellement gratuit, en \u00e9change, les clients ou les internautes fournissent leurs donn\u00e9es personnelles. Il est n\u00e9cessaire de prot\u00e9ger ces derni\u00e8res.<\/p>\n

L\u2019importance des donn\u00e9es personnelles<\/a> ne fait qu\u2019augmenter avec l\u2019\u00e9volution des nouvelles technologies. L\u2019enjeu de leur protection est crucial pour garantir la vie priv\u00e9e des personnes concern\u00e9es.<\/p>\n

\n

Besoin de l’aide d’un avocat pour un probl\u00e8me de contrefa\u00e7on ?<\/span><\/p>\n

T\u00e9l\u00e9phonez – nous au : 01 43 37 75 63<\/span><\/p>\n

ou contactez – nous en cliquant sur le lien<\/a><\/span><\/p>\n

\n

Le l\u00e9gislateur a donc d\u00fb intervenir. Le texte fondamental sur la protection des donn\u00e9es en France est la loi dite \u00ab\u2009Informatique et Libert\u00e9s\u2009\u00bb adopt\u00e9e en 1978. Cette loi est intervenue suite \u00e0 un projet du minist\u00e8re de l\u2019Int\u00e9rieur. Le projet SAFARI mena\u00e7ait de cr\u00e9er un fichier contenant toutes les donn\u00e9es des citoyens fran\u00e7ais. Ce projet n\u2019a donc pas vu le jour en raison de la loi informatique et libert\u00e9.<\/p>\n

Depuis, cette loi a subi de nombreuses modifications. la loi s\u2019attache d\u00e9sormais \u00e0 prot\u00e9ger chaque donn\u00e9e, contenue ou non dans un fichier. En effet, des acteurs priv\u00e9s ont d\u00e9sormais la possibilit\u00e9 de collecter des donn\u00e9es de mani\u00e8re massive et sophistiqu\u00e9e.<\/p>\n

En 2016, le r\u00e8glement europ\u00e9en sur la protection des donn\u00e9es a \u00e9t\u00e9 adopt\u00e9.\u00a0 Le r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es personnelles (RGPD) est entr\u00e9 en application le 25 mai 2018. Ce r\u00e8glement est venu modifier la loi \u00ab\u2009informatique et libert\u00e9s\u2009\u00bb en 2019.<\/p>\n

L\u2019article\u00a04.1 du RGPD d\u00e9finit les \u00abdonn\u00e9es \u00e0 caract\u00e8re personnel\u00bb comme toute information se rapportant \u00e0 une personne physique identifi\u00e9e ou identifiable (ci-apr\u00e8s d\u00e9nomm\u00e9e \u00abpersonne concern\u00e9e\u00bb) ; est r\u00e9put\u00e9e \u00eatre une \u00abpersonne physique identifiable\u00bb une personne physique qui peut \u00eatre identifi\u00e9e, directement ou indirectement, notamment par r\u00e9f\u00e9rence \u00e0 un identifiant, tel qu’un nom, un num\u00e9ro d’identification, des donn\u00e9es de localisation, un identifiant en ligne, ou \u00e0 un ou plusieurs \u00e9l\u00e9ments sp\u00e9cifiques propres \u00e0 son identit\u00e9 physique, physiologique, g\u00e9n\u00e9tique, psychique, \u00e9conomique, culturelle ou sociale.<\/p>\n

De plus, l\u2019article\u00a06 de la loi informatique et libert\u00e9 pr\u00e9voit une liste des donn\u00e9es dites sensibles.<\/a><\/p>\n

Le traitement de ces derni\u00e8res est par principe interdit, en effet \u00ab\u2009Il est interdit de traiter des donn\u00e9es \u00e0 caract\u00e8re personnel qui r\u00e9v\u00e8lent la pr\u00e9tendue origine raciale ou l\u2019origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l\u2019appartenance syndicale d\u2019une personne physique ou de traiter des donn\u00e9es g\u00e9n\u00e9tiques, des donn\u00e9es biom\u00e9triques aux fins d\u2019identifier une personne physique de mani\u00e8re unique, des donn\u00e9es concernant la sant\u00e9 ou des donn\u00e9es concernant la vie sexuelle ou l\u2019orientation sexuelle d\u2019une personne physique.\u2009\u00bb<\/p>\n

