La limite au droit d’opposition au traitement de ses données personnelles

droit-opposition-conseil-etat.JPG

Alors que le Règlement général sur la protection des données (RGPD) de l’Union européenne (2016/679) a renforcé les droits des personnes sur leurs données personnelles, le Conseil d’État rappelle, dans un arrêt rendu le 18 mars 2019, que ces droits ne sont pas absolus.

L’affaire concerne le droit d’opposition au traitement de données personnelles. Ce droit est énoncé à l’article 38 de la Loi relative à l’informatique, aux fichiers et aux libertés, qui dispose :

Toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement.

Elle a le droit de s’opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d’un traitement ultérieur.

Les dispositions du premier alinéa ne s’appliquent pas lorsque le traitement répond à une obligation légale ou lorsque l’application de ces dispositions a été écartée par une disposition expresse de l’acte autorisant le traitement.

L’exigence d’un motif légitime tenant à une situation particulière

Souhaitant exercer son droit d’opposition, la mère de deux anciens élèves d’une école primaire de Paris, en sa qualité de représentante légale de ses enfants, avait sollicité la suppression de leurs données personnelles de deux bases de données de l’Éducation nationale : le fichier BE1D (Base élèves premier degré), devenu « ONDE » (Outil numérique pour la direction d’école), et le fichier BNIE (Base nationale identifiant élève).

Ces bases de données sont utilisées par les services du ministère de l’Éducation nationale pour la gestion et le suivi administratif et pédagogique des élèves des écoles maternelles et primaires. La requérante soutenait que ces données devaient être supprimés en raison de craintes concernant notamment la sécurité du fonctionnement des bases.

Concernant la BE1D, le Conseil d’État relève que les données figurant dans le fichier ont été supprimées à l’issue d’une durée maximale de conservation, qui n’a pas excédé la fin de l’année civile au cours de laquelle les deux élèves avaient cessé d’être scolarisés dans le premier degré. Il en déduit que la demande de la requérante est dépourvue d’objet, sans qu’il soit nécessaire de rechercher l’existence d’éventuels transferts de ces données vers d’autres traitements.

Quant à la BNIE, le haute juridiction administrative ne fait pas davantage droit à la demanderesse. Énonçant les dispositions de l’article 38 de la Loi informatique et libertés, le Conseil d’État rappelle :

Le droit [ouvert] à toute personne physique de s’opposer pour des motifs légitimes à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement est subordonné à l’existence de raisons légitimes tenant de manière prépondérante à sa situation particulière.

Autrement dit, l’opposition à un traitement de données personnelles doit avoir un motif légitime tenant à une situation particulière. Et la demande fondée sur des craintes d’ordre général de sécurité ne répond pas à cette condition de ”motif fondé sur une situation particulière“.

Le principe de cette limite n’a pas été modifié par le RGPD, qui encadre également le droit d’opposition dans son article 21 :

La personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données personnelles la concernant (…).

Bien que les faits soient antérieurs à l’entrée en vigueur du RGPD, rien n’indique donc que le raisonnement du Conseil d’État aurait été différent sous l’empire du règlement européen.

Qu’est-ce qu’une « situation particulière » ?

La question se pose donc sur le point de savoir comment qualifier ce “motif d’intérêt légitime tenant à une situation particulière”.

À cet égard, la personne souhaitant exercer son droit d’opposition se trouve placée dans une situation complexe. D’une part, elle doit justifier que sa demande se fonde sur un motif légitime. Mais d’autre part, elle doit démontrer que sa demande d’opposition au traitement de ses données personnelles est fondée sur une situation qui lui est particulière, autrement dit une situation qui lui est propre, alors même qu’il s’agit de données qui la concernent. Qu’est-ce qu’une situation particulière ?

Doit-on pousser le raisonnement et considérer que la personne souhaitant exercer son droit d’opposition devrait rapporter la preuve que le traitement litigieux lui porte grief ? Le contrôle sur ses données personnelles s’en trouverait fortement affaibli…

Faut-il considérer les éventuels transferts des données, rechercher les destinataires ultérieurs des données ? Et ce que deviennent ces données si elles font l’objet d’un transfert en vue d’autres traitements ?

Encore faudrait-il, au moment d’analyser la légitimité du motif — et donc la particularité de la situation —, se pencher sur la question. Or, en l’espèce, seul le traitement initial semble avoir été pris en considération.