Article 99 du RGPD : les dates à bien distinguer

Le RGPD est entré en vigueur le 24 mai 2016 et s’applique depuis le 25 mai 2018. L’article 99 distingue ces deux dates. Pour une entreprise, cette distinction sert notamment à relire un contrat ancien, dater les obligations d’un traitement continu et vérifier un consentement recueilli avant 2018.

Les quatre dates de référence

Sources : RGPD, art. 99(1) et (2) et CEPD, cadre juridique.

Le règlement est obligatoire dans tous ses éléments et directement applicable dans les États membres. Cela ne signifie pas que les lois nationales deviennent inutiles : certaines dispositions prévoient des marges nationales, notamment en matière de travail ou pour certaines données sensibles. Il faut appliquer l’ensemble du cadre pertinent, sans attendre une hypothétique « transposition » générale du RGPD.

La fiche de l’article 1 explique ses objectifs. Son champ matériel et territorial reste à vérifier : le seul fait de détenir une information sur une personne ne suffit pas à écarter les exclusions ou les régimes particuliers prévus par le droit.

Les traitements déjà en cours devaient être adaptés

Le considérant 171 prévoit la mise en conformité des traitements déjà engagés dans le délai séparant l’entrée en vigueur de l’application. Une base clients créée en 2012 ou un outil RH installé en 2015 ne bénéficie donc pas d’une dispense permanente. Sa conservation et son utilisation après le 25 mai 2018 doivent être analysées selon le droit applicable à ces opérations. RGPD, considérant 171.

Il faut distinguer trois situations :

• Une opération entièrement achevée avant l’application : déterminer le droit applicable à l’époque et les règles de prescription pertinentes.
• Un traitement commencé avant et poursuivi après : examiner les opérations qui continuent, y compris conservation, consultation ou transmission.
• Une nouvelle utilisation d’un ancien fichier : apprécier la finalité, la base légale, l’information et les autres exigences de cette utilisation.

La date de collecte n’est donc pas le seul repère. Un fichier inactif mais toujours conservé contient encore des données faisant l’objet d’un traitement. L’entreprise doit justifier sa durée de conservation, sa sécurité et les accès autorisés.

Faut-il refaire tous les consentements recueillis avant 2018 ?

Non. Le considérant 171 indique qu’un nouveau consentement n’est pas nécessaire lorsque la manière dont il a été obtenu respecte les conditions du RGPD. Il ne valide pas pour autant tous les anciens accords ou toutes les cases précochées. RGPD, considérant 171.

Lorsqu’un traitement repose sur le consentement, vérifiez ce que la personne a effectivement accepté, l’information fournie, le caractère libre du choix et la preuve conservée. L’art. 7(1) impose au responsable de pouvoir démontrer le consentement ; l’art. 7(3) prévoit son retrait. RGPD, art. 7(1) et (3).

Le dossier peut conduire à maintenir un consentement valable, à revoir le dispositif ou à cesser un traitement dépourvu de fondement. Solliciter automatiquement toute une base ne remplace pas l’analyse juridique. La fiche de l’article 7 détaille les vérifications utiles.

Relire les contrats avec des dates précises

Une clause qui renvoie à « l’entrée en vigueur du RGPD » vise normalement le 24 mai 2016. Si les parties entendaient viser son application opérationnelle générale, elles auraient dû préciser le 25 mai 2018. L’interprétation d’un contrat concret dépend néanmoins de sa rédaction complète et de son contexte.

Pour les contrats actuels, utilisez la référence du règlement et nommez explicitement la date lorsqu’elle a un effet. Évitez une formule qui pourrait être lue comme reportant la conformité à une date future indéterminée.

Un contrat de sous-traitance antérieur à 2018 ne dispense pas de satisfaire aux exigences applicables depuis cette date. L’objet, les instructions, la sécurité, les sous-traitants ultérieurs et l’assistance doivent notamment être couverts selon l’art. 28(3). RGPD, art. 28(3). Le guide de l’article 28 permet de vérifier le contenu de l’annexe.

Ne pas transformer une date historique en règle universelle

L’article 99 ne fixe pas le point de départ unique de toutes les prescriptions. Il n’instaure pas non plus un délai supplémentaire général de deux ans après le 25 mai 2018. Les délais de recours, de poursuite ou de conservation dépendent de leurs textes propres.

Enfin, un règlement entré en vigueur peut être modifié par un nouvel acte adopté selon la procédure applicable. L’article 99 ne rend pas le RGPD intangible. Pour chaque évolution, distinguez la proposition, l’adoption, la publication, l’entrée en vigueur et l’application éventuelle différée. La fiche de l’article 97 présente la différence entre évaluation du RGPD et modification effective du droit.

Ce qu’il faut retenir

• L’entrée en vigueur date du 24 mai 2016 ; l’application générale du 25 mai 2018.
• Les traitements poursuivis après cette dernière date doivent respecter le cadre applicable.
• Un ancien consentement peut rester valable s’il répond aux conditions du RGPD.
• Un contrat ancien n’exonère pas des exigences actuelles.
• L’article 99 ne détermine ni toutes les prescriptions ni le statut des futures réformes.

FAQ

Le RGPD a-t-il commencé à s’appliquer le 24 mai 2016 ?

Il est entré en vigueur ce jour-là, mais son article 99(2) a fixé l’application générale au 25 mai 2018. Il faut distinguer les deux événements.

Une base de données créée avant 2018 échappe-t-elle au RGPD ?

Non, si ses traitements poursuivis entrent dans le champ du règlement. La conservation et les utilisations après son application doivent être examinées.

La date de 2018 oblige-t-elle à renouveler périodiquement tous les consentements ?

Non. L’article 99 n’instaure aucune échéance périodique universelle de renouvellement. La validité du consentement dépend des conditions dans lesquelles il a été recueilli et du traitement effectivement réalisé.

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.