QUE SIGNIFIE LE PRINCIPE DE LIMITATION DES FINALITES ?
Principe fondamental de la protection des données, la limitation des finalités est imposée par l’article 5 du Règlement général sur la protection des données (« RGPD »). Il s’agit de ne collecter des données que pour « des finalités déterminées, explicites et légitimes ».
Par ailleurs, l’utilisation ultérieure des données est permise dès lors que la nouvelle finalité est compatible avec la finalité initiale. Le RGPD prévoit la réalisation d’un test de compatibilité aux fins de déterminer la possibilité de réutiliser les données ainsi collectées.
A ce titre, le responsable de traitement devra donc se poser les questions suivantes avant de réutiliser des données pour une autre finalité :
- Existe-t-il un lien entre la finalité initiale pour laquelle ont été collectées les données et la finalité ultérieure dans le cadre de laquelle elles vont être réutilisées ?
- Dans quel contexte ont-été collectées les données initialement ? La relation entre le responsable de traitement et les personnes concernées dans le cadre de la collecte initiale a-t-elle changé dans le cadre de la réutilisation des données ?
- Quelle est la nature des données traitées ? Des données sensibles sont-elles concernées ?
- Quelles sont les conséquences possibles du traitement amené par la réutilisation des données sur les personnes concernées ?
- Quelles sont les garanties appropriées mises en place dans le cadre de la réutilisation des données, par exemple le chiffrement ou la pseudonymisation ?
A noter toutefois qu’une finalité incompatible ne signifie pas interdiction de réutilisation : le responsable de traitement souhaitant réutiliser les données dans ce cadre devra alors réinformer les personnes concernées et, le cas échéant, obtenir leur accord. Voir en ce sens la décision de la CNIL du 11 octobre 2018 mettant en demeure cinq sociétés d’assurance pour détournement de finalités : elles utilisaient les données de paiement des allocations retraite pour faire de la prospection commerciale.
Par ailleurs, la règlementation présume la réutilisation des données à des fins archivistiques dans l’intérêt public, de recherche scientifique ou à des fins statistiques comme un traitement compatible. En ce sens les données collectées dans le cadre du soin pourraient alors être réutilisées à des fins de recherche pour améliorer la prise en charge de la pathologie sans que l’on puisse considérer ce traitement incompatible.
Rappelons enfin que ce principe de finalité va de pair avec le principe de transparence : en dehors de l’exigence de compatibilité des finalités, elles doivent être déterminées et explicites. A cet effet, les personnes concernées doivent en être informées spécifiquement. Les personnes concernées doivent être en mesure de comprendre les utilisations secondaires de leurs données.
- Article 6 RGPD
- Décision n°2018-333 du 11 octobre 2018