Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 353

DOCTR INE
RGPD
Analyse de l'état
émotionnel des appelants (IA)
Comme chaque mois, Alexandre Fievée tente
d'apporter des réponses aux questions que tout
le monde se pose en matière de protection des
données personnelles, en s'appuyant sur les
décisions rendues par les autorités nationales
de contrôle au niveau européen et les juridictions
européennes. Ce mois-ci, il se penche
sur la question soumise à l'autorité hongroise
de protection des données relative à la licéité
d'un dispositif - basé sur l'intelligence artificielle
- d'enregistrement des conversations
téléphoniques et d'analyse automatique de
l'état émotionnel des appelants.
L
a « base légale » d'un traitement
est ce qui autorise
légalement sa mise en
œuvre, permettant ainsi
à l'organisme de traiter licitement
des données à caractère personnel.
On parle également de « fondement
juridique » ou de « base
juridique » du traitement. En application
de l'article 6 du RGPD, il existe
six bases légales : le consentement (la
personne a consenti au traitement
de ses données) ; le contrat (le traitement
est nécessaire à l'exécution
ou à la préparation d'un contrat avec
la personne concernée) ; l'obligation
légale (le traitement est imposé par
des textes légaux) ; la mission d'intérêt
public (le traitement est nécessaire
à l'exécution d'une mission d'intérêt
public) ; la sauvegarde des intérêts
vitaux (le traitement est nécessaire
à la sauvegarde des intérêts vitaux
de la personne concernée, ou d'un
tiers) ; l'intérêt légitime (le traitement
est nécessaire à la poursuite d'intérêts
légitimes de l'organisme qui
traite les données ou d'un tiers, dans
le strict respect des droits et intérêts
des personnes dont les données sont
traitées).
Pour fonder un traitement sur
l'intérêt légitime, l'organisme doit
respecter certaines exigences. Il doit
opérer une pondération entre son
propre intérêt au traitement et les
intérêts ou libertés et droits fondamentaux
des personnes concernées
par le traitement (en intégrant
notamment dans son analyse
les « attentes raisonnables » de ces
personnes). Selon la Cnil, « cette
" mise en balance " des droits et intérêts
en cause doit être réalisée pour
chaque traitement fondé sur l'intérêt
légitime, au regard des conditions
concrètes de sa mise en œuvre. »1
L'autorité française de protection
des données ajoute que « l'intérêt
légitime ne peut donc être considéré
comme une base légale " par défaut " :
il requiert au contraire un examen
attentif de la part de l'organisme
et le suivi d'une méthodologie
rigoureuse. »1
.
EXPERTISES OCTOBRE 2022
La prise en compte des « attentes
raisonnables » des personnes dans
l'exercice de pondération est essentielle
afin de ne pas les surprendre
dans les modalités de mise en œuvre
comme dans les conséquences du
traitement.
Ainsi, selon la Cnil, « la démonstration
d'un intérêt légitime sera plus
aisée pour un dispositif qui peut
être raisonnablement anticipé, dans
un contexte donné (par exemple, la
réalisation d'actions de fidélisation de
personnes déjà clientes de la société),
que pour un traitement divergeant
des attentes des personnes (par
exemple, l'utilisation d'un réseau
social implique la mise en relation
d'individus, mais le profilage de
leurs actions en vue de leur adresser
de la publicité ciblée peut dépasser
leurs attentes raisonnables). »3
. Dans
cette optique de prise en compte
des « attentes raisonnables », la
Cnil recommande à l'organisme
de prévoir des « mesures compensatoires
ou additionnelles » visant
353

Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia