# Journal officiel L 360/2021

| | ISSN 1977-0693 |
| --- | --- |
| Journal officiel
  de l’Union européenne | L 360 |
| | |
| Édition de langue française | Législation | 64e année11 octobre 2021 |

ISSN 1977-0693

Journal officiel

de l’Union européenne

L 360

Édition de langue française

Législation

64e année11 octobre 2021

---

| Sommaire | | II   Actes non législatifs | page |
| --- | --- | --- | --- |
| | | DÉCISIONS |
| | * | Règlement d’exécution (UE) 2021/1772 de la Commission du 28 juin 2021 constatant, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, le niveau de protection adéquat des données à caractère personnel assuré par le Royaume-Uni
  [notifiée sous le numéro C(2021) 4800]

   (
  1
  ) | 1 |
| | * | Décision d’exécution (UE) 2021/1773 de la Commission du 28 juin 2021 constatant, conformément à la directive (UE) 2016/680 du Parlement européen et du Conseil, le caractère adéquat du niveau de protection des données à caractère personnel assuré par le Royaume-Uni
  [notifiée sous le numéro C(2021) 4801] | 69 |
| | * | Décision d’exécution (UE) 2021/1774 du Conseil du 5 octobre 2021 modifiant la décision d’exécution (UE) 2018/1493 autorisant la Hongrie à introduire une mesure particulière dérogatoire à l’article 26, paragraphe 1, point a), et aux articles 168 et 168 bis de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée | 108 |
| | * | Décision d’exécution (UE) 2021/1775 du Conseil du 5 octobre 2021 modifiant la décision d’exécution (UE) 2018/789 autorisant la Hongrie à introduire une mesure particulière dérogatoire à l’article 193 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée | 110 |
| | * | Décision d’exécution (UE) 2021/1776 du Conseil du 5 octobre 2021 modifiant la décision 2009/791/CE autorisant la République fédérale d’Allemagne à proroger l’application d’une mesure dérogeant à l’article 168 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée | 112 |
| | * | Décision d’exécution (UE) 2021/1777 du Conseil du 5 octobre 2021 autorisant l’Italie à appliquer des taux réduits de taxation au gazole utilisé pour le chauffage et à l’électricité, fournis dans la commune de Campione d’Italia | 115 |
| | * | Décision d’exécution (UE) 2021/1778 du Conseil du 5 octobre 2021 autorisant la République fédérale d’Allemagne à appliquer une mesure particulière dérogatoire à l’article 193 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée | 117 |
| | * | Décision d’exécution (UE) 2021/1779 du Conseil du 5 octobre 2021 modifiant la décision d’exécution 2009/1013/UE autorisant la République d’Autriche à proroger l’application d’une mesure dérogeant à l’article 168 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée | 120 |
| | * | Décision d’exécution (UE) 2021/1780 du Conseil du 5 octobre 2021 modifiant la décision 2009/790/CE autorisant la République de Pologne à appliquer une mesure dérogatoire à l’article 287 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée | 122 |
| | * | Décision d’exécution (UE) 2021/1781 du Conseil du 7 octobre 2021 relative à la suspension de certaines dispositions du règlement (CE) no 810/2009 du Parlement européen et du Conseil en ce qui concerne la Gambie | 124 |
| | | RECOMMANDATIONS |
| | * | Recommandation (UE) 2021/1782 du Conseil du 8 octobre 2021 modifiant la recommandation (UE) 2020/912 concernant la restriction temporaire des déplacements non essentiels vers l’UE et la possible levée de cette restriction | 128 |

Sommaire

II   Actes non législatifs

page

DÉCISIONS

*

Règlement d’exécution (UE) 2021/1772 de la Commission du 28 juin 2021 constatant, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, le niveau de protection adéquat des données à caractère personnel assuré par le Royaume-Uni
  [notifiée sous le numéro C(2021) 4800]

   (
  1
  )

[notifiée sous le numéro C(2021) 4800]

1

1

*

Décision d’exécution (UE) 2021/1773 de la Commission du 28 juin 2021 constatant, conformément à la directive (UE) 2016/680 du Parlement européen et du Conseil, le caractère adéquat du niveau de protection des données à caractère personnel assuré par le Royaume-Uni
  [notifiée sous le numéro C(2021) 4801]

[notifiée sous le numéro C(2021) 4801]

69

*

Décision d’exécution (UE) 2021/1774 du Conseil du 5 octobre 2021 modifiant la décision d’exécution (UE) 2018/1493 autorisant la Hongrie à introduire une mesure particulière dérogatoire à l’article 26, paragraphe 1, point a), et aux articles 168 et 168 bis de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée

bis

108

*

Décision d’exécution (UE) 2021/1775 du Conseil du 5 octobre 2021 modifiant la décision d’exécution (UE) 2018/789 autorisant la Hongrie à introduire une mesure particulière dérogatoire à l’article 193 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée

110

*

Décision d’exécution (UE) 2021/1776 du Conseil du 5 octobre 2021 modifiant la décision 2009/791/CE autorisant la République fédérale d’Allemagne à proroger l’application d’une mesure dérogeant à l’article 168 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée

112

*

Décision d’exécution (UE) 2021/1777 du Conseil du 5 octobre 2021 autorisant l’Italie à appliquer des taux réduits de taxation au gazole utilisé pour le chauffage et à l’électricité, fournis dans la commune de Campione d’Italia

115

*

Décision d’exécution (UE) 2021/1778 du Conseil du 5 octobre 2021 autorisant la République fédérale d’Allemagne à appliquer une mesure particulière dérogatoire à l’article 193 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée

117

*

Décision d’exécution (UE) 2021/1779 du Conseil du 5 octobre 2021 modifiant la décision d’exécution 2009/1013/UE autorisant la République d’Autriche à proroger l’application d’une mesure dérogeant à l’article 168 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée

120

*

Décision d’exécution (UE) 2021/1780 du Conseil du 5 octobre 2021 modifiant la décision 2009/790/CE autorisant la République de Pologne à appliquer une mesure dérogatoire à l’article 287 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée

122

*

Décision d’exécution (UE) 2021/1781 du Conseil du 7 octobre 2021 relative à la suspension de certaines dispositions du règlement (CE) no 810/2009 du Parlement européen et du Conseil en ce qui concerne la Gambie

o

124

RECOMMANDATIONS

*

Recommandation (UE) 2021/1782 du Conseil du 8 octobre 2021 modifiant la recommandation (UE) 2020/912 concernant la restriction temporaire des déplacements non essentiels vers l’UE et la possible levée de cette restriction

128

| | |
| --- | --- |
| | (1)   Texte présentant de l’intérêt pour l’EEE. |

---

(1)   Texte présentant de l’intérêt pour l’EEE.

1

| FR | Les actes dont les titres sont imprimés en caractères maigres sont des actes de gestion courante pris dans le cadre de la politique agricole et ayant généralement une durée de validité limitée.
  Les actes dont les titres sont imprimés en caractères gras et précédés d'un astérisque sont tous les autres actes. |
| --- | --- |

FR

Les actes dont les titres sont imprimés en caractères maigres sont des actes de gestion courante pris dans le cadre de la politique agricole et ayant généralement une durée de validité limitée.

Les actes dont les titres sont imprimés en caractères gras et précédés d'un astérisque sont tous les autres actes.

---

II Actes non législatifs

DÉCISIONS

| 11.10.2021 | FR | Journal officiel de l’Union européenne | L 360/1 |
| --- | --- | --- | --- |

11.10.2021

FR

Journal officiel de l’Union européenne

L 360/1

---

RÈGLEMENT D’EXÉCUTION (UE) 2021/1772 DE LA COMMISSION

du 28 juin 2021

constatant, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, le niveau de protection adéquat des données à caractère personnel assuré par le Royaume-Uni

[notifiée sous le numéro C(2021) 4800]

(Texte présentant de l’intérêt pour l’EEE)

LA COMMISSION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (RGPD) (1), et notamment son article 45, paragraphe 3,

considérant ce qui suit:

1.   INTRODUCTION

INTRODUCTION

| (1) | Le règlement (UE) 2016/679 fixe les règles applicables au transfert de données à caractère personnel, par des responsables du traitement ou des sous-traitants au sein de l’Union européenne, vers des pays tiers et à des organisations internationales, dans la mesure où ces transferts relèvent de son champ d’application. Les règles relatives aux transferts internationaux de données sont définies au chapitre V dudit règlement, soit aux articles 44 à 50. Bien que les flux de données à caractère personnel en provenance et à destination de pays non-membres de l’Union européenne soient nécessaires au développement de la coopération internationale et des échanges commerciaux transfrontières, le niveau de protection assuré aux données à caractère personnel au sein de l’Union européenne ne doit pas être compromis par des transferts vers des pays tiers (2). |
| --- | --- |

(1)

Le règlement (UE) 2016/679 fixe les règles applicables au transfert de données à caractère personnel, par des responsables du traitement ou des sous-traitants au sein de l’Union européenne, vers des pays tiers et à des organisations internationales, dans la mesure où ces transferts relèvent de son champ d’application. Les règles relatives aux transferts internationaux de données sont définies au chapitre V dudit règlement, soit aux articles 44 à 50. Bien que les flux de données à caractère personnel en provenance et à destination de pays non-membres de l’Union européenne soient nécessaires au développement de la coopération internationale et des échanges commerciaux transfrontières, le niveau de protection assuré aux données à caractère personnel au sein de l’Union européenne ne doit pas être compromis par des transferts vers des pays tiers (2).

2

| (2) | En vertu de l’article 45, paragraphe 3, du règlement (UE) 2016/679, la Commission peut décider, par voie d’actes d’exécution, qu’un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans un pays tiers, ou une organisation internationale, assure un niveau de protection adéquat. Dans cette circonstance, les transferts de données à caractère personnel vers un pays tiers peuvent avoir lieu sans qu’il soit nécessaire d’obtenir une autre autorisation, comme prévu à l’article 45, paragraphe 1, et au considérant 103 dudit règlement. |
| --- | --- |

(2)

En vertu de l’article 45, paragraphe 3, du règlement (UE) 2016/679, la Commission peut décider, par voie d’actes d’exécution, qu’un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans un pays tiers, ou une organisation internationale, assure un niveau de protection adéquat. Dans cette circonstance, les transferts de données à caractère personnel vers un pays tiers peuvent avoir lieu sans qu’il soit nécessaire d’obtenir une autre autorisation, comme prévu à l’article 45, paragraphe 1, et au considérant 103 dudit règlement.

| (3) | Comme précisé à l’article 45, paragraphe 2, du règlement (UE) 2016/679, l’adoption d’une décision d’adéquation doit reposer sur une analyse approfondie de l’ordre juridique du pays tiers, en ce qui concerne tant les règles applicables aux importateurs de données que les limitations et les garanties en matière d’accès des autorités publiques aux données à caractère personnel. Dans son évaluation, la Commission doit déterminer si le pays tiers en question assure un niveau de protection «essentiellement équivalent» à celui qui est garanti dans l’Union européenne [considérant 104 du règlement (UE) 2016/679]. La norme au regard de laquelle l’«équivalence essentielle» est évaluée est celle fixée par la législation de l’Union européenne, notamment le règlement (UE) 2016/679, ainsi que la jurisprudence de la Cour de justice de l’Union européenne (CJUE) (3). Les critères de référence pour l’adéquation du comité européen de la protection des données sont également importants à cet égard (4). |
| --- | --- |

(3)

Comme précisé à l’article 45, paragraphe 2, du règlement (UE) 2016/679, l’adoption d’une décision d’adéquation doit reposer sur une analyse approfondie de l’ordre juridique du pays tiers, en ce qui concerne tant les règles applicables aux importateurs de données que les limitations et les garanties en matière d’accès des autorités publiques aux données à caractère personnel. Dans son évaluation, la Commission doit déterminer si le pays tiers en question assure un niveau de protection «essentiellement équivalent» à celui qui est garanti dans l’Union européenne [considérant 104 du règlement (UE) 2016/679]. La norme au regard de laquelle l’«équivalence essentielle» est évaluée est celle fixée par la législation de l’Union européenne, notamment le règlement (UE) 2016/679, ainsi que la jurisprudence de la Cour de justice de l’Union européenne (CJUE) (3). Les critères de référence pour l’adéquation du comité européen de la protection des données sont également importants à cet égard (4).

3

4

| (4) | Comme l’a précisé la Cour de justice de l’Union européenne, il n’est pas nécessaire de constater un niveau de protection identique (5). En particulier, les moyens auxquels ce pays tiers a recours aux fins de la protection des données à caractère personnel peuvent être différents de ceux mis en œuvre au sein de l’Union, pour autant qu’ils s’avèrent, en pratique, effectifs afin d’assurer un niveau de protection adéquat (6). Le principe d’adéquation n’exige donc pas que l’on reproduise à l’identique les règles de l’Union. Il s’agit plutôt de déterminer si le système étranger offre, dans son ensemble, par l’essence de ses droits en matière de protection des données et leur mise en œuvre effective, leur opposabilité et le contrôle de leur application, le niveau requis de protection (7). |
| --- | --- |

(4)

Comme l’a précisé la Cour de justice de l’Union européenne, il n’est pas nécessaire de constater un niveau de protection identique (5). En particulier, les moyens auxquels ce pays tiers a recours aux fins de la protection des données à caractère personnel peuvent être différents de ceux mis en œuvre au sein de l’Union, pour autant qu’ils s’avèrent, en pratique, effectifs afin d’assurer un niveau de protection adéquat (6). Le principe d’adéquation n’exige donc pas que l’on reproduise à l’identique les règles de l’Union. Il s’agit plutôt de déterminer si le système étranger offre, dans son ensemble, par l’essence de ses droits en matière de protection des données et leur mise en œuvre effective, leur opposabilité et le contrôle de leur application, le niveau requis de protection (7).

5

6

7

| (5) | La Commission a soigneusement analysé la législation et les pratiques du Royaume-Uni. Sur la base des constatations exposées aux considérants 8 à 270, la Commission conclut que le Royaume-Uni assure un niveau de protection adéquat des données à caractère personnel transférées dans le cadre du champ d’application du règlement (UE) 2016/679 de l’Union européenne vers le Royaume-Uni. |
| --- | --- |

(5)

La Commission a soigneusement analysé la législation et les pratiques du Royaume-Uni. Sur la base des constatations exposées aux considérants 8 à 270, la Commission conclut que le Royaume-Uni assure un niveau de protection adéquat des données à caractère personnel transférées dans le cadre du champ d’application du règlement (UE) 2016/679 de l’Union européenne vers le Royaume-Uni.

| (6) | Cette conclusion ne concerne pas les données à caractère personnel transférées à des fins de contrôle de l’immigration au Royaume-Uni ou qui relèvent par ailleurs du champ d’application de l’exemption de certains droits des personnes concernées aux fins du maintien d’un contrôle efficace de l’immigration (ci-après l’«exemption en matière d’immigration») conformément au paragraphe 4, point 1, de l’annexe 2 de la loi britannique sur la protection des données. La validité et l’interprétation de l’exemption en matière d’immigration en droit britannique ne sont pas tranchées à la suite d’une décision de la Cour d’appel d’Angleterre et du pays de Galles du 26 mai 2021. Tout en reconnaissant que les droits des personnes concernées peuvent, en principe, être limités aux fins du contrôle de l’immigration en tant qu’«aspect important de l’intérêt public», la Cour d’appel a jugé que l’exemption en matière d’immigration est, dans sa forme actuelle, incompatible avec le droit britannique, étant donné que la mesure législative ne contient pas de dispositions spécifiques énonçant les garanties énumérées à l’article 23, paragraphe 2, du règlement général sur la protection des données du Royaume-Uni (RGPD britannique) (8). Dans ces conditions, les transferts de données à caractère personnel de l’Union vers le Royaume-Uni auxquels l’exemption en matière d’immigration peut s’appliquer devraient être exclus du champ d’application de la présente décision (9). Une fois qu’il aura été remédié à l’incompatibilité avec le droit britannique, l’exemption en matière d’immigration devrait être réexaminée, de même que la nécessité de maintenir la limitation du champ d’application de la présente décision. |
| --- | --- |

(6)

Cette conclusion ne concerne pas les données à caractère personnel transférées à des fins de contrôle de l’immigration au Royaume-Uni ou qui relèvent par ailleurs du champ d’application de l’exemption de certains droits des personnes concernées aux fins du maintien d’un contrôle efficace de l’immigration (ci-après l’«exemption en matière d’immigration») conformément au paragraphe 4, point 1, de l’annexe 2 de la loi britannique sur la protection des données. La validité et l’interprétation de l’exemption en matière d’immigration en droit britannique ne sont pas tranchées à la suite d’une décision de la Cour d’appel d’Angleterre et du pays de Galles du 26 mai 2021. Tout en reconnaissant que les droits des personnes concernées peuvent, en principe, être limités aux fins du contrôle de l’immigration en tant qu’«aspect important de l’intérêt public», la Cour d’appel a jugé que l’exemption en matière d’immigration est, dans sa forme actuelle, incompatible avec le droit britannique, étant donné que la mesure législative ne contient pas de dispositions spécifiques énonçant les garanties énumérées à l’article 23, paragraphe 2, du règlement général sur la protection des données du Royaume-Uni (RGPD britannique) (8). Dans ces conditions, les transferts de données à caractère personnel de l’Union vers le Royaume-Uni auxquels l’exemption en matière d’immigration peut s’appliquer devraient être exclus du champ d’application de la présente décision (9). Une fois qu’il aura été remédié à l’incompatibilité avec le droit britannique, l’exemption en matière d’immigration devrait être réexaminée, de même que la nécessité de maintenir la limitation du champ d’application de la présente décision.

8

9

| (7) | La présente décision ne devrait avoir aucune incidence sur l’application directe du règlement (UE) 2016/679 aux organisations établies au Royaume-Uni lorsque les conditions relatives au champ d’application territorial dudit règlement, défini à son article 3, sont remplies. |
| --- | --- |

(7)

La présente décision ne devrait avoir aucune incidence sur l’application directe du règlement (UE) 2016/679 aux organisations établies au Royaume-Uni lorsque les conditions relatives au champ d’application territorial dudit règlement, défini à son article 3, sont remplies.

2.   RÈGLES APPLICABLES AU TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL

RÈGLES APPLICABLES AU TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL

2.1.   Le cadre constitutionnel

Le cadre constitutionnel

| (8) | Le Royaume-Uni est une démocratie parlementaire dont le chef d’État est un souverain constitutionnel. Le Royaume-Uni possède un Parlement souverain, qui exerce une autorité suprême sur l’ensemble des autres institutions gouvernementales, un pouvoir exécutif issu et sous l’autorité du Parlement, ainsi qu’un pouvoir judiciaire indépendant. Le pouvoir exécutif tire son autorité de sa capacité à obtenir la confiance de la Chambre des communes élue. Il rend compte aux deux chambres du Parlement qui sont chargées de contrôler l’action du gouvernement, ainsi que d’examiner et de voter les lois. |
| --- | --- |

(8)

Le Royaume-Uni est une démocratie parlementaire dont le chef d’État est un souverain constitutionnel. Le Royaume-Uni possède un Parlement souverain, qui exerce une autorité suprême sur l’ensemble des autres institutions gouvernementales, un pouvoir exécutif issu et sous l’autorité du Parlement, ainsi qu’un pouvoir judiciaire indépendant. Le pouvoir exécutif tire son autorité de sa capacité à obtenir la confiance de la Chambre des communes élue. Il rend compte aux deux chambres du Parlement qui sont chargées de contrôler l’action du gouvernement, ainsi que d’examiner et de voter les lois.

| (9) | Le Parlement britannique a transféré des responsabilités au Parlement écossais, au Parlement gallois (Senedd Cymru) et à l’Assemblée d’Irlande du Nord afin que ceux-ci puissent légiférer en Écosse, au Pays de Galles et en Irlande du Nord sur des points concernant les affaires intérieures qu’il ne s’est pas réservés. Bien que la protection des données soit un point réservé, c’est-à-dire que la même législation s’applique dans tout le pays, d’autres domaines politiques en rapport avec la présente décision sont décentralisés. Par exemple, les systèmes de justice pénale, y compris les fonctions de police, de l’Écosse et de l’Irlande du Nord sont délégués respectivement au Parlement écossais et à l’Assemblée d’Irlande du Nord. Le Royaume-Uni ne possède pas de constitution codifiée à proprement parler. Les principes constitutionnels, apparus au fil du temps, sont tirés de la jurisprudence et des conventions en particulier. La valeur constitutionnelle de certaines lois, telles que la Magna Carta (Grande Charte), la Déclaration des droits de 1689 et la loi de 1998 sur les droits de l’homme, a été reconnue par les tribunaux. Les droits fondamentaux des personnes ont été établis, en tant que partie intégrante de la constitution, par la common law, lesdites lois et les traités internationaux, notamment la convention européenne des droits de l’homme (CEDH) que le Royaume-Uni a ratifiée en 1951. Le Royaume-Uni a également ratifié la convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (convention 108) en 1987 (10). |
| --- | --- |

(9)

Le Parlement britannique a transféré des responsabilités au Parlement écossais, au Parlement gallois (Senedd Cymru) et à l’Assemblée d’Irlande du Nord afin que ceux-ci puissent légiférer en Écosse, au Pays de Galles et en Irlande du Nord sur des points concernant les affaires intérieures qu’il ne s’est pas réservés. Bien que la protection des données soit un point réservé, c’est-à-dire que la même législation s’applique dans tout le pays, d’autres domaines politiques en rapport avec la présente décision sont décentralisés. Par exemple, les systèmes de justice pénale, y compris les fonctions de police, de l’Écosse et de l’Irlande du Nord sont délégués respectivement au Parlement écossais et à l’Assemblée d’Irlande du Nord. Le Royaume-Uni ne possède pas de constitution codifiée à proprement parler. Les principes constitutionnels, apparus au fil du temps, sont tirés de la jurisprudence et des conventions en particulier. La valeur constitutionnelle de certaines lois, telles que la Magna Carta (Grande Charte), la Déclaration des droits de 1689 et la loi de 1998 sur les droits de l’homme, a été reconnue par les tribunaux. Les droits fondamentaux des personnes ont été établis, en tant que partie intégrante de la constitution, par la common law, lesdites lois et les traités internationaux, notamment la convention européenne des droits de l’homme (CEDH) que le Royaume-Uni a ratifiée en 1951. Le Royaume-Uni a également ratifié la convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (convention 108) en 1987 (10).

common law

10

| (10) | La loi de 1998 sur les droits de l’homme intègre dans le droit britannique les droits contenus dans la convention européenne des droits de l’homme. La loi sur les droits de l’homme confère à toute personne les libertés et droits fondamentaux prévus aux articles 2 à 12 et 14 de la convention européenne des droits de l’homme, aux articles 1er, 2 et 3 de son premier protocole et à l’article 1er de son treizième protocole, lus en combinaison avec les articles 16, 17 et 18 de ladite convention. Ces droits comprennent le droit au respect de la vie privée et familiale (ainsi que le droit à la protection des données qui fait partie dudit droit) et le droit à un procès équitable (11). En particulier, conformément à l’article 8 de ladite convention, il ne peut y avoir ingérence d’une autorité publique dans l’exercice de ce droit que pour autant que cette ingérence soit prévue par la loi et qu’elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l’ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d’autrui. |
| --- | --- |

(10)

La loi de 1998 sur les droits de l’homme intègre dans le droit britannique les droits contenus dans la convention européenne des droits de l’homme. La loi sur les droits de l’homme confère à toute personne les libertés et droits fondamentaux prévus aux articles 2 à 12 et 14 de la convention européenne des droits de l’homme, aux articles 1er, 2 et 3 de son premier protocole et à l’article 1er de son treizième protocole, lus en combinaison avec les articles 16, 17 et 18 de ladite convention. Ces droits comprennent le droit au respect de la vie privée et familiale (ainsi que le droit à la protection des données qui fait partie dudit droit) et le droit à un procès équitable (11). En particulier, conformément à l’article 8 de ladite convention, il ne peut y avoir ingérence d’une autorité publique dans l’exercice de ce droit que pour autant que cette ingérence soit prévue par la loi et qu’elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l’ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d’autrui.

er

er

11

| (11) | Conformément à la loi de 1998 sur les droits de l’homme, toute action des autorités publiques doit être compatible avec un droit garanti par la convention (12). En outre, la législation primaire et la législation dérivée doivent être interprétées et appliquées de manière compatible avec les droits reconnus par la convention (13). |
| --- | --- |

(11)

Conformément à la loi de 1998 sur les droits de l’homme, toute action des autorités publiques doit être compatible avec un droit garanti par la convention (12). En outre, la législation primaire et la législation dérivée doivent être interprétées et appliquées de manière compatible avec les droits reconnus par la convention (13).

12

13

2.2.   Le cadre de protection des données du Royaume-Uni

Le cadre de protection des données du Royaume-Uni

| (12) | Le Royaume-Uni s’est retiré de l’Union européenne le 31 janvier 2020. En vertu de l’accord de retrait du Royaume-Uni de Grande-Bretagne et d’Irlande du Nord de l’Union européenne et de la Communauté européenne de l’énergie atomique (14), le droit de l’Union demeure applicable au Royaume-Uni pendant la période de transition jusqu’au 31 décembre 2020. Avant le retrait et pendant la période de transition, le cadre législatif en matière de protection des données à caractère personnel au Royaume-Uni se composait de la législation de l’Union en vigueur [en particulier, le règlement (UE) 2016/679 et la directive (UE) 2016/680 du Parlement européen et du Conseil (15)] et de la législation nationale, notamment la loi de 2018 sur la protection des données (DPA 2018) (16) qui établissait des règles nationales, lorsque le règlement (UE) 2016/679 le permettait, précisant et limitant l’application des règles du règlement (UE) 2016/679 et de la directive transposée (UE) 2016/680. |
| --- | --- |

(12)

Le Royaume-Uni s’est retiré de l’Union européenne le 31 janvier 2020. En vertu de l’accord de retrait du Royaume-Uni de Grande-Bretagne et d’Irlande du Nord de l’Union européenne et de la Communauté européenne de l’énergie atomique (14), le droit de l’Union demeure applicable au Royaume-Uni pendant la période de transition jusqu’au 31 décembre 2020. Avant le retrait et pendant la période de transition, le cadre législatif en matière de protection des données à caractère personnel au Royaume-Uni se composait de la législation de l’Union en vigueur [en particulier, le règlement (UE) 2016/679 et la directive (UE) 2016/680 du Parlement européen et du Conseil (15)] et de la législation nationale, notamment la loi de 2018 sur la protection des données (DPA 2018) (16) qui établissait des règles nationales, lorsque le règlement (UE) 2016/679 le permettait, précisant et limitant l’application des règles du règlement (UE) 2016/679 et de la directive transposée (UE) 2016/680.

14

15

16

| (13) | Afin de préparer le retrait de l’Union européenne, le gouvernement britannique a promulgué la loi de 2018 sur l’Union européenne (notification de retrait) (17), qui intègre la législation de l’Union directement applicable dans le droit britannique (18). Ce «droit de l’Union conservé» inclut l’intégralité du règlement (UE) 2016/679 (y compris ses considérants) (19). Conformément à cette loi, le droit de l’Union qui aura été conservé sans modifications doit être interprété par les juridictions du Royaume-Uni conformément à la jurisprudence pertinente de la Cour de justice de l’Union européenne et aux principes généraux du droit de l’Union étant donné qu’ils sont d’effet immédiat avant la fin de la période de transition (respectivement appelés la «jurisprudence de l’Union conservée» et «les principes généraux du droit de l’Union conservés») (20). |
| --- | --- |

(13)

Afin de préparer le retrait de l’Union européenne, le gouvernement britannique a promulgué la loi de 2018 sur l’Union européenne (notification de retrait) (17), qui intègre la législation de l’Union directement applicable dans le droit britannique (18). Ce «droit de l’Union conservé» inclut l’intégralité du règlement (UE) 2016/679 (y compris ses considérants) (19). Conformément à cette loi, le droit de l’Union qui aura été conservé sans modifications doit être interprété par les juridictions du Royaume-Uni conformément à la jurisprudence pertinente de la Cour de justice de l’Union européenne et aux principes généraux du droit de l’Union étant donné qu’ils sont d’effet immédiat avant la fin de la période de transition (respectivement appelés la «jurisprudence de l’Union conservée» et «les principes généraux du droit de l’Union conservés») (20).

17

18

19

20

| (14) | En vertu de la loi de 2018 sur l’Union européenne (notification de retrait), les ministres du Royaume-Uni ont le pouvoir d’adopter des législations secondaires, par voie d’actes réglementaires, afin d’apporter les modifications nécessaires au droit de l’Union européenne conservé à la suite du retrait du Royaume-Uni de l’Union européenne. Ils ont exercé ce pouvoir en adoptant la réglementation de 2019 sur la protection des données, la vie privée et les communications électroniques (modifications, etc.) (sortie de l’Union) (réglementation DPPEC) (21). Cette réglementation modifie le règlement (UE) 2016/679, tel qu’il a été intégré dans le droit britannique par la loi de 2018 sur l’Union européenne (notification de retrait), la DPA 2018 et d’autres législations en matière de protection des données afin de les adapter au contexte national (22). |
| --- | --- |

(14)

En vertu de la loi de 2018 sur l’Union européenne (notification de retrait), les ministres du Royaume-Uni ont le pouvoir d’adopter des législations secondaires, par voie d’actes réglementaires, afin d’apporter les modifications nécessaires au droit de l’Union européenne conservé à la suite du retrait du Royaume-Uni de l’Union européenne. Ils ont exercé ce pouvoir en adoptant la réglementation de 2019 sur la protection des données, la vie privée et les communications électroniques (modifications, etc.) (sortie de l’Union) (réglementation DPPEC) (21). Cette réglementation modifie le règlement (UE) 2016/679, tel qu’il a été intégré dans le droit britannique par la loi de 2018 sur l’Union européenne (notification de retrait), la DPA 2018 et d’autres législations en matière de protection des données afin de les adapter au contexte national (22).

21

22

| (15) | Par conséquent, après la fin de la période de transition, le cadre juridique en matière de protection des données à caractère personnel du Royaume-Uni se compose:






  — | du RGPD britannique, tel qu’il a été intégré dans le droit britannique en vertu de la loi de 2018 sur l’Union européenne (notification de retrait) et modifié par la réglementation DPPEC (23), et |
| --- | --- | --- |

(15)

Par conséquent, après la fin de la période de transition, le cadre juridique en matière de protection des données à caractère personnel du Royaume-Uni se compose:

—

du RGPD britannique, tel qu’il a été intégré dans le droit britannique en vertu de la loi de 2018 sur l’Union européenne (notification de retrait) et modifié par la réglementation DPPEC (23), et

23

| — | de la DPA 2018 (24), telle que modifiée par la réglementation DPPEC. |
| --- | --- |

—

de la DPA 2018 (24), telle que modifiée par la réglementation DPPEC.

24

| (16) | Étant donné que le RGPD britannique est fondé sur le droit de l’Union, les règles du Royaume-Uni en matière de protection des données sont très semblables, à de nombreux égards, aux règles correspondantes applicables au sein de l’Union européenne. |
| --- | --- |

(16)

Étant donné que le RGPD britannique est fondé sur le droit de l’Union, les règles du Royaume-Uni en matière de protection des données sont très semblables, à de nombreux égards, aux règles correspondantes applicables au sein de l’Union européenne.

| (17) | Outre les pouvoirs conférés au secrétaire d’État par la loi de 2018 sur l’Union européenne (notification de retrait), plusieurs dispositions de la DPA 2018 confèrent à celui-ci le pouvoir d’adopter des législations secondaires en vue de modifier certaines dispositions de ladite loi ou d’introduire des règles complémentaires et additionnelles (25). Le secrétaire d’État n’a exercé jusqu’ici que le pouvoir visé à l’article 137 de la DPA 2018 consistant à adopter la réglementation de 2019 sur la protection des données (redevances et informations) (modification), qui précise les circonstances dans lesquelles les responsables du traitement sont tenus de verser une redevance annuelle à l’autorité indépendante britannique de protection des données, le commissaire à l’information. |
| --- | --- |

(17)

Outre les pouvoirs conférés au secrétaire d’État par la loi de 2018 sur l’Union européenne (notification de retrait), plusieurs dispositions de la DPA 2018 confèrent à celui-ci le pouvoir d’adopter des législations secondaires en vue de modifier certaines dispositions de ladite loi ou d’introduire des règles complémentaires et additionnelles (25). Le secrétaire d’État n’a exercé jusqu’ici que le pouvoir visé à l’article 137 de la DPA 2018 consistant à adopter la réglementation de 2019 sur la protection des données (redevances et informations) (modification), qui précise les circonstances dans lesquelles les responsables du traitement sont tenus de verser une redevance annuelle à l’autorité indépendante britannique de protection des données, le commissaire à l’information.

25

| (18) | Enfin, les codes de bonnes pratiques et autres orientations adoptés par le commissaire à l’information contiennent des orientations supplémentaires relatives à la législation du Royaume-Uni en matière de protection des données. Bien qu’elles ne soient pas formellement contraignantes sur le plan juridique, ces orientations influent sur l’interprétation de la législation en matière de protection des données et décrivent la manière dont elle est appliquée et mise en œuvre, en pratique, par le commissaire. Les articles 121 à 125 de la DPA 2018 obligent notamment le commissaire à préparer des codes de bonnes pratiques relatifs au partage des données, à la prospection, à la conception adaptée aux enfants, ainsi qu’à la protection des données et au journalisme. |
| --- | --- |

(18)

Enfin, les codes de bonnes pratiques et autres orientations adoptés par le commissaire à l’information contiennent des orientations supplémentaires relatives à la législation du Royaume-Uni en matière de protection des données. Bien qu’elles ne soient pas formellement contraignantes sur le plan juridique, ces orientations influent sur l’interprétation de la législation en matière de protection des données et décrivent la manière dont elle est appliquée et mise en œuvre, en pratique, par le commissaire. Les articles 121 à 125 de la DPA 2018 obligent notamment le commissaire à préparer des codes de bonnes pratiques relatifs au partage des données, à la prospection, à la conception adaptée aux enfants, ainsi qu’à la protection des données et au journalisme.

| (19) | Au niveau de sa structure et de ses principaux éléments, le cadre juridique du Royaume-Uni applicable aux données transférées au titre de la présente décision est donc très semblable à celui qui s’applique dans l’Union européenne. Ainsi, ce cadre est non seulement fondé sur des obligations prévues dans le droit interne, qui ont été façonnées par le droit de l’Union, mais également sur des obligations consacrées par le droit international, notamment dans le cadre de l’adhésion du Royaume-Uni à la CEDH et à la convention 108, ainsi que de sa soumission à la compétence de la Cour européenne des droits de l’homme. Ces obligations découlant d’instruments internationaux juridiquement contraignants, qui concernent notamment la protection des données à caractère personnel, constituent donc un élément particulièrement important du cadre juridique évalué dans la présente décision. |
| --- | --- |

(19)

Au niveau de sa structure et de ses principaux éléments, le cadre juridique du Royaume-Uni applicable aux données transférées au titre de la présente décision est donc très semblable à celui qui s’applique dans l’Union européenne. Ainsi, ce cadre est non seulement fondé sur des obligations prévues dans le droit interne, qui ont été façonnées par le droit de l’Union, mais également sur des obligations consacrées par le droit international, notamment dans le cadre de l’adhésion du Royaume-Uni à la CEDH et à la convention 108, ainsi que de sa soumission à la compétence de la Cour européenne des droits de l’homme. Ces obligations découlant d’instruments internationaux juridiquement contraignants, qui concernent notamment la protection des données à caractère personnel, constituent donc un élément particulièrement important du cadre juridique évalué dans la présente décision.

2.3.   Champ d’application matériel et territorial

Champ d’application matériel et territorial

| (20) | Tout comme le règlement (UE) 2016/679, le RGPD britannique s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ou à d’autres traitements, si les données à caractère personnel sont contenues dans un fichier (26). Les définitions de «données à caractère personnel», de «personne concernée» et de «traitement» figurant dans le RGPD britannique sont identiques à celles du règlement (UE) 2016/679 (27). De plus, le RGPD britannique s’applique au traitement manuel non structuré des données à caractère personnel (28) détenues par certaines autorités publiques du Royaume-Uni (29), bien que les droits et principes énoncés dans le RGPD britannique qui ne sont pas pertinents pour de telles données soient écartés par les articles 24 et 25 de la DPA 2018. À l’instar de ce que prévoit le règlement (UE) 2016/679, le RGPD britannique ne s’applique pas aux traitements de données à caractère personnel effectués par une personne physique au cours d’activités strictement personnelles ou domestiques (30). |
| --- | --- |

(20)

Tout comme le règlement (UE) 2016/679, le RGPD britannique s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ou à d’autres traitements, si les données à caractère personnel sont contenues dans un fichier (26). Les définitions de «données à caractère personnel», de «personne concernée» et de «traitement» figurant dans le RGPD britannique sont identiques à celles du règlement (UE) 2016/679 (27). De plus, le RGPD britannique s’applique au traitement manuel non structuré des données à caractère personnel (28) détenues par certaines autorités publiques du Royaume-Uni (29), bien que les droits et principes énoncés dans le RGPD britannique qui ne sont pas pertinents pour de telles données soient écartés par les articles 24 et 25 de la DPA 2018. À l’instar de ce que prévoit le règlement (UE) 2016/679, le RGPD britannique ne s’applique pas aux traitements de données à caractère personnel effectués par une personne physique au cours d’activités strictement personnelles ou domestiques (30).

26

27

28

29

30

| (21) | Le RGPD britannique étend également son champ d’application aux traitements au cours d’activités qui, immédiatement avant la fin de la période de transition, ne relevaient pas du champ d’application du droit de l’Union européenne (par exemple, des activités liées à la sécurité nationale) (31), ou qui relevaient du champ d’application du titre V, chapitre 2, du traité sur l’Union européenne (activités relatives à la politique étrangère et de sécurité commune) (32). Comme dans le système de l’Union européenne, le RGPD britannique ne s’applique pas au traitement de données à caractère personnel effectué par une autorité compétente à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces (ci-après «à des fins répressives») – ce type de traitement est en revanche régi par la partie 3 de la DPA 2018, de même qu’il est régi par la directive (UE) 2016/680 en vertu du droit de l’Union européenne – ou au traitement de données à caractère personnel par des services de renseignement [le Security Service (MI5), le Secret Intelligence Service (SIS) et le Government Communications Headquarters (GCHQ)] qui est couvert par la partie 4 de la DPA 2018 (33). |
| --- | --- |

(21)

Le RGPD britannique étend également son champ d’application aux traitements au cours d’activités qui, immédiatement avant la fin de la période de transition, ne relevaient pas du champ d’application du droit de l’Union européenne (par exemple, des activités liées à la sécurité nationale) (31), ou qui relevaient du champ d’application du titre V, chapitre 2, du traité sur l’Union européenne (activités relatives à la politique étrangère et de sécurité commune) (32). Comme dans le système de l’Union européenne, le RGPD britannique ne s’applique pas au traitement de données à caractère personnel effectué par une autorité compétente à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces (ci-après «à des fins répressives») – ce type de traitement est en revanche régi par la partie 3 de la DPA 2018, de même qu’il est régi par la directive (UE) 2016/680 en vertu du droit de l’Union européenne – ou au traitement de données à caractère personnel par des services de renseignement [le Security Service (MI5), le Secret Intelligence Service (SIS) et le Government Communications Headquarters (GCHQ)] qui est couvert par la partie 4 de la DPA 2018 (33).

31

32

Security Service

Secret Intelligence Service

Government Communications Headquarters

33

| (22) | Le champ d’application territorial du RGPD britannique est décrit à l’article 3 de cet acte (34) et comprend le traitement de données à caractère personnel (quel que soit le lieu du traitement) effectué dans le cadre des activités d’un établissement d’un responsable du traitement ou d’un sous-traitant sur le territoire du Royaume-Uni, ainsi que le traitement de données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire du Royaume-Uni, lorsque les activités de traitement sont liées à l’offre de biens ou de services à ces personnes, ou au suivi du comportement de ces personnes (35). Cette approche reflète celle adoptée à l’article 3 du règlement (UE) 2016/679. |
| --- | --- |

(22)

Le champ d’application territorial du RGPD britannique est décrit à l’article 3 de cet acte (34) et comprend le traitement de données à caractère personnel (quel que soit le lieu du traitement) effectué dans le cadre des activités d’un établissement d’un responsable du traitement ou d’un sous-traitant sur le territoire du Royaume-Uni, ainsi que le traitement de données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire du Royaume-Uni, lorsque les activités de traitement sont liées à l’offre de biens ou de services à ces personnes, ou au suivi du comportement de ces personnes (35). Cette approche reflète celle adoptée à l’article 3 du règlement (UE) 2016/679.

34

35

2.4.   Définitions de «données à caractère personnel» et des notions de «responsable du traitement» et de «sous-traitant»

Définitions de «données à caractère personnel» et des notions de «responsable du traitement» et de «sous-traitant»

| (23) | Les définitions de «données à caractère personnel», de «traitement», de «responsable du traitement», de «sous-traitant», ainsi que la définition de «pseudonymisation», énoncées dans le règlement (UE) 2016/679, ont été conservées dans le RGPD britannique sans modifications substantielles (36). En outre, les catégories particulières de données visées à l’article 9, paragraphe 1, du RGPD britannique sont définies de la même manière que dans le règlement (UE) 2016/679 («données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique»). L’article 205 de la DPA 2018 donne la définition de «données biométriques» (37), de «données concernant la santé» (38) et de «données génétiques» (39). |
| --- | --- |

(23)

Les définitions de «données à caractère personnel», de «traitement», de «responsable du traitement», de «sous-traitant», ainsi que la définition de «pseudonymisation», énoncées dans le règlement (UE) 2016/679, ont été conservées dans le RGPD britannique sans modifications substantielles (36). En outre, les catégories particulières de données visées à l’article 9, paragraphe 1, du RGPD britannique sont définies de la même manière que dans le règlement (UE) 2016/679 («données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique»). L’article 205 de la DPA 2018 donne la définition de «données biométriques» (37), de «données concernant la santé» (38) et de «données génétiques» (39).

36

37

38

39

2.5.   Garanties, droits et obligations

Garanties, droits et obligations

2.5.1.   Licéité et loyauté du traitement

Licéité et loyauté du traitement

| (24) | Les données à caractère personnel devraient être traitées de manière licite et loyale. |
| --- | --- |

(24)

Les données à caractère personnel devraient être traitées de manière licite et loyale.

| (25) | Les principes de licéité, de loyauté et de transparence, ainsi que les fondements du traitement licite, sont garantis dans le droit du Royaume-Uni par les articles 5, paragraphe 1, point a), et 6, paragraphe 1, du RGPD britannique, lesquels sont identiques aux dispositions correspondantes du règlement (UE) 2016/679 (40). L’article 8 de la DPA 2018 complète l’article 6, paragraphe 1, point e), en prévoyant que le traitement de données à caractère personnel en vertu de l’article 6, paragraphe 1, point e) du RGPD britannique (nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement) inclut le traitement de données à caractère personnel nécessaire aux fins de l’administration de la justice, de l’exercice d’une fonction d’une des deux chambres du Parlement, de l’exercice d’une fonction conférée à une personne par une disposition législative ou une règle de droit, de l’exercice d’une fonction de la Couronne, d’un ministre de la Couronne ou d’un ministère, ou d’une activité qui soutient ou promeut l’engagement démocratique. |
| --- | --- |

(25)

Les principes de licéité, de loyauté et de transparence, ainsi que les fondements du traitement licite, sont garantis dans le droit du Royaume-Uni par les articles 5, paragraphe 1, point a), et 6, paragraphe 1, du RGPD britannique, lesquels sont identiques aux dispositions correspondantes du règlement (UE) 2016/679 (40). L’article 8 de la DPA 2018 complète l’article 6, paragraphe 1, point e), en prévoyant que le traitement de données à caractère personnel en vertu de l’article 6, paragraphe 1, point e) du RGPD britannique (nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement) inclut le traitement de données à caractère personnel nécessaire aux fins de l’administration de la justice, de l’exercice d’une fonction d’une des deux chambres du Parlement, de l’exercice d’une fonction conférée à une personne par une disposition législative ou une règle de droit, de l’exercice d’une fonction de la Couronne, d’un ministre de la Couronne ou d’un ministère, ou d’une activité qui soutient ou promeut l’engagement démocratique.

40

| (26) | En ce qui concerne le consentement (l’un des fondements du traitement licite), le RGPD britannique conserve également les conditions prévues à l’article 7 du règlement (UE) 2016/679 sans les modifier, à savoir les conditions suivantes: le responsable du traitement doit être en mesure de démontrer que la personne concernée a donné son consentement, une demande de consentement doit être formulée par écrit en des termes clairs et simples, la personne concernée doit avoir le droit de retirer son consentement à tout moment et, au moment de déterminer si le consentement est donné librement, il y a lieu de tenir compte de la question de savoir si l’exécution d’un contrat est subordonnée au consentement au traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat. En outre, conformément à l’article 8 du RGPD britannique, dans le cadre de l’offre de services de la société de l’information, le consentement d’un enfant n’est licite que si ce dernier est âgé d’au moins 13 ans. Cet âge est compris dans la tranche d’âge déterminée à l’article 8 du règlement (UE) 2016/679. |
| --- | --- |

(26)

En ce qui concerne le consentement (l’un des fondements du traitement licite), le RGPD britannique conserve également les conditions prévues à l’article 7 du règlement (UE) 2016/679 sans les modifier, à savoir les conditions suivantes: le responsable du traitement doit être en mesure de démontrer que la personne concernée a donné son consentement, une demande de consentement doit être formulée par écrit en des termes clairs et simples, la personne concernée doit avoir le droit de retirer son consentement à tout moment et, au moment de déterminer si le consentement est donné librement, il y a lieu de tenir compte de la question de savoir si l’exécution d’un contrat est subordonnée au consentement au traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat. En outre, conformément à l’article 8 du RGPD britannique, dans le cadre de l’offre de services de la société de l’information, le consentement d’un enfant n’est licite que si ce dernier est âgé d’au moins 13 ans. Cet âge est compris dans la tranche d’âge déterminée à l’article 8 du règlement (UE) 2016/679.

2.5.2.   Traitement portant sur des catégories particulières de données à caractère personnel

Traitement portant sur des catégories particulières de données à caractère personnel

| (27) | Des garanties spécifiques devraient être prévues pour le traitement des «catégories particulières» de données. |
| --- | --- |

(27)

Des garanties spécifiques devraient être prévues pour le traitement des «catégories particulières» de données.

| (28) | Le RGPD britannique et la DPA 2018 contiennent des règles spécifiques concernant le traitement de catégories particulières de données à caractère personnel, lesquelles sont définies à l’article 9, paragraphe 1, du RGPD britannique de la même manière que dans le règlement (UE) 2016/679 [voir le considérant 23 ci-dessus]. Conformément à l’article 9 du RGPD britannique, le traitement de catégories particulières de données est en principe interdit, à moins qu’une exception spécifique ne s’applique. |
| --- | --- |

(28)

Le RGPD britannique et la DPA 2018 contiennent des règles spécifiques concernant le traitement de catégories particulières de données à caractère personnel, lesquelles sont définies à l’article 9, paragraphe 1, du RGPD britannique de la même manière que dans le règlement (UE) 2016/679 [voir le considérant 23 ci-dessus]. Conformément à l’article 9 du RGPD britannique, le traitement de catégories particulières de données est en principe interdit, à moins qu’une exception spécifique ne s’applique.

| (29) | Ces exceptions (énumérées à l’article 9, paragraphes 2 et 3, du RGPD britannique) n’apportent aucune modification de fond par rapport à celles figurant à l’article 9, paragraphes 2 et 3, du règlement (UE) 2016/679. À moins que la personne concernée n’ait donné son consentement explicite au traitement de ces données à caractère personnel, le traitement de catégories particulières de données à caractère personnel n’est autorisé que dans des circonstances particulières et limitées. Dans la plupart des cas, le traitement des données sensibles doit être nécessaire pour une finalité spécifique définie dans la disposition correspondante [voir l’article 9, paragraphe 2, points b), c), f), g), h), i) et j)]. |
| --- | --- |

(29)

Ces exceptions (énumérées à l’article 9, paragraphes 2 et 3, du RGPD britannique) n’apportent aucune modification de fond par rapport à celles figurant à l’article 9, paragraphes 2 et 3, du règlement (UE) 2016/679. À moins que la personne concernée n’ait donné son consentement explicite au traitement de ces données à caractère personnel, le traitement de catégories particulières de données à caractère personnel n’est autorisé que dans des circonstances particulières et limitées. Dans la plupart des cas, le traitement des données sensibles doit être nécessaire pour une finalité spécifique définie dans la disposition correspondante [voir l’article 9, paragraphe 2, points b), c), f), g), h), i) et j)].

| (30) | Par ailleurs, lorsqu’une exception prévue à l’article 9, paragraphe 2, du RGPD britannique nécessite une autorisation législative ou fait référence à l’intérêt public, l’article 10 de la DPA 2018, ainsi que son annexe 1, précisent plus en détail les conditions qui doivent être remplies pour invoquer ces exceptions. Par exemple, dans le cas du traitement de données sensibles aux fins de la protection de la «santé publique» (article 9, paragraphe 2, point i), du RGPD britannique), l’annexe 1, partie 1, point 3, sous b), prévoit que, outre le critère de nécessité, un tel traitement est effectué «par un professionnel de santé ou sous sa responsabilité» ou «par une autre personne qui est liée par une obligation de confidentialité en vertu d’une disposition législative ou d’une règle de droit», y compris par l’obligation de confidentialité bien établie dans la common law. |
| --- | --- |

(30)

Par ailleurs, lorsqu’une exception prévue à l’article 9, paragraphe 2, du RGPD britannique nécessite une autorisation législative ou fait référence à l’intérêt public, l’article 10 de la DPA 2018, ainsi que son annexe 1, précisent plus en détail les conditions qui doivent être remplies pour invoquer ces exceptions. Par exemple, dans le cas du traitement de données sensibles aux fins de la protection de la «santé publique» (article 9, paragraphe 2, point i), du RGPD britannique), l’annexe 1, partie 1, point 3, sous b), prévoit que, outre le critère de nécessité, un tel traitement est effectué «par un professionnel de santé ou sous sa responsabilité» ou «par une autre personne qui est liée par une obligation de confidentialité en vertu d’une disposition législative ou d’une règle de droit», y compris par l’obligation de confidentialité bien établie dans la common law.

| (31) | Lorsque des données sensibles sont traitées pour des motifs d’intérêt public important [article 9, paragraphe 2, point g), du RGPD britannique], l’annexe 1, partie 2, de la DPA 2018 contient une liste exhaustive des finalités qui peuvent être considérées d’intérêt public important et prévoit, pour chacune de ces finalités, des conditions spécifiques supplémentaires. Par exemple, la promotion de la diversité raciale et ethnique au sein de l’encadrement supérieur des organisations est reconnue comme étant d’intérêt public important. Le traitement de données sensibles pour cette finalité spécifique est soumis à des exigences détaillées, en particulier ce traitement doit être effectué dans le cadre d’un processus visant à désigner les personnes aptes à exercer des fonctions d’encadrement supérieur, doit être nécessaire à la promotion de la diversité raciale et ethnique et ne doit pas être susceptible de causer des difficultés ou des dommages importants à la personne concernée. |
| --- | --- |

(31)

Lorsque des données sensibles sont traitées pour des motifs d’intérêt public important [article 9, paragraphe 2, point g), du RGPD britannique], l’annexe 1, partie 2, de la DPA 2018 contient une liste exhaustive des finalités qui peuvent être considérées d’intérêt public important et prévoit, pour chacune de ces finalités, des conditions spécifiques supplémentaires. Par exemple, la promotion de la diversité raciale et ethnique au sein de l’encadrement supérieur des organisations est reconnue comme étant d’intérêt public important. Le traitement de données sensibles pour cette finalité spécifique est soumis à des exigences détaillées, en particulier ce traitement doit être effectué dans le cadre d’un processus visant à désigner les personnes aptes à exercer des fonctions d’encadrement supérieur, doit être nécessaire à la promotion de la diversité raciale et ethnique et ne doit pas être susceptible de causer des difficultés ou des dommages importants à la personne concernée.

| (32) | L’article 11, paragraphe 1, de la DPA 2018 énonce les conditions applicables au traitement de données à caractère personnel dans les circonstances décrites à l’article 9, paragraphe 3, du RGPD britannique liées à l’obligation de secret. Sont incluses les circonstances dans lesquelles le traitement est effectué par un professionnel de la santé ou un professionnel social, ou sous sa responsabilité, ou par toute autre personne qui est liée par une obligation de confidentialité en vertu d’une disposition législative ou d’une règle de droit. |
| --- | --- |

(32)

L’article 11, paragraphe 1, de la DPA 2018 énonce les conditions applicables au traitement de données à caractère personnel dans les circonstances décrites à l’article 9, paragraphe 3, du RGPD britannique liées à l’obligation de secret. Sont incluses les circonstances dans lesquelles le traitement est effectué par un professionnel de la santé ou un professionnel social, ou sous sa responsabilité, ou par toute autre personne qui est liée par une obligation de confidentialité en vertu d’une disposition législative ou d’une règle de droit.

| (33) | En outre, beaucoup des exceptions énumérées à l’article 9, paragraphe 2, du RGPD britannique nécessitent des garanties appropriées et spécifiques pour être appliquées. En fonction de la nature du traitement et du niveau de risque pour les droits et libertés des personnes concernées, les conditions relatives au traitement prévues à l’annexe 1 de la DPA 2018 établissent des garanties différentes. L’annexe 1 décrit successivement les conditions applicables à chaque traitement. |
| --- | --- |

(33)

En outre, beaucoup des exceptions énumérées à l’article 9, paragraphe 2, du RGPD britannique nécessitent des garanties appropriées et spécifiques pour être appliquées. En fonction de la nature du traitement et du niveau de risque pour les droits et libertés des personnes concernées, les conditions relatives au traitement prévues à l’annexe 1 de la DPA 2018 établissent des garanties différentes. L’annexe 1 décrit successivement les conditions applicables à chaque traitement.

| (34) | Dans certains cas, la DPA 2018 réglemente et limite le type de données sensibles qui peuvent être traitées aux fins du respect d’une base juridique particulière. Par exemple, l’annexe 1, point 8, autorise le traitement de données sensibles aux fins de la promotion de l’égalité des chances ou de traitement. Cette condition de traitement ne peut être invoquée que si les données révèlent l’origine raciale ou ethnique, les convictions religieuses ou philosophiques, l’orientation sexuelle ou s’il s’agit de données concernant la santé. |
| --- | --- |

(34)

Dans certains cas, la DPA 2018 réglemente et limite le type de données sensibles qui peuvent être traitées aux fins du respect d’une base juridique particulière. Par exemple, l’annexe 1, point 8, autorise le traitement de données sensibles aux fins de la promotion de l’égalité des chances ou de traitement. Cette condition de traitement ne peut être invoquée que si les données révèlent l’origine raciale ou ethnique, les convictions religieuses ou philosophiques, l’orientation sexuelle ou s’il s’agit de données concernant la santé.

| (35) | Dans certains cas, la DPA 2018 limite le type de responsable du traitement qui peut invoquer la condition de traitement. Par exemple, l’annexe 1, point 23, prévoit le traitement de données sensibles dans le cadre de la réponse des élus aux demandes du public. Cette condition de traitement ne peut être invoquée que si le responsable du traitement est l’élu en question ou agit sous son autorité. |
| --- | --- |

(35)

Dans certains cas, la DPA 2018 limite le type de responsable du traitement qui peut invoquer la condition de traitement. Par exemple, l’annexe 1, point 23, prévoit le traitement de données sensibles dans le cadre de la réponse des élus aux demandes du public. Cette condition de traitement ne peut être invoquée que si le responsable du traitement est l’élu en question ou agit sous son autorité.

| (36) | Dans d’autres cas, la DPA 2018 fixe des limites concernant les catégories de personnes concernées aux fins de l’application de la condition de traitement. Par exemple, l’annexe 1, point 21, réglemente le traitement de données sensibles pour les régimes professionnels de retraite. Cette condition ne peut être invoquée que si la personne concernée est le frère, la sœur, le parent, le grand-parent ou l’arrière-grand-parent du membre du régime. |
| --- | --- |

(36)

Dans d’autres cas, la DPA 2018 fixe des limites concernant les catégories de personnes concernées aux fins de l’application de la condition de traitement. Par exemple, l’annexe 1, point 21, réglemente le traitement de données sensibles pour les régimes professionnels de retraite. Cette condition ne peut être invoquée que si la personne concernée est le frère, la sœur, le parent, le grand-parent ou l’arrière-grand-parent du membre du régime.

| (37) | En outre, lorsqu’il a recours aux exceptions prévues à l’article 9, paragraphe 2, du RGPD britannique, lesquelles sont précisées davantage à l’article 10 et à l’annexe 1 de la DPA 2018, le responsable du traitement est tenu, dans la plupart des cas, de rédiger un «document d’orientation spécifique». Ce dernier doit expliquer les procédures du responsable du traitement visant à garantir le respect des principes énoncés à l’article 5 du RGPD britannique. Il doit également décrire les politiques en matière de conservation et d’effacement, en indiquant la durée de conservation probable. Les responsables du traitement doivent revoir et mettre à jour ce document, le cas échéant. Le responsable du traitement doit conserver le document d’orientation pendant six mois à compter de la fin du traitement et, sur demande, le mettre à la disposition du commissaire à l’information (41). |
| --- | --- |

(37)

En outre, lorsqu’il a recours aux exceptions prévues à l’article 9, paragraphe 2, du RGPD britannique, lesquelles sont précisées davantage à l’article 10 et à l’annexe 1 de la DPA 2018, le responsable du traitement est tenu, dans la plupart des cas, de rédiger un «document d’orientation spécifique». Ce dernier doit expliquer les procédures du responsable du traitement visant à garantir le respect des principes énoncés à l’article 5 du RGPD britannique. Il doit également décrire les politiques en matière de conservation et d’effacement, en indiquant la durée de conservation probable. Les responsables du traitement doivent revoir et mettre à jour ce document, le cas échéant. Le responsable du traitement doit conserver le document d’orientation pendant six mois à compter de la fin du traitement et, sur demande, le mettre à la disposition du commissaire à l’information (41).

41

| (38) | Conformément à l’annexe 1, point 41, de la DPA 2018, le document d’orientation doit toujours s’accompagner d’un registre plus complet des activités de traitement. Ce registre doit permettre de suivre les engagements figurant dans le document d’orientation, c’est-à-dire de vérifier si les données sont effacées ou conservées conformément aux politiques du responsable du traitement. Si les politiques n’ont pas été respectées, le registre doit en indiquer les raisons. Le registre doit également indiquer la manière dont le traitement satisfait aux exigences de l’article 6 du RGPD britannique (licéité du traitement) et à la condition spécifique de l’annexe 1 de la DPA 2018 sur laquelle il se fonde. |
| --- | --- |

(38)

Conformément à l’annexe 1, point 41, de la DPA 2018, le document d’orientation doit toujours s’accompagner d’un registre plus complet des activités de traitement. Ce registre doit permettre de suivre les engagements figurant dans le document d’orientation, c’est-à-dire de vérifier si les données sont effacées ou conservées conformément aux politiques du responsable du traitement. Si les politiques n’ont pas été respectées, le registre doit en indiquer les raisons. Le registre doit également indiquer la manière dont le traitement satisfait aux exigences de l’article 6 du RGPD britannique (licéité du traitement) et à la condition spécifique de l’annexe 1 de la DPA 2018 sur laquelle il se fonde.

| (39) | Enfin, comme le règlement (UE) 2016/679, le RGPD britannique prévoit également des garanties générales pour certaines opérations de traitement de catégories particulières de données. L’article 35 du RGPD britannique exige une analyse d’impact relative à la protection des données en cas de traitement à grande échelle de catégories particulières de données. Conformément à l’article 37 du RGPD britannique, un responsable du traitement ou un sous-traitant doit désigner un délégué à la protection des données lorsque ses activités de base consistent à traiter, à grande échelle, des catégories particulières de données. |
| --- | --- |

(39)

Enfin, comme le règlement (UE) 2016/679, le RGPD britannique prévoit également des garanties générales pour certaines opérations de traitement de catégories particulières de données. L’article 35 du RGPD britannique exige une analyse d’impact relative à la protection des données en cas de traitement à grande échelle de catégories particulières de données. Conformément à l’article 37 du RGPD britannique, un responsable du traitement ou un sous-traitant doit désigner un délégué à la protection des données lorsque ses activités de base consistent à traiter, à grande échelle, des catégories particulières de données.

| (40) | S’agissant des données à caractère personnel relatives à des condamnations pénales et à des infractions, l’article 10 du RGPD britannique est identique à l’article 10 du règlement (UE) 2016/679. Il n’autorise le traitement des données à caractère personnel relatives à des condamnations pénales et à des infractions que sous le contrôle de l’autorité publique, ou si le traitement est autorisé par le droit interne qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. |
| --- | --- |

(40)

S’agissant des données à caractère personnel relatives à des condamnations pénales et à des infractions, l’article 10 du RGPD britannique est identique à l’article 10 du règlement (UE) 2016/679. Il n’autorise le traitement des données à caractère personnel relatives à des condamnations pénales et à des infractions que sous le contrôle de l’autorité publique, ou si le traitement est autorisé par le droit interne qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées.

| (41) | Lorsque le traitement des données relatives à des condamnations pénales et à des infractions n’est pas effectué sous le contrôle de l’autorité publique, l’article 10, paragraphe 5, de la DPA 2018 dispose que ce traitement ne peut avoir lieu que pour les finalités spécifiques/dans les situations particulières visées à l’annexe 1, parties 1, 2 et 3, de la DPA 2018, et qu’il est soumis aux exigences spécifiques prévues pour chacune de ces finalités/situations. Par exemple, les données relatives à des condamnations pénales peuvent être traitées par des organismes à but non lucratif si le traitement est effectué a) dans le cadre de leurs activités légitimes et moyennant les garanties appropriées, par une fondation, une association ou tout autre organisme à but non lucratif et poursuivant une finalité politique, philosophique, religieuse ou syndicale et b) à condition i) que ledit traitement se rapporte exclusivement aux membres ou aux anciens membres dudit organisme ou aux personnes entretenant avec celui-ci des contacts réguliers en liaison avec ses finalités et ii) que les données à caractère personnel ne soient pas communiquées en dehors de cet organisme sans le consentement des personnes concernées. |
| --- | --- |

(41)

Lorsque le traitement des données relatives à des condamnations pénales et à des infractions n’est pas effectué sous le contrôle de l’autorité publique, l’article 10, paragraphe 5, de la DPA 2018 dispose que ce traitement ne peut avoir lieu que pour les finalités spécifiques/dans les situations particulières visées à l’annexe 1, parties 1, 2 et 3, de la DPA 2018, et qu’il est soumis aux exigences spécifiques prévues pour chacune de ces finalités/situations. Par exemple, les données relatives à des condamnations pénales peuvent être traitées par des organismes à but non lucratif si le traitement est effectué a) dans le cadre de leurs activités légitimes et moyennant les garanties appropriées, par une fondation, une association ou tout autre organisme à but non lucratif et poursuivant une finalité politique, philosophique, religieuse ou syndicale et b) à condition i) que ledit traitement se rapporte exclusivement aux membres ou aux anciens membres dudit organisme ou aux personnes entretenant avec celui-ci des contacts réguliers en liaison avec ses finalités et ii) que les données à caractère personnel ne soient pas communiquées en dehors de cet organisme sans le consentement des personnes concernées.

| (42) | Par ailleurs, l’annexe 1, partie 3, de la DPA 2018 décrit les autres circonstances dans lesquelles les données relatives à des condamnations pénales peuvent être utilisées, qui correspondent aux fondements juridiques du traitement de données sensibles visés à l’article 9, paragraphe 2, du règlement (UE) 2016/679 et du RGPD britannique (par exemple, consentement de la personne concernée, intérêts vitaux d’une personne si la personne concernée se trouve dans l’incapacité physique ou juridique de donner son consentement, si les données ont déjà été manifestement rendues publiques par la personne concernée, si le traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice, etc.). |
| --- | --- |

(42)

Par ailleurs, l’annexe 1, partie 3, de la DPA 2018 décrit les autres circonstances dans lesquelles les données relatives à des condamnations pénales peuvent être utilisées, qui correspondent aux fondements juridiques du traitement de données sensibles visés à l’article 9, paragraphe 2, du règlement (UE) 2016/679 et du RGPD britannique (par exemple, consentement de la personne concernée, intérêts vitaux d’une personne si la personne concernée se trouve dans l’incapacité physique ou juridique de donner son consentement, si les données ont déjà été manifestement rendues publiques par la personne concernée, si le traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice, etc.).

2.5.3.   Limitation des finalités, exactitude, minimisation des données, limitation de la conservation et sécurité des données

Limitation des finalités, exactitude, minimisation des données, limitation de la conservation et sécurité des données

| (43) | Les données à caractère personnel doivent être traitées dans un but précis et n’être utilisées ultérieurement que dans la mesure où cela n’est pas incompatible avec la finalité du traitement. |
| --- | --- |

(43)

Les données à caractère personnel doivent être traitées dans un but précis et n’être utilisées ultérieurement que dans la mesure où cela n’est pas incompatible avec la finalité du traitement.

| (44) | Ce principe est établi à l’article 5, paragraphe 1, point b), du règlement (UE) 2016/679 et a été conservé sans modifications à l’article 5, paragraphe 1, point b), du RGPD britannique. Les conditions applicables à un traitement ultérieur compatible conformément à l’article 6, paragraphe 4, du règlement (UE) 2016/679 ont également été conservées, sans modifications de fond, à l’article 6, paragraphe 4, points a) à e), du RGPD britannique. |
| --- | --- |

(44)

Ce principe est établi à l’article 5, paragraphe 1, point b), du règlement (UE) 2016/679 et a été conservé sans modifications à l’article 5, paragraphe 1, point b), du RGPD britannique. Les conditions applicables à un traitement ultérieur compatible conformément à l’article 6, paragraphe 4, du règlement (UE) 2016/679 ont également été conservées, sans modifications de fond, à l’article 6, paragraphe 4, points a) à e), du RGPD britannique.

| (45) | De plus, les données doivent être exactes et, si nécessaire, tenues à jour. Elles doivent également être adéquates, pertinentes et limitées au regard des finalités pour lesquelles elles sont traitées. Enfin, elles doivent en principe être conservées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. |
| --- | --- |

(45)

De plus, les données doivent être exactes et, si nécessaire, tenues à jour. Elles doivent également être adéquates, pertinentes et limitées au regard des finalités pour lesquelles elles sont traitées. Enfin, elles doivent en principe être conservées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées.

| (46) | Ces principes de minimisation des données, d’exactitude et de limitation de la conservation sont énoncés à l’article 5, paragraphe 1, point c) à e), du règlement (UE) 2016/679 et sont conservés sans modifications à l’article 5, paragraphe 1, points c) à e), du RGPD britannique. |
| --- | --- |

(46)

Ces principes de minimisation des données, d’exactitude et de limitation de la conservation sont énoncés à l’article 5, paragraphe 1, point c) à e), du règlement (UE) 2016/679 et sont conservés sans modifications à l’article 5, paragraphe 1, points c) à e), du RGPD britannique.

| (47) | Les données à caractère personnel devraient en outre être traitées d’une manière garantissant leur sécurité, y compris leur protection contre tout traitement non autorisé ou illicite et contre toute perte, toute destruction ou tout dégât d’origine accidentelle. À cette fin, les opérateurs économiques devraient prendre les mesures techniques ou organisationnelles appropriées pour protéger les données à caractère personnel contre d’éventuelles menaces. Ces mesures devraient être appréciées en fonction de l’état des connaissances et des coûts correspondants. |
| --- | --- |

(47)

Les données à caractère personnel devraient en outre être traitées d’une manière garantissant leur sécurité, y compris leur protection contre tout traitement non autorisé ou illicite et contre toute perte, toute destruction ou tout dégât d’origine accidentelle. À cette fin, les opérateurs économiques devraient prendre les mesures techniques ou organisationnelles appropriées pour protéger les données à caractère personnel contre d’éventuelles menaces. Ces mesures devraient être appréciées en fonction de l’état des connaissances et des coûts correspondants.

| (48) | La sécurité des données est consacrée dans le droit britannique par le principe d’intégrité et de confidentialité énoncé à l’article 5, paragraphe 1, point f), du RGPD britannique et à son article 32 relatif à la sécurité du traitement. Ces dispositions sont identiques aux dispositions correspondantes du règlement (UE) 2016/679. Par ailleurs, le RGPD britannique impose la notification à l’autorité de contrôle d’une violation de données à caractère personnel (article 33) et la communication à la personne concernée d’une violation de données à caractère personnel (article 34) dans les mêmes conditions que celles énoncées aux articles 33 et 34 du règlement (UE) 2016/679. |
| --- | --- |

(48)

La sécurité des données est consacrée dans le droit britannique par le principe d’intégrité et de confidentialité énoncé à l’article 5, paragraphe 1, point f), du RGPD britannique et à son article 32 relatif à la sécurité du traitement. Ces dispositions sont identiques aux dispositions correspondantes du règlement (UE) 2016/679. Par ailleurs, le RGPD britannique impose la notification à l’autorité de contrôle d’une violation de données à caractère personnel (article 33) et la communication à la personne concernée d’une violation de données à caractère personnel (article 34) dans les mêmes conditions que celles énoncées aux articles 33 et 34 du règlement (UE) 2016/679.

2.5.4.   Transparence

Transparence

| (49) | Les personnes concernées devraient être informées des principales caractéristiques du traitement des données à caractère personnel les concernant. |
| --- | --- |

(49)

Les personnes concernées devraient être informées des principales caractéristiques du traitement des données à caractère personnel les concernant.

| (50) | Ce principe est garanti par les articles 13 et 14 du RGPD britannique qui, outre un principe général de transparence, établissent les règles relatives aux informations à fournir aux personnes concernées (42). Le RGPD britannique n’apporte aucune modification de fond à ces règles par rapport aux articles correspondants du règlement (UE) 2016/679. Toutefois, comme dans le règlement (UE) 2016/679, les exigences de transparence de ces articles font l’objet de plusieurs exceptions prévues par la DPA 2018 (voir les considérants 55 à 72). |
| --- | --- |

(50)

Ce principe est garanti par les articles 13 et 14 du RGPD britannique qui, outre un principe général de transparence, établissent les règles relatives aux informations à fournir aux personnes concernées (42). Le RGPD britannique n’apporte aucune modification de fond à ces règles par rapport aux articles correspondants du règlement (UE) 2016/679. Toutefois, comme dans le règlement (UE) 2016/679, les exigences de transparence de ces articles font l’objet de plusieurs exceptions prévues par la DPA 2018 (voir les considérants 55 à 72).

42

2.5.5.   Droits individuels

Droits individuels

| (51) | Les personnes concernées devraient disposer de certains droits qu’elles peuvent opposer au responsable du traitement ou au sous-traitant, en particulier le droit d’accéder aux données, le droit de s’opposer au traitement et le droit d’obtenir la rectification et l’effacement des données. Dans le même temps, de tels droits peuvent être soumis à des limitations, dans la mesure où celles-ci sont nécessaires et proportionnées pour garantir la sécurité publique ou d’autres objectifs d’intérêt public importants. |
| --- | --- |

(51)

Les personnes concernées devraient disposer de certains droits qu’elles peuvent opposer au responsable du traitement ou au sous-traitant, en particulier le droit d’accéder aux données, le droit de s’opposer au traitement et le droit d’obtenir la rectification et l’effacement des données. Dans le même temps, de tels droits peuvent être soumis à des limitations, dans la mesure où celles-ci sont nécessaires et proportionnées pour garantir la sécurité publique ou d’autres objectifs d’intérêt public importants.

