Les « législations particulières » de protection des données prises en vertu de l'article 6.3 RGPD : Points clés sur leur élaboration

Cet article de blog est disponible en français, néerlandais et anglais. 

Outre le RGPD et les lois cadres nationales en matière de protection des données à caractère personnel, de nombreuses législations nationales particulières imposent ou encadrent certains traitements de données par des entités publiques et privées. Ces législations constituent la « base juridique » des traitements au sens du RGPD. Malgré leur foisonnement et l'importante source d'obligations, droits et informations qu'elles constituent, la question de leur élaboration est peu discutée. Ces législations doivent pourtant répondre à des exigences strictes. Leur rédaction constitue souvent un travail délicat entre, d'une part, la sauvegarde des objectifs du RGPD et la sécurité juridique et, d'autre part, la nécessité d'aboutir à des législations durables et suffisamment flexibles. La qualité de la rédaction sera déterminante quant à la mise en œuvre ultérieure des traitements qui y sont prévus.

Cet article de blog offre un aperçu des exigences et bons réflexes en la matière. Il s'adresse aux pouvoirs publics et législateurs qui entendent prévoir de nouveaux traitements de données à caractère personnel par des entités publiques ou privées, ainsi qu'aux praticiens qui souhaitent un éclairage sur ces bases juridiques de traitement et la manière de les appréhender. 

Les développements qui suivent sont principalement basés sur des expériences acquises dans le cadre de la rédaction de normes belges, mais les principes exposés devraient s'appliquer de manière similaire au sein de l'Union, sous réserve bien-sûr des particularités propres à chaque Etat Membre. 

1. Dans quel cas une loi particulière est-elle requise ? 

Le RGPD prévoit, en son article 6, six bases juridiques permettant des traiter des données à caractère personnel. La majorité de ces bases n'impliquent pas l'intervention du législateur, et donc l'existence d'une quelconque législation rendant explicitement le traitement « licite » au sens du RGPD. 

Ainsi, une entité privée, ou même publique, est libre de demander le consentement des personnes concernées pour traiter leurs données pour des finalités précises (article 6.1.a RGPD). 

De même, cette entité peut conclure des contrats et invoquer leur exécution pour traiter les données, par exemple les contrats de de travail nécessitant le traitement des données des travailleurs (article 6.1.b RGPD). 

Il existe également une base juridique disponible lorsque le traitement vise à protéger l'intérêt vital d'une personne, rarement utilisée en pratique (article 6.1.d RGPD). 

En outre, une entreprise privée est libre de déterminer ses « intérêts légitimes » et, sous réserve d'être en mesure de démontrer une mise en balance des risques pour les personnes concernées, de traiter des données à caractère personnel pour des finalités poursuivant ses propres intérêts (article 6.1.f RGPD). Dans ce dernier cas, la personne concernée doit être informée, mais elle ne doit en principe pas donner son approbation préalable. 

Dans tous ces cas, rien n'oblige le législateur à intervenir ex ante. 

Le législateur est en revanche amené à intervenir dans deux cas: 

• Il souhaite imposer une obligation légale à charge de responsables du traitement, qu'il s'agisse d'entités privées ou publiques (article 6.1.c RGPD). Par exemple, le législateur veut imposer, à des entreprises privées, l'envoi de certaines informations aux autorités fiscales. 

• Il souhaite charger une entité (le plus souvent publique, mais parfois privée) d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique, pour laquelle des traitements de données à caractère personnel seront nécessaires (article 6.1.e). 

L'article 6.3 RGPD prévoit que les traitements destinés à être fondés sur les articles 6.1.c ou 6.1.e précités doivent être définis par le droit national (ou de l'Union) de manière claire et précise (voir à cet égard le Considérant 41). 

On notera que, pour les entités publiques exécutant leurs missions, la base des intérêts légitimes de l'article 6.1.f n'est en principe pas disponible (bien que cette disposition soit généralement considérée comme visant uniquement leurs missions en tant qu'entité du secteur public, et non les activités auxiliaires de traitement de données qu'elles peuvent entreprendre). Par conséquent, hormis les cas dans lesquels il est possible de baser les traitements sur le consentement, l'exécution d’un contrat ou l'intérêt vital, une législation particulière sera nécessaire. 

En pratique, les traitements des autorités publiques reposent principalement sur des législations particulières. 

