Article considérant 23

(23) Bien que la loi sur les données (utilisation et accès) élargisse donc la liste des fondements juridiques du traitement des données à caractère personnel dont le responsable du traitement peut se prévaloir, le nouveau fondement juridique de l’intérêt légitime reconnu est soumis à plusieurs limitations importantes. Premièrement, les intérêts légitimes reconnus se limitent à des situations spécifiques qui sont énumérées de manière exhaustive dans la loi. Deuxièmement, ce fondement juridique ne peut être invoqué par les autorités publiques dans l’exercice de leurs missions. Troisièmement, il ne concerne que des domaines dans lesquels il existe un intérêt public manifeste pour l’activité de traitement (conformément aux conditions énoncées à l’annexe 1), c’est-à-dire lorsque le traitement sert les objectifs énumérés à l’article 23 du RGPD britannique [qui correspond à l’article 23 du règlement (UE) 2016/679] et ne peut donc être invoqué à des fins commerciales. Quatrièmement, bien que la loi sur les données (utilisation et accès) investisse le secrétaire d’État du pouvoir de modifier la liste figurant à l’annexe 1 au moyen d’un règlement, le secrétaire d’État ne peut établir un tel règlement qu’après avoir consulté l’ICO et y ajouter un intérêt légitime reconnu que si le traitement est là encore nécessaire pour garantir un objectif d’intérêt public énuméré à l’article 23, paragraphe 1, points c) à j), du RGPD britannique. Enfin, comme le confirment également les orientations de l’ICO, les responsables du traitement qui s’appuient sur un intérêt légitime reconnu comme base juridique sont tenus de se conformer à toutes les autres exigences du RGPD britannique, y compris de veiller à ce que le traitement soit nécessaire et proportionné pour réaliser l’intérêt légitime poursuivi.