2.5.5.1.   Les droits substantiels

Les droits substantiels

| (52) | Le RGPD britannique confère aux personnes physiques les mêmes droits opposables que ceux prévus par le règlement (UE) 2016/679. Les dispositions établissant les droits des personnes ont été maintenues dans le RGPD britannique sans modifications de fond. |
| --- | --- |

(52)

Le RGPD britannique confère aux personnes physiques les mêmes droits opposables que ceux prévus par le règlement (UE) 2016/679. Les dispositions établissant les droits des personnes ont été maintenues dans le RGPD britannique sans modifications de fond.

| (53) | Ces droits incluent le droit d’accès de la personne concernée (article 15 du RGPD britannique), le droit de rectification (article 16 du RGPD britannique), le droit à l’effacement (article 17 du RGPD britannique), le droit à la limitation du traitement (article 18 du RGPD britannique), une obligation de notification en ce qui concerne la rectification ou l’effacement de données à caractère personnel ou la limitation du traitement (article 19 du RGPD britannique), le droit à la portabilité des données (article 20 du RGPD britannique) et le droit d’opposition (article 21 du RGPD britannique) (43). Ce dernier comprend le droit d’une personne concernée de s’opposer au traitement des données à caractère personnel à des fins de prospection, conformément à l’article 21, paragraphes 2 et 3, du règlement (UE) 2016/679. De plus, en vertu de l’article 122 de la DPA 2018, le commissaire à l’information doit préparer un code de bonnes pratiques relatif à l’exercice des activités de prospection dans le respect des exigences de la législation en matière de protection des données [et de la réglementation de 2003 sur la vie privée et les communications électroniques (directive CE)], ainsi que d’autres orientations afin de promouvoir les bonnes pratiques de prospection qu’il juge appropriées. Le bureau du commissaire à l’information élabore actuellement le code relatif à la prospection (44). |
| --- | --- |

(53)

Ces droits incluent le droit d’accès de la personne concernée (article 15 du RGPD britannique), le droit de rectification (article 16 du RGPD britannique), le droit à l’effacement (article 17 du RGPD britannique), le droit à la limitation du traitement (article 18 du RGPD britannique), une obligation de notification en ce qui concerne la rectification ou l’effacement de données à caractère personnel ou la limitation du traitement (article 19 du RGPD britannique), le droit à la portabilité des données (article 20 du RGPD britannique) et le droit d’opposition (article 21 du RGPD britannique) (43). Ce dernier comprend le droit d’une personne concernée de s’opposer au traitement des données à caractère personnel à des fins de prospection, conformément à l’article 21, paragraphes 2 et 3, du règlement (UE) 2016/679. De plus, en vertu de l’article 122 de la DPA 2018, le commissaire à l’information doit préparer un code de bonnes pratiques relatif à l’exercice des activités de prospection dans le respect des exigences de la législation en matière de protection des données [et de la réglementation de 2003 sur la vie privée et les communications électroniques (directive CE)], ainsi que d’autres orientations afin de promouvoir les bonnes pratiques de prospection qu’il juge appropriées. Le bureau du commissaire à l’information élabore actuellement le code relatif à la prospection (44).

43

44

| (54) | Le droit de la personne concernée de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé et produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire, tel qu’il est prévu à l’article 22 du RGPD, a également été conservé dans le RGPD britannique sans modifications de fond. Cependant, un nouveau paragraphe 3A a été ajouté afin de mentionner que l’article 14 de la DPA 2018 prévoit des garanties pour les droits, les libertés et les intérêts légitimes des personnes concernées lorsque le traitement est effectué au titre de l’article 22, paragraphe 2, point b), du RGPD britannique. L’article 14 ne s’applique que lorsqu’une telle décision est autorisée ou requise en vertu du droit britannique et ne s’applique pas lorsque la décision est requise en vertu d’un contrat ou lorsqu’elle est prise avec le consentement explicite de la personne concernée. Lorsque l’article 14 de la DPA 2018 s’applique, le responsable du traitement doit, dès que cela est raisonnablement possible, notifier par écrit à la personne concernée qu’une décision a été prise sur le seul fondement d’un traitement automatisé. La personne concernée a le droit de demander que le responsable du traitement, dans un délai d’un mois à compter de la réception de la notification, réexamine la décision ou prenne une nouvelle décision qui ne soit pas fondée exclusivement sur un traitement automatisé. Le secrétaire d’État est habilité à adopter des garanties supplémentaires en ce qui concerne la prise de décision automatisée. Ce pouvoir n’a pas encore été exercé. |
| --- | --- |

(54)

Le droit de la personne concernée de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé et produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire, tel qu’il est prévu à l’article 22 du RGPD, a également été conservé dans le RGPD britannique sans modifications de fond. Cependant, un nouveau paragraphe 3A a été ajouté afin de mentionner que l’article 14 de la DPA 2018 prévoit des garanties pour les droits, les libertés et les intérêts légitimes des personnes concernées lorsque le traitement est effectué au titre de l’article 22, paragraphe 2, point b), du RGPD britannique. L’article 14 ne s’applique que lorsqu’une telle décision est autorisée ou requise en vertu du droit britannique et ne s’applique pas lorsque la décision est requise en vertu d’un contrat ou lorsqu’elle est prise avec le consentement explicite de la personne concernée. Lorsque l’article 14 de la DPA 2018 s’applique, le responsable du traitement doit, dès que cela est raisonnablement possible, notifier par écrit à la personne concernée qu’une décision a été prise sur le seul fondement d’un traitement automatisé. La personne concernée a le droit de demander que le responsable du traitement, dans un délai d’un mois à compter de la réception de la notification, réexamine la décision ou prenne une nouvelle décision qui ne soit pas fondée exclusivement sur un traitement automatisé. Le secrétaire d’État est habilité à adopter des garanties supplémentaires en ce qui concerne la prise de décision automatisée. Ce pouvoir n’a pas encore été exercé.

2.5.5.2.   Limitations des droits individuels et autres dispositions

Limitations des droits individuels et autres dispositions

| (55) | La DPA 2018 prévoit plusieurs limitations des droits individuels, qui s’inscrivent dans le cadre de l’article 23 du RGPD britannique. Aucune limitation n’est introduite dans ce cadre en ce qui concerne le droit de s’opposer à la prospection, tel qu’il est prévu à l’article 21, paragraphes 2 et 3, du RGPD britannique, ou le droit de ne pas faire l’objet d’une prise de décision automatisée, tel qu’il est prévu à l’article 22 du RGPD britannique. |
| --- | --- |

(55)

La DPA 2018 prévoit plusieurs limitations des droits individuels, qui s’inscrivent dans le cadre de l’article 23 du RGPD britannique. Aucune limitation n’est introduite dans ce cadre en ce qui concerne le droit de s’opposer à la prospection, tel qu’il est prévu à l’article 21, paragraphes 2 et 3, du RGPD britannique, ou le droit de ne pas faire l’objet d’une prise de décision automatisée, tel qu’il est prévu à l’article 22 du RGPD britannique.

| (56) | Ces limitations sont détaillées aux annexes 2 à 4 de la DPA 2018. Les autorités britanniques ont expliqué qu’elles étaient guidées par deux principes: le principe de spécificité (adoption d’une approche granulaire, en divisant des limitations générales en plusieurs dispositions plus spécifiques) et le principe de conditionnalité (chaque disposition est complétée par des garanties sous la forme de limitations ou de conditions afin d’éviter les abus) (45). |
| --- | --- |

(56)

Ces limitations sont détaillées aux annexes 2 à 4 de la DPA 2018. Les autorités britanniques ont expliqué qu’elles étaient guidées par deux principes: le principe de spécificité (adoption d’une approche granulaire, en divisant des limitations générales en plusieurs dispositions plus spécifiques) et le principe de conditionnalité (chaque disposition est complétée par des garanties sous la forme de limitations ou de conditions afin d’éviter les abus) (45).

45

| (57) | Les limitations décrites à l’article 23, paragraphe 1, du RGPD britannique visent à faire en sorte qu’elles ne soient appliquées que dans des circonstances déterminées, lorsqu’elles sont nécessaires dans une société démocratique et proportionnées à l’objectif légitime poursuivi. En outre, conformément à la jurisprudence constante au sujet de l’interprétation des limitations, une exemption du régime de protection des données ne peut être appliquée dans un cas d’espèce que si elle est nécessaire et proportionnée (46). Le critère de nécessité doit être «strict et exiger que toute ingérence dans les droits de la personne soit proportionnée à la gravité de la menace pour l’intérêt public. Cet exercice nécessite donc une analyse de proportionnalité classique (47)». |
| --- | --- |

(57)

Les limitations décrites à l’article 23, paragraphe 1, du RGPD britannique visent à faire en sorte qu’elles ne soient appliquées que dans des circonstances déterminées, lorsqu’elles sont nécessaires dans une société démocratique et proportionnées à l’objectif légitime poursuivi. En outre, conformément à la jurisprudence constante au sujet de l’interprétation des limitations, une exemption du régime de protection des données ne peut être appliquée dans un cas d’espèce que si elle est nécessaire et proportionnée (46). Le critère de nécessité doit être «strict et exiger que toute ingérence dans les droits de la personne soit proportionnée à la gravité de la menace pour l’intérêt public. Cet exercice nécessite donc une analyse de proportionnalité classique (47)».

46

47

| (58) | Les finalités visées par ces limitations correspondent à celles énumérées à l’article 23 du règlement (UE) 2016/679, sauf en ce qui concerne les limitations relatives à la sécurité nationale et à la défense, lesquelles sont plutôt réglementées par l’article 26 de la DPA 2018. Toutefois, elles sont soumises aux mêmes exigences de nécessité et de proportionnalité (voir les considérants 63 à 66). |
| --- | --- |

(58)

Les finalités visées par ces limitations correspondent à celles énumérées à l’article 23 du règlement (UE) 2016/679, sauf en ce qui concerne les limitations relatives à la sécurité nationale et à la défense, lesquelles sont plutôt réglementées par l’article 26 de la DPA 2018. Toutefois, elles sont soumises aux mêmes exigences de nécessité et de proportionnalité (voir les considérants 63 à 66).

| (59) | Certaines de ces limitations, par exemple celles relatives à la prévention ou à la détection des infractions pénales, à l’arrestation ou à la poursuite des criminels et à l’établissement ou au recouvrement d’un impôt, d’une taxe ou d’un droit (48), permettent de restreindre l’ensemble des droits individuels et des obligations de transparence (à l’exclusion des droits prévus à l’article 21, paragraphe 2, et à l’article 22). La portée des autres limitations est limitée aux obligations de transparence et aux droits d’accès, comme celles relatives au secret professionnel (49), au droit d’être dégagé de l’obligation de fournir des informations qui conduiraient à s’auto-incriminer (50), et au financement des entreprises, notamment la prévention des délits d’initiés (51). Quelques limitations permettent de restreindre l’obligation, pour le responsable du traitement, de communiquer une violation de données à une personne concernée et les principes de limitation de la finalité, de licéité, de loyauté et de transparence du traitement (52). |
| --- | --- |

(59)

Certaines de ces limitations, par exemple celles relatives à la prévention ou à la détection des infractions pénales, à l’arrestation ou à la poursuite des criminels et à l’établissement ou au recouvrement d’un impôt, d’une taxe ou d’un droit (48), permettent de restreindre l’ensemble des droits individuels et des obligations de transparence (à l’exclusion des droits prévus à l’article 21, paragraphe 2, et à l’article 22). La portée des autres limitations est limitée aux obligations de transparence et aux droits d’accès, comme celles relatives au secret professionnel (49), au droit d’être dégagé de l’obligation de fournir des informations qui conduiraient à s’auto-incriminer (50), et au financement des entreprises, notamment la prévention des délits d’initiés (51). Quelques limitations permettent de restreindre l’obligation, pour le responsable du traitement, de communiquer une violation de données à une personne concernée et les principes de limitation de la finalité, de licéité, de loyauté et de transparence du traitement (52).

48

49

50

51

52

| (60) | Certaines de ces limitations s’appliquent automatiquement et «pleinement» à un certain type de traitement de données à caractère personnel (par exemple, l’application des obligations de transparence et des droits individuels est exclue lorsque les données à caractère personnel sont traitées afin d’évaluer l’aptitude d’une personne à exercer une fonction juridictionnelle ou lorsqu’elles sont traitées par une juridiction ou par une personne agissant dans l’exercice d’une fonction juridictionnelle). |
| --- | --- |

(60)

Certaines de ces limitations s’appliquent automatiquement et «pleinement» à un certain type de traitement de données à caractère personnel (par exemple, l’application des obligations de transparence et des droits individuels est exclue lorsque les données à caractère personnel sont traitées afin d’évaluer l’aptitude d’une personne à exercer une fonction juridictionnelle ou lorsqu’elles sont traitées par une juridiction ou par une personne agissant dans l’exercice d’une fonction juridictionnelle).

| (61) | Cependant, dans la majorité des cas, le point pertinent de l’annexe 2 de la DPA 2018 précise que la limitation ne s’applique que lorsque (et dans la mesure où) l’application des dispositions «est susceptible de porter préjudice» à l’objectif légitime poursuivi par cette limitation: par exemple, les dispositions énumérées dans le RGPD britannique ne s’appliquent pas aux données à caractère personnel traitées aux fins de la prévention ou de la détection des infractions pénales, de l’arrestation ou de la poursuite des criminels, ou de l’établissement ou du recouvrement d’un impôt, d’une taxe ou d’un droit «dans la mesure où l’application de ces dispositions est susceptible de porter préjudice» à ces finalités, quelles qu'elles soient (53). |
| --- | --- |

(61)

Cependant, dans la majorité des cas, le point pertinent de l’annexe 2 de la DPA 2018 précise que la limitation ne s’applique que lorsque (et dans la mesure où) l’application des dispositions «est susceptible de porter préjudice» à l’objectif légitime poursuivi par cette limitation: par exemple, les dispositions énumérées dans le RGPD britannique ne s’appliquent pas aux données à caractère personnel traitées aux fins de la prévention ou de la détection des infractions pénales, de l’arrestation ou de la poursuite des criminels, ou de l’établissement ou du recouvrement d’un impôt, d’une taxe ou d’un droit «dans la mesure où l’application de ces dispositions est susceptible de porter préjudice» à ces finalités, quelles qu'elles soient (53).

53

| (62) | Le critère de «préjudice probable» a été systématiquement interprété par les tribunaux britanniques comme «un risque très significatif et important de porter préjudice aux intérêts généraux visés» (54). Une restriction soumise au critère du préjudice ne peut donc être invoquée que si et dans la mesure où il existe une probabilité très importante et importante que l’octroi d’un certain droit porterait atteinte à l’intérêt public en jeu. Le responsable du traitement est chargé d’évaluer au cas par cas si ces conditions sont remplies (55). |
| --- | --- |

(62)

Le critère de «préjudice probable» a été systématiquement interprété par les tribunaux britanniques comme «un risque très significatif et important de porter préjudice aux intérêts généraux visés» (54). Une restriction soumise au critère du préjudice ne peut donc être invoquée que si et dans la mesure où il existe une probabilité très importante et importante que l’octroi d’un certain droit porterait atteinte à l’intérêt public en jeu. Le responsable du traitement est chargé d’évaluer au cas par cas si ces conditions sont remplies (55).

54

55

| (63) | Outre les limitations visées à l’annexe 2 de la DPA 2018, son article 26 prévoit une exemption qui peut s’appliquer à certaines dispositions du RGPD britannique et de la DPA 2018 si celle-ci est nécessaire pour garantir la sécurité nationale ou à des fins de défense. Cette exemption s’applique aux principes relatifs à la protection des données (à l’exception du principe de licéité), aux obligations de transparence, aux droits de la personne concernée, à l’obligation de notifier une violation de données, aux règles relatives aux transferts internationaux, à certains des devoirs et des pouvoirs du commissaire à l’information et aux règles relatives aux voies de recours, à la responsabilité et aux sanctions, à l’exception de la disposition de l’article 83 du RGPD britannique relative aux conditions générales applicables à l’imposition d’amendes administratives et de la disposition de son article 84 relative aux sanctions. En outre, l’article 28 de la DPA 2018 modifie l’application de l’article 9, paragraphe 1, du RGPD britannique afin de permettre le traitement des catégories particulières de données énoncées dans cet article, dans la mesure où le traitement est effectué pour garantir la sécurité nationale ou à des fins de défense, moyennant les garanties appropriées pour les droits et libertés des personnes concernées (56). |
| --- | --- |

(63)

Outre les limitations visées à l’annexe 2 de la DPA 2018, son article 26 prévoit une exemption qui peut s’appliquer à certaines dispositions du RGPD britannique et de la DPA 2018 si celle-ci est nécessaire pour garantir la sécurité nationale ou à des fins de défense. Cette exemption s’applique aux principes relatifs à la protection des données (à l’exception du principe de licéité), aux obligations de transparence, aux droits de la personne concernée, à l’obligation de notifier une violation de données, aux règles relatives aux transferts internationaux, à certains des devoirs et des pouvoirs du commissaire à l’information et aux règles relatives aux voies de recours, à la responsabilité et aux sanctions, à l’exception de la disposition de l’article 83 du RGPD britannique relative aux conditions générales applicables à l’imposition d’amendes administratives et de la disposition de son article 84 relative aux sanctions. En outre, l’article 28 de la DPA 2018 modifie l’application de l’article 9, paragraphe 1, du RGPD britannique afin de permettre le traitement des catégories particulières de données énoncées dans cet article, dans la mesure où le traitement est effectué pour garantir la sécurité nationale ou à des fins de défense, moyennant les garanties appropriées pour les droits et libertés des personnes concernées (56).

56

| (64) | L’exemption ne peut être appliquée que dans la mesure où elle est nécessaire pour garantir la sécurité nationale ou la défense. De la même manière que pour les autres exemptions prévues par la DPA 2018, elle doit être envisagée et invoquée par le responsable du traitement au cas par cas. De plus, toute application de l’exemption doit être conforme aux normes relatives aux droits de l’homme (fondées sur la loi de 1998 sur les droits de l’homme), selon lesquelles toute ingérence dans les droits au respect de la vie privée devrait être nécessaire et proportionnée dans une société démocratique (57). |
| --- | --- |

(64)

L’exemption ne peut être appliquée que dans la mesure où elle est nécessaire pour garantir la sécurité nationale ou la défense. De la même manière que pour les autres exemptions prévues par la DPA 2018, elle doit être envisagée et invoquée par le responsable du traitement au cas par cas. De plus, toute application de l’exemption doit être conforme aux normes relatives aux droits de l’homme (fondées sur la loi de 1998 sur les droits de l’homme), selon lesquelles toute ingérence dans les droits au respect de la vie privée devrait être nécessaire et proportionnée dans une société démocratique (57).

57

| (65) | Cette interprétation de l’exemption est confirmée par l’ICO, qui a publié des orientations détaillées sur l’application de l’exemption en matière de sécurité et de défense nationales, indiquant clairement qu’elle doit être examinée et appliquée par le responsable du traitement au cas par cas (58). En particulier, les orientations soulignent que «le traitement des données n’est pas une exemption générale» et que, pour l’invoquer, «il ne suffit pas que les données soient traitées à des fins de sécurité nationale». En revanche, le responsable du traitement qui l’invoque doit «démontrer qu’il existe une possibilité réelle d’atteinte à la sécurité nationale» et, le cas échéant, il est censé «fournir [à l’ICO] des éléments de preuve sur les raisons pour lesquelles il a eu recours à cette exemption». Les orientations contiennent une liste de contrôle et une série d’exemples visant à clarifier davantage les conditions dans lesquelles cette exemption peut être invoquée. |
| --- | --- |

(65)

Cette interprétation de l’exemption est confirmée par l’ICO, qui a publié des orientations détaillées sur l’application de l’exemption en matière de sécurité et de défense nationales, indiquant clairement qu’elle doit être examinée et appliquée par le responsable du traitement au cas par cas (58). En particulier, les orientations soulignent que «le traitement des données n’est pas une exemption générale» et que, pour l’invoquer, «il ne suffit pas que les données soient traitées à des fins de sécurité nationale». En revanche, le responsable du traitement qui l’invoque doit «démontrer qu’il existe une possibilité réelle d’atteinte à la sécurité nationale» et, le cas échéant, il est censé «fournir [à l’ICO] des éléments de preuve sur les raisons pour lesquelles il a eu recours à cette exemption». Les orientations contiennent une liste de contrôle et une série d’exemples visant à clarifier davantage les conditions dans lesquelles cette exemption peut être invoquée.

58

| (66) | Le fait que les données soient traitées à des fins de sécurité nationale ou de défense ne suffit donc pas en soi pour appliquer l’exemption. Un responsable du traitement doit considérer les conséquences concrètes pour la sécurité nationale s’il devait respecter la disposition particulière relative à la protection des données. L’exemption ne peut s’appliquer qu’aux dispositions spécifiques qui ont été désignées comme posant un tel risque et cette application doit être aussi restrictive que possible (59). |
| --- | --- |

(66)

Le fait que les données soient traitées à des fins de sécurité nationale ou de défense ne suffit donc pas en soi pour appliquer l’exemption. Un responsable du traitement doit considérer les conséquences concrètes pour la sécurité nationale s’il devait respecter la disposition particulière relative à la protection des données. L’exemption ne peut s’appliquer qu’aux dispositions spécifiques qui ont été désignées comme posant un tel risque et cette application doit être aussi restrictive que possible (59).

59

| (67) | Cette approche a été confirmée par le tribunal de l’information (Information Tribunal) (60). Dans l’arrêt Baker/Secretary of State for the Home Department (ci-après l’«arrêt Baker/Secretary of State»), ce tribunal a déterminé qu’il était illégal d’appliquer l’exemption concernant la sécurité nationale comme une exemption générale aux demandes d’accès reçues par les services de renseignement. L’exemption doit plutôt être appliquée au cas par cas, en examinant le bien-fondé de chaque demande et en tenant compte du droit des personnes au respect de leur vie privée (61). |
| --- | --- |

(67)

Cette approche a été confirmée par le tribunal de l’information (Information Tribunal) (60). Dans l’arrêt Baker/Secretary of State for the Home Department (ci-après l’«arrêt Baker/Secretary of State»), ce tribunal a déterminé qu’il était illégal d’appliquer l’exemption concernant la sécurité nationale comme une exemption générale aux demandes d’accès reçues par les services de renseignement. L’exemption doit plutôt être appliquée au cas par cas, en examinant le bien-fondé de chaque demande et en tenant compte du droit des personnes au respect de leur vie privée (61).

Information Tribunal

60

61

2.5.6.   Limitations concernant le traitement des données à caractère personnel réalisé à des fins journalistiques, artistiques, universitaires et littéraires, ainsi qu’à des fins archivistiques et de recherche

Limitations concernant le traitement des données à caractère personnel réalisé à des fins journalistiques, artistiques, universitaires et littéraires, ainsi qu’à des fins archivistiques et de recherche

| (68) | L’article 85, paragraphe 2, du RGPD britannique permet de prévoir des exemptions à plusieurs de ses dispositions pour le traitement des données à caractère personnel réalisé à des fins journalistiques, artistiques, universitaires et littéraires. L’annexe 2, partie 5, de la DPA 2018 définit les exemptions applicables au traitement effectué à ces fins. Elle prévoit des exemptions aux principes relatifs à la protection des données (à l’exception du principe d’intégrité et de confidentialité), aux fondements juridiques du traitement (y compris pour les catégories particulières de données, les données relatives à des condamnations pénales, etc.), aux conditions applicables au consentement, aux obligations de transparence, aux droits des personnes concernées, à l’obligation de notifier une violation de données, à l’obligation de consulter le commissaire à l’information avant un traitement présentant un risque élevé et aux règles relatives aux transferts internationaux (62). À cet égard, le RGPD britannique ne s’écarte pas de manière substantielle du règlement (UE) 2016/679, lequel, dans son article 85, prévoit également la possibilité d’exempter le traitement réalisé à des fins journalistiques ou à des fins d’expression universitaire, artistique ou littéraire de plusieurs exigences dudit règlement. Les dispositions de la DPA 2018, notamment son annexe 2, partie 5, sont compatibles avec le RGPD britannique. |
| --- | --- |

(68)

L’article 85, paragraphe 2, du RGPD britannique permet de prévoir des exemptions à plusieurs de ses dispositions pour le traitement des données à caractère personnel réalisé à des fins journalistiques, artistiques, universitaires et littéraires. L’annexe 2, partie 5, de la DPA 2018 définit les exemptions applicables au traitement effectué à ces fins. Elle prévoit des exemptions aux principes relatifs à la protection des données (à l’exception du principe d’intégrité et de confidentialité), aux fondements juridiques du traitement (y compris pour les catégories particulières de données, les données relatives à des condamnations pénales, etc.), aux conditions applicables au consentement, aux obligations de transparence, aux droits des personnes concernées, à l’obligation de notifier une violation de données, à l’obligation de consulter le commissaire à l’information avant un traitement présentant un risque élevé et aux règles relatives aux transferts internationaux (62). À cet égard, le RGPD britannique ne s’écarte pas de manière substantielle du règlement (UE) 2016/679, lequel, dans son article 85, prévoit également la possibilité d’exempter le traitement réalisé à des fins journalistiques ou à des fins d’expression universitaire, artistique ou littéraire de plusieurs exigences dudit règlement. Les dispositions de la DPA 2018, notamment son annexe 2, partie 5, sont compatibles avec le RGPD britannique.

62

| (69) | L’exercice de mise en balance fondamental à effectuer au titre de l’article 85 du RGPD britannique porte sur la question de savoir si une exemption aux règles en matière de protection des données mentionnées au considérant 68 est «nécessaire pour concilier le droit à la protection des données à caractère personnel et la liberté d’expression et d’information» (63). Conformément à l’annexe 2, point 26, sous 2) et 3), de la DPA 2018, le Royaume-Uni applique le critère de la «croyance raisonnable» en vue de trouver cet équilibre. Pour qu’une exemption soit justifiée, le responsable du traitement doit raisonnablement croire i) que la publication est d’intérêt public; et ii) que l’application de la disposition pertinente du RGPD serait incompatible avec les finalités journalistiques, universitaires, artistiques ou littéraires. Comme le confirme la jurisprudence (64), le critère de la «croyance raisonnable» comporte à la fois un élément subjectif et objectif: il ne suffit pas, pour le responsable du traitement, de démontrer qu’il croyait personnellement que le respect de la disposition était incompatible. Sa croyance doit être raisonnable, c’est-à-dire qu’elle pourrait être partagée par une personne raisonnable ayant connaissance des faits pertinents. Par conséquent, le responsable du traitement doit faire preuve d’un soin particulier lorsqu’il se forge une croyance afin d’être en mesure de démontrer son caractère raisonnable. D’après les explications fournies par les autorités du Royaume-Uni, le critère de la «croyance raisonnable» doit être appliqué au cas par cas (65). Si les conditions sont remplies, l’exemption est considérée comme nécessaire et proportionnée en vertu du droit britannique. |
| --- | --- |

(69)

L’exercice de mise en balance fondamental à effectuer au titre de l’article 85 du RGPD britannique porte sur la question de savoir si une exemption aux règles en matière de protection des données mentionnées au considérant 68 est «nécessaire pour concilier le droit à la protection des données à caractère personnel et la liberté d’expression et d’information» (63). Conformément à l’annexe 2, point 26, sous 2) et 3), de la DPA 2018, le Royaume-Uni applique le critère de la «croyance raisonnable» en vue de trouver cet équilibre. Pour qu’une exemption soit justifiée, le responsable du traitement doit raisonnablement croire i) que la publication est d’intérêt public; et ii) que l’application de la disposition pertinente du RGPD serait incompatible avec les finalités journalistiques, universitaires, artistiques ou littéraires. Comme le confirme la jurisprudence (64), le critère de la «croyance raisonnable» comporte à la fois un élément subjectif et objectif: il ne suffit pas, pour le responsable du traitement, de démontrer qu’il croyait personnellement que le respect de la disposition était incompatible. Sa croyance doit être raisonnable, c’est-à-dire qu’elle pourrait être partagée par une personne raisonnable ayant connaissance des faits pertinents. Par conséquent, le responsable du traitement doit faire preuve d’un soin particulier lorsqu’il se forge une croyance afin d’être en mesure de démontrer son caractère raisonnable. D’après les explications fournies par les autorités du Royaume-Uni, le critère de la «croyance raisonnable» doit être appliqué au cas par cas (65). Si les conditions sont remplies, l’exemption est considérée comme nécessaire et proportionnée en vertu du droit britannique.

63

64

65

| (70) | Conformément à l’article 124 de la DPA 2018, l’ICO doit préparer un code de bonnes pratiques relatif à la protection des données et au journalisme. Ce code est en cours d’élaboration. Les orientations publiées sur la question relevant de la loi de 1998 sur la protection des données soulignent notamment que, pour appliquer cette exemption, il ne suffit pas d’affirmer que le respect de la disposition entraverait les activités journalistiques, mais il faut également démontrer clairement que la disposition en cause constitue un obstacle au journalisme responsable (66). Des orientations relatives à l’application du critère de l’intérêt public et à la mise en balance de l’intérêt public avec le droit au respect de la vie privée d’une personne ont également été publiées par l’autorité de régulation des télécommunications du Royaume-Uni, l’Ofcom, et par la BBC dans ses directives éditoriales (67). Les directives fournissent notamment des exemples d’informations pouvant être considérées comme relevant de l’intérêt public, et expliquent la nécessité d’être en mesure de démontrer la supériorité de l’intérêt public sur le droit au respect de la vie privée dans les circonstances particulières du cas en question. |
| --- | --- |

(70)

Conformément à l’article 124 de la DPA 2018, l’ICO doit préparer un code de bonnes pratiques relatif à la protection des données et au journalisme. Ce code est en cours d’élaboration. Les orientations publiées sur la question relevant de la loi de 1998 sur la protection des données soulignent notamment que, pour appliquer cette exemption, il ne suffit pas d’affirmer que le respect de la disposition entraverait les activités journalistiques, mais il faut également démontrer clairement que la disposition en cause constitue un obstacle au journalisme responsable (66). Des orientations relatives à l’application du critère de l’intérêt public et à la mise en balance de l’intérêt public avec le droit au respect de la vie privée d’une personne ont également été publiées par l’autorité de régulation des télécommunications du Royaume-Uni, l’Ofcom, et par la BBC dans ses directives éditoriales (67). Les directives fournissent notamment des exemples d’informations pouvant être considérées comme relevant de l’intérêt public, et expliquent la nécessité d’être en mesure de démontrer la supériorité de l’intérêt public sur le droit au respect de la vie privée dans les circonstances particulières du cas en question.

66

67

| (71) | À l’instar de ce que prévoit l’article 89 du RGPD, les données à caractère personnel traitées à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques peuvent également être exemptées d’un certain nombre de dispositions énumérées dans le RGPD britannique (68). En ce qui concerne les finalités de recherche et statistiques, des exemptions sont possibles aux dispositions du RGPD britannique relatives à la confirmation du traitement et à l’accès aux données et aux garanties pour les transferts vers des pays tiers; le droit de rectification; le droit à la limitation du traitement et à l’opposition au traitement. S’agissant des finalités archivistiques dans l’intérêt public, des exemptions sont également possibles à l’obligation de notification liée à la rectification ou à l’effacement de données à caractère personnel ou à la limitation du traitement, ainsi qu’au droit à la portabilité des données. |
| --- | --- |

(71)

À l’instar de ce que prévoit l’article 89 du RGPD, les données à caractère personnel traitées à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques peuvent également être exemptées d’un certain nombre de dispositions énumérées dans le RGPD britannique (68). En ce qui concerne les finalités de recherche et statistiques, des exemptions sont possibles aux dispositions du RGPD britannique relatives à la confirmation du traitement et à l’accès aux données et aux garanties pour les transferts vers des pays tiers; le droit de rectification; le droit à la limitation du traitement et à l’opposition au traitement. S’agissant des finalités archivistiques dans l’intérêt public, des exemptions sont également possibles à l’obligation de notification liée à la rectification ou à l’effacement de données à caractère personnel ou à la limitation du traitement, ainsi qu’au droit à la portabilité des données.

68

| (72) | Conformément à l’annexe 2, point 27, sous 1), et point 28, sous 1), de la DPA 2018, les exemptions aux dispositions énumérées dans le RGPD britannique sont possibles lorsque l’application de ces dispositions «rendrait impossible ou compromettrait gravement la réalisation» des finalités en cause (69). |
| --- | --- |

(72)

Conformément à l’annexe 2, point 27, sous 1), et point 28, sous 1), de la DPA 2018, les exemptions aux dispositions énumérées dans le RGPD britannique sont possibles lorsque l’application de ces dispositions «rendrait impossible ou compromettrait gravement la réalisation» des finalités en cause (69).

69

| (73) | Compte tenu de leur importance pour l’exercice effectif des droits individuels, toute évolution pertinente concernant l’interprétation et l’application pratique des exemptions susmentionnées (en plus de celle relative au maintien d’un contrôle efficace de l’immigration, comme expliqué au considérant 6), y compris toute évolution ultérieure de la jurisprudence et des orientations et mesures d’exécution de l’ICO, sera dûment prise en compte dans le cadre du suivi continu de la présente décision (70). |
| --- | --- |

(73)

Compte tenu de leur importance pour l’exercice effectif des droits individuels, toute évolution pertinente concernant l’interprétation et l’application pratique des exemptions susmentionnées (en plus de celle relative au maintien d’un contrôle efficace de l’immigration, comme expliqué au considérant 6), y compris toute évolution ultérieure de la jurisprudence et des orientations et mesures d’exécution de l’ICO, sera dûment prise en compte dans le cadre du suivi continu de la présente décision (70).

70

2.5.7.   Limitations concernant les transferts ultérieurs

Limitations concernant les transferts ultérieurs

| (74) | Le niveau de protection conféré aux données à caractère personnel qui sont transférées depuis l’Union européenne vers des responsables du traitement ou des sous-traitants au Royaume-Uni ne doit pas être compromis par le transfert ultérieur de ces mêmes données vers des destinataires se trouvant dans un pays tiers. Ces «transferts ultérieurs» qui constituent, du point de vue du responsable du traitement ou du sous-traitant britannique, des transferts internationaux en provenance du Royaume-Uni ne devraient être autorisés que si le destinataire ultérieur en dehors du Royaume-Uni est lui-même soumis à des règles assurant un niveau de protection semblable à celui garanti par l’ordre juridique britannique. C’est pourquoi l’application des règles du RGPD britannique et de la DPA 2018 relatives aux transferts internationaux de données à caractère personnel est un facteur important pour garantir la continuité de la protection en cas de transfert de données à caractère personnel au départ de l’Union européenne vers le Royaume-Uni en vertu de la présente décision. |
| --- | --- |

(74)

Le niveau de protection conféré aux données à caractère personnel qui sont transférées depuis l’Union européenne vers des responsables du traitement ou des sous-traitants au Royaume-Uni ne doit pas être compromis par le transfert ultérieur de ces mêmes données vers des destinataires se trouvant dans un pays tiers. Ces «transferts ultérieurs» qui constituent, du point de vue du responsable du traitement ou du sous-traitant britannique, des transferts internationaux en provenance du Royaume-Uni ne devraient être autorisés que si le destinataire ultérieur en dehors du Royaume-Uni est lui-même soumis à des règles assurant un niveau de protection semblable à celui garanti par l’ordre juridique britannique. C’est pourquoi l’application des règles du RGPD britannique et de la DPA 2018 relatives aux transferts internationaux de données à caractère personnel est un facteur important pour garantir la continuité de la protection en cas de transfert de données à caractère personnel au départ de l’Union européenne vers le Royaume-Uni en vertu de la présente décision.

| (75) | Le régime applicable aux transferts internationaux de données à caractère personnel en provenance du Royaume-Uni est décrit aux articles 44 à 49 du RGPD britannique, complétés par la DPA 2018, et est, en substance, identique aux règles définies au chapitre V du règlement (UE) 2016/679 (71). Les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ne peuvent avoir lieu que sur le fondement d’un règlement d’adéquation [l’équivalent au Royaume-Uni d’une décision d’adéquation en vertu du règlement (UE) 2016/679] ou, en l’absence d’un tel règlement, lorsque le responsable du traitement ou le sous-traitant a prévu des garanties appropriées conformément à l’article 46 du RGPD britannique. En l’absence d’un règlement d’adéquation ou de garanties appropriées, un transfert ne peut avoir lieu que sur la base des dérogations prévues à l’article 49 du RGPD britannique. |
| --- | --- |

(75)

Le régime applicable aux transferts internationaux de données à caractère personnel en provenance du Royaume-Uni est décrit aux articles 44 à 49 du RGPD britannique, complétés par la DPA 2018, et est, en substance, identique aux règles définies au chapitre V du règlement (UE) 2016/679 (71). Les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ne peuvent avoir lieu que sur le fondement d’un règlement d’adéquation [l’équivalent au Royaume-Uni d’une décision d’adéquation en vertu du règlement (UE) 2016/679] ou, en l’absence d’un tel règlement, lorsque le responsable du traitement ou le sous-traitant a prévu des garanties appropriées conformément à l’article 46 du RGPD britannique. En l’absence d’un règlement d’adéquation ou de garanties appropriées, un transfert ne peut avoir lieu que sur la base des dérogations prévues à l’article 49 du RGPD britannique.

71

| (76) | Les règlements d’adéquation adoptés par le secrétaire d’État peuvent disposer qu’un pays tiers (ou un territoire ou un secteur dans un pays tiers), une organisation internationale ou une description (72) de ce pays, de ce territoire, de ce secteur ou de cette organisation assure un niveau adéquat de protection des données à caractère personnel. Lorsqu’il évalue le caractère adéquat du niveau de protection, le secrétaire d’État doit tenir compte exactement des mêmes éléments que ceux que la Commission est tenue d’apprécier au titre de l’article 45, paragraphe 2, points a) à c), du règlement (UE) 2016/679, interprété en combinaison avec son considérant 104 et la jurisprudence de l’Union conservée. Autrement dit, lors de l’évaluation du caractère adéquat du niveau de protection d’un pays tiers, le critère pertinent consistera à déterminer si ce pays tiers assure un niveau de protection «essentiellement équivalent» à celui qui est garanti au Royaume-Uni. |
| --- | --- |

(76)

Les règlements d’adéquation adoptés par le secrétaire d’État peuvent disposer qu’un pays tiers (ou un territoire ou un secteur dans un pays tiers), une organisation internationale ou une description (72) de ce pays, de ce territoire, de ce secteur ou de cette organisation assure un niveau adéquat de protection des données à caractère personnel. Lorsqu’il évalue le caractère adéquat du niveau de protection, le secrétaire d’État doit tenir compte exactement des mêmes éléments que ceux que la Commission est tenue d’apprécier au titre de l’article 45, paragraphe 2, points a) à c), du règlement (UE) 2016/679, interprété en combinaison avec son considérant 104 et la jurisprudence de l’Union conservée. Autrement dit, lors de l’évaluation du caractère adéquat du niveau de protection d’un pays tiers, le critère pertinent consistera à déterminer si ce pays tiers assure un niveau de protection «essentiellement équivalent» à celui qui est garanti au Royaume-Uni.

72

| (77) | S’agissant de la procédure, les règlements d’adéquation sont soumis aux règles de procédure «générales» prévues à l’article 182 de la DPA 2018. Dans le cadre de cette procédure, le secrétaire d’État doit consulter le commissaire à l’information lorsqu’il propose à l’adoption des règlements d’adéquation (73). Une fois adoptés par le secrétaire d’État, ces règlements sont présentés au Parlement et sont soumis à la procédure de «résolution négative» dans le cadre de laquelle les deux chambres du Parlement peuvent examiner les règlements et déposer une motion en vue de leur annulation dans un délai de 40 jours (74). |
| --- | --- |

(77)

S’agissant de la procédure, les règlements d’adéquation sont soumis aux règles de procédure «générales» prévues à l’article 182 de la DPA 2018. Dans le cadre de cette procédure, le secrétaire d’État doit consulter le commissaire à l’information lorsqu’il propose à l’adoption des règlements d’adéquation (73). Une fois adoptés par le secrétaire d’État, ces règlements sont présentés au Parlement et sont soumis à la procédure de «résolution négative» dans le cadre de laquelle les deux chambres du Parlement peuvent examiner les règlements et déposer une motion en vue de leur annulation dans un délai de 40 jours (74).

73

74

| (78) | Conformément à l’article 17B, paragraphe 1, de la DPA 2018, les règlements d’adéquation doivent être réexaminés au moins tous les quatre ans et le secrétaire d’État doit suivre, de manière permanente, les évolutions dans les pays tiers et au sein des organisations internationales qui pourraient affecter les décisions d’adopter, de modifier ou d’abroger ces règlements. Lorsque le secrétaire d’État constate qu’une organisation ou un pays donné n’assure plus un niveau de protection adéquat des données à caractère personnel, il doit, dans la mesure nécessaire, modifier ou abroger les règlements et engager des consultations avec l’organisation internationale ou le pays tiers concerné afin de remédier à l’insuffisance du niveau de protection. Ces aspects de la procédure reflètent également les exigences correspondantes du règlement (UE) 2016/679. |
| --- | --- |

(78)

Conformément à l’article 17B, paragraphe 1, de la DPA 2018, les règlements d’adéquation doivent être réexaminés au moins tous les quatre ans et le secrétaire d’État doit suivre, de manière permanente, les évolutions dans les pays tiers et au sein des organisations internationales qui pourraient affecter les décisions d’adopter, de modifier ou d’abroger ces règlements. Lorsque le secrétaire d’État constate qu’une organisation ou un pays donné n’assure plus un niveau de protection adéquat des données à caractère personnel, il doit, dans la mesure nécessaire, modifier ou abroger les règlements et engager des consultations avec l’organisation internationale ou le pays tiers concerné afin de remédier à l’insuffisance du niveau de protection. Ces aspects de la procédure reflètent également les exigences correspondantes du règlement (UE) 2016/679.

| (79) | En l’absence de règlement d’adéquation, les transferts internationaux peuvent avoir lieu lorsque le responsable du traitement ou le sous-traitant a prévu des garanties appropriées conformément à l’article 46 du RGPD britannique. Ces garanties sont semblables à celles visées à l’article 46 du règlement (UE) 2016/679. Elles comprennent des instruments juridiquement contraignants et exécutoires entre les autorités ou organismes publics, des règles d’entreprise contraignantes (75), des clauses types de protection des données, des codes de conduite approuvés, des mécanismes de certification approuvés et, sous réserve de l’autorisation du commissaire à l’information, des clauses contractuelles entre les responsables du traitement (ou les sous-traitants) ou des arrangements administratifs entre les autorités publiques. Toutefois, les règles ont été modifiées, du point de vue de la procédure, pour fonctionner dans le cadre du Royaume-Uni. En particulier, les clauses types de protection des données peuvent être adoptées par le secrétaire d’État (article 17C) ou le commissaire à l’information (article 119A), conformément à la DPA 2018. |
| --- | --- |

(79)

En l’absence de règlement d’adéquation, les transferts internationaux peuvent avoir lieu lorsque le responsable du traitement ou le sous-traitant a prévu des garanties appropriées conformément à l’article 46 du RGPD britannique. Ces garanties sont semblables à celles visées à l’article 46 du règlement (UE) 2016/679. Elles comprennent des instruments juridiquement contraignants et exécutoires entre les autorités ou organismes publics, des règles d’entreprise contraignantes (75), des clauses types de protection des données, des codes de conduite approuvés, des mécanismes de certification approuvés et, sous réserve de l’autorisation du commissaire à l’information, des clauses contractuelles entre les responsables du traitement (ou les sous-traitants) ou des arrangements administratifs entre les autorités publiques. Toutefois, les règles ont été modifiées, du point de vue de la procédure, pour fonctionner dans le cadre du Royaume-Uni. En particulier, les clauses types de protection des données peuvent être adoptées par le secrétaire d’État (article 17C) ou le commissaire à l’information (article 119A), conformément à la DPA 2018.

75

| (80) | En l’absence d’une décision d’adéquation ou de garanties appropriées, un transfert ne peut avoir lieu que sur la base des dérogations énoncées à l’article 49 du RGPD britannique (76). Le RGPD britannique n’apporte aucune modification de fond aux dérogations par rapport aux règles correspondantes du règlement (UE) 2016/679. En vertu du RGPD britannique comme en vertu du règlement (UE) 2016/679, il n’est possible de recourir à certaines dérogations que si le transfert revêt un caractère occasionnel (77). En outre, dans ses orientations sur les transferts internationaux, l’ICO précise ce qui suit: «Il convient de ne les appliquer qu’en tant que véritables “exceptions” à la règle générale selon laquelle vous ne devez pas procéder à un transfert restreint, sauf si celui-ci est couvert par une décision d’adéquation ou si des garanties appropriées sont en place» (78). En ce qui concerne les transferts nécessaires pour des motifs importants d’intérêt public [article 49, paragraphe 1, point d)], le secrétaire d’État peut adopter des règlements afin de préciser les circonstances dans lesquelles un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale n’est pas nécessaire pour des motifs importants d’intérêt public. En outre, le secrétaire d’État peut, par voie de règlements, restreindre le transfert d’une catégorie de données à caractère personnel vers un pays tiers ou à une organisation internationale lorsque celui-ci ne peut avoir lieu sur le fondement de règlements d’adéquation et lorsque le secrétaire d’État considère que cette limitation est nécessaire pour des motifs importants d’intérêt public. Aucun règlement de ce type n’a été adopté à ce jour. |
| --- | --- |

(80)

En l’absence d’une décision d’adéquation ou de garanties appropriées, un transfert ne peut avoir lieu que sur la base des dérogations énoncées à l’article 49 du RGPD britannique (76). Le RGPD britannique n’apporte aucune modification de fond aux dérogations par rapport aux règles correspondantes du règlement (UE) 2016/679. En vertu du RGPD britannique comme en vertu du règlement (UE) 2016/679, il n’est possible de recourir à certaines dérogations que si le transfert revêt un caractère occasionnel (77). En outre, dans ses orientations sur les transferts internationaux, l’ICO précise ce qui suit: «Il convient de ne les appliquer qu’en tant que véritables “exceptions” à la règle générale selon laquelle vous ne devez pas procéder à un transfert restreint, sauf si celui-ci est couvert par une décision d’adéquation ou si des garanties appropriées sont en place» (78). En ce qui concerne les transferts nécessaires pour des motifs importants d’intérêt public [article 49, paragraphe 1, point d)], le secrétaire d’État peut adopter des règlements afin de préciser les circonstances dans lesquelles un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale n’est pas nécessaire pour des motifs importants d’intérêt public. En outre, le secrétaire d’État peut, par voie de règlements, restreindre le transfert d’une catégorie de données à caractère personnel vers un pays tiers ou à une organisation internationale lorsque celui-ci ne peut avoir lieu sur le fondement de règlements d’adéquation et lorsque le secrétaire d’État considère que cette limitation est nécessaire pour des motifs importants d’intérêt public. Aucun règlement de ce type n’a été adopté à ce jour.

76

77

78

| (81) | Ce cadre relatif aux transferts internationaux est devenu applicable à la fin de la période de transition (79). Cependant, l’annexe 21, point 4, de la DPA 2018 (introduite par la réglementation DPPEC) prévoit qu’à partir de la fin de la période de transition, certains transferts de données à caractère personnel sont traités comme s’ils étaient fondés sur des règlements d’adéquation. Sont compris les transferts vers un État de l’EEE, le territoire de Gibraltar, une institution, un organe ou un organisme de l’Union créé par le traité UE ou en vertu de celui-ci, et les pays tiers qui faisaient l’objet d’une décision d’adéquation de l’Union à la fin de la période de transition. En conséquence, les transferts vers ces pays peuvent se poursuivre dans les mêmes conditions que celles en vigueur avant le retrait du Royaume-Uni de l’Union européenne. Après la fin de la période de transition, le secrétaire d’État doit procéder à un examen des présentes conclusions sur l’adéquation au cours d’une période de quatre ans, à savoir d’ici la fin du mois de décembre 2024. Selon les explications fournies par les autorités britanniques, bien que le secrétaire d’État doive procéder à cet examen avant fin décembre 2024, les dispositions transitoires n’incluent pas de disposition de «caducité» et les dispositions transitoires pertinentes ne cesseront pas automatiquement de produire leurs effets si l’examen n’est pas terminé d’ici la fin du mois de décembre 2024. |
| --- | --- |

(81)

Ce cadre relatif aux transferts internationaux est devenu applicable à la fin de la période de transition (79). Cependant, l’annexe 21, point 4, de la DPA 2018 (introduite par la réglementation DPPEC) prévoit qu’à partir de la fin de la période de transition, certains transferts de données à caractère personnel sont traités comme s’ils étaient fondés sur des règlements d’adéquation. Sont compris les transferts vers un État de l’EEE, le territoire de Gibraltar, une institution, un organe ou un organisme de l’Union créé par le traité UE ou en vertu de celui-ci, et les pays tiers qui faisaient l’objet d’une décision d’adéquation de l’Union à la fin de la période de transition. En conséquence, les transferts vers ces pays peuvent se poursuivre dans les mêmes conditions que celles en vigueur avant le retrait du Royaume-Uni de l’Union européenne. Après la fin de la période de transition, le secrétaire d’État doit procéder à un examen des présentes conclusions sur l’adéquation au cours d’une période de quatre ans, à savoir d’ici la fin du mois de décembre 2024. Selon les explications fournies par les autorités britanniques, bien que le secrétaire d’État doive procéder à cet examen avant fin décembre 2024, les dispositions transitoires n’incluent pas de disposition de «caducité» et les dispositions transitoires pertinentes ne cesseront pas automatiquement de produire leurs effets si l’examen n’est pas terminé d’ici la fin du mois de décembre 2024.

79

| (82) | Enfin, en ce qui concerne l’évolution future du régime des transferts internationaux du Royaume-Uni — par l’adoption de nouveaux règlements d’adéquation, la conclusion d’accords internationaux ou l’élaboration d’autres mécanismes de transfert — la Commission suivra de près la situation, évaluera si les différents mécanismes de transfert sont utilisés de manière à garantir la continuité de la protection et, le cas échéant, prendra les mesures appropriées pour remédier aux éventuels effets négatifs de cette continuité (voir considérants 278 à 287). Étant donné que l’Union et le Royaume-Uni partagent des règles similaires en matière de transferts internationaux, on s’attend à ce que les divergences problématiques soient également évitées par la coopération, l’échange d’informations et le partage d’expériences, y compris entre l’ICO et le comité européen de la protection des données. |
| --- | --- |

(82)

Enfin, en ce qui concerne l’évolution future du régime des transferts internationaux du Royaume-Uni — par l’adoption de nouveaux règlements d’adéquation, la conclusion d’accords internationaux ou l’élaboration d’autres mécanismes de transfert — la Commission suivra de près la situation, évaluera si les différents mécanismes de transfert sont utilisés de manière à garantir la continuité de la protection et, le cas échéant, prendra les mesures appropriées pour remédier aux éventuels effets négatifs de cette continuité (voir considérants 278 à 287). Étant donné que l’Union et le Royaume-Uni partagent des règles similaires en matière de transferts internationaux, on s’attend à ce que les divergences problématiques soient également évitées par la coopération, l’échange d’informations et le partage d’expériences, y compris entre l’ICO et le comité européen de la protection des données.

2.5.8.   Responsabilité

Responsabilité

| (83) | Selon le principe de responsabilité, les entités traitant des données sont tenues de mettre en place les mesures techniques et organisationnelles appropriées pour s’acquitter effectivement de leurs obligations en matière de protection des données et doivent être en mesure de démontrer le respect de ces obligations, en particulier à l’autorité de contrôle compétente. |
| --- | --- |

(83)

Selon le principe de responsabilité, les entités traitant des données sont tenues de mettre en place les mesures techniques et organisationnelles appropriées pour s’acquitter effectivement de leurs obligations en matière de protection des données et doivent être en mesure de démontrer le respect de ces obligations, en particulier à l’autorité de contrôle compétente.

| (84) | Le principe de responsabilité établi dans le règlement (UE) 2016/679 a été conservé à l’article 5, paragraphe 2, du RGPD britannique sans modifications de fond. Il en va de même pour l’article 24 relatif à la responsabilité du responsable du traitement, pour l’article 25 relatif à la protection des données dès la conception et par défaut et pour l’article 30 relatif aux registres des activités de traitement. Les articles 35 et 36 relatifs à l’analyse d’impact relative à la protection des données et à la consultation préalable de l’autorité de contrôle ont également été conservés. Les articles 37 à 39 du règlement (UE) relatifs à la désignation et aux missions du délégué à la protection des données ont été conservés dans le RGPD britannique sans modifications de fond. Par ailleurs, les dispositions des articles 40 et 42 du règlement (UE) 2016/679 relatives aux codes de conduite et à la certification ont été conservées dans le RGPD britannique (80). |
| --- | --- |

(84)

Le principe de responsabilité établi dans le règlement (UE) 2016/679 a été conservé à l’article 5, paragraphe 2, du RGPD britannique sans modifications de fond. Il en va de même pour l’article 24 relatif à la responsabilité du responsable du traitement, pour l’article 25 relatif à la protection des données dès la conception et par défaut et pour l’article 30 relatif aux registres des activités de traitement. Les articles 35 et 36 relatifs à l’analyse d’impact relative à la protection des données et à la consultation préalable de l’autorité de contrôle ont également été conservés. Les articles 37 à 39 du règlement (UE) relatifs à la désignation et aux missions du délégué à la protection des données ont été conservés dans le RGPD britannique sans modifications de fond. Par ailleurs, les dispositions des articles 40 et 42 du règlement (UE) 2016/679 relatives aux codes de conduite et à la certification ont été conservées dans le RGPD britannique (80).

80

2.6.   Surveillance et contrôle de l’application des règles

Surveillance et contrôle de l’application des règles

2.6.1.   Surveillance indépendante

Surveillance indépendante

| (85) | Pour garantir un niveau adéquat de protection des données dans la pratique, il convient de mettre en place une autorité de contrôle indépendante chargée de surveiller l’application des règles en matière de protection des données et de les faire respecter. Cette autorité devrait agir en toute indépendance et en toute impartialité dans l’exercice de ses fonctions et compétences. |
| --- | --- |

(85)

Pour garantir un niveau adéquat de protection des données dans la pratique, il convient de mettre en place une autorité de contrôle indépendante chargée de surveiller l’application des règles en matière de protection des données et de les faire respecter. Cette autorité devrait agir en toute indépendance et en toute impartialité dans l’exercice de ses fonctions et compétences.

| (86) | Au Royaume-Uni, l’autorité chargée de surveiller l’application du RGPD britannique et de la DPA 2018 et de les faire respecter est le commissaire à l’information. Le commissaire à l’information est une «personne morale individuelle»: une entité juridique distincte constituée en une seule personne. Le commissaire à l’information est soutenu dans ses fonctions par un bureau. Le 31 mars 2020, le personnel permanent du Bureau du commissaire à l’information comptait 768 membres (81). Le ministère parrain du commissaire à l’information est le ministère du numérique, de la culture, des médias et du sport (82). |
| --- | --- |

(86)

Au Royaume-Uni, l’autorité chargée de surveiller l’application du RGPD britannique et de la DPA 2018 et de les faire respecter est le commissaire à l’information. Le commissaire à l’information est une «personne morale individuelle»: une entité juridique distincte constituée en une seule personne. Le commissaire à l’information est soutenu dans ses fonctions par un bureau. Le 31 mars 2020, le personnel permanent du Bureau du commissaire à l’information comptait 768 membres (81). Le ministère parrain du commissaire à l’information est le ministère du numérique, de la culture, des médias et du sport (82).

81

82

| (87) | L’indépendance du commissaire à l’information est expressément établie à l’article 52 du RGPD britannique, lequel n’apporte aucune modification de fond à l’article 52, paragraphes 1 à 3, du RGPD. Conformément au RGPD britannique, le commissaire doit agir en toute indépendance dans l’exercice de ses missions et de ses pouvoirs, demeurer libre de toute influence extérieure, qu’elle soit directe ou indirecte, en lien avec ces missions et ses pouvoirs, et ne solliciter ni n’accepter d’instructions de quiconque. Le commissaire doit également s’abstenir de tout acte incompatible avec ses fonctions et, pendant la durée de son mandat, n’exercer aucune activité professionnelle incompatible, rémunérée ou non. |
| --- | --- |

(87)

L’indépendance du commissaire à l’information est expressément établie à l’article 52 du RGPD britannique, lequel n’apporte aucune modification de fond à l’article 52, paragraphes 1 à 3, du RGPD. Conformément au RGPD britannique, le commissaire doit agir en toute indépendance dans l’exercice de ses missions et de ses pouvoirs, demeurer libre de toute influence extérieure, qu’elle soit directe ou indirecte, en lien avec ces missions et ses pouvoirs, et ne solliciter ni n’accepter d’instructions de quiconque. Le commissaire doit également s’abstenir de tout acte incompatible avec ses fonctions et, pendant la durée de son mandat, n’exercer aucune activité professionnelle incompatible, rémunérée ou non.

| (88) | Les conditions relatives à la nomination et à la révocation du commissaire à l’information sont énoncées à l’annexe 12 de la DPA 2018. Le commissaire à l’information est nommé par Sa Majesté sur recommandation du gouvernement, dans le respect d’une concurrence loyale et ouverte. Le candidat doit justifier des qualifications et des compétences appropriées. Conformément au code de gouvernance pour les nominations publiques (83), un panel d’évaluation consultatif dresse une liste des candidats retenus. Avant que le secrétaire d’État au numérique, à la culture, aux médias et au sport ne rende sa décision finale, la commission spéciale compétente du Parlement doit procéder à un examen préalable minutieux. L’avis de la commission est ensuite rendu public (84). |
| --- | --- |

(88)

Les conditions relatives à la nomination et à la révocation du commissaire à l’information sont énoncées à l’annexe 12 de la DPA 2018. Le commissaire à l’information est nommé par Sa Majesté sur recommandation du gouvernement, dans le respect d’une concurrence loyale et ouverte. Le candidat doit justifier des qualifications et des compétences appropriées. Conformément au code de gouvernance pour les nominations publiques (83), un panel d’évaluation consultatif dresse une liste des candidats retenus. Avant que le secrétaire d’État au numérique, à la culture, aux médias et au sport ne rende sa décision finale, la commission spéciale compétente du Parlement doit procéder à un examen préalable minutieux. L’avis de la commission est ensuite rendu public (84).

83

84

| (89) | Le commissaire à l’information exerce ses fonctions pour un mandat d’une durée maximale de sept ans. Une personne ne peut être nommée qu’une seule fois à ce poste. Le commissaire à l’information peut être démis de ses fonctions par Sa Majesté à la suite d’une intervention des deux chambres du Parlement (85). Une demande de révocation du commissaire à l’information ne peut être présentée devant l’une des deux chambres du Parlement, sauf si un ministre de la Couronne a soumis un rapport indiquant que le commissaire à l’information a commis une faute grave et/ou qu’il ne remplit plus les conditions requises pour exercer les fonctions de commissaire (86). |
| --- | --- |

(89)

Le commissaire à l’information exerce ses fonctions pour un mandat d’une durée maximale de sept ans. Une personne ne peut être nommée qu’une seule fois à ce poste. Le commissaire à l’information peut être démis de ses fonctions par Sa Majesté à la suite d’une intervention des deux chambres du Parlement (85). Une demande de révocation du commissaire à l’information ne peut être présentée devant l’une des deux chambres du Parlement, sauf si un ministre de la Couronne a soumis un rapport indiquant que le commissaire à l’information a commis une faute grave et/ou qu’il ne remplit plus les conditions requises pour exercer les fonctions de commissaire (86).

85

86

| (90) | Le financement du commissaire à l’information provient de trois sources: i) les redevances pour la protection des données payées par les responsables du traitement, qui sont fixées par la réglementation du secrétaire d’État (87) [réglementation de 2018 sur la protection des données (redevances et informations)] et qui représentent entre 85 % et 90 % du budget annuel du bureau (88); ii) la subvention versée par le gouvernement au commissaire à l’information. Cette subvention sert principalement à financer les frais de fonctionnement du commissaire à l’information en ce qui concerne ses missions non liées à la protection des données (89); et iii) les frais facturés pour la prestation de services (90). À l’heure actuelle, de tels frais n’ont pas été facturés. |
| --- | --- |

(90)

Le financement du commissaire à l’information provient de trois sources: i) les redevances pour la protection des données payées par les responsables du traitement, qui sont fixées par la réglementation du secrétaire d’État (87) [réglementation de 2018 sur la protection des données (redevances et informations)] et qui représentent entre 85 % et 90 % du budget annuel du bureau (88); ii) la subvention versée par le gouvernement au commissaire à l’information. Cette subvention sert principalement à financer les frais de fonctionnement du commissaire à l’information en ce qui concerne ses missions non liées à la protection des données (89); et iii) les frais facturés pour la prestation de services (90). À l’heure actuelle, de tels frais n’ont pas été facturés.

87

88

89

90

| (91) | Les fonctions générales du commissaire à l’information relatives au traitement de données à caractère personnel auquel s’applique le RGPD britannique sont définies à son article 57 et reflètent étroitement les règles correspondantes du règlement (UE) 2016/679. Ses fonctions consistent entre autres à contrôler l’application du RGPD britannique et à veiller au respect de celui-ci, à favoriser la sensibilisation du public, à traiter les réclamations introduites par les personnes concernées, à effectuer des enquêtes, etc. En outre, l’article 115 de la DPA 2018 décrit d’autres fonctions générales du commissaire, parmi lesquelles figurent le devoir de conseiller le Parlement, le gouvernement et d’autres institutions et organes sur les mesures législatives et administratives relatives à la protection des droits et libertés des personnes à l’égard du traitement des données à caractère personnel les concernant, et le pouvoir d’émettre, de sa propre initiative ou sur demande, des avis à l’attention du Parlement, du gouvernement ou d’autres institutions et organismes ainsi que du public, sur toute question relative à la protection des données à caractère personnel. Afin de préserver l’indépendance du pouvoir judiciaire, le commissaire à l’information n’est pas autorisé à exercer ses fonctions dans le cadre du traitement de données à caractère personnel par une personne ou une juridiction agissant dans l’exercice de la fonction juridictionnelle. Toutefois, la surveillance du pouvoir judiciaire est assurée par des organes spécialisés (voir les considérants 99 à 103). |
| --- | --- |

(91)

Les fonctions générales du commissaire à l’information relatives au traitement de données à caractère personnel auquel s’applique le RGPD britannique sont définies à son article 57 et reflètent étroitement les règles correspondantes du règlement (UE) 2016/679. Ses fonctions consistent entre autres à contrôler l’application du RGPD britannique et à veiller au respect de celui-ci, à favoriser la sensibilisation du public, à traiter les réclamations introduites par les personnes concernées, à effectuer des enquêtes, etc. En outre, l’article 115 de la DPA 2018 décrit d’autres fonctions générales du commissaire, parmi lesquelles figurent le devoir de conseiller le Parlement, le gouvernement et d’autres institutions et organes sur les mesures législatives et administratives relatives à la protection des droits et libertés des personnes à l’égard du traitement des données à caractère personnel les concernant, et le pouvoir d’émettre, de sa propre initiative ou sur demande, des avis à l’attention du Parlement, du gouvernement ou d’autres institutions et organismes ainsi que du public, sur toute question relative à la protection des données à caractère personnel. Afin de préserver l’indépendance du pouvoir judiciaire, le commissaire à l’information n’est pas autorisé à exercer ses fonctions dans le cadre du traitement de données à caractère personnel par une personne ou une juridiction agissant dans l’exercice de la fonction juridictionnelle. Toutefois, la surveillance du pouvoir judiciaire est assurée par des organes spécialisés (voir les considérants 99 à 103).

2.6.2.   Contrôle de l’application des règles, y compris les sanctions

Contrôle de l’application des règles, y compris les sanctions

| (92) | Les pouvoirs du commissaire à l’information sont décrits à l’article 58 du RGPD britannique, qui n’apporte aucune modification de fond à l’article correspondant du règlement (UE) 2016/679. La DPA 2018 fixe des règles complémentaires concernant les modalités d’exercice de ces pouvoirs. Le commissaire dispose notamment des pouvoirs suivants: a) ordonner au responsable du traitement et au sous-traitant (et dans certains cas à toute autre personne) de lui communiquer les informations nécessaires en délivrant un avis d’information (ci-après «avis d’information») (91); b) mener des enquêtes et réaliser des audits en émettant un avis d’évaluation, qui peut obliger le responsable du traitement ou le sous-traitant à autoriser le commissaire à pénétrer dans des locaux spécifiques, à inspecter ou à examiner des documents ou des équipements, à interroger les personnes chargées du traitement des données à caractère personnel pour le compte du responsable du traitement, etc. (ci-après «avis d’évaluation») (92); c) obtenir de toute autre manière l’accès aux documents, etc., des responsables du traitement et des sous-traitants, ainsi que l’accès à leurs locaux, conformément à l’article 154 de la DPA 2018 («pouvoirs d’accès et d’inspection»); d) exercer le pouvoir d’adopter des mesures correctrices, notamment au moyen d’avertissements et de rappels à l’ordre, ou ordonner au responsable du traitement/sous-traitant, par voie d’avis d’exécution, de prendre ou de s’abstenir de prendre des mesures spécifiques, notamment lui ordonner d’accomplir toute action visée à l’article 58, paragraphe 2), points c) à g) et j), du RGPD britannique (ci-après «avis d’exécution») (93); e) et infliger des amendes administratives sous la forme d’un avis de sanction (ci-après «avis de sanction») (94). Ce dernier peut également être délivré dans le cas où une autorité publique n’a pas respecté les dispositions du RGPD britannique (95). |
| --- | --- |

(92)

Les pouvoirs du commissaire à l’information sont décrits à l’article 58 du RGPD britannique, qui n’apporte aucune modification de fond à l’article correspondant du règlement (UE) 2016/679. La DPA 2018 fixe des règles complémentaires concernant les modalités d’exercice de ces pouvoirs. Le commissaire dispose notamment des pouvoirs suivants: a) ordonner au responsable du traitement et au sous-traitant (et dans certains cas à toute autre personne) de lui communiquer les informations nécessaires en délivrant un avis d’information (ci-après «avis d’information») (91); b) mener des enquêtes et réaliser des audits en émettant un avis d’évaluation, qui peut obliger le responsable du traitement ou le sous-traitant à autoriser le commissaire à pénétrer dans des locaux spécifiques, à inspecter ou à examiner des documents ou des équipements, à interroger les personnes chargées du traitement des données à caractère personnel pour le compte du responsable du traitement, etc. (ci-après «avis d’évaluation») (92); c) obtenir de toute autre manière l’accès aux documents, etc., des responsables du traitement et des sous-traitants, ainsi que l’accès à leurs locaux, conformément à l’article 154 de la DPA 2018 («pouvoirs d’accès et d’inspection»); d) exercer le pouvoir d’adopter des mesures correctrices, notamment au moyen d’avertissements et de rappels à l’ordre, ou ordonner au responsable du traitement/sous-traitant, par voie d’avis d’exécution, de prendre ou de s’abstenir de prendre des mesures spécifiques, notamment lui ordonner d’accomplir toute action visée à l’article 58, paragraphe 2), points c) à g) et j), du RGPD britannique (ci-après «avis d’exécution») (93); e) et infliger des amendes administratives sous la forme d’un avis de sanction (ci-après «avis de sanction») (94). Ce dernier peut également être délivré dans le cas où une autorité publique n’a pas respecté les dispositions du RGPD britannique (95).

91

92

93

94

95

| (93) | La politique d’action réglementaire de l’ICO décrit les circonstances dans lesquelles il émettra un avis d’information, d’évaluation, d’exécution ou de sanction (96). Un avis d’exécution délivré à la suite d’un manquement d’un responsable du traitement ou d’un sous-traitant peut uniquement imposer les exigences que le commissaire juge appropriées afin de remédier au manquement. Des avis d’exécution et de sanction peuvent être délivrés à un responsable du traitement ou à un sous-traitant dans le cas des violations visées au chapitre II (principes relatifs au traitement), aux articles 12 à 22 (droits de la personne concernée), aux articles 25 à 39 (obligations qui incombent aux responsables du traitement et aux sous-traitants) et aux articles 44 à 49 (transferts internationaux) du RGPD britannique. Un avis d’exécution peut également être délivré à un responsable du traitement qui n’a pas respecté l’obligation de payer la redevance fixée par les règlements adoptés en vertu de l’article 137 de la DPA 2018. En outre, un organisme chargé du suivi au titre de l’article 41 ou un prestataire de services de certification peut se voir délivrer un avis d’exécution s’il n’a pas respecté les obligations découlant du RGPD britannique. Un avis de sanction peut également être délivré à une personne qui ne s’est pas conformée à un avis d’information, à un avis d’évaluation ou à un avis d’exécution. |
| --- | --- |

(93)

La politique d’action réglementaire de l’ICO décrit les circonstances dans lesquelles il émettra un avis d’information, d’évaluation, d’exécution ou de sanction (96). Un avis d’exécution délivré à la suite d’un manquement d’un responsable du traitement ou d’un sous-traitant peut uniquement imposer les exigences que le commissaire juge appropriées afin de remédier au manquement. Des avis d’exécution et de sanction peuvent être délivrés à un responsable du traitement ou à un sous-traitant dans le cas des violations visées au chapitre II (principes relatifs au traitement), aux articles 12 à 22 (droits de la personne concernée), aux articles 25 à 39 (obligations qui incombent aux responsables du traitement et aux sous-traitants) et aux articles 44 à 49 (transferts internationaux) du RGPD britannique. Un avis d’exécution peut également être délivré à un responsable du traitement qui n’a pas respecté l’obligation de payer la redevance fixée par les règlements adoptés en vertu de l’article 137 de la DPA 2018. En outre, un organisme chargé du suivi au titre de l’article 41 ou un prestataire de services de certification peut se voir délivrer un avis d’exécution s’il n’a pas respecté les obligations découlant du RGPD britannique. Un avis de sanction peut également être délivré à une personne qui ne s’est pas conformée à un avis d’information, à un avis d’évaluation ou à un avis d’exécution.

96

| (94) | L’avis de sanction oblige la personne à s’acquitter auprès du commissaire à l’information du montant indiqué dans l’avis. Pour décider s’il y a lieu de délivrer un avis de sanction à une personne et pour déterminer le montant de la sanction, le commissaire à l’information doit tenir compte des éléments énumérés à l’article 83, paragraphes 1 et 2, du RGPD britannique, lesquels sont identiques aux règles correspondantes du règlement (UE) 2016/679 (97). Conformément à l’article 83, paragraphes 4 et 5, le montant maximal des amendes administratives en cas de manquement aux obligations visées dans ces dispositions est respectivement de 8 700 000 GBP ou de 17 500 000 GBP. Dans le cas d’une entreprise, le commissaire à l’information peut également infliger des amendes correspondant à un pourcentage du chiffre d’affaires annuel mondial, si le montant est plus élevé. Comme dans les dispositions équivalentes du règlement (UE) 2016/679, ces montants sont fixés respectivement à 2 % et 4 % dans l’article 83, paragraphes 4 et 5. En cas de non-respect d’un avis d’information, d’un avis d’évaluation ou d’un avis d’exécution, le montant maximal de la sanction qui peut être imposée par voie d’avis de sanction s’élève à 17 500 000 GBP ou, dans le cas d’une entreprise, à 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. |
| --- | --- |

(94)

L’avis de sanction oblige la personne à s’acquitter auprès du commissaire à l’information du montant indiqué dans l’avis. Pour décider s’il y a lieu de délivrer un avis de sanction à une personne et pour déterminer le montant de la sanction, le commissaire à l’information doit tenir compte des éléments énumérés à l’article 83, paragraphes 1 et 2, du RGPD britannique, lesquels sont identiques aux règles correspondantes du règlement (UE) 2016/679 (97). Conformément à l’article 83, paragraphes 4 et 5, le montant maximal des amendes administratives en cas de manquement aux obligations visées dans ces dispositions est respectivement de 8 700 000 GBP ou de 17 500 000 GBP. Dans le cas d’une entreprise, le commissaire à l’information peut également infliger des amendes correspondant à un pourcentage du chiffre d’affaires annuel mondial, si le montant est plus élevé. Comme dans les dispositions équivalentes du règlement (UE) 2016/679, ces montants sont fixés respectivement à 2 % et 4 % dans l’article 83, paragraphes 4 et 5. En cas de non-respect d’un avis d’information, d’un avis d’évaluation ou d’un avis d’exécution, le montant maximal de la sanction qui peut être imposée par voie d’avis de sanction s’élève à 17 500 000 GBP ou, dans le cas d’une entreprise, à 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

97

| (95) | Le RGPD britannique, de même que la DPA 2018, a également renforcé d’autres pouvoirs du commissaire à l’information. Par exemple, le commissaire peut désormais procéder à des audits obligatoires auprès de l’ensemble des responsables du traitement et des sous-traitants au moyen des avis d’évaluation, tandis que, en vertu de la législation précédente, la loi de 1998 sur la protection des données, il ne disposait de ce pouvoir qu’à l’égard des autorités centrales et des organisations de santé, les autres entités et personnes devant accepter de se soumettre à un audit. |
| --- | --- |

(95)

Le RGPD britannique, de même que la DPA 2018, a également renforcé d’autres pouvoirs du commissaire à l’information. Par exemple, le commissaire peut désormais procéder à des audits obligatoires auprès de l’ensemble des responsables du traitement et des sous-traitants au moyen des avis d’évaluation, tandis que, en vertu de la législation précédente, la loi de 1998 sur la protection des données, il ne disposait de ce pouvoir qu’à l’égard des autorités centrales et des organisations de santé, les autres entités et personnes devant accepter de se soumettre à un audit.

| (96) | Depuis l’introduction du règlement (UE) 2016/679, l’ICO traite environ 40 000 réclamations de personnes concernées par an (98) et, en outre, mène environ 2 000 enquêtes d’office (99). La majorité des réclamations sont liées aux droits d’accès aux données et à la communication des données. À l’issue de ses enquêtes, le commissaire prend des mesures répressives dans un large éventail de secteurs. Plus précisément, selon le dernier rapport annuel (2019-2020) du commissaire à l’information (100), le commissaire a émis 54 avis d’information, 8 avis d’évaluation, 7 avis d’exécution et 4 avertissements, a entamé 8 poursuites et a infligé 15 amendes au cours de la période de référence (101). |
| --- | --- |

(96)

Depuis l’introduction du règlement (UE) 2016/679, l’ICO traite environ 40 000 réclamations de personnes concernées par an (98) et, en outre, mène environ 2 000 enquêtes d’office (99). La majorité des réclamations sont liées aux droits d’accès aux données et à la communication des données. À l’issue de ses enquêtes, le commissaire prend des mesures répressives dans un large éventail de secteurs. Plus précisément, selon le dernier rapport annuel (2019-2020) du commissaire à l’information (100), le commissaire a émis 54 avis d’information, 8 avis d’évaluation, 7 avis d’exécution et 4 avertissements, a entamé 8 poursuites et a infligé 15 amendes au cours de la période de référence (101).

