Dans un avis, l'autorité danoise de protection des données a estimé qu'un responsable du traitement, ayant manqué à son obligation de suppression de données, pouvait néanmoins les conserver et les communiquer à un tiers, dès lors qu'une nouvelle finalité légitime, en l'occurrence la recherche scientifique, était apparue.

Faits et contexte

L'autorité danoise de protection des données (Datatilsynet) a publié un avis concernant la possibilité pour l'Université de Copenhague de communiquer des données personnelles sur d'anciens employés à l'Hôpital de Bispebjerg à des fins de recherche scientifique, alors que ces données auraient dû être supprimées.

L'affaire trouve son origine dans une demande de l'Université de Copenhague, qui s'interrogeait sur la légalité de la transmission de dossiers de personnel dont la durée de conservation, fixée à 10 ans par ses règles internes, était dépassée.

Motifs de la décision

L'autorité a analysé la situation au regard de plusieurs principes et obligations du RGPD :

• Obligation de limitation de la conservation (article 5, paragraphe 1, point e, du RGPD) : L'autorité a d'abord jugé critiquable le fait que l'université n'ait pas respecté ses propres règles internes de suppression, manquant ainsi au principe de limitation de la conservation. Cependant, elle a estimé que l'émergence d'une nouvelle finalité – la transmission des données à un hôpital à des fins de recherche sur la santé au travail – justifiait exceptionnellement la conservation prolongée des données, mais uniquement jusqu'à leur communication effective, après quoi elles devront être supprimées.
• Obligation de limitation des finalités (article 5, paragraphe 1, point b, du RGPD) : L'autorité a rappelé que si les données ne peuvent être traitées ultérieurement de manière incompatible avec les finalités initiales, le traitement ultérieur à des fins de recherche scientifique est, en principe, considéré comme compatible. La communication envisagée par l'université était donc compatible avec la finalité initiale de gestion du personnel.
• Obligation de licéité du traitement (article 6 et 9 du RGPD) : Pour que la communication des données soit licite, l'université doit identifier une base juridique. L'autorité a suggéré l'exécution d'une mission d'intérêt public (article 6, paragraphe 1, point e). Si des données sensibles sont concernées, une condition dérogatoire est nécessaire, telle que la recherche scientifique (article 9, paragraphe 2, point j), qui doit être prévue par le droit national, comme c'est le cas au Danemark avec l'article 10 de la loi sur la protection des données.
• Obligation de minimisation des données (article 5, paragraphe 1, point c, du RGPD) : L'autorité a souligné que l'université devait évaluer si la transmission de l'intégralité des données était nécessaire, ou si seules certaines informations pertinentes pour la recherche devaient être communiquées, afin de respecter le principe de minimisation.
• Obligation d'information (articles 13 et 14 du RGPD) : Enfin, l'autorité a rappelé à l'université son devoir d'informer les personnes concernées de ce nouveau traitement, conformément aux règles sur la transparence.

Décision de l'autorité

En conséquence, l'autorité a conclu que l'Université de Copenhague pouvait légalement conserver et communiquer les données à l'Hôpital de Bispebjerg, sous réserve de respecter les conditions susmentionnées.

Enseignements

Cette décision précise que :

• L'émergence d'une nouvelle finalité légitime, telle que la recherche scientifique d'intérêt public, peut exceptionnellement justifier la conservation temporaire de données qui auraient dû être supprimées en application du principe de limitation de la conservation.
• La justification d'une conservation prolongée pour une nouvelle finalité est strictement temporaire et cesse dès que cette finalité est atteinte ; les données doivent alors être immédiatement supprimées par le responsable du traitement initial.
• La communication de données à un tiers constitue une opération de traitement distincte qui requiert sa propre base juridique, même si la conservation prolongée des données a été justifiée par cette finalité de communication.
• Le traitement ultérieur de données à des fins de recherche scientifique est présumé compatible avec la finalité initiale de leur collecte, conformément à l'article 5, paragraphe 1, point b, du RGPD.