Considérant 47
Règlement général sur la protection des données · UE 2016/679
| (47) | Les intérêts légitimes d'un responsable du traitement, y compris ceux d'un responsable du traitement à qui les données à caractère personnel peuvent être communiquées, ou d'un tiers peuvent constituer une base juridique pour le traitement, à moins que les intérêts ou les libertés et droits fondamentaux de la personne concernée ne prévalent, compte tenu des attentes raisonnables des personnes concernées fondées sur leur relation avec le responsable du traitement. Un tel intérêt légitime pourrait, par exemple, exister lorsqu'il existe une relation pertinente et appropriée entre la personne concernée et le responsable du traitement dans des situations telles que celles où la personne concernée est un client du responsable du traitement ou est à son service. En tout état de cause, l'existence d'un intérêt légitime devrait faire l'objet d'une évaluation attentive, notamment afin de déterminer si une personne concernée peut raisonnablement s'attendre, au moment et dans le cadre de la collecte des données à caractère personnel, à ce que celles-ci fassent l'objet d'un traitement à une fin donnée. Les intérêts et droits fondamentaux de la personne concernée pourraient, en particulier, prévaloir sur l'intérêt du responsable du traitement lorsque des données à caractère personnel sont traitées dans des circonstances où les personnes concernées ne s'attendent raisonnablement pas à un traitement ultérieur. Étant donné qu'il appartient au législateur de prévoir par la loi la base juridique pour le traitement des données à caractère personnel par les autorités publiques, cette base juridique ne devrait pas s'appliquer aux traitements effectués par des autorités publiques dans l'accomplissement de leurs missions. Le traitement de données à caractère personnel strictement nécessaire à des fins de prévention de la fraude constitue également un intérêt légitime du responsable du traitement concerné. Le traitement de données à caractère personnel à des fins de prospection peut être considéré comme étant réalisé pour répondre à un intérêt légitime. |
Au Luxembourg, la loi du 1er aout 2018 portant organisation de la CNPD confirme l'interdiction faite aux autorités publiques (administrations communales, ministeres, établissements publics) de fonder leurs traitements regaliens sur l'intérêt légitime : ces traitements doivent reposer sur l'article 6(1)(c) ou (e) avec une base legale luxembourgeoise identifiable. La CNPD vérifié systématiquement, lors de ses contrôles thematiques (notamment sur le secteur financier supervise par la CSSF et sur les fintechs), la presence d'un LIA documente et date.
Pratique Luxgap : pour les acteurs réglementés CSSF (banques, PSF, fintechs), nous conseillons de croiser le LIA avec la circulaire CSSF 22/806 sur l'externalisation, car un intérêt légitime invoque pour partager des données avec un sous-traitant cloud hors UE doit s'articuler avec l'autorisation d'outsourcing.