98

99

100

101

| (97) | Ces mesures comprennent plusieurs sanctions pécuniaires importantes imposées en vertu du règlement (UE) 2016/679 et de la DPA 2018. Le commissaire à l’information a notamment infligé, en octobre 2020, une amende de 20 millions de livres sterling à une compagnie aérienne britannique pour une violation de données concernant plus de 400 000 clients. À la fin du mois d'octobre 2020, une chaîne d’hôtel internationale s’est vu infliger une amende de 18,4 millions de livres sterling pour n’avoir pas veillé à la protection des données à caractère personnel de millions de clients et, en novembre 2020, un fournisseur de services britannique vendant des billets pour des manifestations en ligne a été condamné à verser une amende de 1,25 million de livres sterling pour n’avoir pas protégé les coordonnées bancaires de ses clients (102). |
| --- | --- |

(97)

Ces mesures comprennent plusieurs sanctions pécuniaires importantes imposées en vertu du règlement (UE) 2016/679 et de la DPA 2018. Le commissaire à l’information a notamment infligé, en octobre 2020, une amende de 20 millions de livres sterling à une compagnie aérienne britannique pour une violation de données concernant plus de 400 000 clients. À la fin du mois d'octobre 2020, une chaîne d’hôtel internationale s’est vu infliger une amende de 18,4 millions de livres sterling pour n’avoir pas veillé à la protection des données à caractère personnel de millions de clients et, en novembre 2020, un fournisseur de services britannique vendant des billets pour des manifestations en ligne a été condamné à verser une amende de 1,25 million de livres sterling pour n’avoir pas protégé les coordonnées bancaires de ses clients (102).

102

| (98) | Outre les pouvoirs d’application des règles du commissaire à l’information décrits au considérant 92, certaines violations de la législation en matière de protection des données constituent des infractions et peuvent par conséquent faire l’objet de sanctions pénales (article 196 de la DPA 2018). Ces infractions consistent, par exemple, à obtenir ou à divulguer sciemment ou imprudemment des données à caractère personnel sans le consentement du responsable du traitement, à obtenir la divulgation de données à caractère personnel à une autre personne sans le consentement du responsable du traitement (103), à réidentifier des informations qui constituent des données à caractère personnel anonymisées sans le consentement du responsable du traitement responsable de l’anonymisation de ces données (104), à empêcher, de manière intentionnelle, le commissaire d’exercer ses pouvoirs dans le cadre de l’inspection de données à caractère personnel conformément aux obligations internationales (105), à faire de fausses déclarations en réponse à un avis d’information, ou à détruire des informations en rapport avec des avis d’information et d’évaluation (106). |
| --- | --- |

(98)

Outre les pouvoirs d’application des règles du commissaire à l’information décrits au considérant 92, certaines violations de la législation en matière de protection des données constituent des infractions et peuvent par conséquent faire l’objet de sanctions pénales (article 196 de la DPA 2018). Ces infractions consistent, par exemple, à obtenir ou à divulguer sciemment ou imprudemment des données à caractère personnel sans le consentement du responsable du traitement, à obtenir la divulgation de données à caractère personnel à une autre personne sans le consentement du responsable du traitement (103), à réidentifier des informations qui constituent des données à caractère personnel anonymisées sans le consentement du responsable du traitement responsable de l’anonymisation de ces données (104), à empêcher, de manière intentionnelle, le commissaire d’exercer ses pouvoirs dans le cadre de l’inspection de données à caractère personnel conformément aux obligations internationales (105), à faire de fausses déclarations en réponse à un avis d’information, ou à détruire des informations en rapport avec des avis d’information et d’évaluation (106).

103

104

105

106

2.6.3.   Surveillance du pouvoir judiciaire

Surveillance du pouvoir judiciaire

| (99) | La surveillance du traitement des données à caractère personnel par les juridictions et les juges comporte deux dimensions. Lorsque le titulaire d’une fonction de juge ou une juridiction n’agit pas dans l’exercice de sa fonction juridictionnelle, la surveillance est assurée par l’ICO. Lorsque le responsable du traitement agit dans l’exercice de sa fonction juridictionnelle, l’ICO ne peut exercer ses fonctions de surveillance (107) et la surveillance est assurée par des organismes spéciaux. Cette approche correspond à celle adoptée dans le règlement (UE) 2016/679 (article 55, paragraphe 3). |
| --- | --- |

(99)

La surveillance du traitement des données à caractère personnel par les juridictions et les juges comporte deux dimensions. Lorsque le titulaire d’une fonction de juge ou une juridiction n’agit pas dans l’exercice de sa fonction juridictionnelle, la surveillance est assurée par l’ICO. Lorsque le responsable du traitement agit dans l’exercice de sa fonction juridictionnelle, l’ICO ne peut exercer ses fonctions de surveillance (107) et la surveillance est assurée par des organismes spéciaux. Cette approche correspond à celle adoptée dans le règlement (UE) 2016/679 (article 55, paragraphe 3).

107

| (100) | En particulier, dans le deuxième scénario, dans le cas des juridictions d’Angleterre et du pays de Galles et des tribunaux de première instance et supérieurs d’Angleterre et du pays de Galles, cette surveillance est assurée par le panel de protection des données judiciaires (108). En outre, le président de la Haute Cour et le Premier Président des tribunaux ont publié une déclaration de protection des données (109) qui définit les modalités de traitement des données à caractère personnel par les juridictions d’Angleterre et du pays de Galles dans le cadre de leur fonction juridictionnelle. Une déclaration similaire a été publiée par les autorités judiciaires d’Irlande du Nord (110) et d’Écosse (111). |
| --- | --- |

(100)

En particulier, dans le deuxième scénario, dans le cas des juridictions d’Angleterre et du pays de Galles et des tribunaux de première instance et supérieurs d’Angleterre et du pays de Galles, cette surveillance est assurée par le panel de protection des données judiciaires (108). En outre, le président de la Haute Cour et le Premier Président des tribunaux ont publié une déclaration de protection des données (109) qui définit les modalités de traitement des données à caractère personnel par les juridictions d’Angleterre et du pays de Galles dans le cadre de leur fonction juridictionnelle. Une déclaration similaire a été publiée par les autorités judiciaires d’Irlande du Nord (110) et d’Écosse (111).

108

109

110

111

| (101) | De plus, en Irlande du Nord, le président de la Haute Cour a nommé un juge de la Haute Cour en qualité de juge chargé de la surveillance des données (112). Il a également publié des orientations à l’intention des juges d’Irlande du Nord sur les mesures à prendre en cas de perte potentielle ou avérée de données et sur les modalités de gestion des problèmes qui en découlent (113). |
| --- | --- |

(101)

De plus, en Irlande du Nord, le président de la Haute Cour a nommé un juge de la Haute Cour en qualité de juge chargé de la surveillance des données (112). Il a également publié des orientations à l’intention des juges d’Irlande du Nord sur les mesures à prendre en cas de perte potentielle ou avérée de données et sur les modalités de gestion des problèmes qui en découlent (113).

112

113

| (102) | En Écosse, le Lord President (plus haut magistrat) a nommé un juge chargé de la surveillance des données pour enquêter sur toute réclamation fondée sur la protection des données. Ses fonctions sont décrites dans les règles relatives aux plaintes judiciaires qui correspondent à celles établies pour l’Angleterre et le pays de Galles (114). |
| --- | --- |

(102)

En Écosse, le Lord President (plus haut magistrat) a nommé un juge chargé de la surveillance des données pour enquêter sur toute réclamation fondée sur la protection des données. Ses fonctions sont décrites dans les règles relatives aux plaintes judiciaires qui correspondent à celles établies pour l’Angleterre et le pays de Galles (114).

Lord President

114

| (103) | Pour finir, à la Cour suprême, l’un des juges de la Cour suprême est nommé pour surveiller la protection des données. |
| --- | --- |

(103)

Pour finir, à la Cour suprême, l’un des juges de la Cour suprême est nommé pour surveiller la protection des données.

2.6.4.   Recours

Recours

| (104) | En vue d’une protection adéquate et, en particulier, du respect de ses droits individuels, la personne concernée doit disposer de possibilités de recours administratif et juridictionnel effectif, y compris d’indemnisation. |
| --- | --- |

(104)

En vue d’une protection adéquate et, en particulier, du respect de ses droits individuels, la personne concernée doit disposer de possibilités de recours administratif et juridictionnel effectif, y compris d’indemnisation.

| (105) | Premièrement, une personne concernée a le droit d’introduire une réclamation auprès du commissaire à l’information si elle considère qu’une violation du RGPD britannique a été commise en lien avec des données à caractère personnel la concernant (115). Le RGPD britannique conserve les règles prévues par l’article 77 du règlement (UE) 2016/679 relatives à ce droit, sans modifications de fond. Il en va de même pour les dispositions de l’article 57, paragraphe 1, point f), et de l’article 57, et paragraphe 2, qui décrivent les missions du commissaire dans le cadre du traitement des réclamations. Comme décrit aux considérants 92 à 98 ci-dessus, le commissaire à l’information a le pouvoir d’évaluer le respect du RGPD britannique et de la DPA 2018 par le responsable du traitement et le sous-traitant, de les obliger à prendre ou à s’abstenir de prendre les mesures nécessaires en cas de non-respect et d’infliger des amendes. |
| --- | --- |

(105)

Premièrement, une personne concernée a le droit d’introduire une réclamation auprès du commissaire à l’information si elle considère qu’une violation du RGPD britannique a été commise en lien avec des données à caractère personnel la concernant (115). Le RGPD britannique conserve les règles prévues par l’article 77 du règlement (UE) 2016/679 relatives à ce droit, sans modifications de fond. Il en va de même pour les dispositions de l’article 57, paragraphe 1, point f), et de l’article 57, et paragraphe 2, qui décrivent les missions du commissaire dans le cadre du traitement des réclamations. Comme décrit aux considérants 92 à 98 ci-dessus, le commissaire à l’information a le pouvoir d’évaluer le respect du RGPD britannique et de la DPA 2018 par le responsable du traitement et le sous-traitant, de les obliger à prendre ou à s’abstenir de prendre les mesures nécessaires en cas de non-respect et d’infliger des amendes.

115

| (106) | Deuxièmement, le RGPD britannique et la DPA 2018 prévoient le droit à un recours contre le commissaire à l’information. Conformément à l’article 78, paragraphe 1, du RGPD britannique, toute personne concernée a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante du commissaire qui la concerne. Dans le cadre du contrôle juridictionnel, le juge examine la décision contestée dans la réclamation et détermine si le commissaire à l’information a agi légalement ou non. En outre, conformément à l’article 78, paragraphe 2, du RGPD britannique, si le commissaire ne traite pas une réclamation introduite par la personne concernée de manière appropriée, (116) l’auteur de la réclamation a le droit de former un recours juridictionnel. Il peut demander au tribunal de première instance d’ordonner au commissaire de prendre les mesures appropriées pour donner suite à la réclamation ou de tenir l’auteur de la réclamation informé de son état d’avancement (117). En outre, toute personne qui reçoit l’un des avis susmentionnés (avis d’information, d’évaluation, d’exécution ou de sanction) délivré par le commissaire peut former un recours devant le tribunal de première instance (118). S’il considère que la décision du commissaire n’est pas conforme au droit ou que le commissaire à l’information aurait dû exercer son pouvoir discrétionnaire différemment, le tribunal doit faire droit au recours ou remplacer la décision du commissaire par un autre avis ou une autre décision que celui-ci aurait pu émettre ou prendre. |
| --- | --- |

(106)

Deuxièmement, le RGPD britannique et la DPA 2018 prévoient le droit à un recours contre le commissaire à l’information. Conformément à l’article 78, paragraphe 1, du RGPD britannique, toute personne concernée a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante du commissaire qui la concerne. Dans le cadre du contrôle juridictionnel, le juge examine la décision contestée dans la réclamation et détermine si le commissaire à l’information a agi légalement ou non. En outre, conformément à l’article 78, paragraphe 2, du RGPD britannique, si le commissaire ne traite pas une réclamation introduite par la personne concernée de manière appropriée, (116) l’auteur de la réclamation a le droit de former un recours juridictionnel. Il peut demander au tribunal de première instance d’ordonner au commissaire de prendre les mesures appropriées pour donner suite à la réclamation ou de tenir l’auteur de la réclamation informé de son état d’avancement (117). En outre, toute personne qui reçoit l’un des avis susmentionnés (avis d’information, d’évaluation, d’exécution ou de sanction) délivré par le commissaire peut former un recours devant le tribunal de première instance (118). S’il considère que la décision du commissaire n’est pas conforme au droit ou que le commissaire à l’information aurait dû exercer son pouvoir discrétionnaire différemment, le tribunal doit faire droit au recours ou remplacer la décision du commissaire par un autre avis ou une autre décision que celui-ci aurait pu émettre ou prendre.

116

117

118

| (107) | Troisièmement, les personnes concernées peuvent former un recours juridictionnel contre les responsables du traitement et les sous-traitants directement devant les tribunaux en vertu de l’article 79 du RGPD britannique et de l’article 167 de la DPA 2018. Si, dans le cas d’une demande introduite par une personne concernée, une juridiction constate une violation des droits qui sont conférés à la personne concernée par la législation en matière de protection des données, elle peut ordonner au responsable du traitement, en ce qui concerne le traitement, ou au sous-traitant agissant pour le compte de celui-ci, de prendre ou de s’abstenir de prendre les mesures indiquées dans la décision. |
| --- | --- |

(107)

Troisièmement, les personnes concernées peuvent former un recours juridictionnel contre les responsables du traitement et les sous-traitants directement devant les tribunaux en vertu de l’article 79 du RGPD britannique et de l’article 167 de la DPA 2018. Si, dans le cas d’une demande introduite par une personne concernée, une juridiction constate une violation des droits qui sont conférés à la personne concernée par la législation en matière de protection des données, elle peut ordonner au responsable du traitement, en ce qui concerne le traitement, ou au sous-traitant agissant pour le compte de celui-ci, de prendre ou de s’abstenir de prendre les mesures indiquées dans la décision.

| (108) | De plus, en vertu de l’article 82 du RGPD britannique et de l’article 168 de la DPA 2018, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du RGPD britannique a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Les règles en matière de réparation et de responsabilité énoncées à l’article 82, paragraphes 1 à 5, du RGPD britannique sont identiques aux règles correspondantes du règlement (UE) 2016/679. En vertu de l’article 168 de la DPA 2018, un préjudice moral inclut également une souffrance. En vertu de l’article 80 du RGPD britannique, la personne concernée a également le droit de mandater un organisme ou une organisation de représentation pour qu’il introduise une réclamation en son nom auprès du commissaire (au titre de l’article 77 du RGPD britannique) et exerce en son nom les droits visés aux articles 78 (droit à un recours juridictionnel effectif contre le commissaire), 79 (droit à un recours juridictionnel effectif contre un responsable du traitement ou un sous-traitant) et 82 (droit à réparation et responsabilité) du RGPD britannique. |
| --- | --- |

(108)

De plus, en vertu de l’article 82 du RGPD britannique et de l’article 168 de la DPA 2018, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du RGPD britannique a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Les règles en matière de réparation et de responsabilité énoncées à l’article 82, paragraphes 1 à 5, du RGPD britannique sont identiques aux règles correspondantes du règlement (UE) 2016/679. En vertu de l’article 168 de la DPA 2018, un préjudice moral inclut également une souffrance. En vertu de l’article 80 du RGPD britannique, la personne concernée a également le droit de mandater un organisme ou une organisation de représentation pour qu’il introduise une réclamation en son nom auprès du commissaire (au titre de l’article 77 du RGPD britannique) et exerce en son nom les droits visés aux articles 78 (droit à un recours juridictionnel effectif contre le commissaire), 79 (droit à un recours juridictionnel effectif contre un responsable du traitement ou un sous-traitant) et 82 (droit à réparation et responsabilité) du RGPD britannique.

| (109) | Quatrièmement, en sus des différentes possibilités de recours décrites ci-dessus, toute personne qui considère que ses droits, y compris ses droits au respect de la vie privée et à la protection des données, ont été violés par une autorité publique peut demander réparation auprès des juridictions du Royaume-Uni au titre de la loi de 1998 sur les droits de l’homme (119). Une personne prétendant qu’une autorité publique a agi (ou propose d’agir) d’une manière qui est incompatible avec un droit reconnu par la convention et, par conséquent, illégale au sens de l’article 6, paragraphe 1, de la loi de 1998 sur les droits de l’homme, peut intenter une action contre cette autorité auprès de la juridiction compétente ou exercer les droits concernés dans toute procédure judiciaire, lorsqu’elle est (ou se prétend) victime d’un acte illégal. |
| --- | --- |

(109)

Quatrièmement, en sus des différentes possibilités de recours décrites ci-dessus, toute personne qui considère que ses droits, y compris ses droits au respect de la vie privée et à la protection des données, ont été violés par une autorité publique peut demander réparation auprès des juridictions du Royaume-Uni au titre de la loi de 1998 sur les droits de l’homme (119). Une personne prétendant qu’une autorité publique a agi (ou propose d’agir) d’une manière qui est incompatible avec un droit reconnu par la convention et, par conséquent, illégale au sens de l’article 6, paragraphe 1, de la loi de 1998 sur les droits de l’homme, peut intenter une action contre cette autorité auprès de la juridiction compétente ou exercer les droits concernés dans toute procédure judiciaire, lorsqu’elle est (ou se prétend) victime d’un acte illégal.

119

| (110) | Si la juridiction constate le caractère illégal d’un acte de l’autorité publique, elle peut, dans la limite de ses pouvoirs, prendre toute mesure ou toute ordonnance qu’elle considère comme juste et appropriée (120). La juridiction peut également déclarer une disposition de droit primaire incompatible avec un droit reconnu par la convention. |
| --- | --- |

(110)

Si la juridiction constate le caractère illégal d’un acte de l’autorité publique, elle peut, dans la limite de ses pouvoirs, prendre toute mesure ou toute ordonnance qu’elle considère comme juste et appropriée (120). La juridiction peut également déclarer une disposition de droit primaire incompatible avec un droit reconnu par la convention.

120

| (111) | Enfin, après avoir épuisé les voies de recours internes, une personne physique peut obtenir réparation auprès de la Cour européenne des droits de l’homme en cas de violation des droits garantis par la convention européenne des droits de l’homme. |
| --- | --- |

(111)

Enfin, après avoir épuisé les voies de recours internes, une personne physique peut obtenir réparation auprès de la Cour européenne des droits de l’homme en cas de violation des droits garantis par la convention européenne des droits de l’homme.

3.   ACCÈS AUX DONNÉES À CARACTÈRE PERSONNEL TRANSFÉRÉES DE L’UNION EUROPÉENNE ET UTILISATION DE CELLES-CI PAR LES AUTORITÉS PUBLIQUES AU ROYAUME-UNI

ACCÈS AUX DONNÉES À CARACTÈRE PERSONNEL TRANSFÉRÉES DE L’UNION EUROPÉENNE ET UTILISATION DE CELLES-CI PAR LES AUTORITÉS PUBLIQUES AU ROYAUME-UNI

| (112) | La Commission a également évalué le cadre juridique du Royaume-Uni en ce qui concerne la collecte et l’utilisation ultérieure des données à caractère personnel transférées à des opérateurs économiques au Royaume-Uni par les autorités publiques britanniques pour des motifs d’intérêt public, en particulier à des fins répressives et à des fins de sécurité nationale (ci-après l’«accès des pouvoirs publics»). Lorsqu’elle a évalué si les conditions dans lesquelles les pouvoirs publics accèdent aux données transférées vers le Royaume-Uni en vertu de la présente décision remplissaient le critère de l’«équivalence essentielle» conformément à l’article 45, paragraphe 1, du règlement (UE) 2016/679, tel qu’il est interprété par la Cour de justice de l’Union européenne à la lumière de la Charte des droits fondamentaux, la Commission a notamment pris en compte les critères suivants. |
| --- | --- |

(112)

La Commission a également évalué le cadre juridique du Royaume-Uni en ce qui concerne la collecte et l’utilisation ultérieure des données à caractère personnel transférées à des opérateurs économiques au Royaume-Uni par les autorités publiques britanniques pour des motifs d’intérêt public, en particulier à des fins répressives et à des fins de sécurité nationale (ci-après l’«accès des pouvoirs publics»). Lorsqu’elle a évalué si les conditions dans lesquelles les pouvoirs publics accèdent aux données transférées vers le Royaume-Uni en vertu de la présente décision remplissaient le critère de l’«équivalence essentielle» conformément à l’article 45, paragraphe 1, du règlement (UE) 2016/679, tel qu’il est interprété par la Cour de justice de l’Union européenne à la lumière de la Charte des droits fondamentaux, la Commission a notamment pris en compte les critères suivants.

| (113) | En premier lieu, toute limitation du droit à la protection des données à caractère personnel doit être prévue par la loi et la base juridique qui permet l’ingérence dans ce droit doit définir elle-même la portée de la limitation de l’exercice du droit concerné (121). |
| --- | --- |

(113)

En premier lieu, toute limitation du droit à la protection des données à caractère personnel doit être prévue par la loi et la base juridique qui permet l’ingérence dans ce droit doit définir elle-même la portée de la limitation de l’exercice du droit concerné (121).

121

| (114) | En second lieu, pour satisfaire à l’exigence de proportionnalité selon laquelle les dérogations à la protection des données à caractère personnel et les limitations de celle-ci doivent s’opérer dans les limites du strict nécessaire dans une société démocratique pour répondre à des objectifs spécifiques d’intérêt général équivalents à ceux reconnus par l’Union, la réglementation du pays tiers en cause permettant l’ingérence doit prévoir des règles claires et précises régissant la portée et l’application de la mesure en cause et imposant des exigences minimales, de telle sorte que les personnes dont les données ont été transférées disposent de garanties suffisantes permettant de protéger efficacement leurs données à caractère personnel contre les risques d’abus (122). Elle doit en particulier indiquer en quelles circonstances et sous quelles conditions une mesure prévoyant le traitement de telles données peut être prise (123), ainsi que soumettre le respect de ces exigences à une surveillance indépendante (124). |
| --- | --- |

(114)

En second lieu, pour satisfaire à l’exigence de proportionnalité selon laquelle les dérogations à la protection des données à caractère personnel et les limitations de celle-ci doivent s’opérer dans les limites du strict nécessaire dans une société démocratique pour répondre à des objectifs spécifiques d’intérêt général équivalents à ceux reconnus par l’Union, la réglementation du pays tiers en cause permettant l’ingérence doit prévoir des règles claires et précises régissant la portée et l’application de la mesure en cause et imposant des exigences minimales, de telle sorte que les personnes dont les données ont été transférées disposent de garanties suffisantes permettant de protéger efficacement leurs données à caractère personnel contre les risques d’abus (122). Elle doit en particulier indiquer en quelles circonstances et sous quelles conditions une mesure prévoyant le traitement de telles données peut être prise (123), ainsi que soumettre le respect de ces exigences à une surveillance indépendante (124).

122

123

124

| (115) | En troisième lieu, cette législation doit être juridiquement contraignante en vertu du droit interne et ces exigences légales doivent revêtir un caractère non seulement contraignant pour les autorités, mais également opposable devant les juridictions contre les autorités du pays tiers en cause (125). En particulier, les personnes concernées doivent disposer de la possibilité d’exercer des voies de droit devant un tribunal indépendant et impartial afin d’avoir accès à des données à caractère personnel les concernant, ou d’obtenir la rectification ou la suppression de telles données (126). |
| --- | --- |

(115)

En troisième lieu, cette législation doit être juridiquement contraignante en vertu du droit interne et ces exigences légales doivent revêtir un caractère non seulement contraignant pour les autorités, mais également opposable devant les juridictions contre les autorités du pays tiers en cause (125). En particulier, les personnes concernées doivent disposer de la possibilité d’exercer des voies de droit devant un tribunal indépendant et impartial afin d’avoir accès à des données à caractère personnel les concernant, ou d’obtenir la rectification ou la suppression de telles données (126).

125

126

3.1.   Cadre juridique général

Cadre juridique général

| (116) | En tant qu’exercice de l’autorité publique, l’accès des pouvoirs publics aux données au Royaume-Uni doit intervenir dans le respect total de la loi. Le Royaume-Uni a ratifié la convention européenne des droits de l’homme [voir le considérant 9 ci-dessus] et toutes les autorités publiques du Royaume-Uni sont tenues d’agir en conformité avec la convention (127). L’article 8 de la convention exige que toute ingérence dans le droit au respect de la vie privée soit prévue par la loi, soit nécessaire à l’une des finalités visées à l’article 8, paragraphe 2, et soit proportionnée par rapport à cette finalité. L’article 8 exige également que l’ingérence soit «prévisible», c’est-à-dire que sa base juridique soit claire et précise et que la législation contienne les garanties nécessaires pour prévenir les abus. |
| --- | --- |

(116)

En tant qu’exercice de l’autorité publique, l’accès des pouvoirs publics aux données au Royaume-Uni doit intervenir dans le respect total de la loi. Le Royaume-Uni a ratifié la convention européenne des droits de l’homme [voir le considérant 9 ci-dessus] et toutes les autorités publiques du Royaume-Uni sont tenues d’agir en conformité avec la convention (127). L’article 8 de la convention exige que toute ingérence dans le droit au respect de la vie privée soit prévue par la loi, soit nécessaire à l’une des finalités visées à l’article 8, paragraphe 2, et soit proportionnée par rapport à cette finalité. L’article 8 exige également que l’ingérence soit «prévisible», c’est-à-dire que sa base juridique soit claire et précise et que la législation contienne les garanties nécessaires pour prévenir les abus.

127

| (117) | En outre, dans sa jurisprudence, la Cour européenne des droits de l’homme a précisé que toute ingérence dans le droit au respect de la vie privée et à la protection des données devrait être soumise à un système de contrôle effectif, indépendant et impartial, prévu par un juge ou par un autre organe indépendant (128) (par exemple, une autorité administrative ou un organe parlementaire). |
| --- | --- |

(117)

En outre, dans sa jurisprudence, la Cour européenne des droits de l’homme a précisé que toute ingérence dans le droit au respect de la vie privée et à la protection des données devrait être soumise à un système de contrôle effectif, indépendant et impartial, prévu par un juge ou par un autre organe indépendant (128) (par exemple, une autorité administrative ou un organe parlementaire).

128

| (118) | Par ailleurs, les personnes physiques doivent bénéficier d’un recours effectif et la Cour européenne des droits de l’homme a expliqué que ce recours devait être offert par un organe indépendant et impartial qui a édicté son propre règlement de procédure, dont les membres doivent exercer ou avoir exercé de hautes fonctions judiciaires ou être des juristes chevronnés, et qu’il ne doit exister aucun obstacle probatoire à surmonter pour pouvoir saisir cette juridiction. Lors de leur examen des réclamations introduites par des particuliers, l’organe indépendant et impartial devrait avoir accès à tous les documents pertinents, y compris à des informations confidentielles. Enfin, il devrait avoir le pouvoir de remédier à la non-conformité (129). |
| --- | --- |

(118)

Par ailleurs, les personnes physiques doivent bénéficier d’un recours effectif et la Cour européenne des droits de l’homme a expliqué que ce recours devait être offert par un organe indépendant et impartial qui a édicté son propre règlement de procédure, dont les membres doivent exercer ou avoir exercé de hautes fonctions judiciaires ou être des juristes chevronnés, et qu’il ne doit exister aucun obstacle probatoire à surmonter pour pouvoir saisir cette juridiction. Lors de leur examen des réclamations introduites par des particuliers, l’organe indépendant et impartial devrait avoir accès à tous les documents pertinents, y compris à des informations confidentielles. Enfin, il devrait avoir le pouvoir de remédier à la non-conformité (129).

129

| (119) | Le Royaume-Uni a également ratifié la convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (convention 108) et a signé, en 2018, le protocole d’amendement à la convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (appelé convention 108+) (130). Conformément à l’article 9 de la convention 108, il n’est possible de déroger aux principes généraux relatifs à la protection des données (article 5 – Qualité des données), aux règles régissant les catégories particulières de données (article 6 – Catégories particulières de données) et aux droits des personnes concernées (article 8 – Garanties complémentaires pour la personne concernée) que lorsqu’une telle dérogation, prévue par la loi de la Partie, constitue une mesure nécessaire dans une société démocratique à la protection de la sécurité de l’État, à la sûreté publique, aux intérêts monétaires de l’État ou à la répression des infractions pénales, ou à la protection de la personne concernée et des droits et libertés d’autrui (131). |
| --- | --- |

(119)

Le Royaume-Uni a également ratifié la convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (convention 108) et a signé, en 2018, le protocole d’amendement à la convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (appelé convention 108+) (130). Conformément à l’article 9 de la convention 108, il n’est possible de déroger aux principes généraux relatifs à la protection des données (article 5 – Qualité des données), aux règles régissant les catégories particulières de données (article 6 – Catégories particulières de données) et aux droits des personnes concernées (article 8 – Garanties complémentaires pour la personne concernée) que lorsqu’une telle dérogation, prévue par la loi de la Partie, constitue une mesure nécessaire dans une société démocratique à la protection de la sécurité de l’État, à la sûreté publique, aux intérêts monétaires de l’État ou à la répression des infractions pénales, ou à la protection de la personne concernée et des droits et libertés d’autrui (131).

130

131

| (120) | Par conséquent, du fait de son appartenance au Conseil de l’Europe, de son adhésion à la convention européenne des droits de l’homme et de sa soumission à la compétence de la Cour européenne des droits l’homme, le Royaume-Uni est soumis à un certain nombre d’obligations, consacrées par le droit international, qui encadrent le système d’accès aux données de ses pouvoirs publics sur la base de principes, de garanties et de droits individuels semblables à ceux garantis par le droit de l’Union et applicables aux États membres. Comme souligné au considérant 19, le respect permanent de ces instruments constitue donc un élément particulièrement important de l’évaluation sur laquelle est fondée la présente décision. |
| --- | --- |

(120)

Par conséquent, du fait de son appartenance au Conseil de l’Europe, de son adhésion à la convention européenne des droits de l’homme et de sa soumission à la compétence de la Cour européenne des droits l’homme, le Royaume-Uni est soumis à un certain nombre d’obligations, consacrées par le droit international, qui encadrent le système d’accès aux données de ses pouvoirs publics sur la base de principes, de garanties et de droits individuels semblables à ceux garantis par le droit de l’Union et applicables aux États membres. Comme souligné au considérant 19, le respect permanent de ces instruments constitue donc un élément particulièrement important de l’évaluation sur laquelle est fondée la présente décision.

| (121) | En outre, la DPA 2018 prévoit des garanties et des droits spécifiques en matière de protection des données dans le cadre du traitement des données par les autorités publiques, notamment les autorités répressives et les agences de sécurité nationale. |
| --- | --- |

(121)

En outre, la DPA 2018 prévoit des garanties et des droits spécifiques en matière de protection des données dans le cadre du traitement des données par les autorités publiques, notamment les autorités répressives et les agences de sécurité nationale.

| (122) | En particulier, le régime applicable au traitement des données à caractère personnel à des fins répressives est décrit à la partie 3 de la DPA 2018, qui a été adoptée afin de transposer la directive (UE) 2016/680. La partie 3 de la DPA 2018 concerne le traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces (132). |
| --- | --- |

(122)

En particulier, le régime applicable au traitement des données à caractère personnel à des fins répressives est décrit à la partie 3 de la DPA 2018, qui a été adoptée afin de transposer la directive (UE) 2016/680. La partie 3 de la DPA 2018 concerne le traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces (132).

132

| (123) | La notion d’«autorité compétente» est définie à l’article 30 de la DPA comme une personne figurant sur la liste établie à l’annexe 7 de la DPA 2018, ainsi que comme toute autre personne, dans la mesure où elle exerce des fonctions statutaires pour l’une des fins répressives (133). Comme expliqué ci-dessous (voir le considérant 139), certaines autorités compétentes (par exemple l’Agence nationale de lutte contre la criminalité) peuvent faire usage, dans certaines conditions, des pouvoirs conférés par la loi de 2016 sur les pouvoirs d’enquête (IPA 2016). Dans ce cas, les garanties prévues par l’IPA 2016 s’appliqueront en plus de celles prévues par la partie 3 de la DPA 2018. Les services de renseignement [le service secret de renseignement (Secret Intelligence Service), le service de sécurité (Security Service) et le quartier général des communications (Government Communications Headquarters)] ne sont pas des «autorités compétentes» (134) au sens de la partie 3 de la DPA 2018 et, par conséquent, les règles qui y sont définies ne s’appliquent à aucune de leurs activités. Une partie spécifique de la DPA 2018 (partie 4) est consacrée au traitement des données à caractère personnel par les services de renseignement (pour plus de détails, voir le considérant 125). |
| --- | --- |

(123)

La notion d’«autorité compétente» est définie à l’article 30 de la DPA comme une personne figurant sur la liste établie à l’annexe 7 de la DPA 2018, ainsi que comme toute autre personne, dans la mesure où elle exerce des fonctions statutaires pour l’une des fins répressives (133). Comme expliqué ci-dessous (voir le considérant 139), certaines autorités compétentes (par exemple l’Agence nationale de lutte contre la criminalité) peuvent faire usage, dans certaines conditions, des pouvoirs conférés par la loi de 2016 sur les pouvoirs d’enquête (IPA 2016). Dans ce cas, les garanties prévues par l’IPA 2016 s’appliqueront en plus de celles prévues par la partie 3 de la DPA 2018. Les services de renseignement [le service secret de renseignement (Secret Intelligence Service), le service de sécurité (Security Service) et le quartier général des communications (Government Communications Headquarters)] ne sont pas des «autorités compétentes» (134) au sens de la partie 3 de la DPA 2018 et, par conséquent, les règles qui y sont définies ne s’appliquent à aucune de leurs activités. Une partie spécifique de la DPA 2018 (partie 4) est consacrée au traitement des données à caractère personnel par les services de renseignement (pour plus de détails, voir le considérant 125).

133

134

| (124) | À l’instar de la directive (UE) 2016/680, la partie 3 de la DPA 2018 énonce les principes de licéité et de loyauté (135), de limitation de la finalité (136), de minimisation des données (137), d’exactitude (138), de limitation de la conservation (139) et de sécurité (140). La législation impose des obligations spécifiques de transparence (141) et confère aux personnes concernées un droit d’accès (142), de rectification et de suppression (143) et le droit de ne pas faire l’objet d’une prise de décision automatisée (144). Les autorités compétentes doivent également mettre en œuvre des mesures de protection des données dès la conception et par défaut, tenir un registre des activités de traitement et, pour certaines opérations de traitement, effectuer des analyses d’impact relatives à la protection des données et consulter au préalable le commissaire à l’information (145). Conformément à l’article 56 de la DPA 2018, elles sont tenues de démontrer la conformité du traitement. En outre, les autorités compétentes doivent mettre en place des mesures appropriées visant à garantir la sécurité du traitement (146) et elles sont soumises à des obligations spécifiques en cas de violation de données, notamment l’obligation de notifier une telle violation au commissaire à l’information et aux personnes concernées (147). À l’instar de ce que dispose la directive (UE) 2016/680, le responsable du traitement est également tenu (sauf s’il s’agit d’une juridiction ou d’une autre autorité judiciaire agissant dans l’exercice de sa fonction juridictionnelle) de désigner un délégué à la protection des données (DPD) (148) qui l’aidera à se conformer à ses obligations et à contrôler le respect de ces obligations (149). Par ailleurs, afin de garantir la continuité de la protection, la loi impose des exigences spécifiques relatives aux transferts internationaux des données à caractère personnel à des fins répressives vers des pays tiers ou à des organisations internationales (150). À la même date que pour la présente décision, la Commission a adopté une décision d’adéquation en vertu de l’article 36, paragraphe 3, de la directive (UE) 2016/680, constatant que le régime de protection des données applicable au traitement des données par les autorités répressives britanniques assure un niveau de protection essentiellement équivalent à celui garanti par la directive (UE) 2016/680. |
| --- | --- |

(124)

À l’instar de la directive (UE) 2016/680, la partie 3 de la DPA 2018 énonce les principes de licéité et de loyauté (135), de limitation de la finalité (136), de minimisation des données (137), d’exactitude (138), de limitation de la conservation (139) et de sécurité (140). La législation impose des obligations spécifiques de transparence (141) et confère aux personnes concernées un droit d’accès (142), de rectification et de suppression (143) et le droit de ne pas faire l’objet d’une prise de décision automatisée (144). Les autorités compétentes doivent également mettre en œuvre des mesures de protection des données dès la conception et par défaut, tenir un registre des activités de traitement et, pour certaines opérations de traitement, effectuer des analyses d’impact relatives à la protection des données et consulter au préalable le commissaire à l’information (145). Conformément à l’article 56 de la DPA 2018, elles sont tenues de démontrer la conformité du traitement. En outre, les autorités compétentes doivent mettre en place des mesures appropriées visant à garantir la sécurité du traitement (146) et elles sont soumises à des obligations spécifiques en cas de violation de données, notamment l’obligation de notifier une telle violation au commissaire à l’information et aux personnes concernées (147). À l’instar de ce que dispose la directive (UE) 2016/680, le responsable du traitement est également tenu (sauf s’il s’agit d’une juridiction ou d’une autre autorité judiciaire agissant dans l’exercice de sa fonction juridictionnelle) de désigner un délégué à la protection des données (DPD) (148) qui l’aidera à se conformer à ses obligations et à contrôler le respect de ces obligations (149). Par ailleurs, afin de garantir la continuité de la protection, la loi impose des exigences spécifiques relatives aux transferts internationaux des données à caractère personnel à des fins répressives vers des pays tiers ou à des organisations internationales (150). À la même date que pour la présente décision, la Commission a adopté une décision d’adéquation en vertu de l’article 36, paragraphe 3, de la directive (UE) 2016/680, constatant que le régime de protection des données applicable au traitement des données par les autorités répressives britanniques assure un niveau de protection essentiellement équivalent à celui garanti par la directive (UE) 2016/680.

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

| (125) | La partie 4 de la DPA 2018 s’applique à l’ensemble des traitements par les services de renseignement ou pour le compte de ces derniers. Elle énonce notamment les grands principes relatifs à la protection des données (licéité, loyauté et transparence (151); limitation de la finalité (152), minimisation des données (153), exactitude (154); limitation de la conservation (155) et sécurité (156)), impose des conditions au traitement de catégories particulières de données (157), établit les droits des personnes concernées (158), exige la protection des données dès la conception (159) et réglemente les transferts internationaux de données à caractère personnel (160). L’ICO a récemment publié des orientations détaillées sur le traitement par les services de renseignement au titre de la partie 4 de la DPA 2018 (161). |
| --- | --- |

(125)

La partie 4 de la DPA 2018 s’applique à l’ensemble des traitements par les services de renseignement ou pour le compte de ces derniers. Elle énonce notamment les grands principes relatifs à la protection des données (licéité, loyauté et transparence (151); limitation de la finalité (152), minimisation des données (153), exactitude (154); limitation de la conservation (155) et sécurité (156)), impose des conditions au traitement de catégories particulières de données (157), établit les droits des personnes concernées (158), exige la protection des données dès la conception (159) et réglemente les transferts internationaux de données à caractère personnel (160). L’ICO a récemment publié des orientations détaillées sur le traitement par les services de renseignement au titre de la partie 4 de la DPA 2018 (161).

151

152

153

154

155

156

157

158

159

160

161

| (126) | Dans le même temps, l’article 110 de la DPA 2018 prévoit une exemption à certaines dispositions spécifiques de la partie 4 (162) lorsque ladite exemption est nécessaire pour garantir la sécurité nationale. Cette exemption peut être appliquée sur la base d’une analyse au cas par cas (163). Comme expliqué par les autorités britanniques et confirmé par la jurisprudence, un «responsable du traitement doit considérer les conséquences concrètes pour la sécurité nationale ou la défense s’il devait respecter la disposition particulière relative à la protection des données, et s’il pouvait raisonnablement respecter la règle habituelle sans porter atteinte à la sécurité ou à la défense nationale» (164). La question de savoir si l’exemption a été appliquée de manière appropriée est soumise à la surveillance de l’ICO (165). |
| --- | --- |

(126)

Dans le même temps, l’article 110 de la DPA 2018 prévoit une exemption à certaines dispositions spécifiques de la partie 4 (162) lorsque ladite exemption est nécessaire pour garantir la sécurité nationale. Cette exemption peut être appliquée sur la base d’une analyse au cas par cas (163). Comme expliqué par les autorités britanniques et confirmé par la jurisprudence, un «responsable du traitement doit considérer les conséquences concrètes pour la sécurité nationale ou la défense s’il devait respecter la disposition particulière relative à la protection des données, et s’il pouvait raisonnablement respecter la règle habituelle sans porter atteinte à la sécurité ou à la défense nationale» (164). La question de savoir si l’exemption a été appliquée de manière appropriée est soumise à la surveillance de l’ICO (165).

162

163

164

165

| (127) | Par ailleurs, en ce qui concerne la possibilité de limiter, aux fins de la protection de la «sécurité nationale», l’application des dispositions spécifiques susmentionnées, conformément à l’article 111 de la DPA 2018, un responsable du traitement peut demander un certificat signé par un ministre du cabinet ou par le procureur général attestant qu’une limitation de ces droits constitue une mesure nécessaire et proportionnée à la protection de la sécurité nationale (166). |
| --- | --- |

(127)

Par ailleurs, en ce qui concerne la possibilité de limiter, aux fins de la protection de la «sécurité nationale», l’application des dispositions spécifiques susmentionnées, conformément à l’article 111 de la DPA 2018, un responsable du traitement peut demander un certificat signé par un ministre du cabinet ou par le procureur général attestant qu’une limitation de ces droits constitue une mesure nécessaire et proportionnée à la protection de la sécurité nationale (166).

166

| (128) | Le gouvernement britannique a publié des orientations afin d’aider les responsables du traitement à déterminer s’il y a lieu de demander un certificat de sécurité nationale au titre de la DPA 2018, qui soulignent notamment que toute limitation des droits des personnes concernées pour garantir la sécurité nationale doit être proportionnée et nécessaire (167). Tous les certificats de sécurité nationale doivent être publiés sur le site internet de l’ICO (168). |
| --- | --- |

(128)

Le gouvernement britannique a publié des orientations afin d’aider les responsables du traitement à déterminer s’il y a lieu de demander un certificat de sécurité nationale au titre de la DPA 2018, qui soulignent notamment que toute limitation des droits des personnes concernées pour garantir la sécurité nationale doit être proportionnée et nécessaire (167). Tous les certificats de sécurité nationale doivent être publiés sur le site internet de l’ICO (168).

167

168

| (129) | Le certificat devrait être délivré pour une durée déterminée n’excédant pas cinq ans, afin d’être régulièrement examiné par le pouvoir exécutif (169). Un certificat désigne les données à caractère personnel ou les catégories de données à caractère personnel faisant l’objet de l’exemption, ainsi que les dispositions de la DPA 2018 auxquelles s’applique l’exemption (170). |
| --- | --- |

(129)

Le certificat devrait être délivré pour une durée déterminée n’excédant pas cinq ans, afin d’être régulièrement examiné par le pouvoir exécutif (169). Un certificat désigne les données à caractère personnel ou les catégories de données à caractère personnel faisant l’objet de l’exemption, ainsi que les dispositions de la DPA 2018 auxquelles s’applique l’exemption (170).

169

170

| (130) | Il y a lieu de noter que les certificats de sécurité nationale n’ajoutent pas une nouvelle compétence limitant les droits en matière de protection des données à des fins de sécurité nationale. En d’autres termes, le responsable du traitement ou le sous-traitant ne peut se fonder sur un certificat que lorsqu’il a conclu qu’il était nécessaire d’appliquer l’exemption concernant la sécurité nationale, selon une analyse au cas par cas comme expliqué ci-dessus (171). Même si un certificat de sécurité nationale s’applique à la matière concernée, l’ICO peut examiner si l’application de l’exemption concernant la sécurité nationale était justifiée ou non dans un cas particulier (172). |
| --- | --- |

(130)

Il y a lieu de noter que les certificats de sécurité nationale n’ajoutent pas une nouvelle compétence limitant les droits en matière de protection des données à des fins de sécurité nationale. En d’autres termes, le responsable du traitement ou le sous-traitant ne peut se fonder sur un certificat que lorsqu’il a conclu qu’il était nécessaire d’appliquer l’exemption concernant la sécurité nationale, selon une analyse au cas par cas comme expliqué ci-dessus (171). Même si un certificat de sécurité nationale s’applique à la matière concernée, l’ICO peut examiner si l’application de l’exemption concernant la sécurité nationale était justifiée ou non dans un cas particulier (172).

171

172

| (131) | Toute personne directement concernée par la délivrance d’un certificat peut former un recours devant le tribunal supérieur (173) contre le certificat (174) ou, lorsque ce dernier énumère les données au moyen d’une description générale, contester l’application du certificat à des données spécifiques (175). Le tribunal examinera la décision de délivrer un certificat et déterminera s’il existait des motifs raisonnables de le délivrer (176). Il peut examiner divers éléments, notamment la nécessité, la proportionnalité et la licéité du certificat, compte tenu de son incidence sur les droits des personnes concernées et de sa mise en balance avec la nécessité de garantir la sécurité nationale. À l’issue de cet examen, le tribunal peut décider que le certificat ne s’applique pas aux données à caractère personnel spécifiques faisant l’objet du recours (177). |
| --- | --- |

(131)

Toute personne directement concernée par la délivrance d’un certificat peut former un recours devant le tribunal supérieur (173) contre le certificat (174) ou, lorsque ce dernier énumère les données au moyen d’une description générale, contester l’application du certificat à des données spécifiques (175). Le tribunal examinera la décision de délivrer un certificat et déterminera s’il existait des motifs raisonnables de le délivrer (176). Il peut examiner divers éléments, notamment la nécessité, la proportionnalité et la licéité du certificat, compte tenu de son incidence sur les droits des personnes concernées et de sa mise en balance avec la nécessité de garantir la sécurité nationale. À l’issue de cet examen, le tribunal peut décider que le certificat ne s’applique pas aux données à caractère personnel spécifiques faisant l’objet du recours (177).

173

174

175

176

177

| (132) | Différentes limitations possibles concernent celles qui s’appliquent, en vertu de l’annexe 11 de la DPA 2018, à certaines dispositions de la partie 4 de la DPA 2018 (178) pour garantir d’autres objectifs importants d’intérêt public général ou des intérêts protégés, tels que l’immunité parlementaire, le secret professionnel, le déroulement des procédures judiciaires ou l’efficacité au combat des forces armées (179). L’application de ces dispositions est soit exemptée pour certaines catégories d’informations (ci-après une exemption «fondée sur une catégorie»), soit exemptée dans la mesure où elle serait susceptible de porter préjudice à l’intérêt protégé (ci-après une exemption «fondée sur un préjudice») (180). Les exemptions fondées sur un préjudice ne peuvent être invoquées que dans la mesure où l’application de la disposition énumérée relative à la protection des données porterait préjudice à l’intérêt spécifique en question. L’application d’une exemption doit donc toujours être justifiée par la référence au préjudice qui serait susceptible de naître dans chaque cas. Les exemptions fondées sur une catégorie ne peuvent être invoquées qu’en ce qui concerne la catégorie particulière d’informations, définie de manière précise, pour laquelle l’exemption est accordée. Ces exemptions ont un objectif et des effets similaires à ceux de plusieurs exceptions au RGPD britannique (prévues à l’annexe 2 de la DPA 2018), lesquelles correspondent à celles prévues à l’article 23 du RGPD. |
| --- | --- |

(132)

Différentes limitations possibles concernent celles qui s’appliquent, en vertu de l’annexe 11 de la DPA 2018, à certaines dispositions de la partie 4 de la DPA 2018 (178) pour garantir d’autres objectifs importants d’intérêt public général ou des intérêts protégés, tels que l’immunité parlementaire, le secret professionnel, le déroulement des procédures judiciaires ou l’efficacité au combat des forces armées (179). L’application de ces dispositions est soit exemptée pour certaines catégories d’informations (ci-après une exemption «fondée sur une catégorie»), soit exemptée dans la mesure où elle serait susceptible de porter préjudice à l’intérêt protégé (ci-après une exemption «fondée sur un préjudice») (180). Les exemptions fondées sur un préjudice ne peuvent être invoquées que dans la mesure où l’application de la disposition énumérée relative à la protection des données porterait préjudice à l’intérêt spécifique en question. L’application d’une exemption doit donc toujours être justifiée par la référence au préjudice qui serait susceptible de naître dans chaque cas. Les exemptions fondées sur une catégorie ne peuvent être invoquées qu’en ce qui concerne la catégorie particulière d’informations, définie de manière précise, pour laquelle l’exemption est accordée. Ces exemptions ont un objectif et des effets similaires à ceux de plusieurs exceptions au RGPD britannique (prévues à l’annexe 2 de la DPA 2018), lesquelles correspondent à celles prévues à l’article 23 du RGPD.

178

179

180

| (133) | Il ressort de ce qui précède que les dispositions juridiques britanniques applicables, telles qu’elles ont été également interprétées par les juridictions et le commissaire à l’information, prévoient bien des limitations et des conditions pour garantir que les exemptions et les limitations susmentionnées restent dans les limites de ce qui est nécessaire et proportionné à la protection de la sécurité nationale. |
| --- | --- |

(133)

Il ressort de ce qui précède que les dispositions juridiques britanniques applicables, telles qu’elles ont été également interprétées par les juridictions et le commissaire à l’information, prévoient bien des limitations et des conditions pour garantir que les exemptions et les limitations susmentionnées restent dans les limites de ce qui est nécessaire et proportionné à la protection de la sécurité nationale.

3.2.   Accès aux données et utilisation de celles-ci par les autorités publiques du Royaume-Uni à des fins répressives

Accès aux données et utilisation de celles-ci par les autorités publiques du Royaume-Uni à des fins répressives

| (134) | Le droit du Royaume-Uni impose un certain nombre de limitations à l’accès aux données à caractère personnel et à l’utilisation de celles-ci à des fins répressives. Il prévoit également des mécanismes de surveillance et de recours dans ce domaine qui sont conformes aux exigences visées aux considérants 113 à 115 de la présente décision. Les conditions dans lesquelles un tel accès peut intervenir et les garanties applicables à l’utilisation de ces pouvoirs sont évaluées en détail dans les sections suivantes. |
| --- | --- |

(134)

Le droit du Royaume-Uni impose un certain nombre de limitations à l’accès aux données à caractère personnel et à l’utilisation de celles-ci à des fins répressives. Il prévoit également des mécanismes de surveillance et de recours dans ce domaine qui sont conformes aux exigences visées aux considérants 113 à 115 de la présente décision. Les conditions dans lesquelles un tel accès peut intervenir et les garanties applicables à l’utilisation de ces pouvoirs sont évaluées en détail dans les sections suivantes.

3.2.1.   Bases juridiques et limitations/garanties applicables

Bases juridiques et limitations/garanties applicables

| (135) | Conformément au principe de licéité garanti en vertu de l’article 35 de la DPA 2018, le traitement des données à caractère personnel pour l’une des finalités répressives n’est licite que s’il est fondé sur le droit et si la personne concernée a donné son consentement au traitement pour cette finalité (181) ou si le traitement est nécessaire à l’exécution d’une mission exercée à cette fin par une autorité compétente. |
| --- | --- |

(135)

Conformément au principe de licéité garanti en vertu de l’article 35 de la DPA 2018, le traitement des données à caractère personnel pour l’une des finalités répressives n’est licite que s’il est fondé sur le droit et si la personne concernée a donné son consentement au traitement pour cette finalité (181) ou si le traitement est nécessaire à l’exécution d’une mission exercée à cette fin par une autorité compétente.

181

3.2.1.1.   Mandats de perquisition et injonctions de production

Mandats de perquisition et injonctions de production

| (136) | Dans le cadre juridique du Royaume-Uni, la collecte des données à caractère personnel auprès des opérateurs économiques, y compris ceux qui traiteraient des données transférées depuis l’Union au titre de la présente décision d’adéquation, à des fins répressives est autorisée sur la base de mandats de perquisition (182) et d’injonctions de production (183). |
| --- | --- |

(136)

Dans le cadre juridique du Royaume-Uni, la collecte des données à caractère personnel auprès des opérateurs économiques, y compris ceux qui traiteraient des données transférées depuis l’Union au titre de la présente décision d’adéquation, à des fins répressives est autorisée sur la base de mandats de perquisition (182) et d’injonctions de production (183).

182

183

| (137) | Les mandats de perquisition sont délivrés par un tribunal, généralement à la demande de l’enquêteur. Ils autorisent un enquêteur à pénétrer dans des locaux afin de rechercher des personnes ou des éléments pertinents pour son enquête et à conserver tout élément pour lequel une perquisition a été autorisée, y compris les documents ou les pièces contenant des données à caractère personnel (184). Une injonction de production, qui doit être également délivrée par un tribunal, oblige la personne désignée dans celle-ci à produire les éléments qui sont en sa possession ou sous son contrôle, ou à donner accès à ceux-ci. Le requérant doit expliquer au tribunal les raisons pour lesquelles le mandat ou l’injonction est nécessaire et dans l’intérêt public. Il existe plusieurs pouvoirs réglementaires qui permettent de délivrer des mandats de perquisition et des injonctions de production. Chaque disposition contient son propre ensemble de conditions légales qui doivent être satisfaites aux fins de la délivrance d’un mandat de perquisition (185) ou d’une injonction de production (186). |
| --- | --- |

(137)

Les mandats de perquisition sont délivrés par un tribunal, généralement à la demande de l’enquêteur. Ils autorisent un enquêteur à pénétrer dans des locaux afin de rechercher des personnes ou des éléments pertinents pour son enquête et à conserver tout élément pour lequel une perquisition a été autorisée, y compris les documents ou les pièces contenant des données à caractère personnel (184). Une injonction de production, qui doit être également délivrée par un tribunal, oblige la personne désignée dans celle-ci à produire les éléments qui sont en sa possession ou sous son contrôle, ou à donner accès à ceux-ci. Le requérant doit expliquer au tribunal les raisons pour lesquelles le mandat ou l’injonction est nécessaire et dans l’intérêt public. Il existe plusieurs pouvoirs réglementaires qui permettent de délivrer des mandats de perquisition et des injonctions de production. Chaque disposition contient son propre ensemble de conditions légales qui doivent être satisfaites aux fins de la délivrance d’un mandat de perquisition (185) ou d’une injonction de production (186).

184

185

186

| (138) | Les injonctions de production et les mandats de perquisition peuvent être contestés par la voie du contrôle juridictionnel (187). En matière de garanties, toutes les autorités répressives en matière pénale relevant du champ d’application de la partie 3 de la DPA 2018, y compris la police, ne peuvent accéder à des données à caractère personnel (ce qui est en soi une forme de traitement) que dans le respect des principes et des exigences énoncés dans cette loi (voir les considérants 122 et 124 ci-dessus). Par conséquent, une demande introduite par une autorité répressive devrait respecter le principe selon lequel les finalités du traitement doivent être déterminées, explicites et légitimes (188) et les données à caractère personnel traitées par une autorité compétente doivent être pertinentes et limitées au regard de ces finalités (189). |
| --- | --- |

(138)

Les injonctions de production et les mandats de perquisition peuvent être contestés par la voie du contrôle juridictionnel (187). En matière de garanties, toutes les autorités répressives en matière pénale relevant du champ d’application de la partie 3 de la DPA 2018, y compris la police, ne peuvent accéder à des données à caractère personnel (ce qui est en soi une forme de traitement) que dans le respect des principes et des exigences énoncés dans cette loi (voir les considérants 122 et 124 ci-dessus). Par conséquent, une demande introduite par une autorité répressive devrait respecter le principe selon lequel les finalités du traitement doivent être déterminées, explicites et légitimes (188) et les données à caractère personnel traitées par une autorité compétente doivent être pertinentes et limitées au regard de ces finalités (189).

187

188

189

3.2.1.2.   Pouvoirs d’enquête à des fins répressives

Pouvoirs d’enquête à des fins répressives

| (139) | Aux fins de la prévention ou de la détection des seules infractions graves (190), certaines autorités répressives, comme, par exemple, l’Agence nationale de lutte contre la criminalité ou le chef de la police (191), peuvent exercer des pouvoirs d’enquête ciblés au titre de l’IPA 2016. Dans ce cas, les garanties prévues par l’IPA 2016 s’appliqueront en plus de celles prévues par la partie 3 de la DPA 2018. Ces autorités répressives peuvent s’appuyer sur des pouvoirs d’enquête spécifiques, à savoir les interceptions ciblées (partie 2 de l’IPA 2016), l’acquisition de données de communication (partie 3 de l’IPA 2016), la conservation de données de communication (partie 4 de l’IPA 2016) et l’interférence ciblée avec des équipements (partie 5 de l’IPA 2016). L’interception d’une communication recouvre l’acquisition du contenu d’une communication (192), tandis que l’acquisition et la conservation de données de communication visent non pas à obtenir le contenu de la communication, mais à déterminer le «qui», le «quand», le «où» et le «comment» de la communication. Il s’agit, par exemple, de l’heure et de la durée d’une communication, du numéro de téléphone ou de l’adresse électronique de l’expéditeur et du destinataire de la communication, et parfois de la localisation des appareils à partir desquels la communication a été effectuée, de l’abonné à un service téléphonique ou d’une facture détaillée. (193) L’interférence avec des équipements est un ensemble de techniques utilisées afin d’obtenir diverses données à partir d’équipements tels que les ordinateurs, les tablettes et les smartphones, ainsi que les câbles, les fils et les appareils de stockage (194). |
| --- | --- |

(139)

Aux fins de la prévention ou de la détection des seules infractions graves (190), certaines autorités répressives, comme, par exemple, l’Agence nationale de lutte contre la criminalité ou le chef de la police (191), peuvent exercer des pouvoirs d’enquête ciblés au titre de l’IPA 2016. Dans ce cas, les garanties prévues par l’IPA 2016 s’appliqueront en plus de celles prévues par la partie 3 de la DPA 2018. Ces autorités répressives peuvent s’appuyer sur des pouvoirs d’enquête spécifiques, à savoir les interceptions ciblées (partie 2 de l’IPA 2016), l’acquisition de données de communication (partie 3 de l’IPA 2016), la conservation de données de communication (partie 4 de l’IPA 2016) et l’interférence ciblée avec des équipements (partie 5 de l’IPA 2016). L’interception d’une communication recouvre l’acquisition du contenu d’une communication (192), tandis que l’acquisition et la conservation de données de communication visent non pas à obtenir le contenu de la communication, mais à déterminer le «qui», le «quand», le «où» et le «comment» de la communication. Il s’agit, par exemple, de l’heure et de la durée d’une communication, du numéro de téléphone ou de l’adresse électronique de l’expéditeur et du destinataire de la communication, et parfois de la localisation des appareils à partir desquels la communication a été effectuée, de l’abonné à un service téléphonique ou d’une facture détaillée. (193) L’interférence avec des équipements est un ensemble de techniques utilisées afin d’obtenir diverses données à partir d’équipements tels que les ordinateurs, les tablettes et les smartphones, ainsi que les câbles, les fils et les appareils de stockage (194).

190

191

192

193

194

| (140) | Les pouvoirs d’interception ciblée peuvent également être utilisés lorsque cela est «nécessaire aux fins de donner effet aux dispositions d’un instrument d’entraide judiciaire de l’Union ou d’un accord d’entraide judiciaire international» (appelé «mandat d’entraide judiciaire» (195)). Les mandats d’entraide judiciaire ne sont délivrés que dans le cadre de l’interception de communications, et non de l’acquisition de données de communication ou de l’interférence avec des équipements. Ces pouvoirs ciblés sont réglementés par la loi de 2016 sur les pouvoirs d’enquête (196), qui, avec la loi de 2000 portant réglementation des pouvoirs d’enquête (RIPA 2000) pour l’Angleterre, le pays de Galles et l’Irlande du Nord et la loi écossaise de 2000 sur la réglementation des pouvoirs d’enquête pour l’Écosse, constituent la base juridique de ces pouvoirs et définissent les limitations et les garanties relatives à l’exercice de ces pouvoirs. L’IPA 2016 prévoit également le régime applicable à l’utilisation des pouvoirs de surveillance de masse, bien que ces derniers ne soient pas accessibles aux autorités répressives (seules les agences de renseignement sont habilitées à les utiliser) (197). |
| --- | --- |

(140)

Les pouvoirs d’interception ciblée peuvent également être utilisés lorsque cela est «nécessaire aux fins de donner effet aux dispositions d’un instrument d’entraide judiciaire de l’Union ou d’un accord d’entraide judiciaire international» (appelé «mandat d’entraide judiciaire» (195)). Les mandats d’entraide judiciaire ne sont délivrés que dans le cadre de l’interception de communications, et non de l’acquisition de données de communication ou de l’interférence avec des équipements. Ces pouvoirs ciblés sont réglementés par la loi de 2016 sur les pouvoirs d’enquête (196), qui, avec la loi de 2000 portant réglementation des pouvoirs d’enquête (RIPA 2000) pour l’Angleterre, le pays de Galles et l’Irlande du Nord et la loi écossaise de 2000 sur la réglementation des pouvoirs d’enquête pour l’Écosse, constituent la base juridique de ces pouvoirs et définissent les limitations et les garanties relatives à l’exercice de ces pouvoirs. L’IPA 2016 prévoit également le régime applicable à l’utilisation des pouvoirs de surveillance de masse, bien que ces derniers ne soient pas accessibles aux autorités répressives (seules les agences de renseignement sont habilitées à les utiliser) (197).

195

196

197

| (141) | Pour exercer ces pouvoirs, les autorités doivent obtenir un mandat (198) délivré par une autorité compétente (199) et approuvé par un commissaire judiciaire indépendant (200) (procédure dite «de double verrouillage»). L’obtention de ce mandat est soumise à un critère de nécessité et de proportionnalité (201). Étant donné que ces pouvoirs d’enquêtes ciblés prévus par l’IPA 2016 sont identiques à ceux des agences de sécurité nationale, les conditions, les limitations et les garanties applicables à ces pouvoirs sont détaillées à la section relative à l’accès aux données à caractère personnel et à l’utilisation de celles-ci par les autorités publiques du Royaume-Uni à des fins de sécurité nationale (voir les considérants 177 et suivants). |
| --- | --- |

(141)

Pour exercer ces pouvoirs, les autorités doivent obtenir un mandat (198) délivré par une autorité compétente (199) et approuvé par un commissaire judiciaire indépendant (200) (procédure dite «de double verrouillage»). L’obtention de ce mandat est soumise à un critère de nécessité et de proportionnalité (201). Étant donné que ces pouvoirs d’enquêtes ciblés prévus par l’IPA 2016 sont identiques à ceux des agences de sécurité nationale, les conditions, les limitations et les garanties applicables à ces pouvoirs sont détaillées à la section relative à l’accès aux données à caractère personnel et à l’utilisation de celles-ci par les autorités publiques du Royaume-Uni à des fins de sécurité nationale (voir les considérants 177 et suivants).

198

199

200

201

3.2.2.   Utilisation ultérieure des informations recueillies

Utilisation ultérieure des informations recueillies

| (142) | Le partage de données par une autorité répressive avec une autorité différente à des fins autres que celles pour lesquelles ces données ont été initialement collectées (appelé «partage ultérieur») est soumis à certaines conditions. |
| --- | --- |

(142)

Le partage de données par une autorité répressive avec une autorité différente à des fins autres que celles pour lesquelles ces données ont été initialement collectées (appelé «partage ultérieur») est soumis à certaines conditions.

| (143) | À l’instar de ce que prévoit l’article 4, paragraphe 2, de la directive (UE) 2016/680, l’article 36, paragraphe 3, de la DPA 2018 autorise le traitement ultérieur des données collectées par une autorité compétente à des fins répressives (par le responsable initial du traitement ou par un autre responsable du traitement) pour toute autre finalité répressive, à condition que le responsable du traitement soit autorisé par la loi à traiter ces données pour une telle finalité et que le traitement soit nécessaire et proportionné à cette autre finalité (202). Dans ce cas, toutes les garanties prévues à la partie 3 de la DPA 2018 et visées aux considérants 122 et 124 s’appliquent au traitement effectué par l’autorité destinataire. |
| --- | --- |

(143)

À l’instar de ce que prévoit l’article 4, paragraphe 2, de la directive (UE) 2016/680, l’article 36, paragraphe 3, de la DPA 2018 autorise le traitement ultérieur des données collectées par une autorité compétente à des fins répressives (par le responsable initial du traitement ou par un autre responsable du traitement) pour toute autre finalité répressive, à condition que le responsable du traitement soit autorisé par la loi à traiter ces données pour une telle finalité et que le traitement soit nécessaire et proportionné à cette autre finalité (202). Dans ce cas, toutes les garanties prévues à la partie 3 de la DPA 2018 et visées aux considérants 122 et 124 s’appliquent au traitement effectué par l’autorité destinataire.

202

| (144) | Dans l’ordre juridique britannique, différentes lois autorisent explicitement un tel partage ultérieur. En particulier, i) la loi de 2017 sur l’économie numérique autorise le partage de données entre des autorités publiques à plusieurs fins, par exemple en cas de fraude à l’encontre du secteur public qui entraînerait une perte ou un risque de perte pour les autorités publiques (203) ou en cas de dette auprès d’une autorité publique ou de la Couronne (204); ii) la loi de 2013 sur la criminalité et les juridictions autorise le partage d’informations avec l’agence nationale de lutte contre la criminalité (National Crime Agency, NCA) (205) dans le cadre de la lutte contre la grande criminalité organisée, ainsi que des enquêtes et des poursuites en la matière; iii) la loi de 2007 sur la grande criminalité permet aux autorités publiques de divulguer des informations aux organisations antifraude à des fins de prévention de la fraude (206). |
| --- | --- |

(144)

Dans l’ordre juridique britannique, différentes lois autorisent explicitement un tel partage ultérieur. En particulier, i) la loi de 2017 sur l’économie numérique autorise le partage de données entre des autorités publiques à plusieurs fins, par exemple en cas de fraude à l’encontre du secteur public qui entraînerait une perte ou un risque de perte pour les autorités publiques (203) ou en cas de dette auprès d’une autorité publique ou de la Couronne (204); ii) la loi de 2013 sur la criminalité et les juridictions autorise le partage d’informations avec l’agence nationale de lutte contre la criminalité (National Crime Agency, NCA) (205) dans le cadre de la lutte contre la grande criminalité organisée, ainsi que des enquêtes et des poursuites en la matière; iii) la loi de 2007 sur la grande criminalité permet aux autorités publiques de divulguer des informations aux organisations antifraude à des fins de prévention de la fraude (206).

203

204

205

206

| (145) | Ces lois prévoient explicitement que le partage d’informations devrait respecter les principes énoncés dans la DPA 2018. En outre, le collège britannique de la police a publié une pratique professionnelle autorisée concernant le partage d’information (207)s afin d’aider la police à respecter ses obligations en matière de protection des données découlant du RGPD britannique, de la DPA 2018 et de la loi de 1998 sur les droits de l’homme. La conformité du partage avec le cadre juridique en vigueur en matière de protection des données est naturellement soumise à un contrôle juridictionnel (208). |
| --- | --- |

(145)

Ces lois prévoient explicitement que le partage d’informations devrait respecter les principes énoncés dans la DPA 2018. En outre, le collège britannique de la police a publié une pratique professionnelle autorisée concernant le partage d’information (207)s afin d’aider la police à respecter ses obligations en matière de protection des données découlant du RGPD britannique, de la DPA 2018 et de la loi de 1998 sur les droits de l’homme. La conformité du partage avec le cadre juridique en vigueur en matière de protection des données est naturellement soumise à un contrôle juridictionnel (208).

207

208

| (146) | Par ailleurs, à l’instar de ce que dispose l’article 9 de la directive (UE) 2016/680, la DPA 2018 prévoit que les données à caractère personnel collectées à des fins répressives peuvent être traitées à des fins autres que des fins répressives lorsque le traitement est autorisé par la loi (209). |
| --- | --- |

(146)

Par ailleurs, à l’instar de ce que dispose l’article 9 de la directive (UE) 2016/680, la DPA 2018 prévoit que les données à caractère personnel collectées à des fins répressives peuvent être traitées à des fins autres que des fins répressives lorsque le traitement est autorisé par la loi (209).

209

| (147) | Ce type de partage concerne deux scénarios: 1) le partage de données par une autorité répressive avec une autorité non répressive autre qu’une agence de renseignement (par exemple une autorité financière ou fiscale, une autorité de la concurrence, un service d’aide sociale à l’enfance, etc.); et 2) le partage de données par une autorité répressive avec une agence de renseignement. Dans le premier scénario, le traitement des données à caractère personnel relève du champ d’application du RGPD britannique, ainsi que de la partie 2 de la DPA 2018. La Commission a évalué les garanties prévues par le RGPD britannique et la partie 2 de la DPA 2018 aux considérants 12 à 111 et a conclu que le Royaume-Uni assurait un niveau de protection adéquat des données à caractère personnel transférées au titre du règlement (UE) 2016/679 de l’Union européenne vers le Royaume-Uni. |
| --- | --- |

(147)

Ce type de partage concerne deux scénarios: 1) le partage de données par une autorité répressive avec une autorité non répressive autre qu’une agence de renseignement (par exemple une autorité financière ou fiscale, une autorité de la concurrence, un service d’aide sociale à l’enfance, etc.); et 2) le partage de données par une autorité répressive avec une agence de renseignement. Dans le premier scénario, le traitement des données à caractère personnel relève du champ d’application du RGPD britannique, ainsi que de la partie 2 de la DPA 2018. La Commission a évalué les garanties prévues par le RGPD britannique et la partie 2 de la DPA 2018 aux considérants 12 à 111 et a conclu que le Royaume-Uni assurait un niveau de protection adéquat des données à caractère personnel transférées au titre du règlement (UE) 2016/679 de l’Union européenne vers le Royaume-Uni.

| (148) | Dans le deuxième scénario, en ce qui concerne le partage des données collectées par une autorité répressive avec une agence de renseignement à des fins de sécurité nationale, la base juridique autorisant un tel partage est l’article 19 de la loi de 2008 sur la lutte contre le terrorisme (CTA 2008) (210). En vertu de cette loi, toute personne peut fournir des informations à un service de renseignement, quel qu'il soit, aux fins de l’exercice de l’une de ses fonctions, notamment à des fins de «sécurité nationale». |
| --- | --- |

(148)

Dans le deuxième scénario, en ce qui concerne le partage des données collectées par une autorité répressive avec une agence de renseignement à des fins de sécurité nationale, la base juridique autorisant un tel partage est l’article 19 de la loi de 2008 sur la lutte contre le terrorisme (CTA 2008) (210). En vertu de cette loi, toute personne peut fournir des informations à un service de renseignement, quel qu'il soit, aux fins de l’exercice de l’une de ses fonctions, notamment à des fins de «sécurité nationale».

