La limitation des finalités oblige à savoir pourquoi des données personnelles sont collectées et à encadrer leurs utilisations ultérieures. L’article 5(1)(b) du RGPD exige des objectifs déterminés, explicites et légitimes, puis interdit les traitements ultérieurs incompatibles avec ces objectifs. Posséder un fichier ne donne donc pas un droit général de l’exploiter pour toute nouvelle idée.
Ce principe intervient dans des décisions très concrètes : réutiliser des tickets d’assistance pour entraîner un outil, analyser des données de salariés, transmettre un fichier à un partenaire ou conserver une copie pour des tests. La bonne question consiste à comparer l’usage envisagé à la finalité initiale, puis à examiner les conditions juridiques et les garanties nécessaires. Une mise à jour de la politique de confidentialité ne suffit pas à autoriser une réutilisation.
Définir une finalité suffisamment précise
Une finalité décrit le résultat recherché. Le nom d’un logiciel, d’un département ou d’une base de données décrit un moyen ou une organisation. « CRM », « ressources humaines » et « intelligence artificielle » ne permettent pas, seuls, de déterminer quelles informations sont nécessaires ou à quel moment les supprimer.
Décomposez un objectif trop général en usages compréhensibles. La gestion d’une relation client peut comprendre l’exécution des commandes, le traitement des réclamations et la prospection. Ces activités ne justifient pas nécessairement les mêmes données, destinataires, durées ou fondements. Les regrouper sous une formule unique rend difficile le respect de chacune de ces exigences.
Le caractère déterminé impose de délimiter l’objectif ; le caractère explicite demande de le formuler clairement ; le caractère légitime suppose notamment la licéité du traitement. La finalité doit être identifiée au plus tard lors de la collecte. L’information de la personne obéit ensuite aux règles des articles 13 ou 14 selon la manière dont les données ont été obtenues : il ne faut pas confondre définition de l’objectif et calendrier de délivrance de l’information.
Une formulation utile permet à une équipe de répondre à un cas limite. Si un export ne sert plus à l’objectif décrit, il faut s’interroger avant de le produire. À l’inverse, une phrase telle que « améliorer tous nos services présents et futurs » donne peu de critères pour distinguer un usage autorisé d’un nouveau traitement à examiner.
Distinguer finalité, base juridique et nécessité
La finalité explique pourquoi vous traitez les données ; la base juridique explique sur quel fondement ce traitement est licite. Ces questions se complètent. Le consentement, l’exécution d’un contrat ou l’intérêt légitime ne sont pas des finalités. Une organisation doit pouvoir désigner l’objectif poursuivi puis justifier le fondement approprié.
La présence d’un contrat commercial ne rend pas tout traitement nécessaire à son exécution au sens de l’article 6(1)(b). Il faut notamment un contrat auquel la personne concernée est partie et une nécessité réelle pour son exécution, ou des mesures précontractuelles demandées par elle. Une fonctionnalité publicitaire facultative ne devient pas nécessaire parce que les conditions générales la mentionnent.
De même, l’intérêt légitime exige une analyse de l’intérêt, de la nécessité et de la mise en balance. Il ne constitue pas une voie générale pour contourner une incompatibilité avec l’objectif initial. D’autres règles peuvent s’ajouter, notamment pour les catégories particulières de données de l’article 9 ou les données pénales de l’article 10.
Enfin, un consentement valable doit porter sur des finalités spécifiques. La personne doit pouvoir comprendre ce qu’elle accepte. L’organisme ne peut pas transformer un accord limité en autorisation générale en affirmant que le nouvel objectif est proche de l’ancien. Le guide des conditions de validité du consentement permet de vérifier la liberté du choix, la précision de l’information et la possibilité de retrait.
Reconnaître une réutilisation qui demande une analyse
Tout changement technique n’est pas nécessairement une nouvelle finalité. Remplacer un serveur tout en exécutant exactement le même traitement ne change pas forcément son objectif. Il peut néanmoins modifier les risques, les destinataires ou les transferts. Ces conséquences doivent être examinées même lorsque la finalité reste identique.
