Important arrêt sur le traitement ultérieur de données à caractère personnel - HAL-SHS - Sciences de l'Homme et de la Société Accéder directement au contenu
Article Dans Une Revue RTDCom. Revue trimestrielle de droit commercial et de droit économique Année : 2023

Important arrêt sur le traitement ultérieur de données à caractère personnel

Thibault Douville

Résumé

Enjeux. La Cour de justice se prononce pour la première fois sur la notion de traitement « ultérieur » de données à caractère personnel(1). L'enjeu est à la fois théorique et pratique : pour qu'un responsable du traitement - qu'il s'agisse de celui qui a collecté les données ou de celui à qui elles ont été communiquées(2) - traite ultérieurement des données à caractère personnel de manière licite, les finalités de ce traitement doivent être compatibles avec les finalités pour lesquelles elles ont été collectées, à moins notamment que la personne concernée y ait consenti(3). Ce régime détermine la possibilité de tirer de nouvelles utilités des données - économiques, informationnelles ou techniques par exemple pour l'entraînement de systèmes algorithmiques(4) ou des tests en matière de cybersécurité - et de les transmettre à un destinataire.

Faits. En l'espèce, un fournisseur de services d'accès à internet et de communications audiovisuelles a, à la suite d'un incident technique affectant un traitement de données, copié dans une base de données « de test » les données à caractère personnel d'environ un tiers de ses clients particuliers. Cette base de données a été supprimée un an et demi après sa constitution par le responsable du traitement lorsqu'il a été informé par un pirate éthique que ce dernier a eu accès aux données. L'autorité de contrôle hongroise, à laquelle la violation de données a été notifiée, a estimé que les données avaient été conservées sans aucune finalité pendant 18 mois dans un fichier susceptible de permettre l'identification des personnes concernées et a prononcé une amende. Contestant la légalité de cette décision, le responsable du traitement a formé un recours à l'occasion duquel la juridiction saisie formula deux questions préjudicielles à la Cour de justice. La première porte sur le point de savoir si « le principe de la "limitation des finalités" [...] s'oppose à l'enregistrement et à la conservation par le responsable du traitement, dans une base de données créée aux fins de procéder à des tests et de corriger des erreurs, de données à caractère personnel préalablement collectées et conservées dans une autre base de données »(5). Complémentaire de la première, la seconde conduit la Cour de justice à se demander « si l'article 5, paragraphe 1, sous e), du règlement 2016/679 doit être interprété en ce sens que le principe de la "limitation de la conservation", prévu à cette disposition, s'oppose à la conservation par le responsable du traitement, dans une base de données créée aux fins de procéder à des tests et de corriger des erreurs, de données à caractère personnel préalablement collectées pour d'autres finalités, pour une durée excédant celle qui est nécessaire à la réalisation de ces tests et à la correction de ces erreurs »(6). Ces deux questions préjudicielles conduisent la Cour de justice à se prononcer pour la première fois sur le traitement ultérieur des données à caractère personnel(7). Elles lui permettent de préciser la notion de traitement ultérieur des données (I), ainsi que son régime (II).

I - La notion de « traitement ultérieur » des données
Choix d'un critère matériel.
Notion de collecte des données.
Exclusion d'un critère finaliste.
Autonomie.

II - La compatibilité des finalités des traitements initial et ultérieur des données
Traitement ultérieur des données et finalité.
Identité des finalités.
Absence d'identité des finalités.
Application.
Durée de conservation des données.
Fichier non déposé

Dates et versions

halshs-04077349 , version 1 (21-04-2023)

Identifiants

  • HAL Id : halshs-04077349 , version 1

Citer

Thibault Douville. Important arrêt sur le traitement ultérieur de données à caractère personnel : (CJUE 20 oct. 2022, aff. C-77/21, Digi Távközlési és Szolgáltató Kft. c/ Nemzeti Adatvédelmi és Információszabadság Hatóság, D. 2022. 1904). RTDCom. Revue trimestrielle de droit commercial et de droit économique, 2023, 01, pp.137-143. ⟨halshs-04077349⟩
20 Consultations
0 Téléchargements

Partager

Gmail Facebook X LinkedIn More