210

| (149) | S’agissant des conditions dans lesquelles les données peuvent être partagées à des fins de sécurité nationale, la loi sur les services de renseignement (211) et la loi sur les services de sécurité (212) limitent la capacité des services de renseignement à obtenir des données à ce qui est nécessaire aux fins de l’exercice de leurs pouvoirs réglementaires. Les services répressifs qui veulent partager des données avec les services de renseignement devront prendre en considération un certain nombre de facteurs/limitations, outre les pouvoirs réglementaires de ces services qui sont décrits dans la loi sur les services de renseignement et la loi sur les services de sécurité (213). L’article 20 de la CTA 2008 établit clairement que tout partage de données conforme à l’article 19 doit néanmoins respecter la législation relative à la protection des données; autrement dit, l’ensemble des limitations et des exigences prévues à la partie 3 de la DPA 2018 s’applique. En outre, dans la mesure où les autorités compétentes sont des autorités publiques au sens de la loi de 1998 sur les droits de l’homme, elles doivent veiller à agir dans le respect des droits reconnus par la convention, notamment l’article 8 de la CEDH. Ces limitations garantissent que tout partage de données entre les services répressifs et les services de renseignement respecte la législation relative à la protection des données et la CEDH. |
| --- | --- |

(149)

S’agissant des conditions dans lesquelles les données peuvent être partagées à des fins de sécurité nationale, la loi sur les services de renseignement (211) et la loi sur les services de sécurité (212) limitent la capacité des services de renseignement à obtenir des données à ce qui est nécessaire aux fins de l’exercice de leurs pouvoirs réglementaires. Les services répressifs qui veulent partager des données avec les services de renseignement devront prendre en considération un certain nombre de facteurs/limitations, outre les pouvoirs réglementaires de ces services qui sont décrits dans la loi sur les services de renseignement et la loi sur les services de sécurité (213). L’article 20 de la CTA 2008 établit clairement que tout partage de données conforme à l’article 19 doit néanmoins respecter la législation relative à la protection des données; autrement dit, l’ensemble des limitations et des exigences prévues à la partie 3 de la DPA 2018 s’applique. En outre, dans la mesure où les autorités compétentes sont des autorités publiques au sens de la loi de 1998 sur les droits de l’homme, elles doivent veiller à agir dans le respect des droits reconnus par la convention, notamment l’article 8 de la CEDH. Ces limitations garantissent que tout partage de données entre les services répressifs et les services de renseignement respecte la législation relative à la protection des données et la CEDH.

211

212

213

| (150) | Lorsqu’une autorité compétente envisage de partager des données à caractère personnel traitées au titre de la partie 3 de la DPA 2018 avec les autorités répressives d’un pays tiers, des exigences spécifiques s’appliquent (214). En particulier, ces transferts peuvent avoir lieu lorsqu’ils sont fondés sur des règlements d’adéquation adoptés par le secrétaire d’État ou, en l’absence de tels règlements, lorsque des garanties appropriées sont prévues. L’article 75 de la DPA 2018 prévoit que des garanties appropriées sont en place lorsqu’elles ont été instaurées par un instrument juridique contraignant pour le destinataire prévu, ou lorsque le responsable du traitement, après avoir apprécié l’ensemble des circonstances entourant les transferts de ce type de données à caractère personnel vers le pays tiers ou à l’organisation internationale concernée, conclut que des garanties appropriées existent aux fins de la protection des données. |
| --- | --- |

(150)

Lorsqu’une autorité compétente envisage de partager des données à caractère personnel traitées au titre de la partie 3 de la DPA 2018 avec les autorités répressives d’un pays tiers, des exigences spécifiques s’appliquent (214). En particulier, ces transferts peuvent avoir lieu lorsqu’ils sont fondés sur des règlements d’adéquation adoptés par le secrétaire d’État ou, en l’absence de tels règlements, lorsque des garanties appropriées sont prévues. L’article 75 de la DPA 2018 prévoit que des garanties appropriées sont en place lorsqu’elles ont été instaurées par un instrument juridique contraignant pour le destinataire prévu, ou lorsque le responsable du traitement, après avoir apprécié l’ensemble des circonstances entourant les transferts de ce type de données à caractère personnel vers le pays tiers ou à l’organisation internationale concernée, conclut que des garanties appropriées existent aux fins de la protection des données.

214

| (151) | Si un transfert n’est pas fondé sur un règlement d’adéquation ou des garanties appropriées, il ne peut avoir lieu que dans certaines circonstances bien précises, appelées «circonstances particulières» (215). Tel est le cas lorsque le transfert est nécessaire: a) à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne; b) à la sauvegarde des intérêts légitimes de la personne concernée; c) à la prévention d’une menace grave et immédiate pour la sécurité publique d’un État membre ou d’un pays tiers; d) dans des cas particuliers, pour l’une des finalités répressives; ou e) dans des cas particuliers, à des fins juridiques (par exemple, dans le cadre d’une procédure judiciaire ou pour obtenir un avis juridique). Il est à noter que les points d) et e) ne s’appliquent pas si les droits et libertés de la personne concernée l’emportent sur l’intérêt public dans le cadre du transfert. Cet ensemble de circonstances correspond aux situations et aux conditions particulières qui sont considérées comme des «dérogations» au titre de l’article 38 de la directive (UE) 2016/680. |
| --- | --- |

(151)

Si un transfert n’est pas fondé sur un règlement d’adéquation ou des garanties appropriées, il ne peut avoir lieu que dans certaines circonstances bien précises, appelées «circonstances particulières» (215). Tel est le cas lorsque le transfert est nécessaire: a) à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne; b) à la sauvegarde des intérêts légitimes de la personne concernée; c) à la prévention d’une menace grave et immédiate pour la sécurité publique d’un État membre ou d’un pays tiers; d) dans des cas particuliers, pour l’une des finalités répressives; ou e) dans des cas particuliers, à des fins juridiques (par exemple, dans le cadre d’une procédure judiciaire ou pour obtenir un avis juridique). Il est à noter que les points d) et e) ne s’appliquent pas si les droits et libertés de la personne concernée l’emportent sur l’intérêt public dans le cadre du transfert. Cet ensemble de circonstances correspond aux situations et aux conditions particulières qui sont considérées comme des «dérogations» au titre de l’article 38 de la directive (UE) 2016/680.

215

| (152) | De plus, lors de la remise à un pays tiers des éléments obtenus par des autorités répressives en vertu d’un mandat autorisant le recours à l’interception de communications ou à l’interférence avec des équipements, l’IPA 2016 impose des garanties supplémentaires. En particulier, une telle divulgation, définie comme une «divulgation à l’étranger», n’est autorisée que si l’autorité émettrice considère que des dispositions spécifiques appropriées sont en vigueur afin de limiter le nombre de personnes à qui les données sont divulguées, la mesure dans laquelle les éléments sont divulgués ou mis à disposition, ainsi que la mesure dans laquelle les éléments sont copiés et le nombre de copies réalisées. Par ailleurs, l’autorité émettrice peut considérer que des dispositions appropriées sont nécessaires pour garantir que toute copie d’une partie de ces éléments est détruite dès lors qu’il n’existe plus de motifs pertinents de la conserver (si elle n’a pas déjà été détruite) (216). |
| --- | --- |

(152)

De plus, lors de la remise à un pays tiers des éléments obtenus par des autorités répressives en vertu d’un mandat autorisant le recours à l’interception de communications ou à l’interférence avec des équipements, l’IPA 2016 impose des garanties supplémentaires. En particulier, une telle divulgation, définie comme une «divulgation à l’étranger», n’est autorisée que si l’autorité émettrice considère que des dispositions spécifiques appropriées sont en vigueur afin de limiter le nombre de personnes à qui les données sont divulguées, la mesure dans laquelle les éléments sont divulgués ou mis à disposition, ainsi que la mesure dans laquelle les éléments sont copiés et le nombre de copies réalisées. Par ailleurs, l’autorité émettrice peut considérer que des dispositions appropriées sont nécessaires pour garantir que toute copie d’une partie de ces éléments est détruite dès lors qu’il n’existe plus de motifs pertinents de la conserver (si elle n’a pas déjà été détruite) (216).

216

| (153) | Enfin, certains types de transferts ultérieurs du Royaume-Uni vers les États-Unis pourraient avoir lieu à l’avenir sur la base de l’accord entre le gouvernement du Royaume-Uni de Grande-Bretagne et d’Irlande du Nord et le gouvernement des États-Unis d’Amérique relatif à l’accès aux données électroniques à des fins de lutte contre la grande criminalité (ci-après l’«accord Royaume-Uni/États-Unis» ou l’«accord») (217), conclu en octobre 2019 (218). Bien que l’accord Royaume-Uni/États-Unis ne soit pas encore entré en vigueur au moment de l’adoption de la présente décision, son entrée en vigueur prochaine est susceptible d’avoir une incidence sur les transferts ultérieurs vers les États-Unis de données transférées en premier lieu vers le Royaume-Uni sur la base de la présente décision. Plus précisément, les données transférées depuis l’Union à des prestataires de services au Royaume-Uni pourraient faire l’objet d’injonctions de production de preuves électroniques émises par des autorités répressives américaines et rendues applicables au Royaume-Uni par cet accord, une fois celui-ci en vigueur. C’est la raison pour laquelle l’évaluation des conditions dans lesquelles de telles injonctions peuvent être émises et exécutées, ainsi que des garanties applicables, est pertinente pour la présente décision. |
| --- | --- |

(153)

Enfin, certains types de transferts ultérieurs du Royaume-Uni vers les États-Unis pourraient avoir lieu à l’avenir sur la base de l’accord entre le gouvernement du Royaume-Uni de Grande-Bretagne et d’Irlande du Nord et le gouvernement des États-Unis d’Amérique relatif à l’accès aux données électroniques à des fins de lutte contre la grande criminalité (ci-après l’«accord Royaume-Uni/États-Unis» ou l’«accord») (217), conclu en octobre 2019 (218). Bien que l’accord Royaume-Uni/États-Unis ne soit pas encore entré en vigueur au moment de l’adoption de la présente décision, son entrée en vigueur prochaine est susceptible d’avoir une incidence sur les transferts ultérieurs vers les États-Unis de données transférées en premier lieu vers le Royaume-Uni sur la base de la présente décision. Plus précisément, les données transférées depuis l’Union à des prestataires de services au Royaume-Uni pourraient faire l’objet d’injonctions de production de preuves électroniques émises par des autorités répressives américaines et rendues applicables au Royaume-Uni par cet accord, une fois celui-ci en vigueur. C’est la raison pour laquelle l’évaluation des conditions dans lesquelles de telles injonctions peuvent être émises et exécutées, ainsi que des garanties applicables, est pertinente pour la présente décision.

217

218

| (154) | À cet égard, il convient de noter que premièrement, en ce qui concerne son champ d’application matériel, l’accord ne s’applique qu’aux infractions passibles d’une peine maximale d’au moins trois ans d’emprisonnement (définies comme des «infractions graves») (219), y compris les «activités terroristes». Deuxièmement, les données traitées dans l’autre juridiction ne peuvent être obtenues au titre de cet accord qu’à la suite d’une «injonction [...] sous réserve de l’examen ou du contrôle, en vertu du droit interne de la partie émettrice, d’une juridiction, d’un juge, d’un magistrat ou d’une autre autorité indépendante avant l’exécution de l’injonction, ou au cours d’une procédure y afférente» (220). Troisièmement, toute injonction doit «être fondée sur l’exigence d’une justification raisonnable reposant sur des faits explicables et crédibles, ainsi que sur la particularité, la légalité et la gravité de la conduite faisant l’objet de l’enquête» (221) et «viser des comptes spécifiques, ainsi que désigner une personne, un compte, une adresse ou un équipement personnel en particulier, ou tout autre identifiant spécifique» (222). Quatrièmement, les données obtenues au titre de cet accord bénéficient de protections équivalentes aux garanties spécifiques prévues par l’«accord-cadre UE-États-Unis» (223) —un accord global sur la protection des données conclu en décembre 2016 par l’Union et les États-Unis qui établit les garanties et les droits applicables aux transferts de données dans le domaine de la coopération des services répressifs – qui sont toutes intégrées dans cet accord par référence mutatis mutandis, notamment afin de tenir compte de la nature spécifique des transferts (à savoir des transferts d’opérateurs privés à une autorité répressive, et non des transferts entre autorités répressives) (224). L’accord Royaume-Uni/États-Unis prévoit expressément que des protections équivalentes à celles prévues par l’accord-cadre UE-États-Unis s’appliqueront «à toutes les informations à caractère personnel produites dans le cadre de l’exécution d’injonctions au titre de l’accord, afin de fournir des protections équivalentes» (225). |
| --- | --- |

(154)

À cet égard, il convient de noter que premièrement, en ce qui concerne son champ d’application matériel, l’accord ne s’applique qu’aux infractions passibles d’une peine maximale d’au moins trois ans d’emprisonnement (définies comme des «infractions graves») (219), y compris les «activités terroristes». Deuxièmement, les données traitées dans l’autre juridiction ne peuvent être obtenues au titre de cet accord qu’à la suite d’une «injonction [...] sous réserve de l’examen ou du contrôle, en vertu du droit interne de la partie émettrice, d’une juridiction, d’un juge, d’un magistrat ou d’une autre autorité indépendante avant l’exécution de l’injonction, ou au cours d’une procédure y afférente» (220). Troisièmement, toute injonction doit «être fondée sur l’exigence d’une justification raisonnable reposant sur des faits explicables et crédibles, ainsi que sur la particularité, la légalité et la gravité de la conduite faisant l’objet de l’enquête» (221) et «viser des comptes spécifiques, ainsi que désigner une personne, un compte, une adresse ou un équipement personnel en particulier, ou tout autre identifiant spécifique» (222). Quatrièmement, les données obtenues au titre de cet accord bénéficient de protections équivalentes aux garanties spécifiques prévues par l’«accord-cadre UE-États-Unis» (223) —un accord global sur la protection des données conclu en décembre 2016 par l’Union et les États-Unis qui établit les garanties et les droits applicables aux transferts de données dans le domaine de la coopération des services répressifs – qui sont toutes intégrées dans cet accord par référence mutatis mutandis, notamment afin de tenir compte de la nature spécifique des transferts (à savoir des transferts d’opérateurs privés à une autorité répressive, et non des transferts entre autorités répressives) (224). L’accord Royaume-Uni/États-Unis prévoit expressément que des protections équivalentes à celles prévues par l’accord-cadre UE-États-Unis s’appliqueront «à toutes les informations à caractère personnel produites dans le cadre de l’exécution d’injonctions au titre de l’accord, afin de fournir des protections équivalentes» (225).

219

220

221

222

223

224

225

| (155) | Les données transférées aux autorités américaines en vertu de l’accord Royaume-Uni/États-Unis devraient donc bénéficier des mêmes protections que celles prévues par un instrument du droit de l’Union, sous réserve des adaptations nécessaires en vue de refléter la nature des transferts en question. Les autorités britanniques ont par ailleurs confirmé que les protections prévues par l’accord-cadre s’appliqueront à l’ensemble des informations à caractère personnel produites ou conservées au titre de l’accord, indépendamment de la nature ou du type d’organisme introduisant la demande (par exemple, les autorités répressives fédérales et des États aux États-Unis), afin qu’une protection équivalente soit prévue dans tous les cas. Toutefois, les autorités britanniques ont également expliqué que les détails de la mise en œuvre concrète des garanties en matière de protection des données font toujours l’objet de discussions entre le Royaume-Uni et les États-Unis. Dans le cadre des discussions avec les services de la Commission européenne sur la présente décision, les autorités britanniques ont confirmé qu’elles ne consentiraient à l’entrée en vigueur de l’accord qu’après s’être assurées que sa mise en œuvre est conforme aux obligations juridiques prévues par celui-ci et après avoir obtenu des éclaircissements en ce qui concerne le respect des normes en matière de protection des données pour toute donnée demandée au titre de cet accord. Dans la mesure où l’entrée en vigueur de l’accord est susceptible d’influer sur le niveau de protection évalué dans la présente décision, le Royaume-Uni est tenu de communiquer à la Commission européenne toute information et tout éclaircissement sur la manière dont les États-Unis respecteront les obligations leur incombant en vertu de l’accord, dès que cette information est disponible et, en tout état de cause, avant l’entrée en vigueur de l’accord, afin de garantir le suivi approprié de la présente décision conformément à l’article 45, paragraphe 4, du règlement (UE) 2016/679. Une attention particulière sera accordée à l’application et à l’adaptation des protections prévues par l’accord-cadre en fonction du type spécifique de transferts couverts par l’accord Royaume-Uni/États-Unis. |
| --- | --- |

(155)

Les données transférées aux autorités américaines en vertu de l’accord Royaume-Uni/États-Unis devraient donc bénéficier des mêmes protections que celles prévues par un instrument du droit de l’Union, sous réserve des adaptations nécessaires en vue de refléter la nature des transferts en question. Les autorités britanniques ont par ailleurs confirmé que les protections prévues par l’accord-cadre s’appliqueront à l’ensemble des informations à caractère personnel produites ou conservées au titre de l’accord, indépendamment de la nature ou du type d’organisme introduisant la demande (par exemple, les autorités répressives fédérales et des États aux États-Unis), afin qu’une protection équivalente soit prévue dans tous les cas. Toutefois, les autorités britanniques ont également expliqué que les détails de la mise en œuvre concrète des garanties en matière de protection des données font toujours l’objet de discussions entre le Royaume-Uni et les États-Unis. Dans le cadre des discussions avec les services de la Commission européenne sur la présente décision, les autorités britanniques ont confirmé qu’elles ne consentiraient à l’entrée en vigueur de l’accord qu’après s’être assurées que sa mise en œuvre est conforme aux obligations juridiques prévues par celui-ci et après avoir obtenu des éclaircissements en ce qui concerne le respect des normes en matière de protection des données pour toute donnée demandée au titre de cet accord. Dans la mesure où l’entrée en vigueur de l’accord est susceptible d’influer sur le niveau de protection évalué dans la présente décision, le Royaume-Uni est tenu de communiquer à la Commission européenne toute information et tout éclaircissement sur la manière dont les États-Unis respecteront les obligations leur incombant en vertu de l’accord, dès que cette information est disponible et, en tout état de cause, avant l’entrée en vigueur de l’accord, afin de garantir le suivi approprié de la présente décision conformément à l’article 45, paragraphe 4, du règlement (UE) 2016/679. Une attention particulière sera accordée à l’application et à l’adaptation des protections prévues par l’accord-cadre en fonction du type spécifique de transferts couverts par l’accord Royaume-Uni/États-Unis.

| (156) | De manière plus générale, toute évolution pertinente concernant l’entrée en vigueur et l’application de l’accord sera dûment prise en compte dans le cadre du suivi permanent de la présente décision, notamment s’agissant des conséquences nécessaires à tirer s’il y a la moindre indication qu’un niveau de protection essentiellement équivalent n’est plus assuré. |
| --- | --- |

(156)

De manière plus générale, toute évolution pertinente concernant l’entrée en vigueur et l’application de l’accord sera dûment prise en compte dans le cadre du suivi permanent de la présente décision, notamment s’agissant des conséquences nécessaires à tirer s’il y a la moindre indication qu’un niveau de protection essentiellement équivalent n’est plus assuré.

3.2.3.   Surveillance

Surveillance

| (157) | En fonction des pouvoirs utilisés par les autorités compétentes lorsqu’elles traitent des données à caractère personnel à des fins répressives (que ce soit au titre de la DPA 2018 ou de l’IPA 2016), différents organes assurent la surveillance de l’utilisation de ces pouvoirs. Le commissaire à l’information surveille en particulier le traitement des données à caractère personnel lorsqu’il relève de la partie 3 de la DPA 2018 (226). Le Bureau du commissaire aux pouvoirs d’enquête (Investigatory Powers Commissioner’s Office, IPCO) est responsable de la surveillance indépendante et judiciaire de l’utilisation des pouvoirs d’enquête au titre de l’IPA 2016 (227) (les considérants 250 à 255 traitent de cette surveillance). De plus, le Parlement et d’autres organes assurent une surveillance supplémentaire. |
| --- | --- |

(157)

En fonction des pouvoirs utilisés par les autorités compétentes lorsqu’elles traitent des données à caractère personnel à des fins répressives (que ce soit au titre de la DPA 2018 ou de l’IPA 2016), différents organes assurent la surveillance de l’utilisation de ces pouvoirs. Le commissaire à l’information surveille en particulier le traitement des données à caractère personnel lorsqu’il relève de la partie 3 de la DPA 2018 (226). Le Bureau du commissaire aux pouvoirs d’enquête (Investigatory Powers Commissioner’s Office, IPCO) est responsable de la surveillance indépendante et judiciaire de l’utilisation des pouvoirs d’enquête au titre de l’IPA 2016 (227) (les considérants 250 à 255 traitent de cette surveillance). De plus, le Parlement et d’autres organes assurent une surveillance supplémentaire.

226

Investigatory Powers Commissioner’s Office

227

3.2.3.1.   Surveillance de la partie 3 de la DPA 2018

Surveillance de la partie 3 de la DPA 2018

| (158) | Les fonctions générales du commissaire à l’information — dont l’indépendance et l’organisation sont décrites au considérant 87 — en ce qui concerne le traitement de données à caractère personnel relevant de la partie 3 de la DPA 2018 sont définies à l’annexe 13 de ladite loi. La mission principale de l’ICO consiste à surveiller et à faire appliquer la partie 3 de la DPA 2018, ainsi qu’à favoriser la sensibilisation du public et à conseiller le Parlement, le gouvernement et d’autres institutions et organes. Afin de préserver l’indépendance du pouvoir judiciaire, le commissaire à l’information n’est pas autorisé à exercer ses fonctions dans le cadre du traitement de données à caractère personnel par une personne physique ou une juridiction agissant dans l’exercice de sa fonction juridictionnelle. Dans un tel cas, d’autres organes exercent les fonctions de surveillance, comme l’expliquent les considérants 99 à 103. |
| --- | --- |

(158)

Les fonctions générales du commissaire à l’information — dont l’indépendance et l’organisation sont décrites au considérant 87 — en ce qui concerne le traitement de données à caractère personnel relevant de la partie 3 de la DPA 2018 sont définies à l’annexe 13 de ladite loi. La mission principale de l’ICO consiste à surveiller et à faire appliquer la partie 3 de la DPA 2018, ainsi qu’à favoriser la sensibilisation du public et à conseiller le Parlement, le gouvernement et d’autres institutions et organes. Afin de préserver l’indépendance du pouvoir judiciaire, le commissaire à l’information n’est pas autorisé à exercer ses fonctions dans le cadre du traitement de données à caractère personnel par une personne physique ou une juridiction agissant dans l’exercice de sa fonction juridictionnelle. Dans un tel cas, d’autres organes exercent les fonctions de surveillance, comme l’expliquent les considérants 99 à 103.

| (159) | Le commissaire dispose de pouvoirs généraux d’enquête, de correction, d’autorisation et de conseil en lien avec le traitement de données à caractère personnel auquel s’applique la partie 3. En particulier, le commissaire dispose du pouvoir de notifier au responsable du traitement ou au sous-traitant une violation alléguée de la partie 3 de la DPA 2018, d’avertir ou de rappeler à l’ordre un responsable du traitement ou un sous-traitant qui a violé les dispositions de la partie 3 de cette loi, et d’émettre, de sa propre initiative ou sur demande, des avis à l’attention du Parlement, du gouvernement ou d’autres institutions et organismes ainsi que du public, sur toute question relative à la protection des données à caractère personnel (228). |
| --- | --- |

(159)

Le commissaire dispose de pouvoirs généraux d’enquête, de correction, d’autorisation et de conseil en lien avec le traitement de données à caractère personnel auquel s’applique la partie 3. En particulier, le commissaire dispose du pouvoir de notifier au responsable du traitement ou au sous-traitant une violation alléguée de la partie 3 de la DPA 2018, d’avertir ou de rappeler à l’ordre un responsable du traitement ou un sous-traitant qui a violé les dispositions de la partie 3 de cette loi, et d’émettre, de sa propre initiative ou sur demande, des avis à l’attention du Parlement, du gouvernement ou d’autres institutions et organismes ainsi que du public, sur toute question relative à la protection des données à caractère personnel (228).

228

| (160) | De plus, le commissaire dispose du pouvoir d’émettre des avis d’information (229), des avis d’évaluation (230) et des avis d’exécution (231), du pouvoir d’accéder aux documents et aux locaux (232) des responsables du traitement et des sous-traitants, ainsi que du pouvoir d’infliger des amendes administratives sous la forme d’avis de sanction (233). La politique d’action réglementaire de l’ICO décrit les circonstances dans lesquelles il émet respectivement un avis d’information, d’évaluation, d’exécution ou de sanction (234) [voir également le considérant 93 et les considérants 101 et 102 de la décision d’adéquation en vertu de la directive (UE) 2016/680]. |
| --- | --- |

(160)

De plus, le commissaire dispose du pouvoir d’émettre des avis d’information (229), des avis d’évaluation (230) et des avis d’exécution (231), du pouvoir d’accéder aux documents et aux locaux (232) des responsables du traitement et des sous-traitants, ainsi que du pouvoir d’infliger des amendes administratives sous la forme d’avis de sanction (233). La politique d’action réglementaire de l’ICO décrit les circonstances dans lesquelles il émet respectivement un avis d’information, d’évaluation, d’exécution ou de sanction (234) [voir également le considérant 93 et les considérants 101 et 102 de la décision d’adéquation en vertu de la directive (UE) 2016/680].

229

230

231

232

233

234

| (161) | Selon ses derniers rapports annuels (2018-2019 (235), 2019-2020 (236)), le commissaire à l’information a réalisé un certain nombre d’enquêtes et a pris des mesures d’exécution concernant le traitement de données par les autorités répressives. Le commissaire a, par exemple, mené une enquête et publié un avis en octobre 2019 concernant l’utilisation par les autorités répressives des technologies de reconnaissance faciale dans les lieux publics. L’enquête s’est notamment concentrée sur l’utilisation des capacités de reconnaissance faciale en direct par la South Wales Police et le Metropolitan Police Service (MPS). Le commissaire à l’information a également enquêté sur la «Gangs matrix» (237) du MPS et a constaté un ensemble de violations graves du droit relatif à la protection des données susceptibles de saper la confiance du public dans cette base de données et dans la manière dont les données étaient utilisées. En novembre 2018, le commissaire à l’information a émis un avis d’exécution et le MPS a ensuite adopté les mesures nécessaires afin de renforcer la sécurité et la responsabilité et de garantir une utilisation proportionnée des données. L’amende de 325 000 GBP infligée en mai 2018 par le commissaire au ministère public de la Couronne pour avoir perdu des DVD non chiffrés contenant des enregistrements d’interrogatoires de police constitue un autre exemple de mesure répressive dans ce domaine. Le commissaire à l’information a également enquêté sur des sujets plus généraux. Par exemple, au cours du premier semestre 2020, il s’est intéressé à l’extraction de données des téléphones portables à des fins policières et au traitement des données des victimes par la police. De plus, le commissaire enquête actuellement sur une affaire concernant l’accès des autorités répressives aux données détenues par une entité du secteur privé, Clearview AI Inc. (238) |
| --- | --- |

(161)

Selon ses derniers rapports annuels (2018-2019 (235), 2019-2020 (236)), le commissaire à l’information a réalisé un certain nombre d’enquêtes et a pris des mesures d’exécution concernant le traitement de données par les autorités répressives. Le commissaire a, par exemple, mené une enquête et publié un avis en octobre 2019 concernant l’utilisation par les autorités répressives des technologies de reconnaissance faciale dans les lieux publics. L’enquête s’est notamment concentrée sur l’utilisation des capacités de reconnaissance faciale en direct par la South Wales Police et le Metropolitan Police Service (MPS). Le commissaire à l’information a également enquêté sur la «Gangs matrix» (237) du MPS et a constaté un ensemble de violations graves du droit relatif à la protection des données susceptibles de saper la confiance du public dans cette base de données et dans la manière dont les données étaient utilisées. En novembre 2018, le commissaire à l’information a émis un avis d’exécution et le MPS a ensuite adopté les mesures nécessaires afin de renforcer la sécurité et la responsabilité et de garantir une utilisation proportionnée des données. L’amende de 325 000 GBP infligée en mai 2018 par le commissaire au ministère public de la Couronne pour avoir perdu des DVD non chiffrés contenant des enregistrements d’interrogatoires de police constitue un autre exemple de mesure répressive dans ce domaine. Le commissaire à l’information a également enquêté sur des sujets plus généraux. Par exemple, au cours du premier semestre 2020, il s’est intéressé à l’extraction de données des téléphones portables à des fins policières et au traitement des données des victimes par la police. De plus, le commissaire enquête actuellement sur une affaire concernant l’accès des autorités répressives aux données détenues par une entité du secteur privé, Clearview AI Inc. (238)

235

236

237

238

| (162) | Outre les pouvoirs d’exécution du commissaire à l’information mentionnés aux considérants 160 et 161, certaines violations de la législation relative à la protection des données constituent des infractions et peuvent donc faire l’objet de sanctions pénales (article 196 de la DPA 2018). Ces infractions consistent, par exemple, à obtenir, à divulguer ou à conserver des données à caractère personnel sans le consentement du responsable du traitement et à obtenir la divulgation de données à caractère personnel à une autre personne sans le consentement du responsable du traitement (239), à réidentifier des informations qui constituent des données à caractère personnel anonymisées sans le consentement du responsable du traitement responsable de l’anonymisation de ces données (240), à empêcher, de manière intentionnelle, le commissaire d’exercer ses pouvoirs dans le cadre de l’inspection de données à caractère personnel conformément aux obligations internationales (241), à faire de fausses déclarations en réponse à un avis d’information, ou à détruire des informations en rapport avec des avis d’information et d’évaluation (242). |
| --- | --- |

(162)

Outre les pouvoirs d’exécution du commissaire à l’information mentionnés aux considérants 160 et 161, certaines violations de la législation relative à la protection des données constituent des infractions et peuvent donc faire l’objet de sanctions pénales (article 196 de la DPA 2018). Ces infractions consistent, par exemple, à obtenir, à divulguer ou à conserver des données à caractère personnel sans le consentement du responsable du traitement et à obtenir la divulgation de données à caractère personnel à une autre personne sans le consentement du responsable du traitement (239), à réidentifier des informations qui constituent des données à caractère personnel anonymisées sans le consentement du responsable du traitement responsable de l’anonymisation de ces données (240), à empêcher, de manière intentionnelle, le commissaire d’exercer ses pouvoirs dans le cadre de l’inspection de données à caractère personnel conformément aux obligations internationales (241), à faire de fausses déclarations en réponse à un avis d’information, ou à détruire des informations en rapport avec des avis d’information et d’évaluation (242).

239

240

241

242

3.2.3.2.   Autres organes de surveillance dans le domaine de l’application du droit pénal

Autres organes de surveillance dans le domaine de l’application du droit pénal

| (163) | Outre le commissaire à l’information, il existe plusieurs autres organes de surveillance dans le domaine de l’application du droit pénal, qui disposent de mandats spécifiques concernant les questions de protection des données. Il s’agit par exemple du commissaire à la conservation et à l’utilisation de matériel biométrique (le «commissaire au matériel biométrique») (243) et du commissaire aux caméras de surveillance (244). |
| --- | --- |

(163)

Outre le commissaire à l’information, il existe plusieurs autres organes de surveillance dans le domaine de l’application du droit pénal, qui disposent de mandats spécifiques concernant les questions de protection des données. Il s’agit par exemple du commissaire à la conservation et à l’utilisation de matériel biométrique (le «commissaire au matériel biométrique») (243) et du commissaire aux caméras de surveillance (244).

243

244

3.2.3.3.   Surveillance parlementaire dans le domaine de l’application du droit pénal

| (164) | La commission spéciale des affaires intérieures (Home Affairs Select Committee, HASC) assure la surveillance parlementaire dans le domaine de l’application du droit. Elle est composée de 11 parlementaires, issus des trois principaux partis politiques. Elle est chargée d’examiner les dépenses, la gestion et la politique du ministère de l’intérieur et des organes publics qui s’y rattachent, à savoir notamment la police et la NCA, dont les travaux peuvent faire l’objet d’une attention particulière de la part de la commission (245). |
| --- | --- |

(164)

La commission spéciale des affaires intérieures (Home Affairs Select Committee, HASC) assure la surveillance parlementaire dans le domaine de l’application du droit. Elle est composée de 11 parlementaires, issus des trois principaux partis politiques. Elle est chargée d’examiner les dépenses, la gestion et la politique du ministère de l’intérieur et des organes publics qui s’y rattachent, à savoir notamment la police et la NCA, dont les travaux peuvent faire l’objet d’une attention particulière de la part de la commission (245).

Home Affairs Select Committee

245

| (165) | La commission peut, dans la limite de ses compétences, choisir elle-même les sujets sur lesquels elle enquête, notamment des cas spécifiques, à condition que la justice n’en ait pas été saisie. La commission peut également chercher à obtenir des preuves écrites et orales auprès d’un large éventail de groupes et de personnes concernés. Elle produit des rapports sur ses constatations et formule des recommandations à l’intention du gouvernement (246). Le gouvernement doit répondre à chacune des recommandations des rapports, et ce dans un délai de 60 jours (247). |
| --- | --- |

(165)

La commission peut, dans la limite de ses compétences, choisir elle-même les sujets sur lesquels elle enquête, notamment des cas spécifiques, à condition que la justice n’en ait pas été saisie. La commission peut également chercher à obtenir des preuves écrites et orales auprès d’un large éventail de groupes et de personnes concernés. Elle produit des rapports sur ses constatations et formule des recommandations à l’intention du gouvernement (246). Le gouvernement doit répondre à chacune des recommandations des rapports, et ce dans un délai de 60 jours (247).

246

247

| (166) | Dans le domaine de la surveillance, la commission a publié un rapport concernant la loi de 2000 portant réglementation des pouvoirs d’enquête (RIPA 2000) (248), qui a conclu que cette loi n’était pas à même de remplir les objectifs fixés. Son rapport a été pris en compte lors du remplacement de plusieurs parties importantes de la RIPA 2000 par l’IPA 2016. Une liste complète des enquêtes est disponible sur le site internet de la commission (249). |
| --- | --- |

(166)

Dans le domaine de la surveillance, la commission a publié un rapport concernant la loi de 2000 portant réglementation des pouvoirs d’enquête (RIPA 2000) (248), qui a conclu que cette loi n’était pas à même de remplir les objectifs fixés. Son rapport a été pris en compte lors du remplacement de plusieurs parties importantes de la RIPA 2000 par l’IPA 2016. Une liste complète des enquêtes est disponible sur le site internet de la commission (249).

248

249

| (167) | Les missions de la HASC sont exécutées par la sous-commission de la justice sur la police en Écosse et par la commission pour la justice en Irlande du Nord (250). |
| --- | --- |

(167)

Les missions de la HASC sont exécutées par la sous-commission de la justice sur la police en Écosse et par la commission pour la justice en Irlande du Nord (250).

250

3.2.4.   Recours

Recours

| (168) | En ce qui concerne le traitement de données par les autorités répressives, des mécanismes de recours sont prévus par la partie 3 de la DPA 2018 et par l’IPA 2016, ainsi que par la loi de 1998 sur les droits de l’homme. |
| --- | --- |

(168)

En ce qui concerne le traitement de données par les autorités répressives, des mécanismes de recours sont prévus par la partie 3 de la DPA 2018 et par l’IPA 2016, ainsi que par la loi de 1998 sur les droits de l’homme.

| (169) | Cet ensemble de mécanismes donne aux personnes concernées des moyens de recours administratif et judiciaire efficaces, qui leur permettent notamment de protéger leurs droits, y compris le droit d’accéder aux données à caractère personnel les concernant ou d’obtenir la rectification ou l’effacement de telles données. |
| --- | --- |

(169)

Cet ensemble de mécanismes donne aux personnes concernées des moyens de recours administratif et judiciaire efficaces, qui leur permettent notamment de protéger leurs droits, y compris le droit d’accéder aux données à caractère personnel les concernant ou d’obtenir la rectification ou l’effacement de telles données.

| (170) | Premièrement, conformément à l’article 165 de la DPA 2018, une personne concernée a le droit d’introduire une réclamation auprès du commissaire à l’information si elle considère qu’une violation de la partie 3 de la DPA 2018 a été commise en lien avec des données à caractère personnel la concernant (251). Le commissaire à l’information a le pouvoir d’évaluer le respect de la DPA 2018 par le responsable du traitement et le sous-traitant, de les obliger à prendre les mesures nécessaires en cas de non-respect et d’imposer des amendes. |
| --- | --- |

(170)

Premièrement, conformément à l’article 165 de la DPA 2018, une personne concernée a le droit d’introduire une réclamation auprès du commissaire à l’information si elle considère qu’une violation de la partie 3 de la DPA 2018 a été commise en lien avec des données à caractère personnel la concernant (251). Le commissaire à l’information a le pouvoir d’évaluer le respect de la DPA 2018 par le responsable du traitement et le sous-traitant, de les obliger à prendre les mesures nécessaires en cas de non-respect et d’imposer des amendes.

251

| (171) | Deuxièmement, la DPA 2018 prévoit un droit de recours contre le commissaire à l’information si celui-ci ne traite pas de manière appropriée une réclamation introduite par la personne concernée. Plus précisément, si le commissaire ne «donne pas suite» (252) à une réclamation introduite par la personne concernée, l’auteur de la réclamation a le droit de former un recours juridictionnel puisqu’il peut demander à un tribunal de première instance (253) d’ordonner au commissaire de prendre les mesures appropriées pour donner suite à la réclamation ou pour informer l’auteur de la réclamation de l’état d’avancement de la réclamation (254). En outre, toute personne à qui le commissaire adresse l’un des avis susmentionnés (avis d’information, d’évaluation, d’exécution ou de sanction) peut former un recours devant un tribunal de première instance. S’il considère que la décision du commissaire n’est pas conforme au droit ou que le commissaire à l’information aurait dû exercer son pouvoir discrétionnaire différemment, le tribunal doit faire droit au recours ou remplacer la décision du commissaire par un autre avis ou une autre décision que celui-ci aurait pu émettre ou prendre (255). |
| --- | --- |

(171)

Deuxièmement, la DPA 2018 prévoit un droit de recours contre le commissaire à l’information si celui-ci ne traite pas de manière appropriée une réclamation introduite par la personne concernée. Plus précisément, si le commissaire ne «donne pas suite» (252) à une réclamation introduite par la personne concernée, l’auteur de la réclamation a le droit de former un recours juridictionnel puisqu’il peut demander à un tribunal de première instance (253) d’ordonner au commissaire de prendre les mesures appropriées pour donner suite à la réclamation ou pour informer l’auteur de la réclamation de l’état d’avancement de la réclamation (254). En outre, toute personne à qui le commissaire adresse l’un des avis susmentionnés (avis d’information, d’évaluation, d’exécution ou de sanction) peut former un recours devant un tribunal de première instance. S’il considère que la décision du commissaire n’est pas conforme au droit ou que le commissaire à l’information aurait dû exercer son pouvoir discrétionnaire différemment, le tribunal doit faire droit au recours ou remplacer la décision du commissaire par un autre avis ou une autre décision que celui-ci aurait pu émettre ou prendre (255).

252

253

254

255

| (172) | Troisièmement, les personnes physiques peuvent former un recours juridictionnel contre les responsables du traitement et les sous-traitants directement devant les tribunaux. En particulier, en vertu de l’article 167 de la DPA 2018, une personne concernée peut introduire une demande auprès du tribunal concernant une violation de ses droits au titre de la législation relative à la protection des données et le tribunal peut, au moyen d’une ordonnance, demander au responsable du traitement de prendre (ou de s’abstenir de prendre) toute mesure en lien avec le traitement afin de respecter la DPA 2018. De plus, en vertu de l’article 169 de la DPA 2018, toute personne ayant subi un préjudice du fait de la violation d’une des exigences de la législation relative à la protection des données (y compris de la partie 3 de la DPA 2018), autre que le RGPD britannique, a droit à une indemnisation au titre de ce préjudice par le responsable du traitement ou le sous-traitant, sauf si ceux-ci établissent qu’ils ne sont en aucun cas responsables de l’événement à l’origine de ce préjudice. Les préjudices incluent tant les pertes financières que les préjudices n’entraînant pas de perte financière, comme les situations de détresse. |
| --- | --- |

(172)

Troisièmement, les personnes physiques peuvent former un recours juridictionnel contre les responsables du traitement et les sous-traitants directement devant les tribunaux. En particulier, en vertu de l’article 167 de la DPA 2018, une personne concernée peut introduire une demande auprès du tribunal concernant une violation de ses droits au titre de la législation relative à la protection des données et le tribunal peut, au moyen d’une ordonnance, demander au responsable du traitement de prendre (ou de s’abstenir de prendre) toute mesure en lien avec le traitement afin de respecter la DPA 2018. De plus, en vertu de l’article 169 de la DPA 2018, toute personne ayant subi un préjudice du fait de la violation d’une des exigences de la législation relative à la protection des données (y compris de la partie 3 de la DPA 2018), autre que le RGPD britannique, a droit à une indemnisation au titre de ce préjudice par le responsable du traitement ou le sous-traitant, sauf si ceux-ci établissent qu’ils ne sont en aucun cas responsables de l’événement à l’origine de ce préjudice. Les préjudices incluent tant les pertes financières que les préjudices n’entraînant pas de perte financière, comme les situations de détresse.

| (173) | Enfin, toute personne, dans la mesure où elle estime que ses droits, notamment ses droits au respect de la vie privée et à la protection des données, ont été violés par une quelconque autorité publique, peut obtenir réparation devant les tribunaux du Royaume-Uni en vertu de la loi de 1998 sur les droits de l’homme (256). Après avoir épuisé les voies de recours nationales, une personne physique, une organisation non gouvernementale ou un groupe de particuliers peut obtenir réparation auprès de la Cour européenne des droits de l’homme en cas de violation des droits garantis par la convention européenne des droits de l’homme (257) (voir le considérant 111). |
| --- | --- |

(173)

Enfin, toute personne, dans la mesure où elle estime que ses droits, notamment ses droits au respect de la vie privée et à la protection des données, ont été violés par une quelconque autorité publique, peut obtenir réparation devant les tribunaux du Royaume-Uni en vertu de la loi de 1998 sur les droits de l’homme (256). Après avoir épuisé les voies de recours nationales, une personne physique, une organisation non gouvernementale ou un groupe de particuliers peut obtenir réparation auprès de la Cour européenne des droits de l’homme en cas de violation des droits garantis par la convention européenne des droits de l’homme (257) (voir le considérant 111).

256

257

3.2.4.1.   Mécanismes de recours possibles au titre de l’IPA 2016

Mécanismes de recours possibles au titre de l’IPA 2016

| (174) | Les personnes physiques peuvent obtenir réparation en cas de violation de l’IPA 2016 auprès du tribunal chargé des pouvoirs d’enquête. Les voies de recours disponibles au titre de l’IPA 2016 sont décrites aux considérants 263 à 269 ci-dessous. |
| --- | --- |

(174)

Les personnes physiques peuvent obtenir réparation en cas de violation de l’IPA 2016 auprès du tribunal chargé des pouvoirs d’enquête. Les voies de recours disponibles au titre de l’IPA 2016 sont décrites aux considérants 263 à 269 ci-dessous.

3.3.   Accès aux données et utilisation de celles-ci par les autorités publiques du Royaume-Uni à des fins de sécurité nationale

Accès aux données et utilisation de celles-ci par les autorités publiques du Royaume-Uni à des fins de sécurité nationale

| (175) | Dans l’ordre juridique du Royaume-Uni, les services de renseignement habilités à collecter les informations électroniques détenues par les responsables du traitement ou les sous-traitants pour des motifs de sécurité nationale, dans des situations correspondant à un scénario d’adéquation, sont le Security Service (258) (MI5), le Secret Intelligence Service (259) (SIS) et le Government Communications Headquarters (260) (GCHQ) (261). |
| --- | --- |

(175)

Dans l’ordre juridique du Royaume-Uni, les services de renseignement habilités à collecter les informations électroniques détenues par les responsables du traitement ou les sous-traitants pour des motifs de sécurité nationale, dans des situations correspondant à un scénario d’adéquation, sont le Security Service (258) (MI5), le Secret Intelligence Service (259) (SIS) et le Government Communications Headquarters (260) (GCHQ) (261).

Security Service

258

Secret Intelligence Service

259

Government Communications Headquarters

260

261

3.3.1.   Bases juridiques, limitations et garanties

Bases juridiques, limitations et garanties

| (176) | Au Royaume-Uni, les pouvoirs des agences de renseignement sont définis dans l’IPA 2016 et la RIPA 2000 qui, avec la DPA 2018, définissent le champ d'application matériel et personnel de ces pouvoirs ainsi que les limitations et garanties y afférentes. Ces pouvoirs, ainsi que les limitations et les garanties qui s’y appliquent, sont évalués en détail dans les sections suivantes. |
| --- | --- |

(176)

Au Royaume-Uni, les pouvoirs des agences de renseignement sont définis dans l’IPA 2016 et la RIPA 2000 qui, avec la DPA 2018, définissent le champ d'application matériel et personnel de ces pouvoirs ainsi que les limitations et garanties y afférentes. Ces pouvoirs, ainsi que les limitations et les garanties qui s’y appliquent, sont évalués en détail dans les sections suivantes.

3.3.1.1.   Pouvoirs d’enquête exercés dans le cadre de la sécurité nationale

Pouvoirs d’enquête exercés dans le cadre de la sécurité nationale

| (177) | L’IPA 2016 définit le cadre juridique relatif à l’utilisation des pouvoirs d’enquête, c.-à-d. le pouvoir d’intercepter les communications, d’accéder aux données de communication et d’interférer avec des équipements. L’IPA 2016 introduit une interdiction générale et constitue en infraction pénale le fait d’utiliser des techniques qui permettent d’accéder au contenu des communications, d’accéder aux données de communication ou d’interférer avec des équipements sans être légalement habilité à le faire (262). C’est la raison pour laquelle l’utilisation de ces pouvoirs d’enquête n’est légale que lorsqu’elle s’effectue sur la base d’un mandat ou d’une autorisation (263). |
| --- | --- |

(177)

L’IPA 2016 définit le cadre juridique relatif à l’utilisation des pouvoirs d’enquête, c.-à-d. le pouvoir d’intercepter les communications, d’accéder aux données de communication et d’interférer avec des équipements. L’IPA 2016 introduit une interdiction générale et constitue en infraction pénale le fait d’utiliser des techniques qui permettent d’accéder au contenu des communications, d’accéder aux données de communication ou d’interférer avec des équipements sans être légalement habilité à le faire (262). C’est la raison pour laquelle l’utilisation de ces pouvoirs d’enquête n’est légale que lorsqu’elle s’effectue sur la base d’un mandat ou d’une autorisation (263).

262

263

| (178) | L’IPA 2016 fixe les règles détaillées régissant la portée et l’application de chacun des pouvoirs d’enquête, ainsi que leurs limitations et garanties spécifiques. Des règles différentes s’appliquent en fonction du type de pouvoir d’enquête (interception des communications, acquisition et conservation de données de communication et interférence avec des équipements) (264) et selon que le pouvoir soit exercé contre une cible spécifique ou en masse. Les détails concernant la portée, les garanties et les limitations de chaque mesure prévue par l’IPA 2016 sont décrits dans la partie consacrée à ce point ci-dessous. |
| --- | --- |

(178)

L’IPA 2016 fixe les règles détaillées régissant la portée et l’application de chacun des pouvoirs d’enquête, ainsi que leurs limitations et garanties spécifiques. Des règles différentes s’appliquent en fonction du type de pouvoir d’enquête (interception des communications, acquisition et conservation de données de communication et interférence avec des équipements) (264) et selon que le pouvoir soit exercé contre une cible spécifique ou en masse. Les détails concernant la portée, les garanties et les limitations de chaque mesure prévue par l’IPA 2016 sont décrits dans la partie consacrée à ce point ci-dessous.

264

| (179) | En outre, l’IPA 2016 est complétée par plusieurs codes de bonnes pratiques officiels publiés par le secrétaire d’État, approuvés par les deux chambres du Parlement (265) et applicables dans tout le pays, qui fournissent des orientations supplémentaires quant à l’utilisation de ces pouvoirs (266). Alors que les personnes concernées peuvent directement s’appuyer sur les dispositions prévues par l’IPA 2016 pour exercer leurs droits, l’annexe 7, point 5, de l’IPA 2016 précise que les codes de bonnes pratiques peuvent être admis à titre de preuve dans le cadre de procédures civiles et pénales et que les juridictions ou les autorités de contrôle peuvent tenir compte de tout cas de non-respect des codes lorsqu’elles se prononcent sur une affaire dans le cadre d’une procédure judiciaire (267). Dans le cadre de l’évaluation de la «qualité de la législation» et notamment de la précédente législation britannique dans le domaine de la surveillance, la RIPA 2000, la grande chambre de la Cour européenne des droits de l’homme a expressément reconnu la pertinence des codes de bonnes pratiques britanniques et admis que leurs dispositions pouvaient être prises en considération lors de l’examen de la prévisibilité de la législation autorisant la surveillance (268). |
| --- | --- |

(179)

En outre, l’IPA 2016 est complétée par plusieurs codes de bonnes pratiques officiels publiés par le secrétaire d’État, approuvés par les deux chambres du Parlement (265) et applicables dans tout le pays, qui fournissent des orientations supplémentaires quant à l’utilisation de ces pouvoirs (266). Alors que les personnes concernées peuvent directement s’appuyer sur les dispositions prévues par l’IPA 2016 pour exercer leurs droits, l’annexe 7, point 5, de l’IPA 2016 précise que les codes de bonnes pratiques peuvent être admis à titre de preuve dans le cadre de procédures civiles et pénales et que les juridictions ou les autorités de contrôle peuvent tenir compte de tout cas de non-respect des codes lorsqu’elles se prononcent sur une affaire dans le cadre d’une procédure judiciaire (267). Dans le cadre de l’évaluation de la «qualité de la législation» et notamment de la précédente législation britannique dans le domaine de la surveillance, la RIPA 2000, la grande chambre de la Cour européenne des droits de l’homme a expressément reconnu la pertinence des codes de bonnes pratiques britanniques et admis que leurs dispositions pouvaient être prises en considération lors de l’examen de la prévisibilité de la législation autorisant la surveillance (268).

265

266

267

268

| (180) | Il convient alors de noter que les agences de sécurité nationale et certaines autorités répressives (269) disposent de pouvoirs ciblés (interception ciblée (270), acquisition de données de communication (271), conservation de données de communication (272) et interférence ciblée avec des équipements (273)), tandis que seuls les services de renseignement peuvent utiliser les pouvoirs de masse (c.-à-d. interception de masse (274), acquisition de masse de données de communication (275), interférence de masse avec des équipements (276) et ensembles de données à caractère personnel en masse (277)). |
| --- | --- |

(180)

Il convient alors de noter que les agences de sécurité nationale et certaines autorités répressives (269) disposent de pouvoirs ciblés (interception ciblée (270), acquisition de données de communication (271), conservation de données de communication (272) et interférence ciblée avec des équipements (273)), tandis que seuls les services de renseignement peuvent utiliser les pouvoirs de masse (c.-à-d. interception de masse (274), acquisition de masse de données de communication (275), interférence de masse avec des équipements (276) et ensembles de données à caractère personnel en masse (277)).

269

270

271

272

273

274

275

276

277

| (181) | Lorsqu’elle décide du pouvoir d’enquête à utiliser, l’agence de renseignement doit respecter les «obligations générales relatives à la protection de la vie privée» énumérées à l’article 2, paragraphe 2, point a), de l’IPA 2016, qui incluent un critère de nécessité et de proportionnalité. Plus précisément, conformément à cette disposition, une autorité publique qui a l’intention d’utiliser un pouvoir d’enquête doit prendre en compte i) la question de savoir si l’objectif visé par le mandat, l’autorisation ou l’avis pourrait être raisonnablement atteint par d’autres moyens moins intrusifs; ii) la question de savoir si le niveau de protection à appliquer concernant l’obtention d’informations en vertu du mandat, de l’autorisation ou de l’avis est plus élevé en raison de la nature particulièrement sensible des informations en question, iii) l’intérêt public à assurer l’intégrité et la sécurité des systèmes de télécommunication et des services postaux et iv) tout autre aspect de l’intérêt public à assurer la protection de la vie privée (278). |
| --- | --- |

(181)

Lorsqu’elle décide du pouvoir d’enquête à utiliser, l’agence de renseignement doit respecter les «obligations générales relatives à la protection de la vie privée» énumérées à l’article 2, paragraphe 2, point a), de l’IPA 2016, qui incluent un critère de nécessité et de proportionnalité. Plus précisément, conformément à cette disposition, une autorité publique qui a l’intention d’utiliser un pouvoir d’enquête doit prendre en compte i) la question de savoir si l’objectif visé par le mandat, l’autorisation ou l’avis pourrait être raisonnablement atteint par d’autres moyens moins intrusifs; ii) la question de savoir si le niveau de protection à appliquer concernant l’obtention d’informations en vertu du mandat, de l’autorisation ou de l’avis est plus élevé en raison de la nature particulièrement sensible des informations en question, iii) l’intérêt public à assurer l’intégrité et la sécurité des systèmes de télécommunication et des services postaux et iv) tout autre aspect de l’intérêt public à assurer la protection de la vie privée (278).

278

| (182) | Les codes de bonnes pratiques applicables décrivent plus en détail la manière dont ces critères doivent être appliqués et la manière dont leur respect est évalué dans le cadre de l’autorisation d’utilisation de ces pouvoirs délivrée par le secrétaire d’État et les commissaires judiciaires indépendants. En particulier, le recours à l’un quelconque de ces pouvoirs d’enquête doit toujours être «proportionné à l’objectif visé, [ce qui] implique de mettre en balance la gravité de l’intrusion dans la vie privée (et les autres considérations mentionnées à l’article 2, paragraphe 2) avec la nécessité de l’activité du point de vue de l’enquête, des besoins opérationnels ou des capacités». Cela signifie notamment que l’utilisation de ces pouvoirs «devrait offrir une perspective réaliste d’apporter les avantages escomptés et ne devrait être ni disproportionnée, ni arbitraire» et qu’«[a]ucune ingérence dans la vie privée ne devrait être considérée comme proportionnée si les informations recherchées peuvent être raisonnablement obtenues par d’autres moyens moins intrusifs» (279). Plus précisément, le respect du principe de proportionnalité doit être apprécié au regard des critères suivants: «i) la portée de l’ingérence envisagée dans la vie privée par rapport à l’objectif visé; ii) comment et pourquoi les méthodes à adopter provoqueront le moins d’interférences possible pour la personne et les tiers; iii) si l’activité constitue une utilisation appropriée de la loi ainsi qu’une manière raisonnable, après avoir envisagé toutes les autres solutions raisonnables, d’atteindre l’objectif visé; iv) quelles autres méthodes, le cas échéant, n’ont pas été mises en œuvre ou ont été employées mais ont été considérées comme insuffisantes pour atteindre les objectifs opérationnels sans recourir au pouvoir d’enquête envisagé» (280). |
| --- | --- |

(182)

Les codes de bonnes pratiques applicables décrivent plus en détail la manière dont ces critères doivent être appliqués et la manière dont leur respect est évalué dans le cadre de l’autorisation d’utilisation de ces pouvoirs délivrée par le secrétaire d’État et les commissaires judiciaires indépendants. En particulier, le recours à l’un quelconque de ces pouvoirs d’enquête doit toujours être «proportionné à l’objectif visé, [ce qui] implique de mettre en balance la gravité de l’intrusion dans la vie privée (et les autres considérations mentionnées à l’article 2, paragraphe 2) avec la nécessité de l’activité du point de vue de l’enquête, des besoins opérationnels ou des capacités». Cela signifie notamment que l’utilisation de ces pouvoirs «devrait offrir une perspective réaliste d’apporter les avantages escomptés et ne devrait être ni disproportionnée, ni arbitraire» et qu’«[a]ucune ingérence dans la vie privée ne devrait être considérée comme proportionnée si les informations recherchées peuvent être raisonnablement obtenues par d’autres moyens moins intrusifs» (279). Plus précisément, le respect du principe de proportionnalité doit être apprécié au regard des critères suivants: «i) la portée de l’ingérence envisagée dans la vie privée par rapport à l’objectif visé; ii) comment et pourquoi les méthodes à adopter provoqueront le moins d’interférences possible pour la personne et les tiers; iii) si l’activité constitue une utilisation appropriée de la loi ainsi qu’une manière raisonnable, après avoir envisagé toutes les autres solutions raisonnables, d’atteindre l’objectif visé; iv) quelles autres méthodes, le cas échéant, n’ont pas été mises en œuvre ou ont été employées mais ont été considérées comme insuffisantes pour atteindre les objectifs opérationnels sans recourir au pouvoir d’enquête envisagé» (280).

279

280

| (183) | En pratique, comme l’ont expliqué les autorités britanniques, cela permet de garantir qu’une agence de renseignement définit d’abord l’objectif opérationnel (et délimite ainsi la collecte, par ex. un objectif de lutte contre le terrorisme international dans une zone géographique donnée) puis, sur la base de cet objectif opérationnel, réfléchit à l’option technique (par ex. interception, interférence avec des équipements, acquisition de données de communication, ciblées ou de masse) la plus proportionnée (c.-à-d. la moins intrusive pour la vie privée, voir l’article 2, paragraphe 2, de l’IPA) à l’objectif visé et qui pourra donc être autorisée en vertu de l’une des bases législatives disponibles. |
| --- | --- |

(183)

En pratique, comme l’ont expliqué les autorités britanniques, cela permet de garantir qu’une agence de renseignement définit d’abord l’objectif opérationnel (et délimite ainsi la collecte, par ex. un objectif de lutte contre le terrorisme international dans une zone géographique donnée) puis, sur la base de cet objectif opérationnel, réfléchit à l’option technique (par ex. interception, interférence avec des équipements, acquisition de données de communication, ciblées ou de masse) la plus proportionnée (c.-à-d. la moins intrusive pour la vie privée, voir l’article 2, paragraphe 2, de l’IPA) à l’objectif visé et qui pourra donc être autorisée en vertu de l’une des bases législatives disponibles.

| (184) | Il convient de relever que le rapporteur spécial de l’ONU sur le droit à la vie privée, Joseph Cannataci, a également noté et salué ce recours à un critère de nécessité et de proportionnalité et a déclaré, en ce qui concerne le système institué par l’IPA 2016, que «[l]es procédures en place, au sein tant des services de renseignement que des autorités répressives, semblent systématiquement exiger de prendre en compte la nécessité et la proportionnalité d’une mesure ou d’une opération de surveillance avant que son autorisation soit recommandée, et de l’examiner sur les mêmes bases» (281). Il a également fait observer que, lors de sa rencontre avec les représentants des autorités répressives et des agences de sécurité nationale, «[il a] observé un consensus sur le fait que le droit au respect de la vie privée doit être une considération prépondérante pour toute décision concernant les mesures de surveillance. Chacun a compris et apprécié l’importance de la nécessité et de la proportionnalité en tant que principes essentiels à prendre en compte». |
| --- | --- |

(184)

Il convient de relever que le rapporteur spécial de l’ONU sur le droit à la vie privée, Joseph Cannataci, a également noté et salué ce recours à un critère de nécessité et de proportionnalité et a déclaré, en ce qui concerne le système institué par l’IPA 2016, que «[l]es procédures en place, au sein tant des services de renseignement que des autorités répressives, semblent systématiquement exiger de prendre en compte la nécessité et la proportionnalité d’une mesure ou d’une opération de surveillance avant que son autorisation soit recommandée, et de l’examiner sur les mêmes bases» (281). Il a également fait observer que, lors de sa rencontre avec les représentants des autorités répressives et des agences de sécurité nationale, «[il a] observé un consensus sur le fait que le droit au respect de la vie privée doit être une considération prépondérante pour toute décision concernant les mesures de surveillance. Chacun a compris et apprécié l’importance de la nécessité et de la proportionnalité en tant que principes essentiels à prendre en compte».

281

| (185) | Les considérants 186 à 243 détaillent les critères spécifiques relatifs à la délivrance des différents mandats, ainsi que les limitations et les garanties établies par l’IPA 2016 concernant chaque pouvoir d’enquête. |
| --- | --- |

(185)

Les considérants 186 à 243 détaillent les critères spécifiques relatifs à la délivrance des différents mandats, ainsi que les limitations et les garanties établies par l’IPA 2016 concernant chaque pouvoir d’enquête.

3.3.1.1.1.   Interception et examen ciblés

| (186) | On recense trois types de mandats permettant l’interception ciblée: le mandat d’interception ciblée (282), le mandat d’examen ciblé et un mandat d’entraide judiciaire (283). La partie 2, chapitre 1, de l’IPA 2016 définit les conditions pour les obtenir, ainsi que les garanties applicables. |
| --- | --- |

(186)

On recense trois types de mandats permettant l’interception ciblée: le mandat d’interception ciblée (282), le mandat d’examen ciblé et un mandat d’entraide judiciaire (283). La partie 2, chapitre 1, de l’IPA 2016 définit les conditions pour les obtenir, ainsi que les garanties applicables.

282

283

| (187) | Un mandat d’interception ciblée autorise l’interception des communications décrites dans celui-ci dans le cadre de leur transmission et l’obtention d’autres données utiles concernant ces communications (284), notamment des données secondaires (285). Un mandat d’examen ciblé autorise une personne à procéder à la sélection des contenus obtenus dans le cadre d’un mandat d’interception de masse en vue de leur examen (286). |
| --- | --- |

(187)

Un mandat d’interception ciblée autorise l’interception des communications décrites dans celui-ci dans le cadre de leur transmission et l’obtention d’autres données utiles concernant ces communications (284), notamment des données secondaires (285). Un mandat d’examen ciblé autorise une personne à procéder à la sélection des contenus obtenus dans le cadre d’un mandat d’interception de masse en vue de leur examen (286).

284

285

286

| (188) | Tout mandat au titre de la partie 2 de l’IPA 2016 peut être délivré par le secrétaire d’État (287) et approuvé par un commissaire judiciaire (288). En tout état de cause, la durée de tout type de mandat ciblé est limitée à 6 mois (289) et des règles spécifiques s’appliquent à sa modification (290) et à son renouvellement (291). |
| --- | --- |

(188)

Tout mandat au titre de la partie 2 de l’IPA 2016 peut être délivré par le secrétaire d’État (287) et approuvé par un commissaire judiciaire (288). En tout état de cause, la durée de tout type de mandat ciblé est limitée à 6 mois (289) et des règles spécifiques s’appliquent à sa modification (290) et à son renouvellement (291).

287

288

289

290

291

| (189) | Avant de délivrer le mandat, le secrétaire d’État doit apprécier les principes de nécessité et de proportionnalité (292). Plus précisément, avant de délivrer un mandat d’interception ciblée et un mandat d’examen ciblé, le secrétaire d’État doit vérifier si la mesure est nécessaire pour l’un des motifs suivants: l’intérêt de la sécurité nationale; la prévention ou la détection d’une infraction grave; ou les intérêts de la prospérité économique du Royaume-Uni (293), dans la mesure où ces intérêts relèvent aussi de la sécurité nationale (294). Par ailleurs, un mandat d’entraide judiciaire (voir le considérant 139 ci-dessus) ne peut être délivré que si le secrétaire d’État considère qu’il existe des circonstances équivalentes à celles dans lesquelles il aurait délivré un mandat aux fins de la prévention ou de la détection d’infractions graves (295). |
| --- | --- |

(189)

Avant de délivrer le mandat, le secrétaire d’État doit apprécier les principes de nécessité et de proportionnalité (292). Plus précisément, avant de délivrer un mandat d’interception ciblée et un mandat d’examen ciblé, le secrétaire d’État doit vérifier si la mesure est nécessaire pour l’un des motifs suivants: l’intérêt de la sécurité nationale; la prévention ou la détection d’une infraction grave; ou les intérêts de la prospérité économique du Royaume-Uni (293), dans la mesure où ces intérêts relèvent aussi de la sécurité nationale (294). Par ailleurs, un mandat d’entraide judiciaire (voir le considérant 139 ci-dessus) ne peut être délivré que si le secrétaire d’État considère qu’il existe des circonstances équivalentes à celles dans lesquelles il aurait délivré un mandat aux fins de la prévention ou de la détection d’infractions graves (295).

292

293

294

295

| (190) | De plus, le secrétaire d’État doit évaluer si la mesure est proportionnée à l’objectif visé (296). L’évaluation de la proportionnalité des mesures demandées doit tenir compte des obligations générales relatives à la protection de la vie privée énoncées à l’article 2, paragraphe 2, de l’IPA 2016, notamment de la nécessité d’apprécier si l’objectif visé par le mandat, l’autorisation ou l’avis pourrait être raisonnablement atteint par d’autres moyens moins intrusifs et si le niveau de protection à appliquer concernant l’obtention d’informations en vertu du mandat est plus élevé en raison de la nature particulièrement sensible des informations en question (voir le considérant 181 ci-dessus). |
| --- | --- |

(190)

De plus, le secrétaire d’État doit évaluer si la mesure est proportionnée à l’objectif visé (296). L’évaluation de la proportionnalité des mesures demandées doit tenir compte des obligations générales relatives à la protection de la vie privée énoncées à l’article 2, paragraphe 2, de l’IPA 2016, notamment de la nécessité d’apprécier si l’objectif visé par le mandat, l’autorisation ou l’avis pourrait être raisonnablement atteint par d’autres moyens moins intrusifs et si le niveau de protection à appliquer concernant l’obtention d’informations en vertu du mandat est plus élevé en raison de la nature particulièrement sensible des informations en question (voir le considérant 181 ci-dessus).

296

| (191) | À cet effet, le secrétaire d’État devra tenir compte de tous les éléments de la demande introduite par l’autorité demandeuse, notamment de ceux qui concernent les personnes visées par l’interception et la pertinence de la mesure pour l’enquête. Ces éléments sont prévus par le code de bonnes pratiques relatif à l’interception des communications et doivent être décrits à un certain niveau de spécificité (297). De plus, en vertu de l’article 17 de l’IPA 2016, tout mandat délivré en vertu du chapitre 2 de ladite loi doit nommer ou décrire la personne spécifique ou le groupe de personnes, l’organisation ou les locaux visés par l’interception (la «cible»). Dans le cas d’un mandat d’interception ciblée ou d’un mandat d’examen ciblé, il peut également s’agir d’un groupe de personnes, de plusieurs personnes ou organisations ou de plusieurs ensembles de locaux (également appelé «mandat thématique») (298). Dans ces cas, le mandat doit décrire l’objectif commun ou l’activité commune du groupe de personnes ou de l’opération/l’enquête et nommer ou décrire autant de personnes/d’organisations ou d’ensembles de locaux qu’il est raisonnablement possible de le faire (299). Enfin, tous les mandats délivrés en vertu de la partie 2 de l’IPA 2016 doivent préciser les adresses, les numéros, les appareils, les facteurs ou la combinaison de facteurs devant être utilisés aux fins de l’identification des communications (300). À cet égard, le code de bonnes pratiques relatif à l’interception des communications précise que, dans le cas d’un mandat d’interception ciblée et d’un mandat d’examen ciblé, «le mandat doit préciser (ou décrire) les facteurs ou la combinaison de facteurs devant être utilisés aux fins de l’identification des communications. Lorsque les communications doivent être identifiées par référence à un numéro de téléphone (par exemple), le numéro doit être précisé et inscrit dans sa totalité. Toutefois, lorsque des sélecteurs internet très complexes ou changeant constamment doivent être utilisés pour identifier les communications, il convient de décrire ces sélecteurs dans la mesure du possible» (301). |
| --- | --- |

(191)

À cet effet, le secrétaire d’État devra tenir compte de tous les éléments de la demande introduite par l’autorité demandeuse, notamment de ceux qui concernent les personnes visées par l’interception et la pertinence de la mesure pour l’enquête. Ces éléments sont prévus par le code de bonnes pratiques relatif à l’interception des communications et doivent être décrits à un certain niveau de spécificité (297). De plus, en vertu de l’article 17 de l’IPA 2016, tout mandat délivré en vertu du chapitre 2 de ladite loi doit nommer ou décrire la personne spécifique ou le groupe de personnes, l’organisation ou les locaux visés par l’interception (la «cible»). Dans le cas d’un mandat d’interception ciblée ou d’un mandat d’examen ciblé, il peut également s’agir d’un groupe de personnes, de plusieurs personnes ou organisations ou de plusieurs ensembles de locaux (également appelé «mandat thématique») (298). Dans ces cas, le mandat doit décrire l’objectif commun ou l’activité commune du groupe de personnes ou de l’opération/l’enquête et nommer ou décrire autant de personnes/d’organisations ou d’ensembles de locaux qu’il est raisonnablement possible de le faire (299). Enfin, tous les mandats délivrés en vertu de la partie 2 de l’IPA 2016 doivent préciser les adresses, les numéros, les appareils, les facteurs ou la combinaison de facteurs devant être utilisés aux fins de l’identification des communications (300). À cet égard, le code de bonnes pratiques relatif à l’interception des communications précise que, dans le cas d’un mandat d’interception ciblée et d’un mandat d’examen ciblé, «le mandat doit préciser (ou décrire) les facteurs ou la combinaison de facteurs devant être utilisés aux fins de l’identification des communications. Lorsque les communications doivent être identifiées par référence à un numéro de téléphone (par exemple), le numéro doit être précisé et inscrit dans sa totalité. Toutefois, lorsque des sélecteurs internet très complexes ou changeant constamment doivent être utilisés pour identifier les communications, il convient de décrire ces sélecteurs dans la mesure du possible» (301).

297

298

299

300

301

| (192) | Dans ce contexte, le fait que l’évaluation effectuée par le secrétaire d’État en vue de délivrer un mandat doive être approuvée par un commissaire judiciaire indépendant (302), qui vérifiera notamment si la décision de délivrer le mandat respecte les principes de nécessité et de proportionnalité (303), constitue une garantie importante (au sujet du statut et du rôle des commissaires judiciaires, voir les considérants 251 à 256 ci-dessous). L’IPA 2016 précise également que, lorsqu’il réalise une telle vérification, le commissaire judiciaire doit appliquer les mêmes principes que le ferait un tribunal pour une demande de contrôle juridictionnel (304). Cela permet de garantir que dans chaque cas, et avant que l’accès aux données ne se fasse, un organe indépendant s’assure systématiquement du respect des principes de nécessité et de proportionnalité. |
| --- | --- |

(192)

Dans ce contexte, le fait que l’évaluation effectuée par le secrétaire d’État en vue de délivrer un mandat doive être approuvée par un commissaire judiciaire indépendant (302), qui vérifiera notamment si la décision de délivrer le mandat respecte les principes de nécessité et de proportionnalité (303), constitue une garantie importante (au sujet du statut et du rôle des commissaires judiciaires, voir les considérants 251 à 256 ci-dessous). L’IPA 2016 précise également que, lorsqu’il réalise une telle vérification, le commissaire judiciaire doit appliquer les mêmes principes que le ferait un tribunal pour une demande de contrôle juridictionnel (304). Cela permet de garantir que dans chaque cas, et avant que l’accès aux données ne se fasse, un organe indépendant s’assure systématiquement du respect des principes de nécessité et de proportionnalité.

302

303

304

| (193) | L’IPA 2016 prévoit quelques exceptions particulières et limitées dans lesquelles il peut être procédé à une interception ciblée sans mandat. Ces cas limités sont précisés dans la loi (305) et, à l’exception du cas basé sur le «consentement» de l’expéditeur/du destinataire, les interceptions sont effectuées par des personnes (organismes privés ou publics) différentes des agences de sécurité nationale. Ce genre d’interceptions, qui plus est, sont réalisées à des fins autres que la collecte de «renseignements» (306) et, pour certaines d’entre elles, il est fortement improbable que cette collecte puisse avoir lieu dans le cadre d’un scénario de «transfert» (par exemple en cas d’interception effectuée dans un hôpital psychiatrique ou dans une prison). Compte tenu de la nature de l’organisme auquel s’appliquent ces cas particuliers (différent des agences de sécurité nationale), toutes les garanties prévues par la partie 2 de la DPA 2018 et par le RGPD britannique s’appliqueront, notamment la supervision de l’ICO et les mécanismes de recours disponibles. De surcroît, outre les garanties prévues par la DPA 2018, l’IPA 2016 prévoit aussi dans certains cas une surveillance ex post par l’IPCO (307). |
| --- | --- |

(193)

L’IPA 2016 prévoit quelques exceptions particulières et limitées dans lesquelles il peut être procédé à une interception ciblée sans mandat. Ces cas limités sont précisés dans la loi (305) et, à l’exception du cas basé sur le «consentement» de l’expéditeur/du destinataire, les interceptions sont effectuées par des personnes (organismes privés ou publics) différentes des agences de sécurité nationale. Ce genre d’interceptions, qui plus est, sont réalisées à des fins autres que la collecte de «renseignements» (306) et, pour certaines d’entre elles, il est fortement improbable que cette collecte puisse avoir lieu dans le cadre d’un scénario de «transfert» (par exemple en cas d’interception effectuée dans un hôpital psychiatrique ou dans une prison). Compte tenu de la nature de l’organisme auquel s’appliquent ces cas particuliers (différent des agences de sécurité nationale), toutes les garanties prévues par la partie 2 de la DPA 2018 et par le RGPD britannique s’appliqueront, notamment la supervision de l’ICO et les mécanismes de recours disponibles. De surcroît, outre les garanties prévues par la DPA 2018, l’IPA 2016 prévoit aussi dans certains cas une surveillance ex post par l’IPCO (307).

