Article considérant 32

(32) Bien que la loi sur les données (utilisation et accès) étende donc la liste des situations dans lesquelles le traitement ultérieur pour une finalité différente est considéré comme compatible avec la finalité initiale du traitement, cette extension est soumise à d’importantes limitations. Premièrement, elle est limitée à des situations spécifiques qui sont énumérées de manière exhaustive dans la loi. Deuxièmement, elle ne concerne que des domaines dans lesquels il existe un intérêt public manifeste pour l’activité de traitement, c’est-à-dire lorsque le traitement ultérieur sert les objectifs énumérés à l’article 23 du RGPD britannique [qui correspond à l’article 23 du règlement (UE) 2016/679]. L’invocation à des fins commerciales n’est donc pas autorisée. Troisièmement, bien que la loi sur les données (utilisation et accès) investisse le secrétaire d’État du pouvoir de modifier la liste figurant à l’annexe 2 au moyen d’un règlement, le secrétaire d’État ne peut y ajouter des types de traitement que si le traitement est là encore nécessaire pour garantir un objectif d’intérêt public énuméré à l’article 23, paragraphe 1, points c) à j), du RGPD britannique. Quatrièmement, lorsque la collecte de données à caractère personnel par le responsable du traitement est fondée sur le consentement de la personne concernée, le traitement pour une nouvelle finalité dans les situations énumérées à l’annexe 2 n’est considéré comme compatible avec la finalité initiale que si l’on ne peut raisonnablement s’attendre à ce que le responsable du traitement obtienne un nouveau consentement de la personne concernée.