QuECJ [kəsɛʒ] Questions Ethiques et Cadre Juridique - groupe de travail du consortium CORLI (CORpus, Langues et Interactions)
Licéité du traitement : bases légales
Pour qu'un traitement soit licite, il doit être nécessaire à la réalisation du projet et reposer sur une des six bases légales permettant le traitement de données à caractère personnel :
- le consentement
- le contrat (vente, CDD)
- l'obligation légale (déplacément, handicap, impôt)
- l'intérêt public
- intérêt légitime (ne porte pas atteinte aux personnes comme les caméra de surveillance)
- sauvegarde des intérêts vitaux
Si plusieurs finalités sont prévues pour un traitement, une base légale doit être choisie pour chacune d'elles. Une seule base légale peut être retenue par finalité, et il n'est pas possible de la modifier au cours du traitement.
Le choix de la base légale à retenir dépend du projet de traitement. Certaines situations imposent ou excluent des bases légales, le choix se fera alors selon ces contraintes.
Pour les projets de recherche, la CNIL recense trois bases légales qui sont en général appropriées :
« Quelles sont les bases légales prévues par le RGPD ?
Il est permis de traiter des données personnelles lorsque le traitement repose sur une des 6 bases légales mentionnées à l'article 6 du RGPD :
- le consentement : la personne a consenti au traitement de ses données ;
- le contrat : le traitement est nécessaire à l'exécution ou à la préparation d'un contrat avec la personne concernée ;
- l'obligation légale : le traitement est imposé par des textes légaux ;
- la mission d'intérêt public : le traitement est nécessaire à l'exécution d'une mission d'intérêt public ;
- l'intérêt légitime : le traitement est nécessaire à la poursuite d'intérêts légitimes de l'organisme qui traite les données ou d'un tiers, dans le strict respect des droits et intérêts des personnes dont les données sont traitées ;
- la sauvegarde des intérêts vitaux : le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée, ou d'un tiers. »
« Quelle base légale choisir lorsqu'il y a plusieurs responsables de traitement pour une même recherche ?
En cas de responsables de traitement multiples pour un même traitement de données à caractère personnel, le principe est qu'une seule base légale doit être retenue pour tous les responsables de traitement.
Exemples :
- un projet de recherche mené conjointement par deux équipes de recherche appartenant à deux universités distinctes et consistant à interroger des personnes via un questionnaire en ligne pourra reposer sur le consentement de celles-ci ou la mission d'intérêt public des organismes ;
- un projet de recherche mené conjointement par un organisme public et un organisme privé : si la recherche n'est pas réalisée dans l'exécution des missions d'intérêt public de l'organisme public alors la base légale du traitement pourra être l'intérêt légitime (cf. le dernier alinéa de l'article 6-1 du RGPD) ;
- néanmoins, à titre exceptionnel, si la même base légale ne peut pas être retenue par tous les responsables de traitement, chaque responsable de traitement doit alors déterminer la base légale sur laquelle il peut fonder la licéité du traitement projeté. Dans cette hypothèse, la CNIL recommande alors de retenir le régime des droits le plus protecteur pour les personnes concernées. » CNIL
Liens externes
CNIL Bases légales pour la recherche
https://www.cnil.fr/fr/les-bases-legales/liceite-essentiel-sur-les-bases-legales
Laisser un commentaire
Consulter les mentions légales