Quant au \u00ab\u00a0traitement\u00a0\u00bb, il s\u2019agit de toute op\u00e9ration ou tout ensemble d’op\u00e9rations effectu\u00e9es ou non \u00e0 l’aide de proc\u00e9d\u00e9s automatis\u00e9s et appliqu\u00e9s \u00e0 des donn\u00e9es ou des ensembles de donn\u00e9es \u00e0 caract\u00e8re personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise \u00e0 disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.<\/p>\n

Revenons \u00e0 notre interrogation de l\u2019article intitul\u00e9 \u00ab\u00a0qu\u2019est-ce que un traitement illicite\u00a0\u00bb.<\/p>\n

Le 7 mai 2019, un demandeur d\u2019asile a d\u00e9pos\u00e9 une demande de protection internationale aupr\u00e8s de l\u2019Office f\u00e9d\u00e9ral allemand. (1)<\/p>\n

Sa demande a \u00e9t\u00e9 rejet\u00e9e en se basant sur les informations contenues dans le dossier \u00e9lectronique \u00ab MARIS \u00bb. Ce dossier, compil\u00e9 par l\u2019Office f\u00e9d\u00e9ral, contient des donn\u00e9es personnelles relatives aux demandeurs, telles que leur identit\u00e9, leurs ant\u00e9c\u00e9dents et les motifs de leur demande de protection.<\/p>\n

Suite \u00e0 ce rejet, le demandeur a d\u00e9cid\u00e9 de contester la d\u00e9cision devant le tribunal administratif de Wiesbaden, en Allemagne. Dans le cadre de cette proc\u00e9dure, le dossier \u00e9lectronique \u00ab MARIS \u00bb a \u00e9t\u00e9 transmis au tribunal.<\/p>\n

Cependant, la l\u00e9galit\u00e9 de cette transmission a \u00e9t\u00e9 remise en question par le tribunal, car l\u2019Office f\u00e9d\u00e9ral n\u2019a pas \u00e9t\u00e9 en mesure de prouver qu\u2019il respectait les obligations pr\u00e9vues par le RGPD, notamment en ce qui concerne :<\/p>\n

(1) la tenue d\u2019un registre des activit\u00e9s de traitement (art. 30 RGPD) et<\/p>\n

(2) l\u2019\u00e9tablissement d\u2019un accord pour une responsabilit\u00e9 conjointe (art.26 RGPD).<\/p>\n

Le tribunal s\u2019interroge au premier chef sur les cons\u00e9quences de ces potentielles violations : le traitement en devient-il illicite au sens de l\u2019article\u00a017 d) RGPD, entra\u00eenant d\u00e8s lors l\u2019effacement des donn\u00e9es ?<\/p>\n

Avant de nous prononcer sur la l\u2019illic\u00e9it\u00e9 d\u2019un traitement de donn\u00e9es personnelles (II), examinons la question de la lic\u00e9it\u00e9 du traitement (I).<\/p>\n

I. La lic\u00e9it\u00e9 du traitement des donn\u00e9es personnelles<\/h2>\n

A. La \u00ab base l\u00e9gale \u00bb d\u2019un traitement de donn\u00e9es personnelles ?<\/h3>\n

La base l\u00e9gale d\u2019un traitement est ce qui autorise l\u00e9galement sa mise en \u0153uvre, ce qui donne le droit \u00e0 un organisme de traiter des donn\u00e9es \u00e0 caract\u00e8re personnel. On peut \u00e9galement parler de \u00ab fondement juridique \u00bb ou de \u00ab base juridique \u00bb du traitement. (2)<\/p>\n

