Considérant 40
Règlement général sur la protection des données · UE 2016/679
| (40) | Pour être licite, le traitement de données à caractère personnel devrait être fondé sur le consentement de la personne concernée ou reposer sur tout autre fondement légitime prévu par la loi, soit dans le présent règlement soit dans une autre disposition du droit national ou du droit de l'Union, ainsi que le prévoit le présent règlement, y compris la nécessité de respecter l'obligation légale à laquelle le responsable du traitement est soumis ou la nécessité d'exécuter un contrat auquel la personne concernée est partie ou pour prendre des mesures précontractuelles à la demande de la personne concernée. |
Au Luxembourg, la CNPD est l'autorité de contrôle exclusive (et non l'APDL qui n'existe pas) pour apprecier la licite des traitements au sens de l'article 6 RGPD. La loi du 1er aout 2018 relative a l'organisation de la CNPD et au regime general sur la protection des données précisé les conditions de mise en oeuvre du RGPD au niveau national, notamment pour les traitements fondes sur l'article 6.1.c (obligation legale) et 6.1.e (mission d'intérêt public) qui doivent reposer sur une base en droit luxembourgeois claire et previsible.
Pratique Luxgap : lors d'un contrôle CNPD, attendez-vous a devoir produire le test d'intérêt légitime (LIA) ecrit pour chaque traitement fonde sur l'article 6.1.f. L'absence de LIA documente est considérée comme une violation de l'accountability article 5(2), sanctionnable independamment de la licite du traitement lui-meme.