305

306

307

| (194) | Lorsque l’interception est effectuée, des limitations et des garanties supplémentaires sont applicables en fonction du statut spécifique de la ou des personnes visées par l’interception (308). Par exemple, l’interception d’éléments couverts par le secret professionnel n’est autorisée qu’en présence de circonstances exceptionnelles et impérieuses; la personne délivrant le mandat doit tenir compte de l’intérêt public à assurer la confidentialité des éléments couverts par le secret professionnel et doit veiller à ce que des exigences spécifiques soient en place pour le traitement, la conservation et la divulgation de ces éléments (309). |
| --- | --- |

(194)

Lorsque l’interception est effectuée, des limitations et des garanties supplémentaires sont applicables en fonction du statut spécifique de la ou des personnes visées par l’interception (308). Par exemple, l’interception d’éléments couverts par le secret professionnel n’est autorisée qu’en présence de circonstances exceptionnelles et impérieuses; la personne délivrant le mandat doit tenir compte de l’intérêt public à assurer la confidentialité des éléments couverts par le secret professionnel et doit veiller à ce que des exigences spécifiques soient en place pour le traitement, la conservation et la divulgation de ces éléments (309).

308

309

| (195) | De plus, l’IPA 2016 prévoit des garanties spécifiques concernant la sécurité, la conservation et la divulgation, dont le secrétaire d’État devrait tenir compte avant de délivrer un mandat ciblé (310). L’article 53, paragraphe 5, de l’IPA 2016 exige notamment que toute copie faite des éléments collectés en vertu du mandat soit conservée de manière sécurisée et soit détruite dès qu’il n’existe plus de motifs pertinents de la conserver, tandis que le paragraphe 2 dudit article exige que le nombre de personnes à qui les éléments sont divulgués et la mesure dans laquelle ces éléments sont divulgués, mis à disposition ou copiés soient limités au minimum nécessaire aux fins prévues par la loi. |
| --- | --- |

(195)

De plus, l’IPA 2016 prévoit des garanties spécifiques concernant la sécurité, la conservation et la divulgation, dont le secrétaire d’État devrait tenir compte avant de délivrer un mandat ciblé (310). L’article 53, paragraphe 5, de l’IPA 2016 exige notamment que toute copie faite des éléments collectés en vertu du mandat soit conservée de manière sécurisée et soit détruite dès qu’il n’existe plus de motifs pertinents de la conserver, tandis que le paragraphe 2 dudit article exige que le nombre de personnes à qui les éléments sont divulgués et la mesure dans laquelle ces éléments sont divulgués, mis à disposition ou copiés soient limités au minimum nécessaire aux fins prévues par la loi.

310

| (196) | Enfin, lorsque les éléments qui ont été interceptés dans le cadre d’un mandat d’interception ciblée ou d’un mandat d’entraide judiciaire doivent être remis à un pays tiers («divulgation à l’étranger»), l’IPA 2016 impose au secrétaire d’État de veiller à ce que des dispositions appropriées soient en vigueur afin d’assurer que des garanties similaires en matière de sécurité, de conservation et de divulgation existent dans le pays en question (311). En outre, l’article 109, paragraphe 2, de la DPA 2018 dispose que les services de renseignement ne peuvent transférer des données à caractère personnel en dehors du Royaume-Uni que si ce transfert est nécessaire et proportionné aux fins de l’exercice des fonctions réglementaires du responsable du traitement ou aux autres fins prévues par l’article 2, paragraphe 2, point a), de la loi de 1989 sur les services de sécurité ou par l’article 2, paragraphe 2, point a), et par l’article 4, paragraphe 2, point a), de la loi de 1994 sur les services de renseignement (312). Il est important de noter que ces exigences s’appliquent aussi lorsque l’exemption concernant la sécurité nationale, conformément à l’article 110 de la DPA 2018, est invoquée, l’article 110 de la DPA 2018 n’incluant pas l’article 109 de la DPA 2018 au nombre des dispositions pouvant être écartées si une exemption à certaines dispositions est requise pour garantir la sécurité nationale. |
| --- | --- |

(196)

Enfin, lorsque les éléments qui ont été interceptés dans le cadre d’un mandat d’interception ciblée ou d’un mandat d’entraide judiciaire doivent être remis à un pays tiers («divulgation à l’étranger»), l’IPA 2016 impose au secrétaire d’État de veiller à ce que des dispositions appropriées soient en vigueur afin d’assurer que des garanties similaires en matière de sécurité, de conservation et de divulgation existent dans le pays en question (311). En outre, l’article 109, paragraphe 2, de la DPA 2018 dispose que les services de renseignement ne peuvent transférer des données à caractère personnel en dehors du Royaume-Uni que si ce transfert est nécessaire et proportionné aux fins de l’exercice des fonctions réglementaires du responsable du traitement ou aux autres fins prévues par l’article 2, paragraphe 2, point a), de la loi de 1989 sur les services de sécurité ou par l’article 2, paragraphe 2, point a), et par l’article 4, paragraphe 2, point a), de la loi de 1994 sur les services de renseignement (312). Il est important de noter que ces exigences s’appliquent aussi lorsque l’exemption concernant la sécurité nationale, conformément à l’article 110 de la DPA 2018, est invoquée, l’article 110 de la DPA 2018 n’incluant pas l’article 109 de la DPA 2018 au nombre des dispositions pouvant être écartées si une exemption à certaines dispositions est requise pour garantir la sécurité nationale.

311

312

| (197) | En vertu de l’IPA 2016, le secrétaire d’État peut obliger les opérateurs de télécommunications à conserver des données de communication en vue d’un accès ciblé à celles-ci par diverses autorités publiques, notamment les autorités répressives et les agences de renseignement. La partie 4 de l’IPA 2016 régit la conservation des données de communication, tandis que la partie 3 régit l’acquisition ciblée de données de communication. Les parties 3 et 4 de l’IPA 2016 définissent également des limitations spécifiques à l’utilisation de ces pouvoirs et prévoient des garanties spécifiques. |
| --- | --- |

(197)

En vertu de l’IPA 2016, le secrétaire d’État peut obliger les opérateurs de télécommunications à conserver des données de communication en vue d’un accès ciblé à celles-ci par diverses autorités publiques, notamment les autorités répressives et les agences de renseignement. La partie 4 de l’IPA 2016 régit la conservation des données de communication, tandis que la partie 3 régit l’acquisition ciblée de données de communication. Les parties 3 et 4 de l’IPA 2016 définissent également des limitations spécifiques à l’utilisation de ces pouvoirs et prévoient des garanties spécifiques.

| (198) | Le terme «données de communication» recouvre le «qui», le «quand», le «où» et le «comment» d’une communication, mais pas son contenu, c.-à-d. ce qui a été dit ou écrit. À la différence de l’interception, l’acquisition et la conservation de données de communication n’ont pas pour objectif d’obtenir le contenu de la communication, mais plutôt des informations concernant par exemple l’abonné à un service téléphonique ou une facture détaillée. Il peut s’agir, par exemple, de l’heure et de la durée d’une communication, du numéro ou de l’adresse électronique de l’expéditeur et du destinataire, et parfois de la localisation des appareils à partir desquels la télécommunication a été effectuée (313). |
| --- | --- |

(198)

Le terme «données de communication» recouvre le «qui», le «quand», le «où» et le «comment» d’une communication, mais pas son contenu, c.-à-d. ce qui a été dit ou écrit. À la différence de l’interception, l’acquisition et la conservation de données de communication n’ont pas pour objectif d’obtenir le contenu de la communication, mais plutôt des informations concernant par exemple l’abonné à un service téléphonique ou une facture détaillée. Il peut s’agir, par exemple, de l’heure et de la durée d’une communication, du numéro ou de l’adresse électronique de l’expéditeur et du destinataire, et parfois de la localisation des appareils à partir desquels la télécommunication a été effectuée (313).

313

| (199) | Il convient de noter que, généralement, la conservation et l’acquisition de données de communication ne concerneront pas les données à caractère personnel de personnes concernées de l’Union européenne transférées vers le Royaume-Uni au titre de la présente décision. L’obligation de conserver ou de divulguer les données de communication au titre des parties 3 et 4 de l’IPA 2016 concerne les données collectées par des opérateurs de télécommunications au Royaume-Uni directement auprès des utilisateurs d’un service de télécommunications (314). Généralement, ce type de traitement «en contact avec la clientèle» n’implique pas un transfert au titre de la présente décision, c.-à-d. un transfert d’un responsable du traitement/sous-traitant de l’Union à un responsable du traitement/sous-traitant au Royaume-Uni. |
| --- | --- |

(199)

Il convient de noter que, généralement, la conservation et l’acquisition de données de communication ne concerneront pas les données à caractère personnel de personnes concernées de l’Union européenne transférées vers le Royaume-Uni au titre de la présente décision. L’obligation de conserver ou de divulguer les données de communication au titre des parties 3 et 4 de l’IPA 2016 concerne les données collectées par des opérateurs de télécommunications au Royaume-Uni directement auprès des utilisateurs d’un service de télécommunications (314). Généralement, ce type de traitement «en contact avec la clientèle» n’implique pas un transfert au titre de la présente décision, c.-à-d. un transfert d’un responsable du traitement/sous-traitant de l’Union à un responsable du traitement/sous-traitant au Royaume-Uni.

314

| (200) | Cependant, par souci d’exhaustivité, les conditions et garanties régissant ces régimes d’acquisition et de conservation sont analysées dans les considérants suivants. |
| --- | --- |

(200)

Cependant, par souci d’exhaustivité, les conditions et garanties régissant ces régimes d’acquisition et de conservation sont analysées dans les considérants suivants.

| (201) | Il convient tout d’abord de noter que la conservation et l’acquisition ciblée de données de communication sont à la disposition tant des agences de sécurité nationale que de certaines autorités répressives (315). Les conditions pour exiger la conservation et/ou l’acquisition de données de communication peuvent varier en fonction du motif pour lequel la mesure est demandée, à savoir des fins de sécurité nationale ou des fins répressives. |
| --- | --- |

(201)

Il convient tout d’abord de noter que la conservation et l’acquisition ciblée de données de communication sont à la disposition tant des agences de sécurité nationale que de certaines autorités répressives (315). Les conditions pour exiger la conservation et/ou l’acquisition de données de communication peuvent varier en fonction du motif pour lequel la mesure est demandée, à savoir des fins de sécurité nationale ou des fins répressives.

315

| (202) | En particulier, si le nouveau régime a introduit l’exigence générale d’une autorisation ex ante délivrée par un organisme indépendant qui s’appliquera dans tous les cas où les données de communication sont conservées et/ou acquises (soit à des fins répressives, soit à des fins de sécurité nationale), à la suite de l’arrêt Tele2/Watson rendu par la Cour de justice de l’Union européenne (316), des garanties spécifiques ont été introduites lorsque la mesure est demandée à des fins répressives. En particulier, lorsque la conservation ou l’acquisition de données de communication est demandée à des fins répressives, l’autorisation ex ante doit toujours être accordée par le commissaire aux pouvoirs d’enquête. Ce n’est pas toujours le cas lorsque la mesure est demandée à des fins de sécurité nationale, étant donné que, comme décrit ci-dessous, ce type de mesures peut être autorisé par différentes «personnes accordant l’autorisation». En outre, le nouveau régime a étendu aux «infractions graves» le seuil pour lequel la conservation et l’acquisition de données de communication peuvent être autorisées (317). |
| --- | --- |

(202)

En particulier, si le nouveau régime a introduit l’exigence générale d’une autorisation ex ante délivrée par un organisme indépendant qui s’appliquera dans tous les cas où les données de communication sont conservées et/ou acquises (soit à des fins répressives, soit à des fins de sécurité nationale), à la suite de l’arrêt Tele2/Watson rendu par la Cour de justice de l’Union européenne (316), des garanties spécifiques ont été introduites lorsque la mesure est demandée à des fins répressives. En particulier, lorsque la conservation ou l’acquisition de données de communication est demandée à des fins répressives, l’autorisation ex ante doit toujours être accordée par le commissaire aux pouvoirs d’enquête. Ce n’est pas toujours le cas lorsque la mesure est demandée à des fins de sécurité nationale, étant donné que, comme décrit ci-dessous, ce type de mesures peut être autorisé par différentes «personnes accordant l’autorisation». En outre, le nouveau régime a étendu aux «infractions graves» le seuil pour lequel la conservation et l’acquisition de données de communication peuvent être autorisées (317).

316

317

i)   Autorisation pour l’obtention de données de communication

Autorisation pour l’obtention de données de communication

| (203) | Conformément à la partie 3 de l’IPA 2016, les autorités publiques compétentes sont autorisées à obtenir des données de communication auprès d’un opérateur de télécommunications ou de toute personne capable d’obtenir et de divulguer de telles données. L’autorisation ne peut pas permettre l’interception du contenu des communications (318) et cesse de produire ses effets après un délai d’un mois (319); elle peut être renouvelée sous réserve de l’obtention d’une autorisation supplémentaire (320). L’acquisition de données de communication nécessite une autorisation du commissaire indépendant aux pouvoirs d’enquête (Investigatory Powers Commissioner, IPC) (321) (au sujet du statut et des pouvoirs de l’IPC, voir les considérants 250 à 251 ci-dessous). C’est toujours le cas lorsque l’acquisition de données de communication est demandée par une autorité répressive compétente. Cependant, conformément à l’article 61 de l’IPA 2016, lorsque les données sont acquises dans l’intérêt de la sécurité nationale ou de la prospérité économique du Royaume-Uni, dans la mesure où cet intérêt relève aussi de la sécurité nationale, ou lorsqu’une demande est introduite par un membre d’une agence de renseignement en vertu de l’article 61, paragraphe 7, point b) (322), l’acquisition peut être autorisée (323) soit par l’IPC, soit par un haut fonctionnaire désigné (324). Le haut fonctionnaire désigné doit être indépendant vis-à-vis de l’enquête ou de l’opération concernée et doit avoir des connaissances pratiques sur les principes relatifs aux droits de l’homme et la législation en la matière, notamment en ce qui concerne la nécessité et la proportionnalité (325). La décision prise par le haut fonctionnaire désigné est soumise à une surveillance ex post assurée par l’IPC (voir le considérant 254 ci-dessous pour de plus amples informations concernant les fonctions de surveillance ex post de l’IPC). |
| --- | --- |

(203)

Conformément à la partie 3 de l’IPA 2016, les autorités publiques compétentes sont autorisées à obtenir des données de communication auprès d’un opérateur de télécommunications ou de toute personne capable d’obtenir et de divulguer de telles données. L’autorisation ne peut pas permettre l’interception du contenu des communications (318) et cesse de produire ses effets après un délai d’un mois (319); elle peut être renouvelée sous réserve de l’obtention d’une autorisation supplémentaire (320). L’acquisition de données de communication nécessite une autorisation du commissaire indépendant aux pouvoirs d’enquête (Investigatory Powers Commissioner, IPC) (321) (au sujet du statut et des pouvoirs de l’IPC, voir les considérants 250 à 251 ci-dessous). C’est toujours le cas lorsque l’acquisition de données de communication est demandée par une autorité répressive compétente. Cependant, conformément à l’article 61 de l’IPA 2016, lorsque les données sont acquises dans l’intérêt de la sécurité nationale ou de la prospérité économique du Royaume-Uni, dans la mesure où cet intérêt relève aussi de la sécurité nationale, ou lorsqu’une demande est introduite par un membre d’une agence de renseignement en vertu de l’article 61, paragraphe 7, point b) (322), l’acquisition peut être autorisée (323) soit par l’IPC, soit par un haut fonctionnaire désigné (324). Le haut fonctionnaire désigné doit être indépendant vis-à-vis de l’enquête ou de l’opération concernée et doit avoir des connaissances pratiques sur les principes relatifs aux droits de l’homme et la législation en la matière, notamment en ce qui concerne la nécessité et la proportionnalité (325). La décision prise par le haut fonctionnaire désigné est soumise à une surveillance ex post assurée par l’IPC (voir le considérant 254 ci-dessous pour de plus amples informations concernant les fonctions de surveillance ex post de l’IPC).

318

319

320

Investigatory Powers Commissioner

321

322

323

324

325

| (204) | L’autorisation d’acquérir des données de communication est fondée sur une appréciation de la nécessité et de la proportionnalité de la mesure. Plus précisément, la nécessité de la mesure est appréciée à la lumière des motifs énumérés dans la législation (326). Compte tenu de la nature ciblée de cette mesure, elle doit également être nécessaire à une enquête ou à une opération spécifique (327). Le code de bonnes pratiques relatif aux données de communication prévoit d’autres exigences concernant l’appréciation de la nécessité des mesures (328). Ce code prévoit notamment que la demande présentée par l’autorité requérante devrait définir au minimum trois éléments permettant de justifier la nécessité d’une telle requête: i) l’événement visé par l’enquête, comme une infraction ou la localisation d’une personne vulnérable portée disparue; ii) la personne dont on cherche à obtenir les données, comme un suspect, un témoin ou une personne portée disparue, et la manière dont elle est liée à l’événement; et iii) les données de communication recherchées, comme le numéro de téléphone ou l’adresse IP, et la manière dont ces données sont liées à la personne et à l’événement (329). |
| --- | --- |

(204)

L’autorisation d’acquérir des données de communication est fondée sur une appréciation de la nécessité et de la proportionnalité de la mesure. Plus précisément, la nécessité de la mesure est appréciée à la lumière des motifs énumérés dans la législation (326). Compte tenu de la nature ciblée de cette mesure, elle doit également être nécessaire à une enquête ou à une opération spécifique (327). Le code de bonnes pratiques relatif aux données de communication prévoit d’autres exigences concernant l’appréciation de la nécessité des mesures (328). Ce code prévoit notamment que la demande présentée par l’autorité requérante devrait définir au minimum trois éléments permettant de justifier la nécessité d’une telle requête: i) l’événement visé par l’enquête, comme une infraction ou la localisation d’une personne vulnérable portée disparue; ii) la personne dont on cherche à obtenir les données, comme un suspect, un témoin ou une personne portée disparue, et la manière dont elle est liée à l’événement; et iii) les données de communication recherchées, comme le numéro de téléphone ou l’adresse IP, et la manière dont ces données sont liées à la personne et à l’événement (329).

326

327

328

329

| (205) | De plus, l’acquisition de données de communication doit être proportionnée à l’objectif visé (330). Le code de bonnes pratiques relatif aux données de communication précise que, lorsqu’elle réalise une telle appréciation, la personne accordant l’autorisation devrait mettre en balance «la portée de l’ingérence dans les libertés et droits de la personne avec l’avantage particulier pour l’enquête ou l’opération menée dans l’intérêt public par l’autorité publique compétente» et que, compte tenu de l’ensemble des considérations propres à chaque cas, «il est possible qu’une ingérence dans les droits d’une personne ne soit pas justifiée car l’atteinte aux droits d’une autre personne ou d’un autre groupe de personnes serait trop grave». De plus, afin d’apprécier spécifiquement la proportionnalité de la mesure, le code énumère un certain nombre d’éléments qui devraient être inclus dans la demande présentée par l’autorité requérante (331). Il convient en outre d’accorder une attention particulière au type de données de communication (données «sur les entités» ou «sur les événements» (332)) qui doivent être acquises et de recourir de préférence à la catégorie de données la moins intrusive (333). Le code de bonnes pratiques relatif aux données de communication contient également des instructions spécifiques concernant les autorisations portant sur les données de communication de personnes exerçant des professions particulières (comme les médecins, les avocats, les journalistes, les parlementaires ou les ministres des cultes) (334), qui sont soumises à des garanties supplémentaires (335). |
| --- | --- |

(205)

De plus, l’acquisition de données de communication doit être proportionnée à l’objectif visé (330). Le code de bonnes pratiques relatif aux données de communication précise que, lorsqu’elle réalise une telle appréciation, la personne accordant l’autorisation devrait mettre en balance «la portée de l’ingérence dans les libertés et droits de la personne avec l’avantage particulier pour l’enquête ou l’opération menée dans l’intérêt public par l’autorité publique compétente» et que, compte tenu de l’ensemble des considérations propres à chaque cas, «il est possible qu’une ingérence dans les droits d’une personne ne soit pas justifiée car l’atteinte aux droits d’une autre personne ou d’un autre groupe de personnes serait trop grave». De plus, afin d’apprécier spécifiquement la proportionnalité de la mesure, le code énumère un certain nombre d’éléments qui devraient être inclus dans la demande présentée par l’autorité requérante (331). Il convient en outre d’accorder une attention particulière au type de données de communication (données «sur les entités» ou «sur les événements» (332)) qui doivent être acquises et de recourir de préférence à la catégorie de données la moins intrusive (333). Le code de bonnes pratiques relatif aux données de communication contient également des instructions spécifiques concernant les autorisations portant sur les données de communication de personnes exerçant des professions particulières (comme les médecins, les avocats, les journalistes, les parlementaires ou les ministres des cultes) (334), qui sont soumises à des garanties supplémentaires (335).

330

331

332

333

334

335

ii)   Avis nécessitant la conservation des données de communication

Avis nécessitant la conservation des données de communication

| (206) | La partie 4 de l’IPA 2016 définit les règles applicables à la conservation des données de communication, et notamment les critères permettant au secrétaire d’État de délivrer un avis de conservation (336). Les garanties prévues par l’IPA sont les mêmes lorsque les données sont conservées soit à des fins répressives, soit dans l’intérêt de la sécurité nationale. |
| --- | --- |

(206)

La partie 4 de l’IPA 2016 définit les règles applicables à la conservation des données de communication, et notamment les critères permettant au secrétaire d’État de délivrer un avis de conservation (336). Les garanties prévues par l’IPA sont les mêmes lorsque les données sont conservées soit à des fins répressives, soit dans l’intérêt de la sécurité nationale.

336

| (207) | La délivrance de ces avis de conservation vise à garantir que les opérateurs de télécommunications conservent, pour une durée maximale de 12 mois, les données de communication pertinentes qui seraient sinon supprimées dès qu’elles ne sont plus nécessaires à des fins commerciales (337). Les données conservées doivent rester disponibles pendant la durée requise au cas où une autorité publique aurait par la suite besoin de les acquérir au titre d’une autorisation d’acquisition ciblée de données de communication prévue par la partie 3 de l’IPA 2016 et décrite aux considérants 203 à 205. |
| --- | --- |

(207)

La délivrance de ces avis de conservation vise à garantir que les opérateurs de télécommunications conservent, pour une durée maximale de 12 mois, les données de communication pertinentes qui seraient sinon supprimées dès qu’elles ne sont plus nécessaires à des fins commerciales (337). Les données conservées doivent rester disponibles pendant la durée requise au cas où une autorité publique aurait par la suite besoin de les acquérir au titre d’une autorisation d’acquisition ciblée de données de communication prévue par la partie 3 de l’IPA 2016 et décrite aux considérants 203 à 205.

337

| (208) | L’exercice du pouvoir d’exiger la conservation de certaines données est soumis à un certain nombre de limitations et de garanties. Le secrétaire d’État ne peut délivrer d’avis de conservation à un ou plusieurs opérateurs (338) que lorsqu’il considère que l’obligation de conserver les données est nécessaire à l’une des finalités prévues par la loi (339) et qu’elle est proportionnée à l’objectif visé (340). Comme le précise l’IPA 2016 elle-même (341), avant de délivrer un avis de conservation, le secrétaire d’État doit tenir compte: des avantages probables de l’avis (342); d’une description des services de télécommunications; de l’opportunité de limiter les données à conserver par référence à leur localisation ou à une description des personnes auxquelles sont fournis les services de télécommunications (343); du nombre probable d’utilisateurs (s’il est connu) de tout service de télécommunications sur lequel porte l’avis (344); de la faisabilité technique du respect de l’avis; du coût probable engendré par le respect de l’avis et de tout autre effet que pourrait produire l’avis sur l’opérateur de télécommunications (ou la description des opérateurs) concerné (345). Comme le décrit plus en détail le chapitre 17 du code de bonnes pratiques relatif aux données de communication, tous les avis de conservation doivent préciser chaque type de données à conserver, ainsi que la manière dont les types de données en question respectent le critère de nécessité de la conservation. |
| --- | --- |

(208)

L’exercice du pouvoir d’exiger la conservation de certaines données est soumis à un certain nombre de limitations et de garanties. Le secrétaire d’État ne peut délivrer d’avis de conservation à un ou plusieurs opérateurs (338) que lorsqu’il considère que l’obligation de conserver les données est nécessaire à l’une des finalités prévues par la loi (339) et qu’elle est proportionnée à l’objectif visé (340). Comme le précise l’IPA 2016 elle-même (341), avant de délivrer un avis de conservation, le secrétaire d’État doit tenir compte: des avantages probables de l’avis (342); d’une description des services de télécommunications; de l’opportunité de limiter les données à conserver par référence à leur localisation ou à une description des personnes auxquelles sont fournis les services de télécommunications (343); du nombre probable d’utilisateurs (s’il est connu) de tout service de télécommunications sur lequel porte l’avis (344); de la faisabilité technique du respect de l’avis; du coût probable engendré par le respect de l’avis et de tout autre effet que pourrait produire l’avis sur l’opérateur de télécommunications (ou la description des opérateurs) concerné (345). Comme le décrit plus en détail le chapitre 17 du code de bonnes pratiques relatif aux données de communication, tous les avis de conservation doivent préciser chaque type de données à conserver, ainsi que la manière dont les types de données en question respectent le critère de nécessité de la conservation.

338

339

340

341

342

343

344

345

| (209) | Dans tous les cas (tant à des fins sécurité nationale qu’à des fins répressives), la décision du secrétaire d’État de délivrer l’avis de conservation doit être approuvée par un commissaire judiciaire indépendant, dans le cadre de la procédure dite «de double verrouillage», qui doit notamment vérifier si l’avis de conservation des données de communication pertinentes est nécessaire et proportionné pour l’une ou plusieurs des finalités prévues (346). |
| --- | --- |

(209)

Dans tous les cas (tant à des fins sécurité nationale qu’à des fins répressives), la décision du secrétaire d’État de délivrer l’avis de conservation doit être approuvée par un commissaire judiciaire indépendant, dans le cadre de la procédure dite «de double verrouillage», qui doit notamment vérifier si l’avis de conservation des données de communication pertinentes est nécessaire et proportionné pour l’une ou plusieurs des finalités prévues (346).

346

3.3.1.1.3.   Interférence avec des équipements

| (210) | L’interférence avec des équipements est un ensemble de techniques utilisées afin d’obtenir diverses données à partir d’équipements (347) tels que les ordinateurs, les tablettes et les smartphones, ainsi que les câbles, les fils et les appareils de stockage (348). L’interférence avec des équipements permet d’obtenir à la fois le contenu des communications et des données relatives aux équipements (349). |
| --- | --- |

(210)

L’interférence avec des équipements est un ensemble de techniques utilisées afin d’obtenir diverses données à partir d’équipements (347) tels que les ordinateurs, les tablettes et les smartphones, ainsi que les câbles, les fils et les appareils de stockage (348). L’interférence avec des équipements permet d’obtenir à la fois le contenu des communications et des données relatives aux équipements (349).

347

348

349

| (211) | Conformément à l’article 13, paragraphe 1, de l’IPA 2016, le recours à l’interférence avec des équipements par les services de renseignement doit être autorisé au moyen d’un mandat suivant la procédure «de double verrouillage» établie par l’IPA 2016, à condition qu’il existe une «connexion avec les îles Britanniques» (350). Selon les explications fournies par les autorités britanniques, dans le cas d’un transfert de données depuis l’Union européenne vers le Royaume-Uni au titre de la présente décision, il existerait toujours une «connexion avec les îles Britanniques» et toute interférence avec des équipements couvrant ces données serait donc soumise à l’obligation de mandat prévue par l’article 13, paragraphe 1, de l’IPA 2016 (351). |
| --- | --- |

(211)

Conformément à l’article 13, paragraphe 1, de l’IPA 2016, le recours à l’interférence avec des équipements par les services de renseignement doit être autorisé au moyen d’un mandat suivant la procédure «de double verrouillage» établie par l’IPA 2016, à condition qu’il existe une «connexion avec les îles Britanniques» (350). Selon les explications fournies par les autorités britanniques, dans le cas d’un transfert de données depuis l’Union européenne vers le Royaume-Uni au titre de la présente décision, il existerait toujours une «connexion avec les îles Britanniques» et toute interférence avec des équipements couvrant ces données serait donc soumise à l’obligation de mandat prévue par l’article 13, paragraphe 1, de l’IPA 2016 (351).

350

351

| (212) | La partie 5 de l’IPA 2016 définit les règles applicables aux mandats d’interférence ciblée avec des équipements. À l’instar de l’interception ciblée, l’interférence ciblée avec des équipements doit concerner une «cible» particulière, qui doit être précisée dans le mandat (352). Les détails sur la manière dont la «cible» doit être identifiée dépendent de l’objet et du type d’équipements devant faire l’objet de l’interférence. Plus particulièrement, l’article 115, paragraphe 3, de l’IPA précise les éléments devant être inclus dans le mandat (par ex. le nom de la personne ou de l’organisation, une description de la localisation) selon si, par exemple, l’interférence concerne un équipement qui appartient à une personne, à une organisation ou à un groupe de personnes en particulier, est utilisé par ces derniers ou est en leur possession, ou se trouve dans un endroit spécifique, etc. (353) Les finalités pour lesquelles les mandats d’interférence ciblée avec des équipements peuvent être délivrés dépendent de l’autorité publique qui en fait la demande (354). |
| --- | --- |

(212)

La partie 5 de l’IPA 2016 définit les règles applicables aux mandats d’interférence ciblée avec des équipements. À l’instar de l’interception ciblée, l’interférence ciblée avec des équipements doit concerner une «cible» particulière, qui doit être précisée dans le mandat (352). Les détails sur la manière dont la «cible» doit être identifiée dépendent de l’objet et du type d’équipements devant faire l’objet de l’interférence. Plus particulièrement, l’article 115, paragraphe 3, de l’IPA précise les éléments devant être inclus dans le mandat (par ex. le nom de la personne ou de l’organisation, une description de la localisation) selon si, par exemple, l’interférence concerne un équipement qui appartient à une personne, à une organisation ou à un groupe de personnes en particulier, est utilisé par ces derniers ou est en leur possession, ou se trouve dans un endroit spécifique, etc. (353) Les finalités pour lesquelles les mandats d’interférence ciblée avec des équipements peuvent être délivrés dépendent de l’autorité publique qui en fait la demande (354).

352

353

354

| (213) | De même que pour l’interception ciblée, l’autorité délivrant le mandat doit déterminer si la mesure est nécessaire pour atteindre un objectif spécifique et si elle est proportionnée à l’objectif visé (355). De plus, elle doit également déterminer si des garanties existent en lien avec la sécurité, la conservation et la divulgation, ainsi qu’avec la «divulgation à l’étranger» (356) (voir le considérant 196 ci-dessus). |
| --- | --- |

(213)

De même que pour l’interception ciblée, l’autorité délivrant le mandat doit déterminer si la mesure est nécessaire pour atteindre un objectif spécifique et si elle est proportionnée à l’objectif visé (355). De plus, elle doit également déterminer si des garanties existent en lien avec la sécurité, la conservation et la divulgation, ainsi qu’avec la «divulgation à l’étranger» (356) (voir le considérant 196 ci-dessus).

355

356

| (214) | Le mandat doit être approuvé par un commissaire judiciaire, sauf en cas d’urgence (357). Dans ce cas, un commissaire judiciaire doit être informé de la délivrance d’un mandat et doit l’approuver dans un délai de trois jours ouvrables. Si le commissaire judiciaire refuse de l’approuver, le mandat cesse de produire ses effets et ne peut pas être renouvelé (358). En outre, le commissaire judiciaire a le pouvoir d’exiger que toute donnée interceptée en vertu du mandat soit supprimée (359). Le fait qu’un mandat ait été délivré en urgence n'a pas d’incidence sur la surveillance ex post (voir considérants 244 à 255) ou sur les possibilités pour les particuliers de demander réparation (voir considérants 260 à 270). Les particuliers peuvent introduire une plainte auprès de l’ICO ou introduire une réclamation contre tout comportement allégué devant le tribunal chargé des pouvoirs d’enquête selon la procédure habituelle. Dans tous les cas, le critère appliqué par le commissaire judiciaire pour décider d’approuver ou non le mandat est celui de la nécessité et de la proportionnalité tel qu’il s’applique aux demandes d’interception ciblée (360) (voir le considérant 192 ci-dessus). |
| --- | --- |

(214)

Le mandat doit être approuvé par un commissaire judiciaire, sauf en cas d’urgence (357). Dans ce cas, un commissaire judiciaire doit être informé de la délivrance d’un mandat et doit l’approuver dans un délai de trois jours ouvrables. Si le commissaire judiciaire refuse de l’approuver, le mandat cesse de produire ses effets et ne peut pas être renouvelé (358). En outre, le commissaire judiciaire a le pouvoir d’exiger que toute donnée interceptée en vertu du mandat soit supprimée (359). Le fait qu’un mandat ait été délivré en urgence n'a pas d’incidence sur la surveillance ex post (voir considérants 244 à 255) ou sur les possibilités pour les particuliers de demander réparation (voir considérants 260 à 270). Les particuliers peuvent introduire une plainte auprès de l’ICO ou introduire une réclamation contre tout comportement allégué devant le tribunal chargé des pouvoirs d’enquête selon la procédure habituelle. Dans tous les cas, le critère appliqué par le commissaire judiciaire pour décider d’approuver ou non le mandat est celui de la nécessité et de la proportionnalité tel qu’il s’applique aux demandes d’interception ciblée (360) (voir le considérant 192 ci-dessus).

357

358

359

360

| (215) | Enfin, les garanties spécifiques applicables à l’interception ciblée s’appliquent également à l’interférence avec des équipements en ce qui concerne la durée, le renouvellement et la modification du mandat, ainsi que l’interception de communications de parlementaires, d’éléments couverts par le secret professionnel et d’éléments journalistiques (pour de plus amples informations, voir le considérant 193 ci-dessus). |
| --- | --- |

(215)

Enfin, les garanties spécifiques applicables à l’interception ciblée s’appliquent également à l’interférence avec des équipements en ce qui concerne la durée, le renouvellement et la modification du mandat, ainsi que l’interception de communications de parlementaires, d’éléments couverts par le secret professionnel et d’éléments journalistiques (pour de plus amples informations, voir le considérant 193 ci-dessus).

3.3.1.1.4.   Exercice des pouvoirs de masse

| (216) | Les pouvoirs de masse sont régis par la partie 6 de l’IPA 2016. De plus, les codes de bonnes pratiques apportent des précisions sur l’utilisation de ces pouvoirs. Bien que le droit britannique ne donne aucune définition du terme «pouvoir de masse», dans le cadre de l’IPA 2016, ce terme a été décrit comme la collecte et la conservation d’une grande quantité de données acquises par le gouvernement par différents moyens (c.-à-d. les pouvoirs d’interception de masse, d’acquisition de masse et d’interférence de masse avec des équipements et ceux liés aux ensembles de données à caractère personnel en masse), auxquelles peuvent ensuite accéder les autorités. Cette description est précisée en l’opposant à ce que le terme «pouvoir de masse» ne recouvre pas: il ne s’agit pas d’une «surveillance de masse» sans limitation ni garantie. Bien au contraire, comme expliqué plus bas, il intègre des limitations et des garanties conçues pour faire en sorte que l’accès aux données ne soit pas accordé de manière indifférenciée ou injustifiée (361). En particulier, les pouvoirs de masse ne peuvent être utilisés que si un lien est établi entre la mesure technique que souhaite mettre en œuvre une agence nationale de renseignement et l’objectif opérationnel pour lequel une telle mesure est demandée. |
| --- | --- |

(216)

Les pouvoirs de masse sont régis par la partie 6 de l’IPA 2016. De plus, les codes de bonnes pratiques apportent des précisions sur l’utilisation de ces pouvoirs. Bien que le droit britannique ne donne aucune définition du terme «pouvoir de masse», dans le cadre de l’IPA 2016, ce terme a été décrit comme la collecte et la conservation d’une grande quantité de données acquises par le gouvernement par différents moyens (c.-à-d. les pouvoirs d’interception de masse, d’acquisition de masse et d’interférence de masse avec des équipements et ceux liés aux ensembles de données à caractère personnel en masse), auxquelles peuvent ensuite accéder les autorités. Cette description est précisée en l’opposant à ce que le terme «pouvoir de masse» ne recouvre pas: il ne s’agit pas d’une «surveillance de masse» sans limitation ni garantie. Bien au contraire, comme expliqué plus bas, il intègre des limitations et des garanties conçues pour faire en sorte que l’accès aux données ne soit pas accordé de manière indifférenciée ou injustifiée (361). En particulier, les pouvoirs de masse ne peuvent être utilisés que si un lien est établi entre la mesure technique que souhaite mettre en œuvre une agence nationale de renseignement et l’objectif opérationnel pour lequel une telle mesure est demandée.

361

| (217) | De plus, seules les agences de renseignement disposent de pouvoirs de masse et ces derniers sont toujours soumis à un mandat délivré par le secrétaire d’État et approuvé par un commissaire judiciaire. Lors du choix de la méthode de collecte des renseignements, il convient de déterminer si l’objectif poursuivi peut être atteint par des «moyens moins intrusifs» (362). Cette approche découle du cadre législatif qui est fondé sur le principe de proportionnalité et donne donc la priorité à la collecte ciblée par rapport à la collecte de masse. |
| --- | --- |

(217)

De plus, seules les agences de renseignement disposent de pouvoirs de masse et ces derniers sont toujours soumis à un mandat délivré par le secrétaire d’État et approuvé par un commissaire judiciaire. Lors du choix de la méthode de collecte des renseignements, il convient de déterminer si l’objectif poursuivi peut être atteint par des «moyens moins intrusifs» (362). Cette approche découle du cadre législatif qui est fondé sur le principe de proportionnalité et donne donc la priorité à la collecte ciblée par rapport à la collecte de masse.

362

3.3.1.1.4.1.   Interception de masse et interférence de masse avec des équipements

| (218) | Le régime applicable à l’interception de masse est prévu à la partie 6, chapitre 1 de l’IPA 2016, tandis que le chapitre 3 de ladite partie régit l’interférence de masse avec des équipements. Ces régimes étant en substance les mêmes, les conditions et les garanties supplémentaires applicables à ces mandats font l’objet d’une analyse conjointe. |
| --- | --- |

(218)

Le régime applicable à l’interception de masse est prévu à la partie 6, chapitre 1 de l’IPA 2016, tandis que le chapitre 3 de ladite partie régit l’interférence de masse avec des équipements. Ces régimes étant en substance les mêmes, les conditions et les garanties supplémentaires applicables à ces mandats font l’objet d’une analyse conjointe.

i)   Conditions et critères relatifs à la délivrance du mandat

Conditions et critères relatifs à la délivrance du mandat

| (219) | Un mandat d’interception de masse se limite à l’interception de communications dans le cadre de leur transmission, envoyées ou reçues par des personnes se trouvant en dehors des îles Britanniques (363), appelées «communications en lien avec l’étranger» (364), ainsi que d’autres données utiles et à la sélection ultérieure des éléments interceptés en vue de leur examen (365). Un mandat d’interférence de masse avec des équipements (366) autorise son destinataire à procéder à des interférences avec tout équipement en vue d’obtenir des communications en lien avec l’étranger (y compris tout élément comportant de la parole, de la musique, des sons, des images visuelles ou les données d’une description), des données relatives aux équipements (des données qui permettent ou facilitent le fonctionnement d’un service postal, d’un système de télécommunications ou d’un service de télécommunications) ou toute autre information (367). |
| --- | --- |

(219)

Un mandat d’interception de masse se limite à l’interception de communications dans le cadre de leur transmission, envoyées ou reçues par des personnes se trouvant en dehors des îles Britanniques (363), appelées «communications en lien avec l’étranger» (364), ainsi que d’autres données utiles et à la sélection ultérieure des éléments interceptés en vue de leur examen (365). Un mandat d’interférence de masse avec des équipements (366) autorise son destinataire à procéder à des interférences avec tout équipement en vue d’obtenir des communications en lien avec l’étranger (y compris tout élément comportant de la parole, de la musique, des sons, des images visuelles ou les données d’une description), des données relatives aux équipements (des données qui permettent ou facilitent le fonctionnement d’un service postal, d’un système de télécommunications ou d’un service de télécommunications) ou toute autre information (367).

363

364

365

366

367

| (220) | Le secrétaire d’État ne peut délivrer un mandat de masse que sur demande d’un directeur d’un service de renseignement (368). Un mandat autorisant une interception de masse ou une interférence de masse avec des équipements ne doit être délivré que si cela est nécessaire dans l’intérêt de la sécurité nationale et aux fins supplémentaires de prévenir ou de détecter des infractions graves, ou dans l’intérêt de la prospérité économique du Royaume-Uni lorsque cet intérêt relève aussi de la sécurité nationale (369). De plus, en vertu de l’article 142, paragraphe 7, de l’IPA 2016, un mandat d’interception de masse doit être plus précis qu’une simple référence aux «intérêts de la sécurité nationale», à la «prospérité économique du Royaume-Uni» et à la «prévention et la lutte contre des infractions graves», mais un lien doit être établi entre la mesure demandée et une ou plusieurs des finalités opérationnelles devant être incluses dans le mandat. |
| --- | --- |

(220)

Le secrétaire d’État ne peut délivrer un mandat de masse que sur demande d’un directeur d’un service de renseignement (368). Un mandat autorisant une interception de masse ou une interférence de masse avec des équipements ne doit être délivré que si cela est nécessaire dans l’intérêt de la sécurité nationale et aux fins supplémentaires de prévenir ou de détecter des infractions graves, ou dans l’intérêt de la prospérité économique du Royaume-Uni lorsque cet intérêt relève aussi de la sécurité nationale (369). De plus, en vertu de l’article 142, paragraphe 7, de l’IPA 2016, un mandat d’interception de masse doit être plus précis qu’une simple référence aux «intérêts de la sécurité nationale», à la «prospérité économique du Royaume-Uni» et à la «prévention et la lutte contre des infractions graves», mais un lien doit être établi entre la mesure demandée et une ou plusieurs des finalités opérationnelles devant être incluses dans le mandat.

368

369

| (221) | Le choix de la finalité opérationnelle est le résultat d’un processus en plusieurs étapes. L’article 142, paragraphe 4, prévoit que les finalités opérationnelles mentionnées dans le mandat doivent être précisées dans une liste tenue à jour par les directeurs des services de renseignement et être considérées par ces derniers comme des finalités opérationnelles pour lesquelles les contenus interceptés ou les données secondaires obtenues dans le cadre de mandats d’interception de masse peuvent être sélectionnés en vue de leur examen. La liste des finalités opérationnelles doit être approuvée par le secrétaire d’État. Le secrétaire d’État ne peut donner cette approbation qu’après s’être assuré que la finalité opérationnelle est décrite de manière plus détaillée que les motifs généraux d’autorisation des mandats (sécurité nationale ou sécurité nationale et prospérité économique ou prévention des infractions graves) (370). À l’issue de chaque période correspondante de trois mois, le secrétaire d’État doit donner une copie de la liste des finalités opérationnelles à la commission parlementaire sur le renseignement et la sécurité. Enfin, le Premier ministre doit examiner la liste des finalités opérationnelles au moins une fois par an (371). Comme l’a fait observer la Haute Cour, «[c]es garanties ne doivent pas être dépréciées et considérées comme des garanties insignifiantes, étant donné qu’elles constituent à elles toutes un ensemble complexe de modes de responsabilisation, qui impliquent le Parlement et les membres du gouvernement au plus haut niveau» (372). |
| --- | --- |

(221)

Le choix de la finalité opérationnelle est le résultat d’un processus en plusieurs étapes. L’article 142, paragraphe 4, prévoit que les finalités opérationnelles mentionnées dans le mandat doivent être précisées dans une liste tenue à jour par les directeurs des services de renseignement et être considérées par ces derniers comme des finalités opérationnelles pour lesquelles les contenus interceptés ou les données secondaires obtenues dans le cadre de mandats d’interception de masse peuvent être sélectionnés en vue de leur examen. La liste des finalités opérationnelles doit être approuvée par le secrétaire d’État. Le secrétaire d’État ne peut donner cette approbation qu’après s’être assuré que la finalité opérationnelle est décrite de manière plus détaillée que les motifs généraux d’autorisation des mandats (sécurité nationale ou sécurité nationale et prospérité économique ou prévention des infractions graves) (370). À l’issue de chaque période correspondante de trois mois, le secrétaire d’État doit donner une copie de la liste des finalités opérationnelles à la commission parlementaire sur le renseignement et la sécurité. Enfin, le Premier ministre doit examiner la liste des finalités opérationnelles au moins une fois par an (371). Comme l’a fait observer la Haute Cour, «[c]es garanties ne doivent pas être dépréciées et considérées comme des garanties insignifiantes, étant donné qu’elles constituent à elles toutes un ensemble complexe de modes de responsabilisation, qui impliquent le Parlement et les membres du gouvernement au plus haut niveau» (372).

370

371

372

| (222) | Ces finalités opérationnelles limitent également la portée de la sélection des éléments interceptés en vue de la phase d’examen. La sélection des éléments collectés en vertu du mandat de masse en vue de leur examen doit être justifiée au regard des finalités opérationnelles. Comme l’ont expliqué les autorités britanniques, cela signifie que le secrétaire d’État doit évaluer les modalités pratiques d’examen dès l’étape du mandat et qu’il doit disposer de suffisamment d’informations détaillées pour respecter les obligations légales prévues aux articles 152 et 193 de l’IPA 2016 (373). Les informations détaillées fournies au secrétaire d’État en lien avec ces dispositions doivent par exemple inclure des informations (le cas échéant) sur la manière dont les dispositions de filtrage peuvent varier pendant la durée de validité du mandat (374). Pour de plus amples informations sur le déroulement des phases de filtrage et d’examen et les garanties qui s’y appliquent, voir le considérant 229 ci-dessous. |
| --- | --- |

(222)

Ces finalités opérationnelles limitent également la portée de la sélection des éléments interceptés en vue de la phase d’examen. La sélection des éléments collectés en vertu du mandat de masse en vue de leur examen doit être justifiée au regard des finalités opérationnelles. Comme l’ont expliqué les autorités britanniques, cela signifie que le secrétaire d’État doit évaluer les modalités pratiques d’examen dès l’étape du mandat et qu’il doit disposer de suffisamment d’informations détaillées pour respecter les obligations légales prévues aux articles 152 et 193 de l’IPA 2016 (373). Les informations détaillées fournies au secrétaire d’État en lien avec ces dispositions doivent par exemple inclure des informations (le cas échéant) sur la manière dont les dispositions de filtrage peuvent varier pendant la durée de validité du mandat (374). Pour de plus amples informations sur le déroulement des phases de filtrage et d’examen et les garanties qui s’y appliquent, voir le considérant 229 ci-dessous.

373

374

| (223) | Un pouvoir de masse ne peut être autorisé que s’il est proportionné à l’objectif visé (375). Comme le précise le code de bonnes pratiques relatif à l’interception, toute appréciation de la proportionnalité nécessite de «mettre en balance la gravité de l’intrusion dans la vie privée (et les autres considérations mentionnées à l’article 2, paragraphe 2) avec la nécessité de l’activité du point de vue de l’enquête, des besoins opérationnels ou des capacités. La conduite autorisée devrait offrir une perspective réaliste d’apporter les avantages escomptés et ne devrait être ni disproportionnée, ni arbitraire» (376). Comme indiqué précédemment, cela signifie en pratique que le critère de proportionnalité est fondé sur un critère d’équilibre entre l’objectif visé («la finalité opérationnelle») et les options techniques disponibles (par ex. interception ciblée ou de masse, interférence ciblée ou de masse avec des équipements, acquisition ciblée ou de masse de données de communication), la préférence devant être donnée aux moyens les moins intrusifs (voir les considérants 181 et 182 ci-dessus). Lorsque plusieurs mesures sont appropriées au regard de l’objectif, le moyen le moins intrusif doit être privilégié. |
| --- | --- |

(223)

Un pouvoir de masse ne peut être autorisé que s’il est proportionné à l’objectif visé (375). Comme le précise le code de bonnes pratiques relatif à l’interception, toute appréciation de la proportionnalité nécessite de «mettre en balance la gravité de l’intrusion dans la vie privée (et les autres considérations mentionnées à l’article 2, paragraphe 2) avec la nécessité de l’activité du point de vue de l’enquête, des besoins opérationnels ou des capacités. La conduite autorisée devrait offrir une perspective réaliste d’apporter les avantages escomptés et ne devrait être ni disproportionnée, ni arbitraire» (376). Comme indiqué précédemment, cela signifie en pratique que le critère de proportionnalité est fondé sur un critère d’équilibre entre l’objectif visé («la finalité opérationnelle») et les options techniques disponibles (par ex. interception ciblée ou de masse, interférence ciblée ou de masse avec des équipements, acquisition ciblée ou de masse de données de communication), la préférence devant être donnée aux moyens les moins intrusifs (voir les considérants 181 et 182 ci-dessus). Lorsque plusieurs mesures sont appropriées au regard de l’objectif, le moyen le moins intrusif doit être privilégié.

375

376

| (224) | Le fait que le secrétaire d’État doive recevoir les informations utiles nécessaires à la bonne réalisation de son évaluation constitue une garantie supplémentaire concernant l’appréciation de la proportionnalité de la mesure demandée. Le code de bonnes pratiques relatif à l’interception et le code de bonnes pratiques relatif à l’interférence avec des équipements exigent notamment que la demande présentée par l’autorité compétente contienne une description du contexte de la demande, une description des communications devant être interceptées et des opérateurs de télécommunications dont l’aide est requise, une description de la conduite devant être autorisée, une description des finalités opérationnelles et une explication de la raison pour laquelle la conduite est nécessaire et proportionnée (377). |
| --- | --- |

(224)

Le fait que le secrétaire d’État doive recevoir les informations utiles nécessaires à la bonne réalisation de son évaluation constitue une garantie supplémentaire concernant l’appréciation de la proportionnalité de la mesure demandée. Le code de bonnes pratiques relatif à l’interception et le code de bonnes pratiques relatif à l’interférence avec des équipements exigent notamment que la demande présentée par l’autorité compétente contienne une description du contexte de la demande, une description des communications devant être interceptées et des opérateurs de télécommunications dont l’aide est requise, une description de la conduite devant être autorisée, une description des finalités opérationnelles et une explication de la raison pour laquelle la conduite est nécessaire et proportionnée (377).

377

| (225) | Enfin et surtout, la décision du secrétaire d’État de délivrer le mandat doit être approuvée par un commissaire judiciaire indépendant, qui évalue l’appréciation de la nécessité et de la proportionnalité de la mesure proposée au regard des mêmes principes que le ferait un tribunal en cas de demande de contrôle juridictionnel (378). Plus précisément, le commissaire judiciaire examinera les conclusions du secrétaire d’État déterminant si le mandat est nécessaire et si la conduite est proportionnée au regard des principes énoncés à l’article 2, paragraphe 2, de l’IPA 2016 (obligations générales relatives à la protection de la vie privée). Le commissaire judiciaire examinera également les conclusions du secrétaire d’État déterminant si chacune des finalités opérationnelles mentionnées dans le mandat constitue une finalité pour laquelle la sélection est ou pourrait être nécessaire. Si le commissaire judiciaire refuse d’approuver la décision de délivrer un mandat, le secrétaire d’État peut: i) accepter la décision et donc ne pas délivrer le mandat ou ii) renvoyer la question devant le commissaire aux pouvoirs d’enquête, qui tranchera (sauf si c’est le commissaire aux pouvoirs d’enquête qui a pris la décision initiale) (379). |
| --- | --- |

(225)

Enfin et surtout, la décision du secrétaire d’État de délivrer le mandat doit être approuvée par un commissaire judiciaire indépendant, qui évalue l’appréciation de la nécessité et de la proportionnalité de la mesure proposée au regard des mêmes principes que le ferait un tribunal en cas de demande de contrôle juridictionnel (378). Plus précisément, le commissaire judiciaire examinera les conclusions du secrétaire d’État déterminant si le mandat est nécessaire et si la conduite est proportionnée au regard des principes énoncés à l’article 2, paragraphe 2, de l’IPA 2016 (obligations générales relatives à la protection de la vie privée). Le commissaire judiciaire examinera également les conclusions du secrétaire d’État déterminant si chacune des finalités opérationnelles mentionnées dans le mandat constitue une finalité pour laquelle la sélection est ou pourrait être nécessaire. Si le commissaire judiciaire refuse d’approuver la décision de délivrer un mandat, le secrétaire d’État peut: i) accepter la décision et donc ne pas délivrer le mandat ou ii) renvoyer la question devant le commissaire aux pouvoirs d’enquête, qui tranchera (sauf si c’est le commissaire aux pouvoirs d’enquête qui a pris la décision initiale) (379).

378

379

ii)   Garanties supplémentaires

Garanties supplémentaires

| (226) | L’IPA 2016 a introduit des limitations supplémentaires en ce qui concerne la durée, le renouvellement et la modification d’un mandat de masse. Le mandat doit avoir une durée maximale de six mois et toute décision de le renouveler ou de le modifier (à l’exception de modifications mineures) doit également être approuvée par un commissaire judiciaire (380). Le code de bonnes pratiques relatif à l’interception et le code de bonnes pratiques relatif à l’interférence avec des équipements précisent qu’une modification apportée aux finalités opérationnelles du mandat est considérée comme une modification majeure de ce dernier (381). |
| --- | --- |

(226)

L’IPA 2016 a introduit des limitations supplémentaires en ce qui concerne la durée, le renouvellement et la modification d’un mandat de masse. Le mandat doit avoir une durée maximale de six mois et toute décision de le renouveler ou de le modifier (à l’exception de modifications mineures) doit également être approuvée par un commissaire judiciaire (380). Le code de bonnes pratiques relatif à l’interception et le code de bonnes pratiques relatif à l’interférence avec des équipements précisent qu’une modification apportée aux finalités opérationnelles du mandat est considérée comme une modification majeure de ce dernier (381).

380

381

| (227) | À l’instar des dispositions relatives à l’interception ciblée, la partie 6 de l’IPA 2016 prévoit que le secrétaire d’État doit veiller à ce que des dispositions soient en vigueur pour apporter les garanties nécessaires concernant la conservation et la divulgation des éléments obtenus en vertu du mandat (382), ainsi que la divulgation à l’étranger (383). L’article 150, paragraphe 5, et l’article 191, paragraphe 5, de l’IPA 2016 exigent notamment que toute copie faite des éléments collectés en vertu du mandat soit stockée de manière sécurisée et détruite dès qu’il n’existe plus de motifs pertinents de la conserver, tandis que l’article 150, paragraphe 2, et l’article 191, paragraphe 2, exigent que le nombre de personnes à qui sont divulgués ces éléments et la mesure dans laquelle ces éléments sont divulgués, mis à disposition ou copiés soient limités au minimum nécessaire aux fins prévues par la loi (384). |
| --- | --- |

(227)

À l’instar des dispositions relatives à l’interception ciblée, la partie 6 de l’IPA 2016 prévoit que le secrétaire d’État doit veiller à ce que des dispositions soient en vigueur pour apporter les garanties nécessaires concernant la conservation et la divulgation des éléments obtenus en vertu du mandat (382), ainsi que la divulgation à l’étranger (383). L’article 150, paragraphe 5, et l’article 191, paragraphe 5, de l’IPA 2016 exigent notamment que toute copie faite des éléments collectés en vertu du mandat soit stockée de manière sécurisée et détruite dès qu’il n’existe plus de motifs pertinents de la conserver, tandis que l’article 150, paragraphe 2, et l’article 191, paragraphe 2, exigent que le nombre de personnes à qui sont divulgués ces éléments et la mesure dans laquelle ces éléments sont divulgués, mis à disposition ou copiés soient limités au minimum nécessaire aux fins prévues par la loi (384).

382

383

384

| (228) | Enfin, lorsque les éléments qui ont été interceptés dans le cadre d’une interception de masse ou d’une interférence de masse avec des équipements doivent être remis à un pays tiers («divulgation à l’étranger»), l’IPA 2016 impose au secrétaire d’État de veiller à ce que des dispositions appropriées soient en vigueur afin d’assurer que des garanties similaires en matière de sécurité, de conservation et de divulgation existent dans le pays en question (385). De plus, l’article 109 de la DPA 2018 définit des exigences spécifiques applicables aux transferts internationaux de données à caractère personnel par les services de renseignement vers des pays tiers ou à des organisations internationales, et ne permet pas que les données à caractère personnel soient transférées vers un pays ou un territoire en dehors du Royaume-Uni ou à une organisation internationale, sauf si ce transfert est nécessaire et proportionné aux fins de l’exercice des fonctions réglementaires du responsable du traitement ou aux autres fins prévues par l’article 2, paragraphe 2, point a), de la loi de 1989 sur les services de sécurité ou par l’article 2, paragraphe 2, point a), et par l’article 4, paragraphe 2, point a), de la loi de 1994 sur les services de renseignement (386). Il est important de noter que ces exigences s’appliquent également dans les cas où l’exemption concernant la sécurité nationale prévue à l’article 110 de la DPA de 2018 est invoquée, étant donné que l’article 110 de la DPA de 2018 ne mentionne pas l’article 109 de la DPA de 2018 parmi les dispositions pouvant être écartées si une dérogation à certaines dispositions est nécessaire pour préserver la sécurité nationale. |
| --- | --- |

(228)

Enfin, lorsque les éléments qui ont été interceptés dans le cadre d’une interception de masse ou d’une interférence de masse avec des équipements doivent être remis à un pays tiers («divulgation à l’étranger»), l’IPA 2016 impose au secrétaire d’État de veiller à ce que des dispositions appropriées soient en vigueur afin d’assurer que des garanties similaires en matière de sécurité, de conservation et de divulgation existent dans le pays en question (385). De plus, l’article 109 de la DPA 2018 définit des exigences spécifiques applicables aux transferts internationaux de données à caractère personnel par les services de renseignement vers des pays tiers ou à des organisations internationales, et ne permet pas que les données à caractère personnel soient transférées vers un pays ou un territoire en dehors du Royaume-Uni ou à une organisation internationale, sauf si ce transfert est nécessaire et proportionné aux fins de l’exercice des fonctions réglementaires du responsable du traitement ou aux autres fins prévues par l’article 2, paragraphe 2, point a), de la loi de 1989 sur les services de sécurité ou par l’article 2, paragraphe 2, point a), et par l’article 4, paragraphe 2, point a), de la loi de 1994 sur les services de renseignement (386). Il est important de noter que ces exigences s’appliquent également dans les cas où l’exemption concernant la sécurité nationale prévue à l’article 110 de la DPA de 2018 est invoquée, étant donné que l’article 110 de la DPA de 2018 ne mentionne pas l’article 109 de la DPA de 2018 parmi les dispositions pouvant être écartées si une dérogation à certaines dispositions est nécessaire pour préserver la sécurité nationale.

385

386

| (229) | Une fois que le mandat a été approuvé et que les données ont été collectées en masse, les données feront l’objet d’une sélection avant d’être examinées. La phase de sélection et d’examen est soumise à un critère de proportionnalité supplémentaire appliqué par l’analyste qui définit, sur la base des finalités opérationnelles incluses dans le mandat (et des éventuelles dispositions de filtrage existantes), les critères de sélection. Comme le prévoient les articles 152 et 193 de l’IPA, lorsqu’il délivre le mandat, le secrétaire d’État doit veiller à ce que des dispositions soient en vigueur pour garantir que la sélection des éléments n’est effectuée que pour les finalités opérationnelles prévues et qu’elle est nécessaire et proportionnée en toutes circonstances. À cet égard, les autorités britanniques ont précisé que les éléments interceptés en masse sont tout d’abord sélectionnés au moyen d’un filtrage automatique, en vue d’écarter les données qui sont peu susceptibles d’avoir un intérêt pour la sécurité nationale. Les filtres varient de temps à autre (à mesure que les modes, les types et les protocoles de trafic sur internet évoluent) et dépendent de la technologie et du contexte opérationnel. Après cette phase, les données ne peuvent être sélectionnées en vue de leur examen que si elles sont pertinentes pour les finalités opérationnelles précisées dans le mandat (387). Les garanties prévues par l’IPA 2016 pour l’examen des éléments collectés s’appliquent à tout type de données (contenus interceptés et données secondaires) (388). Les articles 152 et 193 de l’IPA 2016 interdisent également de manière générale de sélectionner en vue de leur examen des éléments portant sur des communications envoyées par ou destinées à des personnes se trouvant dans les îles Britanniques. Si les autorités souhaitent examiner ces éléments, elles doivent demander un mandat d’examen ciblé au titre de la partie 2 et de la partie 4 de l’IPA 2016, qui est délivré par le secrétaire d’État et approuvé par un commissaire judiciaire (389). Si une personne sélectionne délibérément des contenus interceptés en vue de leur examen sans respecter les exigences prévues par la loi (390), elle commet une infraction pénale (391). |
| --- | --- |

(229)

Une fois que le mandat a été approuvé et que les données ont été collectées en masse, les données feront l’objet d’une sélection avant d’être examinées. La phase de sélection et d’examen est soumise à un critère de proportionnalité supplémentaire appliqué par l’analyste qui définit, sur la base des finalités opérationnelles incluses dans le mandat (et des éventuelles dispositions de filtrage existantes), les critères de sélection. Comme le prévoient les articles 152 et 193 de l’IPA, lorsqu’il délivre le mandat, le secrétaire d’État doit veiller à ce que des dispositions soient en vigueur pour garantir que la sélection des éléments n’est effectuée que pour les finalités opérationnelles prévues et qu’elle est nécessaire et proportionnée en toutes circonstances. À cet égard, les autorités britanniques ont précisé que les éléments interceptés en masse sont tout d’abord sélectionnés au moyen d’un filtrage automatique, en vue d’écarter les données qui sont peu susceptibles d’avoir un intérêt pour la sécurité nationale. Les filtres varient de temps à autre (à mesure que les modes, les types et les protocoles de trafic sur internet évoluent) et dépendent de la technologie et du contexte opérationnel. Après cette phase, les données ne peuvent être sélectionnées en vue de leur examen que si elles sont pertinentes pour les finalités opérationnelles précisées dans le mandat (387). Les garanties prévues par l’IPA 2016 pour l’examen des éléments collectés s’appliquent à tout type de données (contenus interceptés et données secondaires) (388). Les articles 152 et 193 de l’IPA 2016 interdisent également de manière générale de sélectionner en vue de leur examen des éléments portant sur des communications envoyées par ou destinées à des personnes se trouvant dans les îles Britanniques. Si les autorités souhaitent examiner ces éléments, elles doivent demander un mandat d’examen ciblé au titre de la partie 2 et de la partie 4 de l’IPA 2016, qui est délivré par le secrétaire d’État et approuvé par un commissaire judiciaire (389). Si une personne sélectionne délibérément des contenus interceptés en vue de leur examen sans respecter les exigences prévues par la loi (390), elle commet une infraction pénale (391).

387

388

389

390

391

| (230) | L’analyse de la sélection des éléments réalisée par l’analyste est soumise à une surveillance ex post de l’IPC, qui évalue la conformité avec les garanties spécifiques prévues par l’IPA 2016 en ce qui concerne la phase d’examen (392) (voir également le considérant 229). L’IPC doit examiner (y compris au moyen d’audits, d’inspections et d’enquêtes) l’exercice par les autorités publiques des pouvoirs d’enquête mentionnés dans l’IPA 2016 (393). À cet égard, le code de bonnes pratiques relatif à l’interception et le code de bonnes pratiques relatif à l’interférence avec des équipements précisent que l’agence doit tenir des registres en vue de l’examen ultérieur et des audits et que ces registres doivent indiquer les raisons pour lesquelles l’accès aux éléments par des personnes autorisées est nécessaire et proportionné, ainsi que les finalités opérationnelles applicables (394). Par exemple, dans son rapport annuel de 2018, le Bureau du commissaire aux pouvoirs d’enquête (395) a conclu que les justifications enregistrées par les analystes en vue de l’examen de certains éléments collectés en masse étaient conformes au critère de proportionnalité requis en détaillant suffisamment les raisons de leurs «demandes» en lien avec l’objectif visé (396). Dans son rapport de 2019, l’IPCO, en ce qui concerne les pouvoirs de masse, a clairement fait part de son intention de poursuivre les inspections relatives aux interceptions de masse, y compris un examen détaillé des sélecteurs et des critères de recherche (397). Il continuera également à examiner attentivement, au cas par cas, le choix des mesures de surveillance (ciblées ou de masse) tant lors de l’examen des demandes de mandat suivant la procédure «de double verrouillage» que lors des inspections (398). Cette surveillance supplémentaire sera dûment prise en compte dans le cadre du suivi de la présente décision par la Commission visé aux considérants 281 à 284. |
| --- | --- |

(230)

L’analyse de la sélection des éléments réalisée par l’analyste est soumise à une surveillance ex post de l’IPC, qui évalue la conformité avec les garanties spécifiques prévues par l’IPA 2016 en ce qui concerne la phase d’examen (392) (voir également le considérant 229). L’IPC doit examiner (y compris au moyen d’audits, d’inspections et d’enquêtes) l’exercice par les autorités publiques des pouvoirs d’enquête mentionnés dans l’IPA 2016 (393). À cet égard, le code de bonnes pratiques relatif à l’interception et le code de bonnes pratiques relatif à l’interférence avec des équipements précisent que l’agence doit tenir des registres en vue de l’examen ultérieur et des audits et que ces registres doivent indiquer les raisons pour lesquelles l’accès aux éléments par des personnes autorisées est nécessaire et proportionné, ainsi que les finalités opérationnelles applicables (394). Par exemple, dans son rapport annuel de 2018, le Bureau du commissaire aux pouvoirs d’enquête (395) a conclu que les justifications enregistrées par les analystes en vue de l’examen de certains éléments collectés en masse étaient conformes au critère de proportionnalité requis en détaillant suffisamment les raisons de leurs «demandes» en lien avec l’objectif visé (396). Dans son rapport de 2019, l’IPCO, en ce qui concerne les pouvoirs de masse, a clairement fait part de son intention de poursuivre les inspections relatives aux interceptions de masse, y compris un examen détaillé des sélecteurs et des critères de recherche (397). Il continuera également à examiner attentivement, au cas par cas, le choix des mesures de surveillance (ciblées ou de masse) tant lors de l’examen des demandes de mandat suivant la procédure «de double verrouillage» que lors des inspections (398). Cette surveillance supplémentaire sera dûment prise en compte dans le cadre du suivi de la présente décision par la Commission visé aux considérants 281 à 284.

392

393

394

395

396

397

398

3.3.1.1.4.2.   Acquisition de masse de données de communication

| (231) | Le chapitre 2 de la partie 6 de l’IPA 2016 régit les mandats d’acquisition de masse qui autorisent leur destinataire à demander à un opérateur de télécommunications de divulguer ou d’obtenir des données de communication en possession de ce dernier. Ces mandats autorisent également l’autorité requérante à sélectionner les données en vue de la phase ultérieure d’examen. À l’instar de la conservation et de l’acquisition ciblées de données de communication (voir le considérant 199 ci-dessus), généralement, l’acquisition de masse de données de communication ne concerne pas les données à caractère personnel de personnes concernées de l’Union européenne transférées vers le Royaume-Uni au titre de la présente décision. L’obligation de divulguer les données de communication au titre de la partie 6, chapitre 2, de l’IPA 2016 couvre les données collectées par les opérateurs de télécommunications au Royaume-Uni directement auprès des utilisateurs d’un service de télécommunications (399). Généralement, ce type de traitement «en contact avec la clientèle» n’implique pas un transfert au titre de la présente décision, c.-à-d. un transfert d’un responsable du traitement/sous-traitant de l’Union à un responsable du traitement/sous-traitant au Royaume-Uni. |
| --- | --- |

(231)

Le chapitre 2 de la partie 6 de l’IPA 2016 régit les mandats d’acquisition de masse qui autorisent leur destinataire à demander à un opérateur de télécommunications de divulguer ou d’obtenir des données de communication en possession de ce dernier. Ces mandats autorisent également l’autorité requérante à sélectionner les données en vue de la phase ultérieure d’examen. À l’instar de la conservation et de l’acquisition ciblées de données de communication (voir le considérant 199 ci-dessus), généralement, l’acquisition de masse de données de communication ne concerne pas les données à caractère personnel de personnes concernées de l’Union européenne transférées vers le Royaume-Uni au titre de la présente décision. L’obligation de divulguer les données de communication au titre de la partie 6, chapitre 2, de l’IPA 2016 couvre les données collectées par les opérateurs de télécommunications au Royaume-Uni directement auprès des utilisateurs d’un service de télécommunications (399). Généralement, ce type de traitement «en contact avec la clientèle» n’implique pas un transfert au titre de la présente décision, c.-à-d. un transfert d’un responsable du traitement/sous-traitant de l’Union à un responsable du traitement/sous-traitant au Royaume-Uni.

399

| (232) | Cependant, par souci d’exhaustivité, les conditions et garanties régissant l’acquisition de données de communication de masse sont décrites ci-dessous. |
| --- | --- |

(232)

Cependant, par souci d’exhaustivité, les conditions et garanties régissant l’acquisition de données de communication de masse sont décrites ci-dessous.

| (233) | L’IPA 2016 remplace la législation relative à l’acquisition de données de communication de masse qui était l’objet de l’arrêt rendu par la CJUE dans l’affaire Privacy International. La législation en cause dans cette affaire a été abrogée et le nouveau régime prévoit des conditions et des garanties spécifiques en vertu desquelles une telle mesure peut être autorisée. |
| --- | --- |

(233)

L’IPA 2016 remplace la législation relative à l’acquisition de données de communication de masse qui était l’objet de l’arrêt rendu par la CJUE dans l’affaire Privacy International. La législation en cause dans cette affaire a été abrogée et le nouveau régime prévoit des conditions et des garanties spécifiques en vertu desquelles une telle mesure peut être autorisée.

| (234) | En particulier, contrairement au régime précédent selon lequel le secrétaire d’État disposait d’un pouvoir discrétionnaire absolu pour autoriser la mesure (400), en vertu de l’IPA 2016, le secrétaire d’État ne peut délivrer un mandat que si la mesure est nécessaire et proportionnée. Cela signifie en pratique qu’il devrait y avoir un lien entre l’accès aux données et l’objectif poursuivi (401). Plus précisément, le secrétaire d’État devra évaluer l’existence d’un lien entre la mesure demandée et l’une ou plusieurs des «finalités opérationnelles» mentionnées dans le mandat (voir le considérant 219 ci-dessus). S’agissant de l’appréciation de la proportionnalité, le code de bonnes pratiques applicable précise que «le secrétaire d’État doit déterminer si l’objectif visé par le mandat pourrait être raisonnablement atteint par d’autres moyens moins intrusifs [article 2, paragraphe 2, point a), de la loi]. Par exemple, l’obtention des informations nécessaires par un pouvoir moins intrusif tel que l’acquisition ciblée de données de communication» (402). |
| --- | --- |

(234)

En particulier, contrairement au régime précédent selon lequel le secrétaire d’État disposait d’un pouvoir discrétionnaire absolu pour autoriser la mesure (400), en vertu de l’IPA 2016, le secrétaire d’État ne peut délivrer un mandat que si la mesure est nécessaire et proportionnée. Cela signifie en pratique qu’il devrait y avoir un lien entre l’accès aux données et l’objectif poursuivi (401). Plus précisément, le secrétaire d’État devra évaluer l’existence d’un lien entre la mesure demandée et l’une ou plusieurs des «finalités opérationnelles» mentionnées dans le mandat (voir le considérant 219 ci-dessus). S’agissant de l’appréciation de la proportionnalité, le code de bonnes pratiques applicable précise que «le secrétaire d’État doit déterminer si l’objectif visé par le mandat pourrait être raisonnablement atteint par d’autres moyens moins intrusifs [article 2, paragraphe 2, point a), de la loi]. Par exemple, l’obtention des informations nécessaires par un pouvoir moins intrusif tel que l’acquisition ciblée de données de communication» (402).

