Dans un arrêt du 19 mars 2019, les 19e et 20e chambres réunies du Conseil d’Etat sont venues préciser les conditions d’opposition à un traitement de données à caractère personnel pour des motifs légitimes.

En l’espèce, la requérante refusait que des données personnelles relatives à ses enfants soient enregistrées et conservées dans la « base élèves premier degré » (BE1D) et la « base nationale identifiant élève » (BNIE). Etait invoqué à l’appui de cette exigence, l’article 38 de la loi Informatique et Libertés du 6 janvier 1978, en vigueur au moment des faits, qui permet à toute personne physique : « de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement. […]. ».

Cependant, après une longue procédure judiciaire, le Conseil d’Etat est venu définir les « motifs légitimes » qui peuvent justement être invoqués pour l’exercice du droit d’opposition, lequel n’est pas absolu. Il s’agit de « raisons légitimes tenant de manière prépondérante à sa situation particulière ».

Par conséquent, le Conseil d’Etat a considéré à juste titre que les craintes d’ordre général de la requérante concernant notamment la sécurité du fonctionnement de la base, sans faire état de considérations qui lui seraient propres ou seraient propres à ses enfants, ne sont pas des motifs légitimes de nature à s’opposer au traitement.

Ainsi, le droit d’opposition qui serait exercé par une personne physique doit bien s’apprécier par les responsables de traitement in concreto en fonction de la personne concernée par le traitement et en dehors de toute considération générale.  

Cet arrêt permet également de rappeler que le droit d’opposition n’est pas inconditionnel.

Par ailleurs, le nouveau Règlement européen n°2016/679 relatif à la protection des données (dit « RGPD »), applicable depuis le 25 mai 2018, est encore plus précis sur cette appréciation in concreto du droit d'opposition puisqu’il dispose que : « la personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant » (article 21.1, RGPD).

Si en revanche le responsable de traitement souhaite tout de même traiter les données à caractère personnel malgré une opposition de la personne concernée, il devra démontrer  « qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice » (article 21.1, RGPD).