La finalité d'un traitement de données

Le responsable du traitement ne peut traiter les données à caractère personnel (c à d les collecter, les utiliser, les gérer, les communiquer) que s’il répond à une série de conditions.

Il ne peut pas collecter et utiliser les données à caractère personnel sans indiquer dans quel objectif précis il le fait. Le responsable doit définir cet objectif dès le départ, ce qui détermine le traitement ultérieur des données.

C'est sur la base de cet objectif établi que le responsable décidera :

  • quelles données il peut collecter ;
  • ce qu'il en fera ;
  • s'il peut les communiquer et à qui il peut les communiquer.

Ensuite, il ne peut appliquer à vos données que les opérations qui lui perm ettent d'atteindre son objectif et qui sont compatibles avec celui-ci. La compatibilité s'apprécie au regard de tous les facteurs pertinents, et notamment des attentes raisonnables de la personne concernée et des dispositions légales et réglementaires en vigueur. Si e responsable utilises des données pour d'autres finalités incompatibles avec la finalité initiale est punissable.

Par exemple :

  • le club de fitness qui vend la liste de ses membres à une société qui propose des cures d'amaigrissement ;
  • l'ophtalmologue qui communique le nom de ses patients à une société spécialisée dans la vente de lentilles de contact (a titre de comparaison : il peut en revanche transmettre ses dossiers à un confrère dont il voudrait connaître l’avis).

Le responsable ne peut pas poursuivre n'importe quel objectif. Il va de soi qu'il doit s'agir d'un objectif légitime. Cela signifie que les intérêts du responsable du traitement doivent être en équilibre avec les intérêts de la personne concernée. Une finalité susceptible de porter atteinte à la vie privée de la personne concernée n’est pas une finalité légitime. Par exemple : la constitution d'un fichier reprenant des personnes qui approchent des soixante ans en vue de leur envoyer, lors de leur soixantième anniversaire, de la documentation sur une assurance obsèques "parce qu'il est temps d'y penser", n'est pas une finalité légitime. Le préjudice subi par ces personnes dans ce cas est indubitablement plus grand que l'intérêt commercial de la personne qui constitue le fichier.

Une fois que le responsable a défini un objectif légitime, il doit encore remplir au moins une des conditions suivantes. Il ne peut traiter les données que si :

  • la personne concernée a donné son consentement de manière libre, explicite et informée ;
  • ou si le traitement est nécessaire à l'exécution d'un contrat que la personne concernée a conclu avec le responsable (ex. une banque qui a concédé un prêt hypothécaire) ;
  • ou si la loi l'exige. L'employeur est par exemple obligé de communiquer à la sécurité sociale certaines données relatives à son personnel ;
  • ou si le traitement est d'un intérêt vital pour la personne concernée. Par exemple, lorsqu'on récolte des données médicales relatives à une victime d'accident inconsciente afin de pouvoir lui prodiguer des soins ;
  • ou si le traitement doit être effectué pour exécuter une mission d'intérêt public. Ainsi, la Poste a le droit de constituer un fichier avec les changements d'adresse de ses clients afin de pouvoir leur faire suivre leur courrier après le déménagement ;
  • ou si le traitement de données est nécessaire à la réalisation d'un intérêt légitime LINK du responsable ou d'une autre personne, à condition que ne prévalent pas les intérêts de la personne concernée.