Quelles sont les bases l\u00e9gales pr\u00e9vues par le RGPD ?<\/p>\n

Il est permis de traiter des donn\u00e9es personnelles lorsque le traitement repose sur une des 6 bases l\u00e9gales mentionn\u00e9es \u00e0 l\u2019article\u00a06 du RGPD :<\/p>\n

le consentement : la personne a consenti au traitement de ses donn\u00e9es ;<\/p>\n

le contrat : le traitement est n\u00e9cessaire \u00e0 l\u2019ex\u00e9cution ou \u00e0 la pr\u00e9paration d\u2019un contrat avec la personne concern\u00e9e ;<\/p>\n

l\u2019obligation l\u00e9gale : le traitement est impos\u00e9 par des textes l\u00e9gaux ;<\/p>\n

la mission d\u2019int\u00e9r\u00eat public : le traitement est n\u00e9cessaire \u00e0 l\u2019ex\u00e9cution d\u2019une mission d\u2019int\u00e9r\u00eat public ;<\/p>\n

l\u2019int\u00e9r\u00eat l\u00e9gitime : le traitement est n\u00e9cessaire \u00e0 la poursuite d\u2019int\u00e9r\u00eats l\u00e9gitimes de l\u2019organisme qui traite les donn\u00e9es ou d\u2019un tiers, dans le strict respect des droits et int\u00e9r\u00eats des personnes dont les donn\u00e9es sont trait\u00e9es ;<\/p>\n

la sauvegarde des int\u00e9r\u00eats vitaux : le traitement est n\u00e9cessaire \u00e0 la sauvegarde des int\u00e9r\u00eats vitaux de la personne concern\u00e9e, ou d\u2019un tiers.<\/p>\n

Lorsqu\u2019un m\u00eame traitement de donn\u00e9es poursuit plusieurs finalit\u00e9s, c\u2019est-\u00e0-dire plusieurs objectifs, une base l\u00e9gale doit \u00eatre d\u00e9finie pour chacune de ces finalit\u00e9s. En revanche, il n\u2019est pas possible de \u00ab cumuler \u00bb des bases l\u00e9gales pour une m\u00eame finalit\u00e9 : il faut en choisir une seule.<\/p>\n

Exemple : un fichier \u00ab clients et prospects \u00bb d\u2019une entreprise peut poursuivre plusieurs finalit\u00e9s, qui doivent chacune reposer sur une base l\u00e9gale : le contrat pour la gestion des commandes, des livraisons ou du service apr\u00e8s-vente ; l\u2019obligation l\u00e9gale pour la tenue de la comptabilit\u00e9 ; le consentement pour les op\u00e9rations de prospection commerciale par voie \u00e9lectronique ; etc.<\/p>\n

B. Lic\u00e9it\u00e9 et consentement<\/h3>\n

Le consentement est d\u00e9fini comme \u00ab toute manifestation de volont\u00e9, libre, sp\u00e9cifique, \u00e9clair\u00e9e et univoque par laquelle la personne concern\u00e9e accepte, par une d\u00e9claration ou par un acte positif clair, que des donn\u00e9es \u00e0 caract\u00e8re personnel la concernant fassent l’objet d’un traitement \u00bb. (3)<\/p>\n

Le consentement n\u2019est pas un concept nouveau, puisqu\u2019il \u00e9tait d\u00e9j\u00e0 inscrit dans la loi Informatique et Libert\u00e9s. Le RGPD compl\u00e8te n\u00e9anmoins sa d\u00e9finition et pr\u00e9cise cette notion sur certains aspects, afin de permettre aux personnes concern\u00e9es d\u2019exercer un contr\u00f4le r\u00e9el et effectif sur le traitement de leurs donn\u00e9es.<\/p>\n

Le consentement<\/a> est une des 6 bases l\u00e9gales pr\u00e9vues par le RGPD autorisant la mise en \u0153uvre de traitements de donn\u00e9es \u00e0 caract\u00e8re personnel.<\/p>\n

