Article 5. Principes relatifs au traitement

Article 5. Principes relatifs au traitement

1. Le traitement des données doit être proportionné à la finalité légitime poursuivie, en atteignant, à chaque étape du traitement, un juste équilibre entre les divers intérêts en présence, qu'ils soient publics ou privés, qui concilie les droits et libertés concernés.

2. Les données à caractère personnel doivent être :

a) Traitées de manière licite, loyale et transparente au regard de la personne intéressée (« licéité, loyauté et transparence »).

b) Collectées pour des finalités déterminées, explicites et légitimes et ne doivent pas être traitées ultérieurement d'une manière incompatible avec ces finalités ; le traitement ultérieur des données à caractère personnel à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique et historique ou à des fins statistiques n'est pas considéré comme incompatible avec les finalités initiales, pour autant que soient appliquées les garanties complémentaires prévues par la présente Loi et par la réglementation sectorielle qui les développe (« limitation des finalités »).

c) Adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (« minimisation des données »).

d) Exactes et, si nécessaire, tenues à jour ; avec l'adoption des mesures raisonnables pour que les données à caractère personnel inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient rectifiées ou effacées sans tarder (« exactitude »). L'inexactitude des données à caractère personnel ne peut être imputée au responsable du traitement si celui-ci a adopté toutes les mesures raisonnables pour que lesdites données soient rectifiées ou effacées sans tarder, lorsque les données inexactes :

i) Ont été obtenues par le responsable du traitement directement auprès de la personne intéressée. ii) Ont été obtenues par le responsable du traitement par l'intermédiaire d'un médiateur ou d'un intermédiaire dans le cas où les règles applicables au secteur d'activité auquel appartient le responsable prévoient la possibilité d'intervention d'un intermédiaire ou d'un médiateur qui collecte en son nom propre les données des personnes intéressées en vue de leur transmission au responsable. Le médiateur ou l'intermédiaire doit assumer les responsabilités pouvant découler de la communication au responsable de données qui ne correspondent pas à celles fournies par la personne intéressée. iii) Font l'objet d'un traitement par le responsable pour les avoir reçues d'un autre responsable en vertu de l'exercice par la personne intéressée du droit à la portabilité des données. iv) Ont été obtenues d'un registre public par le responsable du traitement.

e) Conservées sous une forme permettant l'identification des personnes intéressées pendant une durée n'excédant pas celle nécessaire au regard des finalités du traitement des données à caractère personnel ; toutefois, elles peuvent être conservées pour des durées plus longues dans la mesure où elles sont traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, sans préjudice de l'application des mesures techniques et organisationnelles appropriées afin de protéger les droits et libertés de la personne intéressée (« limitation du délai de conservation »).

f) Traitées de façon à en garantir une sécurité appropriée, y compris la protection contre le traitement non autorisé ou illicite et contre leur perte, leur destruction ou leurs dégâts d'origine accidentelle, à l'aide de mesures techniques et organisationnelles appropriées (« intégrité et confidentialité »).

3. Il incombe au responsable du traitement de respecter les principes de traitement et d'être en mesure de démontrer qu'ils sont respectés (« responsabilité proactive »).

4. Le traitement des données à caractère personnel à des fins de prévention, d'enquête, de détection ou de poursuite d'infractions pénales, ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et leur prévention, ne peut être effectué que si le responsable du traitement est autorisé par la Loi à traiter ces données.