Gerrit Vandendriessche (ALTIUS / BAM Legal Hub): “Le RGPD ne concerne pas uniquement le respect de la vie privée, mais aussi la libre circulation des données personnelles”

Votre allocution est titrée ‘Legitimate debate on legitimate interest’. De quoi allez-vous nous parler ?
Je vais examiner en profondeur ce que recouvre la notion de ‘legitimate interest’ (intérêt légitime) dans le cadre du RGPD. Il s’agit souvent de la base légale sur laquelle se fondent les marketeers pour le traitement des données personnelles, vu, en plus, que d’autres bases légales contenues dans le RGPD, comme le consentement, y sont liées. Pour le moment, il existe un débat pour savoir si cette base légale peut être utilisée dans le cadre d’objectifs marketing. Par ailleurs, une affaire est en ce moment en cours auprès la Cour de Justice de l’Union Européenne. Un certain nombre d’autorités de protection des données prétendent que la notion d’intérêt légitime ne peut jamais servir de base légale dans le cadre d’objectifs marketing. Car, disent-ils, l’intérêt légitime ne permet pas l’utilisation de données à des fins commerciales. Cela a donc mené à un débat existentiel dans tout le secteur du marketing. Imaginez un instant que l’on ne puisse plus utiliser cette notion d’intérêt légitime comme base légale: cela plongera les entreprises dans de sévères difficultés.

En outre, je voudrais mener d’autres discussions dans le cadre du RGPD, comme la tentation pour certaines autorités de considérer des données de type lieu de naissance d’un individu comme sensibles. Car, en poursuivant ce raisonnement, l’information du lieu de naissance donne elle-même des informations, qui, elles, sont bel et bien sensibles, au sujet de la race des individus notamment. Si on suit cette direction, la conformité envers le RGPD sera très difficile. Je veux surtout appeler à une interprétation du RGPD correcte juridiquement, mais aussi pragmatique et raisonnable.

Beaucoup de marketeers risquent donc bientôt d’opérer en dehors d’un cadre légal ?
Nous n’en sommes pas encore là ! Je trouve que la notion d’intérêt légitime doit pouvoir servir de principe solide dans le traitement des données personnelles à des fins marketing. La tentation consistant à ne pas permettre l’utilisation de l’intérêt légitime comme base légale dans des opérations de marketing n’est juridiquement pas complètement correcte, et, selon moi, néfaste, même. Un certain nombre d’autorités de protection des données ne lisent le RGPD qu’à travers le prisme du sacro-saint sujet des données, et la manière dont ces dernières sont traitées. Et dès qu’apparaît un doute ou une zone grise, cela mène toujours à une interprétation en faveur de la data. Je ne crois pas que ce soit l’objectif unique du RGPD. Le RGPD ne concerne pas uniquement la protection des données personnelles, mais embrasse aussi une circulation fluide de ces données personnelles. Le RGPD ne prétend pas que la ‘privacy’ doive primer sur tout le reste, mais bien comment cette notion doit s’articuler avec d’autres principes importants comme la liberté de la presse, la liberté d’entreprise etc… En bref, les autorités oublient que le RGPD doit tenir compte d’autres principes fondamentaux, et ne sert pas uniquement à la protection des données personnelles.

Que dit la justice au sujet de cette question ?

La question de l’utilisation de l’intérêt légitime comme base légale à des fins commerciales est pour le moment examinée par le Cour de Justice.  Il existe aussi des déclarations faites par la Cour des Marchés, c’est-à-dire l’instance qui examine les décisions prises par l’Autorité Belge de Protection des Données (APD), qui ne suit pour autant pas chaque fois les décisions de l’APD. Enfin, il existe aussi un avis récent de l’avocat général dans une affaire traitée par la Cour de Justice dans le cadre d’une autre affaire concernant le RGPD. Elle se demandait si nous devions interpréter le RGPD de cette façon dans chaque situation, ce qui serait impossible pour les entreprises. Le RGPD possède en effet un très large espace d’application. Et si on continue à interpréter restrictivement ce texte à l’avantage unique des données, la conformité au RGPD sera un véritable défi. Ce qui est cocasse dans toute cette discussion, c’est que le terme ‘privacy’, qui est si souvent protégé, ne figure même pas dans le RGPD. Le RGPD ne concerne donc pas la ‘privacy’, mais bien les données personnelles. C’est une différence essentielle. Le RGPD contient des règles dans le cadre de la protection des données personnelles, mais aussi au sujet de la libre circulation de ces données.

Le RGPD a été voté en 2016 et est entré en application en 2018. Comment se fait-il qu’il existe encore des choses pas claires au sujet du règlement ?

Nous recevons effectivement encore beaucoup de questions de la part des marketeers. La responsabilité n’en incombe pas aux entreprises, mais à un texte formulé de manière très large et générale, permettant donc beaucoup de nuance et d’interprétation. Cela tient aussi au manque de clarté suffisante et d’interprétation concrète de la part des autorités, parmi lesquelles l’APD. Cet organisme est malheureusement sous-financé, et je reconnais qu’il ne puisse pas lever chaque manque de clarté contenu dans le RGPD. La Cour de Justice est la plus adaptée pour ce faire. Entretemps, les entreprises vont devoir composer avec un problème.

Comment cela devra-t-il se passer à l’avenir ?

L’APD doit bénéficier de plus de moyens, car cette organisation est structurellement sous-financée. S’ils disposent de plus de moyens, ils pourront prêter davantage d’attention aux entreprises qui doivent appliquer le RGPD. Après, j’espère que l’on reverra le RGPD tôt ou tard, en regardant si certaines choses peuvent y être clarifiées ou corrigées. Il existe vraiment un espace pour éclaircir, simplifier, gommer ou adapter un certain nombre de principes. Je prêterai déjà attention à ce que décidera la Cour de Justice au sujet de l’intérêt légitime dans le cadre d’applications au champ du marketing. Cette décision fera date car elle orientera le futur du traitement des données personnelles dans notre secteur.