Principes et bases légales

Les principes de l’article 5

• Licéité, loyauté et transparence.
• Limitation des finalités : finalités déterminées, explicites et légitimes, sans traitement ultérieur incompatible.
• Minimisation des données : adéquates, pertinentes et limitées au nécessaire.
• Exactitude : exactes et, si nécessaire, tenues à jour.
• Limitation de la conservation : pas plus longtemps que nécessaire sous une forme identifiante.
• Intégrité et confidentialité : une sécurité appropriée.
• Responsabilité : le responsable du traitement est responsable du respect des principes et doit pouvoir le démontrer.

Les six bases légales

L’article 6, paragraphe 1, prévoit six bases : le consentement ; le contrat ; l’obligation légale ; la sauvegarde des intérêts vitaux ; la mission d’intérêt public ; et l’intérêt légitime, que les autorités publiques ne peuvent invoquer pour les traitements effectués dans l’exécution de leurs missions. La base doit être choisie avant le début du traitement, documentée et expliquée dans l’information des personnes. Elle ne doit pas être changée ensuite parce que le premier choix s’avère gênant.

Le consentement doit être libre, spécifique, éclairé et univoque, donné par un acte positif clair, et aussi simple à retirer qu’à donner. En cas de déséquilibre manifeste, comme entre employeur et salarié, il est peu probable qu’il soit libre. L’intérêt légitime suppose un test en trois étapes — finalité, nécessité et mise en balance — qui doit être documenté.

Catégories particulières et données pénales

L’article 9 interdit le traitement des données révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que des données génétiques, des données biométriques aux fins d’identification, des données de santé et des données concernant la vie sexuelle ou l’orientation sexuelle, sauf si une condition de l’article 9, paragraphe 2, s’applique — par exemple le consentement explicite, le droit du travail et de la protection sociale, les intérêts vitaux ou un motif d’intérêt public important. Les données relatives aux infractions (article 10) nécessitent le contrôle de l’autorité publique ou une base dans le droit de l’Union ou d’un État membre. L’âge du consentement d’un enfant aux services en ligne varie de 13 à 16 ans selon l’État membre.