Pour être admissible, tout traitement de données à caractère personnel doit répondre à un certain nombre d'exigences de fond.
Vous devez donc respecter les principes suivants lorsque vous êtes amenés à traiter des données à caractère personnel:
Principe de licéité, loyauté et transparence
Les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée.
La collecte, l’enregistrement, l’utilisation et la transmission de données personnelles doivent se faire en conformité au règlement, de bonne foi, et non pas à l’insu de la personne concernée.
Principe de limitation des finalités
Les données personnelles doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités.
Les objectifs poursuivis doivent être choisis et connus avant le début du traitement. De plus, ils doivent être définis de manière précise et se référer à un ou plusieurs buts précis (finalités déterminées et explicites). En même temps, ils doivent correspondre à un ou plusieurs des cas de figure légitimes prévus par le RGPD (finalités légitimes).
En principe, les données ne doivent pas être traitées pour des finalités "incompatibles" avec ces finalités d'origine.
Principe de minimisation des données
Les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
Egalement appelé principe de nécessité et de proportionnalité, la minimisation des données signifie que vous devez traiter uniquement les données qui sont nécessaires (et non seulement utiles) à la réalisation des finalités.
Principe d’exactitude
Les données personnelles doivent être exactes, et si nécessaire, tenues à jour.
En effet, de bons résultats ne peuvent pas être atteints si le traitement se base sur des données erronées ou caduques. Pour cela, vous devez prendre toutes les mesures raisonnables afin de garantir que les données personnelles inexactes soient rectifiées ou supprimées sans tarder.
Principe de limitation de la conservation
Les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. Au-delà, les données doivent être supprimées ou anonymisées.
Vous devez donc déterminer une durée de conservation proportionnée.
Principe d’intégrité et confidentialité
Les données personnelles doivent être traitées de façon à garantir une sécurité appropriée des données à caractère personnel.
En effet, vous devez assurer l’intégrité et la confidentialité des données à l’aide de mesures techniques et organisationnelles appropriées, notamment contre un traitement non-autorisé ou illégal et contre la perte, destruction ou altération accidentelle des données.
Principe de responsabilisation ou d’« accountability »
Vous devez démontrer votre conformité.
En tant que responsable du traitement, vous devez prendre les mesures appropriées pour garantir, et être à même de démontrer, que le traitement des données à caractère personnel est effectué dans le respect du règlement.