À l’inverse, un traitement peut changer de finalité sans changer de logiciel. Un fichier constitué pour gérer des réclamations pourrait être utilisé pour classer les clients selon leur propension à acheter, ou les agents selon un indicateur de performance. La base reste la même, mais les personnes, les décisions et les conséquences ne sont plus nécessairement celles de l’usage initial.
Comparez donc les opérations réelles : quelles données seront utilisées, quels résultats seront produits et qui prendra quelle décision à partir de ces résultats ? Le fait qu’un outil offre une nouvelle fonctionnalité ne répond pas à ces questions. L’activation d’une option doit passer par une vérification lorsque son usage dépasse ce qui a été défini et expliqué.
La CNIL distingue plusieurs situations de réutilisation, notamment pour l’apprentissage d’un système d’IA. Les obligations dépendent aussi de la source des données et du rôle de l’organisme. Acheter une base ou accéder à des informations publiques ne dispense pas de vérifier la licéité de son propre traitement ; une garantie contractuelle générique n’établit pas à elle seule un consentement valable.
Appliquer les critères de compatibilité de l’article 6(4)
L’article 6(4) prévoit l’examen de la compatibilité lorsque le nouveau traitement n’est pas fondé sur le consentement de la personne ou sur une disposition du droit de l’Union ou d’un État membre constituant une mesure nécessaire et proportionnée pour les objectifs de l’article 23(1). Cette référence légale est qualifiée : toute disposition ou tout intérêt administratif ne suffit pas.
Le texte énumère cinq groupes de critères, sans limiter l’analyse à une addition de cases cochées. Une conclusion doit expliquer les faits favorables et défavorables. Une garantie technique ne transforme pas mécaniquement un objectif éloigné et lourd de conséquences en réutilisation compatible.
Le lien entre les objectifs
Comparez le résultat recherché initialement et celui du nouveau traitement. La correction d’une erreur affectant le service fourni présente un lien différent de la vente de profils commerciaux à un partenaire. Un thème commun, comme « relation client », ne démontre pas à lui seul une proximité suffisante.
Décrivez ce lien sans reprendre seulement le vocabulaire commercial. Si l’équipe souhaite « améliorer l’expérience », demandez quelle amélioration précise, pour quels utilisateurs et à partir de quelles données. Cette clarification peut révéler plusieurs objectifs qu’il faudra analyser séparément plutôt que de valider globalement un projet.
Le contexte et la relation avec les personnes
Les attentes raisonnables dépendent de la relation dans laquelle les informations ont été confiées. Un salarié, un patient ou un demandeur d’aide ne se trouve pas dans la même situation qu’une personne utilisant une fonction facultative de personnalisation. La dépendance ou la sensibilité de la relation peut renforcer l’écart entre ce qui était attendu et le nouvel usage.
Examinez les informations délivrées, les choix proposés et les pratiques compréhensibles pour la personne. Une clause vague cachée dans un long document ne suffit pas à rendre toute utilisation prévisible. À l’inverse, une explication claire d’un usage prévu dès l’origine facilite la définition du périmètre, sous réserve que cet usage soit lui-même licite.
La nature des données
L’analyse doit tenir compte des catégories de données, notamment celles des articles 9 et 10. Il faut aussi regarder ce que leur rapprochement permet de révéler. Des informations ordinaires prises séparément peuvent produire un profil intrusif lorsqu’elles sont combinées avec un historique détaillé.
La définition des données personnelles rappelle que l’identification peut être indirecte. Retirer les noms ne suffit donc pas à écarter le RGPD. Des identifiants persistants, des trajectoires ou des combinaisons rares peuvent encore permettre de relier les informations à une personne.
Les conséquences du nouvel usage
Décrivez les effets possibles, au-delà du seul risque de fuite. Le traitement peut modifier une offre, exclure une personne, influencer une évaluation professionnelle ou révéler une situation qu’elle souhaitait garder confidentielle. Même un résultat techniquement exact peut avoir des conséquences importantes si son usage n’était pas attendu.
Comparez les effets probables et les effets graves plausibles. Une analyse limitée au bénéfice pour l’organisme ne suffit pas. Si les résultats servent à prendre des décisions sur les personnes, précisez cette utilisation ; ne présentez pas le projet comme une simple étude statistique uniquement parce qu’il emploie des calculs.
