La CNIL a publié, le 23 janvier 2025, un article rappelant les bonnes pratiques à respecter pour la réutilisation de bases de données personnelles — qu’elles soient vendues par des data brokers ou mises à disposition du public sur Internet. Elle souligne que les responsables de traitement qui utilisent de telles bases doivent vérifier que leur constitution ou leur partage n’est pas manifestement illicite.
Première étape : vérifier que la base n’est pas manifestement illicite. Sans aller jusqu’à des vérifications approfondies sur le respect de l’ensemble des règles applicables par le tiers, le réutilisateur doit s’assurer que la source des données est mentionnée, que la constitution ou la diffusion ne résulte pas manifestement d’un crime ou d’un délit, qu’aucune condamnation ou sanction publique n’entraîne une interdiction d’exploitation, que l’origine des données est suffisamment documentée, et que la base ne contient ni données sensibles ni données d’infraction.
Seconde exigence : encadrer la relation avec le détenteur des données. La CNIL recommande la conclusion d’un accord précisant la source, le contexte de la collecte, la base légale du traitement et, le cas échéant, l’existence d’une analyse d’impact. Le responsable de traitement doit s’assurer du respect de l’information des personnes concernées, et le détenteur initial garantir la licéité du partage.
Cette position clarifie les modalités d’utilisation des bases de données pour rester conforme au RGPD, mais rend aussi le partage plus contraignant pour les détenteurs initiaux. Il restera à voir comment les contrats évolueront et si les organismes suivront ces recommandations lors de l’achat de bases contenant des données personnelles.
Source : CNIL — Réutilisation de bases de données : les vérifications nécessaires.