Digi, un fournisseur de services Internet en Hongrie, se retrouve au cœur d’un scandale après qu’un pirate éthique a révélé l’accès à une base de données de test contenant des données clients, que l’entreprise n’a pas effacée comme prévu. En réponse, Digi a supprimé la base de données et notifié l’autorité compétente d’une violation de données. Toutefois, cette action n’a pas suffi à éviter une sanction, soulevant des questions sur la légalité de la duplication des données et la durée de leur conservation. La Cour de Justice de l’Union Européenne (CJUE) s’est penchée sur la compatibilité des finalités de traitement des données. Elle a établi cinq critères pour évaluer cette compatibilité, incluant le lien entre les finalités initiales et le traitement ultérieur, et les attentes des abonnés. La Cour a souligné que les tests effectués pour corriger des erreurs étaient liés à l’exécution des contrats d’abonnement, ce qui pourrait justifier le traitement des données dans ce contexte. Concernant la conservation des données, la CJUE a rappelé que les responsables doivent prouver que la conservation est nécessaire et que même un traitement initialement licite peut devenir incompatible avec le RGPD si les données ne sont plus nécessaires. En conclusion, la Cour a clairement indiqué que le non-effacement des données ne peut être justifié que durant la période strictement nécessaire à la résolution des problèmes techniques.
Les faits
Digi, un fournisseur de services Internet et de télévision en Hongrie, fait face à une défaillance technique d’un serveur et, dans ce cadre, crée une base de données dite « de test » où sont copiées une partie des données des clients.
Plus tard, un « pirate éthique » contacte Digi et démontre avoir eu accès à la base de test qui n’avait pas été effacée par inadvertance.
Digi supprime la base de données de test et notifie à l’autorité un data breach.
L’autorité réagit avec virulence : elle impose une sanction à Digi qui a oublié d’effacer la base de test.
Sur recours, le juge s’interroge :
- Digi pouvait-il dupliquer une partie de sa base de données (violation éventuelle du principe de limitation des finalités) ?
- Quand Digi devait-elle effacer cette base de test (violation éventuelle du principe de limitation de la conservation) ?
Comment déterminer la compatibilité des finalités ?
La Cour constate que la finalité initiale ne pose pas de souci en l’espèce : il s’agit de la conclusion et l’exécution des contrats d’abonnement.
Plus délicate est la question de la compatibilité avec cette finalité initiale, de la duplication d’une partie de la base de données dans une autre base de données, dite de test. Cette nouvelle finalité, qui n’est pas « identique » à la finalité initiale, est-elle à tout le moins « compatible » avec celle-ci ?
La CJUE propose cinq critères de vérification de la compatibilité des finalités :
- L’existence éventuelle d’un lien entre les finalités pour lesquelles les données à caractère personnel ont été collectées et les finalités du traitement ultérieur envisagé ;
- Le contexte dans lequel les données à caractère personnel ont été collectées, en particulier en ce qui concerne la relation entre les personnes concernées et le responsable du traitement ;
- La nature des données à caractère personnel ;
- Les conséquences possibles du traitement ultérieur envisagé pour les personnes concernées, et,
- L’existence de garanties appropriées à la fois dans le cadre du traitement initial et du traitement ultérieur prévu.
Ces critères présentent trois avantages explique la Cour :
- Ils traduisent la nécessité d’un lien concret, logique et suffisamment étroit entre les finalités de la collecte initiale des données à caractère personnel et le traitement ultérieur de ces données ;
- Ils permettent de s’assurer que ce traitement ultérieur ne s’écarte pas des attentes légitimes des abonnés quant à l’utilisation ultérieure de leurs données ;
- Ils permettent d’assurer un équilibre entre, d’une part, le besoin de prévisibilité et de sécurité juridique concernant les finalités du traitement de données à caractère personnel précédemment collectées et, d’autre part, la reconnaissance d’une certaine flexibilité au profit du responsable du traitement dans la gestion de ces données.
Sans entrer dans la résolution du litige même, la Cour donne une indication claire : « la réalisation de tests et la correction d’erreurs qui affectent la base de données des abonnés présentent un lien concret avec l’exécution des contrats d’abonnement des clients particuliers, en ce que de telles erreurs sont susceptibles d’être dommageables pour la fourniture du service contractuellement prévu, et pour laquelle les données ont été initialement collectées ».
Quand faut-il effacer les données conformément au principe de limitation de la conservation ?
La CJUE rappelle trois choses :
- Le principe de la « limitation de la conservation » requiert que le responsable du traitement soit en mesure de démontrer, conformément au principe de responsabilité, que les données sont uniquement conservées pendant la durée nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées ou pour lesquelles elles ont été ultérieurement traitées.
- Même un traitement initialement licite de données peut devenir, avec le temps, incompatible avec le RGPD lorsque ces données ne sont plus nécessaires à la réalisation de telles finalités.
- Dès lors que l’on est en-dehors d’un traitement fondé sur le consentement, le traitement doit répondre à une exigence de « nécessité » : que ce soit pour l’exécution d’un contrat ou la poursuite d’un intérêt légitime, le traitement doit être nécessaire à la finalité poursuivie.
Il incombe donc au responsable de démontrer que le non-effacement des données est nécessaire à la poursuite de la finalité.
Or, s’agissant de tests destinés à résoudre un problème technique ponctuel, le non-effacement des données ne saurait se justifier au-delà de la période de test et la correction des erreurs.
Plus d’infos ?
L’arrêt et les conclusions de l’AG sont disponible en annexe.
Annexes
Arret CJUE
file_download Télécharger l'annexeconclusions AG
file_download Télécharger l'annexe
Vous avez besoin d'un avis personnalisé
ou d'une aide juridique ?
