Le piège classique
Ce considérant éclaire les articles 6(1)(c), 6(1)(e) et 6(3) RGPD : quand vous invoquez une obligation légale ou une mission d'intérêt public comme base de licéité, la CNPD et la CNIL exigent que vous puissiez pointer un texte clair, précis et prévisible. Le piège : invoquer une circulaire ministérielle vague, une note de service interne ou un usage professionnel comme s'il s'agissait d'une base légale opposable. La CNPD requalifie alors le traitement en absence de base légale (article 6 viole), sanctionnable jusqu'à 20 M'EUR ou 4% du CA mondial.
Le test de prévisibilité : ce que CNPD et CJUE vérifient
Pour qu'une base juridique tienne devant la CNPD, elle doit cumulativement remplir ces critères issus de la jurisprudence CJUE (arrêts Tele2 Sverige, La Quadrature du Net, Schrems II) :
- Texte accessible publiquement (loi, règlement grand-ducal, arrêté ministériel publié au Mémorial, règlement européen, convention collective déposée).
- Finalité du traitement explicitement identifiable à la lecture du texte, pas par déduction.
- Catégories de données et de personnes concernées circonscrites.
- Durée de conservation ou critères de durée déterminables.
- Garanties contre l'arbitraire (recours, contrôle, transparence).
- Proportionnalité démontrable : le texte ne permet pas plus que strictement nécessaire.
Concrètement au Luxembourg : un code de conduite sectoriel, une circulaire CSSF, une recommandation ILR ou un guide CNPD ne sont pas des bases juridiques au sens de l'article 6(3). Ce sont des aides interprétatives. La base doit être la loi sous-jacente (loi bancaire, loi du 1er aout 2018 sur la protection des données, loi sectorielle santé, etc.).
Comment Luxgap automatise ce risque
Notre Luxgap Légal Basis Validator transforme chaque base légale invoquée dans votre registre article 30 en référence juridique opposable, vérifiée en temps réel contre les bases EUR-Lex, Légilux et JURIS de la CJUE. L'outil refuse silencieusement les bases vagues (circulaire interne, politique groupe, usage du secteur) et impose un pointeur URL stable vers le texte officiel publié, daté et toujours en vigueur.
- Scanne votre registre des traitements (Odoo, OneTrust, registre Excel, Notion) et extrait chaque base juridique invoquée pour la confronter au test de prévisibilité CJUE.
- Vérifie en continu via API Légilux et EUR-Lex que les textes cités sont toujours en vigueur et alerte instantanément en cas d'abrogation ou modification.
- Détecte les bases fragiles (référence à une circulaire, note de service, code de conduite non approuvé article 40) et propose la requalification vers une base solide.
- Génère pour chaque traitement une fiche de qualification juridique horodatée, citant le texte, l'article précis, la date de publication au Mémorial et la jurisprudence CJUE applicable.
- Produit un rapport PDF scellé cryptographiquement, opposable à la CNPD lors d'un contrôle, démontrant que chaque traitement repose sur une base claire et prévisible au sens du considérant 41.
Disponible en complément d'un mandat DPO Luxgap ou en brique SaaS dédiée selon votre périmètre. Demandez un devis personnalisé et nos équipes préparent une démonstration sur votre registre réel, avec un audit blanc gratuit sous 48h pour identifier vos bases légales fragiles avant tout engagement.