Le responsable de traitement doit \u00eatre en mesure de d\u00e9montrer la validit\u00e9 du recours \u00e0 cette base l\u00e9gale.<\/p>\n

Tout changement important des conditions de mise en \u0153uvre du traitement (finalit\u00e9, donn\u00e9es, dur\u00e9es de conservation, etc.) est susceptible d\u2019avoir une incidence sur la validit\u00e9 de la base l\u00e9gale retenue : la d\u00e9marche d\u2019\u00e9valuation de cette validit\u00e9 doit donc, dans ce cas, \u00eatre r\u00e9it\u00e9r\u00e9e.<\/p>\n

4 crit\u00e8res cumulatifs doivent \u00eatre remplis pour que le consentement soit valablement recueilli. Le consentement doit \u00eatre :<\/p>\n

Libre : le consentement ne doit pas \u00eatre contraint ni influenc\u00e9. La personne doit se voir offrir un choix r\u00e9el, sans avoir \u00e0 subir de cons\u00e9quences n\u00e9gatives en cas de refus.<\/p>\n

Le caract\u00e8re libre du consentement doit faire l\u2019objet d\u2019une attention particuli\u00e8re dans le cas de l\u2019ex\u00e9cution d\u2019un contrat, y compris pour la fourniture d\u2019un service : refuser de consentir \u00e0 un traitement qui n\u2019est pas n\u00e9cessaire \u00e0 l\u2019ex\u00e9cution du contrat ne doit pas avoir de cons\u00e9quence sur son ex\u00e9cution ou sur la prestation du service.<\/p>\n

Par exemple, un op\u00e9rateur de t\u00e9l\u00e9phonie mobile recueille le consentement de ses clients pour l\u2019utilisation de leurs coordonn\u00e9es par des partenaires \u00e0 des fins de prospection commerciale. Le consentement est consid\u00e9r\u00e9 comme libre \u00e0 condition que le refus des clients n\u2019impacte pas la fourniture du service de t\u00e9l\u00e9phonie mobile.<\/p>\n

Sp\u00e9cifique : un consentement doit correspondre \u00e0 un seul traitement, pour une finalit\u00e9 d\u00e9termin\u00e9e.<\/p>\n

D\u00e8s lors, pour un traitement qui comporte plusieurs finalit\u00e9s, les personnes doivent pouvoir consentir ind\u00e9pendamment pour l\u2019une ou l\u2019autre de ces finalit\u00e9s. Elles doivent pouvoir choisir librement les finalit\u00e9s pour lesquelles elles consentent au traitement de leurs donn\u00e9es.<\/p>\n

Par exemple, un organisateur d\u2019\u00e9v\u00e8nements culturels souhaite recueillir le consentement des spectateurs pour deux types de prestations : la conservation de leurs coordonn\u00e9es de paiement (carte bancaire) afin de faciliter leurs prochaines r\u00e9servations ; la collecte de leur adresse \u00e9lectronique pour leur adresser des courriels concernant des prochaines repr\u00e9sentations.<\/p>\n

Pour que le consentement soit valide, les spectateurs doivent pouvoir consentir librement et s\u00e9par\u00e9ment pour chacun de ces deux traitements : la conservation des coordonn\u00e9es bancaires et l\u2019utilisation de leur adresse \u00e9lectronique.<\/p>\n

\u00c9clair\u00e9 : pour qu\u2019il soit valide, le consentement doit \u00eatre accompagn\u00e9 d\u2019un certain nombre d\u2019informations communiqu\u00e9es \u00e0 la personne avant qu\u2019elle ne consente.<\/p>\n

