Article 6. Licéité du traitement

Article 6. Licéité du traitement

1. Le traitement n'est licite que si au moins l'une des conditions suivantes est remplie :

a) La personne intéressée a donné son consentement au traitement de ses données personnelles pour une ou plusieurs finalités spécifiques.

b) Le traitement est nécessaire à l'exécution d'un contrat auquel la personne intéressée est partie, ou à l'exécution de mesures précontractuelles prises à sa demande.

c) Le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis.

d) Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne intéressée ou d'une autre personne physique.

e) Le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement.

f) Le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les droits et libertés fondamentaux de la personne intéressée qui exigent une protection des données personnelles, notamment lorsque la personne intéressée est mineure. Les dispositions de la présente lettre ne s'appliquent pas au traitement effectué par les autorités publiques dans l'exercice de leurs fonctions.

2. Le fondement du traitement visé aux lettres

c) et

e) du paragraphe précédent doit être établi par la réglementation applicable au responsable du traitement. La finalité du traitement doit être définie dans cette base juridique ou, en ce qui concerne le traitement visé à la lettre

e) du paragraphe 1, doit être nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. La base juridique peut contenir des dispositions spécifiques pour adapter l'application des règles de la présente Loi, notamment : les conditions générales régissant la licéité du traitement effectué par le responsable ; les types de données faisant l'objet du traitement ; les personnes intéressées concernées ; les entités auxquelles les données personnelles peuvent être communiquées et les finalités de cette communication ; la limitation de la finalité ; les durées de conservation des données, ainsi que les opérations et les procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles relatives à d'autres situations particulières de traitement. La base juridique doit répondre à un objectif d'intérêt public et doit être proportionnée à l'objectif légitime poursuivi.

3. Afin de déterminer si le traitement à une autre fin est compatible avec la finalité pour laquelle les données personnelles ont été initialement collectées, lorsque le traitement n'est fondé ni sur le consentement de la personne intéressée ni sur une norme qui constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir les objectifs visés au paragraphe 1 de l'article 26, le responsable du traitement doit tenir compte, entre autres :

a) De l'existence éventuelle d'un lien entre les finalités pour lesquelles les données personnelles ont été collectées et les finalités du traitement ultérieur envisagé.

b) Du contexte dans lequel les données personnelles ont été collectées, en particulier en ce qui concerne la relation entre les personnes concernées et le responsable du traitement.

c) De la nature des données personnelles, en particulier lorsque le traitement porte sur des catégories particulières de données personnelles, ou sur des données relatives aux condamnations pénales et aux infractions.

d) Des conséquences possibles du traitement ultérieur envisagé pour les personnes concernées.

e) De l'existence de garanties appropriées, qui peuvent comprendre le chiffrement ou la pseudonymisation.