Enjeux. La Cour de justice se prononce pour la première fois sur la notion de traitement « ultérieur » de données à caractère personnel(1). L'enjeu est à la fois théorique et pratique : pour qu'un responsable du traitement - qu'il s'agisse de celui qui a collecté les données ou de celui à qui elles ont été communiquées(2) - traite ultérieurement des données à caractère personnel de manière licite, les finalités de ce traitement doivent être compatibles avec les finalités pour lesquelles elles ont été collectées, à moins notamment que la personne concernée y ait consenti(3). Ce régime détermine la possibilité de tirer de nouvelles utilités des données - économiques, informationnelles ou techniques par exemple pour l'entraînement de systèmes algorithmiques(4) ou des tests en matière de cybersécurité - et de les transmettre à un destinataire.

Faits. En l'espèce, un fournisseur de services d'accès à internet et de communications audiovisuelles a, à la suite d'un incident technique affectant un traitement de données, copié dans une base de données « de test » les données à caractère personnel d'environ un tiers de ses clients particuliers. Cette base de données a été supprimée un an et demi après sa constitution par le responsable du traitement lorsqu'il a été informé par un pirate éthique que ce dernier a eu accès aux données. L'autorité de contrôle hongroise, à laquelle la violation de données a été notifiée, a estimé que les données avaient été conservées sans aucune finalité pendant 18 mois dans un fichier susceptible de permettre l'identification des personnes concernées et a prononcé une amende. Contestant la légalité de cette décision, le responsable du traitement a formé un recours à l'occasion duquel la juridiction saisie formula deux questions préjudicielles à la Cour de justice. La première porte sur le point de savoir si « le principe de la "limitation des finalités" [...] s'oppose à l'enregistrement et à la conservation par le responsable du traitement, dans une base de données créée aux fins de procéder à des tests et de corriger des erreurs, de données à caractère personnel préalablement collectées et conservées dans une autre base de données »(5). Complémentaire de la première, la seconde conduit la Cour de justice à se demander « si l'article 5, paragraphe 1, sous e), du règlement 2016/679 doit être interprété en ce sens que le principe de la "limitation de la conservation", prévu à cette disposition, s'oppose à la conservation par le responsable du traitement, dans une base de données créée aux fins de procéder à des tests et de corriger des erreurs, de données à caractère personnel préalablement collectées pour d'autres finalités, pour une durée excédant celle qui est nécessaire à la réalisation de ces tests et à la correction de ces erreurs »(6). Ces deux questions préjudicielles conduisent la Cour de justice à se prononcer pour la première fois sur le traitement ultérieur des données à caractère personnel(7). Elles lui permettent de préciser la notion de traitement ultérieur des données (I), ainsi que son régime (II).

I - La notion de « traitement ultérieur » des données
Choix d'un critère matériel.
Notion de collecte des données.
Exclusion d'un critère finaliste.
Autonomie.

II - La compatibilité des finalités des traitements initial et ultérieur des données
Traitement ultérieur des données et finalité.
Identité des finalités.
Absence d'identité des finalités.
Application.
Durée de conservation des données.