C'est ce qui autorise légalement la mise en œuvre du traitement de données à caractère personnel, ce qui donne le droit à un organisme de collecter ou d'utiliser des données à caractère personnel. On peut également parler de « fondement juridique » ou de « base juridique » du traitement.

Six bases légales sont prévues par le RGPD :

1. Le consentement

2. Le contrat

3. L’obligation légale

4. La sauvegarde des intérêts vitaux : le traitement est considéré comme licite s’il permet la sauvegarde des intérêts vitaux de la personne concernée, ou d’un tiers.

5. L’intérêt public

6. Les intérêts légitimes



Toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement.

Le DPO est chargé de mettre en œuvre la conformité au règlement européen sur la protection des données (RGPD) au sein de l’organisme qui l’a désigné s’agissant de l’ensemble des traitements mis en œuvre par cet organisme. Sa désignation est obligatoire dans certains cas. Un délégué, interne ou externe, peut être désigné pour plusieurs organismes sous conditions. Pour garantir l’effectivité de ses missions, le délégué doit disposer de qualités professionnelles et de connaissances spécifiques et doit bénéficier de moyens matériels et organisationnels, des ressources et du positionnement adéquats.

Une donnée, par définition, est une information brute, sans contexte, un fait sans aucun arrière-plan. Elle ne peut pas être exploitée telle quelle. Une donnée brute peut prendre différents aspects. Cela peut être des données numériques, textuelles ou un mélange de texte et de chiffres, mais aussi un tableau, un graphique.

Toute information se rapportant à une personne physique identifiée ou identifiable (la « personne concernée ») ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

Forment une catégorie particulière des données personnelles. Ce sont des informations qui révèlent la prétendue origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique.

Par principe, le traitement de ces données est interdit sauf dans quelques exceptions.

Vous offre la possibilité de récupérer une partie de vos données dans un format lisible par une machine. Libre à vous de stocker ailleurs ces données portables ou les transmettre acilement d’un système à un autre, en vue d’une réutilisation à d’autres fins.

Vous permet de savoir quelles données les administrations, les organismes publics ou privés et les sociétés commerciales détiennent sur vous dans leurs fichiers : c'est ce qu'on appelle le droit d'accès. Ce droit d'accès s'exerce soit directement (en demandant ces informations à l’organisme concerné), soit indirectement pour certains fichiers publics, vous ne pouvez pas accéder directement à ces informations. Il faut s'adresser à la Commission nationale de l’informatique et des libertés qui est chargée de procéder aux vérifications.

Vous pouvez exiger, auprès d’un organisme privé ou public, l’effacement de vos données dès lors que celles-ci ne sont pas traitées pour un motif empêchant leur effacement (base légale du traitement ne vous concédant pas ce droit).

Si vous contestez l’exactitude des données utilisées par l’organisme ou que vous vous opposez à ce que vos données soient traitées, la loi autorise l’organisme à procéder à une vérification ou à examen de votre demande pendant un certain délai. Pendant ce délai, vous avez la possibilité de demander à l’organisme de geler l’utilisation de vos données. Concrètement, il ne devra plus utiliser les données mais devra les conserver.

Toute personne a la possibilité de s’opposer, pour des motifs légitimes, à figurer dans un fichier, et peut refuser sans avoir à se justifier, que les données qui la concernent soient utilisées à des fins de prospection commerciale.

permet de corriger des données inexactes vous concernant (âge ou adresse erronés) ou de compléter des données (adresse sans le numéro de l’appartement) en lien avec la finalité du traitement.

les données à caractère personnel ne peuvent pas être conservées indéfiniment : une durée de conservation doit être déterminée par le responsable du traitement en fonction de l’objectif ayant conduit à la collecte de ces données.

- Base active : durée nécessaire à la réalisation de l’objectif (finalité du traitement) ayant justifié la collecte/enregistrement des données.

- Archivage intermédiaire : les données à caractère personnel ne sont plus utilisées pour atteindre l’objectif fixé (« dossiers clos ») mais présentent encore un intérêt administratif pour l'organisme (ex : gestion d’un éventuel contentieux, etc.) ou doivent être conservées pour répondre à une obligation légale (par exemple, les données de facturation doivent être conservées dix ans en application du code de commerce, même si la personne concernée n’est plus cliente). Les données peuvent alors être consultées de manière ponctuelle et motivée par des personnes spécifiquement habilitées.

- Archivage définitive : en raison de leur « valeur » et intérêt, certaines informations sont archivées de manière définitive et pérenne. À la différence de la conservation en base active, les deux dernières étapes ne sont pas systématiquement mises en place. Leur nécessité doit être évaluée pour chaque traitement, et, pour chacune de ces phases, un tri est opéré entre les données.

est l’objectif principal de l’utilisation de données personnelles. Les données sont collectées pour un but bien déterminé et légitime et ne sont pas traitées ultérieurement de façon incompatible avec cet objectif initial. Ce principe de finalité limite la manière dont le responsable du traitement peut utiliser ou réutiliser ces données dans le futur.

le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel.

La personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou par le droit d'un État membre.

établit des règles relatives à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et des règles relatives à la libre circulation de ces données. Le présent règlement protège les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel. La libre circulation des données à caractère personnel au sein de l'Union n'est ni limitée ni interdite pour des motifs liés à la protection des personnes physiques à l'égard du traitement des données à caractère personnel.

la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement.

toute opération ou tout ensemble d'opérations effectuée ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction.