Modèle d'auditAnalyse des intérêts légitimes

Si le traitement s'inscrit dans l'un de ces objectifs, alors les intérêts sont présumés légitimes.

Il est nécessaire que les trois conditions soient remplies de manière cumulative.

Il ne s’agit pas, dans le cadre de cet examen, de s’assurer du respect des dispositions précises du RGPD : l’organisme doit plutôt s’assurer de l’absence d’atteinte manifeste au contenu essentiel, à la substance même de ces droits. Il s’agit donc de prendre en compte les grands principes du RGPD et ses principales lignes de force.

Par exemple, le traitement de données relatives à des enfants, la mise en œuvre de traitements massifs ou portant sur des données sensibles, l’absence de contrôle des personnes sur leurs données constituent des indices de risque d’atteinte grave au droit à la protection des données.

Tels que par exemple la liberté de pensée, de conscience et de religion, la liberté d’expression et d’information, la liberté de réunion et d’association, le droit de propriété, le droit d’asile, les droits de l’enfant et des personnes âgées, les droits sociaux, les droits liés à la citoyenneté, etc. ;

Par exemple, un traitement de données ayant pour conséquence, pour les intéressés, de limiter leur accès à des informations essentielles tels que certains discours politiques porte une atteinte manifeste à leur liberté d’information.

C’est-à-dire examiner si le traitement impacte leur situation particulière, au-delà de son impact éventuel sur leurs droits, comme par exemple leur situation physique, économique ou sociale.

Par exemple, les intérêts des personnes peuvent prévaloir sur l’intérêt légitime du responsable de traitement si celui-ci leur cause un préjudice financier ou les prive de l’accès à un service essentiel. 

Les attentes raisonnables des personnes ne doivent pas être confondues avec les informations qui sont nécessairement portées à leur connaissance en application du principe de transparence. Il s’agit de ce à quoi une personne peut légitimement s’attendre s’agissant du traitement de ses données, dans la situation de la personne concernée et en fonction du contexte de la collecte. En pratique, cela signifie que le traitement ne doit pas surprendre les personnes dont les données sont traitées, en étant par exemple totalement décorrélé de l’objectif poursuivi ou du service rendu.

Par exemple, la « promesse de service » d’un réseau social est de mettre en relation des individus, et non de les profiler en vue de leur adresser de la publicité personnalisée.

Les mesures compensatoires consistent en des obligations de moyens remplies de manière « premium », la plus approfondie possible, ou en des garanties supplémentaires aux exigences du RGPD. Elles doivent concerner les principaux risques d’atteinte aux intérêts, droits et libertés précédemment identifiés par le responsable du traitement et peuvent donc également viser à limiter des impacts ne concernant pas la vie privée au sens strict.

Par exemple : si le risque identifié par l’organisme concerne le contrôle des personnes sur leurs données, la mise en place de « tableaux de bord » (« dashboards ») leur permettant de gérer leurs préférences et d’exercer leurs droits, ou encore permettre leur opposition au traitement de leurs données sans faire valoir de raison particulière, peuvent constituer de telles mesures additionnelles.

Autres exemples : la pseudonymisation ou l’anonymisation en cas de données fines et nombreuses non strictement nécessaires ; la mise en place d’un comité d’éthique pour contrôler les éventuels effets négatifs de l’utilisation d’algorithmes ou en matière de recherche médicale (en dehors des obligations prévues par les textes) ; la mise en place de filtres parentaux pour des traitements s’adressant à des enfants ; etc.

En cas de déséquilibre, le responsable du traitement doit donc prévoir de telles mesures compensatoires et vérifier si leur application permet effectivement d’atteindre un équilibre entre son intérêt légitime et les droits et intérêts des personnes concernées par le traitement qu’il souhaite mettre en œuvre. Si la pondération apparaît ainsi équilibrée, il peut fonder son traitement sur la base légale de l’intérêt légitime ; dans le cas contraire, une autre base légale, comme par exemple le consentement, devra être recherchée.