Article 5 RGPD - Principes relatifs au traitement des données à caractère personnel

1. Les données à caractère personnel doivent être:

a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence);

b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités; le traitement ultérieur à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques n’est pas considéré, conformément à l’article 89, paragraphe 1, comme incompatible avec les finalités initiales (limitation des finalités);

c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données);

d) exactes et, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude);

e) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation);

f) traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité);

2. Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité).

Considérants pertinents

Foire aux questions

Réponses brèves aux questions fréquentes sur cette disposition. Elles constituent une information générale et non un conseil juridique.

Le paragraphe 1 exige que les données à caractère personnel soient traitées de manière licite, loyale et transparente, collectées pour des finalités déterminées, explicites et légitimes, adéquates, pertinentes et limitées à ce qui est nécessaire, exactes et si nécessaire tenues à jour, conservées sous une forme permettant l’identification pendant une durée n’excédant pas celle nécessaire, et traitées de façon à garantir une sécurité appropriée. Le paragraphe 2 ajoute que le responsable du traitement est responsable du respect de l’ensemble de ces exigences et doit être en mesure de démontrer qu’elles sont respectées.

Non. Le paragraphe 1, point b), n’interdit que le traitement ultérieur incompatible avec les finalités pour lesquelles les données ont été collectées, et il répute compatible le traitement ultérieur à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, lorsqu’il est effectué conformément à l’article 89, paragraphe 1. Pour les autres finalités nouvelles, la compatibilité s’apprécie au regard des éléments énumérés à l’article 6, paragraphe 4.

Le paragraphe 1, point e), ne permet de conserver les données sous une forme permettant l’identification des personnes concernées que pendant la durée nécessaire aux finalités du traitement. Une conservation plus longue n’est admise qu’à des fins archivistiques dans l’intérêt public, de recherche scientifique ou historique ou statistiques au titre de l’article 89, paragraphe 1, sous réserve de mesures techniques et organisationnelles appropriées, et l’anonymisation soustrait les données au principe puisque l’identification n’est plus possible.

Le responsable du traitement doit non seulement respecter les principes du paragraphe 1, mais également être en mesure de démontrer ce respect. Cette dimension probatoire est mise en œuvre ailleurs dans le règlement, notamment par le registre des activités de traitement prévu à l’article 30, le devoir de protection des données dès la conception de l’article 25 et, lorsqu’elles sont requises, les analyses d’impact relatives à la protection des données au titre de l’article 35.

L’article 6 donne un contenu concret à l’élément de licéité de l’article 5, paragraphe 1, point a), puisqu’un traitement dépourvu de base juridique valable est illicite. Les autres principes s’appliquent cumulativement en sus de toute base juridique, de sorte qu’un traitement reposant sur un fondement solide au titre de l’article 6 enfreint néanmoins le règlement s’il viole, par exemple, la minimisation des données ou la limitation de la conservation, et les violations des principes de base relèvent du plafond de sanction supérieur prévu à l’article 83, paragraphe 5, point a).