Nouvelles

Apr 28, 2023

Contracter

Rechercher un article

Rechercher un article

Vous disposez d'une base légale pour le traitement si :

Exemple

Un particulier qui cherche une assurance automobile demande un devis. L'assureur doit traiter certaines données afin de préparer le devis, comme la marque et l'âge de la voiture.

Cela ne s'applique pas si vous devez traiter les données d'une personne mais que le contrat est conclu avec quelqu'un d'autre.

Elle ne s'applique pas si vous collectez et réutilisez les données de vos clients à vos propres fins commerciales, même si cela est autorisé par vos conditions contractuelles standard et fait partie de votre modèle de financement.

Elle ne s'applique pas si vous effectuez des démarches précontractuelles de votre propre initiative, pour répondre à d'autres obligations, ou à la demande d'un tiers.

Notez que, dans ce contexte, un contrat ne doit pas nécessairement être un document formel signé, ni même écrit, tant qu'il existe un accord qui répond aux exigences du droit des contrats. D'une manière générale, cela signifie que les conditions ont été proposées et acceptées, que vous souhaitez tous les deux qu'elles soient juridiquement contraignantes et qu'il existe un élément d'échange (généralement un échange de biens ou de services contre de l'argent, mais cela peut être n'importe quoi de valeur). Cependant, ce n'est pas une explication complète du droit des contrats, et en cas de doute, vous devriez demander votre propre avis juridique.

« Nécessaire » ne signifie pas que le traitement doit être absolument essentiel ou « le seul moyen » d'exécuter le contrat ou de prendre des mesures précontractuelles pertinentes. Cependant, il doit être plus qu'utile et plus qu'une simple partie de vos conditions générales. Il doit s'agir d'une mesure ciblée et proportionnée qui fait partie intégrante de la prestation du service contractuel ou de la prise de l'action demandée. Cette base légale ne s'applique pas s'il existe d'autres moyens raisonnables et moins intrusifs de fournir le service contractuel ou de prendre les mesures demandées.

Le traitement doit être nécessaire à l'exécution du contrat avec cette personne en particulier. Si le traitement est au contraire nécessaire pour maintenir votre modèle commercial plus généralement, ou est inclus dans vos conditions à d'autres fins commerciales au-delà de la prestation du service contractuel, cette base légale ne s'appliquera pas et vous devriez envisager une autre base légale, telle que des intérêts légitimes.

Exemple

Lorsqu'une personne concernée effectue un achat en ligne, un responsable du traitement traite l'adresse de la personne afin de livrer la marchandise. Ceci est nécessaire pour exécuter le contrat.

Toutefois, le profilage des intérêts et des préférences d'une personne sur la base des articles achetés n'est pas nécessaire à l'exécution du contrat et le responsable du traitement ne peut invoquer l'article 6, paragraphe 1, point b), comme base légale pour ce traitement. Même si ce type de publicité ciblée est un élément utile de votre relation client et un élément nécessaire de votre modèle économique, il n'est pas nécessaire d'exécuter le contrat lui-même.

Cela ne signifie pas qu'un traitement qui n'est pas nécessaire au contrat est automatiquement illégal, mais plutôt que vous devez rechercher une base légale différente (et d'autres garanties telles que le droit d'opposition peuvent entrer en jeu).

Si le traitement est nécessaire pour un contrat avec la personne, le traitement est licite sur cette base et vous n'avez pas besoin d'obtenir un consentement séparé.

Si le traitement de données de catégorie spéciale est nécessaire pour le contrat, vous devez également identifier une condition distincte pour le traitement de ces données. Lisez nos conseils sur les données de catégories spéciales pour plus d'informations.

Si le contrat est conclu avec un enfant de moins de 18 ans, vous devez vous demander s'il possède les compétences nécessaires pour conclure un contrat. Si vous avez des doutes sur leur compétence, vous pouvez envisager une base alternative telle que les intérêts légitimes, qui peut vous aider à démontrer que les droits et intérêts de l'enfant sont correctement pris en compte et protégés. Lisez nos conseils sur les enfants et le RGPD pour plus d'informations.

Si le traitement n'est pas nécessaire au contrat, vous devez tenir compte d'une autre base légale telle que les intérêts légitimes ou le consentement. Notez que si vous souhaitez vous fier au consentement, vous ne pourrez généralement pas faire du traitement une condition du contrat. Lisez nos conseils sur le consentement pour plus d'informations.

Si vous traitez sur la base d'un contrat, le droit d'opposition et le droit de ne pas faire l'objet d'une décision basée uniquement sur un traitement automatisé ne s'appliqueront pas. Cependant, l'individu aura droit à la portabilité des données. Lisez nos conseils sur les droits individuels pour plus d'informations.

N'oubliez pas de documenter votre décision selon laquelle le traitement est nécessaire pour le contrat, et d'inclure des informations sur vos objectifs et votre base légale dans votre avis de confidentialité.

Lien externe

Plus en détail – Comité européen de la protection des données

Le comité européen de la protection des données (EDPB), qui a remplacé le groupe de travail de l'article 29 (WP29), comprend des représentants des autorités de protection des données de chaque État membre de l'UE. Il adopte des lignes directrices pour se conformer aux exigences du RGPD.

Le CEPD a adopté des lignes directrices finales sur le traitement au titre de l'article 6, paragraphe 1, point b), dans le contexte des services en ligne. Les lignes directrices de l'EDPB ne sont plus directement pertinentes pour le régime britannique et ne sont pas contraignantes dans le cadre du régime britannique. Cependant, ils peuvent toujours fournir des conseils utiles sur certaines questions.