Le contrat : dans quels cas fonder un traitement sur cette base légale ?

21 février 2020

Le contrat est une des bases légales prévues par le RGPD sur laquelle peut se fonder un traitement de données personnelles. Le recours à cette base légale suppose que le traitement soit objectivement nécessaire à l’exécution d’un contrat entre l’organisme traitant les données et les personnes concernées.

Le contrat peut valablement fonder un traitement sous réserve que celui-ci soit objectivement nécessaire à l’exécution de ce contrat : il ne suffit pas que le traitement de données soit mentionné dans des clauses contractuelles ou dans des conditions générales d’utilisation. De même, cette base légale peut fonder un traitement nécessaire à l’exécution de mesures précontractuelles, c’est-à-dire de mesures préalables à la signature d’un contrat et qui en facilitent la conclusion, à condition que ces mesures soient prises à la demande des personnes.

Qui peut être concerné par la base légale « contrat » ?

Le contrat est une des 6 bases légales prévues par le RGPD autorisant la mise en œuvre de traitements de données personnelles. Plus précisément, cette base légale peut fonder un traitement nécessaire à l’exécution d’un contrat entre le responsable du traitement et la personne concernée ou de mesures préalables à la conclusion d’un tel contrat prises à la demande de cette personne.

Cette base légale concerne donc, en premier lieu, les traitements mis en œuvre par des organismes privés dans le cadre d’une relation contractuelle avec les personnes concernées par le traitement. Elle peut autoriser également la mise en œuvre de traitements par des organismes publics, dès lors qu’ils entretiennent une relation contractuelle ou précontractuelle avec les personnes concernées et qu’une autre base légale n’apparaît pas plus appropriée.

Dans quelles conditions le contrat peut-il constituer la base légale d’un traitement ?

Le recours au contrat pour fonder légalement un traitement est soumis à 3 conditions :

il existe une relation contractuelle ou précontractuelle entre l’organisme et la personne concernée

Il est nécessaire que la personne concernée et l’organisme traitant ses données soient engagés dans une relation contractuelle pour fonder le traitement sur cette base légale.

Toutefois, elle peut aussi fonder des traitements lorsqu’il existe une simple éventualité qu’un contrat soit conclu : cette base légale concerne également les traitements nécessaires à l’exécution de mesures précontractuelles prises à la demande de la personne concernée. Ainsi, le traitement de données nécessaires à la prise de mesures préalables à la signature d’un contrat et qui en facilitent la conclusion, même en l’absence de conclusion effective d’un tel contrat, peut se fonder sur la base légale « contrat », à la condition que ces mesures répondent à la seule initiative de la personne concernée.

Par exemple, une personne peut fournir son code postal à un organisme afin de déterminer si celui-ci assure des services de livraison dans la zone dans laquelle elle habite : le traitement de cette donnée peut se fonder sur la base légale « contrat », même si aucun contrat n’est encore conclu entre le responsable du traitement et la personne concernée.

En revanche, les traitements ayant pour objectif de prospecter de nouveaux clients, sans démarche de leur part, ne pourront pas être fondés sur la base légale du contrat, car ces traitements sont mis en œuvre à la seule initiative des responsables de traitement, et non à la demande des personnes concernées. De tels traitements de prospection doivent se fonder sur l’intérêt légitime du responsable du traitement ou le consentement des personnes.

De même, si certains organismes ont des obligations légales de vérification d’identité des personnes (comme par exemple dans le secteur bancaire) avant de conclure un contrat avec elles, le traitement des données nécessaires à cette vérification ne peut pas être fondé sur le contrat, car ces opérations ne sont pas faites à la demande des personnes concernées. Un tel traitement pourra en revanche se fonder sur l’obligation légale incombant au responsable du traitement.

le contrat doit être valide au regard du droit applicable

Bien entendu, le contrat liant la personne concernée au responsable du traitement, ou ayant vocation à être conclu entre ces deux parties, doit être licite au regard du droit français.

En particulier, il doit être conforme aux exigences du droit des contrats et, le cas échéant, respecter les contraintes spécifiques encadrant certains contrats, comme par exemple les contrats conclus avec les consommateurs ou les contrats de fourniture de contenus ou de services numériques.

le contrat ne peut être retenu que si le traitement satisfait à la condition de nécessité (comme pour toute base légale)

Le traitement en cause doit être objectivement nécessaire à l’exécution du contrat. Cela signifie qu’il doit uniquement permettre à l’organisme d’exécuter le contrat spécifique conclu avec la personne, c’est-à-dire de fournir le produit ou le service souhaité par celle-ci, et ne doit pas viser un autre objectif, permettant par exemple la poursuite d’intérêts distincts ou exclusifs du responsable de traitement. L’organisme doit en outre s’assurer qu’il n’existe pas de moyen moins intrusif d’exécuter ce contrat que de mettre en œuvre le traitement envisagé.

