Conformément à l’article 23 du RGPD, le droit de l’UE ou des États membres peut restreindre la portée de certains droits des personnes concernées afin de préserver certains objectifs, à savoir :

• La sécurité nationale ;
• La défense ;
• La sécurité publique
• La prévention, la recherche, la détection ou la poursuite d’infractions pénales ou l’exécution de sanctions pénales ;
• Autres objectifs importants d’intérêt public général de l’UE ou d’un État membre ;
• La protection de l’indépendance de la justice et des procédures ;
• La prévention, les enquêtes, la détection et la poursuite des infractions à la déontologie pour les professions réglementées ;
• Une fonction de contrôle, d’inspection ou de réglementation liée, même occasionnellement, à l’exercice de l’autorité publique dans les cas susmentionnés (à l’exception de la protection de l’indépendance et des procédures judiciaires) ;
• La protection de la personne concernée ou des droits et libertés d’autrui ; ou
• L’exécution des demandes de droit civil.

Pour qu’une restriction soit licite, l’article 23, paragraphe 1, du RGPD précise qu’elle doit être prévue par une mesure législative, concerner les droits de la seule personne concernée et les obligations correspondantes consacrées par les articles 5, 12 à 22 et 34 du RGPD, respecter l’essence des droits et libertés fondamentaux et constituer une mesure nécessaire et proportionnée dans une société démocratique.

Comme l’explique l’EDPB, la condition de respecter l’essence des droits et libertés fondamentaux signifie que les restrictions ne peuvent pas être si étendues et intrusives qu’elles vident ces droits et libertés de leur contenu essentiel.^[1] En ce qui concerne les exigences de nécessité et de proportionnalité, le CEPD souligne que la première est satisfaite dans la mesure où l’objectif d’intérêt général est suffisamment identifié en détail. De cette manière, il sera possible d’évaluer si la mesure restrictive est nécessaire. Quant à la proportionnalité, elle signifie que la mesure législative doit être appropriée pour atteindre les objectifs légitimes.^[2]

Plus tard, l’article 23(2) du RGPD prévoit que les mesures législatives restreignant les droits de la personne concernée et les obligations du responsable du traitement doivent inclure, le cas échéant :

• Les finalités du traitement ou les catégories de traitement ;
• Les catégories de données personnelles ;
• La portée des restrictions introduites ;
• Les garanties visant à prévenir les abus ou les accès ou transferts illicites ;
• La spécification du responsable du traitement ou des catégories de responsables du traitement ;
• Les durées de conservation et les garanties applicables compte tenu de la nature, de la portée et des finalités du traitement ou des catégories de traitement ;
• Les risques pour les droits et libertés des personnes concernées ; et
• Le droit des personnes concernées d’être informées de la limitation, sauf si cela peut être préjudiciable à l’objectif de la limitation.

Dans ses lignes directrices, l’EDPB précise également que “le responsable du traitement doit documenter l’application des restrictions dans des cas concrets en conservant un registre de leur application”,^[3] conformément au principe de responsabilité (voir “Principe de précision” dans la partie II, section “Principes” des présentes lignes directrices). Ce registre doit contenir les raisons applicables aux restrictions, les motifs parmi ceux énumérés à l’article 23, paragraphe 1, du RGPD qui s’appliquent, le moment où elles sont appliquées, ainsi que le résultat du test de nécessité et de proportionnalité.

 

1. Conseil européen de la protection des données, Lignes directrices 10/2020 sur les restrictions au titre de l’article 23 du RGPD, adoptées le 15 décembre 2020, p. 10, disponibles à l’adresse : https://edpb.europa.eu/our-work-tools/documents/public-consultations/2020/guidelines-102020-restrictions-under-article-23_en [dernier accès : 15.09.2021]. ↑
2. Ivi. ↑
3. Ibidem, p. 14 ↑