Selon l’article 5, paragraphe 1, point a), du RGPD, les données à caractère personnel sont “collectées pour des finalités spécifiques, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités”. Le concept de légitimité n’est pas bien défini dans le RGPD, mais le groupe de travail Article 29 a déclaré que la légitimité implique que les données doivent être traitées “conformément à la loi”, et que la “loi” doit être comprise comme un concept large qui inclut “toutes les formes de droit écrit et de common law, la législation primaire et secondaire, les décrets municipaux, les précédents judiciaires, les principes constitutionnels, les droits fondamentaux, les autres principes juridiques, ainsi que la jurisprudence, telle que cette “loi” serait interprétée et prise en compte par le tribunal compétent”. [1]
Il s’agit donc d’un concept plus large que la licéité. Il implique le respect des principales valeurs de la réglementation applicable et des grands principes éthiques en jeu. Par exemple, certains développements concrets de l’IA nécessiteront l’intervention d’un comité d’éthique. Dans d’autres cas, des lignes directrices ou tout autre type de réglementation non contraignante peuvent être applicables. Les développeurs d’IA doivent s’assurer de la conformité à cette exigence en élaborant un plan pour cette étape préliminaire du cycle de vie de l’outil (voir “Légitimité et licéité” dans la sous-section “Licéité, loyauté et transparence” des “Principes” de la partie II des présentes lignes directrices).
- Groupe de travail Article 29 (2013) Avis 03/2013 sur la limitation de la finalité Adopté le 2 avril 2013, WP203. Commission européenne, Bruxelles, p.20. Disponible sur : https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2013/wp203_en.pdf (consulté le 15 mai 2020). ↑