Par exemple, une personne procède à des achats en ligne et souhaite payer par carte bancaire et se faire livrer les produits à son domicile. Il est dès lors nécessaire pour le site marchand en ligne de traiter les données de paiement et l’adresse de livraison de son client : le traitement de ces données vise uniquement l’exécution du contrat conclu avec la personne concernée et les données traitées sont limitées à celles qui sont nécessaires à cette exécution. Le traitement par l’organisme de ces informations peut donc se fonder sur la base légale « contrat ».

En pratique, la condition de nécessité s’apprécie concrètement au regard de l’objectif du contrat et des attentes mutuelles des parties quant à cet objectif. Elle n’est en revanche pas déterminée par la formalisation de ce contrat : le respect de cette condition ne doit pas être évalué au vu de ce qui est permis ou écrit dans le contrat proposé par le responsable du traitement.

Par exemple, un traitement de ciblage publicitaire sur un service en ligne ne peut pas, à titre général, être considéré comme objectivement nécessaire à l’exécution du contrat conclu avec les personnes concernées, même si le traitement est mentionné dans les conditions générales d’utilisation du site internet. En effet, l’utilisation du service n’est pas conditionnée par la mise en œuvre du traitement de ciblage publicitaire et le fait que ce traitement soit nécessaire au regard du modèle d’affaires de l’organisme ou à la viabilité économique du site internet ne suffit pas à le rendre nécessaire à l’exécution du contrat spécifique conclu avec les personnes concernées.

Un organisme qui souhaite créer des profils sur les préférences des utilisateurs, en se fondant sur leur navigation sur un site internet, doit donc rechercher une autre base légale, comme par exemple le consentement des personnes.

Pour en savoir plus

Comment déterminer si un traitement est bien « nécessaire à l’exécution du contrat » ?

Pour déterminer si un traitement est nécessaire à la fourniture du produit ou du service, l’organisme doit prendre en compte l’objectif du contrat, compte tenu des attentes mutuelles des deux parties.

La nécessité du traitement de données s’apprécie ainsi tout d’abord au regard de l’objectif principal du contrat : le responsable du traitement doit s’assurer que la fourniture du produit ou du service ne peut pas intervenir en l’absence de mise en œuvre du traitement des données en cause. Si, au contraire, l’objectif du contrat peut être atteint sans que le traitement de données spécifique soit mis en œuvre, la condition de nécessité n’est pas remplie.

Par exemple, si une personne souscrit à un abonnement payant à un magazine en ligne, l’objectif du contrat est de permettre à la personne de consulter ou de télécharger des articles en échange d’un paiement. Les données pouvant être traitées par l’organisme sur la base légale « contrat » ne sont que celles qui sont nécessaires pour atteindre cet objectif, comme par exemple des informations d’identification, une adresse électronique et des informations de paiement.

En revanche, les traitements mis en œuvre par le même organisme aux fins de l’amélioration de ses services ne peuvent généralement pas être fondés sur cette base légale, dans la mesure où ce contrat peut, dans la plupart des cas, être exécuté sans que ces traitements soient mis en œuvre. Le responsable du traitement doit donc rechercher une autre base légale pour ces traitements, comme par exemple « l’intérêt légitime ».

Le caractère nécessaire du traitement s’apprécie en outre au regard des attentes de chacune des parties s’agissant de l’objectif du contrat : le responsable du traitement ne doit pas se fonder exclusivement sur son point de vue pour évaluer sa nécessité au vu de cet objectif, il doit également prendre en compte la perspective de la personne concernée, son appréhension de l’objectif principal du contrat, ou la manière dont le service a été promu. L’organisme doit ainsi s’assurer que les deux parties partagent une compréhension similaire de l’objet du contrat et que cet objectif mutuel impose la mise en œuvre du traitement de données en cause.

Par exemple, lorsqu’une personne ouvre un compte courant dans un établissement bancaire, l’objet du contrat constitue, du point de vue des attentes mutuelles des parties, la réalisation d’opérations de banque et la mise à disposition de moyens de paiement. S’il est tout à fait légitime pour l’organisme bancaire de souhaiter prévenir et lutter contre la fraude aux moyens de paiement par exemple, le traitement des données relatives à des anomalies ou incohérences pouvant révéler une fraude ne peut être considéré comme nécessaire à l’atteinte de l’objectif du contrat tel que perçu par la personne concernée. Le traitement de lutte contre la fraude ne peut ainsi être fondé sur l’exécution du contrat et l’organisme doit donc rechercher une autre base légale, comme par exemple « l’intérêt légitime ».

Le responsable de traitement doit être en mesure de démontrer la validité du recours à cette base légale.

Tout changement important des conditions de mise en œuvre du traitement (finalité, données, durées de conservation, etc.) est susceptible d’avoir une incidence sur la validité de la base légale retenue : la démarche d’évaluation de cette validité doit donc, dans ce cas, être réitérée.