Au-del\u00e0 des obligations li\u00e9es \u00e0 la transparence, le responsable du traitement devrait fournir les informations suivantes aux personnes concern\u00e9es pour recueillir leur consentement \u00e9clair\u00e9 :<\/p>\n

l\u2019identit\u00e9 du responsable du traitement ;<\/p>\n

les finalit\u00e9s poursuivies ;<\/p>\n

les cat\u00e9gories de donn\u00e9es collect\u00e9es ;<\/p>\n

l\u2019existence d\u2019un droit de retrait du consentement ;<\/p>\n

selon les cas : le fait que les donn\u00e9es seront utilis\u00e9es dans le cadre de d\u00e9cisions individuelles automatis\u00e9es ou qu\u2019elles feront l\u2019objet d\u2019un transfert vers un pays hors Union europ\u00e9enne.<\/p>\n

Univoque : le consentement doit \u00eatre donn\u00e9 par une d\u00e9claration ou tout autre acte positif clairs. Aucune ambigu\u00eft\u00e9 quant \u00e0 l\u2019expression du consentement ne peut demeurer.<\/p>\n

Les modalit\u00e9s suivantes de recueil du consentement ne peuvent pas \u00eatre consid\u00e9r\u00e9es comme univoques :<\/p>\n

les cases pr\u00e9-coch\u00e9es ou pr\u00e9-activ\u00e9es<\/p>\n

les consentements \u00ab group\u00e9s \u00bb (lorsqu\u2019un seul consentement est demand\u00e9 pour plusieurs traitements distincts)<\/p>\n

l\u2019inaction (par exemple, l\u2019absence de r\u00e9ponse \u00e0 un courriel sollicitant le consentement)<\/p>\n

II. L\u2019illic\u00e9it\u00e9 du traitement<\/h2>\n

La notion de lic\u00e9it\u00e9 appara\u00eet ici et l\u00e0 dans le r\u00e8glement, sans que l\u2019on per\u00e7oive toujours la port\u00e9e exacte du terme. On sent l\u2019importance de la notion, transversale, mais moins bien sa port\u00e9e exacte.<\/p>\n

Si l\u2019on adopte une approche restrictive, la lic\u00e9it\u00e9 du traitement se limite \u00e0 respecter les conditions de l\u2019article\u00a06 intitul\u00e9 \u2026 \u00ab lic\u00e9it\u00e9 du traitement \u00bb. Dans cette approche restrictive, l\u2019illic\u00e9it\u00e9 du traitement viserait les hypoth\u00e8ses de violation de l\u2019article\u00a06.<\/p>\n

Si l\u2019on adopte \u00e0 l\u2019inverse une approche large, dans laquelle est illicite tout ce qui ne respecte pas la r\u00e8gle de droit ou la norme de bon comportement, l\u2019illic\u00e9it\u00e9 du traitement viserait la violation de n\u2019importe quelle disposition du RGPD.<\/p>\n

La question est importante, non seulement par rapport aux dommages et int\u00e9r\u00eats ou aux mesures correctrices que l\u2019autorit\u00e9 peut prendre, mais aussi par rapport aux dispositions du RGPD qui visent sp\u00e9cifiquement les hypoth\u00e8ses d\u2019illic\u00e9it\u00e9. La premi\u00e8re d\u2019entre elles \u00e9tant l\u2019article\u00a017 d) consacr\u00e9 au droit \u00e0 l\u2019oubli lorsque \u00ab les donn\u00e9es \u00e0 caract\u00e8re personnel ont fait l\u2019objet d\u2019un traitement illicite. \u00bb<\/p>\n

A. Le rejet de l\u2019approche restrictive<\/h3>\n

On savait d\u00e9j\u00e0 que l\u2019approche restrictive n\u2019est pas celle retenue par la CJUE.<\/p>\n

Dans l\u2019arr\u00eat Google Spain, la Cour a consid\u00e9r\u00e9 que le caract\u00e8re illicite peut r\u00e9sulter \u00ab non seulement du fait que ces donn\u00e9es sont inexactes, mais, en particulier, aussi du fait qu\u2019elles sont inad\u00e9quates, non pertinentes ou excessives au regard des finalit\u00e9s du traitement, qu\u2019elles ne sont pas mises \u00e0 jour ou qu\u2019elles sont conserv\u00e9es pendant une dur\u00e9e exc\u00e9dante celle n\u00e9cessaire, \u00e0 moins que leur conservation s\u2019impose \u00e0 des fins historiques, statistiques ou scientifiques \u00bb.<\/p>\n