2. Contenu de la législation particulière: Les « éléments essentiels » à définir 

Lors de l'entrée en vigueur du RGPD en 2018, le contenu et la précision que devaient revêtir de telles législations ont suscité d’abondantes interrogations. De nombreux traitements ont par ailleurs perduré (et perdurent encore) sur la base des législations antérieures au RGPD. 

Aujourd'hui, les exigences de précision et les critères auxquels doivent répondre de telles législations particulières ont été grandement clarifiés par les autorités de contrôle et les Cours compétentes (Conseil d'Etat et Cour Constitutionnelle belges).

Tout d'abord, le considérant 41 du RGPD indique qu'un certain niveau de prévisibilité est requis et renvoie à la jurisprudence de la Cour de Justice de l'Union (CJUE) et de la Cour européenne des droits de l'Homme, ce qui comprend la conséquente jurisprudence relative aux ingérences à la vie privée. 

Le considérant 45 du RGPD tempère ensuite en précisant que chacun des traitements ne doivent pas être individuellement définis. Il ressort dès lors du RGPD que l'objectif, ou ratio legis, de l'article 6.3 RGPD est de s’assurer que les traitements effectués dans l'intérêt public ou imposés par le législateur soient suffisamment encadrés, sans toutefois requérir que ces derniers soient décrits dans les moindres détails (davantage à cet égard plus bas). 

L'autorité de protection des données belges (« APD ») ainsi que la Vlaamse Toezichtcommissie (« VTC »), en étroite adéquation avec la jurisprudence de la Cour constitutionnelle belge et du Conseil d'État, ont estimé, dans leurs communications, avis et décisions, que les éléments essentiels suivants doivent être précisés dans une législation qui entend permettre des traitements de données à caractère personnel:

- la (les) finalité(s) précise(s) et concrète(s) des traitements; 

Point d'attention: Les finalités et les objectifs sont deux choses différentes, qui sont souvent confondues – à tort. 

- l’identité du (des) responsable(s) du traitement; 

Point d'attention : Cette exigence n'est pas toujours aussi évidente qu'il n'y paraît. 

Les autorités de protection des données demandent fréquemment que les responsables de traitement soient identifiés explicitement lorsque le législateur semble supposer que leurs identités sont implicitement claires. De plus, bien que la ou les entités visée(s) par la législation en projet soit (soient) généralement connue(s), il est également nécessaire de déterminer pour quelles finalités elles sont responsables (et a contrario, où s'arrêtent leurs responsabilités). 

Des législations qui, en amont, énoncent par facilité qu'une entité est « responsable de la plateforme », sans autres précisions sur les activités de traitement exactes couvertes par cette disposition, présagent de difficulté d'interprétation en aval. 

- les (catégories de) données qui sont nécessaires à la réalisation de la (des) finalité(s) visée(s); 

Point d'attention : Il peut être difficile de prévoir, à l'avance, toutes les catégories de données qui pourront être collectées, reçues ou générées. Il est nécessaire de trouver des formulations qui reprennent toutes les données qui pourront faire l’objet d’un traitement, sans être vague ou englober n'importe quelle donnée. 

- les catégories de personnes concernées dont les données seront traitées; 

Point d'attention: Une certaine connaissance du projet est nécessaire pour répondre adéquatement à cette question. 

- le délai de conservation maximal des données; 

Point d'attention: Cette exigence peut s'avérer particulièrement ardue, d'autant que la législation n'a pas vocation à lister tous les (sous-)traitements qui seront potentiellement nécessaires. Des durées maximales, générales ou déterminées selon des critères objectifs peuvent dans certains cas être acceptées par les autorités. 

- les (catégories de) destinataires auxquels les données seront communiquées et les circonstances dans lesquelles elles le seront, ainsi que les motifs y afférents; 

Point d'attention: Les destinataires peuvent non seulement être des entités directement visées par la législation en projet, mais également d'autres personnes physiques ou morales qui auront besoin des données pour atteindre des finalités (sous-traitants spécifiques, autorités publiques impliquées, ...). 

Il peut également être nécessaire d’avoir égard aux législations déjà applicables à ces entités pour articuler les textes. 

Les futurs protocoles d’échange de données entre institutions publiques pourront se référer directement à ces dispositions. 

- le cas échéant et dans la mesure où cela est nécessaire, la limitation des obligations et/ou droits mentionné(e)s aux articles 5, 12 à 22 et 34 du RGPD. 

