Comment choisir la base légale d’un traitement ? Cas pratiques avec certains traitements mis en œuvre par la CNIL

La CNIL, autorité administrative indépendante, est chargée d’appliquer le RGPD et le droit national en matière de protection des données (loi « Informatique et Libertés » et son décret d’application). Ces textes définissent ses missions et prérogatives. Les activités de la CNIL s’inscrivent donc dans le cadre de ces missions d’intérêt public et des pouvoirs qui lui sont ainsi confiés, qui impliquent la mise en œuvre de plusieurs activités de traitements de données à caractère personnel.

La CNIL fonde donc la plupart des traitements qu’elle met en œuvre sur la base légale « mission d’intérêt public », et notamment tous les traitements qui concernent ses divers usagers. Elle dispose en effet d’une base juridique clairement définie, à l’instar de nombreuses autres autorités publiques, et nombre des traitements qu’elle met en œuvre sont nécessaires à l’exercice des missions qui lui sont confiées par ces textes.

Exemples : cela concerne notamment les traitements de gestion des plaintes et réclamations adressées à la CNIL, de gestion des demandes d’exercice indirect des droits des personnes, de gestion des saisines et demandes de conseil des professionnels ou encore de gestion des notifications de violation de données. Toutes les finalités de ces traitements, y compris l’aide au pilotage et le suivi statistique de chacune de ces activités, lui permettent d’exercer, de manière pertinente et appropriée, les missions d’intérêt public qui lui sont confiées et se fondent donc sur la base légale « intérêt public ».

Certaines de ces activités de traitements procèdent directement de missions et pouvoirs clairement définis par le RGPD et le droit national, comme par exemple les traitements qui concernent les demandes des usagers ou les pouvoirs de la chaîne répressive de la CNIL. Dans d’autres cas, ces dispositions légales n’imposent pas par elles-mêmes la mise en œuvre de traitements de données, mais ceux-ci restent néanmoins nécessaires à la bonne exécution des missions confiées à la CNIL, comme cela est le cas par exemple des traitements mis en œuvre dans le cadre de ses activités de communication externe. Comme pour toute autorité publique, la mission d’intérêt public peut donc fonder des traitements de données de nature diverse, dès lors qu’ils sont mis en œuvre aux fins du bon exercice des missions légales qui incombent à ces autorités et dans des conditions qui n’excèdent pas ce qui est nécessaire au regard de cet objectif.

La CNIL, comme toute administration, est soumise au respect de certaines règles, qui ne sont néanmoins pas spécifiques aux missions d’intérêt public dont elle a la charge, et qui impliquent la mise en œuvre de plusieurs traitements de données.

Ces traitements ne peuvent pas être considérés comme directement nécessaires à l’exercice de ses missions spécifiques. Certaines règles sont en effet applicables à la CNIL, non pas en tant qu’autorité chargée de la protection des données mais par exemple en tant qu’autorité administrative, quelle que soit ses missions exactes, en matière de déontologie, de ressources humaines, de gestion financière, de sécurité des systèmes d’information, etc. Ces traitements ou certaines de leurs finalités sont dès lors fondés sur l’obligation légale incombant à la CNIL.

Exemples : plusieurs finalités du traitement de gestion administrative des personnels et membres de la Commission (la gestion de la paie des agents, de l’indemnisation des membres du collège et de la gratification des stagiaires, la formation des agents, la gestion du temps de travail, etc.) sont fondées sur des obligations légales faites à la CNIL en tant qu’employeur public. De même, les traitements mis en œuvre aux fins d’assurer la sécurité de ses systèmes d’information se fondent sur une obligation légale incombant à la CNIL en tant qu’autorité administrative. Le traitement de gestion des demandes adressées au délégué à la protection des données de la CNIL se fonde sur une obligation légale incombant à la CNIL, non pas en tant qu’autorité de contrôle du RGPD, mais en tant que responsable de traitements de données.

Toute autorité publique met ainsi en œuvre des traitements de données nécessaires à l’exécution de ses missions, mais également des traitements qui lui sont imposés par des textes extérieurs à ceux qui définissent ces missions.

Certains traitements sont mis en œuvre par la CNIL à destination, non pas de ses usagers, mais de ses propres personnels ou concernent des activités purement internes. Ces traitements interviennent bien entendu à l’occasion de l’exercice de ses missions ou sont utiles à cet exercice, mais ne revêtent pour autant aucune spécificité liée à ces missions légales. Ils ne peuvent de ce fait être aisément qualifiés de « nécessaires » à ces missions. S’ils ne sont pas non plus imposés par le respect d’une obligation légale, de tels traitements peuvent se fonder sur un intérêt légitime poursuivi par la CNIL.

