Hors collection - Droit des données à caractère personnel - 1re - 127

CHAPITRE 1 - LES

CONDITIONS DU TRAITEMENT DES DONNÉES

127

étonne167. Littéralement, seul le traitement des données relatives à l'exécution satisfactoire du contrat
entrerait dans le champ de la base juridique étudiée. En cas d'inexécution, le responsable du traitement devra se fonder sur une autre base juridique, comme son intérêt légitime, afin par exemple
d'agir pour obtenir l'exécution forcée du contrat ou sa résolution, ou même avant cela pour mettre
en demeure le débiteur. On pourrait toutefois penser que les personnes concernées peuvent s'attendre
à ce que le traitement de leurs données pour l'exécution couvre son inexécution mais aussi son éventuelle nullité. En cas de nullité ou de résolution, le traitement des données n'étant plus nécessaire pour
les finalités pour lesquelles elles ont été collectées, le droit à l'effacement est ouvert, avec notamment
pour limite l'exercice et la défense des droits en justice par le responsable du traitement.
c) L'obligation légale

218. Source de l'obligation. Le traitement de données à caractère personnel peut être nécessaire en
raison d'une obligation légale pesant sur le responsable du traitement168. L'obligation doit être formulée
par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis.
Elle doit être suffisamment précise, de telle sorte que la nécessité de mettre en œuvre un traitement de
données à caractère personnel sur son fondement soit prévisible pour les personnes concernées169. Une
« disposition légale peut suffire pour fonder plusieurs opérations de traitement basées sur une obligation
légale à laquelle le responsable du traitement » est soumis170. Une norme privée comme un code de
bonne conduite ne peut pas non plus fonder un traitement de données au titre d'une obligation légale
car l'exigence posée n'émane pas d'une source formelle du droit. Par ailleurs, l'obligation légale prévue
par un État tiers ne peut pas justifier le traitement de données, le traitement pourra, dans ce cas, être
justifié par l'intérêt légitime du responsable du traitement.
219. Nature de l'obligation. L'obligation à laquelle le responsable de traitement est tenu doit être
contraignante. C'est le cas par exemple de l'obligation pour le responsable du traitement de vérifier
l'identité de la personne concernée, comme celle qui pèse sur les opérateurs de jeux ou de paris en
ligne qui doivent mettre en place des moyens leur permettant de s'assurer de l'identité de chaque
nouveau joueur, de son âge, de son adresse et de l'identification du compte de paiement171. C'est aussi
le cas de la transmission d'informations en matière de lutte contre le blanchiment172 ou à l'occasion
d'une déclaration préalable à l'embauche. D'autres exemples existent, tels que le traitement de données
à caractère personnel liées aux procédures et aux canaux de signalement interne et externe des violations du droit de l'Union européenne173. Une obligation facultative est insuffisante pour justifier le traitement des données. La définition d'un simple objectif général par la législation est également
insuffisante.
167. Projet de référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des
impayés, CNIL, 29 nov. 2018.
168. RGPD, art. 6, § 1, c ; L., 6 janv. 1978, art. 5, 3º.
169. RGPD, cons. 41 ; G29, avis sur la notion d'intérêt légitime poursuivi par le responsable du traitement des données,
préc., p. 22.
170. RGPD, cons. 45.
171. L. nº 2010-476, 12 mai 2010 relative à l'ouverture à la concurrence et à la régulation du secteur des jeux d'argent et de
hasard en ligne, art. 17, I.
172. C. mon. fin., art. L. 561-5 ; la vérification d'identité pouvant intervenir par voie électronique : C. mon. fin., art. R. 561-5
et R. 561-5-1.
173. Dir. (UE) 2019/1937 du PE et du Cons., 23 oct. 2019 sur la protection des personnes qui signalent des violations du
droit de l'Union, art. 7 et s.

Hors collection - Droit des données à caractère personnel - 1re

Table des matières de la publication Hors collection - Droit des données à caractère personnel - 1re