Point d'attention : De telles limitations seront évidemment examinées plus attentivement, et avec une grande rigueur quant à leur nécessité, par les autorités. Il est donc crucial de s'assurer qu’il existe un besoin et une justification explicite pour les introduire et d'envisager des garanties suffisantes pour répondre à l'exigence de proportionnalité de l'article 23 RGPD. 

Au-delà de ces éléments essentiels, les autorités sont attentives aux mesures techniques et organisationnelles contenues dans le projet de législation particulière ou ses travaux préparatoires, et à tous les autres éléments pertinents pour pallier les risques pour les personnes concernées et protéger leurs droits. 

Plus fondamentalement, l'autorité examinera si les traitements de données ne se contentent pas d'être éventuellement utiles pour les objectifs d'intérêt public poursuivis, mais bien nécessaires pour les atteindre (et donc qu'aucun autre moyen n'est disponible), et évaluera la proportionnalité entre l'ingérence dans les droits des citoyens et l'objectif poursuivi. 

Pour conclure sur le contenu de la législation spécifique, selon les autorités de protection, il n'est pas suffisant de vaguement énumérer des objectifs et de citer quelques exemples de traitements, mais bien d'encadrer les traitements autorisés et, en fin de compte, de guider les responsables de traitement qui sont visés par la législation. 

Ce dernier aspect ne devrait pas être négligé. Les législations trop vagues, rédigées et adoptées à la hâte peuvent considérablement augmenter la charge de travail des entités visées et de leurs délégués à la protection des données, voire empêcher la mise en place de certains traitements, et risquent de protéger inadéquatement les personnes concernées (faute notamment de sécurité juridique). Il est en outre déjà arrivé que l'APD constate des infractions au RGPD concernant des traitements alors même que la législation particulière ne semblait pas s’y opposer. 

En outre, la raison d'être de ces éléments essentiels ne doit pas être négligée. Leur inclusion dans la loi n'est pas une simple formalité administrative. Il s'agit plutôt d'une garantie visant à s'assurer que les personnes concernées peuvent raisonnablement déterminer quelles activités de traitement pourraient être effectuées et comment ces activités de traitement sont susceptibles de les affecter. Dans cette optique, un certain degré de flexibilité peut être accepté lors de la définition ou de la description de ces éléments essentiels, mais uniquement dans la mesure où cela ne porte pas atteinte à la sécurité juridique à laquelle un citoyen a droit en ce qui concerne son droit fondamental à la protection des données. 

On constate en tout état de cause une attention croissante, de la part des autorités de protection des données, à ces éléments essentiels ainsi qu’à l’effet de la formulation du législateur sur la prévisibilité et l’aptitude à anticiper les opérations de traitement, lorsqu'elles remettent des avis sur des projets de législations. 

3. Sécurité juridique vs. flexibilité et efficacité 

Cela étant, il ne s'agit pas non plus de limiter exagérément le champ d'action des entités visées, qui doivent bénéficier d'une certaine marge de manœuvre pour accomplir leurs missions et obligations. Ces entités demeurent responsables de la mise en œuvre des traitements nécessaires pour atteindre les finalités ainsi que de leurs modalités. 

Il est clair que le RGPD n'a pas entendu soustraire entièrement aux responsables de traitement la capacité de déterminer la manière dont ils traitent les données à caractère personnel. Dans un arrêt de 2022, la CJUE a souligné la flexibilité accordée aux responsables du traitement des données, qui – bien qu'elle doive être mise en balance avec les droits des personnes concernées – est « requise par la vie numérique et ses aléas ». D'ailleurs, sauf les limitations qui peuvent être adoptées par le législateur national en vertu de l'article 23 RGPD, le RGPD et tous ses principes continuent à sortir leurs pleins effets à l'égard des responsables, même lorsqu’ils fondent leurs traitements sur l’article 6.1.c ou .e. Cette liberté, et les choix et agissements des responsables de traitement qui en découlent, s’accompagnent du principe de responsabilité du RGPD et demeurent soumis au contrôle des autorités de protection des données. 

Par conséquent, il n'est pas nécessaire, au stade de la rédaction de la législation, de décrire précisément l'ensemble (des modalités) de tous les traitements et sous-traitements hypothétiquement concernés. Ceci sera en réalité le rôle des responsables de traitement et, le cas échéant, de leurs délégués à la protection des données. 