400

401

402

| (235) | Pour réaliser une telle appréciation, le secrétaire d’État s’appuie sur les informations que les directeurs des services de renseignement (403) sont tenus de fournir dans leur demande, comme les raisons pour lesquelles la mesure est jugée nécessaire pour l’un des motifs prévus par la loi ou les raisons pour lesquelles l’objectif visé ne pourrait pas être raisonnablement atteint par d’autres moyens moins intrusifs (404). De plus, les finalités opérationnelles limitent la mesure dans laquelle les données obtenues en vertu du mandat peuvent être sélectionnées en vue de leur examen (405). Comme le précise le code de bonnes pratiques applicable, les finalités opérationnelles doivent décrire une exigence claire et être suffisamment détaillées pour convaincre le secrétaire d’État que les données acquises ne peuvent être sélectionnées en vue de leur examen que pour des raisons spécifiques (406). En réalité, le secrétaire d’État devra s’assurer, avant d’autoriser le mandat, que des dispositions spécifiques sont en vigueur afin de garantir que seuls les éléments dont l’examen est considéré comme nécessaire pour une finalité opérationnelle et une finalité prévue par la loi sont sélectionnés en vue de leur examen et que les principes de proportionnalité et de nécessité sont respectés en toutes circonstances. Cette exigence spécifique, qui figure aux articles 158 et 172 (407) de l’IPA 2016, concernant l’appréciation préalable de la nécessité et de la proportionnalité des critères utilisés aux fins de la sélection, constitue une autre nouveauté importante du régime instauré par cette loi par rapport au régime précédent. |
| --- | --- |

(235)

Pour réaliser une telle appréciation, le secrétaire d’État s’appuie sur les informations que les directeurs des services de renseignement (403) sont tenus de fournir dans leur demande, comme les raisons pour lesquelles la mesure est jugée nécessaire pour l’un des motifs prévus par la loi ou les raisons pour lesquelles l’objectif visé ne pourrait pas être raisonnablement atteint par d’autres moyens moins intrusifs (404). De plus, les finalités opérationnelles limitent la mesure dans laquelle les données obtenues en vertu du mandat peuvent être sélectionnées en vue de leur examen (405). Comme le précise le code de bonnes pratiques applicable, les finalités opérationnelles doivent décrire une exigence claire et être suffisamment détaillées pour convaincre le secrétaire d’État que les données acquises ne peuvent être sélectionnées en vue de leur examen que pour des raisons spécifiques (406). En réalité, le secrétaire d’État devra s’assurer, avant d’autoriser le mandat, que des dispositions spécifiques sont en vigueur afin de garantir que seuls les éléments dont l’examen est considéré comme nécessaire pour une finalité opérationnelle et une finalité prévue par la loi sont sélectionnés en vue de leur examen et que les principes de proportionnalité et de nécessité sont respectés en toutes circonstances. Cette exigence spécifique, qui figure aux articles 158 et 172 (407) de l’IPA 2016, concernant l’appréciation préalable de la nécessité et de la proportionnalité des critères utilisés aux fins de la sélection, constitue une autre nouveauté importante du régime instauré par cette loi par rapport au régime précédent.

403

404

405

406

407

| (236) | L’IPA 2016 oblige également le secrétaire d’État à s’assurer que, avant de délivrer le mandat d’acquisition de masse de données de communication, des limitations spécifiques sont en place concernant la sécurité, la conservation et la divulgation des données à caractère personnel collectées (408). En cas de divulgation à l’étranger, les garanties décrites au considérant 227 pour l’interception de masse et l’interférence de masse avec des équipements s’appliquent également dans ce contexte (409). La législation prévoit des limitations supplémentaires concernant la durée (410), le renouvellement (411) et la modification des mandats de masse (412). |
| --- | --- |

(236)

L’IPA 2016 oblige également le secrétaire d’État à s’assurer que, avant de délivrer le mandat d’acquisition de masse de données de communication, des limitations spécifiques sont en place concernant la sécurité, la conservation et la divulgation des données à caractère personnel collectées (408). En cas de divulgation à l’étranger, les garanties décrites au considérant 227 pour l’interception de masse et l’interférence de masse avec des équipements s’appliquent également dans ce contexte (409). La législation prévoit des limitations supplémentaires concernant la durée (410), le renouvellement (411) et la modification des mandats de masse (412).

408

409

410

411

412

| (237) | Il est important de noter que, tout comme pour les autres pouvoirs de masse, avant de délivrer le mandat, le secrétaire d’État doit obtenir l’approbation d’un commissaire judiciaire (413). Il s’agit là de l’une des caractéristiques essentielles du régime mis en place par l’IPA 2016. |
| --- | --- |

(237)

Il est important de noter que, tout comme pour les autres pouvoirs de masse, avant de délivrer le mandat, le secrétaire d’État doit obtenir l’approbation d’un commissaire judiciaire (413). Il s’agit là de l’une des caractéristiques essentielles du régime mis en place par l’IPA 2016.

413

| (238) | L’IPC assure une surveillance ex post de la procédure d’examen concernant les éléments (données de communication) acquis en masse (voir le considérant 254 ci-dessous). À cet égard, en vertu de l’IPA 2016, l’analyste du service de renseignement réalisant l’examen doit consigner, avant la sélection des données en vue de leur examen, la raison pour laquelle l’examen envisagé est nécessaire et proportionné à la finalité opérationnelle spécifiée (414). Dans le rapport annuel de 2019 de l’IPCO, il a été conclu au sujet des pratiques du GCHQ et du MI5 que «le rôle essentiel joué par les données de communication en masse dans l’ensemble des activités menées au GCHQ était bien articulé dans les dossiers que nous avons inspectés. Nous avons examiné la nature des données demandées et les exigences énoncées en matière de renseignement et selon nos conclusions, la documentation démontrait que leur approche était nécessaire et proportionnée» (415). «Les justifications enregistrées par le MI5 étaient de qualité et respectaient les principes de nécessité et de proportionnalité» (416). |
| --- | --- |

(238)

L’IPC assure une surveillance ex post de la procédure d’examen concernant les éléments (données de communication) acquis en masse (voir le considérant 254 ci-dessous). À cet égard, en vertu de l’IPA 2016, l’analyste du service de renseignement réalisant l’examen doit consigner, avant la sélection des données en vue de leur examen, la raison pour laquelle l’examen envisagé est nécessaire et proportionné à la finalité opérationnelle spécifiée (414). Dans le rapport annuel de 2019 de l’IPCO, il a été conclu au sujet des pratiques du GCHQ et du MI5 que «le rôle essentiel joué par les données de communication en masse dans l’ensemble des activités menées au GCHQ était bien articulé dans les dossiers que nous avons inspectés. Nous avons examiné la nature des données demandées et les exigences énoncées en matière de renseignement et selon nos conclusions, la documentation démontrait que leur approche était nécessaire et proportionnée» (415). «Les justifications enregistrées par le MI5 étaient de qualité et respectaient les principes de nécessité et de proportionnalité» (416).

414

415

416

3.3.1.1.4.3.   Conservation et examen d’ensembles de données à caractère personnel en masse

| (239) | Les mandats relatifs aux ensembles de données à caractère personnel en masse (EDM) (417) autorisent les agences de renseignement à conserver et à examiner des ensembles de données qui comprennent des données à caractère personnel concernant un certain nombre de personnes. Selon les explications fournies par les autorités britanniques, l’analyse de ces ensembles de données peut être «le seul moyen pour la communauté du renseignement britannique de faire avancer les enquêtes et d’identifier des terroristes à partir de renseignements majeurs très limités ou lorsque leurs communications ont été délibérément dissimulées» (418). Il existe deux types de mandats: «les mandats EDM par catégorie» (419), qui concernent une certaine catégorie d’ensembles de données, à savoir des ensembles de données dont le contenu et l’utilisation envisagée sont similaires et qui soulèvent des questions similaires concernant, par exemple, le degré d’intrusion et de sensibilité, ainsi que le caractère proportionné de l’utilisation des données, ce qui permet au secrétaire d’État d’examiner la nécessité et la proportionnalité de l’acquisition de l’intégralité des données relevant de la catégorie concernée en une seule fois. Par exemple, un mandat EDM par catégorie peut couvrir des ensembles de données de déplacement qui portent sur des itinéraires similaires (420). Les «mandats EDM spécifiques» (421) concernent eux un ensemble de données spécifique, tel qu’un ensemble de données comportant un type d’informations nouveau ou inhabituel qui ne relève pas d’un mandat EDM par catégorie existant, ou un ensemble de données qui concerne certains types spécifiques de données à caractère personnel (422) et qui nécessite donc des garanties supplémentaires (423). Les dispositions de l’IPA 2016 relatives aux EDM ne permettent d’examiner et de conserver ces ensembles de données que si ces actions sont nécessaires et proportionnées (424) et si elles respectent les obligations générales relatives à la protection de la vie privée (425). |
| --- | --- |

(239)

Les mandats relatifs aux ensembles de données à caractère personnel en masse (EDM) (417) autorisent les agences de renseignement à conserver et à examiner des ensembles de données qui comprennent des données à caractère personnel concernant un certain nombre de personnes. Selon les explications fournies par les autorités britanniques, l’analyse de ces ensembles de données peut être «le seul moyen pour la communauté du renseignement britannique de faire avancer les enquêtes et d’identifier des terroristes à partir de renseignements majeurs très limités ou lorsque leurs communications ont été délibérément dissimulées» (418). Il existe deux types de mandats: «les mandats EDM par catégorie» (419), qui concernent une certaine catégorie d’ensembles de données, à savoir des ensembles de données dont le contenu et l’utilisation envisagée sont similaires et qui soulèvent des questions similaires concernant, par exemple, le degré d’intrusion et de sensibilité, ainsi que le caractère proportionné de l’utilisation des données, ce qui permet au secrétaire d’État d’examiner la nécessité et la proportionnalité de l’acquisition de l’intégralité des données relevant de la catégorie concernée en une seule fois. Par exemple, un mandat EDM par catégorie peut couvrir des ensembles de données de déplacement qui portent sur des itinéraires similaires (420). Les «mandats EDM spécifiques» (421) concernent eux un ensemble de données spécifique, tel qu’un ensemble de données comportant un type d’informations nouveau ou inhabituel qui ne relève pas d’un mandat EDM par catégorie existant, ou un ensemble de données qui concerne certains types spécifiques de données à caractère personnel (422) et qui nécessite donc des garanties supplémentaires (423). Les dispositions de l’IPA 2016 relatives aux EDM ne permettent d’examiner et de conserver ces ensembles de données que si ces actions sont nécessaires et proportionnées (424) et si elles respectent les obligations générales relatives à la protection de la vie privée (425).

417

418

419

420

421

422

423

424

425

| (240) | Le pouvoir de délivrer un mandat EDM est soumis à la procédure «de double verrouillage»: l’appréciation de la nécessité et de la proportionnalité de la mesure est tout d’abord réalisée par le secrétaire d’État, puis par le commissaire judiciaire (426). Le secrétaire d’État doit tenir compte de la nature et du champ d’application du type de mandat demandé, de la catégorie de données concernée et du nombre d’ensembles de données à caractère personnel en masse susceptibles de relever du champ d’application du type spécifique de mandat (427). De même, comme le prévoit le code de bonnes pratiques relatif à la conservation et à l’utilisation par les services de renseignement des ensembles de données à caractère personnel en masse, des registres détaillés doivent être tenus et sont soumis au contrôle de l’IPC (428). Le fait de conserver et d’examiner des EDM en dehors des limitations prévues par l’IPA 2016 constitue une infraction pénale (429). |
| --- | --- |

(240)

Le pouvoir de délivrer un mandat EDM est soumis à la procédure «de double verrouillage»: l’appréciation de la nécessité et de la proportionnalité de la mesure est tout d’abord réalisée par le secrétaire d’État, puis par le commissaire judiciaire (426). Le secrétaire d’État doit tenir compte de la nature et du champ d’application du type de mandat demandé, de la catégorie de données concernée et du nombre d’ensembles de données à caractère personnel en masse susceptibles de relever du champ d’application du type spécifique de mandat (427). De même, comme le prévoit le code de bonnes pratiques relatif à la conservation et à l’utilisation par les services de renseignement des ensembles de données à caractère personnel en masse, des registres détaillés doivent être tenus et sont soumis au contrôle de l’IPC (428). Le fait de conserver et d’examiner des EDM en dehors des limitations prévues par l’IPA 2016 constitue une infraction pénale (429).

426

427

428

429

3.3.2.   Utilisation ultérieure des informations recueillies

Utilisation ultérieure des informations recueillies

| (241) | Les données à caractère personnel traitées en vertu de la partie 4 de la DPA 2018 ne doivent pas être traitées d’une manière incompatible avec la finalité pour laquelle elles ont été collectées (430). La DPA 2018 prévoit que le responsable du traitement peut traiter les données pour une finalité différente de celle pour laquelle elles ont été collectées lorsqu’elle est compatible avec la finalité initiale et à condition que le responsable du traitement soit légalement autorisé à traiter les données et que le traitement soit nécessaire et proportionné (431). De plus, la loi de 1989 sur les services de sécurité et la loi de 1994 sur les services de renseignement précisent que les directeurs des agences de renseignement doivent s’assurer qu’aucune information n’est obtenue ou divulguée sauf dans la mesure où cela est nécessaire à la bonne exécution des missions de l’agence ou aux autres finalités limitées et spécifiques énumérées dans les dispositions en vigueur (432). |
| --- | --- |

(241)

Les données à caractère personnel traitées en vertu de la partie 4 de la DPA 2018 ne doivent pas être traitées d’une manière incompatible avec la finalité pour laquelle elles ont été collectées (430). La DPA 2018 prévoit que le responsable du traitement peut traiter les données pour une finalité différente de celle pour laquelle elles ont été collectées lorsqu’elle est compatible avec la finalité initiale et à condition que le responsable du traitement soit légalement autorisé à traiter les données et que le traitement soit nécessaire et proportionné (431). De plus, la loi de 1989 sur les services de sécurité et la loi de 1994 sur les services de renseignement précisent que les directeurs des agences de renseignement doivent s’assurer qu’aucune information n’est obtenue ou divulguée sauf dans la mesure où cela est nécessaire à la bonne exécution des missions de l’agence ou aux autres finalités limitées et spécifiques énumérées dans les dispositions en vigueur (432).

430

431

432

| (242) | De plus, l’article 109 de la DPA 2018 définit des exigences spécifiques applicables aux transferts internationaux de données à caractère personnel par les services de renseignement vers des pays tiers ou à des organisations internationales. Selon cette disposition, les données à caractère personnel ne peuvent pas être transférées vers un pays ou un territoire en dehors du Royaume-Uni ou à une organisation internationale, sauf si ce transfert est nécessaire et proportionné aux fins de l’exercice des fonctions réglementaires du responsable du traitement ou aux autres fins prévues par l’article 2, paragraphe 2, point a), de la loi de 1989 sur les services de sécurité ou par l’article 2, paragraphe 2, point a), et par l’article 4, paragraphe 2, point a), de la loi de 1994 sur les services de renseignement (433). Il est important de noter que ces exigences s’appliquent également dans les cas où l’exemption concernant la sécurité nationale prévue à l’article 110 de la DPA de 2018 est invoquée, étant donné que l’article 110 de la DPA de 2018 ne mentionne pas l’article 109 de la DPA de 2018 parmi les dispositions pouvant être écartées si une dérogation à certaines dispositions est nécessaire pour préserver la sécurité nationale. |
| --- | --- |

(242)

De plus, l’article 109 de la DPA 2018 définit des exigences spécifiques applicables aux transferts internationaux de données à caractère personnel par les services de renseignement vers des pays tiers ou à des organisations internationales. Selon cette disposition, les données à caractère personnel ne peuvent pas être transférées vers un pays ou un territoire en dehors du Royaume-Uni ou à une organisation internationale, sauf si ce transfert est nécessaire et proportionné aux fins de l’exercice des fonctions réglementaires du responsable du traitement ou aux autres fins prévues par l’article 2, paragraphe 2, point a), de la loi de 1989 sur les services de sécurité ou par l’article 2, paragraphe 2, point a), et par l’article 4, paragraphe 2, point a), de la loi de 1994 sur les services de renseignement (433). Il est important de noter que ces exigences s’appliquent également dans les cas où l’exemption concernant la sécurité nationale prévue à l’article 110 de la DPA de 2018 est invoquée, étant donné que l’article 110 de la DPA de 2018 ne mentionne pas l’article 109 de la DPA de 2018 parmi les dispositions pouvant être écartées si une dérogation à certaines dispositions est nécessaire pour préserver la sécurité nationale.

433

| (243) | Par ailleurs, comme l’a souligné l’ICO dans ses orientations sur le traitement des services de renseignement, outre les garanties prévues par la partie 4 de la DPA de 2018, une agence de renseignement, lorsqu’elle partage des données avec un service de renseignement d’un pays tiers, est également soumise à des garanties prévues par d’autres mesures législatives qui lui sont applicables afin de garantir que les données à caractère personnel sont obtenues, partagées et traitées de manière licite et responsable (434). Par exemple, l’IPA 2016 définit des garanties supplémentaires en ce qui concerne les transferts vers un pays tiers des éléments collectés dans le cadre de l’interception ciblée (435), de l’interférence ciblée avec des équipements (436), de l’interception de masse (437), de l’acquisition de masse de données de communication (438) et de l’interférence de masse avec des équipements (439) (les «divulgations à l’étranger»). L’autorité délivrant le mandat doit notamment veiller à ce que des dispositions soient en vigueur pour garantir que le pays tiers destinataire des données limite au minimum nécessaire pour les finalités autorisées énoncées dans l’IPA 2016 le nombre de personnes qui consultent les éléments, la portée de la divulgation et le nombre de copies faites des éléments (440). |
| --- | --- |

(243)

Par ailleurs, comme l’a souligné l’ICO dans ses orientations sur le traitement des services de renseignement, outre les garanties prévues par la partie 4 de la DPA de 2018, une agence de renseignement, lorsqu’elle partage des données avec un service de renseignement d’un pays tiers, est également soumise à des garanties prévues par d’autres mesures législatives qui lui sont applicables afin de garantir que les données à caractère personnel sont obtenues, partagées et traitées de manière licite et responsable (434). Par exemple, l’IPA 2016 définit des garanties supplémentaires en ce qui concerne les transferts vers un pays tiers des éléments collectés dans le cadre de l’interception ciblée (435), de l’interférence ciblée avec des équipements (436), de l’interception de masse (437), de l’acquisition de masse de données de communication (438) et de l’interférence de masse avec des équipements (439) (les «divulgations à l’étranger»). L’autorité délivrant le mandat doit notamment veiller à ce que des dispositions soient en vigueur pour garantir que le pays tiers destinataire des données limite au minimum nécessaire pour les finalités autorisées énoncées dans l’IPA 2016 le nombre de personnes qui consultent les éléments, la portée de la divulgation et le nombre de copies faites des éléments (440).

434

435

436

437

438

439

440

3.3.3.   Surveillance

Surveillance

| (244) | Différents organes surveillent l’accès des pouvoirs publics à des fins de sécurité nationale. Le commissaire à l’information surveille le traitement des données à caractère personnel à la lumière de la DPA 2018 (pour de plus amples informations sur l’indépendance, le rôle de nomination et les pouvoirs du commissaire, voir les considérants 85 à 98), tandis que l’IPC est responsable de la surveillance indépendante et judiciaire de l’utilisation des pouvoirs d’enquête en vertu de l’IPA 2016. L’IPC surveille l’utilisation des pouvoirs d’enquête prévus par l’IPA 2016 par les autorités répressives et les agences de sécurité nationale. La surveillance politique est assurée par la commission sur les services de renseignement du Parlement. |
| --- | --- |

(244)

Différents organes surveillent l’accès des pouvoirs publics à des fins de sécurité nationale. Le commissaire à l’information surveille le traitement des données à caractère personnel à la lumière de la DPA 2018 (pour de plus amples informations sur l’indépendance, le rôle de nomination et les pouvoirs du commissaire, voir les considérants 85 à 98), tandis que l’IPC est responsable de la surveillance indépendante et judiciaire de l’utilisation des pouvoirs d’enquête en vertu de l’IPA 2016. L’IPC surveille l’utilisation des pouvoirs d’enquête prévus par l’IPA 2016 par les autorités répressives et les agences de sécurité nationale. La surveillance politique est assurée par la commission sur les services de renseignement du Parlement.

3.3.3.1.   Surveillance au titre de la partie 4 de la loi sur la protection des données

Surveillance au titre de la partie 4 de la loi sur la protection des données

| (245) | Le traitement des données à caractère personnel effectué par les services de renseignement au titre de la partie 4 de la DPA 2018 est surveillé par le commissaire à l’information (441). |
| --- | --- |

(245)

Le traitement des données à caractère personnel effectué par les services de renseignement au titre de la partie 4 de la DPA 2018 est surveillé par le commissaire à l’information (441).

441

| (246) | Les fonctions générales du commissaire à l’information en ce qui concerne le traitement de données à caractère personnel par des services de renseignement au titre de la partie 4 de la loi DPA 2018 sont énoncées à l’annexe 13 de la loi DPA 2018. Ses missions consistent notamment, sans s’y limiter, à contrôler et à faire appliquer la partie 4 de la DPA 2018, à favoriser la sensibilisation du public, à conseiller le Parlement, le gouvernement et d’autres institutions au sujet des mesures législatives et administratives, à encourager la sensibilisation des responsables du traitement et des sous-traitants en ce qui concerne les obligations qui leur incombent, à fournir des informations à une personne concernée sur l’exercice de ses droits, à effectuer des enquêtes, etc. |
| --- | --- |

(246)

Les fonctions générales du commissaire à l’information en ce qui concerne le traitement de données à caractère personnel par des services de renseignement au titre de la partie 4 de la loi DPA 2018 sont énoncées à l’annexe 13 de la loi DPA 2018. Ses missions consistent notamment, sans s’y limiter, à contrôler et à faire appliquer la partie 4 de la DPA 2018, à favoriser la sensibilisation du public, à conseiller le Parlement, le gouvernement et d’autres institutions au sujet des mesures législatives et administratives, à encourager la sensibilisation des responsables du traitement et des sous-traitants en ce qui concerne les obligations qui leur incombent, à fournir des informations à une personne concernée sur l’exercice de ses droits, à effectuer des enquêtes, etc.

| (247) | S’agissant de la partie 3 de la DPA 2018, le commissaire dispose du pouvoir de notifier aux responsables du traitement une violation alléguée et d’émettre un avertissement lorsqu’un traitement est susceptible de violer les règles, puis d’émettre un rappel à l’ordre lorsque la violation est confirmée. Il peut également délivrer des avis d’exécution et de sanction en cas de violation de certaines dispositions de la loi (442). Cependant, contrairement à ce qui est prévu pour d’autres parties de la DPA 2018, le commissaire ne peut pas adresser un avis d’évaluation à un organe de sécurité nationale (443). |
| --- | --- |

(247)

S’agissant de la partie 3 de la DPA 2018, le commissaire dispose du pouvoir de notifier aux responsables du traitement une violation alléguée et d’émettre un avertissement lorsqu’un traitement est susceptible de violer les règles, puis d’émettre un rappel à l’ordre lorsque la violation est confirmée. Il peut également délivrer des avis d’exécution et de sanction en cas de violation de certaines dispositions de la loi (442). Cependant, contrairement à ce qui est prévu pour d’autres parties de la DPA 2018, le commissaire ne peut pas adresser un avis d’évaluation à un organe de sécurité nationale (443).

442

443

| (248) | De plus, l’article 110 de la DPA 2018 prévoit une exception à l’utilisation de certains pouvoirs du commissaire lorsque cela est nécessaire pour garantir la sécurité nationale. Cette exception porte notamment sur le pouvoir du commissaire de délivrer des avis (de tout type) au titre de la loi sur la protection des données (avis d’information, d’évaluation, d’exécution et de sanction), sur le pouvoir de réaliser des inspections conformément aux obligations internationales, sur les pouvoirs d’accès et d’inspection ainsi que sur les règles relatives aux infractions (444). Comme expliqué dans le considérant 126, elle ne s’applique que si elle est nécessaire et proportionnée et au cas par cas. |
| --- | --- |

(248)

De plus, l’article 110 de la DPA 2018 prévoit une exception à l’utilisation de certains pouvoirs du commissaire lorsque cela est nécessaire pour garantir la sécurité nationale. Cette exception porte notamment sur le pouvoir du commissaire de délivrer des avis (de tout type) au titre de la loi sur la protection des données (avis d’information, d’évaluation, d’exécution et de sanction), sur le pouvoir de réaliser des inspections conformément aux obligations internationales, sur les pouvoirs d’accès et d’inspection ainsi que sur les règles relatives aux infractions (444). Comme expliqué dans le considérant 126, elle ne s’applique que si elle est nécessaire et proportionnée et au cas par cas.

444

| (249) | L’ICO et les services de renseignement britanniques ont signé un protocole d’accord (445) établissant un cadre pour la coopération sur un certain nombre de sujets, notamment la notification des violations de données et le traitement des réclamations des personnes concernées. Ce protocole prévoit notamment que, lorsqu’il reçoit une réclamation, l’ICO évalue si l’application d’une exemption concernant la sécurité nationale a été faite de manière appropriée. L’agence de renseignement concernée doit répondre aux questions posées par l’ICO dans le cadre de l’examen des réclamations individuelles dans un délai de 20 jours ouvrables, au moyen de canaux de communication sécurisés si des informations classifiées sont concernées. Depuis avril 2018 jusqu’à présent, l’ICO a reçu 21 réclamations introduites par des particuliers concernant les services de renseignement. Chaque réclamation a fait l’objet d’une évaluation et l’issue a été communiquée à la personne concernée (446). |
| --- | --- |

(249)

L’ICO et les services de renseignement britanniques ont signé un protocole d’accord (445) établissant un cadre pour la coopération sur un certain nombre de sujets, notamment la notification des violations de données et le traitement des réclamations des personnes concernées. Ce protocole prévoit notamment que, lorsqu’il reçoit une réclamation, l’ICO évalue si l’application d’une exemption concernant la sécurité nationale a été faite de manière appropriée. L’agence de renseignement concernée doit répondre aux questions posées par l’ICO dans le cadre de l’examen des réclamations individuelles dans un délai de 20 jours ouvrables, au moyen de canaux de communication sécurisés si des informations classifiées sont concernées. Depuis avril 2018 jusqu’à présent, l’ICO a reçu 21 réclamations introduites par des particuliers concernant les services de renseignement. Chaque réclamation a fait l’objet d’une évaluation et l’issue a été communiquée à la personne concernée (446).

445

446

3.3.3.2.   Surveillance de l’utilisation des pouvoirs d’enquête au titre de l’IPA 2016

Surveillance de l’utilisation des pouvoirs d’enquête au titre de l’IPA 2016

| (250) | Conformément à la partie 8 de l’IPA 2016, la surveillance de l’utilisation des pouvoirs d’enquête est assurée par le commissaire aux pouvoirs d’enquête (IPC). L’IPC est assisté par d’autres commissaires judiciaires, qui sont désignés collectivement sous le nom de commissaires judiciaires (447). L’IPA 2016 définit les garanties qui protègent l’indépendance des commissaires judiciaires. Les commissaires judiciaires doivent exercer ou avoir exercé de hautes fonctions judiciaires (être ou avoir été membre des Cours supérieures) (448) et, comme tout membre du corps judiciaire, ils bénéficient d’un statut d’indépendance vis-à-vis du gouvernement (449). Conformément à l’article 227 de l’IPA 2016, c’est le Premier ministre qui nomme l’IPC et autant de commissaires judiciaires qu’il le juge approprié. Tous les commissaires, qu’ils soient des membres actuels ou d'anciens membres du pouvoir judiciaire, ne peuvent être nommés que sur la base d’une recommandation commune des trois juges en chef pour l’Angleterre et le pays de Galles, l’Écosse et l’Irlande du Nord et du Lord Chancelier (450). Le secrétaire d’État doit fournir à l’IPC du personnel, des locaux, des équipements et d’autres installations et services (451). Le mandat des commissaires est de trois ans et peut être renouvelé (452). Les commissaires judiciaires ne peuvent être destitués que dans des conditions strictes imposant un seuil élevé: soit par le Premier ministre, dans les circonstances spécifiques énumérées de manière exhaustive à l’article 228, paragraphe 5, de l’IPA 2016 (par exemple en cas de faillite ou d’emprisonnement), soit si une résolution approuvant cette destitution a été adoptée par les deux chambres du Parlement (453). |
| --- | --- |

(250)

Conformément à la partie 8 de l’IPA 2016, la surveillance de l’utilisation des pouvoirs d’enquête est assurée par le commissaire aux pouvoirs d’enquête (IPC). L’IPC est assisté par d’autres commissaires judiciaires, qui sont désignés collectivement sous le nom de commissaires judiciaires (447). L’IPA 2016 définit les garanties qui protègent l’indépendance des commissaires judiciaires. Les commissaires judiciaires doivent exercer ou avoir exercé de hautes fonctions judiciaires (être ou avoir été membre des Cours supérieures) (448) et, comme tout membre du corps judiciaire, ils bénéficient d’un statut d’indépendance vis-à-vis du gouvernement (449). Conformément à l’article 227 de l’IPA 2016, c’est le Premier ministre qui nomme l’IPC et autant de commissaires judiciaires qu’il le juge approprié. Tous les commissaires, qu’ils soient des membres actuels ou d'anciens membres du pouvoir judiciaire, ne peuvent être nommés que sur la base d’une recommandation commune des trois juges en chef pour l’Angleterre et le pays de Galles, l’Écosse et l’Irlande du Nord et du Lord Chancelier (450). Le secrétaire d’État doit fournir à l’IPC du personnel, des locaux, des équipements et d’autres installations et services (451). Le mandat des commissaires est de trois ans et peut être renouvelé (452). Les commissaires judiciaires ne peuvent être destitués que dans des conditions strictes imposant un seuil élevé: soit par le Premier ministre, dans les circonstances spécifiques énumérées de manière exhaustive à l’article 228, paragraphe 5, de l’IPA 2016 (par exemple en cas de faillite ou d’emprisonnement), soit si une résolution approuvant cette destitution a été adoptée par les deux chambres du Parlement (453).

447

448

449

450

451

452

453

| (251) | Dans le cadre de leurs missions, l’IPC et les commissaires judiciaires sont assistés par le Bureau du commissaire aux pouvoirs d’enquête (IPCO). Le personnel de l’IPCO comprend une équipe d’inspecteurs, des experts juridiques et techniques internes et un comité consultatif sur les technologies, qui lui fournit des avis d’experts. Comme c’est le cas pour chaque commissaire judiciaire, l’indépendance de l’IPCO est protégée. L’IPCO est un organisme indépendant relevant du ministère de l’intérieur, c.-à-d. qu’il reçoit des financements de ce ministère mais qu’il exerce ses fonctions de manière indépendante (454). |
| --- | --- |

(251)

Dans le cadre de leurs missions, l’IPC et les commissaires judiciaires sont assistés par le Bureau du commissaire aux pouvoirs d’enquête (IPCO). Le personnel de l’IPCO comprend une équipe d’inspecteurs, des experts juridiques et techniques internes et un comité consultatif sur les technologies, qui lui fournit des avis d’experts. Comme c’est le cas pour chaque commissaire judiciaire, l’indépendance de l’IPCO est protégée. L’IPCO est un organisme indépendant relevant du ministère de l’intérieur, c.-à-d. qu’il reçoit des financements de ce ministère mais qu’il exerce ses fonctions de manière indépendante (454).

454

| (252) | Les principales fonctions des commissaires judiciaires sont énoncées à l’article 229 de l’IPA 2016 (455). En particulier, les commissaires judiciaires disposent d’un large pouvoir d’approbation préalable, qui fait partie des garanties introduites dans le cadre juridique du Royaume-Uni par l’IPA 2016. Les mandats portant sur l’interception ciblée, l’interférence avec des équipements, les ensembles de données à caractère personnel en masse, l’acquisition de masse de données de communication ainsi que les avis de conservation de données de communication doivent tous être approuvés par les commissaires judiciaires (456). L’IPC doit également toujours autoriser au préalable l’acquisition de données de communication à des fins répressives (457). Si un commissaire refuse d’approuver un mandat, le secrétaire d’État peut interjeter appel devant le commissaire aux pouvoirs d’enquête, dont la décision est définitive. |
| --- | --- |

(252)

Les principales fonctions des commissaires judiciaires sont énoncées à l’article 229 de l’IPA 2016 (455). En particulier, les commissaires judiciaires disposent d’un large pouvoir d’approbation préalable, qui fait partie des garanties introduites dans le cadre juridique du Royaume-Uni par l’IPA 2016. Les mandats portant sur l’interception ciblée, l’interférence avec des équipements, les ensembles de données à caractère personnel en masse, l’acquisition de masse de données de communication ainsi que les avis de conservation de données de communication doivent tous être approuvés par les commissaires judiciaires (456). L’IPC doit également toujours autoriser au préalable l’acquisition de données de communication à des fins répressives (457). Si un commissaire refuse d’approuver un mandat, le secrétaire d’État peut interjeter appel devant le commissaire aux pouvoirs d’enquête, dont la décision est définitive.

455

456

457

| (253) | Le rapporteur spécial de l’ONU sur le droit à la vie privée s’est vivement félicité de la création des commissaires judiciaires par l’IPA 2016 car «toutes les demandes de surveillance plus sensibles ou plus intrusives doivent être autorisées à la fois par un ministre du gouvernement et par le Bureau du commissaire aux pouvoirs d’enquête». Il a notamment souligné que «cet élément de contrôle juridictionnel [dans le cadre du rôle de l’IPC] soutenu par une équipe d’inspecteurs expérimentés et d’experts en technologie mieux dotée en ressources constitue l’une des nouvelles garanties les plus importantes introduites par l’IPA, qui a remplacé un ancien système fragmenté d’autorités de surveillance et complète le rôle de la commission sur le renseignement et la sécurité du Parlement et du tribunal chargé des pouvoirs d’enquête» (458). |
| --- | --- |

(253)

Le rapporteur spécial de l’ONU sur le droit à la vie privée s’est vivement félicité de la création des commissaires judiciaires par l’IPA 2016 car «toutes les demandes de surveillance plus sensibles ou plus intrusives doivent être autorisées à la fois par un ministre du gouvernement et par le Bureau du commissaire aux pouvoirs d’enquête». Il a notamment souligné que «cet élément de contrôle juridictionnel [dans le cadre du rôle de l’IPC] soutenu par une équipe d’inspecteurs expérimentés et d’experts en technologie mieux dotée en ressources constitue l’une des nouvelles garanties les plus importantes introduites par l’IPA, qui a remplacé un ancien système fragmenté d’autorités de surveillance et complète le rôle de la commission sur le renseignement et la sécurité du Parlement et du tribunal chargé des pouvoirs d’enquête» (458).

458

| (254) | De plus, l’IPC dispose du pouvoir d’effectuer une surveillance ex post (459), y compris au moyen d’audits, d’inspections et d’enquêtes, de l’utilisation des pouvoirs d’enquête en vertu de l’IPA 2016 et d’autres pouvoirs et fonctions prévus par la législation en vigueur (460). Les résultats de cette surveillance ex post figurent dans le rapport que l’IPC doit préparer chaque année et présenter au Premier ministre (461), et qui doit être publié et transmis au Parlement (462). Le rapport contient des statistiques et des informations utiles concernant l’utilisation des pouvoirs d’enquête par les agences de renseignement et les autorités répressives et le déploiement des garanties relatives aux éléments couverts par le secret professionnel, aux éléments journalistiques confidentiels et aux sources d’information journalistique, ainsi que des informations sur les dispositions prises et les finalités opérationnelles invoquées dans le cadre des mandats de masse. Enfin, le rapport annuel de l’IPCO précise les domaines dans lesquels des recommandations ont été adressées aux autorités publiques, ainsi que la manière dont elles ont été prises en compte (463). |
| --- | --- |

(254)

De plus, l’IPC dispose du pouvoir d’effectuer une surveillance ex post (459), y compris au moyen d’audits, d’inspections et d’enquêtes, de l’utilisation des pouvoirs d’enquête en vertu de l’IPA 2016 et d’autres pouvoirs et fonctions prévus par la législation en vigueur (460). Les résultats de cette surveillance ex post figurent dans le rapport que l’IPC doit préparer chaque année et présenter au Premier ministre (461), et qui doit être publié et transmis au Parlement (462). Le rapport contient des statistiques et des informations utiles concernant l’utilisation des pouvoirs d’enquête par les agences de renseignement et les autorités répressives et le déploiement des garanties relatives aux éléments couverts par le secret professionnel, aux éléments journalistiques confidentiels et aux sources d’information journalistique, ainsi que des informations sur les dispositions prises et les finalités opérationnelles invoquées dans le cadre des mandats de masse. Enfin, le rapport annuel de l’IPCO précise les domaines dans lesquels des recommandations ont été adressées aux autorités publiques, ainsi que la manière dont elles ont été prises en compte (463).

459

460

461

462

463

| (255) | Conformément à l’article 231 de l’IPA 2016, si l’IPC prend connaissance de toute erreur importante commise par les autorités publiques dans le cadre de l’utilisation de leurs pouvoirs d’enquête, il doit en informer la personne concernée lorsqu’il considère que l’erreur est grave et qu’il est dans l’intérêt public d’informer la personne (464). L’article 231 de l’IPA 2016 précise notamment que, lorsqu’il informe une personne de l’existence d’une erreur, l’IPC doit l’informer de son droit éventuel d’adresser une requête au tribunal chargé des pouvoirs d’enquête et lui fournir toutes les informations qu’il juge nécessaires à l’exercice de ce droit et dont la divulgation est dans l’intérêt public (465). |
| --- | --- |

(255)

Conformément à l’article 231 de l’IPA 2016, si l’IPC prend connaissance de toute erreur importante commise par les autorités publiques dans le cadre de l’utilisation de leurs pouvoirs d’enquête, il doit en informer la personne concernée lorsqu’il considère que l’erreur est grave et qu’il est dans l’intérêt public d’informer la personne (464). L’article 231 de l’IPA 2016 précise notamment que, lorsqu’il informe une personne de l’existence d’une erreur, l’IPC doit l’informer de son droit éventuel d’adresser une requête au tribunal chargé des pouvoirs d’enquête et lui fournir toutes les informations qu’il juge nécessaires à l’exercice de ce droit et dont la divulgation est dans l’intérêt public (465).

464

465

3.3.3.3.   Surveillance parlementaire des services de renseignement

Surveillance parlementaire des services de renseignement

| (256) | La surveillance parlementaire assurée par la commission sur le renseignement et la sécurité (Intelligence and Security Committee, ISC) trouve son fondement juridique dans la loi de 2013 sur la justice et la sécurité (JSA 2013) (466). Cette loi institue l’ISC en tant que commission du Parlement britannique. Depuis 2013, les pouvoirs de l’ISC ont été renforcés et comprennent notamment la surveillance des activités opérationnelles des services de sécurité. Conformément à l’article 2 de la JSA 2013, l’ISC est chargé de surveiller les dépenses, la gestion, la politique et les opérations des agences de sécurité nationale. La JSA 2013 précise que l’ISC peut réaliser des enquêtes sur des questions opérationnelles lorsqu’elles ne portent pas sur des opérations en cours (467). Le protocole d’accord conclu entre le Premier ministre et l’ISC (468) précise en détail les éléments à prendre en compte afin de déterminer si une activité relève ou non d’une opération en cours (469). Le Premier ministre peut aussi demander à l’ISC d’enquêter sur des opérations en cours et l’ISC peut examiner les informations communiquées volontairement par les agences. |
| --- | --- |

(256)

La surveillance parlementaire assurée par la commission sur le renseignement et la sécurité (Intelligence and Security Committee, ISC) trouve son fondement juridique dans la loi de 2013 sur la justice et la sécurité (JSA 2013) (466). Cette loi institue l’ISC en tant que commission du Parlement britannique. Depuis 2013, les pouvoirs de l’ISC ont été renforcés et comprennent notamment la surveillance des activités opérationnelles des services de sécurité. Conformément à l’article 2 de la JSA 2013, l’ISC est chargé de surveiller les dépenses, la gestion, la politique et les opérations des agences de sécurité nationale. La JSA 2013 précise que l’ISC peut réaliser des enquêtes sur des questions opérationnelles lorsqu’elles ne portent pas sur des opérations en cours (467). Le protocole d’accord conclu entre le Premier ministre et l’ISC (468) précise en détail les éléments à prendre en compte afin de déterminer si une activité relève ou non d’une opération en cours (469). Le Premier ministre peut aussi demander à l’ISC d’enquêter sur des opérations en cours et l’ISC peut examiner les informations communiquées volontairement par les agences.

Intelligence and Security Committee

466

467

468

469

| (257) | En vertu de l’annexe 1 de la JSA 2013, l’ISC peut demander aux directeurs de l’un quelconque des trois services de renseignement de divulguer des informations. L’agence doit communiquer ces informations, sauf si le secrétaire d’État y oppose son veto (470). Selon les explications fournies par les autorités britanniques, en pratique, très peu d’informations ne sont pas communiquées à l’ISC (471). |
| --- | --- |

(257)

En vertu de l’annexe 1 de la JSA 2013, l’ISC peut demander aux directeurs de l’un quelconque des trois services de renseignement de divulguer des informations. L’agence doit communiquer ces informations, sauf si le secrétaire d’État y oppose son veto (470). Selon les explications fournies par les autorités britanniques, en pratique, très peu d’informations ne sont pas communiquées à l’ISC (471).

470

471

| (258) | L’ISC est composée de membres qui appartiennent à l’une des deux chambres du Parlement et sont nommés par le Premier ministre après consultation du dirigeant de l’opposition (472). L’ISC doit présenter un rapport annuel au Parlement concernant l’exécution de ses missions et tout autre rapport qu’il juge nécessaire (473). De plus, l’ISC est en droit de recevoir tous les trois mois la liste des finalités opérationnelles utilisées pour examiner les éléments obtenus en masse (474). Le Premier ministre partage avec l’ISC des copies des enquêtes, des inspections ou des audits du commissaire aux pouvoirs d’enquête lorsque le sujet des rapports relève des compétences légales de la commission (475). Enfin, la commission peut demander à l’IPC de réaliser une enquête et le commissaire doit informer l’ISC de sa décision de mener ou non cette enquête (476). |
| --- | --- |

(258)

L’ISC est composée de membres qui appartiennent à l’une des deux chambres du Parlement et sont nommés par le Premier ministre après consultation du dirigeant de l’opposition (472). L’ISC doit présenter un rapport annuel au Parlement concernant l’exécution de ses missions et tout autre rapport qu’il juge nécessaire (473). De plus, l’ISC est en droit de recevoir tous les trois mois la liste des finalités opérationnelles utilisées pour examiner les éléments obtenus en masse (474). Le Premier ministre partage avec l’ISC des copies des enquêtes, des inspections ou des audits du commissaire aux pouvoirs d’enquête lorsque le sujet des rapports relève des compétences légales de la commission (475). Enfin, la commission peut demander à l’IPC de réaliser une enquête et le commissaire doit informer l’ISC de sa décision de mener ou non cette enquête (476).

472

473

474

475

476

| (259) | L’ISC s’est également prononcée sur le projet de loi sur les pouvoirs d’enquête, ce qui a donné lieu à un certain nombre d’amendements qui ont été repris dans l’IPA 2016 (477). L’ISC a notamment recommandé de renforcer les protections de la vie privée en établissant une série de protections de la vie privée applicables à l’ensemble des pouvoirs d’enquête (478). Elle a également suggéré de modifier les capacités envisagées concernant l’interférence avec des équipements, les EDM et les données de communication, et a demandé d’autres amendements spécifiques afin de renforcer les limitations et les garanties applicables à l’utilisation des pouvoirs d’enquête (479). |
| --- | --- |

(259)

L’ISC s’est également prononcée sur le projet de loi sur les pouvoirs d’enquête, ce qui a donné lieu à un certain nombre d’amendements qui ont été repris dans l’IPA 2016 (477). L’ISC a notamment recommandé de renforcer les protections de la vie privée en établissant une série de protections de la vie privée applicables à l’ensemble des pouvoirs d’enquête (478). Elle a également suggéré de modifier les capacités envisagées concernant l’interférence avec des équipements, les EDM et les données de communication, et a demandé d’autres amendements spécifiques afin de renforcer les limitations et les garanties applicables à l’utilisation des pouvoirs d’enquête (479).

477

478

479

3.3.4.   Recours

Recours

| (260) | Dans le domaine de l’accès des pouvoirs publics à des fins de sécurité nationale, les personnes concernées doivent disposer de la possibilité d’exercer des voies de droit devant un tribunal indépendant et impartial afin d’avoir accès à des données à caractère personnel les concernant, ou d’obtenir la rectification ou la suppression de telles données (480). L’organe judiciaire en question doit notamment disposer du pouvoir d’adopter des décisions contraignantes pour les services de renseignement (481). Au Royaume-Uni, comme l’expliquent les considérants 261 à 271, un certain nombre de voies de recours juridictionnel donnent aux personnes concernées la possibilité d’exercer de tels recours. |
| --- | --- |

(260)

Dans le domaine de l’accès des pouvoirs publics à des fins de sécurité nationale, les personnes concernées doivent disposer de la possibilité d’exercer des voies de droit devant un tribunal indépendant et impartial afin d’avoir accès à des données à caractère personnel les concernant, ou d’obtenir la rectification ou la suppression de telles données (480). L’organe judiciaire en question doit notamment disposer du pouvoir d’adopter des décisions contraignantes pour les services de renseignement (481). Au Royaume-Uni, comme l’expliquent les considérants 261 à 271, un certain nombre de voies de recours juridictionnel donnent aux personnes concernées la possibilité d’exercer de tels recours.

480

481

3.3.4.1.   Mécanismes de recours possibles au titre de la partie 4 de la loi sur la protection des données

Mécanismes de recours possibles au titre de la partie 4 de la loi sur la protection des données

| (261) | En vertu de l’article 165 de la DPA 2018, une personne concernée a le droit d’introduire une réclamation auprès du commissaire à l’information si elle considère qu’une violation de la partie 4 de la DPA 2018 a été commise en lien avec des données à caractère personnel la concernant. Le commissaire à l’information a le pouvoir d’évaluer le respect de la DPA 2018 par le responsable du traitement et le sous-traitant, et de les obliger à prendre les mesures nécessaires. De plus, en vertu de la partie 4 de la DPA 2018, les personnes ont le droit de s’adresser à la Haute Cour (ou à la Cour de session en Écosse) pour demander une ordonnance enjoignant au responsable du traitement de respecter le droit d’accès aux données (482), le droit de s’opposer au traitement (483), et le droit de rectification ou d’effacement (484). |
| --- | --- |

(261)

En vertu de l’article 165 de la DPA 2018, une personne concernée a le droit d’introduire une réclamation auprès du commissaire à l’information si elle considère qu’une violation de la partie 4 de la DPA 2018 a été commise en lien avec des données à caractère personnel la concernant. Le commissaire à l’information a le pouvoir d’évaluer le respect de la DPA 2018 par le responsable du traitement et le sous-traitant, et de les obliger à prendre les mesures nécessaires. De plus, en vertu de la partie 4 de la DPA 2018, les personnes ont le droit de s’adresser à la Haute Cour (ou à la Cour de session en Écosse) pour demander une ordonnance enjoignant au responsable du traitement de respecter le droit d’accès aux données (482), le droit de s’opposer au traitement (483), et le droit de rectification ou d’effacement (484).

482

483

484

| (262) | Les personnes peuvent également demander réparation du préjudice subi du fait d’une violation d’une exigence de la partie 4 de la DPA 2018 de la part du responsable du traitement ou d’un sous-traitant (485). Les préjudices incluent tant les pertes financières que les préjudices n’entraînant pas de perte financière, comme les situations de détresse (486). |
| --- | --- |

(262)

Les personnes peuvent également demander réparation du préjudice subi du fait d’une violation d’une exigence de la partie 4 de la DPA 2018 de la part du responsable du traitement ou d’un sous-traitant (485). Les préjudices incluent tant les pertes financières que les préjudices n’entraînant pas de perte financière, comme les situations de détresse (486).

485

486

3.3.4.2.   Mécanismes de recours possibles au titre de l’IPA 2016

Mécanismes de recours possibles au titre de l’IPA 2016

| (263) | Les personnes physiques peuvent obtenir réparation en cas de violation de l’IPA 2016 auprès du tribunal chargé des pouvoirs d’enquête. |
| --- | --- |

(263)

Les personnes physiques peuvent obtenir réparation en cas de violation de l’IPA 2016 auprès du tribunal chargé des pouvoirs d’enquête.

| (264) | Le tribunal chargé des pouvoirs d’enquête a été créé par la RIPA 2000 et est indépendant du pouvoir exécutif (487). Conformément à l’article 65 de la RIPA 2000, les membres de ce tribunal sont nommés par Sa Majesté pour une durée de cinq ans. Un membre de ce tribunal peut être destitué par Sa Majesté à la suite d’une intervention (488) des deux chambres du Parlement (489). |
| --- | --- |

(264)

Le tribunal chargé des pouvoirs d’enquête a été créé par la RIPA 2000 et est indépendant du pouvoir exécutif (487). Conformément à l’article 65 de la RIPA 2000, les membres de ce tribunal sont nommés par Sa Majesté pour une durée de cinq ans. Un membre de ce tribunal peut être destitué par Sa Majesté à la suite d’une intervention (488) des deux chambres du Parlement (489).

487

488

489

| (265) | En vertu de l’article 65 de la RIPA 2000, le tribunal est l’organe judiciaire compétent pour entendre des plaintes des personnes lésées par une conduite mise en œuvre au titre de l’IPA 2016 ou de la RIPA 2000 ou par toute conduite des services de renseignement (490). |
| --- | --- |

(265)

En vertu de l’article 65 de la RIPA 2000, le tribunal est l’organe judiciaire compétent pour entendre des plaintes des personnes lésées par une conduite mise en œuvre au titre de l’IPA 2016 ou de la RIPA 2000 ou par toute conduite des services de renseignement (490).

490

| (266) | Conformément à l’article 65 de la RIPA 2000, pour former un recours devant le tribunal chargé des pouvoirs d’enquête («condition pour se pourvoir en justice»), une personne doit être convaincue (491) du fait que la conduite d’un service de renseignement a été mise en œuvre en lien avec elle, avec ses biens, avec les communications qu’elle a envoyées ou qui lui étaient adressées, ou avec son utilisation d’un service postal, d’un service de télécommunications ou d’un système de télécommunications (492). De plus, l’auteur de la réclamation doit être convaincu du fait que la conduite a eu lieu dans des «circonstances contestables» (493) ou «qu’elle a été mise en œuvre par les services de renseignement ou pour leur compte» (494). Étant donné que ce critère de «conviction» a été interprété de manière relativement large (495), les conditions pour se pourvoir en justice sont faibles. |
| --- | --- |

(266)

Conformément à l’article 65 de la RIPA 2000, pour former un recours devant le tribunal chargé des pouvoirs d’enquête («condition pour se pourvoir en justice»), une personne doit être convaincue (491) du fait que la conduite d’un service de renseignement a été mise en œuvre en lien avec elle, avec ses biens, avec les communications qu’elle a envoyées ou qui lui étaient adressées, ou avec son utilisation d’un service postal, d’un service de télécommunications ou d’un système de télécommunications (492). De plus, l’auteur de la réclamation doit être convaincu du fait que la conduite a eu lieu dans des «circonstances contestables» (493) ou «qu’elle a été mise en œuvre par les services de renseignement ou pour leur compte» (494). Étant donné que ce critère de «conviction» a été interprété de manière relativement large (495), les conditions pour se pourvoir en justice sont faibles.

491

492

493

494

495

| (267) | Lorsque le tribunal chargé des pouvoirs d’enquête examine une réclamation qui lui a été soumise, il doit déterminer si les personnes contre lesquelles les allégations sont portées dans la réclamation se sont intéressées à l’auteur de la réclamation, enquêter sur l’autorité accusée d’avoir commis les violations en question et établir si la conduite reprochée a eu lieu (496). Lorsque ce tribunal procède à des audiences, il doit appliquer les mêmes principes de décision dans ces procédures que le ferait un tribunal pour une demande de contrôle juridictionnel (497). De plus, les destinataires des mandats ou des avis au titre de l’IPA 2016 et toute autre personne exerçant des fonctions d’État, employée par les forces de police ou le commissariat en charge des enquêtes sur la police sont tenus de divulguer ou de fournir à ce tribunal tout document et information qu’il pourrait requérir afin de lui permettre d’exercer ses compétences (498). |
| --- | --- |

(267)

Lorsque le tribunal chargé des pouvoirs d’enquête examine une réclamation qui lui a été soumise, il doit déterminer si les personnes contre lesquelles les allégations sont portées dans la réclamation se sont intéressées à l’auteur de la réclamation, enquêter sur l’autorité accusée d’avoir commis les violations en question et établir si la conduite reprochée a eu lieu (496). Lorsque ce tribunal procède à des audiences, il doit appliquer les mêmes principes de décision dans ces procédures que le ferait un tribunal pour une demande de contrôle juridictionnel (497). De plus, les destinataires des mandats ou des avis au titre de l’IPA 2016 et toute autre personne exerçant des fonctions d’État, employée par les forces de police ou le commissariat en charge des enquêtes sur la police sont tenus de divulguer ou de fournir à ce tribunal tout document et information qu’il pourrait requérir afin de lui permettre d’exercer ses compétences (498).

496

497

498

| (268) | Le tribunal chargé des pouvoirs d’enquête doit informer l’auteur de la réclamation si une décision a été prise en sa faveur ou non (499). Conformément à l’article 67, paragraphes 6 et 7, de la RIPA 2000, le tribunal peut rendre des ordonnances provisoires et accorder une indemnisation ou rendre toute autre décision qu’il juge appropriée. Il peut notamment s’agir d’une décision cassant ou annulant un mandat ou une autorisation ou d’une décision ordonnant la destruction de tout enregistrement des informations obtenues dans le cadre de l’exercice d’un pouvoir conféré par un mandat, une autorisation ou un avis ou détenues par une autorité publique concernant une personne (500). Conformément à l’article 67A de la RIPA 2000, les décisions du tribunal peuvent faire l’objet d’un appel, à condition que le tribunal ou la cour d’appel compétente donne son autorisation. |
| --- | --- |

(268)

Le tribunal chargé des pouvoirs d’enquête doit informer l’auteur de la réclamation si une décision a été prise en sa faveur ou non (499). Conformément à l’article 67, paragraphes 6 et 7, de la RIPA 2000, le tribunal peut rendre des ordonnances provisoires et accorder une indemnisation ou rendre toute autre décision qu’il juge appropriée. Il peut notamment s’agir d’une décision cassant ou annulant un mandat ou une autorisation ou d’une décision ordonnant la destruction de tout enregistrement des informations obtenues dans le cadre de l’exercice d’un pouvoir conféré par un mandat, une autorisation ou un avis ou détenues par une autorité publique concernant une personne (500). Conformément à l’article 67A de la RIPA 2000, les décisions du tribunal peuvent faire l’objet d’un appel, à condition que le tribunal ou la cour d’appel compétente donne son autorisation.

499

500

| (269) | Enfin, il convient de noter que le rôle du tribunal chargé des pouvoirs d’enquête a fait l’objet de discussions dans le cadre des actions en justice portées devant la Cour européenne des droits de l’homme à plusieurs reprises, notamment dans l’affaire Kennedy/Royaume-Uni (501) et, plus récemment, dans l’affaire Big Brother Watch et autres/Royaume-Uni (502), dans laquelle la Cour a déclaré que «l’IPT offrait un recours juridictionnel solide à toute personne soupçonnant que ses communications avaient été interceptées par les services de renseignement» (503). |
| --- | --- |

(269)

Enfin, il convient de noter que le rôle du tribunal chargé des pouvoirs d’enquête a fait l’objet de discussions dans le cadre des actions en justice portées devant la Cour européenne des droits de l’homme à plusieurs reprises, notamment dans l’affaire Kennedy/Royaume-Uni (501) et, plus récemment, dans l’affaire Big Brother Watch et autres/Royaume-Uni (502), dans laquelle la Cour a déclaré que «l’IPT offrait un recours juridictionnel solide à toute personne soupçonnant que ses communications avaient été interceptées par les services de renseignement» (503).

501

502

503

3.3.4.3.   Autres mécanismes de recours possibles

Autres mécanismes de recours possibles

| (270) | Comme l’expliquent les considérants 109 à 111, des voies de recours en vertu de la loi de 1998 sur les droits de l’homme et devant la Cour européenne des droits de l’homme (504) sont également disponibles dans le domaine de la sécurité nationale. L’article 65, paragraphe 2, de la RIPA 2000 donne au tribunal chargé des pouvoirs d’enquête une compétence exclusive pour toutes les réclamations introduites au titre de la loi sur les droits de l’homme en lien avec les agences de renseignement (505). Cela signifie, comme l’a fait observer la Haute Cour, que «la question de savoir s’il y a eu en l’espèce une violation de la loi sur les droits de l’homme ou non peut en principe être soulevée et tranchée par un tribunal indépendant qui peut avoir accès à tous les éléments pertinents, y compris à des informations confidentielles. [...] Nous gardons également à l’esprit à cet égard le fait que le tribunal lui-même peut désormais faire l’objet d’un appel devant la juridiction de deuxième instance compétente (en Angleterre et au pays de Galles, il s’agirait de la Cour d’appel); et que la Cour suprême a récemment décidé que le tribunal est en principe soumis à un contrôle juridictionnel: voir l’arrêt dans l’affaire R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219» (506). |
| --- | --- |

(270)

Comme l’expliquent les considérants 109 à 111, des voies de recours en vertu de la loi de 1998 sur les droits de l’homme et devant la Cour européenne des droits de l’homme (504) sont également disponibles dans le domaine de la sécurité nationale. L’article 65, paragraphe 2, de la RIPA 2000 donne au tribunal chargé des pouvoirs d’enquête une compétence exclusive pour toutes les réclamations introduites au titre de la loi sur les droits de l’homme en lien avec les agences de renseignement (505). Cela signifie, comme l’a fait observer la Haute Cour, que «la question de savoir s’il y a eu en l’espèce une violation de la loi sur les droits de l’homme ou non peut en principe être soulevée et tranchée par un tribunal indépendant qui peut avoir accès à tous les éléments pertinents, y compris à des informations confidentielles. [...] Nous gardons également à l’esprit à cet égard le fait que le tribunal lui-même peut désormais faire l’objet d’un appel devant la juridiction de deuxième instance compétente (en Angleterre et au pays de Galles, il s’agirait de la Cour d’appel); et que la Cour suprême a récemment décidé que le tribunal est en principe soumis à un contrôle juridictionnel: voir l’arrêt dans l’affaire R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219» (506).

504

505

506

| (271) | Il ressort de ce qui précède que lorsque les autorités répressives ou les autorités de sécurité nationale britanniques accèdent à des données à caractère personnel relevant du champ d’application de la présente décision, cet accès est régi par des lois qui définissent les conditions dans lesquelles il peut avoir lieu et qui garantissent que l’accès à ces données et leur utilisation ultérieure sont limités à ce qui est nécessaire et proportionné à l’objectif répressif ou de sécurité nationale poursuivi. De plus, cet accès est, dans la plupart des cas, soumis à l’autorisation préalable d’un organe judiciaire, au moyen de l’approbation d’un mandat ou d’une injonction de production, et fait dans tous les cas l’objet d’une surveillance indépendante. Une fois que les autorités publiques ont eu accès aux données, le traitement de celles-ci, y compris leur partage et leur transfert ultérieurs, est soumis à des garanties spécifiques en matière de protection des données en vertu de la partie 3 de la DPA 2018, qui correspondent aux garanties prévues par la directive (UE) 2016/680, en ce qui concerne le traitement par les autorités répressives, et en vertu de la partie 4 de la DPA 2018 en ce qui concerne le traitement par les agences de renseignement. Enfin, les personnes concernées bénéficient dans ce domaine de droits de recours administratifs et judiciaires effectifs et ont notamment le droit d’accéder aux données les concernant et d’obtenir la rectification ou l’effacement de telles données. |
| --- | --- |

(271)

Il ressort de ce qui précède que lorsque les autorités répressives ou les autorités de sécurité nationale britanniques accèdent à des données à caractère personnel relevant du champ d’application de la présente décision, cet accès est régi par des lois qui définissent les conditions dans lesquelles il peut avoir lieu et qui garantissent que l’accès à ces données et leur utilisation ultérieure sont limités à ce qui est nécessaire et proportionné à l’objectif répressif ou de sécurité nationale poursuivi. De plus, cet accès est, dans la plupart des cas, soumis à l’autorisation préalable d’un organe judiciaire, au moyen de l’approbation d’un mandat ou d’une injonction de production, et fait dans tous les cas l’objet d’une surveillance indépendante. Une fois que les autorités publiques ont eu accès aux données, le traitement de celles-ci, y compris leur partage et leur transfert ultérieurs, est soumis à des garanties spécifiques en matière de protection des données en vertu de la partie 3 de la DPA 2018, qui correspondent aux garanties prévues par la directive (UE) 2016/680, en ce qui concerne le traitement par les autorités répressives, et en vertu de la partie 4 de la DPA 2018 en ce qui concerne le traitement par les agences de renseignement. Enfin, les personnes concernées bénéficient dans ce domaine de droits de recours administratifs et judiciaires effectifs et ont notamment le droit d’accéder aux données les concernant et d’obtenir la rectification ou l’effacement de telles données.

| (272) | Compte tenu de l’importance de ces conditions, limitations et garanties aux fins de la présente décision, la Commission suivra de près l’application et l’interprétation des règles britanniques régissant l’accès des pouvoirs publics aux données. Il s’agira notamment des évolutions législatives, de la réglementation et de la jurisprudence pertinentes, ainsi que des activités de l’ICO et d’autres autorités de surveillance dans ce domaine. Une attention particulière sera également accordée à l’exécution par le Royaume-Uni des arrêts pertinents de la Cour européenne des droits de l’homme, y compris les mesures recensées dans les «plans d’action» et les «rapports d’action» soumis au Comité des ministres dans le cadre du contrôle de la conformité avec les arrêts de la Cour. |
| --- | --- |

(272)

Compte tenu de l’importance de ces conditions, limitations et garanties aux fins de la présente décision, la Commission suivra de près l’application et l’interprétation des règles britanniques régissant l’accès des pouvoirs publics aux données. Il s’agira notamment des évolutions législatives, de la réglementation et de la jurisprudence pertinentes, ainsi que des activités de l’ICO et d’autres autorités de surveillance dans ce domaine. Une attention particulière sera également accordée à l’exécution par le Royaume-Uni des arrêts pertinents de la Cour européenne des droits de l’homme, y compris les mesures recensées dans les «plans d’action» et les «rapports d’action» soumis au Comité des ministres dans le cadre du contrôle de la conformité avec les arrêts de la Cour.

4.   CONCLUSION

CONCLUSION

| (273) | La Commission considère que le RGPD britannique et la DPA 2018 assurent un niveau de protection des données à caractère personnel transférées depuis l’Union européenne essentiellement équivalent à celui garanti par le règlement (UE) 2016/679. |
| --- | --- |

(273)

La Commission considère que le RGPD britannique et la DPA 2018 assurent un niveau de protection des données à caractère personnel transférées depuis l’Union européenne essentiellement équivalent à celui garanti par le règlement (UE) 2016/679.

| (274) | De plus, la Commission considère que, pris dans leur ensemble, les mécanismes de surveillance et les voies de recours prévus dans le droit britannique permettent d’identifier et de sanctionner en pratique les infractions et offrent aux personnes concernées des voies de droit leur permettant d’avoir accès aux données à caractère personnel les concernant et, in fine, d’obtenir leur rectification ou leur effacement. |
| --- | --- |

(274)

De plus, la Commission considère que, pris dans leur ensemble, les mécanismes de surveillance et les voies de recours prévus dans le droit britannique permettent d’identifier et de sanctionner en pratique les infractions et offrent aux personnes concernées des voies de droit leur permettant d’avoir accès aux données à caractère personnel les concernant et, in fine, d’obtenir leur rectification ou leur effacement.

| (275) | Enfin, sur la base des informations disponibles concernant l’ordre juridique du Royaume-Uni, la Commission considère que toute ingérence dans les droits fondamentaux des personnes dont les données à caractère personnel sont transférées depuis l’Union européenne vers le Royaume-Uni par les autorités publiques britanniques pour des motifs d’intérêt public, en particulier à des fins répressives et à des fins de sécurité nationale, se limitera à ce qui est strictement nécessaire pour atteindre l’objectif légitime en question et qu’une protection juridictionnelle effective existe contre une telle ingérence. |
| --- | --- |

(275)

Enfin, sur la base des informations disponibles concernant l’ordre juridique du Royaume-Uni, la Commission considère que toute ingérence dans les droits fondamentaux des personnes dont les données à caractère personnel sont transférées depuis l’Union européenne vers le Royaume-Uni par les autorités publiques britanniques pour des motifs d’intérêt public, en particulier à des fins répressives et à des fins de sécurité nationale, se limitera à ce qui est strictement nécessaire pour atteindre l’objectif légitime en question et qu’une protection juridictionnelle effective existe contre une telle ingérence.

| (276) | Dès lors, vu les constatations de la présente décision, il convient de décider que le Royaume-Uni garantit un niveau de protection adéquat au sens de l’article 45 du règlement (UE) 2016/679, interprété à la lumière de la Charte des droits fondamentaux de l’Union européenne. |
| --- | --- |

(276)

Dès lors, vu les constatations de la présente décision, il convient de décider que le Royaume-Uni garantit un niveau de protection adéquat au sens de l’article 45 du règlement (UE) 2016/679, interprété à la lumière de la Charte des droits fondamentaux de l’Union européenne.

| (277) | Cette conclusion se fonde à la fois sur le régime national applicable du Royaume-Uni et sur ses engagements internationaux, notamment son adhésion à la convention européenne des droits de l’homme et sa soumission à la compétence de la Cour européenne des droits de l’homme. Le respect permanent de ces obligations internationales constitue donc un élément particulièrement important de l’évaluation sur laquelle est fondée la présente décision. |
| --- | --- |

(277)

Cette conclusion se fonde à la fois sur le régime national applicable du Royaume-Uni et sur ses engagements internationaux, notamment son adhésion à la convention européenne des droits de l’homme et sa soumission à la compétence de la Cour européenne des droits de l’homme. Le respect permanent de ces obligations internationales constitue donc un élément particulièrement important de l’évaluation sur laquelle est fondée la présente décision.

5.   EFFETS DE LA PRÉSENTE DÉCISION ET ACTION DES AUTORITÉS DE PROTECTION DES DONNÉES

EFFETS DE LA PRÉSENTE DÉCISION ET ACTION DES AUTORITÉS DE PROTECTION DES DONNÉES

| (278) | Les États membres et leurs organes sont tenus de prendre les mesures nécessaires pour se conformer aux actes des institutions de l’Union, car ces derniers jouissent d’une présomption de légalité et produisent, dès lors, des effets juridiques aussi longtemps qu’ils n’ont pas expiré, été retirés, annulés à la suite d’un recours en annulation ou déclarés invalides à la suite d’un renvoi préjudiciel ou d’une exception d’illégalité. |
| --- | --- |

(278)

Les États membres et leurs organes sont tenus de prendre les mesures nécessaires pour se conformer aux actes des institutions de l’Union, car ces derniers jouissent d’une présomption de légalité et produisent, dès lors, des effets juridiques aussi longtemps qu’ils n’ont pas expiré, été retirés, annulés à la suite d’un recours en annulation ou déclarés invalides à la suite d’un renvoi préjudiciel ou d’une exception d’illégalité.

| (279) | En conséquence, une décision d’adéquation de la Commission adoptée en vertu de l’article 45, paragraphe 3, du règlement (UE) 2016/679 a un caractère contraignant pour tous les organes des États membres destinataires, y compris leurs autorités de surveillance indépendantes. En particulier, au cours de la période d’application de la présente décision, les transferts d’un responsable du traitement ou d’un sous-traitant situé dans l’Union européenne à des responsables du traitement ou des sous-traitants situés au Royaume-Uni peuvent avoir lieu sans qu’il soit nécessaire d’obtenir une autorisation supplémentaire. |
| --- | --- |

(279)

En conséquence, une décision d’adéquation de la Commission adoptée en vertu de l’article 45, paragraphe 3, du règlement (UE) 2016/679 a un caractère contraignant pour tous les organes des États membres destinataires, y compris leurs autorités de surveillance indépendantes. En particulier, au cours de la période d’application de la présente décision, les transferts d’un responsable du traitement ou d’un sous-traitant situé dans l’Union européenne à des responsables du traitement ou des sous-traitants situés au Royaume-Uni peuvent avoir lieu sans qu’il soit nécessaire d’obtenir une autorisation supplémentaire.

| (280) | Il convient de rappeler que, comme prévu à l’article 58, paragraphe 5, du règlement (UE) 2016/679 et ainsi que la Cour de justice l’a expliqué dans l’arrêt Schrems (507), lorsqu’une autorité nationale chargée de la protection des données met en cause, notamment après avoir été saisie d’une plainte, la compatibilité d’une décision d’adéquation de la Commission avec la protection des droits fondamentaux que constituent le respect de la vie privée et la protection des données, le droit national doit prévoir des voies de recours lui permettant de faire valoir ces griefs devant les juridictions nationales, qui peuvent être tenues de procéder à un renvoi préjudiciel devant la Cour de justice (508). |
| --- | --- |

(280)

Il convient de rappeler que, comme prévu à l’article 58, paragraphe 5, du règlement (UE) 2016/679 et ainsi que la Cour de justice l’a expliqué dans l’arrêt Schrems (507), lorsqu’une autorité nationale chargée de la protection des données met en cause, notamment après avoir été saisie d’une plainte, la compatibilité d’une décision d’adéquation de la Commission avec la protection des droits fondamentaux que constituent le respect de la vie privée et la protection des données, le droit national doit prévoir des voies de recours lui permettant de faire valoir ces griefs devant les juridictions nationales, qui peuvent être tenues de procéder à un renvoi préjudiciel devant la Cour de justice (508).

