- La proposition du Conseil européen (février 2020) modifie l’article 8 du projet e‑Privacy concernant les cookies et le fingerprinting.
- Le traitement des données non nécessaires à l’entreprise pourra à l’avenir également être fondé sur l’intérêt légitime (art. 6, al.1, let. f RGPD).
- L’intérêt légitime est exclu pour les enfants, le profilage, la détermination des caractéristiques des utilisateurs ou le traitement de catégories particulières de données à caractère personnel.
- Transmission de données à des tiers interdite ; en outre, une analyse d’impact sur la protection des données, des obligations d’information et des mesures de sécurité sont nécessaires.
La proposition de règlement e‑Privacy, longuement discutée et sans cesse modifiée, avait été abandonnée en décembre 2019 (cf. ici). La présidence du Conseil européen a maintenant, fin février 2020, de nouvelles Propositions d’adaptation entre autres de l’article 8 du projet, qui est surtout contesté. Il s’agit de la “protection des informations stockées dans l’équipement terminal de l’utilisateur final ou se rapportant à celui-ci”, à savoir Cookies et autres technologies telles que le fingerprinting.
La nouvelle proposition s’écarte ici de l’exigence de consentement strict pour les traitements qui ne sont pas nécessaires à l’exploitation. Selon le nouvel article 8 proposé, l’utilisation de cookies et d’autres technologies est autorisée sous certaines conditions. également pour des intérêts légitimes (cf. article 6, paragraphe 1, point f) du RGPD) :
il est nécessaire pour le but de la intérêts légitimes pursued by a service provider to use processing and storage capabilities of terminal equipment or to collect information from the end-user’s terminal equipment, except when such interest is overridden by the interests or fundamental rights and freedoms of the end-user.
L’invocation de l’intérêt légitime doit toutefois être exclue dans certains cas :
Le site les intérêts de l’utilisateur final sont réputés l’emporter sur ceux du fournisseur de services où l’utilisateur final est un enfant ou lorsque le prestataire de services traite, stocke ou collecte les informations pour déterminer la nature et les caractéristiques de l’utilisateur final ou pour construire un profil individuel de l’utilisateur final ou le traitement, le stockage ou la collecte des informations par le fournisseur de services contient catégories spéciales de données personnelles comme indiqué à l’article 9, paragraphe 1, du règlement (UE) 2016/679.
En outre, celui qui veut invoquer l’intérêt légitime ne doit pas transmettre les données concernées à des tiers, doit effectuer une analyse d’impact sur la protection des données, informer les personnes concernées et prendre des mesures de sécurité telles que la pseudonymisation ou le cryptage.