Il s'agit en revanche de définir les finalités poursuivies par ces traitements, les modalités concevables et les strictes limites des traitements qui sont envisagés, en tenant compte de la nature des données traitées et des risques pour les personnes concernées. Une fois la législation adoptée en bonne et due forme, les traitements de données qui relèvent raisonnablement de cette législation pourront être effectués pour atteindre les finalités prévues, la règle empirique principale consistant à se demander la mesure dans laquelle une personne concernée ordinaire aurait pu déduire l'activité de traitement sur la base de la formulation de la loi. Cet examen de nécessité appartient au responsable du traitement. L'APD a eu l'occasion d'indiquer que pour qu'une autorité publique puisse baser un traitement sur une législation spécifique lui confiant une mission d'intérêt public, il fallait qu'il puisse être raisonnablement déduit que le traitement envisagé s'inscrivait dans cette législation et ses finalités. 

Et pour cause : dans un contexte en constante évolution technologique, il n'est généralement pas souhaitable de figer excessivement les possibilités des responsables de traitement. Ces derniers doivent pouvoir adapter les traitements afin d'effectivement atteindre leurs finalités. En particulier, les plateformes et solutions informatiques d'échange de données mises en place par des législateurs, par exemple dans le cadre des efforts de simplification administrative et de guichet unique ou encore de centralisation de données de santé, ont vocation à perdurer dans le temps. Ces plateformes devraient donc pouvoir évoluer – sans toutefois pouvoir être utilisées à des fins étrangères à la destination prévue par le législateur. 

On peut dès lors soutenir que les législations devraient rester, dans la mesure du possible, agnostiques sur le plan technologique et laisser une latitude aux responsables de traitement. 

Les travaux préparatoires de la législation en projet, tels que l'exposé des motifs et les commentaires d'articles, ont également un rôle important à jouer dans le processus de rédaction et permettront de clarifier les dispositions et de guider les responsables de traitement (et leurs sous-traitants). 

Bref, lors de la rédaction de la législation particulière, il est nécessaire de trouver un équilibre raisonnable entre sécurité juridique et flexibilité, ce qui sera possible dès lors que son ou ses rédacteur(s) dispose d'une vision suffisante du projet, de ses enjeux et de ses aspects techniques. 

4. Dans quel type de législation inclure les éléments essentiels? 

Une autre question qui se pose est celle de la nature que doit revêtir l'acte juridique qui reprend les éléments essentiels.

Cette question n'est pas anodine et est directement liée à l'équilibre susmentionné : un arrêté d'exécution du pouvoir exécutif est plus facile à amender qu'un acte émanant du pouvoir législatif bénéficiant d'une hiérarchie plus élevée au sein de l’ordre juridique. 

L'APD a eu l'occasion d'adopter à de multiples reprises la position selon laquelle une « loi formelle » est en règle requise pour satisfaire à l'article 6.3 RGPD – autrement dit, une norme issue du pouvoir législatif. L'APD base notamment son raisonnement sur l'article 22 de la Constitution belge relatif au droit à la vie privée, dont on retrouve d'ailleurs la substance dans d'autres ordres juridiques. 

L'APD accepte cependant que les traitements soient, sous certaines conditions, dans un premier temps prévus par une loi formelle puis davantage précisés dans un arrêté d'exécution – autrement dit, un acte émanant du pouvoir exécutif. Le Considérant 41 RGPD reconnait cette possibilité. L'APD a eu l'occasion d'indiquer lesquels des éléments essentiels suscités pouvaient potentiellement être déterminés dans de tels actes. La possibilité de délégation demeure néanmoins limitée, tout comme en droit administratif belge classique. 

Ces normes, émanant d'un parlement ou d'un gouvernement, devront ou pourront faire l'objet préalablement à leurs adoptions d'un avis de l'autorité de protection, qui examinera si les éléments essentiels semblent suffisamment définis et assortis de garanties à même de répondre aux risques pour les personnes concernées. Ce processus, dont les modalités et étapes sont déterminées par l'autorité conformément à la législation qui l’institue, intervient, le cas échéant, parallèlement à la procédure d'avis devant la Section législation du Conseil d'Etat. 

5. Est-il nécessaire de réaliser une AIPD au stade de la rédaction de la législation particulière? Comment préparer au mieux le processus de rédaction? 

Prendre le temps nécessaire à la réalisation d’une AIPD, pour en gagner beaucoup par la suite 

Une AIPD (Analyse d'Impact sur la Protection des Données) doit être réalisée par le responsable de traitement si le traitement répond à certaines conditions reprises à l'article 35 RGPD. Les traitements ne peuvent en principe pas débuter tant que l'AIPD n'a pas été réalisée et n'a pas conclu à un niveau de risque acceptable pour les personnes concernées. 