507

508

6.   SUIVI, SUSPENSION, ABROGATION OU MODIFICATION DE LA PRÉSENTE DÉCISION

SUIVI, SUSPENSION, ABROGATION OU MODIFICATION DE LA PRÉSENTE DÉCISION

| (281) | Conformément à l’article 45, paragraphe 4, du règlement (UE) 2016/679, la Commission doit suivre, de manière permanente, les évolutions pertinentes au Royaume-Uni après l’adoption de la présente décision afin de déterminer si ce pays continue d’assurer un niveau de protection essentiellement équivalent. Ce suivi est particulièrement important en l’espèce, car le Royaume-Uni gérera, appliquera et mettra en œuvre un nouveau régime de protection des données qui ne sera plus soumis au droit de l’Union et qui est susceptible d’évoluer. À cet égard, une attention particulière sera accordée à l’application concrète des règles du Royaume-Uni concernant les transferts des données à caractère personnel aux pays tiers et à l’incidence qu’elle pourrait avoir sur le niveau de protection des données transférées en vertu de la présente décision; à l’exercice effectif des droits individuels, y compris toute évolution pertinente de la législation et de la pratique concernant les exceptions ou restrictions à ces droits (notamment celle relative au maintien d’un contrôle efficace de l’immigration); ainsi qu’au respect des limitations et des garanties en ce qui concerne l’accès des pouvoirs publics. Entre autres éléments, l’évolution de la jurisprudence et le contrôle exercé par l’ICO et par d’autres organismes indépendants alimenteront le suivi assuré par la Commission. |
| --- | --- |

(281)

Conformément à l’article 45, paragraphe 4, du règlement (UE) 2016/679, la Commission doit suivre, de manière permanente, les évolutions pertinentes au Royaume-Uni après l’adoption de la présente décision afin de déterminer si ce pays continue d’assurer un niveau de protection essentiellement équivalent. Ce suivi est particulièrement important en l’espèce, car le Royaume-Uni gérera, appliquera et mettra en œuvre un nouveau régime de protection des données qui ne sera plus soumis au droit de l’Union et qui est susceptible d’évoluer. À cet égard, une attention particulière sera accordée à l’application concrète des règles du Royaume-Uni concernant les transferts des données à caractère personnel aux pays tiers et à l’incidence qu’elle pourrait avoir sur le niveau de protection des données transférées en vertu de la présente décision; à l’exercice effectif des droits individuels, y compris toute évolution pertinente de la législation et de la pratique concernant les exceptions ou restrictions à ces droits (notamment celle relative au maintien d’un contrôle efficace de l’immigration); ainsi qu’au respect des limitations et des garanties en ce qui concerne l’accès des pouvoirs publics. Entre autres éléments, l’évolution de la jurisprudence et le contrôle exercé par l’ICO et par d’autres organismes indépendants alimenteront le suivi assuré par la Commission.

| (282) | Pour faciliter ce suivi, les autorités britanniques devraient informer rapidement la Commission de toute modification de fond apportée à l’ordre juridique du Royaume-Uni ayant une incidence sur le cadre juridique qui fait l’objet de la présente décision, ainsi que de toute évolution des pratiques relatives au traitement des données à caractère personnel évaluées dans la présente décision, en ce qui concerne tant le traitement des données à caractère personnel par les responsables du traitement et les sous-traitants au titre du RGPD britannique que les limitations et garanties applicables à l’accès des autorités publiques aux données à caractère personnel. Cela devrait inclure l’évolution de la situation en ce qui concerne les éléments mentionnés au considérant 281. |
| --- | --- |

(282)

Pour faciliter ce suivi, les autorités britanniques devraient informer rapidement la Commission de toute modification de fond apportée à l’ordre juridique du Royaume-Uni ayant une incidence sur le cadre juridique qui fait l’objet de la présente décision, ainsi que de toute évolution des pratiques relatives au traitement des données à caractère personnel évaluées dans la présente décision, en ce qui concerne tant le traitement des données à caractère personnel par les responsables du traitement et les sous-traitants au titre du RGPD britannique que les limitations et garanties applicables à l’accès des autorités publiques aux données à caractère personnel. Cela devrait inclure l’évolution de la situation en ce qui concerne les éléments mentionnés au considérant 281.

| (283) | En outre, afin de permettre à la Commission d’accomplir efficacement sa mission de suivi, les États membres devraient l’informer de toute mesure pertinente prise par les autorités nationales de protection des données, en particulier en ce qui concerne les questions ou les plaintes de personnes concernées de l’Union au sujet du transfert de données à caractère personnel de l’Union à des responsables du traitement et des sous-traitants situés au Royaume-Uni. La Commission devrait également être informée de tout élément indiquant que les actions des autorités publiques britanniques responsables de la prévention, de la détection, des enquêtes et des poursuites en matière d’infractions pénales, ou de la sécurité nationale, y compris de tout organisme de surveillance, n’assurent pas le niveau de protection requis. |
| --- | --- |

(283)

En outre, afin de permettre à la Commission d’accomplir efficacement sa mission de suivi, les États membres devraient l’informer de toute mesure pertinente prise par les autorités nationales de protection des données, en particulier en ce qui concerne les questions ou les plaintes de personnes concernées de l’Union au sujet du transfert de données à caractère personnel de l’Union à des responsables du traitement et des sous-traitants situés au Royaume-Uni. La Commission devrait également être informée de tout élément indiquant que les actions des autorités publiques britanniques responsables de la prévention, de la détection, des enquêtes et des poursuites en matière d’infractions pénales, ou de la sécurité nationale, y compris de tout organisme de surveillance, n’assurent pas le niveau de protection requis.

| (284) | Si les informations disponibles, et notamment les informations issues du suivi de la présente décision ou fournies par les autorités du Royaume-Uni ou des États membres, révèlent que le niveau de protection assuré par le Royaume-Uni pourrait ne plus être adéquat, la Commission devrait en informer rapidement les autorités britanniques compétentes et demander que des mesures appropriées soient prises dans un délai bien défini, qui ne peut dépasser trois mois. Si nécessaire, ce délai peut être prorogé pour une durée déterminée, compte tenu de la nature de la question en cause et/ou des mesures à prendre. Une telle procédure pourrait par exemple être déclenchée dans les cas où des transferts ultérieurs, notamment sur la base de nouveaux règlements d’adéquation adoptés par le secrétaire d’État ou d’accords internationaux conclus par le Royaume-Uni, ne seraient plus effectués en bénéficiant des garanties assurant la continuité de la protection au sens de l’article 44 du règlement (UE) 2016/679. |
| --- | --- |

(284)

Si les informations disponibles, et notamment les informations issues du suivi de la présente décision ou fournies par les autorités du Royaume-Uni ou des États membres, révèlent que le niveau de protection assuré par le Royaume-Uni pourrait ne plus être adéquat, la Commission devrait en informer rapidement les autorités britanniques compétentes et demander que des mesures appropriées soient prises dans un délai bien défini, qui ne peut dépasser trois mois. Si nécessaire, ce délai peut être prorogé pour une durée déterminée, compte tenu de la nature de la question en cause et/ou des mesures à prendre. Une telle procédure pourrait par exemple être déclenchée dans les cas où des transferts ultérieurs, notamment sur la base de nouveaux règlements d’adéquation adoptés par le secrétaire d’État ou d’accords internationaux conclus par le Royaume-Uni, ne seraient plus effectués en bénéficiant des garanties assurant la continuité de la protection au sens de l’article 44 du règlement (UE) 2016/679.

| (285) | Si, à l’expiration de la période précisée, les autorités britanniques compétentes n’ont pas pris ces mesures ou échouent à démontrer de manière satisfaisante que la présente décision reste fondée sur un niveau de protection adéquat, la Commission lancera la procédure visée à l’article 93, paragraphe 2, du règlement (UE) 2016/679 en vue de la suspension partielle ou complète ou de l’abrogation de la présente décision. |
| --- | --- |

(285)

Si, à l’expiration de la période précisée, les autorités britanniques compétentes n’ont pas pris ces mesures ou échouent à démontrer de manière satisfaisante que la présente décision reste fondée sur un niveau de protection adéquat, la Commission lancera la procédure visée à l’article 93, paragraphe 2, du règlement (UE) 2016/679 en vue de la suspension partielle ou complète ou de l’abrogation de la présente décision.

| (286) | La Commission pourra également lancer cette procédure afin de modifier la décision, notamment en soumettant les transferts de données à des conditions supplémentaires ou en limitant le constat d’adéquation aux seuls transferts de données pour lesquels un niveau de protection adéquat continue d’être assuré. |
| --- | --- |

(286)

La Commission pourra également lancer cette procédure afin de modifier la décision, notamment en soumettant les transferts de données à des conditions supplémentaires ou en limitant le constat d’adéquation aux seuls transferts de données pour lesquels un niveau de protection adéquat continue d’être assuré.

| (287) | Pour des raisons d’urgence impérieuse dûment justifiées, la Commission aura recours à la possibilité d’adopter, conformément à la procédure visée à l’article 93, paragraphe 3, du règlement (UE) 2016/679, des actes d’exécution immédiatement applicables suspendant, abrogeant ou modifiant la décision. |
| --- | --- |

(287)

Pour des raisons d’urgence impérieuse dûment justifiées, la Commission aura recours à la possibilité d’adopter, conformément à la procédure visée à l’article 93, paragraphe 3, du règlement (UE) 2016/679, des actes d’exécution immédiatement applicables suspendant, abrogeant ou modifiant la décision.

7.   DURÉE ET RENOUVELLEMENT DE LA PRÉSENTE DÉCISION

DURÉE ET RENOUVELLEMENT DE LA PRÉSENTE DÉCISION

| (288) | La Commission doit tenir compte du fait que, à l’issue de la période de transition prévue par l’accord de retrait et dès que la disposition provisoire prévue par l’article 782 de l’accord de commerce et de coopération UE-Royaume-Uni cessera de s’appliquer, le Royaume-Uni gérera, appliquera et mettra en œuvre un nouveau régime de protection des données par rapport à celui qui était en place lorsqu’il était lié par le droit de l’Union. Cela pourra notamment donner lieu à des modifications ou à des changements concernant le cadre de protection des données évalué dans la présente décision, ainsi qu’à d’autres évolutions pertinentes. |
| --- | --- |

(288)

La Commission doit tenir compte du fait que, à l’issue de la période de transition prévue par l’accord de retrait et dès que la disposition provisoire prévue par l’article 782 de l’accord de commerce et de coopération UE-Royaume-Uni cessera de s’appliquer, le Royaume-Uni gérera, appliquera et mettra en œuvre un nouveau régime de protection des données par rapport à celui qui était en place lorsqu’il était lié par le droit de l’Union. Cela pourra notamment donner lieu à des modifications ou à des changements concernant le cadre de protection des données évalué dans la présente décision, ainsi qu’à d’autres évolutions pertinentes.

| (289) | Il convient donc de disposer que la présente décision est applicable pour une durée de quatre ans à compter de son entrée en vigueur. |
| --- | --- |

(289)

Il convient donc de disposer que la présente décision est applicable pour une durée de quatre ans à compter de son entrée en vigueur.

| (290) | Plus particulièrement, si les informations issues du suivi de la présente décision révèlent que les constatations relatives à l’adéquation du niveau de protection assuré au Royaume-Uni sont toujours justifiées sur les plans factuel et juridique, la Commission devrait, au moins six mois avant l’expiration de la présente décision, lancer la procédure de modification de la présente décision en prorogeant sa portée dans le temps, en principe, d’une durée supplémentaire de quatre ans. Un tel acte d’exécution modifiant ainsi la présente décision doit être adopté conformément à la procédure visée à l’article 93, paragraphe 2, du règlement (UE) 2016/679. |
| --- | --- |

(290)

Plus particulièrement, si les informations issues du suivi de la présente décision révèlent que les constatations relatives à l’adéquation du niveau de protection assuré au Royaume-Uni sont toujours justifiées sur les plans factuel et juridique, la Commission devrait, au moins six mois avant l’expiration de la présente décision, lancer la procédure de modification de la présente décision en prorogeant sa portée dans le temps, en principe, d’une durée supplémentaire de quatre ans. Un tel acte d’exécution modifiant ainsi la présente décision doit être adopté conformément à la procédure visée à l’article 93, paragraphe 2, du règlement (UE) 2016/679.

8.   CONSIDÉRATIONS FINALES

CONSIDÉRATIONS FINALES

| (291) | Le comité européen de la protection des données a publié son avis (509), dont il a été tenu compte dans l’élaboration de la présente décision. |
| --- | --- |

(291)

Le comité européen de la protection des données a publié son avis (509), dont il a été tenu compte dans l’élaboration de la présente décision.

509

| (292) | Les mesures prévues par la présente décision sont conformes à l’avis du comité institué en vertu de l’article 93 du règlement (UE) 2016/679, |
| --- | --- |

(292)

Les mesures prévues par la présente décision sont conformes à l’avis du comité institué en vertu de l’article 93 du règlement (UE) 2016/679,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

1.   Aux fins de l’article 45 du règlement (UE) 2016/679, le Royaume-Uni assure un niveau de protection adéquat des données à caractère personnel transférées dans le cadre du règlement (UE) 2016/679 de l’Union européenne vers le Royaume-Uni.

2.   La présente décision ne couvre pas les données à caractère personnel transférées à des fins de contrôle de l’immigration au Royaume-Uni ou qui relèvent par ailleurs du champ d’application de l’exemption de certains droits des personnes concernées aux fins du maintien d’un contrôle efficace de l’immigration conformément au paragraphe 4, point 1, de l’annexe 2 de la DPA 2018.

Article 2

Lorsque, afin de protéger les personnes à l’égard du traitement de leurs données à caractère personnel, les autorités de surveillance compétentes des États membres exercent les pouvoirs que leur confère l’article 58 du règlement (UE) 2016/679 concernant les transferts de données relevant du champ d’application défini à l’article 1er, l’État membre concerné en informe la Commission sans délai.

Article 3

1.   La Commission suit de manière permanente l’application du cadre juridique sur lequel se fonde la présente décision, notamment les conditions dans lesquelles les transferts ultérieurs sont effectués, les droits individuels sont exercés et les autorités publiques britanniques ont accès aux données transférées sur la base de la présente décision, dans le but de déterminer si le Royaume-Uni continue d’assurer un niveau de protection adéquat au sens de l’article 1er.

2.   Les États membres et la Commission s’informent mutuellement des cas dans lesquels le commissaire à l’information, ou toute autre autorité britannique compétente, échoue à faire respecter le cadre juridique sur lequel se fonde la présente décision.

3.   Les États membres et la Commission s’informent mutuellement de tout élément indiquant que les atteintes au droit des personnes à la protection de leurs données à caractère personnel commises par des autorités publiques britanniques vont au-delà de ce qui est strictement nécessaire ou qu’il n’existe pas de protection juridique effective contre les atteintes de cette nature.

4.   Lorsqu’elle est en possession d’éléments indiquant qu’un niveau de protection adéquat n’est plus assuré, la Commission en informe les autorités britanniques compétentes et peut suspendre, abroger ou modifier la présente décision.

5.   La Commission peut suspendre, abroger ou modifier la présente décision si le défaut de coopération de la part des autorités britanniques l’empêche de déterminer si le constat établi à l’article 1er, paragraphe 1, est affecté.

Article 4

La présente décision expire le 27 juin 2025, sauf si elle est prorogée conformément à la procédure visée à l’article 93, paragraphe 2, du règlement (UE) 2016/679.

Article 5

Les États membres sont destinataires de la présente décision.

Fait à Bruxelles, le 28 juin 2021.

Par la Commission

Didier REYNDERS

Membre de la Commission

---

(1)  
  JO L 119 du 4.5.2016, p. 1.

1

(2)  Voir le considérant 101 du règlement (UE) 2016/679.

2

(3)  Voir plus récemment l’arrêt de la Cour dans l’affaire C-311/18, Facebook Ireland et Schrems (ci-après l’«arrêt Schrems II»), ECLI:EU:C:2020:559.

3

(4)  Comité européen de la protection des données, Critères de référence pour l’adéquation, WP 254 rev. 01, disponibles à l’adresse suivante: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=614108

4

(5)  Arrêt de la Cour dans l’affaire C-362/14, Schrems (ci-après l’«arrêt Schrems I»), ECLI:EU:C:2015:650, point 73.

5

(6)  Arrêt Schrems I, point 74.

6

(7)  Voir la communication de la Commission au Parlement européen et au Conseil, Échange et protection de données à caractère personnel à l’ère de la mondialisation, COM(2017) 7 du 10.1.2017, section 3.1, p. 6 et 7, disponible à l’adresse suivante: https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:52017DC0007&from=EN

7

(8)  Court of Appeal (Civil Division), Open Rights Group v Secretary of State for the Home Department and Secretary of State for Digital, Culture, Media and Sport, [2021] EWCA Civ 800, points 53 à 56. La Cour d’appel a infirmé la décision de la Haute Cour de justice qui avait précédemment apprécié l’exemption à la lumière du règlement (UE) 2016/679 (en particulier de son article 23) et de la Charte des droits fondamentaux de l’Union européenne et avait conclu à la légalité de l’exemption (Open Rights Group & Anor, R (On the Application Of) v Secretary of State for the Home Department & Anor [2019] EWHC 2562).

8

Open Rights Group v Secretary of State for the Home Department and Secretary of State for Digital, Culture, Media and Sport,

Open Rights Group & Anor, R (On the Application Of) v Secretary of State for the Home Department & Anor

(9)  Pour autant que les conditions applicables soient remplies, les transferts à des fins de contrôle de l’immigration au Royaume-Uni peuvent être effectués sur la base des mécanismes de transfert prévus aux articles 46 à 49 du règlement (UE) 2016/679.

9

(10)  Les principes de la convention 108 ont été initialement transposés dans le droit britannique par la loi de 1984 sur la protection des données, laquelle a été remplacée par la loi de 1998 sur la protection des données (DPA 1998), puis par la loi de 2018 sur la protection des données (DPA 2018) (lue en combinaison avec le RGPD britannique). Le Royaume-Uni a par ailleurs signé, en 2018, le protocole d’amendement à la convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (appelé convention 108+) et œuvre actuellement à la ratification de la convention.

10

(11)  Articles 6 et 8 de la CEDH (voir également l’annexe 1 de la loi de 1998 sur les droits de l’homme).

11

(12)  Article 6 de la loi de 1998 sur les droits de l’homme.

12

(13)  Article 3 de la loi de 1998 sur les droits de l’homme.

13

(14)  Accord sur le retrait du Royaume-Uni de Grande-Bretagne et d’Irlande du Nord de l’Union européenne et de la Communauté européenne de l’énergie atomique (2019/C 384 I/01), XT/21054/2019/INIT (JO C 384I du 12.11.2019, p. 1), disponible à l’adresse suivante: https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:12019W/TXT(02)&from=EN

14

(15)  Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO L 119 du 4.5.2016, p. 89), disponible à l’adresse suivante: https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32016L0680&from=EN

15

(16)  Loi de 2018 sur la protection des données, disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2018/12/contents/enacted

16

(17)  Loi de 2018 sur le retrait de l’Union européenne, disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2018/16/contents

17

(18)  La loi de 2018 sur l’Union européenne (notification de retrait) a pour but et pour effet d’intégrer dans le droit britannique toute la législation directe de l’Union qui était intégrée dans le droit britannique à la fin de la période de transition étant donné qu’elle est d’effet immédiat en droit de l’Union avant la fin de la période de transition [voir l’article 3 de la loi de 2018 sur l’Union européenne (retrait)].

18

(19)  Les notes explicatives de la loi de 2018 sur l’Union européenne (notification de retrait) précisent que: «Lorsqu’une législation est transposée en vertu de cet article, c’est le texte de la législation lui-même qui fera partie de la législation nationale. Cela inclura le texte intégral de tout instrument de l’Union (y compris ses considérants)». [Notes explicatives de la loi de 2018 sur l’Union européenne (notification de retrait), point 83, disponibles à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2018/16/pdfs/ukpgaen_20180016_en.pdf]. Selon les informations communiquées par les autorités britanniques, étant donné que les considérants n’ont pas le statut de règles juridiques contraignantes, il n’était pas nécessaire de les modifier de la même façon que les articles du règlement (UE) 2016/679 ont été modifiés par la réglementation de 2019 sur la protection des données, la vie privée et les communications électroniques (DPPEC).

19

(20)  Article 6 de la loi de 2018 sur l’Union européenne (notification de retrait).

20

(21)  Réglementation de 2019 sur la protection des données, la vie privée et les communications électroniques (modifications, etc.) (sortie de l’Union), disponible à l’adresse suivante: https://www.legislation.gov.uk/uksi/2019/419/contents/made, telle que modifiée par la réglementation DPPEC 2020, disponible à l’adresse suivante: https://www.legislation.gov.uk/ukdsi/2020/9780348213522

21

(22)  Ces modifications du RGPD britannique et de la DPA 2018, qui sont essentiellement de nature technique, consistent notamment à supprimer les références aux «États membres» ou à adapter la terminologie, en remplaçant par exemple les références au règlement (UE) 2016/679 par des références au RGPD britannique. Dans certains cas, des changements étaient nécessaires afin de refléter le contexte purement national des dispositions, par exemple en ce qui concerne la personne «qui» adopte les «règlements d’adéquation» aux fins du cadre législatif britannique en matière de protection des données (voir l’article 17A de la DPA 2018), à savoir le ministre en lieu et place de la Commission européenne.

22

(23)  Règlement général sur la protection des données, version modifiée (Keeling Schedule), disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/946117/20201102_-_GDPR_-__MASTER__Keeling_Schedule__with_changes_highlighted__V3.pdf

23

(24)  Loi de 2018 sur la protection des données, version modifiée (Keeling Schedule), disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/946100/20201102_-_DPA_-__MASTER__Keeling_Schedule__with_changes_highlighted__V3.pdf

24

(25)  Ces pouvoirs sont énoncés, par exemple, aux articles 16 (pouvoir d’appliquer, dans des circonstances particulières, étroitement encadrées, des exemptions supplémentaires à certaines dispositions du RGPD britannique), 17A (pouvoir d’adopter des règlements d’adéquation), 212 et 213 (pouvoirs de fixer la date d’entrée en vigueur et d’appliquer des dispositions transitoires), ainsi que 211 (pouvoir d’apporter des modifications mineures et consécutives) de la DPA 2018.

25

(26)  Article 2, paragraphes 1 et 5, du RGPD britannique.

26

(27)  Article 4, paragraphes 1 et 2, du RGPD britannique.

27

(28)  L’article 2, paragraphe 5, point b), définit le traitement manuel non structuré de données à caractère personnel comme le traitement autre que le traitement automatisé ou structuré de données à caractère personnel.

28

(29)  Conformément à l’article 2, paragraphe 1A, du RGPD britannique, le règlement s’applique également au traitement manuel non structuré des données à caractère personnel détenues par une autorité publique au sens de la loi sur la liberté de l’information. La référence aux autorités publiques au sens de la loi sur la liberté de l’information désigne toute autorité publique telle qu’elle est définie dans la loi de 2000 sur la liberté de l’information, ou toute autorité publique écossaise telle qu’elle est définie dans la loi écossaise de 2002 sur la liberté de l’information (loi du Parlement écossais 13). Article 21, paragraphe 5, de la DPA 2018.

29

(30)  Article 2, paragraphe 2, point a), du RGPD britannique.

30

(31)  Les activités liées à la sécurité nationale relèvent uniquement du champ d’application du RGPD britannique, dans la mesure où elles ne sont pas exercées par une autorité compétente à des fins répressives, auquel cas la partie 3 de la DPA 2018 s’applique, ou par un service de renseignement ou pour le compte de celui-ci, dont les activités sont exclues du champ d’application du RGPD britannique et relèvent de la partie 4 de la DPA 2018, conformément à l’article 2, paragraphe 2, point c), du RGPD britannique. Par exemple, les forces de police peuvent effectuer des contrôles de sécurité sur un employé afin de s’assurer que celui-ci est fiable pour accéder à des données de sécurité nationale. Bien que la police représente une autorité compétente à des fins répressives, le traitement en cause n’est pas effectué à ces fins et le RGPD britannique s’appliquerait. Voir le cadre explicatif relatif aux discussions sur l’adéquation du Royaume-Uni, section H: Cadre de la sécurité nationale, de la protection des données et des pouvoirs d’enquête, p. 8, disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872239/H_-_National_Security.pdf

31

(32)  Article 2, paragraphe 1, points a) et b), du RGPD britannique.

32

(33)  Article 2, paragraphe 2, points b) et c), du RGPD britannique.

33

(34)  Le même champ d’application territorial s’applique au traitement de données à caractère personnel au titre de la partie 2 de la DPA 2018, qui complète le RGPD britannique (article 207, paragraphe 1A).

34

(35)  Cela signifie notamment que la DPA de 2018 et, par conséquent, la présente décision ne s’appliquent pas aux dépendances de la Couronne du Royaume-Uni (Jersey, Guernesey et île de Man) ni aux territoires d’outre-mer du Royaume-Uni, tels que les îles Falkland et le territoire de Gibraltar.

35

(36)  Article 4, paragraphes 1, 2, 5, 7 et 8, du RGPD britannique.

36

(37)  On entend par «données biométriques», les données à caractère personnel résultant d’un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d’une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques.

37

(38)  On entend par «données concernant la santé», les données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l’état de santé de cette personne.

38

(39)  On entend par «données génétiques» les données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d’une personne physique qui donnent des informations uniques sur la physiologie ou l’état de santé de cette personne physique et qui résultent, notamment, d’une analyse d’un échantillon biologique de la personne physique en question.

39

(40)  Conformément à l’article 6, paragraphe 1, du RGPD britannique, le traitement n’est licite que si, et dans la mesure où: a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques; b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci; c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis; d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique; e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement; ou f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.

40

(41)  Annexe 1, points 38 à 40, de la DPA 2018.

41

(42)  Dans les articles 13, paragraphe 1, point f), et 14, paragraphe 1, point f), les références aux décisions d’adéquation de la Commission ont été remplacées par des références à l'instrument britannique équivalent, à savoir les règlements d’adéquation au titre de la DPA 2018. Par ailleurs, dans les articles 14, paragraphe 5, points c) et d), les références au droit de l’Union ou au droit des États membres ont été remplacées par une référence au droit interne [le Royaume-Uni a mentionné, à titre d’exemple d’une telle législation nationale susceptible de relever de l’article 14, paragraphe 5, point c), l’article 7 de la loi de 2013 sur les ferrailleurs qui fixe les règles relatives au registre des licences de ferrailleurs, ou la partie 35 de la loi de 2006 sur les sociétés énonçant les règles applicables au registre des sociétés. De même, on peut citer à titre d’exemple de législation nationale susceptible de relever de l’article 14, paragraphe 5, point d), la législation établissant les règles relatives au secret professionnel, les obligations figurant dans les contrats de travail ou l’obligation de confidentialité imposée par la common law (comme dans le cas du traitement de données à caractère personnel par des professionnels de la santé, les ressources humaines, les travailleurs sociaux, etc.).

42

common law

(43)  Dans l’article 17, paragraphe 1, point e) et paragraphe 3, point b), les références au droit de l’Union et au droit des États membres ont été remplacées par une référence au droit national [le Royaume-Uni a mentionné, à titre d’exemple d’une telle législation nationale relevant de l’article 17, paragraphe 1, point e), la réglementation de 2006 sur l’éducation (information concernant les élèves) (Angleterre) en vertu de laquelle le nom des élèves doit être effacé des registres scolaires après leur départ de l’école, ou la loi médicale de 1983, article 34F, qui fixe les règles relatives à la suppression des noms dans le registre des médecins généralistes et le registre des médecins spécialistes].

43

(44)  Le projet de code de bonnes pratiques est disponible à l’adresse suivante: https://ico.org.uk/media/about-the-ico/consultations/2616882/direct-marketing-code-draft-guidance.pdf

44

(45)  Cadre explicatif relatif aux discussions sur l’adéquation du Royaume-Uni, section E: Limitations, p. 1, disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872232/E_-_Narrative_on_Restrictions.pdf

45

(46)  Arrêt dans l’affaire Open Rights Group et Anor, R (On the Application Of)/Secretary of State for the Home Department et Anor [2019] EWHC 2562 (Admin), points 40 et 41.

46

(47)  Arrêt dans l’affaire Guriev/Community Safety Development (UK) Ltd [2016] EWHC 643 (QB), point 43. Voir également à ce sujet l’arrêt dans l’affaire Lin/Commissioner of Police for the Metropolis [2015] EWHC 2484 (QB), point 80.

47

(48)  Annexe 2, point 2, de la DPA 2018.

48

(49)  Annexe 2, point 19, de la DPA 2018.

49

(50)  Annexe 2, point 20, de la DPA 2018.

50

(51)  Annexe 2, point 21, de la DPA 2018.

51

(52)  Par exemple, les limitations du droit à la notification d’une violation de données ne sont autorisées qu’en ce qui concerne la criminalité et la fiscalité (annexe 2, point 2, de la DPA 2018), l’immunité parlementaire (annexe 2, point 13, de la DPA 2018) et le traitement à des fins journalistiques, universitaires, artistiques et littéraires (annexe 2, point 26, de la DPA 2018).

52

(53)  Annexe 2, point 2, de la DPA 2018.

53

(54)  Arrêt dans l’affaire R (Lord)/Secretary of State for the Home Department [2003] EWHC 2073 (Admin), point 100, et arrêt dans l’affaire Guriev/Community Safety Development (UK) Ltd [2016] EWHC 643 (QB), point 43.

54

(55)  Arrêt dans l’affaire Open Rights Group et Anor, R (On the Application Of)/Secretary of State for the Home Department et Anor, point 31.

55

(56)  Selon les informations fournies par les autorités britanniques, lorsque le traitement s’inscrit dans le cadre de la sécurité nationale, les responsables du traitement appliqueront généralement des garanties et des mesures de sécurité renforcées, reflétant la nature sensible du traitement. La détermination des garanties appropriées dépendra des risques posés par le traitement entrepris. Ces garanties pourraient inclure des restrictions d’accès aux données afin que seules les personnes autorisées disposant d’une habilitation de sécurité appropriée puissent y accéder, des restrictions strictes concernant le partage des données et l’application d’une norme de sécurité élevée aux procédures de conservation et de traitement.

56

(57)  Voir également l’arrêt dans l’affaire Guriev/Community Safety Development (UK) Ltd [2016] EWHC 643 (QB), point 45; l’arrêt dans l’affaire Lin/Commissioner of Police for the Metropolis [2015] EWHC 2484 (QB), point 80.

57

(58)  Voir les orientations d’ICO sur l’exception en matière de sécurité et de défense nationales, disponibles à l’adresse suivante: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/national-security-and-defence/

58

(59)  Selon un exemple fourni par les autorités britanniques, si un terroriste présumé faisant l’objet d’une enquête active menée par le MI5 introduisait une demande d’accès auprès du ministère de l’intérieur (par exemple, parce qu’il est en désaccord avec celui-ci sur des questions d’immigration), il serait nécessaire d’empêcher la communication à la personne concernée de toutes les données que le MI5 est susceptible d’avoir partagées avec le ministère de l’intérieur concernant des enquêtes en cours et qui pourraient porter préjudice à des sources, à des méthodes ou à des techniques sensibles et/ou accroître la menace que représente cet individu. Dans de telles circonstances, il est probable que le seuil d’application de l’exemption prévue à l’article 26 soit atteint et qu’une exemption de la communication des informations soit nécessaire pour garantir la sécurité nationale. Toutefois, si le ministère de l’intérieur détenait également des données à caractère personnel concernant la personne physique qui n’étaient pas liées à l’enquête du MI5 et si ces informations pouvaient être communiquées sans risquer de compromettre la sécurité nationale, l’exemption concernant la sécurité nationale ne serait pas applicable pour ce qui est de leur communication à la personne. L’ICO prépare actuellement des orientations sur la manière dont les responsables du traitement devraient envisager d’utiliser l’exemption prévue à l’article 26. Ces orientations devraient être publiées d’ici la fin du mois de mars 2021.

59

(60)  Le tribunal de l’information a été institué pour connaître des recours en matière de protection des données par la loi de 1984 sur la protection des données. En 2010, le tribunal de l’information a été intégré à la division de la réglementation générale du tribunal de première instance, dans le cadre de la réforme de la structure du système de tribunaux au Royaume-Uni.

60

(61)  Voir l’arrêt Baker/Secretary of State for the Home Department [2001] UKIT NSA2 (ci-après l’«arrêt Baker/Secretary of State»).

61

(62)  Voir l’article 85 du RGPD britannique et l’annexe 2, partie 5, paragraphe 26, point 9), de la DPA 2018.

62

(63)  Conformément à l’annexe 2, partie 5, point 26, sous 2), de la DPA 2018, l’exception s’applique au traitement de données à caractère personnel réalisé à des fins particulières (à des fins journalistiques, universitaires, artistiques ou littéraires) en vue de la publication par une personne de contenus de nature journalistique, universitaire, artistique ou littéraire, lorsque le responsable du traitement croit raisonnablement que la publication de ce contenu serait d’intérêt public. Pour déterminer si une publication serait ou non d’intérêt public, le responsable du traitement doit prendre en compte l’importance particulière que revêt l’intérêt public eu égard à la liberté d’expression et d’information. En outre, il doit tenir compte des directives ou des codes de bonnes pratiques applicables à la publication en question (directives éditoriales de la BBC, code de diffusion de l’Ofcom et code de bonnes pratiques entre éditeurs). En outre, pour qu’une exemption puisse s’appliquer le responsable du traitement doit raisonnablement croire que le respect de la disposition pertinente serait incompatible avec les finalités particulières [annexe 2, point 26, sous 3), de la DPA 2018].

63

(64)  L’arrêt dans l’affaire NT1/Google [2018] EWHC 799 (QB), point 102, a clos le débat sur la question de savoir si le responsable du traitement avait des raisons de croire que la publication était d’intérêt public et que le respect des dispositions pertinentes était incompatible avec les finalités particulières. La cour a déclaré que l’article 32, paragraphe 1, points b) et c), de la loi de 1998 sur la protection des données comportait à la fois un élément subjectif et objectif: le responsable du traitement doit démontrer qu’il croyait que la publication serait d’intérêt public, et que cette croyance était objectivement raisonnable; il doit également établir sa croyance subjective selon laquelle le respect de la disposition pour laquelle il souhaite obtenir une exemption serait incompatible avec la finalité particulière en question.

64

(65)  On trouve un exemple de l’application du critère de la «croyance raisonnable» dans la décision de l’ICO d’infliger une amende à True Visions Productions, prise en vertu de la loi de 1998 sur la protection des données. L’ICO a reconnu la croyance subjective du contrôleur des médias selon laquelle le respect du premier principe de protection des données (loyauté et licéité) était incompatible avec les finalités journalistiques. Toutefois, il n’a pas reconnu que cette croyance était objectivement raisonnable. La décision de l’ICO est disponible à l’adresse suivante: https://ico.org.uk/media/action-weve-taken/mpns/2614746/true-visions-productions-20190408.pdf

65

True Visions Productions

(66)  Conformément aux orientations, les organisations doivent être en mesure d’expliquer les raisons pour lesquelles le respect de la disposition pertinente de la loi de 1998 sur la protection des données est incompatible avec les finalités du journalisme. Les responsables du traitement doivent notamment mettre en balance l’effet néfaste que le respect de la disposition aurait sur le journalisme avec celui que le non-respect de la disposition aurait sur les droits de la personne concernée. Si un journaliste peut raisonnablement atteindre ses objectifs éditoriaux d’une manière conforme aux dispositions générales de la loi sur la protection des données, il doit procéder de cette manière. Les organisations doivent être en mesure de justifier leur recours à la limitation pour toutes les dispositions qu’elles n’ont pas respectées. «Data protection and journalism: a guide for the media», disponible à l’adresse suivante: https://ico.org.uk/media/for-organisations/documents/1552/data-protection-and-journalism-media-guidance.pdf

66

(67)  Parmi les exemples de motifs d’intérêt public figurent la dénonciation ou la détection d’infractions pénales, la protection de la santé ou de la sécurité publique, la révélation de déclarations trompeuses faites par des personnes ou des organisations ou la révélation d’incompétences ayant des conséquences pour le public. Voir les orientations de l’Ofcom, disponibles à l’adresse suivante: https://www.ofcom.org.uk/__data/assets/pdf_file/0017/132083/Broadcast-Code-Section-8.pdf et les directives éditoriales de la BBC disponibles à l’adresse suivante: https://www.bbc.com/editorialguidelines/guidelines/privacy

67

(68)  Voir l’article 89 du RGPD britannique et l’annexe 2, partie 6, point 27, sous 2), et point 28, sous 2), de la DPA 2018.

68

(69)  Ces exemptions sont subordonnées à la condition que les données à caractère personnel soient traitées conformément à l’article 89, paragraphe 1, du RGPD britannique, complété par l’article 19 de la DPA 2018.

69

(70)  Voir les considérants 281 à 287.

70

(71)  À l’exception de l’article 48 du règlement (UE) 2016/679 que le Royaume-Uni a décidé de ne pas inclure dans le RGPD britannique. À cet égard, il convient tout d’abord de rappeler que le critère devant être considéré comme assurant un niveau de protection adéquat est un critère d’«équivalence essentielle» plutôt que d’identité, comme l’a précisé la CJUE (arrêt Schrems I, points 73 et 74) et reconnu par le comité européen de la protection des données (Critères de référence pour l’adéquation, page 3). Par conséquent, comme l’a expliqué le comité européen de la protection des données dans sa référence relative à l’adéquation, «l’objectif n’est pas de refléter point par point la législation européenne, mais d’établir les exigences essentielles de cette législation». À cet égard, il est important de noter que, bien que l’ordre juridique britannique ne contienne pas formellement une disposition identique à l’article 48, le même effet est garanti par d’autres dispositions et principes juridiques, à savoir qu’en réponse à une demande de données à caractère personnel émanant d’une juridiction ou d’une autorité administrative d’un pays tiers, les données à caractère personnel ne peuvent être transférées vers ce pays tiers que s’il existe un accord international en vigueur — sur la base duquel la décision judiciaire ou la décision administrative du pays tiers en question est reconnue ou exécutée au Royaume-Uni — ou s’il est fondé sur l’un des mécanismes de transfert définis au chapitre V du RGPD britannique. Plus précisément, pour exécuter une décision étrangère, les juridictions du Royaume-Uni doivent être en mesure de se fonder sur la common law ou une loi qui permet son opposabilité. Toutefois, ni la common law (voir Adams and Others v Cape Industries Plc., [1990] 2 W.L.R. 657) ni le droit écrit ne prévoient l’exécution des décisions étrangères exigeant le transfert de données en l’absence d’un accord international. En conséquence, les demandes de transfert de données ne sont pas exécutoires en vertu du droit britannique, en l’absence d’un tel accord international. En outre, tout transfert de données à caractère personnel vers des pays tiers — y compris à la demande d’une juridiction ou d’une autorité administrative étrangère — reste soumis aux restrictions énoncées au chapitre V du RGPD britannique, qui sont identiques aux dispositions correspondantes du règlement (UE) 2016/679, et exige donc de se fonder sur l’un des motifs de transfert prévus au chapitre V conformément aux conditions spécifiques auxquelles il est soumis en vertu dudit chapitre.

71

Adams and Others

Cape Industries Plc.

(72)  Les autorités britanniques ont expliqué que la description d’un pays ou d’une organisation internationale faisait référence à une situation dans laquelle il serait nécessaire de procéder à une détermination spécifique et partielle du caractère adéquat avec des limitations ciblées (par exemple, un règlement d’adéquation qui ne concernerait que certains types de transferts de données).

72

(73)  Voir le protocole d’accord entre le secrétaire d’État au ministère du numérique, de la culture, des médias et du sport (Department for Digital, Culture, Media and Sport) et le bureau du commissaire à l’information sur le rôle de l’ICO dans le cadre de la nouvelle évaluation de l’adéquation au Royaume-Uni, disponible à l’adresse suivante: https://www.gov.uk/government/publications/memorandum-of-understanding-mou-on-the-role-of-the-ico-in-relation-to-new-uk-adequacy-assessments

73

(74)  Si une telle motion est adoptée, les règlements cesseront à terme de produire tout autre effet juridique.

74

(75)  Le RGPD britannique conserve les règles prévues à l’article 47 du règlement (UE) 2016/679, et se contente de les modifier afin de les adapter au contexte national, en remplaçant par exemple la référence à l’autorité de contrôle compétente par une référence au commissaire à l’information, en supprimant la référence au mécanisme de contrôle de la cohérence du paragraphe 1 et en supprimant entièrement le paragraphe 3.

75

(76)  Conformément à l’article 49 du RGPD britannique, les transferts sont possibles si l’une des conditions suivantes est remplie: a) la personne concernée a donné son consentement explicite au transfert envisagé, après avoir été informée des risques que ce transfert pouvait comporter pour elle en raison de l’absence de décision d’adéquation et de garanties appropriées; b) le transfert est nécessaire à l’exécution d’un contrat entre la personne concernée et le responsable du traitement ou à la mise en œuvre de mesures précontractuelles prises à la demande de la personne concernée; c) le transfert est nécessaire à la conclusion ou à l’exécution d’un contrat conclu dans l’intérêt de la personne concernée entre le responsable du traitement et une autre personne physique ou morale; d) le transfert est nécessaire pour des motifs importants d’intérêt public; e) le transfert est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice; f) le transfert est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’autres personnes, lorsque la personne concernée se trouve dans l’incapacité physique ou juridique de donner son consentement; g) le transfert a lieu au départ d’un registre qui, conformément au droit interne, est destiné à fournir des informations au public et est ouvert à la consultation du public en général ou de toute personne justifiant d’un intérêt légitime, mais uniquement dans la mesure où les conditions prévues pour la consultation dans le droit interne sont remplies dans le cas d’espèce. De plus, si aucune des conditions ci-dessus n’est applicable, un transfert ne peut avoir lieu que s’il ne revêt pas de caractère répétitif, ne touche qu’un nombre limité de personnes concernées, est nécessaire aux fins des intérêts légitimes impérieux poursuivis par le responsable du traitement sur lesquels ne prévalent pas les intérêts ou les droits et libertés de la personne concernée, et si le responsable du traitement a évalué toutes les circonstances entourant le transfert de données et a offert, sur la base de cette évaluation, des garanties appropriées en ce qui concerne la protection des données à caractère personnel.

76

(77)  Le considérant 111 du RGPD britannique précise que les transferts dans le cadre d’un contrat ou d’une action en justice ne peuvent avoir lieu que s’ils sont occasionnels.

77

(78)  Orientations de l’ICO sur les transferts internationaux, disponibles à l’adresse suivante: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-transfers/#ib7

78

(79)  Durant une période maximale de six mois se terminant au plus tard le 30 juin 2021, l’applicabilité de ce nouveau cadre doit être interprétée à la lumière de l’article 782 de l’accord de commerce et de coopération entre l’Union européenne et la Communauté européenne de l’énergie atomique, d’une part, et le Royaume-Uni de Grande-Bretagne et d’Irlande du Nord, d’autre part (JO L 444/14 du 31.12.2020) (l’«ACC UE-Royaume-Uni»), disponible à l’adresse suivante: https://eur-lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX:22020A1231(01)&from=FR

79

(80)  Le cas échéant, les références à l’autorité de contrôle compétente sont remplacées par des références aux autorités du Royaume-Uni. Par exemple, en vertu de l’article 17 de la DPA 2018, le commissaire à l’information ou l’organisme national d’accréditation du Royaume-Uni peut agréer une personne satisfaisant aux exigences énoncées à l’article 43 du RGPD britannique pour contrôler le respect d’une certification.

80

(81)  Rapport annuel et états financiers du commissaire à l’information pour la période 2019-2020, disponibles à l’adresse suivante: https://ico.org.uk/media/about-the-ico/documents/2618021/annual-report-2019-20-v83-certified.pdf

81

(82)  Un accord de gestion régit la relation entre les deux parties. En particulier, les principales responsabilités du DCMS, en qualité de ministère parrain, consistent: à s’assurer que le commissaire à l’information reçoit un financement et des ressources appropriés; à représenter les intérêts du commissaire à l’information auprès du Parlement et des autres ministères; à garantir la mise en place d’un cadre national de protection des données solide; et à fournir des orientations et une assistance au Bureau du commissaire à l’information sur les questions opérationnelles ayant trait, par exemple, à l’immobilier, aux contrats de location et aux marchés publics (accord de gestion 2018-2021, disponible à l’adresse suivante: https://ico.org.uk/media/about-the-ico/documents/2259800/management-agreement-2018-2021.pdf).

82

(83)  Code de gouvernance pour les nominations publiques, disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/578498/governance_code_on_public_appointments_16_12_2016.pdf

83

(84)  Deuxième rapport de la session 2015-2016 de la commission de la culture, des médias et du sport de la Chambre des communes, disponible à l’adresse suivante: https://publications.parliament.uk/pa/cm201516/cmselect/cmcumeds/990/990.pdf

84

(85)  Une «intervention» est une motion déposée devant le Parlement qui vise à informer le monarque des avis du Parlement sur une question spécifique.

85

(86)  Annexe 12, point 3, sous 3), de la DPA 2018.

86

(87)  Article 137 de la DPA 2018, voir le considérant 17.

87

(88)  Les articles 137 et 138 de la DPA 2018 contiennent un certain nombre de garanties afin de faire en sorte que le montant des redevances soit fixé à un niveau approprié. En particulier, l’article 137, paragraphe 4, énumère les éléments que le secrétaire d’État doit prendre en considération au moment d’adopter les règlements qui précisent le montant que doivent verser différentes organisations; deuxièmement, l’article 138, paragraphe 1, et l’article 182 de la DPA 2018 soumettent le secrétaire d’État à l’obligation juridique de consulter, avant l’adoption des règlements, le commissaire à l’information et d’autres représentants de personnes susceptibles d’être concernées par lesdits règlements afin que leurs points de vue soient pris en compte. En outre, en vertu de l’article 138, paragraphe 2, de la DPA 2018, le commissaire à l’information est tenu d’examiner régulièrement le fonctionnement des règlements relatifs aux redevances et peut soumettre au secrétaire d’État des propositions de modification de ces derniers. Enfin, à moins qu’ils ne soient adoptés simplement pour prendre en compte une hausse de l’indice des prix de détail (auquel cas ils seront soumis à la procédure de résolution négative), les règlements sont soumis à la procédure de résolution positive et ne peuvent être adoptés avant d’avoir été approuvés par résolution de chaque chambre du Parlement.

88

(89)  L’accord de gestion précise que «le secrétaire d’État peut effectuer des paiements en faveur du commissaire à l’information à partir des fonds versés par le Parlement au titre de l’annexe 12, point 9, de la DPA 2018. Après consultation du commissaire à l’information, le DCMS versera à ce dernier les montants correspondants (la subvention) pour les frais administratifs de l’ICO et l’exercice de ses fonctions ayant trait à un certain nombre de missions spécifiques, notamment la liberté de l’information» (accord de gestion 2018-2021, point 1.12, voir la note de bas de page 82).

89

(90)  Voir l’article 134 de la DPA 2018.

90

(91)  Article 142 de la DPA 2018 (sous réserve des limitations prévues à son article 143).

91

(92)  Article 146 de la DPA 2018 (sous réserve des limitations prévues à son article 147).

92

(93)  Articles 149 à 151 de la DPA 2018 (sous réserve des limitations prévues à son article 152).

93

(94)  Article 155 de la DPA 2018 et article 83 du RGPD britannique.

94

(95)  C’est ce qui ressort de l’article 155, point 1, de la DPA de 2018, lue conjointement avec l’article 149, points 2 et 5, de la DPA de 2018, et de l’article 156, point 4, de la DPA de 2018, qui limite la délivrance d’avis de sanctions uniquement à l’égard des commissaires du patrimoine de la Couronne et des contrôleurs pour la Maison royale conformément à l’article 209, point 4, de la DPA 2018.

95

(96)  Politique d’action réglementaire, disponible à l’adresse suivante: https://ico.org.uk/media/about-the-ico/documents/2259467/regulatory-action-policy.pdf

96

(97)  Y compris la nature et la gravité de la violation (compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et du niveau de dommage qu’elles ont subi), le fait que la violation a été commise délibérément ou par négligence, toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées, le degré de responsabilité du responsable du traitement ou du sous-traitant (compte tenu des mesures techniques et organisationnelles qu’ils ont mises en œuvre), toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant; le degré de coopération établi avec le commissaire, les catégories de données à caractère personnel concernées par le manquement, toute autre circonstance aggravante ou atténuante applicable aux circonstances de l’espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation.

97

(98)  Selon les informations fournies par les autorités britanniques, au cours de la période couverte par le rapport annuel 2019-2020 du commissaire à l’information, aucune violation n’a été constatée dans environ 25 % des cas; dans environ 29 % des cas, la personne concernée a été invitée à signaler le problème en premier lieu au responsable du traitement, à attendre sa réponse ou à maintenir le dialogue avec celui-ci; dans environ 17 % des cas, aucune violation n’a été constatée, mais le responsable du traitement a reçu des conseils; dans environ 25 % des cas, le commissaire à l’information a constaté une violation et a dispensé des conseils au responsable du traitement ou ce dernier a été contraint de prendre certaines mesures; dans environ 3 % des cas, il a été établi que la réclamation ne relevait pas du règlement (UE) 2016/679; et environ 1 % des cas ont été renvoyés devant une autre autorité de protection des données dans le cadre du comité européen de la protection des données.

98

(99)  L’ICO peut ouvrir ces enquêtes sur la base d’informations reçues de diverses sources, notamment de notifications de violation de données à caractère personnel, de renvois par d’autres autorités publiques du Royaume-Uni ou des autorités étrangères de protection des données, et de réclamations émanant de particuliers ou d’organisations de la société civile.

99

(100)  Rapport annuel et états financiers du commissaire à l’information pour la période 2019-2020 (voir la note de bas de page 81).

100

(101)  Selon son précédent rapport annuel couvrant la période 2018-2019, le commissaire à l’information a émis, au cours de la période considérée, 22 avis de sanction au titre de la DPA 1998 et a infligé des amendes pour un montant total de 3 010 610 GBP, dont deux amendes s’élevant à 500 000 GBP (le montant maximal autorisé par la DPA 1998). En 2018, le commissaire à l’information a notamment enquêté sur l’utilisation des données analytiques à des fins politiques à la suite des révélations liées à Cambridge Analytica. L’enquête a donné lieu à un rapport de police, à une série de recommandations, à une amende de 500 000 GBP à l’encontre de Facebook et à un avis d’application adressé à Aggregate IQ, un courtier de données canadien, ordonnant à la société de supprimer les données à caractère personnel qu’elle détenait concernant les citoyens et résidents du Royaume-Uni (voir le rapport annuel et les états financiers du commissaire à l’information pour la période 2018-2019, disponibles à l’adresse suivante: https://ico.org.uk/media/about-the-ico/documents/2615262/annual-report-201819.pdf).

101

(102)  Pour une synthèse des mesures répressives prises, voir le site internet de l’ICO à l’adresse suivante: https://ico.org.uk/action-weve-taken/enforcement/

102

(103)  Article 170 de la DPA 2018.

103

(104)  Article 171 de la DPA 2018.

104

(105)  Article 119 de la DPA 2018.

105

(106)  Articles 144 et 148 de la DPA 2018.

106

(107)  Article 117 de la DPA 2018.

107

(108)  Le panel est chargé de fournir des orientations et de dispenser des formations aux juges. Il traite également les réclamations des personnes concernées relatives au traitement des données à caractère personnel les concernant par les juridictions et les personnes agissant dans l’exercice de leur fonction juridictionnelle. Le panel vise à fournir les outils permettant de régler toute réclamation. Si l’auteur d’une réclamation n’est pas satisfait d’une décision du panel et qu’il apporte de nouvelles preuves, le panel peut revenir sur sa décision. Bien qu’il n’impose pas lui-même de sanctions financières, si le panel considère qu’il existe une violation suffisamment grave de la DPA 2018, il peut saisir le Bureau des enquêtes en matière de conduite judiciaire (JCIO) qui enquêtera sur la réclamation. Si la réclamation est jugée recevable, il appartient au Lord Chancelier et au président de la Haute Cour (ou à un haut magistrat mandaté pour agir en son nom) de décider de la mesure qu’il convient de prendre à l’encontre du titulaire d’une fonction de juge. Il peut s’agir, par ordre de sévérité, des mesures suivantes: un avis formel, un avertissement formel, un rappel à l’ordre et, en dernier lieu, une révocation. Si un particulier n’est pas satisfait de la façon dont le JCIO a enquêté sur sa réclamation, il peut déposer une autre réclamation devant le médiateur des nominations judiciaires et de la déontologie de la magistrature (https://www.gov.uk/government/organisations/judicial-appointments-and-conduct-ombudsman). Le médiateur a le pouvoir de demander au JCIO d’enquêter de nouveau sur une réclamation et peut proposer l’indemnisation de l’auteur d’une réclamation lorsqu’il considère que ce dernier a subi un préjudice du fait d’une mauvaise gestion.

108

(109)  La déclaration de protection des données du président de la Haute Cour et du Premier Président des tribunaux est disponible à l’adresse suivante: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

109

(110)  La déclaration de protection des données publiée par le président de la Haute Cour d’Irlande du Nord est disponible à l’adresse suivante: https://judiciaryni.uk/data-privacy.

110

(111)  La déclaration de protection des données pour les juridictions écossaises est disponible à l’adresse suivante: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

111

(112)  Le juge chargé de la surveillance des données fournit des orientations aux juges et enquête sur les violations et/ou les réclamations relatives au traitement de données à caractère personnel par les juridictions ou les personnes agissant dans l’exercice de leur fonction juridictionnelle.

112

(113)  Lorsque la réclamation ou la violation est considérée comme grave, celle-ci est soumise au responsable des plaintes judiciaires afin de faire l’objet d’une enquête plus poussée, conformément au code de bonnes pratiques relatif aux plaintes du président de la Haute Cour d’Irlande du Nord. L’issue de la réclamation peut notamment être: aucune suite, des conseils, une formation ou un mentorat, un avertissement informel, un avertissement formel, un avertissement définitif, une pratique restreinte ou un renvoi devant un tribunal prévu par la loi. Le code de bonnes pratiques relatif aux plaintes publié par le président de la Haute Cour d’Irlande du Nord est disponible à l’adresse suivante:https://judiciaryni.uk/sites/judiciary/files/media-files/14G.%20CODE%20OF%20PRACTICE%20Judicial%20~%2028%20Feb%2013%20%28Final%29%20updated%20with%20new%20comp..__1.pdf

113

(114)  Toute réclamation qui s’avère fondée est examinée par le juge chargé de la surveillance des données et est soumise au plus haut magistrat qui a le pouvoir d’émettre un avis, un avertissement formel ou un rappel à l’ordre s’il le juge nécessaire (des règles équivalentes existent pour les membres des tribunaux et sont disponibles à l’adresse suivante: https://www.judiciary.scot/docs/librariesprovider3/judiciarydocuments/complaints/complaintsaboutthejudiciaryscotlandrules2017_1d392ab6e14f6425aa0c7f48d062f5cc5.pdf?sfvrsn=5d3eb9a1_2)

114

(115)  Article 77 du RGPD britannique.

115

(116)  L’article 166 de la DPA 2018 mentionne spécifiquement les situations suivantes: a) le commissaire ne prend pas les mesures appropriées pour donner suite à la réclamation, b) le commissaire n’informe pas l’auteur de la réclamation de l’état d’avancement ou de l’issue de la réclamation avant l’expiration du délai de trois mois à compter de la date de réception de la réclamation par le commissaire, ou c) si l’examen de la réclamation par le commissaire n’est pas mené à terme dans ce délai, le commissaire n’en informe pas l’auteur de la réclamation dans un nouveau délai de trois mois.

116

(117)  Article 78, paragraphe 2, du RGPD britannique et article 166 de la DPA 2018.

117

(118)  Article 78, paragraphe 1, du RGPD britannique et article 162 de la DPA 2018.

118

(119)  Article 7, paragraphe 1, de la loi de 1998 sur les droits de l’homme. Conformément à l’article 7, paragraphe 7, une personne n’est victime d’un acte illégal que si elle se prétend victime au regard de l’article 34 de la convention européenne des droits de l’homme dans le cadre d’une procédure engagée devant la Cour européenne des droits de l’homme concernant cet acte.

119

(120)  Article 8, paragraphe 1, de la loi de 1998 sur les droits de l’homme.

120

(121)  Voir l’arrêt Schrems II, points 174 et 175, et la jurisprudence citée. Voir également, en ce qui concerne l’accès aux données par les autorités publiques des États membres, l’arrêt dans l'affaire C-623/17, Privacy International, ECLI:EU:C:2020:790, point 65; et les affaires jointes C-511/18, C-512/18 et C-520/18, La Quadrature du Net e.a., EU:C:2020:791, point 175.

121

(122)  Voir l’arrêt Schrems II, points 176 et 181, ainsi que la jurisprudence citée. Voir également, en ce qui concerne l’accès aux données par les autorités publiques des États membres, l’arrêt Privacy International, point 68; et l’arrêt La Quadrature du Net e.a., point 132.

122

(123)  Voir l’arrêt Schrems II, point 176. Voir également, en ce qui concerne l’accès aux données par les autorités publiques des États membres, l’arrêt Privacy International, point 68; et l’arrêt La Quadrature du Net e.a., point 132.

123

(124)  Voir l’arrêt Schrems II, point 179.

124

(125)  Voir l’arrêt Schrems II, points 181 et 182.

125

(126)  Voir les arrêts Schrems I, point 95, et Schrems II, point 194. À cet égard, la CJUE a notamment souligné que le respect de l’article 47 de la charte des droits fondamentaux, qui garantit le droit à un recours effectif devant un tribunal indépendant et impartial, «participe également du niveau de protection requis au sein de l’Union [et] dont la Commission doit constater le respect avant que celle-ci adopte une décision d’adéquation au titre de l’article 45, paragraphe 1, du RGPD» (arrêt Schrems II, point 186).

126

(127)  Article 6 de la loi de 1998 sur les droits de l’homme.

127

(128)  Cour européenne des droits de l’homme, Klass et autres c. Allemagne, requête no 5029/71, points 17 à 51.

128

o

(129)  Cour européenne des droits de l’homme, Kennedy c. Royaume-Uni, requête no 26839/05, (ci-après l’«arrêt Kennedy»), points 167 et 190.

129

o

(130)  Pour de plus amples informations sur la convention européenne des droits de l’homme et son intégration dans le droit britannique par la loi de 1998 sur les droits de l’homme, ainsi que sur la convention 108, voir le considérant 9 ci-dessus.

130

(131)  De la même façon, conformément à l’article 11 de la convention 108+, les limitations applicables à certains droits et obligations découlant de la convention à des fins de sécurité nationale ou de prévention, d’investigation et de répression des infractions pénales et d’exécution des sanctions pénales ne sont autorisées que lorsque ces limitations sont prévues par la loi, respectent l’essence des libertés et droits fondamentaux et constituent une mesure nécessaire et proportionnée dans une société démocratique. Les activités de traitement à des fins de sécurité nationale et de défense doivent également faire l’objet d’un contrôle et d’une supervision indépendants effectifs selon la législation nationale de chaque partie à la convention.

131

(132)  Article 31 de la DPA 2018.

132

(133)  Les autorités compétentes énumérées à l’annexe 7 n’incluent pas que les forces de police, mais également tous les départements ministériels du gouvernement du Royaume-Uni ainsi que d’autres autorités exerçant des fonctions d’enquête [par exemple le commissaire chargé des recettes et des douanes (Commissioner for Her Majesty’s Revenue and Customs), l’Autorité fiscale galloise (Welsh Revenue Authority), l’Autorité de la concurrence et des marchés (Competition and Markets Authority) ou le Cadastre (Her Majesty’s Land Register)], les agences chargées des poursuites, les autres agences de justice pénale et les autres titulaires ou organisations qui exercent des activités répressives. Parmi ces derniers, l’annexe 7 de la DPA 2018 cite les procureurs généraux du Royaume-Uni (Directors of Public Prosecutors), le directeur des poursuites pénales en Irlande du Nord (Director of Public Prosecutors for Northern Ireland) ou la commission de l’information (Information Commission).

133

(134)  Article 30, paragraphe 2, de la DPA 2018.

134

(135)  Article 35 de la DPA 2018.

135

(136)  Article 36 de la DPA 2018.

136

(137)  Article 37 de la DPA 2018.

137

(138)  Article 38 de la DPA 2018.

138

(139)  Article 39 de la DPA 2018.

139

(140)  Article 40 de la DPA 2018.

140

(141)  Article 44 de la DPA 2018.

141

(142)  Article 45 de la DPA 2018.

142

(143)  Articles 46 et 47 de la DPA 2018.

143

(144)  Articles 49 et 50 de la DPA 2018.

144

(145)  Articles 56 à 65 de la DPA 2018.

145

(146)  Article 66 de la DPA 2018.

146

(147)  Articles 67 et 68 de la DPA 2018.

147

(148)  Articles 69 à 71 de la DPA 2018.

148

(149)  Articles 67 et 68 de la DPA 2018.

149

(150)  Partie 3, chapitre 5, de la DPA 2018.

150

(151)  En vertu de l’article 86, paragraphe 6, de la DPA 2018, pour déterminer la loyauté et la transparence du traitement, il convient de prendre en considération la méthode d’obtention des données. En ce sens, l’exigence de loyauté et de transparence est remplie si les données ont été obtenues auprès d’une personne légalement habilitée à les fournir ou légalement tenue de les fournir.

151

(152)  Conformément à l’article 87 de la DPA 2018, les finalités du traitement doivent être déterminées, explicites et légitimes. Les données ne doivent pas être traitées d’une manière incompatible avec les finalités pour lesquelles elles sont collectées. En vertu de l’article 87, paragraphe 3, de la DPA 2018, tout autre traitement compatible de données à caractère personnel n’est permis que si le responsable du traitement est autorisé par la loi à traiter les données à cette fin et si le traitement est nécessaire et proportionné à cette autre finalité. Il y a lieu de considérer le traitement comme compatible s’il est effectué à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, et s’il fait l’objet de garanties appropriées (article 87, paragraphe 4, de la DPA 2018).

152

(153)  Les données à caractère personnel doivent être adéquates, pertinentes et limitées (article 88 de la DPA 2018).

153

(154)  Les données à caractère personnel doivent être exactes et à jour (article 89 de la DPA 2018).

154

(155)  Les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire (article 90 de la DPA 2018).

155

(156)  Le sixième principe en matière de protection des données est que les données à caractère personnel doivent être traitées d’une manière qui consiste notamment à prendre des mesures de sécurité appropriées au regard des risques que présente le traitement de ces données. Ces risques incluent (entre autres) la destruction, la perte, l’utilisation, la modification ou la divulgation de données à caractère personnel, ou l’accès à de telles données, de manière accidentelle ou illicite (article 91 de la DPA 2018). L’article 107 exige également a) que chaque responsable du traitement mette en œuvre des mesures de sécurité appropriées au regard des risques découlant du traitement des données à caractère personnel et 2) dans le cas d’un traitement automatisé, que chaque responsable du traitement et chaque sous-traitant mettent en œuvre des mesures de prévention ou d’atténuation fondées sur une évaluation du risque.

156

(157)  Article 86, paragraphe 2, point b), et annexe 10 de la DPA 2018.

157

(158)  Partie 4, chapitre 3, de la DPA 2018, notamment les droits: d’accès, de rectification et de suppression, de s’opposer au traitement et de ne pas faire l’objet d’une prise de décision automatisée, d’intervenir dans une prise de décision automatisée et d’être informée de la prise de décision. En outre, le responsable du traitement doit informer la personne concernée du traitement des données à caractère personnel la concernant. Comme expliqué dans les orientations de l’ICO sur le traitement par les services de renseignement, les personnes physiques peuvent exercer tous leurs droits (y compris une demande de rectification) en déposant une plainte auprès de l’ICO ou en saisissant les tribunaux (voir les orientations de l’ICO sur le traitement des services de renseignement, disponibles à l’adresse suivante: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-intelligence-services-processing/).

158

(159)  Article 103 de la DPA 2018.

159

(160)  Article 109 de la DPA 2018. Les transferts de données à caractère personnel à des organisations internationales ou vers des pays en dehors du Royaume-Uni sont possibles si le transfert constitue une mesure nécessaire et proportionnée mise en œuvre aux fins de l’exercice des pouvoirs réglementaires du responsable du traitement ou à d’autres fins prévues dans des articles spécifiques de la loi de 1989 sur les services de sécurité et de la loi de 1994 sur les services de renseignement.

160

(161)  Orientations de l’ICO, voir note de bas de page 158.

161

Article 30 et annexe 7 de la DPA 2018.

(162)  L’article 110, paragraphe 2, de la DPA 2018 énumère les dispositions auxquelles une exemption est autorisée. Ces dispositions incluent les principes relatifs à la protection des données (à l’exception du principe de licéité), les droits des personnes concernées, l’obligation d’informer le commissaire à l’information de toute violation de données, les pouvoirs d’inspection du commissaire à l’information conformément aux obligations internationales et certains de ses pouvoirs d’application des règles, les dispositions assimilant certaines violations de la protection des données à des infractions pénales et les dispositions relatives à des finalités particulières de traitement, comme les finalités journalistiques, universitaires ou artistiques.

162

(163)  Voir l’arrêt Baker/Secretary of State, note de bas de page 61.

163

(164)  Cadre explicatif relatif aux discussions sur l’adéquation du Royaume-Uni, section H: Cadre de la sécurité nationale, de la protection des données et des pouvoirs d’enquête, p. 15 et 16 (voir la note de bas de page 31). Voir également l’arrêt Baker/Secretary of State (note de bas de page 61) dans lequel le tribunal a annulé un certificat de sécurité nationale délivré par le ministre de l’intérieur et confirmant l’application de l’exception relative à la sécurité nationale, estimant qu’il n’y avait aucune raison d’appliquer une exception générale à l’obligation de répondre aux demandes d’accès et que l’autorisation d’une telle exception en toutes circonstances, sans une analyse au cas par cas, dépassait ce qui était nécessaire et proportionné à la protection de la sécurité nationale.

164

(165)  Voir le protocole d’accord entre l’ICO et la communauté du renseignement britannique (UKIC) en vertu duquel «lorsqu’il reçoit une réclamation d’une personne concernée, l’ICO voudra s’assurer que le problème a été correctement traité et, le cas échéant, que l’application d’une exemption a été effectuée de façon appropriée». Protocole d’accord entre le Bureau du commissaire à l’information et la communauté du renseignement britannique, point 16, disponible à l’adresse suivante: https://ico.org.uk/media/about-the-ico/mou/2617438/uk-intelligence-community-ico-mou.pdf

165

(166)  La DPA 2018 a supprimé la possibilité de délivrer des certificats au titre de l’article 28, paragraphe 2, de la DPA 1998. Toutefois, la possibilité de délivrer d’«anciens certificats» existe toujours, dans la mesure où il existe une action en justice historique en vertu de la loi de 1998 (voir paragraphe 17 de la partie 5 de l’annexe 20 de la DPA 2018). Cette possibilité, toutefois, semble très rare et ne s’appliquera que dans des cas limités, comme, par exemple, lorsque la personne concernée forme un recours contre l’utilisation de l’exception de la sécurité nationale ayant trait à un traitement effectué par une autorité nationale au titre de la loi de 1998. Il y a lieu de noter que dans ces cas, l’article 28 de la DPA 1998 s’appliquera dans son ensemble, y compris par conséquent la possibilité pour la personne concernée de contester le certificat devant les tribunaux.

166

(167)  Orientations du gouvernement britannique sur les certificats de sécurité nationale au titre de la loi de 2018 sur la protection des données, disponibles à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf. D’après les explications fournies par les autorités britanniques, même si un certificat constitue une preuve déterminante que l’exemption est applicable en ce qui concerne les données ou le traitement décrit dans le certificat, il ne supprime pas l’obligation, pour le responsable du traitement, d’examiner au cas par cas s’il est nécessaire d’appliquer l’exemption.

167

(168)  Conformément à l’article 130 de la DPA 2018, l’ICO peut décider de ne pas publier tout ou partie du texte du certificat s’il va à l’encontre de l’intérêt de la sécurité nationale ou s’il est contraire à l’intérêt public ou encore est susceptible de compromettre la sécurité de quiconque. Dans ces cas, l’ICO rendra toutefois public le fait que le certificat a été publié.

168

(169)  Orientations du gouvernement britannique sur les certificats de sécurité nationale, point 15, voir la note de bas de page 167.

169

(170)  Orientations du gouvernement britannique sur les certificats de sécurité nationale, point 5, voir la note de bas de page 167.

170

(171)  Voir la note de bas de page 164.

171

(172)  En vertu de l’article 102 de la DPA 2018, le responsable du traitement doit être en mesure de démontrer qu’il s’est conformé à la DPA 2018. Cela signifie qu’un service de renseignement serait tenu de démontrer à l’ICO que, au moment de recourir à l’exemption, il a examiné les circonstances particulières du cas d’espèce. L’ICO a également publié un registre des certificats de sécurité nationale, disponible à l’adresse suivante: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/

172

(173)  Le Tribunal supérieur est la juridiction compétente pour connaître des recours contre les décisions rendues par les tribunaux administratifs inférieurs et est expressément compétent en ce qui concerne les recours directs contre les décisions de certains organismes publics.

173

(174)  Article 111, paragraphe 3, de la DPA 2018.

174

(175)  Article 111, paragraphe 5, de la DPA 2018.

175

(176)  Dans l’arrêt Baker/Secretary of State (voir la note de bas de page 61), le tribunal de l’information a annulé un certificat de sécurité nationale délivré par le ministre de l’intérieur, estimant qu’il n’y avait aucune raison d’appliquer une exception générale à l’obligation de répondre aux demandes d’accès et que l’autorisation d’une telle exception en toutes circonstances, sans une analyse au cas par cas, dépassait ce qui était nécessaire et proportionné à la protection de la sécurité nationale.

176

Baker/Secretary of State

(177)  Orientations du gouvernement britannique sur les certificats de sécurité nationale, point 25, voir la note de bas de page 167.

177

(178)  Il s’agit notamment i) des principes relatifs à la protection des données visés à la partie 4, à l’exception de l’exigence relative à la licéité du traitement prévue par le premier principe et du fait que le traitement doit remplir l’une des conditions pertinentes énoncées aux annexes 9 et 10; ii) des droits des personnes concernées; et iii) des obligations de notification des violations à l’ICO.

178

(179)  La partie 4 de la DPA 2018 prévoit le cadre juridique applicable à tout type de traitement de données à caractère personnel réalisé par des agences de renseignement (et non seulement dans l’exercice de leurs missions de sécurité nationale). C’est pourquoi la partie 4 s’applique aussi lorsque des agences de renseignement traitent, par exemple, des données à des fins de gestion des ressources humaines, dans le cadre d’un litige ou dans le contexte de marchés publics. Les limitations énumérées à l’annexe 11 visent principalement à s’appliquer à ces autres contextes. Par exemple, dans le contexte d’un litige avec un salarié, la limitation à des fins de «procédures judiciaires» peut être invoquée, ou dans le contexte des marchés publics, la limitation à des fins de «négociation» peut être invoquée, etc. C'est ce qui ressort des orientations de l’ICO sur le traitement par les services de renseignement, qui mentionnent la négociation d’un règlement entre une agence de renseignement et un ancien salarié faisant valoir une créance découlant d'une relation d'emploi comme un exemple de l’application des limitations prévues à l’annexe 11 (voir la note de bas de page 161). Il y a également lieu de noter que les mêmes limitations sont disponibles pour d’autres autorités publiques, conformément à l’annexe 2 de la partie 2 de la DPA 2018.

179

(180)  Selon le cadre explicatif du Royaume-Uni, les exceptions «fondées sur une catégorie» sont les suivantes: i) les informations concernant l’attribution par la Couronne d’une distinction honorifique ou d’un titre de noblesse; ii) le secret professionnel; iii) les références confidentielles en matière d’emploi, de formation ou d’éducation; et iv) les copies et les notes d’examen. Les exceptions «fondées sur un préjudice» concernent les questions suivantes: i) la prévention ou la détection des infractions pénales, l’arrestation ou la poursuite des criminels; ii) l’immunité parlementaire; iii) les procédures judiciaires; iv) l’efficacité au combat des forces armées de la Couronne; v) le bien-être économique du Royaume-Uni; vi) les négociations avec la personne concernée; vii) les finalités de recherche scientifique ou historique, ou les finalités statistiques; viii) les finalités archivistiques dans l’intérêt public. Cadre explicatif relatif aux discussions sur l’adéquation du Royaume-Uni, section H: Sécurité nationale, p. 13, voir la note de bas de page 31.

180

(181)  L’utilisation du consentement ne semble pas pertinente dans un scénario d’adéquation dans la mesure où, dans une situation de transfert, les données n’auront pas été directement collectées auprès d’une personne concernée de l’Union par une autorité répressive britannique sur la base du consentement.

181

(182)  S’agissant de la base juridique applicable, voir les articles 8 et suivants de la loi de 1984 sur la police et les preuves criminelles (pour l’Angleterre et le pays de Galles) (PACE 1984), les articles 10 et suivants de l’ordonnance de 1989 sur la police et les preuves criminelles (pour l’Irlande du Nord). Pour l’Écosse, le mandat est obtenu en vertu de la common law [voir l’article 46 de la loi écossaise de 2016 sur la justice pénale) et l’article 23B de la loi écossaise de 1995 sur le droit pénal (consolidation)]. S’agissant des mandats de perquisition délivrés après l’arrestation, la base juridique est constituée par l’article 18 de la PACE 1984 (pour l’Angleterre et le pays de Galles) et les articles 20 et suivants de l’ordonnance de 1989 sur la police et les preuves criminelles (pour l’Irlande du Nord). Pour l’Écosse, le mandat est obtenu en vertu de la common law (voir l’article 46 de la loi écossaise de 2016 sur la justice pénale). Les autorités britanniques ont précisé que les mandats de perquisition étaient délivrés par un tribunal, à la demande de l’enquêteur. Ils autorisent un enquêteur à pénétrer dans des locaux afin de rechercher des personnes ou des éléments pertinents pour son enquête; l’exécution du mandat nécessitera souvent l’assistance d’un officier de police judiciaire.

