Blog 1m50 avocat
Source : Freepik.com
La réutilisation de bases de données accessibles en ligne ou acquises auprès de tiers est devenue une pratique courante, qu’il s’agisse de projets d’intelligence artificielle, de prospection commerciale ou de recherche scientifique.
La publication de la CNIL du 23 janvier 2025 rappelle toutefois une réalité souvent sous-estimée : réutiliser une base de données trouvée en ligne ou fournie par un tiers expose l’entreprise à des risques juridiques importants, même lorsque la base semble librement accessible.
En effet, la simple disponibilité d’une base de données ne suffit pas à garantir la licéité de sa réutilisation.
Voici les principaux risques à connaître pour éviter les sanctions.
La CNIL est explicite :
➡️ Réutiliser des données provenant d’une fuite, d’un vol ou d’une source manifestement illicite peut constituer du recel.
Conséquences possibles :
Sont particulièrement à risque :
Recommandation : Vérifier l’absence d’illicéité manifeste
Le réutilisateur doit s’assurer que la base n’a pas été constituée ou diffusée de manière manifestement illicite.
La CNIL recommande d’examiner plusieurs indices :
Il ne s’agit pas d’un audit complet, mais d’un examen raisonnable des éléments disponibles.
La réutilisation d’une base constituée en violation du Code de la propriété intellectuelle expose l’entreprise à :
Le risque est particulièrement élevé lorsque :
Même si la base semble légitime, la réutilisation constitue un traitement distinct, soumis à toutes les obligations du RGPD.
Les risques incluent :
Sanctions possibles :
Source : Freepik.com
Les données relevant des articles 9 et 10 du RGPD sont particulièrement encadrées. Leur réutilisation est en principe interdite, sauf exceptions strictes.
Risques associés :
Recommandation : Vigilance accrue en présence de données sensibles ou d’infraction
Le réutilisateur doit notamment vérifier :
Source : Freepik.com
En l’absence d’un cadre contractuel clair, l’entreprise peut être tenue responsable :
Recommandation : Encadrement contractuel recommandé
Même si la base d’origine est licite, la réutilisation constitue un traitement distinct.
Elle doit donc respecter :
Le RGPD impose de prouver la conformité.
L’absence de documentation des vérifications préalables constitue un risque en soi.
En cas de contrôle, l’entreprise doit démontrer :
Dans un contexte où les jeux de données circulent massivement — notamment pour l’IA — la réutilisation sans vérification préalable expose l’entreprise à des risques juridiques majeurs : pénaux, civils, RGPD et contractuels.
La clé :
➡️ vérifier, documenter, encadrer.
C’est la seule manière de sécuriser juridiquement les projets impliquant des données.
N'hésite pas à me contacter
