Article considérant 8

(8) Afin de garantir que tous les projets menés dans le cadre des bacs à sable réglementaires en matière d’interopérabilité respectent la confidentialité des données, les coordinateurs du bac à sable réglementaire et les autres acteurs doivent établir une approche bien définie concernant le traitement ultérieur des données à caractère personnel dans le bac à sable réglementaire en matière d’interopérabilité, c’est-à-dire les données à caractère personnel initialement collectées de manière licite à d’autres fins. Cette approche devrait être conforme à toutes les exigences énoncées dans le règlement (UE) 2024/903 et respecter toutes les autres obligations prévues par le droit de l’Union en matière de protection des données. L’accord spécifique sur la mise en place du bac à sable réglementaire en matière d’interopérabilité devrait déjà préciser, le cas échéant, les éléments énoncés à l’article 11, paragraphe 4, du règlement (UE) 2024/903. Cette approche devrait consister en particulier à suivre une démarche hiérarchique en matière d’utilisation des données à caractère personnel, en veillant à ce que les données traitées soient limitées à celles nécessaires au fonctionnement de la solution d’interopérabilité qui doit être développée ou testée dans le bac à sable réglementaire en matière d’interopérabilité, et aux cas où ce fonctionnement ne peut pas être assuré de manière efficace par le traitement de données anonymisées, synthétiques ou autres à caractère non personnel, conformément à l’article 12, paragraphe 6, point b), du règlement (UE) 2024/903. Lorsque le traitement des données à caractère personnel peut donner lieu à de nouvelles conclusions concernant les personnes concernées, les coordinateurs du bac à sable réglementaire ainsi que les autres acteurs associés au bac à sable doivent démontrer l’existence d’une base juridique valable pour l’exploitation opérationnelle des résultats issus de l’expérimentation dans le cadre du bac à sable. Cette base juridique est incluse dans le plan spécifique conformément à l’article 12, paragraphe 3, point g), du règlement (UE) 2024/903, et toutes les conditions prévues à l’article 12, paragraphe 6, doivent être remplies. En l’absence d’une telle base juridique, les données opérationnelles à caractère personnel provenant du bac à sable ne peuvent pas faire l’objet d’un traitement ultérieur. Cette limitation empêche que des bacs à sable réglementaires en matière d’interopérabilité ne soient principalement utilisés pour l’échange ou la comparaison de données entre autorités en l’absence de motifs juridiques clairs.