Finalité du traitement

En droit du RGPD, la finalité correspond au « pourquoi » du traitement. Avant même de collecter la moindre donnée, l'entreprise doit définir l'objectif concret qu'elle poursuit. Selon l'article 5(1)(b) du RGPD, les données doivent être collectées pour des « finalités déterminées, explicites et légitimes ». Cela signifie qu'une entreprise ne peut pas collecter des données « au cas où » elles seraient utiles plus tard ; elle doit savoir exactement ce qu'elle veut accomplir. Cette notion est le pilier du principe de limitation des finalités. Une fois l'objectif fixé, les données ne peuvent plus être traitées de manière incompatible avec cet objectif initial. Si vous souhaitez utiliser des données pour une nouvelle finalité, vous devez soit obtenir un nouveau consentement, soit vérifier que cette nouvelle utilisation est compatible avec la première, sous peine de sanctions administratives. Pour un dirigeant de PME, définir la finalité est l'étape cruciale du registre des activités de traitement. C'est elle qui détermine ensuite quelles données sont strictement nécessaires (principe de minimisation) et quelle base légale (consentement, contrat, intérêt légitime, etc.) doit être invoquée pour rendre le traitement licite.