47.

< Avis du Conseil d'État >

S’agissant des traitements relevant à la fois du champ de la directive et de celui du règlement, ce double régime paraît complexe à mettre en œuvre pour les droits des personnes concernées. Le Conseil d’Etat relève en effet qu’existent deux droits prévus par le règlement et absents de la directive : le droit à l’oubli (article 17 du règlement) et le droit à la portabilité des données (article 20 du règlement). Dans les deux cas, le règlement prévoit que ces droits ne sont pas applicables, lorsque le traitement est nécessaire « à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ». Ces droits devraient donc être inapplicables aux traitements de données dont les finalités sont mixtes. Les autres droits des personnes concernées (information, accès, opposition…) sont plus ouverts dans le règlement que dans la directive. Le Conseil d’Etat estime que, dès lors que les données sur lesquelles la personne concernée demande à exercer ses droits ne pourront pas être exclusivement rattachées soit aux finalités prévues par la directive, soit aux autres finalités du traitement de données, il convient que l’acte ayant autorisé le traitement de données à finalités mixtes s’appuie sur l’article 23 du règlement, qui permet une diminution de la portée des droits de la personne concernée sous plusieurs conditions, dont la sécurité publique et la préservation des procédures pénales, afin de déterminer un régime des droits des personnes concernées cohérent pour l’ensemble des données traitées pour les diverses finalités. Pour être conforme aux exigences du second paragraphe de l’article 23 du règlement, les dispositions apportant de telles limitations doivent être précises et ne sauraient prendre la forme d’habilitations générales.

< Avis du Conseil d'État >