Le choix de la base légale des traitements de données personnelles : étude pratique

The choice of the legal basis for the processing of personal data : a practical study

• Auteur / Autrice : Cyril Aufrechter
• Direction : Anne Debet
• Type : Thèse de doctorat
• Discipline(s) : Sciences juridiques. Droit privé
• Date : Soutenance le 24/10/2022
• Etablissement(s) : Université Paris Cité
• Ecole(s) doctorale(s) : École doctorale Sciences juridiques, politiques, économiques et de gestion (Malakoff, Hauts-de-Seine ; 1996-....)
• Partenaire(s) de recherche : Laboratoire : Institut Droit et Santé (Paris ; 2006-....)
• Jury : Président / Présidente : Anne Danis-Fatôme
• Jury : Examinateurs / Examinatrices : Anne Danis-Fatôme, Emmanuel Netter, Nathalie Martial-Braz
• Jury : Rapporteur / Rapporteuse : Anne Danis-Fatôme, Emmanuel Netter

Mots clés

Mots clés contrôlés

Intérêt (droit)

Consentement (droit)

Informatique et liberté

Protection de l'information (informatique) -- Droit européen

Identité numérique

Mots clés libres

Droit des données à caractère personnel

Personnes concernées

Protection des données

Loi informatique et libertés

Rgpd

Cnil

Consentement

Intérêt légitime

Data protection law

Data subjects

Data protection

French data protection Act

Gdpr

French data protection authority

Consent

Legitimate interest

Résumé

A la suite de l'adoption du Règlement Général sur la Protection des données, l'Union européenne a renforcé sa règlementation relative à la protection des données personnelles. Celle-ci repose notamment dans les sanctions significatives pouvant être infligées, ce qui a fait que beaucoup de responsables de traitements ont pris conscience des enjeux. La mise en conformité avec cette nouvelle règlementation est donc devenue indispensable. Cette mise en conformité passe d'abord par le choix d'une base légale permettant de justifier le traitement. Pour certains, cette base légale a pour but de s'assurer que la personne concernée est protégée de manière optimale, d'où une volonté de favoriser la base légale du consentement par défaut. En réalité, les bases légales ne protègent pas réellement les personnes concernées, et permettent plutôt de justifier les traitements de données personnelles tout en ayant une influence sur les droits des personnes concernées. Il ne s'agit pas toujours d'une protection des personnes concernées, et parfois elles ne protègent aucune partie au traitement. La base légale doit être bien choisie, car non seulement il n'est pas possible de recourir à plusieurs d'entre elles pour le même traitement, mais il est compliqué de changer durant un traitement, ou de changer de finalité. De plus, les conséquences en cas de choix erroné peuvent être très impactantes, tant en terme financier que réputationnel. Dans le secteur privé, un des choix à envisager est le consentement, qui fait l'objet de nombreuses règles et peut être manipulé. Ce consentement n'est pas aussi protecteur du responsable de traitement que certains peuvent le penser, car il fait l'objet de contraintes importantes, étant donné qu'il doit notamment être libre, spécifique, et éclairé. Ces exigences sont lourdes à respecter. Dès lors, ne pas y recourir lorsque cela est possible est intéressant. Au surplus, les exigences autour du consentement ne sont en réalité pas si avantageuses pour les personnes concernées. Ce consentement peut en effet très rapidement être influencé, y compris de manière licite. De plus, il est généralement moins informé qu'il ne le parait, dans la mesure où il suppose que les personnes concernées prennent le temps de lire les mentions d'information ce qu'elles ne font pratiquement jamais. Cette protection de la personne concernée n'est donc qu'une protection en demi-teinte. Le choix de la base légale n'est pas sans conséquence. Dans un cas, les personnes concernées seront bien informées, et pourront utiliser leurs droits de façon appropriée. Dans l'autre, non seulement ce ne sera pas le cas, mais le responsable risque également une sanction administrative, des poursuites, et encoure un risque réputationnel. Il y a donc un équilibre entre les intérêts des parties au traitement, pour qui la conformité apporte un bénéfice. Afin de limiter les risques, il faut donc faire une analyse opérationnelle et concrète de la situation. Cette étude permet de constater que l'intérêt légitime est souvent efficace en présence de personnes en situation de faiblesse, ainsi que dans le cadre des données à caractère hautement personnelles. Ce choix doit également être étudié lors de traitements complexes, comme la monétisation de données personnelles, ou la prospection commerciale. Il en est de même dans le cadre de traitements effectués par le biais de technologies issues de l'économie numérique, comme la blockchain ou l'intelligence artificielle. Dans tous les cas, le choix de la base légale doit se faire en fonction de la situation en question, après une analyse casuistique.

Following the adoption of the General Data Protection Regulation, the European Union has strengthened its regulations relating to the protection of personal data. This reinforcement is based on significant penalties that can be imposed, which has raised awareness among many data controllers. Compliance with this new regulation has therefore become essential. This compliance process begins with the choice of a legal basis to justify the processing. For some, this legal basis is intended to ensure that the data subject is well protected, hence a desire to foster the consent legal basis by default. In practice, the legal bases do not really protect the data subjects, and only make it possible to justify the processing of personal data while having an influence on data subjects' rights. They are not always a protection of data subjects, and sometimes they do not protect any parties. The legal basis must be selected carefully, because not only is it not possible to use several of them for the same processing, but it is complicated to change it during a process, or to change the purpose of the processing. In addition, the consequences in the event of an incorrect choice can be very impactful, both in financial and reputational terms. In the private sector, the main option that can be used is the consent legal basis, which is subject to numerous rules. Consent is not as protective for the data controller as some may think, because it is subject to significant constraints: it must be free, specific, and informed. These requirements are hard to meet. Therefore, avoiding it as much as possible is a valuable option. Moreover, the requirements around consent are not so advantageous for the data subject. This consent can be influenced, including in a lawful way. In addition, it is generally less informed than it seems, as it assumes that the data subject takes the time to read the information notices, which they practically never do. This protection of the data subjects is therefore only half-hearted protection. The choice of a legal basis has consequences. On one hand, the data subjects will be informed, and will be able to use their rights in appropriate ways. On the other hand, not only this won't be the case, but the data processor also risks administrative sanctions, prosecutions, and incurs a reputational risk. There is therefore a balance to find between the interests of the parties to the processing, for whom compliance brings a benefit. To mitigate the risks, it is necessary to carry out an operational and concrete analysis of the situation. This study shows that the legitimate interest is often effective in the presence of people with weakness, as well as in the context of highly personal data. This choice must also be studied during complex processing, such as the monetization of personal data, or commercial prospecting. The same applies to processing carried out using technologies from the digital economy, such as blockchain or artificial intelligence. In any case, the choice of the legal basis must be made according to the situation in question, after a casuistry analysis.