L’obligation légale constitue l’une des bases légales prévues par le RGPD pour autoriser la mise en œuvre de traitements de données à caractère personnel. Cependant, son utilisation comme base légale exige que l’obligation soit impérative, suffisamment claire et précise, et que les textes créant cette obligation définissent au moins la finalité du traitement.
Qui est concerné par la base légale « obligation légale » ?
Cette base légale peut être utilisée pour fonder un traitement de données lorsque sa mise en œuvre est rendue obligatoire par le cadre juridique auquel l’organisme est soumis. Elle peut concerner à la fois des organismes privés et des organismes publics.
Conditions pour l’application de la base légale « obligation légale »
Le recours à cette base légale est soumis à plusieurs conditions :
- Nécessité du Traitement : Comme pour toute base légale, le traitement doit être nécessaire pour répondre à l’obligation légale. Il doit viser uniquement à remplir cette obligation et ne doit pas avoir d’autres objectifs.
- Validité de l’Obligation Légale : L’obligation légale doit être définie par le droit européen ou national auquel le responsable du traitement est soumis. De plus, elle doit être suffisamment claire et précise, et au moins définir les finalités du traitement concerné.
- Application à l’Organisme : L’obligation légale doit s’imposer au responsable du traitement, et non aux personnes concernées par le traitement.
Conséquences du choix de cette base légale
Pour les organismes traitant les données, les traitements fondés sur cette base légale ne sont pas soumis au mécanisme de coopération du guichet unique, et la CNIL reste seule compétente à leur égard. Pour les personnes concernées, les droits d’opposition et à la portabilité ne peuvent pas être exercés à l’égard des traitements fondés sur une obligation légale.