Les garanties concrètes
Le chiffrement, la limitation des accès, la réduction des données et la pseudonymisation peuvent réduire certains risques. Décrivez ce qu’ils empêchent réellement. La pseudonymisation reste un traitement de données personnelles ; elle ne produit pas automatiquement l’irréversibilité nécessaire pour parler d’anonymisation.
Une garantie doit être mise en œuvre et vérifiable. Un engagement de ne pas réidentifier peut compléter des mesures techniques, mais il n’efface pas à lui seul la possibilité de réidentification. Si la conclusion dépend d’un accès limité à une équipe ou de la suppression rapide d’une copie, ces conditions doivent être suivies pendant toute la réutilisation.
Tirer les conséquences du résultat
Une réutilisation compatible doit encore respecter les autres exigences du RGPD. Le considérant 50 indique qu’un traitement ultérieur compatible ne nécessite pas une base juridique distincte de celle ayant permis la collecte ; cela ne dispense pas de vérifier la licéité concrète du nouvel usage et les conditions du fondement mobilisé. La compatibilité n’est ni un consentement implicite ni une exemption de transparence.
Si le résultat est négatif, il faut renoncer au projet tel qu’envisagé ou examiner une voie juridiquement valable, notamment un consentement spécifique lorsque celui-ci peut être librement donné, ou le fondement légal répondant aux conditions de l’article 6(4). Changer simplement l’étiquette en « intérêt légitime » ne résout pas l’incompatibilité. Une information adressée après le lancement ne la répare pas davantage.
Lorsque le traitement initial repose sur le consentement, respectez strictement les finalités auxquelles il a été donné. Pour étendre ce traitement à un nouvel objectif, il faut obtenir un consentement couvrant cet objectif, sauf autre route légale applicable qu’il faudrait établir spécifiquement. Le test de compatibilité ne permet pas d’élargir silencieusement un accord limité.
Documentez également une décision de refus. Elle permet de comprendre pourquoi certaines données n’ont pas été mises à disposition et d’éviter que le même projet revienne sous un autre nom. Une alternative peut consister à collecter des données adaptées au nouveau besoin ou à utiliser un jeu réellement anonyme, en vérifiant séparément les conditions de constitution de ce jeu.
Recherche, statistiques et conservation
L’article 5(1)(b) prévoit que les traitements ultérieurs à des fins archivistiques dans l’intérêt public, de recherche scientifique ou historique, ou à des fins statistiques ne sont pas considérés comme incompatibles, conformément à l’article 89(1). Ce régime suppose les garanties appropriées et le respect des autres règles. Le mot « recherche » placé dans un dossier ne suffit pas à qualifier tout projet commercial ou expérimental.
La CNIL rappelle pour les systèmes d’IA que l’emploi de techniques statistiques ne rend pas automatiquement le traitement statistique au sens du RGPD. Il faut examiner l’objectif réellement poursuivi et les utilisations des résultats. Un score destiné à orienter une décision individuelle ne se réduit pas à la production de données agrégées pour elles-mêmes.
La durée de conservation reste une question distincte. Une copie créée pour un usage compatible ne peut pas être conservée indéfiniment au motif que sa création était admissible. Définissez les événements qui mettent fin au besoin, les opérations de suppression et les éventuelles autres obligations de conservation applicables à des données distinctes.
L’arrêt Digi du 20 octobre 2022, C-77/21, dont le dispositif est publié au Journal officiel illustre cette séparation. La Cour admet qu’une base destinée aux tests et à la correction d’erreurs puisse être compatible avec les finalités initiales, sous l’examen des critères de l’article 6(4). Elle exclut en revanche une conservation excédant la durée nécessaire à ces tests et corrections. La possibilité de réutiliser n’autorise donc pas à oublier la copie une fois le travail terminé.
Prestataires, partenaires et information des personnes
Un sous-traitant agit pour le compte du responsable selon les instructions applicables. S’il souhaite utiliser les données pour son propre objectif, la qualification des rôles doit être réexaminée. L’article 28 ne sert pas à transformer une finalité autonome du fournisseur en simple opération exécutée pour le client.
