Un traitement de données à caractère personnel ne peut se faire que sur la base d'un fondement légal.
Le Règlement européen en répertorie six dont l'une est la nécessité pour l’exécution du contrat.
L'European Data protection Board, s'intéresse dans ces guidelines à l'interprétation de cette notion et vient en préciser les contours.
Il distingue bien ce qui est strictement nécessaire de ce qui pourrait être imposé par voie contractuelle. En d'autres termes ce n'est pas parce qu'une clause d'un contrat ou de conditions générales d'utilisation indiquent que les données sont traitées pour tel ou tel finalité que la base légale peut être le contrat.
"Necessary for performance’ clearly requires something more than a
contractual clause."
Autre point important l'EDPB affirme que la publicité en ligne comportementale n'est pas nécessaire à l'exécution du contrat, même s'il y a une justification en termes financiers au service.
Il est tout à fait essentiel de rappeler que tout traitement de données à caractère personnel doit avoir une base légale et une finalité qui sont liées.
Une petite révision de vos pratiques au regard de ces guidelines ne peut être qu'utile !
