Le RGPD liste 6 hypothèses dans lesquelles les traitements sont admis.
I. La personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques
• Il faut une déclaration ou un acte positif clair de la personne concernée
Le consentement est « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement ».
• Le consentement doit être donné librement (article 7 (4) du RGPD)
Suivant le considérant 42 du RGPD le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d'une véritable liberté de choix ou n'est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice.
Cette condition rend peu probable que le consentement puisse servir de base aux traitements de données au travail sauf si l’employé peut refuser sans que ce refus n’est de conséquence négative.
• La personne concernée a le droit de retirer son consentement à tout moment (article 7 (3) RGPD)
En cas de retrait du consentement le responsable du traitement risque aussi de devoir effacer les données (article 17 du RGPD).
II. Le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie
III. Le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis
IV. Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique
V. Le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement
• La balance des intérêts
La personne concernée a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur cette hypothèse (article 21 (1) du RGPD).
Dans ce cas, c’est au responsable du traitement de démontrer qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée pour continuer le traitement.
VI. Le traitement est nécessaire aux fins de l’intérêt légitime du responsable du traitement à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée
• La balance des intérêts
La personne concernée a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur cette hypothèse (article 21 (1) du RGPD).
En cas d’opposition de la personne concernée, c’est au responsable du traitement de démontrer qu'il existe des motifs légitimes et impérieux qui prévalent sur les intérêts et les droits et libertés de la personne concernée pour continuer le traitement.
• Exemples d’intérêts légitimes
Suivant le considérant 47 du RGPD, un intérêt légitime pourrait, par exemple, exister:
- lorsque la personne concernée est un client du responsable du traitement ou est à son service ;
- pour un traitement de données à caractère personnel à des fins de prospection.