Article considérant 24

(24) Le traitement en question doit également être effectué «à des fins répressives», définies comme étant la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. Le traitement par une autorité compétente n’est pas régi par la partie 3 de la loi DPA 2018 lorsqu’il n’a pas lieu à des fins répressives. Tel sera le cas, par exemple, lorsque l’Autorité de la concurrence et des marchés enquête sur des affaires qui ne sont pas de nature criminelle (tels que les fusions d’entreprises). Dans ce cas, le RGPD du Royaume-Uni, ainsi que la partie 2 de la loi DPA 2018 s’appliqueront puisque le traitement de données à caractère personnel par les autorités compétentes est effectué à des fins autres que répressives. Afin de déterminer quel régime de protection des données s’applique (partie 3 ou 2 de la loi DPA 2018) au traitement de données à caractère personnel concerné, l’autorité compétente, à savoir le responsable du traitement, est tenue d’examiner si la «finalité principale» de ce traitement est l’une des fins répressives visées par la loi DPA 2018.