Quels principes une entreprise doit-elle respecter pour traiter des données personnelles ?
Une entreprise doit traiter les données personnelles de manière licite, selon la bonne foi et la proportionnalité, pour des finalités déterminées et reconnaissables, puis les détruire ou les anonymiser lorsqu’elles ne sont plus nécessaires. Elle doit aussi veiller à l’exactitude des données et, lorsque le consentement est requis, obtenir un consentement libre, informé et parfois exprès.
Le traitement de données personnelles doit d’abord être licite. Il doit aussi respecter la bonne foi et la proportionnalité. En pratique, cela implique de vérifier que le traitement repose sur un cadre admissible, qu’il n’aille pas au-delà de ce qui est nécessaire et qu’il reste cohérent avec ce qui est reconnaissable pour la personne concernée. Les données ne peuvent être collectées que pour des finalités déterminées et reconnaissables, puis tout traitement ultérieur doit rester compatible avec ces finalités. Il faut donc définir clairement l’objectif poursuivi, s’assurer qu’il peut être compris par la personne concernée et contrôler que les usages ultérieurs ne s’en écartent pas de manière incompatible.[1]
Les données personnelles doivent être détruites ou anonymisées dès qu’elles ne sont plus nécessaires au regard des finalités du traitement. Il convient donc de vérifier régulièrement si la conservation reste justifiée par l’objectif initial. La personne qui traite des données doit en outre s’assurer qu’elles sont exactes et prendre toute mesure appropriée pour rectifier, effacer ou détruire les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées. Le caractère approprié de la mesure dépend notamment du type de traitement, de son étendue et du risque que ce traitement présente pour la personnalité ou les droits fondamentaux des personnes concernées.[1]
Lorsque le consentement de la personne concernée est requis, il n’est valable que si cette personne exprime librement sa volonté concernant un ou plusieurs traitements déterminés et après avoir été dûment informée. Il faut donc vérifier à la fois la liberté du choix, l’information préalable et le lien avec des traitements déterminés. Le consentement doit être exprès dans les cas suivants: traitement de données sensibles; profilage à risque élevé effectué par une personne privée; profilage effectué par un organe fédéral.[1]
Cette réponse résume le texte légal cité tel que publié sur Fedlex. Il faut vérifier la disposition actuellement en vigueur ainsi que toute modification ultérieure avant d’agir.[1]