Il en d\u00e9coule :<\/p>\n

d\u2019une part, que la Cour \u00e9largit la notion d\u2019illic\u00e9it\u00e9 au-del\u00e0 de la violation du seul article\u00a06 et y englobe l\u2019article\u00a05 ; et<\/p>\n

d\u2019autre part, que la Cour semble consid\u00e9rer qu\u2019une illic\u00e9it\u00e9 fond\u00e9e sur l\u2019article\u00a05 peut na\u00eetre de la violation de n\u2019importe quel principe \u00e9nonc\u00e9 au 1er paragraphe de cette disposition : lic\u00e9it\u00e9, loyaut\u00e9, transparence ; limitation des finalit\u00e9s ; minimisation des donn\u00e9es ; exactitude ; limitation de la conservation ; int\u00e9grit\u00e9 et confidentialit\u00e9.<\/p>\n

La Cour rejetait donc clairement une approche restrictive qui limiterait le concept d\u2019illic\u00e9it\u00e9 aux seules violations de l\u2019article\u00a06.<\/p>\n

B. Le rejet d\u2019une approche (trop) extensive<\/h3>\n

En substance, la question pr\u00e9judicielle pos\u00e9e par le tribunal administratif allemand porte sur l\u2019\u00e9lasticit\u00e9 du concept d\u2019illic\u00e9it\u00e9 : une violation des articles\u00a026 et 30, consacr\u00e9s respectivement \u00e0 l\u2019\u00e9tablissement de r\u00e8gles entre responsables conjoints du traitement et \u00e0 l\u2019obligation de tenue d\u2019un registre, constituerait-elle une illic\u00e9it\u00e9 au sens de l\u2019article\u00a017 d) (droit \u00e0 l\u2019oubli) ?<\/p>\n

La logique du juge allemand n\u2019est pas d\u00e9nu\u00e9e de logique. Puisque la CJUE a elle-m\u00eame \u00e9largi la notion d\u2019illic\u00e9it\u00e9 \u00e0 tous les principes \u00e9nonc\u00e9s \u00e0 l\u2019article\u00a05.1, pourquoi ne pas aller au bout de la logique et consid\u00e9rer que toute violation du RGPD est une violation du principe de responsabilit\u00e9 \u00e9nonc\u00e9 \u00e0 l\u2019article\u00a05.2 et, d\u00e8s lors, une illic\u00e9it\u00e9 au sens de l\u2019article\u00a017 d) ?<\/p>\n

La CJUE s\u2019y refuse.<\/p>\n

Avant de se consacrer \u00e0 l\u2019illic\u00e9it\u00e9 vis\u00e9e \u00e0 l\u2019article\u00a017 d), la Cour commence par s\u2019int\u00e9resser \u00e0 la notion de lic\u00e9it\u00e9.<\/p>\n

Elle rappelle tout d\u2019abord sa jurisprudence selon laquelle \u00ab tout traitement de donn\u00e9es \u00e0 caract\u00e8re personnel doit \u00eatre conforme aux principes relatifs au traitement des donn\u00e9es \u00e9nonc\u00e9s \u00e0 l\u2019article\u00a05, paragraphe\u00a01, de ce r\u00e8glement et satisfaire aux conditions de lic\u00e9it\u00e9 du traitement \u00e9num\u00e9r\u00e9es \u00e0 l\u2019article\u00a06 dudit r\u00e8glement [voir, notamment, arr\u00eats du 6 octobre 2020, La Quadrature du Net e.a., C\u2011511\/18, C\u2011512\/18 et C\u2011520\/18, EU:C:2020:791, point 208 ; du 22 juin 2021, Latvijas Republikas Saeima (Points de p\u00e9nalit\u00e9), C\u2011439\/19, EU:C:2021:504, point 96, ainsi que du 20 octobre 2022, Digi, C\u201177\/21, EU:C:2022:805, points 49 et 56] \u00bb.<\/p>\n

