(48) Le règlement (UE) 2016/679 ou toute autre disposition du droit de l’Union en matière de protection des données devrait s’appliquer pleinement au traitement des données à caractère personnel en lien avec tout contrat relevant du champ d’application de la présente directive. En outre, la présente directive devrait s’appliquer sans préjudice des droits, des obligations et des recours non contractuels prévus par le règlement (UE) 2016/679. Les faits qui mènent à un non-respect des exigences prévues par le règlement (UE) 2016/679, y compris de ses principes de base tels que les exigences en matière de minimisation des données, de protection des données dès la conception et de protection des données par défaut, peuvent également, selon les circonstances, être considérés comme des défauts de conformité du contenu numérique ou du service numérique aux critères subjectifs ou objectifs de conformité prévus par la présente directive. Un exemple pourrait être celui d’un professionnel qui s’engage explicitement dans le contrat à respecter une obligation, ou celui où le contrat peut être interprété comme tel, et où cette obligation est également liée aux obligations du professionnel prévues par le règlement (UE) 2016/679. Dans ce cas, un tel engagement contractuel peut devenir partie intégrante des critères subjectifs de conformité. Un second exemple pourrait être celui où un manquement aux obligations découlant du règlement (UE) 2016/679 pourrait, en même temps, rendre le contenu numérique ou le service numérique impropre à la finalité visée et, en conséquence, constituer un défaut de conformité au critère objectif de conformité qui veut que le contenu numérique ou le service numérique soit adapté aux finalités auxquelles servirait normalement un contenu numérique ou un service numérique de même type.
Tel serait le cas, par exemple, si le professionnel de logiciels de cryptage de données ne mettait pas en œuvre les mesures appropriées requises par le règlement (UE) 2016/679 pour garantir que les données à caractère personnel dès la conception ne sont pas divulguées à des destinataires non autorisés, ce qui rendrait le logiciel de cryptage impropre à sa finalité, à savoir le transfert sécurisé de données par le consommateur à leurs destinataires voulus. Enfin, il pourrait exister des cas où le non-respect, par le professionnel, des obligations qui lui incombent en vertu du règlement (UE) 2016/679 peut également constituer un défaut de conformité du contenu numérique ou du service numérique au critère objectif de conformité qui veut que le contenu numérique ou le service numérique présente les caractéristiques qui sont normales pour des contenus numériques ou des services numériques de même type et auxquelles le consommateur peut raisonnablement s’attendre. Par exemple, si un professionnel proposant une application de vente en ligne ne prend pas les mesures prévues par le règlement (UE) 2016/679 pour assurer le traitement sécurisé des données à caractère personnel du consommateur et que, par conséquent, les informations liées à la carte de crédit du consommateur sont exposées à des logiciels malveillants ou à des logiciels espions, ce manquement pourrait également constituer un défaut de conformité du contenu numérique ou du service numérique au sens de la présente directive, étant donné que le consommateur pourrait raisonnablement s’attendre à ce qu’une application de ce type possède normalement des caractéristiques empêchant la divulgation de ses coordonnées bancaires. Lorsque les faits à l’origine du non-respect des exigences prévues par le règlement (UE) 2016/679 constituent également un défaut de conformité du contenu numérique ou du service numérique aux critères subjectifs ou objectifs de conformité tels qu’ils sont prévus par la présente directive, le consommateur devrait avoir droit aux recours pour défaut de conformité prévus par la présente directive, à moins que le contrat ne soit déjà nul ou susceptible d’être annulé en vertu du droit national.