Article considérant 41

(41) Lorsque le traitement de données sensibles ne repose pas sur le consentement, il peut être effectué en invoquant une des conditions énumérées à l’annexe 8 de la loi DPA 2018. Ces conditions portent sur le traitement nécessaire à des fins légales; à l’administration de la justice; à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne; à la protection des enfants et des personnes à risque; aux actions en justice; aux actes judiciaires; à la prévention de la fraude; à l’archivage; lorsque les données à caractère personnel sont manifestement rendues publiques par la personne concernée. À l’exception du cas où les données sont manifestement rendues publiques, toutes les conditions prévues par l’annexe 8 sont soumises à un contrôle du critère de «stricte nécessité». Comme précisé par l’ICO, «dans ce contexte, strictement nécessaire signifie que le traitement doit être lié à un besoin social impérieux, auquel on ne peut raisonnablement subvenir grâce à d’autres moyens moins intrusifs». En outre, certaines des conditions sont soumises à d’autres limitations. À titre d’exemple, un critère supplémentaire d’intérêt public substantiel doit être rempli pour invoquer la condition de «fins légales» et la «condition de protection» (points 1 et 4 de l’annexe 8). De plus, en ce qui concerne les conditions relatives à la protection de l’enfant (point 4 de l’annexe 8), la personne concernée doit également avoir un âge déterminé et être considérée comme une personne à risque. Par ailleurs, le responsable du traitement ne peut faire valoir la condition prévue au point 4 de l’annexe 8 que dans des circonstances particulières. De la même manière, des limitations s’appliquent aux conditions relatives aux «actes judiciaires» et à la «prévention de la fraude» (points 7 et 8 de l’annexe 8 respectivement). Les deux ne s’appliquent qu’à des responsables du traitement spécifiques. Dans le cas des actes judiciaires, seule une juridiction ou une autre autorité judiciaire peut faire valoir cette condition, et dans le cas de la prévention de la fraude, seuls les responsables du traitement qui sont des organisations de lutte contre la fraude peuvent invoquer cette condition.