Intimement liée à la vie privée, la protection des personnes à l’égard des traitements de données personnelles a été érigée au rang de droit fondamental par l’article 1er du RGPD1. En parallèle de cette reconnaissance, la généralisation de l’utilisation des nouvelles technologies a fait de cette protection et de son caractère uniforme un enjeu étroitement lié aux principes du marché intérieur et de libre circulation au sein de l’Union Européenne.
S’en est suivie une prise conscience sur le fait que le traitement de ces données représentait une source de valeur. Il est alors devenu nécessaire de penser des moyens juridiques pour opérer des « cessions » de données d’une personne à une autre sans pour autant porter atteinte à la reconnaissance de ce droit fondamental à la protection qui s’accommodait pourtant mal à l’idée d’une « patrimonialisation » des données. L’encadrement de la vente de fichiers clients ou prospects constitue un cas concret de conciliation de ces différents impératifs et a récemment fait l’objet d’un rappel des règles par la CNIL2.
Le respect de la réglementation comme préalable à la cession
S’il est fréquent de s’interroger sur la conformité des traitements que l’on initie pour son propre compte, il est plus rare de s’interroger sur le fait de savoir si des données provenant d’un tiers peuvent faire l’objet d’un second traitement par une personne différente. Cette analyse est d’autant plus essentielle qu’elle conditionne la conformité et qu’elle ne remet pas en cause l’obligation de l’acquéreur du fichier d’être en mesure démontrer du respect de ses obligations au regard du RGPD3, quand bien même ce n’est pas lui qui aurait collecté les données et les aurait traitées dans un premier temps.
Il convient ainsi de veiller avant même la conclusion du contrat que le traitement initial est conforme et a été correctement documenté. Le contenu du contrat joue par ailleurs un rôle essentiel pour se prémunir contre les risques et on ne peut que recommander d’inclure dans la cession l’ensemble de la documentation, de faire de la communication de celle-ci une condition résolutoire et d’assortir la cession de garanties. En matière de prospection, il convient notamment de prêter une attention particulière à l’existence, à la validité et à l’étendue du consentement ainsi qu’à l’absence d’opposition, mais aussi de vérifier que les principes de finalité et de limitation de durée de conservation ont bien été respectés.
La base de données comme véhicule juridique
Les données personnelles ne peuvent faire l’objet d’une cession en tant que telles, celle-ci doit être réalisée au moyen d’un véhicule juridique adapté. La notion de base de données au sens des articles L. 341-1 et suivants du Code la propriété intellectuelle constitue une solution pertinente offrant à la fois un contenant aux données personnelles ainsi qu’une protection du contenu au moyen du droit sui generis permettant de contrôler la réutilisation et l’extraction du contenu de la base.
Enfin, il convient d’anticiper les aspects opérationnels comme le format des données et du fichier dans la mesure où toute opération de migration de données est susceptible de soulever des problématiques techniques notamment lorsque les volumes de données sont importants.
Article paru dans Option Finance le 17/11/2023
1) « Le présent règlement protège les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel » (article 1er 2° du Règlement (UE) 2016/679 du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, RGPD)
2) https://www.cnil.fr/fr/vente-de-fichiers-clients-la-cnil-rappelle-les-regles
3) Le responsable du traitement est responsable du respect des principes relatifs au traitement des données à caractère personnel et est en mesure de le démontrer (article 5 2°, RGPD)
En savoir plus sur notre cabinet d’avocats :
Notre cabinet d'avocats est l'un des principaux cabinets d'avocats d'affaires internationaux. Nous sommes membre du réseau international CMS, implanté dans plus de 40 pays. Notre enracinement local, notre positionnement unique et notre expertise reconnue nous permettent de fournir des solutions innovantes et à haute valeur ajoutée en droit fiscal, en droit des affaires et en droit du travail.
|
|
|