En revanche, le législateur n'a pas l'obligation, au stade de la rédaction de la loi, de réaliser une telle analyse. Le RGPD envisage toutefois explicitement l'hypothèse, en prévoyant que si le législateur a effectué une AIPD, le responsable du traitement ne doit pas en effectuer une à nouveau (article 35.10 RGPD). 

En réalité, bien qu’il ne soit pas obligatoire de réaliser une analyse d'impact au stade de la rédaction de la législation, cela reste fortement indiqué lorsque les activités de traitement sont susceptibles d'être considérées comme sensibles, particulièrement innovantes, ou lorsqu'elles pourraient créer des risques substantiels pour les droits et libertés des personnes concernées. 

Une AIPD permet en effet d'obtenir une vue d'ensemble des traitements envisagés et des risques qui les accompagnent, des modalités techniques, des destinataires de données, etc. Elle sera donc d'une précieuse aide pour les rédacteurs de la législation. 

Puisque, en pratique, ce seront généralement les administrations concernées qui rédigeront le projet de législation particulière, l'AIPD peut être réalisée par ces dernières, de concours avec les éventuels autres responsables de traitement impliqués. Parfois, les futurs responsables seront les mieux placés pour proposer une AIPD. L'implication des différents délégués à la protection des données est conseillée. Pour certains projets, il est fait appel à l'assistance de cabinets d'avocats.

Cette première étape permettra notamment de détecter des éventuelles difficultés dans les fondamentaux du projet. Ainsi, par exemple, les principes de minimisation et d'exactitude des données impose d'éviter la multiplication des (bases de) données à caractère personnel. Dans un pays à plusieurs niveaux de pouvoirs comme la Belgique, une attention particulière à l'articulation des solutions technologiques s'avèrera souvent nécessaire... 

De plus, lors du processus de demande d'avis auprès de l'APD, l'autorité invitera les rédacteurs à soumettre tous les documents pertinents à la compréhension du projet et de son contexte, et sollicitera éventuellement de l'auteur du texte qu’il apporte des précisions. L'AIPD constituera donc un document important supportant le projet. 

Plus tard, l'AIPD pourra être réutilisée par les responsables de traitement visés par la législation adoptée, et mise à jour si nécessaire. 

Bien entendu, il n'est pas toujours possible de produire une AIPD complète au stade de la rédaction de la législation, qui intervient à un moment bien antérieur à la réalisation des traitements visés. Cela n'en ôte en rien l'utilité : une AIPD est de toute manière un processus itératif. 

L’élaboration de la législation particulière est avant tout un processus collaboratif 

Qu'une AIPD soit réalisée ou non, des échanges soutenus entre les administrations en charge du projet, les représentants politiques du gouvernement concernés (et le corps législatif) sont en pratique indispensables. 

De manière générale, le processus de rédaction ne devrait pas être réalisé en vase clos, isolément des entités, privées ou publiques, qui seront effectivement amenées à réaliser les traitements. 

Il convient également d’être attentif, tout au long du processus, à la conformité des mécanismes mis en place avec le droit public et administratif, qui impose certaines exigences pouvant se chevaucher avec celles de la protection des données. 

Le processus d'élaboration aboutira finalement à un projet de législation, assorti des travaux préparatoires (incluant l’exposés des motifs et les commentaires d’articles et, le cas échéant, une AIPD) qui pourront finalement être examinés par les parlementaires. Ces derniers sont, par la force des choses, souvent plus éloignés des aspects concrets et techniques du projet, et pourront d'autant mieux comprendre le projet que ses objectifs et enjeux seront correctement exposés – comme pour tout projet de législation. 

Conclusion 

La rédaction de législations prévoyant des traitements de données à caractère personnel, voire la mise en place de véritables plateformes et nouvelles solutions technologiques, constitue un exercice complexe. S'il est bien réalisé, il permettra des traitements conformes et pérennes. 

N'hésitez pas à nous contacter pour davantage d'informations, notamment si vous êtes impliqué dans un processus de rédaction ou en tant qu'entité potentiellement concernée par des normes en cours d'élaboration. Timelex a apporté son assistance dans de nombreux projets normatifs nationaux (ainsi que de l'Union européenne et même de pays tiers) impliquant des entités publiques et privées, et réalise régulièrement des AIPD et audit pour de tels projets.