Vous avez collecté des adresses pour livrer des commandes. Pouvez-vous les basculer vers une campagne de prospection ? Le RGPD répond par un test précis, souvent ignoré, qui décide si la réutilisation est permise ou interdite.
Que signifie vraiment le principe de limitation des finalités ?
Le RGPD impose de collecter les données pour des finalités déterminées, explicites et légitimes. Vous devez donc annoncer le but avant de collecter.
Une fois ce but fixé, il devient une frontière. Vous ne pouvez pas traiter les données d’une manière incompatible avec la finalité de départ.
Ce principe figure à l’article 5 du RGPD. Il protège la personne d’un usage détourné qu’elle n’avait pas anticipé au moment de donner ses informations.
Concrètement, une finalité vague comme « améliorer nos services » ne suffit pas. Elle n’encadre rien et ouvre la porte à tous les usages, ce que la CNIL sanctionne.
Réutiliser des données pour un autre but est-il toujours interdit ?
Non. La limitation des finalités n’interdit pas toute réutilisation. Elle interdit la réutilisation incompatible avec la finalité initiale.
La nuance est capitale. Un traitement ultérieur compatible reste autorisé sans nouvelle base légale, à condition de mettre à jour l’information des personnes.
Trois cas sont présumés compatibles par le texte lui-même: l’archivage dans l’intérêt public, la recherche scientifique ou historique, et les finalités statistiques. Ces usages bénéficient de garanties appropriées.
En dehors de ces cas, vous devez démontrer la compatibilité. C’est là qu’intervient le test prévu par le RGPD, trop souvent sauté par les équipes marketing.
En quoi consiste le test de compatibilité de l’article 6.4 ?
L’article 6, paragraphe 4, liste cinq critères à examiner avant de réutiliser des données pour une nouvelle finalité. Vous devez tracer votre raisonnement par écrit.
Ce test n’est pas une formalité. Un résultat négatif signifie que vous avez besoin d’une base légale propre, comme le consentement, pour poursuivre.
| Critère de l’article 6.4 | Question à se poser |
|---|---|
| Lien entre finalités | Le nouveau but découle-t-il logiquement de la collecte initiale ? |
| Contexte de la collecte | La relation avec la personne rendait-elle cet usage prévisible ? |
| Nature des données | S’agit-il de données sensibles ou d’infractions, plus protégées ? |
| Conséquences pour la personne | Le nouvel usage peut-il lui nuire ou la surprendre ? |
| Garanties mises en place | Chiffrement, pseudonymisation ou cloisonnement réduisent-ils le risque ? |
Plus les données sont sensibles et l’usage éloigné du contexte, plus la compatibilité s’effondre. Le test se raisonne au cas par cas, jamais en bloc.
Documentez chaque réponse. En cas de contrôle, cette trace prouve votre analyse et devient un élément clé de votre registre des traitements.
Comment appliquer ce test dans des situations réelles ?
Prenons des cas fréquents en entreprise. Ils montrent pourquoi la même donnée peut être réutilisable dans un contexte et bloquée dans un autre.
- Livraison vers prospection: réutiliser une adresse de livraison pour du démarchage commercial est généralement incompatible. La personne n’attendait pas cet usage.
- Recrutement vers vivier: conserver un CV pour de futurs postes exige d’informer le candidat et de recueillir son accord de conservation.
- Facturation vers relance: relancer un client sur des produits similaires peut se justifier via l’intérêt légitime, si la personne peut s’y opposer facilement.
- Données de santé: tout usage secondaire de données de santé impose une vigilance renforcée et souvent une base légale distincte.
La règle pratique tient en une phrase. Si la personne pourrait légitimement se sentir trahie, la finalité est probablement incompatible.
Le choix de la base légale reste central. Réutiliser des données suppose souvent de vérifier votre appui sur l’intérêt légitime ou de recueillir un consentement clair.
Cadrer chaque nouvelle finalité et documenter le test demande du temps et de la méthode. Faire appel à un DPO externe qui sécurise vos réutilisations de données vous évite les usages détournés et les sanctions qui les accompagnent.
Quelles erreurs exposent le plus les entreprises ?
La première erreur consiste à collecter large « au cas où ». Cette logique contredit frontalement la limitation des finalités et fragilise tout votre dispositif.
La deuxième erreur est le glissement silencieux. Une équipe réutilise un fichier pour une action nouvelle sans jamais évaluer la compatibilité ni informer les personnes.
La troisième erreur touche l’information. Même un traitement compatible impose de mettre à jour votre notice d’information et vos modalités de recueil pour rester transparent.
Pour approfondir le socle commun à ces obligations, la lecture des principes fondamentaux du RGPD aide à relier finalité, minimisation et durée de conservation. Vous pouvez aussi consulter la CNIL sur les conditions de l’intérêt légitime.
FAQ
Puis-je réutiliser des données si le nouvel usage est compatible ?
Oui. Un traitement ultérieur compatible ne nécessite pas de nouvelle base légale. Vous devez toutefois informer les personnes de ce nouvel usage et documenter le test de compatibilité fondé sur les cinq critères de l’article 6.4 du RGPD.
Le consentement initial couvre-t-il une nouvelle finalité ?
Non. Un consentement vaut pour la finalité annoncée au moment du recueil. Pour un usage nouveau et incompatible, vous devez recueillir un consentement distinct et spécifique, ou identifier une autre base légale adaptée à cette finalité précise.
L’archivage et les statistiques échappent-ils au test ?
Ces finalités sont présumées compatibles par le RGPD, sous réserve de garanties appropriées comme la pseudonymisation. La présomption ne dispense pas de sécuriser les données ni d’encadrer strictement l’accès à ces traitements ultérieurs.
Que risque-t-on en cas de réutilisation incompatible ?
Une réutilisation incompatible constitue un traitement sans base légale valable. Elle expose à une mise en demeure puis à une sanction de la CNIL, ainsi qu’à une perte de confiance des personnes concernées et à un risque réputationnel durable.