Le RGPD prévoit que la base légale de l’intérêt légitime n’est pas applicable « au traitement effectué par les autorités publiques dans l’exécution de leurs missions ». Cependant, pour la CNIL, cette disposition ne fait pas obstacle au recours à cette base légale lorsque le traitement, bien que nécessaire à son administration ou fonctionnement courants, n’entre pas dans la stricte exécution de ses missions prévues par les textes. Sous réserve de respecter les exigences spécifiques de cette base légale (équilibre entre les intérêts du responsable du traitement et les droits des personnes concernées), les autorités publiques peuvent donc fonder certains de leurs traitements sur l’intérêt légitime.

La frontière entre ce qui est « nécessaire » à l’exécution de la mission d’intérêt public et ce qui relève des intérêts légitimes de l’organisme peut être parfois délicate à tracer. Les organismes disposent dès lors, lorsque l’hésitation est justifiée, d’une marge d’appréciation pour déterminer la base légale la plus appropriée selon eux.

Exemples : la CNIL a fait le choix de recourir à l’intérêt légitime concernant notamment les traitements de données nécessaires à la mise en œuvre de son portail intranet ou d’autres activités documentaires mises à disposition de son personnel, les traitements de gestion des ressources et moyens numériques et télécoms ou d’autres fournitures mis à disposition des agents et membres de la CNIL. Ces traitements sont utiles au bon exercice des missions de la CNIL et poursuivent dès lors un intérêt légitime de l’institution, mais ne revêtent aucune spécificité liée aux missions d’intérêt public qui lui sont confiées. Il en est de même du traitement de contrôle d’accès de ses personnels et visiteurs, la CNIL n’étant pas dotée par les textes d’une mission d’accueil du public. Ces traitements ne portent pas atteinte aux droits des personnes concernées et peuvent donc se fonder sur l’intérêt légitime.

Les traitements nécessaires à la gestion de l’action sociale mise en œuvre au sein de la CNIL ou à la dématérialisation de certaines procédures en matière de ressources humaines ne peuvent pas se fonder sur une obligation légale, les textes applicables en la matière n’imposant pas nécessairement la mise en œuvre de traitements de données. Dans la mesure où ils ne portent pas atteinte aux droits des agents de la CNIL et où ils sont sans rapport direct avec les missions de la CNIL, ils peuvent se fonder sur un intérêt légitime poursuivi par l’institution.

Ces considérations peuvent naturellement s’appliquer à d’autres autorités publiques qu’à la CNIL. Le recours à l’intérêt légitime pour de telles autorités doit néanmoins être limité à ces cas d’inadéquation des bases légales « mission d’intérêt public » et « obligation légale » et devrait en outre être documenté en interne. L’intérêt légitime effectivement poursuivi doit enfin être porté à la connaissance des personnes concernées et c’est pourquoi la CNIL l’a fait figurer dans son registre, qui lui sert notamment à élaborer les mentions d’information prévues par le RGPD.

En fonction des circonstances concrètes de mise en œuvre d’un traitement, les autres bases légales (contrat, intérêt vital, consentement) peuvent également être mobilisées, à titre accessoire, par les autorités publiques.

Par exemple, la situation particulière de la CNIL concernant la composition de son personnel (très principalement des contractuels, et non des fonctionnaires, recrutés selon une procédure très classique sans recours à des dispositifs de profilage par exemple) justifie que le traitement de recrutement de ses personnels soit fondé sur l’exécution du contrat. C’est néanmoins le seul cas d’usage de cette base légale identifié par la CNIL dans l’ensemble des traitements qu’elle met en œuvre.

La CNIL ne fonde aucun de ses traitements sur la base légale du consentement. Cela ne l’empêche pas de recueillir l’accord de certaines personnes au traitement de leurs données (par exemple, des personnes figurant sur la liste des experts en vote électronique mise à disposition sur son site internet ou des personnes souhaitant recevoir la lettre d’information de la CNIL), mais le choix a été fait de fonder les traitements concernés sur la mission d’intérêt public, du fait des missions d’information du public confiées à la CNIL.

Le recours au consentement par les autorités publiques doit faire l’objet d’un examen attentif, afin de s’assurer que, dans le cadre du traitement en cause, il n’existe pas de déséquilibre manifeste entre les personnes concernées et l’autorité publique susceptible de limiter la liberté du consentement. Par exemple, il est possible de recourir au consentement pour fonder le traitement de photographies d’étudiants par une université aux fins d’alimentation d’une revue imprimée ou encore le traitement des adresses électroniques de personnes souhaitant être informées de telle ou telle action d’une collectivité, dès lors que toutes les conditions applicables au consentement sont réunies.