La CNIL encadre spécifiquement cette réutilisation par un sous-traitant. Elle demande une analyse du traitement déterminé et une autorisation écrite dans les conditions qu’elle décrit ; une autorisation préalable et générale de toutes les réutilisations ne convient pas. Le prestataire qui poursuit sa propre finalité assume les obligations du responsable de ce nouveau traitement.
Le partage entre organismes appelle aussi une analyse des décisions respectives. Des responsables conjoints ne sont pas des sous-traitants simplement parce qu’un contrat utilise ce terme. Identifiez qui décide de l’objectif et des moyens essentiels pour chaque opération. Cette distinction détermine les obligations à organiser et l’information que les personnes doivent recevoir.
Pour une nouvelle finalité, les articles 13(3) et 14(4) prévoient une information préalable au traitement ultérieur, avec les informations complémentaires pertinentes. Les dispositions et exceptions applicables doivent être examinées selon la situation. La transparence de l’article 12 impose de rendre cette information compréhensible : précisez ce qui change, pourquoi et avec quelles conséquences pour les personnes.
Exemple : réutiliser des tickets d’assistance
Supposons qu’une entreprise conserve les échanges nécessaires à la résolution des problèmes de ses clients. Elle envisage ensuite de les utiliser pour entraîner un outil qui suggère des réponses aux agents. Le projet doit préciser si le modèle reste réservé à ce service, s’il peut restituer des informations personnelles et si un fournisseur réutilise également les échanges pour ses propres clients.
L’analyse examine la relation avec les utilisateurs, le contenu des tickets, les informations sensibles introduites en texte libre et les conséquences d’une mémorisation. Une réduction des données, un filtrage et une limitation d’accès peuvent modifier le risque, mais ne dispensent pas de vérifier le fondement et la compatibilité. L’équipe doit aussi déterminer si une AIPD est requise compte tenu du risque élevé possible.
La décision peut différencier les jeux de données : certains échanges ne sont pas nécessaires, d’autres peuvent être remplacés par des exemples synthétiques. Les données retenues doivent être rattachées à une provenance et à des conditions d’usage. Si le fournisseur change ensuite la finalité d’entraînement ou le périmètre des destinataires, cette modification appelle un nouvel examen.
Conserver une trace utile de la décision
Le registre RGPD doit décrire les finalités effectives. Il peut renvoyer à une analyse de compatibilité contenant la comparaison des usages, les faits examinés, les garanties et la conclusion motivée. Évitez de recopier une appréciation identique pour des traitements dont les personnes, les données et les conséquences diffèrent.
Lors d’un audit RGPD, confrontez cette documentation aux exports, aux accès et aux paramètres réellement activés. Une finalité abandonnée peut continuer à produire des fichiers par une tâche automatique. La maîtrise demande donc une vérification technique des usages, au-delà de la mise à jour des mentions légales.
La lecture des sanctions CNIL doit également distinguer les manquements : information insuffisante, défaut de base juridique, conservation excessive et finalité incompatible ne sont pas interchangeables. Pour en tirer un enseignement, identifiez les opérations et les articles effectivement retenus plutôt que de rattacher toute affaire connue à un seul principe.
Questions fréquentes
Peut-on annoncer dès le départ toutes les utilisations futures ?
Une liste vague et illimitée ne satisfait pas l’exigence de finalités déterminées et explicites. Les objectifs prévus doivent être suffisamment précis et licites. Un nouveau projet qui dépasse ce périmètre demande l’examen approprié avant sa mise en œuvre.
Faut-il toujours demander un nouveau consentement ?
Non, toutes les réutilisations ne reposent pas sur le consentement. Il faut analyser le fondement initial, le nouvel usage et les routes prévues par le RGPD. En revanche, un consentement limité ne peut pas être étendu silencieusement grâce à un test de compatibilité.
Des données pseudonymisées sont-elles librement réutilisables ?
Non. Elles demeurent personnelles lorsque la personne peut encore être identifiée. La pseudonymisation peut constituer une garantie dans l’analyse, mais ne remplace ni la finalité, ni le fondement, ni les conditions de conservation et d’information applicables.