Quand puis-je traiter des données personnelles ?

Six fondements, et le consentement n'en est qu'un seul

Le traitement des données à caractère personnel est autorisé à partir du moment où l'un des six fondements énumérés à l'article 6 du RGPD s'applique. Le consentement est le fondement le plus connu, mais pas le seul et, en pratique, souvent pas le plus évident : un traitement peut également être licite parce qu'il est nécessaire à l'exécution d'un contrat, parce qu'il existe une obligation légale qui s'y rapporte, pour protéger un intérêt vital, pour l'exécution d'une mission d'intérêt public, ou parce qu'un intérêt légitime de l'organisation l'emporte sur l'intérêt de la personne concernée de ne pas être traitée.

Chez un commerçant électronique ou un prestataire de services, trois de ces fondements réapparaissent généralement : le contrat (un client commande quelque chose, et les données sont nécessaires pour pouvoir livrer), l'obligation légale (une facture qui doit être conservée en vertu des règles fiscales), et l'intérêt légitime (par exemple la sécurité du site web, ou une infolettre adressée aux clients existants). Le consentement entre en jeu dès que l'un des autres fondements ne s'applique pas, comme dans le cas du marketing adressé à des personnes qui ne sont pas encore clients — pour lequel le consentement doit être spécifique, librement donné et probant.

Ceci figure à l'article 6 du RGPD

L'article 6, paragraphe 1er, du RGPD énumère les six fondements aux lettres a à f ; le fondement qui convient pour un traitement donné découle de la nature de ce traitement lui-même et non d'un choix établi d'avance. L'autorité de contrôle néerlandaise fournit des orientations supplémentaires sur son site web concernant l'application de ces fondements dans la pratique.