Chaque mois, un de nos experts juridiques met en exergue une problématique rencontrée et apporte des éléments de réponses. L’article répond à la question suivante : le responsable de traitement doit-il laisser un délai minimum entre le moment où il informe la personne concernée et le moment où il démarre le traitement de ses données ?
Le responsable de traitement doit-il laisser un délai minimum entre le moment où il informe la personne concernée et le moment où il démarre le traitement de ses données ?
Il s’agit d’une question que nous posent régulièrement les responsables de traitement en particulier lorsqu’ils souhaitent réutiliser des données de la personne concernée et qu’ils doivent les en informer (données qu’ils ont eux-mêmes collectées ou qu’ils ont reçues).
Ni le RGPD ni la Loi Informatique et Libertés n’imposent de manière générale un tel délai.
Le considérant 61 du RGPD indique que « Les informations sur le traitement des données à caractère personnel relatives à la personne concernée devraient lui être fournies au moment où ces données sont collectées auprès d’elle ou, si les données à caractère personnel sont obtenues d’une autre source, dans un délai raisonnable en fonction des circonstances propres à chaque cas. (…) Lorsqu’il a l’intention de traiter les données à caractère personnel à des fins autres que celles pour lesquelles elles ont été collectées, le responsable du traitement devrait, avant de procéder à ce traitement ultérieur, fournir à la personne concernée des informations au sujet de cette autre finalité et toute autre information nécessaire. (…) ».
Ce considérant est décliné à l’article 14.3 du Règlement qui exige que les informations soient fournies dans un délai raisonnable après obtention des données sans dépasser 1 mois.
Si un délai est fixé pour fournir l’information, aucun délai n’est en revanche exigé pour démarrer ensuite le traitement une fois l’information délivrée.
Il conviendra alors de s’assurer que cette information a bien été délivrée avant de procéder au traitement.
Nouveaux aménagements sur le traitement des données
Récemment, ce principe a toutefois fait l’objet de certains aménagements.
Ainsi, dans le référentiel relatif aux entrepôts de données de santé, une information collective est exigée en complément de l’information individuelle « préalablement à la mise en place de l’entrepôt afin de garantir qu’une période de temps raisonnable (p. ex. : un mois) s’écoule entre la notification des patients et le commencement du traitement de leurs données, afin que ceux-ci puissent faire valoir leur droit d’opposition ».
Le récent arrêté du 12 mai 2022 déterminant les premières bases inscrites au catalogue des données du Health Data Hub impose également qu’un délai d’un mois minimum soit laissé aux personnes concernées par les responsables de bases de données pour s’opposer au transfert dans leurs données au catalogue du HDH.