La Cour ajoute ensuite une pr\u00e9cision importante pour la suite du raisonnement : les articles 7 \u00e0 11 du RGPD, qui figurent, \u00e0 l\u2019instar des articles 5 et 6 de celui-ci, dans le chapitre II relatif aux principes, ont pour objet de pr\u00e9ciser la port\u00e9e des obligations incombant au responsable du traitement en vertu de l\u2019article 5, paragraphe 1, sous a), et de l\u2019article 6, paragraphe 1.<\/p>\n

Il s\u2019ensuit, selon la Cour que \u00ab le traitement de donn\u00e9es \u00e0 caract\u00e8re personnel, afin d\u2019\u00eatre licite, doit \u00e9galement respecter, ainsi qu\u2019il ressort de la jurisprudence de la Cour, ces autres dispositions dudit chapitre qui concernent, en substance, le consentement, le traitement de cat\u00e9gories particuli\u00e8res de donn\u00e9es personnelles \u00e0 caract\u00e8re sensible et le traitement de donn\u00e9es personnelles relatives aux condamnations p\u00e9nales et aux infractions \u00bb.<\/p>\n

Ayant pos\u00e9 les bases, la Cour s\u2019attache enfin \u00e0 l\u2019hypoth\u00e8se sp\u00e9cifique d\u2019une violation des articles 26 et 30 : pareille violation, \u00e0 la supposer \u00e9tablie, est-elle une illic\u00e9it\u00e9 au sens de l\u2019article 17 d) qui autorise la personne concern\u00e9e \u00e0 exiger l\u2019effacement de donn\u00e9es, le lien entre les deux \u00e9tant le concept de responsabilit\u00e9 (accountability) \u00e9nonc\u00e9 \u00e0 l\u2019article 5.2 ?<\/p>\n

Elle r\u00e9pond par la n\u00e9gative, soulignant que :<\/p>\n

Les articles 26 et 30 ne font pas partie du chapitre 2 consacr\u00e9 aux \u00ab principes \u00bb ;<\/p>\n

La distinction op\u00e9r\u00e9e entre le chapitre 2 et le reste du r\u00e8glement se refl\u00e8te dans les dispositions relatives aux amendes administratives et aux mesures correctrices, qui varient selon le niveau de gravit\u00e9 des violations constat\u00e9es ;<\/p>\n

Cette interpr\u00e9tation est \u00e9galement corrobor\u00e9e par l\u2019objectif du r\u00e8glement qui est de garantir un niveau \u00e9lev\u00e9 de protection aux personnes concern\u00e9es. Or rel\u00e8ve la Cour, autant une violation des principes est susceptible de mettre en cause cet objectif, autant on ne peut affirmer de mani\u00e8re g\u00e9n\u00e9rale qu\u2019une violation des articles 26 et 30 porte, en tant que telle, atteinte \u00e0 cet objectif.<\/p>\n

En cons\u00e9quence, la Cour juge qu\u2019une violation des articles 26 et 30 n\u2019est pas une illic\u00e9it\u00e9 au sens des articles 17.1 d) (oubli) et 18.1 b) (limitation) d\u00e8s lors qu\u2019une telle m\u00e9connaissance n\u2019implique pas, en tant que telle, une violation par le responsable du traitement du principe de \u00ab responsabilit\u00e9 \u00bb tel qu\u2019\u00e9nonc\u00e9 \u00e0 l\u2019article 5, paragraphe 2, dudit r\u00e8glement, lu conjointement avec l\u2019article 5, paragraphe 1, sous a), et l\u2019article 6, paragraphe 1, premier alin\u00e9a, de ce dernier.<\/p>\n

Pour lire une version plus courte de cet article sur le traitement illicite des donn\u00e9es,<\/a> cliquez<\/p>\n

Articles qui pourraient vous int\u00e9resser\u00a0:<\/p>\n