182

(183)  Lorsque l’enquête porte sur le blanchiment de capitaux (y compris dans le cadre de procédures de confiscation et de récupération), la base juridique pertinente pour les demandes d’injonction de production est constituée par les articles 345 et suivants de la loi de 2002 sur les produits du crime (pour l’Angleterre, le pays de Galles et l’Irlande du Nord) et les articles 380 et suivants de la loi de 2002 sur les produits du crime pour l’Écosse. Lorsque l’enquête porte sur d’autres questions que le blanchiment de capitaux, une demande d’injonction de production peut être introduite au titre de l’article 9 et de l’annexe 1 de la PACE 1984 pour l’Angleterre et le pays de Galles, et des articles 10 et suivants de l’ordonnance d’Irlande du Nord de 1989 sur la police et les preuves criminelles pour l’Irlande du Nord. Pour l’Écosse, l’injonction est obtenue en vertu de la common law [voir l’article 46 de la loi écossaise de 2016 sur la justice pénale et l’article 23B de la loi écossaise sur le droit pénal (consolidation)]. Les autorités britanniques ont précisé qu’une injonction de production obligeait la personne désignée dans celle-ci à produire les éléments qui sont en sa possession ou sous son contrôle, ou à donner accès à ceux-ci (voir l’annexe 1, point 4, de la PACE 1984).

183

common law

(184)  Par exemple, les pouvoirs de saisir et de conserver tout élément pour lequel une perquisition a été autorisée sont visés aux articles 8 et 18 de la PACE 1984.

184

(185)  Par exemple, les articles 8 et 18 de la PACE réglementent respectivement le pouvoir d’un juge de paix d’autoriser un mandat et le pouvoir d’un agent de police de perquisitionner une propriété. Dans le premier cas (article 8), avant de délivrer un mandat, un juge de paix doit en premier lieu s’assurer qu’il existe des motifs raisonnables de croire: i) qu’une infraction majeure a été commise; ii) que les locaux abritent des éléments susceptibles d’être importants (individuellement ou en combinaison avec d’autres éléments) aux fins de l’enquête portant sur l’infraction; iii) que ces éléments sont susceptibles de constituer des preuves pertinentes; iv) qu’il ne s’agit pas d’éléments couverts par le secret professionnel, d’éléments exclus ou d’éléments relevant d’une procédure spéciale; et v) qu’il ne serait pas possible de pénétrer dans les lieux sans utiliser un mandat. Dans le deuxième cas, l’article 18 autorise un agent de police à effectuer une perquisition dans les locaux d’une personne arrêtée pour une infraction majeure afin de rechercher des éléments autres que des éléments couverts par le secret professionnel, s’il a des motifs raisonnables de suspecter que les locaux abritent des éléments de preuve relatifs à cette infraction ou à une autre infraction majeure, similaire ou connexe. Une telle perquisition doit se limiter à la recherche de ces éléments et doit être autorisée, par écrit, par un agent de police de grade au moins égal à celui de brigadier-chef, à moins que cela ne soit nécessaire aux fins de l’enquête portant sur l’infraction. Auquel cas, un agent de grade au moins égal à celui de brigadier-chef doit être informé dès que possible après que la perquisition a été effectuée. Les motifs de la perquisition et la nature des preuves recherchées doivent être consignés par écrit. De plus, les articles 15 et 16 de la PACE 1984 prévoient des garanties légales qui doivent être respectées en cas de demande d’un mandat de perquisition. L’article 15 énonce les exigences applicables à l’obtention d’un mandat de perquisition (notamment le contenu de la demande introduite par l’officier et le fait que le mandat doit préciser, entre autres choses, la disposition législative en vertu de laquelle il est délivré et indiquer, dans la mesure du possible, les éléments et les personnes à rechercher, ainsi que les locaux à perquisitionner). L’article 16 régit la façon dont une perquisition doit se dérouler dans le cadre d’un mandat (par exemple: l’article 16, paragraphe 5, prévoit que l’agent chargé d’exécuter le mandat remet à l’occupant une copie du mandat; l’article 16, paragraphe 11, dispose que le mandat, une fois exécuté, doit être conservé pour une durée de 12 mois; l’article 16, paragraphe 12, confère à l’occupant le droit d’examiner le mandat au cours de cette période s’il le souhaite). Ces articles contribuent à assurer le respect de l’article 8 de la CEDH [voir par exemple l’arrêt du président de la Haute Cour Kent Pharmaceuticals/Director of the Serious Fraud Office [2002] EWHC 3023 (QB), point 30]. La perquisition peut être déclarée illégale en cas de non-respect de ces garanties [c’est le cas, par exemple, dans les arrêts R (Brook)/Preston Crown Court [2018] EWHC 2024 (Admin), [2018] ACD 95; R (Superior Import/Export Ltd)/Revenue and Customs Commissioners [2017] EWHC 3172 (Admin), [2018] Lloyd’s Rep FC 115; et R (F)/Blackfriars Crown Court [2014] EWHC 1541 (Admin)]. Les articles 15 et 16 de la PACE 1984 sont complétés par son code B, un code de bonnes pratiques qui régit l’exercice des pouvoirs policiers aux fins de la perquisition de locaux.

185

(186)  Par exemple, lors de la délivrance d’une injonction de production au titre de la loi de 2002 sur les produits du crime, outre les motifs raisonnables nécessaires pour remplir les conditions énoncées à l’article 346, paragraphe 2, de la loi sur les produits du crime, il doit exister des motifs raisonnables de suspecter que les éléments recherchés sont en la possession de la personne ou sous son contrôle et qu’ils sont susceptibles d’être importants. Par ailleurs, pour qu’une injonction de production soit délivrée, il doit exister des motifs raisonnables de penser qu’il est dans l’intérêt public de produire les éléments ou de donner accès à ceux-ci, au vu a) de l’avantage pour l’enquête susceptible de découler de l’obtention de ces éléments; et b) des circonstances dans lesquelles, selon la demande, la personne semble être en possession ou avoir le contrôle des éléments contenant ses informations. De même, un tribunal étudiant une demande d’injonction de production introduite au titre de l’annexe 1 de la PACE 1984 doit s’assurer du respect de certaines conditions. L’annexe 1 de la PACE décrit notamment deux ensembles alternatifs distincts de conditions, dont l’un doit être rempli avant qu’un juge puisse délivrer une injonction de production. Selon les exigences du premier ensemble, le juge doit avoir des motifs raisonnables de penser i) qu’une infraction majeure a été commise; ii) que les éléments recherchés dans les locaux consistent en, ou incluent, des éléments relevant d’une procédure spéciale, mais non exclus; iii) qu’ils sont susceptibles d’être importants, individuellement ou en combinaison avec d’autres éléments, aux fins de l’enquête; iv) et qu’ils sont susceptibles de constituer des preuves pertinentes; v) que d’autres méthodes pour obtenir ces éléments ont été tentées ou n’ont pas été tentées car elles étaient vouées à l’échec; et vi) que, compte tenu des avantages pour l’enquête et des circonstances dans lesquelles la personne est en possession des éléments, il est dans l’intérêt public de produire ces éléments ou de donner accès à ceux-ci. Les exigences du deuxième ensemble de conditions sont les suivantes: i) les locaux abritent des éléments qui consistent en des éléments relevant d’une procédure spéciale ou exclus; ii) si ce n’était l’interdiction frappant les perquisitions effectuées sur la base de la législation adoptée avant la PACE pour rechercher des éléments exclus, relevant d’une procédure spéciale ou couverts par le secret professionnel, un mandat de perquisition pour ces éléments aurait pu être délivré; et iii) la délivrance d’un tel mandat aurait été appropriée.

186

(187)  Le contrôle juridictionnel désigne la procédure juridique par laquelle les décisions d’un organisme public peuvent être contestées devant la Haute Cour. La Cour «examine» la décision contestée et détermine si l’argument selon lequel la décision est juridiquement erronée au regard des concepts/principes de droit public est recevable ou non. Les motifs de base d’un contrôle juridictionnel sont l’illégalité, l’irrationalité, un vice de forme, des attentes légitimes et les droits de l’homme. Après qu’un contrôle juridictionnel a confirmé le caractère erroné d’une décision, une juridiction est en mesure de prononcer différentes mesures correctrices; il s’agit le plus souvent d’une ordonnance d’annulation (qui annule la décision initiale, à savoir la décision de délivrer un mandat de perquisition) et, dans certains cas, ces mesures peuvent également inclure l’octroi d’un dédommagement financier. De plus amples informations sur le contrôle juridictionnel au Royaume-Uni figurent dans la publication du service juridique du gouvernement intitulée «Judge Over Your Shoulder – a guide to good decision-making», disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/746170/JOYS-OCT-2018.pdf

187

(188)  Article 36, paragraphe 1, de la DPA 2018.

188

(189)  Article 37 de la DPA 2018.

189

(190)  Conformément à l’article 263, paragraphe 1, de l’IPA 2016, on entend par «infraction grave» une infraction pour laquelle un adulte qui n’a fait l’objet d’aucune condamnation antérieure pourrait raisonnablement s’attendre à être condamné à une peine d’emprisonnement d’une durée égale ou supérieure à trois ans, ou qui implique l’usage de la violence, qui entraîne un gain financier important ou qui est commise par un grand nombre de personnes. En outre, aux fins de l’acquisition des données de communication au titre de la partie 4 de l’IPA 2016, conformément à l’article 87, paragraphe 10B, on entend par «infraction grave» une infraction passible d’une peine d’emprisonnement d’une durée égale ou supérieure à douze mois ou une infraction commise par une personne qui n’est pas une personne physique ou qui comporte, en tant que composante à part entière, l’envoi d’une communication ou une violation de la vie privée d’une personne.

190

(191)  Les autorités répressives suivantes peuvent notamment demander un mandat d’interception ciblée: le directeur général de l’Agence nationale de lutte contre la criminalité, le commissaire de la police métropolitaine, le préfet de police du service de police d’Irlande du Nord, le préfet de police du service de police d’Écosse, le commissaire de l’administration fiscale et douanière du Royaume-Uni, le chef du renseignement de la défense et une personne qui est une autorité compétente d’un pays ou d’un territoire situé en dehors du Royaume-Uni aux fins d’un instrument d’assistance mutuelle de l’Union ou d’un accord international d’entraide judiciaire (article 18, paragraphe 1, de l’IPA 2016).

191

(192)  Voir l’article 4 de l’IPA 2016.

192

(193)  Voir l’article 261, paragraphe 5, de l’IPA 2016 et le code de bonnes pratiques relatif à l’acquisition de masse de données de communication, disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf, point 2.9.

193

(194)  Code de bonnes pratiques relatif à l’interférence avec des équipements, disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715479/Equipment_Interference_Code_of_Practice.pdf, point 2.2.

194

(195)  Un mandat d’entraide judiciaire autorise une autorité britannique à prêter assistance à une autorité située en dehors du Royaume-Uni aux fins de l’interception de communications et de la divulgation des données interceptées à cette autorité, conformément à un instrument international d’entraide judiciaire (article 15, paragraphe 4, de l’IPA 2016).

195

(196)  La loi de 2016 sur les pouvoirs d’enquête (voir: https://www.legislation.gov.uk/ukpga/2016/25/contents/enacted) a remplacé différentes lois relatives à l’interception de communications, à l’interférence avec des équipements et à l’acquisition de données de communication, en particulier la partie I de la RIPA 2000 qui a institué le précédent cadre législatif général relatif à l’utilisation des pouvoirs d’enquête par les autorités répressives et les agences de sécurité nationale.

196

(197)  Article 138, paragraphe 1, article 158, paragraphe 1, article 178, paragraphe 1 et article 199, paragraphe 1, de l’IPA 2016.

197

(198)  La partie 2, chapitre 2, de l’IPA 2016 prévoit un nombre limité de cas dans lesquels les interceptions peuvent être effectuées sans mandat. Il s’agit notamment: des interceptions moyennant le consentement de l’expéditeur ou du destinataire, des interceptions à des fins administratives ou d’application des règles, des interceptions ayant lieu dans certains établissements (prisons, hôpitaux psychiatriques et centres de détention de l’immigration), ainsi que des interceptions réalisées conformément à un accord international en vigueur.

198

(199)  Dans la plupart des cas, le secrétaire d’État est l’autorité qui délivre les mandats au titre de l’IPA 2016, tandis que les ministres écossais sont habilités à délivrer des mandats d’interception ciblée, d’entraide judiciaire et d’interférence ciblée avec des équipements lorsque les personnes ou les locaux visés par l’interception et les équipements concernés par l’interférence sont situés en Écosse (voir les articles 22 et 103 de l’IPA 2016). En cas d’interférence ciblée avec des équipements, le chef des forces de police (tel qu’il est décrit à l’annexe 6, parties 1 et 2, de l’IPA 2016) peut délivrer le mandat dans les conditions prévues à l’article 106 de l’IPA 2016.

199

(200)  Les commissaires judiciaires assistent le commissaire aux pouvoirs d’enquête (Investigatory Powers Commissioner, IPC), un organe indépendant qui exerce des fonctions de surveillance de l’utilisation des pouvoirs d’enquête par les services de renseignement (pour de plus amples informations, voir les considérants 162 et suivants).

200

(201)  Voir, en particulier, les articles 19 et 23 de l’IPA 2016.

201

(202)  Article 36, paragraphe 3, de la DPA 2018.

202

(203)  Article 56 de la loi de 2017 sur l’économique numérique, disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2017/30/section/56

203

(204)  Article 48 de la loi de 2017 sur l’économie numérique.

204

(205)  Article 7 de la loi de 2013 sur la criminalité et les juridictions, disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2013/22/section/7

205

(206)  Article 68 de la loi de 2007 sur les infractions graves, disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2007/27/contents

206

(207)  Pratique professionnelle autorisée concernant le partage d’informations, disponible à l’adresse suivante: https://www.app.college.police.uk/app-content/information-management/sharing-police-information

207

(208)  Voir à titre d’exemple l’affaire M, R/the Chief Constable of Sussex Police [2019] EWHC 975 (Admin) dans laquelle il a été demandé à la Haute Cour d’examiner le partage de données entre la police et le BCRP (Business Crime Reduction Partnership), une organisation habilitée à gérer les régimes des avis de bannissement interdisant à des personnes de pénétrer dans les locaux commerciaux de ses membres. La Cour a examiné le partage de données, qui a eu lieu sur la base d’un accord visant à la protection du public et à la prévention de la criminalité, et a finalement conclu que la plupart des aspects du partage de données étaient licites, sauf en ce qui concerne certaines informations sensibles échangées entre la police et le BCRP. Voir également à titre d’exemple l’affaire Cooper/NCA [2019] EWCA Civ 16 dans laquelle la Cour d’appel a confirmé la licéité du partage de données entre la police et l’agence de lutte contre la grande criminalité organisée (SOCA), une autorité répressive qui fait actuellement partie de la NCA.

208

(209)  Article 36, paragraphe 4, de la DPA 2018.

209

(210)  Loi de 2008 sur la lutte contre le terrorisme, disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2008/28/section/19

210

(211)  Loi de 1994 sur les services de renseignement, disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/1994/13/contents

211

(212)  Loi de 1989 sur les services de sécurité, disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/1989/5/contents

212

(213)  L’article 2, paragraphe 2, de la loi de 1994 sur les services de renseignement dispose que «[l]e directeur du service de renseignement est responsable de l’efficacité de ce service et a le devoir de s’assurer — a) que des dispositions sont en vigueur afin de garantir qu’aucune information n’est obtenue par le service de renseignement, sauf si cela est nécessaire aux fins de l’exercice approprié de ses fonctions, et qu’aucune information n’est divulguée par celui-ci, sauf si cela est nécessaire — i) à cette fin; ii) aux fins de la sécurité nationale; iii) aux fins de la prévention ou de la détection des infractions graves; ou iv) aux fins de toute procédure pénale; et b) que le service de renseignement ne prend aucune mesure afin de servir les intérêts d’un parti politique du Royaume-Uni», tandis que l’article 2, paragraphe 2, de la loi de 1989 sur les services de sécurité prévoit que «[l]e directeur général est responsable de l’efficacité du service et il a le devoir de s’assurer a) que des dispositions sont en vigueur afin de garantir qu’aucune information n’est obtenue par le service, sauf si cela est nécessaire aux fins de l’exercice approprié de ses fonctions, et qu’aucune information n’est divulguée par celui-ci, sauf si cela est nécessaire à cette fin ou aux fins de la prévention ou de la détection] des infractions graves ou aux fins de toute procédure pénale]; b) que le service ne prend aucune mesure afin de servir les intérêts d’un parti politique; et c) que des dispositions ont été convenues avec le directeur général de l’agence nationale de lutte contre la criminalité afin de coordonner les activités du service, conformément à l’article 1er, paragraphe 4, de la présente loi, avec les activités des forces de police, de l’agence nationale de lutte contre la criminalité et des autres services répressifs».

213

er

(214)  Voir la partie 3, chapitre 5, de la DPA 2018.

214

(215)  Article 76 de la DPA 2018.

215

(216)  Articles 54 et 130 de l’IPA 2016. Les autorités émettrices doivent examiner la nécessité d’imposer des garanties spécifiques concernant les éléments remis à des autorités étrangères, afin de s’assurer que les données font l’objet de garanties en matière de conservation, de destruction et de divulgation semblables à celles prévues aux articles 53 et 129 de l’IPA 2016.

216

(217)  Accord entre le gouvernement du Royaume-Uni de Grande-Bretagne et d’Irlande du Nord et le gouvernement des États-Unis d’Amérique relatif à l’accès aux données électroniques à des fins de lutte contre la grande criminalité, disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/836969/CS_USA_6.2019_Agreement_between_the_United_Kingdom_and_the_USA_on_Access_to_Electronic_Data_for_the_Purpose_of_Countering_Serious_Crime.pdf

217

(218)  Il s’agit d’un premier accord conclu en vertu de la loi américaine clarifiant l’utilisation légale des données à l’étranger (loi CLOUD). La loi CLOUD est une loi fédérale américaine adoptée le 23 mars 2018 qui précise, en modifiant la loi de 1986 sur la conservation des communications, que les fournisseurs de services américains sont tenus de se conformer aux injonctions de divulgation de données relatives ou non relatives au contenu émises par les autorités américaines, quel que soit le lieu de conservation de ces données. La loi CLOUD permet également la conclusion d’accords exécutifs avec des gouvernements étrangers, sur la base desquels les fournisseurs de services américains seraient en mesure de transmettre des données relatives au contenu directement à ces gouvernements étrangers (le texte de la loi CLOUD est disponible à l’adresse suivante: https://www.congress.gov/115/bills/s2383/BILLS-115s2383is.pdf).

218

(219)  Article 1er, paragraphe 14, de l’accord.

219

er

(220)  Article 5, paragraphe 2, de l’accord.

220

(221)  Article 5, paragraphe 1, de l’accord.

221

(222)  Article 4, paragraphe 5, de l’accord. Un autre critère plus strict s’applique en ce qui concerne l’interception de communications en temps réel: les injonctions doivent être émises pour une durée limitée, qui ne doit pas excéder la durée raisonnablement nécessaire à la réalisation des finalités de l’injonction, et uniquement si les mêmes informations ne pouvaient être raisonnablement obtenues au moyen d’une méthode moins intrusive (article 5, paragraphe 3, de l’accord).

222

(223)  Accord entre les États-Unis d’Amérique et l’Union européenne sur la protection des informations à caractère personnel traitées à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière (JO L 336 du 10.12.2016, p. 3), disponible à l’adresse suivante: https://eur-lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX:22016A1210(01)&from=FR

223

(224)  Article 9, paragraphe 1, de l’accord.

224

(225)  Article 9, paragraphe 1, de l’accord.

225

(226)  Article 116 de la DPA 2018.

226

(227)  Voir l’IPA 2016 et notamment son chapitre 1, partie 8.

227

(228)  Annexe 13, point 2, de la DPA 2018.

228

(229)  Ordonnant au responsable du traitement et au sous-traitant (et, dans certains cas, à toute autre personne) de communiquer les informations nécessaires (article 142 de la DPA 2018).

229

(230)  Permettant la réalisation d’enquêtes et d’audits, qui peuvent obliger le responsable du traitement ou le sous-traitant à autoriser le commissaire à pénétrer dans des locaux spécifiques, à inspecter ou à examiner des documents ou des équipements et à interroger les personnes chargées du traitement des données à caractère personnel pour le compte du responsable du traitement (article 146 de la DPA 2018).

230

(231)  Permettant l’exercice du pouvoir d’adopter des mesures correctrices, qui obligent les responsables du traitement/les sous-traitants à prendre ou à s’abstenir de prendre certaines mesures (article 149 de la DPA 2018).

231

(232)  Article 154 de la DPA 2018.

232

(233)  Article 155 de la DPA 2018.

233

(234)  Politique d’action réglementaire, voir la note de bas de page 96.

234

(235)  Rapport annuel et états financiers du commissaire à l’information pour la période 2018-2019, voir la note de bas de page 101.

235

(236)  Rapport annuel et états financiers du commissaire à l’information pour la période 2019-2020, voir la note de bas de page 82.

236

(237)  Une base de données dans laquelle étaient enregistrés des renseignements concernant des membres présumés de gangs et des victimes d’actes criminels liés aux gangs.

237

(238)  Voir la déclaration de l’ICO, disponible à l’adresse suivante: https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/07/oaic-and-ico-open-joint-investigation-into-clearview-ai-inc/.

238

(239)  Article 170 de la DPA 2018.

239

(240)  Article 171 de la DPA 2018.

240

(241)  Article 119, paragraphe 6, de la DPA 2018.

241

(242)  Au cours de l’exercice financier couvrant la période allant du 1er avril 2019 au 31 mars 2020, les enquêtes de l’ICO ont donné lieu à des avertissements dans quatre cas et à des poursuites dans huit cas. Les poursuites ont été engagées au titre de l’article 55 de la DPA 1998, de l’article 77 de la loi de 2000 sur la liberté de l’information et de l’article 170 de la DPA 2018. Dans 75 % des cas, les mis en cause ont plaidé coupable, ce qui a évité de longs procès et les coûts correspondants. (Rapport annuel et états financiers du commissaire à l’information pour la période 2019-2020, voir la note de bas de page 87, page 40.)

242

er

(243)  Le poste de commissaire au matériel biométrique a été créé par la loi de 2012 sur la protection des libertés (voir: https://www.legislation.gov.uk/ukpga/2012/9/contents). Les fonctions de ce commissaire sont, entre autres, de décider si la police peut ou non conserver les dossiers de profils ADN et les empreintes digitales des personnes qui ont été arrêtées mais ne sont pas accusées d’avoir commis une infraction désignée (article 63G de la loi PACE de 1984). En outre, le commissaire à la biométrie est investi d’une responsabilité générale consistant à surveiller la conservation et l’utilisation de l’ADN et des empreintes digitales, ainsi que la conservation pour des motifs de sécurité nationale (article 20, paragraphe 2, de la loi PoFA de 2012). Le commissaire à la biométrie est nommé en vertu du code de gouvernance sur les nominations publiques (disponible à l’adresse suivante: https://www.gov.uk/government/publications/governance-code-for-public-appointments ) ses conditions d'engagement précisent clairement qu’il ne peut être démis de ses fonctions que par le ministre de l’intérieur et dans des circonstances strictement définies, dont le manquement à ses obligations professionnelles pour une durée de trois mois, une condamnation pour infraction pénale ou encore le non-respect de ses conditions d'engagement.

243

(244)  Le poste de commissaire aux caméras de surveillance a été créé par la loi de 2012 sur la protection des libertés. Le commissaire est chargé d’encourager le respect du code de bonnes pratiques relatif aux caméras de surveillance; d’examiner le fonctionnement de ce code et de fournir des conseils aux ministres concernant la nécessité de modifier ce code. Le commissaire est nommé en vertu des mêmes règles que le commissaire à la biométrie et jouit de pouvoirs, de ressources et d’une protection contre la révocation similaires.

244

(245)  Voir https://committees.parliament.uk/committee/83/home-affairs-committee/news/100537/work-of-the-national-crime-agency-scrutinised/

245

(246)  Les commissions spéciales, notamment la commission spéciale des affaires intérieures, sont soumises au règlement intérieur de la Chambre des communes. Le règlement intérieur correspond aux règles fixées par la Chambre des communes qui régissent la manière dont le parlement fonctionne. Les commissions spéciales sont dotées de larges compétences, d’après l’article 152, paragraphe 1, du règlement intérieur, qui dispose que «[l]es commissions spéciales sont nommées pour examiner les dépenses, la gestion et la politique des principaux ministères, comme énoncé au paragraphe 2 de cet article, et des organismes publics qui s’y rattachent». Cela permet à la commission spéciale des affaires intérieures d’examiner toute politique relevant du ministère de l’intérieur, et notamment les politiques relatives aux pouvoirs d’enquête (et la législation correspondante). De plus, l’article 152, paragraphe 4, du règlement intérieur indique clairement que les commissions disposent de divers pouvoirs, dont celui de demander à des personnes de leur fournir des preuves ou des documents sur un sujet particulier et de publier des rapports. Les enquêtes en cours et passées de la commission sont disponibles à l’adresse suivante: https://committees.parliament.uk/committee/83/home-affairs-committee/

246

(247)  Les pouvoirs de la commission spéciale des affaires intérieures en Angleterre et au pays de Galles sont définis dans le règlement intérieur de la Chambre des communes, disponible à l’adresse suivante: https://www.parliament.uk/business/publications/commons/standing-orders-public11/

247

(248)  Consultable à l’adresse suivante: https://publications.parliament.uk/pa/cm201415/cmselect/cmhaff/711/71103.htm

248

(249)  Consultable à l’adresse suivante: https://committees.parliament.uk/committee/83/home-affairs-committee

249

(250)  Le règlement de la sous-commission de la justice sur la police en Écosse est disponible à l’adresse suivante: https://www.parliament.scot/parliamentarybusiness/CurrentCommittees/justice-committee.aspx et le règlement de la commission pour la justice en Irlande du Nord est disponible à l’adresse suivante: http://www.niassembly.gov.uk/assembly-business/standing-orders/]

250

(251)  Le dernier rapport annuel de l’ICO propose une ventilation de la nature des réclamations reçues et clôturées. Plus particulièrement, le nombre de réclamations reçues concernant «les opérations policières et le casier judiciaire» représentaient 6 % du nombre total de réclamations reçues (avec une hausse de 1 % par rapport à l’exercice financier précédent). Le rapport annuel montre également que les réclamations concernant des demandes d’accès introduites par les personnes concernées étaient les plus nombreuses (46 % du nombre total de réclamations, avec une hausse de 8 % par rapport à l’exercice financier précédent) (rapport annuel de l’ICO pour la période 2019-2020, page 55; voir la note de bas de page 88).

251

(252)  L’article 166 de la DPA 2018 mentionne spécifiquement les situations suivantes: a) le commissaire ne prend pas les mesures appropriées pour donner suite à la réclamation, b) le commissaire n’informe pas l’auteur de la réclamation de l’état d’avancement ou de l’issue de la réclamation avant l’expiration du délai de trois mois à compter de la date de réception de la réclamation par le commissaire, ou c) si l’examen de la réclamation par le commissaire n’est pas mené à terme dans ce délai, le commissaire n’en informe pas l’auteur de la réclamation dans un nouveau délai de trois mois.

252

(253)  Le tribunal de première instance est le tribunal compétent pour juger des recours formés contre les décisions prises par les organismes de réglementation nationaux. En ce qui concerne les décisions du commissaire à l’information, la chambre compétente est la General Regulatory Chamber, dont la compétence s’exerce dans tout le Royaume-Uni.

253

General Regulatory Chamber

(254)  Article 166 de la DPA 2018. Parmi les exemples de recours fructueux intentés contre l’ICO devant le tribunal figurent une affaire dans laquelle l’ICO avait accusé réception d’une réclamation introduite par une personne concernée mais n’avait pas indiqué la façon dont il comptait procéder et il lui a donc été ordonné de confirmer, dans un délai de 21 jours civils, s’il comptait enquêter sur la réclamation et, dans l’affirmative, d’informer l’auteur de la réclamation au moins tous les 21 jours civils de l’état d’avancement de l’enquête par la suite (le jugement n’a pas encore été publié) et une affaire dans laquelle le tribunal de première instance a considéré qu’il n’était pas possible d’établir clairement si la réponse de l’ICO à l’auteur d’une réclamation constituait bien l’«issue» de la réclamation (voir le jugement Susan Milne/The Information Commissioner [2020], disponible à l’adresse suivante: https://informationrights.decisions.tribunals.gov.uk/DBFiles/Decision/i2730/Milne,%20S%20-%20QJ2020-0296-GDPR-V,%20051220%20Section%20166%20DPA%20-DECISION.pdf).

254

,

(255)  Articles 162 et 163 de la DPA 2018.

255

(256)  Voir, par exemple, l’affaire Brown/Commissioner of Police of the Metropolis & Anor [2019] EWCA Civ 1724, à l’issue de laquelle une indemnisation d’un montant de 9 000 GBP a été accordée au titre de la DPA 1998 et de la loi de 1998 sur les droits de l’homme en réparation de l’obtention illégale et de l’utilisation abusive d’informations à caractère personnel, et l’affaire R (on the application of Bridges)/Chief Constable of South Wales [2020] EWCA Civ 1058, dans laquelle la Cour d’appel a déclaré illégal le déploiement d’un système de reconnaissance faciale par la police du pays de Galles au motif que ce déploiement enfreignait l’article 8 de la CEDH et que l’analyse d’impact sur la protection des données produite par le responsable du traitement n’était pas conforme à la DPA 2018.

256

(257)  L’article 34 de la convention européenne des droits de l’homme prévoit que «[l]a Cour peut être saisie d’une requête par toute personne physique, toute organisation non gouvernementale ou tout groupe de particuliers qui se prétend victime d’une violation par l’une des Hautes Parties contractantes des droits reconnus dans la convention ou ses protocoles. Les Hautes Parties contractantes s’engagent à n’entraver par aucune mesure l’exercice efficace de ce droit».

257

(258)  Le MI5 est placé sous le contrôle du ministre de l’intérieur. La loi de 1989 sur les services de sécurité définit les fonctions du MI5: protéger la sécurité nationale (notamment contre les menaces émanant de l’espionnage, du terrorisme et du sabotage, des activités d’agents de puissances étrangères et des actions visant à renverser ou à affaiblir la démocratie parlementaire par des moyens politiques, industriels ou violents), sauvegarder la prospérité économique du Royaume-Uni face aux menaces extérieures et soutenir les activités des forces de police et d’autres services répressifs dans le cadre de la prévention et de la détection des infractions graves.

258

(259)  Le SIS est placé sous le contrôle du ministre des affaires étrangères et ses fonctions sont définies dans la loi de 1994 sur les services de renseignement. Elles consistent à obtenir et à fournir des informations concernant les actions ou les intentions de personnes situées en dehors des îles Britanniques et à accomplir d’autres missions ayant trait aux actions ou aux intentions de ces personnes. Ces fonctions ne peuvent être exercées que dans l’intérêt de la sécurité nationale, dans celui de la prospérité économique du Royaume-Uni ou aux fins de la prévention ou de la détection des infractions graves.

259

(260)  Le GCHQ est placé sous le contrôle du ministre des affaires étrangères et ses fonctions sont définies dans la loi de 1994 sur les services de renseignement. Elles consistent a) à surveiller, utiliser ou intercepter les émissions électromagnétiques et autres, ainsi que les équipements produisant de telles émissions, à obtenir et fournir des informations provenant de ces émissions, de ces équipements ou d’éléments chiffrés ou relatives à ceux-ci; b) à fournir des conseils et une assistance au niveau linguistique, notamment en ce qui concerne la terminologie utilisée à des fins techniques, la cryptographie et d’autres questions relatives à la protection des informations, aux forces armées, aux pouvoirs publics ou à d’autres organisations ou personnes considérées comme compétentes. Ces fonctions ne peuvent être exercées que dans l’intérêt de la sécurité nationale, dans celui de la prospérité économique du Royaume-Uni en lien avec les actions ou intentions de personnes situées en dehors des îles Britanniques ou aux fins de la prévention ou de la détection des infractions graves.

260

(261)  Le Defence Intelligence (DI), le National Security Council and Secretariat, la Joint Intelligence Organisation et le Joint Intelligence Committee sont d’autres organes publics qui exercent des fonctions importantes pour la sécurité nationale. Cependant, ni le JIC, ni la JIO ne sont en mesure de faire usage des pouvoirs d’enquête prévus par l’IPA 2016, tandis que le DI a des possibilités limitées d’utiliser ses pouvoirs.

261

Defence Intelligence

National Security Council and Secretariat

Joint Intelligence Organisation

Joint Intelligence Committee

(262)  Cette interdiction s’applique aux réseaux de communication tant privés que publics, ainsi qu’au service postal public lorsque l’interception est effectuée au Royaume-Uni. Elle ne s’applique pas au responsable du traitement du réseau privé si celui-ci a donné son consentement implicite ou explicite pour effectuer l’interception (partie 3 de l’IPA 2016).

262

(263)  Dans certains cas limités, il est possible d’effectuer une interception légale sans mandat, à savoir en cas d’interception avec le consentement de l’expéditeur ou du destinataire (article 44 de l’IPA 2016), dans le cas de finalités administratives ou répressives limitées (articles 45 à 48 de l’IPA 2016), dans certains établissements spécialisés (articles 49 à 51 de l’IPA 2016) et conformément à des demandes provenant de l’étranger (article 52 de l’IPA 2016).

263

(264)  En ce qui concerne, par exemple, la portée de telles mesures, conformément à la partie 3 et à la partie 4 (conservation et acquisition de données de communication), la portée de la mesure est strictement liée à la définition des «opérateurs de télécommunications» dont les données des utilisateurs font l’objet de la mesure. On peut donner un autre exemple concernant l’utilisation des pouvoirs «de masse». Dans ce cas, la portée de ces pouvoirs est limitée aux « communications envoyées ou reçues par des personnes se trouvant en dehors des îles Britanniques».

264

(265)  L’annexe 7 de l’IPA 2016 définit la portée des codes, la procédure à suivre pour les publier, les règles applicables à leur révision et les effets qu’ils produisent.

265

(266)  Les codes de bonnes pratiques au titre de l’IPA 2016 sont disponibles à l’adresse suivante:https://www.gov.uk/government/publications/investigatory-powers-act-2016-codes-of-practice

266

(267)  Les juridictions utilisent les codes de bonnes pratiques pour évaluer la légalité de la conduite des autorités. Voir, par exemple, l’affaire Dias/Cleveland Police, [2017] UKIPTrib15_586-CH, dans laquelle le tribunal chargé des pouvoirs d’enquête a fait référence à des passages précis du code de bonnes pratiques relatif aux données de communication afin de comprendre la définition du motif «de prévention ou de détection d’une infraction ou de prévention des troubles à l’ordre public» utilisé pour justifier l’acquisition de données de communication. Le code a été inclus dans le raisonnement afin de déterminer si ce motif avait été invoqué à juste titre. Le tribunal a finalement conclu que les conduites contestées étaient illégales. Les tribunaux ont également évalué le niveau des garanties prévues par les codes, voir par exemple l’affaire Just for Law Kids/Secretary of State for the Home Department [2019] EWHC 1772 (Admin), dans laquelle la Haute Cour a conclu que la législation primaire et secondaire, ainsi que les orientations internes, apportaient des garanties suffisantes; ou l’affaire R (National Council for Civil Liberties)/Secretary of State for the Home Department & Others [2019] EWHC 2057 (Admin), dans laquelle il a été jugé que l’IPA 2016 et le code de bonnes pratiques relatif à l’interférence avec des équipements contenaient des dispositions suffisantes en ce qui concerne la nécessité de mandats spécifiques.

267

(268)  Dans l’arrêt Big Brother Watch, la grande chambre de la Cour européenne des droits de l’homme a noté que «[l]e code est un document public, approuvé par les deux chambres du Parlement, publié par le gouvernement en ligne et en version imprimée, et dont doivent tenir compte les personnes qui exercent des missions d’interception ainsi que les tribunaux (voir paragraphes 93 et 94 ci-dessus). En conséquence, la Cour a admis que ses dispositions pouvaient être prises en considération lors de l’examen de la prévisibilité de la RIPA (Kennedy, précité, § 157). En conséquence, la Cour accepterait que la législation locale soit “suffisamment accessible”
  ». (Voir l’arrêt de la Cour européenne des droits de l’homme (grande chambre) dans l’affaire Big Brother Watch et autres/Royaume-Uni, requêtes n° 58170/13, n° 62322/14 et n° 24960/15 du 25 mai 2021, paragraphe 366).

268

(269)  Pour la liste des autorités répressives compétentes qui peuvent faire usage de pouvoirs d’enquête ciblés au titre de l’IPA 2016, voir la note de bas de page (139).

269

(270)  Partie 2 de l’IPA 2016.

270

(271)  Partie 3 de l’IPA 2016.

271

(272)  Partie 4 de l’IPA 2016.

272

(273)  Partie 5 de l’IPA 2016.

273

(274)  Article 136 de l’IPA 2016.

274

(275)  Article 158 de l’IPA 2016.

275

(276)  Article 176 de l’IPA 2016.

276

(277)  Article 199 de l’IPA 2016.

277

(278)  Le code de bonnes pratiques relatif à l’interception des communications précise que les autres éléments du critère de proportionnalité sont les suivants: «i) la portée de l’ingérence envisagée dans la vie privée par rapport à l’objectif visé; ii) comment et pourquoi les méthodes à adopter provoqueront le moins d’interférences possible pour la personne et les tiers; iii) si l’activité constitue une utilisation appropriée de la loi ainsi qu’une manière raisonnable, après avoir envisagé toutes les autres solutions raisonnables, d’atteindre l’objectif visé; iv) quelles autres méthodes, le cas échéant, n’ont pas été mises en œuvre ou ont été employées mais ont été considérées comme insuffisantes pour atteindre les objectifs opérationnels sans recourir au pouvoir d’enquête envisagé». Point 4.16 du code de bonnes pratiques relatif à l’interception des communications, disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715480/Interception_of_Communications_Code_of_Practice.pdf

278

(279)  Voir les points 4.12 et 4.15 du code de bonnes pratiques relatif à l’interception des communications, disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715480/Interception_of_Communications_Code_of_Practice.pdf

279

(280)  Voir le point 4.16 du code de bonnes pratiques relatif à l’interception des communications.

280

(281)  Déclaration de fin de mission du rapporteur spécial sur le droit à la vie privée à l’issue de sa mission au Royaume-Uni de Grande-Bretagne et d’Irlande du Nord, disponible à l’adresse suivante: https://www.ohchr.org/EN/NewsEvents/Pages/DisplayNews.aspx?NewsID=23296&LangID=E, point 1.a.

281

(282)  Article 15, paragraphe 2, de l’IPA 2016.

282

(283)  Article 15, paragraphe 4, de l’IPA 2016.

283

(284)  Article 15, paragraphe 2, de l’IPA 2016.

284

(285)  Les données secondaires sont des données jointes ou logiquement associées à la communication interceptée qui peuvent être logiquement séparées de celle-ci et qui, si elles l’étaient, ne révéleraient rien de ce qui pourrait être raisonnablement considéré comme la signification (le cas échéant) de la communication. Les données secondaires peuvent par exemple correspondre aux configurations de routeurs ou aux pare-feu, ou à la durée pendant laquelle un routeur a été actif sur un réseau, lorsque ces éléments font partie de la communication interceptée, y sont joints ou y sont logiquement associés. Pour de plus amples informations, voir la définition contenue à l’article 16 de l’IPA 2016 et au point 2.19 du code de bonnes pratiques relatif à l’interception des communications, voir la note de bas de page 278.

285

(286)  Un tel examen est réalisé à titre d’exception à l’article 152, paragraphe 4, de l’IPA 2016, qui interdit de chercher à identifier les communications des particuliers qui se trouvent dans les îles Britanniques. Voir le considérant 229.

286

(287)  Le ministre écossais autorise le mandat lorsqu’il porte sur une activité criminelle grave en Écosse (voir les articles 21 et 22 de l’IPA 2016), tandis que le secrétaire d’État peut désigner un haut fonctionnaire pour délivrer un mandat d’entraide judiciaire lorsqu’il s’avère que l’interception concernera une personne ou des locaux situés en dehors du Royaume-Uni (article 40 de l’IPA 2016).

287

(288)  Articles 19 et 23 de l’IPA 2016.

288

(289)  Article 32 de l’IPA 2016.

289

(290)  Article 39 de l’IPA 2016. Des modifications limitées peuvent être apportées aux mandats par des personnes désignées, selon les conditions définies dans l’IPA 2016. La personne qui a délivré un mandat peut l’annuler à tout moment. Une telle annulation est obligatoire si le mandat n’est plus nécessaire pour aucun des motifs prévus ou si la conduite autorisée par le mandat n’est plus proportionnée à l’objectif visé.

290

(291)  Article 33 de l’IPA 2016. La décision de renouvellement du mandat doit être approuvée par un commissaire judiciaire.

291

(292)  Article 19 de l’IPA 2016.

292

(293)  Pour ce qui est de la notion d’«intérêts de la prospérité économique du Royaume-Uni, dans la mesure où ces intérêts relèvent aussi de la sécurité nationale», la grande chambre de la Cour européenne des droits de l’homme a estimé dans l’affaire Big Brother Watch et autres/Royaume-Uni (voir la note de bas de page 268 ci-dessus), point 371, que cette notion était suffisamment axée sur la sécurité nationale. Si la conclusion de la Cour dans cette affaire portait sur l’utilisation de cette notion dans la RIPA 2000, cette même notion est également utilisée dans l’IPA 2016.

293

(294)  Article 20, paragraphe 2, de l’IPA 2016.

294

(295)  Article 20, paragraphe 3, de l’IPA 2016.

295

(296)  Article 19, paragraphe 1, point b), article 19, paragraphe 2, point b), et article 19, paragraphe 3, point b), de l’IPA 2016.

296

(297)  Les informations demandées doivent notamment indiquer le contexte (description des personnes/organisations/ensembles de locaux, de la communication devant être interceptée) et dans quelle mesure l’obtention de ces informations profitera à l’enquête, ainsi que décrire la conduite devant être autorisée. Lorsqu’il n’est pas possible de décrire les personnes/l’organisation/les locaux, il convient d’expliquer pourquoi cette description n’était pas possible ou pourquoi seule une description générale a été faite (code de bonnes pratiques relatif à l’interception des communications, points 5.32 et 5.34, voir la note de bas de page 278).

297

(298)  Article 17, paragraphe 2, de l’IPA 2016. Voir également les points 5.11 et suivants du code de bonnes pratiques relatif à l’interception des communications, voir la note de bas de page 278.

298

(299)  Article 31, paragraphes 4 et 5, de l’IPA 2016.

299

(300)  Article 31, paragraphe 8, de l’IPA 2016.

300

(301)  Points 5.37 et 5.38 du code de bonnes pratiques relatif à l’interception des communications, voir la note de bas de page 278.

301

(302)  L’approbation par un commissaire judiciaire n’est pas nécessaire lorsque le secrétaire d’État considère qu’il est urgent de délivrer le mandat (article 19, paragraphe 1, de l’IPA). Cependant, le commissaire judiciaire doit être informé dans les plus brefs délais et doit décider d’approuver ou non le mandat. S’il ne l’approuve pas, le mandat cesse de produire ses effets (articles 24 et 25 de l’IPA 2016).

302

(303)  Article 23, paragraphe 1, de l’IPA 2016.

303

(304)  Article 23, paragraphe 2, de l’IPA 2016.

304

(305)  Voir les articles 44 à 51 de l’IPA 2016 et l’article 12 du code de bonnes pratiques relatif à l’interception des communications (voir la note de bas de page 278).

305

(306)  C’est notamment le cas lorsqu’une interception est nécessaire en prison ou dans un hôpital psychiatrique (pour contrôler la conduite d’un détenu ou d’un patient) ou par un opérateur postal ou de télécommunication, afin, par exemple, de détecter des contenus abusifs.

306

(307)  Voir a contrario l’article 229, paragraphe 4, de l’IPA.

307

a contrario

(308)  Les articles 26 à 29 de l’IPA 2016 introduisent des limitations à l’obtention de mandats d’interception et d’examen ciblés en lien avec l’interception de communications envoyées par ou destinées à un membre du Parlement (de l’une des chambres du Parlement britannique), l’interception d’éléments couverts par le secret professionnel et l’interception de communications qui, selon les autorités qui les interceptent, contiendront des éléments journalistiques confidentiels, ainsi que lorsque l’objectif du mandat est d’identifier ou de confirmer l’identité d’une source d’information journalistique.

308

(309)  Article 26 de l’IPA 2016.

309

(310)  Article 19, paragraphe 1, de l’IPA 2016.

310

(311)  Article 54 de l’IPA 2016. Les garanties relatives à la communication d’éléments à des autorités étrangères sont encore précisées dans les codes de bonnes pratiques: voir notamment les points 9.26 et suivants et 9.87 du code de bonnes pratiques relatif à l’interception des communications et les points 9.33 et suivants et 9.41 du code de bonnes pratiques relatif à l’interférence (voir la note de bas de page 278).

311

(312)  Ces finalités sont les suivantes: pour le MI5, la prévention ou la détection des infractions graves ou toute procédure pénale [article 2, paragraphe 2, point a), de la loi de 1989 sur les services de sécurité]; pour le SIS, les intérêts de la sécurité nationale, la prévention ou la détection des infractions graves ou toute procédure pénale [article 2, paragraphe 2, point a), de la loi de 1994 sur les services de renseignement]; et, pour le GCHQ, toute procédure pénale [article 4, paragraphe 2, point a), de la loi de 1994 sur les services de renseignement]. Voir aussi les notes explicatives à la DPA 2018, disponibles à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2018/12/contents/enacted

312

(313)  Les données de communication sont définies à l’article 261, paragraphe 5, de l’IPA 2016. On distingue deux catégories de données de communication: les «données sur les événements» (toute donnée qui identifie ou décrit un événement, par référence ou non à sa localisation, dans un système de télécommunications ou au moyen de ce dernier, lorsque l’événement consiste en une activité spécifique réalisée par une ou plusieurs entités à un moment donné) et les «données sur les entités» [toute donnée qui a) porte sur i) une entité, ii) une association entre un service de télécommunications et une entité, ou iii) une association entre toute partie d’un système de télécommunications et une entité, b) inclut ou consiste en des données qui identifient ou décrivent l’entité (par référence ou non à sa localisation), et c) n’est pas une donnée sur les événements].

313

(314)  Cela découle de la définition des données de communication proposée à l’article 261, paragraphe 5, de l’IPA 2016, selon laquelle les données de communication sont détenues ou obtenues par un opérateur de télécommunications et soit portent sur l’utilisateur d’un service de télécommunications et sur la fourniture de ce service, soit sont comprises dans une communication, en font partie, y sont jointes ou logiquement associées (voir également le code de bonnes pratiques relatif aux données de communication, disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/757850/Communications_Data_Code_of_Practice.pdf, points 2.22 à 2.33). De plus, selon la définition d’un «opérateur de télécommunications» proposée à l’article 261, paragraphe 10, de l’IPA 2016, il doit s’agir d’une personne qui propose ou fournit un service de télécommunications à des personnes au Royaume-Uni ou qui contrôle ou fournit un système de télécommunications se trouvant au Royaume-Uni ou contrôlé depuis ce pays (entièrement ou en partie). Ces définitions indiquent clairement que les obligations au titre de l’IPA 2016 ne peuvent pas être imposées aux opérateurs de télécommunications dont les équipements ne se trouvent pas au Royaume-Uni ou ne sont pas contrôlés depuis ce pays ou qui ne proposent ou ne fournissent pas de services à des personnes au Royaume-Uni (voir également le code de bonnes pratiques relatif aux données de communication, point 2.1). Si des abonnés de l’Union (qu’ils se trouvent dans l’Union ou au Royaume-Uni) ont recours à des services au Royaume-Uni, toute donnée de communication en lien avec la fourniture de ce service sera collectée directement par le fournisseur de services au Royaume-Uni plutôt que de faire l’objet d’un transfert depuis l’Union.

314

(315)  Les autorités compétentes sont énumérées à l’annexe 4 de l’IPA 2016 et elles comprennent les forces de police, les services de renseignement, certains ministères et administrations publiques, l’Agence nationale de lutte contre la criminalité, l’administration fiscale et douanière du Royaume-Uni, l’autorité de la concurrence et des marchés, le commissaire à l’information, les services d’urgence (ambulances, pompiers et services de secours) et des autorités par exemple dans le domaine de la santé et de la sécurité alimentaire.

315

(316)  Arrêt dans les affaires jointes C-203/15 et C-698/15, Tele2/Watson, ECLI:EU:C:2016:970.

316

(317)  Voir la section 61.7 (b) pour l’acquisition de données de communication et la section 87.10A pour la conservation des données de communication.

317

(318)  Article 60A, paragraphe 6, de l’IPA 2016.

318

(319)  Ce délai est réduit à trois jours lorsque l’autorisation est accordée pour des raisons d’urgence (article 65, paragraphe 3A, de l’IPA 2016).

319

(320)  Selon l’article 65 de l’IPA 2016, l’autorisation renouvelée durera un mois à compter de la date d’expiration de l’autorisation en cours. La personne qui a accordé l’autorisation peut l’annuler à tout moment si elle considère que les exigences ne sont plus remplies.

320

(321)  Article 60A, paragraphe 1, de l’IPA 2016. L’Office des autorisations portant sur les données de communication (Office for Communications Data Authorisations, OCDA) exerce cette fonction pour le compte de l’IPC (voir les codes de bonnes pratiques relatifs aux données de communication, point 5.6).

321

Office for Communications Data Authorisations

(322)  La demande au titre de l’article 61, paragraphe 7, point b), de l’IPA 2016 est soumise «à une finalité applicable en matière pénale», ce qui signifie, selon l’article 61, paragraphe 7A, de l’IPA 2016: «lorsque les données de communication sont entièrement ou en partie des données sur les événements, la prévention ou la détection d’infractions graves; dans tout autre cas, la prévention ou la détection d’infractions ou la prévention de troubles à l’ordre public».

322

(323)  Le code de bonnes pratiques relatif aux données de communication précise que «[l]orsqu’une demande portant sur la sécurité nationale pourrait être introduite soit au titre de l’article 60A, soit au titre de l’article 61, ce sont les autorités publiques concernées qui déterminent quel mode d’autorisation est le plus approprié dans chaque cas. Les autorités publiques qui souhaitent avoir recours au mode d’autorisation par le haut fonctionnaire désigné devraient disposer d’orientations claires sur les circonstances dans lesquelles ce mode d’autorisation est approprié» (point 5.19 du code de bonnes pratiques relatif aux données de communication, disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/822817/Communications_Data_Code_of_Practice.pdf).

323

(324)  L’article 70, paragraphe 3, de l’IPA 2016 définit le concept de «haut fonctionnaire désigné», qui change en fonction de l’autorité publique compétente (comme le prévoit l’annexe 4 de l’IPA 2016).

324

(325)  De plus amples informations sur l’indépendance du haut fonctionnaire désigné figurent dans le code de bonnes pratiques relatif aux données de communication (code de bonnes pratiques relatif aux données de communication, points 4.12-4.17, voir note de bas de page 323).

325

(326)  Les motifs sont les suivants: i) la sécurité nationale; ii) la prévention ou la détection d’infractions ou la prévention de troubles à l’ordre public (dans le cas de «données sur les événements», uniquement des infractions graves); iii) les intérêts de la prospérité économique du Royaume-Uni, dans la mesure où ces intérêts relèvent aussi de la sécurité nationale; iv) les intérêts de la sécurité publique; v) la prévention du décès, de blessures ou de tout préjudice pour la santé physique ou mentale d’une personne, ou l’atténuation de toute blessure ou de tout préjudice pour la santé physique ou mentale d’une personne; vi) l’assistance apportée dans le cadre d’enquêtes sur des erreurs judiciaires présumées; ou vii) l’identification d’une personne décédée ou de toute personne qui n’est pas en mesure de s’identifier en raison de son état de santé (article 61, paragraphe 7, de l’IPA 2016).

326

(327)  Article 60A, paragraphe 1, point b), de l’IPA 2016.

327

(328)  Points 3.3 et suivants du code de bonnes pratiques relatif aux données de communication, voir la note de bas de page 323.

328

(329)  Point 3.13 du code de bonnes pratiques relatif aux données de communication, voir la note de bas de page 323.

329

(330)  Article 60, paragraphe 1, point c), de l’IPA 2016.

330

(331)  Ces informations à inclure doivent contenir: i) une description de la manière dont l’obtention des données profitera à l’enquête ou à l’opération; ii) une explication de la pertinence des périodes de temps demandées, en indiquant en quoi ces périodes sont proportionnées à l’événement visé par l’enquête; iii) une explication de la raison pour laquelle le niveau d’intrusion est justifié compte tenu de l’avantage que les données apporteront à l’enquête (il y a lieu à cet égard de déterminer si des mesures d’enquête moins intrusives pourraient être mises en œuvre pour atteindre l’objectif en question); iv) une prise en compte des droits de la personne (notamment de son droit au respect de la vie privée et, le cas échéant, de son droit à la liberté d’expression) et une mise en balance de ces droits avec l’avantage pour l’enquête; v) des informations détaillées sur une potentielle intrusion collatérale et sur l’incidence que peuvent avoir les périodes de temps demandées sur cette intrusion (points 3.22 à 3.26 du code de bonnes pratiques relatif aux données de communication, voir la note de bas de page 323).

331

(332)  Voir la note de bas de page 313.

332

(333)  Lorsque des données de communication plus intrusives sont recherchées (par exemple des données sur les événements), le code précise qu’il est plus approprié d’acquérir d’abord des données sur les entités ou d’acquérir directement des données sur les événements dans certains cas limités d’urgence particulière (points 6.10 à 6.14 du code de bonnes pratiques relatif aux données de communication, voir la note de bas de page 323).

333

(334)  Points 8.8 à 8.44 du code de bonnes pratiques relatif aux données de communication, voir la note de bas de page 323.

334

(335)  Le code de bonnes pratiques précise que «la personne accordant l’autorisation doit examiner ces demandes avec un soin particulier, et notamment prendre en compte les conséquences non souhaitées que ces demandes pourraient avoir et la question de savoir si ces demandes servent au mieux l’intérêt public» (point 8.8 du code de bonnes pratiques relatif aux données de communication). De plus, il convient de tenir un registre de ce type de demandes et, lors de la prochaine inspection, de les porter à l’attention de l’IPC (point 8.10 du code de bonnes pratiques relatif aux données de communication, voir la note de bas de page 323).

335

(336)  Articles 87 à 89 de l’IPA 2016.

336

(337)  Conformément à l’article 90 de l’IPA 2016, un opérateur de télécommunications à qui est remis un avis de conservation peut demander un réexamen au secrétaire d’État qui l’a délivré.

337

(338)  Conformément à l’article 87, paragraphe 2, point a), de l’IPA 2016, un avis de conservation peut se rapporter «à un opérateur en particulier ou à toute catégorie d’opérateurs».

338

(339)  Ces finalités sont les suivantes: i) les intérêts liés à la sécurité nationale; ii) la finalité applicable en matière pénale (comme le définit l’article 87.10A de l’IPA 2016); iii) les intérêts de la prospérité économique du Royaume-Uni, dans la mesure où ces intérêts relèvent aussi de la sécurité nationale; iv) les intérêts de la sécurité publique; v) la prévention du décès, de blessures ou de tout préjudice pour la santé physique ou mentale d’une personne, ou l’atténuation de toute blessure ou de tout préjudice pour la santé physique ou mentale d’une personne; ou vi) l’assistance apportée dans le cadre d’enquêtes sur des erreurs judiciaires présumées (article 87 de l’IPA 2016).

339

(340)  Article 87 de l’IPA 2016. De plus, conformément au code de bonnes pratiques applicable, afin d’apprécier la proportionnalité de l’avis de conservation, les critères prévus à l’article 2, paragraphe 2, de l’IPA 2016 s’appliquent, notamment l’obligation d’apprécier si l’objectif visé par l’avis pourrait être raisonnablement atteint par des moyens moins intrusifs. Tout comme pour l’appréciation de la proportionnalité de l’acquisition des données de communication, le code de bonnes pratiques relatif aux données de communication précise qu’une telle appréciation nécessite «la mise en balance de la portée de l’ingérence dans le droit de la personne au respect de sa vie privée avec l’avantage particulier pour l’enquête menée» (point 16.3 du code de bonnes pratiques relatif aux données de communication, voir la note de bas de page 323).

340

(341)  Voir l’article 88 de l’IPA 2016.

341

(342)  Les avantages peuvent être existants ou prévus et doivent concerner les finalités prévues par la loi pour lesquelles les données peuvent être conservées (point 17.17 du code de bonnes pratiques relatif aux données de communication, voir la note de bas de page 323).

342

(343)  Ces considérations consisteront notamment à déterminer si la totalité de la portée géographique de l’avis de conservation est nécessaire et proportionnée et s’il est nécessaire et proportionné d’inclure ou d’exclure une description particulière des personnes (point 17.17 du code de bonnes pratiques relatif aux données de communication, voir la note de bas de page 323).

343

(344)  Cela aidera le secrétaire d’État à prendre en compte aussi bien le niveau d’intrusion pour les clients que les avantages probables des données devant être conservées (point 17.17 du code de bonnes pratiques relatif aux données de communication, voir la note de bas de page 323).

344

(345)  Article 88 de l’IPA 2016.

345

(346)  Article 89 de l’IPA 2016.

346

(347)  Conformément à l’article 135, paragraphe 1, et à l’article 198, paragraphe 1, de l’IPA 2016, le terme «équipements» recouvre les équipements produisant des émissions électromagnétiques, acoustiques ou autres et tout appareil pouvant être utilisé en lien avec ces équipements.

347

(348)  Code de bonnes pratiques relatif à l’interférence avec des équipements, disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715479/Equipment_Interference_Code_of_Practice.pdf, point 2.2.

348

(349)  Les données relatives aux équipements sont définies à l’article 100 de l’IPA 2016 comme des données relatives aux systèmes et des données a) qui sont comprises dans une communication ou un autre élément d’information, en font partie, y sont jointes ou logiquement associées (que ce soit le fait de l’expéditeur ou non); b) qui peuvent être logiquement séparées du reste de la communication ou de l’élément d’information et c) qui, si elles étaient séparées, ne révéleraient rien de ce qui pourrait être raisonnablement considéré comme la signification (le cas échéant) de la communication ou de l’élément d’information.

349

(350)  Pour qu’un mandat soit obligatoire, l’article 13, paragraphe 1, de l’IPA 2016 exige également que la conduite du service de renseignement constitue une ou plusieurs infractions au titre des articles 1 à 3A de la loi de 1990 sur l’utilisation abusive de l’informatique, ce qui serait le cas dans la plupart des circonstances, voir les points 3.32 et 3.6 à 3.9 du code de bonnes pratiques relatif à l’interférence avec des équipements. Conformément à l’article 13, paragraphe 2, de l’IPA 2016, il existe une «connexion avec les îles Britanniques» si a) une partie de la conduite a lieu dans les îles Britanniques (indépendamment de l’emplacement de l’équipement faisant ou pouvant faire l’objet d’une interférence), b) le service de renseignement considère qu’une partie de l’équipement faisant ou pouvant faire l’objet d’une interférence se trouve ou pourrait se trouver dans les îles Britanniques à un moment donné pendant que l’interférence a lieu, ou c) l’objectif de l’interférence est d’obtenir i) des communications envoyées par ou destinées à une personne qui se trouve, ou dont le service de renseignement pense qu’elle se trouve, à ce moment donné dans les îles Britanniques, ii) des informations privées concernant une personne qui se trouve, ou dont le service de renseignement pense qu’elle se trouve, à ce moment donné dans les îles Britanniques, ou iii) des données relatives aux équipements qui font partie de communications ou d’informations privées relevant du point i) ou ii) ou qui y sont liées.

350

(351)  Par souci d’exhaustivité, il convient de noter que même dans les cas où il n’existe pas de «connexion avec les îles Britanniques» et où le recours à l’interférence avec des équipements n’est donc pas soumis à l’obligation de mandat prévue par l’article 13, paragraphe 1, de l’IPA 2016, un service de renseignement qui prévoit de commencer une activité pour laquelle il est en mesure d’obtenir un mandat d’interférence de masse avec des équipements devrait par principe se procurer un tel mandat (voir le point 3.24 du code de bonnes pratiques relatif à l’interférence avec des équipements). Même lorsqu’un mandat d’interférence avec des équipements au titre de l’IPA 2016 n’est ni requis par la loi, ni obtenu par principe, les actions des services de renseignement sont soumises à un certain nombre de conditions et de limitations en vertu de l’article 7 de la loi de 1994 sur les services de renseignement. Parmi ces conditions figure l’obligation d’obtenir une autorisation du secrétaire d’État, qui doit s’assurer que toute action reste dans les limites de ce qui est nécessaire à la bonne exécution des missions du service de renseignement.

351

(352)  L’article 115 de l’IPA 2016 régit le contenu du mandat et précise qu’il doit inclure le nom ou la description des personnes, des organisations, du lieu ou du groupe de personnes qui constituent la «cible», une description de la nature de l’enquête et une description des activités pour lesquelles l’équipement est utilisé. Il doit également décrire le type d’équipement et la conduite que la personne destinataire du mandat est autorisée à adopter.

352

(353)  Voir également le point 5.7 du code de bonnes pratiques relatif à l’interférence avec des équipements, voir la note de bas de page 348.

353

(354)  Les agences de sécurité nationale peuvent demander un mandat d’interférence avec des équipements lorsque cela est nécessaire à des fins de sécurité nationale, aux fins de la détection d’infractions graves et/ou dans l’intérêt de la prospérité économique du Royaume-Uni dans la mesure où cet intérêt relève aussi de la sécurité nationale (articles 102 et 103 de l’IPA 2016). En fonction de l’agence, un mandat d’interférence avec des équipements peut être requis à des fins répressives lorsqu’il est nécessaire à la détection ou à la prévention d’une infraction grave ou à la prévention du décès, de blessures ou de tout préjudice pour la santé physique ou mentale d’une personne, ou à l’atténuation de toute blessure ou de tout préjudice pour la santé physique ou mentale d’une personne (voir l’article 106, paragraphes 1 et 3, de l’IPA 2016).

354

(355)  Article 102, paragraphe 1, de l’IPA 2016.

355

(356)  Articles 129 à 131 de l’IPA 2016.

356

(357)  Article 109 de l’IPA 2016.

357

(358)  Article 109, paragraphe 4, de l’IPA 2016.

358

(359)  Article 110, paragraphe 3, point b), de l’IPA 2016. Conformément au point 5.67 du code de bonnes pratiques relatif à l’interférence avec des équipements, l’urgence est déterminée par la question de savoir s’il serait raisonnablement possible de demander l’approbation du commissaire judiciaire pour délivrer le mandat dans le délai disponible pour répondre à un besoin opérationnel ou d’enquête. Les mandats urgents devraient relever de l’une ou des deux catégories suivantes: i) une menace imminente pour la vie ou des atteintes graves - par exemple, si une personne a été enlevée et qu’il est estimé que sa vie est en danger imminent; ou ii) une possibilité de collecte de renseignements ou d’enquête assortie d’un délai limité pour agir - par exemple, un envoi de drogues de catégorie A est sur le point d’entrer au Royaume-Uni et les services répressifs veulent disposer d’une couverture des auteurs d’infractions graves afin de procéder à des arrestations. Voir la note de bas de page 348.

359

(360)  Article 108 de l’IPA 2016.

360

(361)  Selon le rapport sur les pouvoirs de masse présenté par Lord David Anderson, contrôleur indépendant de la législation sur le terrorisme, en vue de l’approbation de l’IPA 2016, «il convient d’établir clairement que la collecte et la conservation de données en masse ne constituent pas une “surveillance de masse”. Tout système juridique digne de ce nom intégrera des limitations et des garanties conçues précisément pour garantir que l’accès à des banques de données sensibles [...] n’est pas accordé de manière indifférenciée ou injustifiée.
  De telles limitations et garanties existent à l’évidence dans la proposition de loi. Lord David Anderson, rapport sur l’examen des pouvoirs de masse, août 2016, point 1.9 (soulignement ajouté), disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/546925/56730_Cm9326_WEB.PDF

361

il convient d’établir clairement que la collecte et la conservation de données en masse ne constituent pas une “surveillance de masse”. Tout système juridique digne de ce nom intégrera des limitations et des garanties conçues précisément pour garantir que l’accès à des banques de données sensibles [...] n’est pas accordé de manière indifférenciée ou injustifiée.

De telles limitations et garanties existent à l’évidence dans la proposition de loi

(362)  Article 2.2 de l’IPA 2016. Voir par exemple le point 4.11 du code de bonnes pratiques relatif à l’acquisition de masse de données de communication, disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf

362

(363)  Les îles Britanniques se composent du Royaume-Uni, des îles Anglo-Normandes et de l’Île de Man et sont définies à l’annexe 1 de la loi d’interprétation de 1978, disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/1978/30/schedule/1

363

(364)  Conformément à l’article 136 de l’IPA 2016, les «communications en lien avec l’étranger» signifient: i) les communications envoyées par des personnes se trouvant en dehors des îles Britanniques, ou ii) les communications reçues par des personnes se trouvant en dehors des îles Britanniques. Ce régime, comme l’ont confirmé les autorités du Royaume-Uni, couvre également les communications entre deux personnes qui se trouvent toutes deux en dehors des îles Britanniques. La grande chambre de la Cour européenne des droits de l’homme dans l’affaire Big Brother Watch et autres/Royaume-Uni (voir note de bas de page 279 ci-dessus) a conclu, au point 376, en ce qui concerne une limitation similaire (faisant référence aux «communications externes») des communications pouvant être captées par une interception de masse au titre de la RIPA 2000, qu’elle était suffisamment délimitée et prévisible.

364

(365)  Article 136, paragraphe 4, de l’IPA 2016. Selon les explications fournies par le gouvernement britannique, l’interception de masse peut par exemple être utilisée pour identifier des menaces auparavant inconnues pour la sécurité nationale du Royaume-Uni, en filtrant et en analysant les éléments interceptés afin de repérer les communications susceptibles de présenter un intérêt pour le renseignement (section H du cadre explicatif du Royaume-Uni: Sécurité nationale, pages 27 et 28, voir la note de bas de page 29). Comme l’ont expliqué les autorités britanniques, ces instruments peuvent être utilisés pour établir des liens entre des sujets d’intérêt connus et pour chercher des traces d’activités menées par des personnes qui ne sont peut-être pas encore connues des services de renseignement mais qui peuvent apparaître dans le cadre d’une enquête, ainsi que pour identifier des types d’activité susceptibles d’indiquer l’existence d’une menace pour le Royaume-Uni.

365

(366)  Conformément à l’article 13, paragraphe 1, de l’IPA 2016, le recours à l’interférence avec des équipements par les services de renseignement doit être autorisé au moyen d’un mandat en vertu de l’IPA 2016, à condition qu’il existe une «connexion avec les îles Britanniques», voir le considérant 211.

366

(367)  Article 176 de l’IPA 2016. Un mandat d’interférence de masse avec des équipements ne peut pas autoriser une conduite qui constituerait (en l’absence d’une autorité légitime pour ce faire) une interception illégale (sauf en lien avec une communication conservée). Selon le cadre explicatif du Royaume-Uni, les informations obtenues pourraient être nécessaires à l’identification de sujets d’intérêt et relèveraient en général d’opérations de grande ampleur appropriées (cadre explicatif du Royaume-Uni, section H: Sécurité nationale, page 28, voir la note de bas de page 29).

367

(368)  Article 138, paragraphe 1, et article 178, paragraphe 1, de l’IPA 2016.

368

(369)  Article 138, paragraphe 2, et article 178, paragraphe 2, de l’IPA 2016.

369

(370)  Selon les explications fournies par les autorités britanniques, une finalité opérationnelle peut, par exemple, limiter la portée de la mesure à l’existence d’une menace dans une zone géographique donnée.

370

(371)  Article 142, paragraphes 4 à 10, de l’IPA 2016.

371

(372)  Haute Cour de Justice, arrêt Liberty, [2019] EWHC 2057 (Admin), point 167.

372

(373)  Les articles 152 et 193 de l’IPA 2016 exigent que: a) la sélection en vue de l’examen ne soit réalisée que pour les finalités opérationnelles précisées dans le mandat, b) la sélection en vue de l’examen soit nécessaire et proportionnée en toutes circonstances, et c) la sélection en vue de l’examen n’enfreigne pas l’interdiction de sélectionner des éléments et d’identifier des communications envoyées par ou destinées à des personnes dont on sait qu’elles se trouvaient dans les îles Britanniques à ce moment.

373

(374)  Voir le point 6.6 du code de bonnes pratiques relatif à l’interception des communications, voir la note de bas de page 278.

374

(375)  Article 138, paragraphe 1, points b) et c), et article 178, points b) et c), de l’IPA 2016.

375

(376)  Point 4.10 du code de bonnes pratiques relatif à l’interception des communications, voir la note de bas de page 278.

376

(377)  Point 6.20 du code de bonnes pratiques relatif à l’interception des communications, voir la note de bas de page 278, et point 6.13 du code de bonnes pratiques relatif à l’interférence avec des équipements, voir la note de bas de page 348.

377

(378)  Article 138, paragraphe 1, point g), et article 178, paragraphe 1), point f), de l’IPA 2016. La Cour européenne des droits de l’homme a notamment considéré que l’autorisation préalable d’un organe indépendant constituait une garantie importante contre les abus dans le cadre de l’interception de masse. Cour européenne des droits de l’homme (grande chambre), Big Brother Watch et autres/Royaume-Uni (voir note 269 ci-dessus), points 351 et 352. Il importe de garder à l’esprit que cet arrêt concernait le cadre juridique antérieur (RIPA 2000) qui ne contenait pas certaines des garanties (y compris l’autorisation préalable d’un commissaire judiciaire indépendant) introduites par l’IPA 2016.

378

(379)  Article 159, paragraphes 3 et 4, de l’IPA 2016.

379

(380)  Articles 143 à 146 et articles 184 à 188 de l’IPA 2016. En cas de modification urgente, le secrétaire d’État peut procéder à la modification sans approbation, mais il doit le notifier au commissaire et celui-ci doit ensuite décider d’approuver ou de refuser la modification (article 147 de l’IPA 2016). Les mandats doivent être annulés lorsqu’ils ne sont plus nécessaires ou proportionnés ou lorsque l’examen des contenus, métadonnées ou autres données interceptés en vertu du mandat n’est plus nécessaire à aucune des finalités opérationnelles mentionnées dans le mandat (articles 148 et 189 de l’IPA 2016).

380

(381)  Points 6.44 à 6.47 du code de bonnes pratiques relatif à l’interception des communications, voir la note de bas de page 278, et point 6.48 du code de bonnes pratiques relatif à l’interférence avec des équipements, voir la note de bas de page 348.

381

(382)  Article 156 de l’IPA 2016.

382

(383)  Articles 150 et 191 de l’IPA 2016.

383

(384)  La grande chambre de la Cour européenne des droits de l’homme dans l’affaire Big Brother Watch et autres/Royaume-Uni (voir note de bas de page 268 ci-dessus) a confirmé le système de garanties supplémentaires en matière de conservation, d’accès et de divulgation qui avait été mis en place au titre de la RIPA 2000 (voir points 392 à 394 et 402 à 405). Le même système de garanties est prévu par l’IPA 2016.

384

(385)  Articles 151 et 192 de l’IPA 2016.

385

(386)  Pour de plus amples informations à ce sujet, voir la note de bas de page 312.

386

(387)  Le code de bonnes pratiques relatif à l’interception des communications précise, à cet égard, que «[c]es systèmes de traitement traitent les données à partir des liens ou des signaux de communication que l’autorité qui intercepte les données a choisi d’intercepter. Un certain degré de filtrage est ensuite appliqué au trafic sur ces liens et signaux, pour sélectionner les types de communication qui sont susceptibles de présenter un intérêt pour le renseignement, tout en rejetant ceux qui sont les moins susceptibles d’être intéressants à cet égard. À la suite de ce filtrage, qui varie d’un système de traitement à l’autre, une part considérable des communications sur ces liens et signaux sera automatiquement écartée. D’autres recherches complexes peuvent ensuite être effectuées afin d’extraire les communications les plus susceptibles de présenter un intérêt pour le renseignement, qui sont liées aux pouvoirs réglementaires de l’agence concernée. Ces communications peuvent ensuite être sélectionnées en vue de leur examen pour une ou plusieurs des finalités opérationnelles précisées dans le mandat lorsque les conditions de nécessité et de proportionnalité sont remplies. Seules les données qui n’ont pas été écartées peuvent être sélectionnées en vue de leur examen par des personnes autorisées» (point 6.6 du code de bonnes pratiques relatif à l’interception des communications, voir la note de bas de page 278).

387

(388)  Voir l’article 152, paragraphe 1, points a) et b), de l’IPA 2016 selon lequel l’examen des deux types de données (contenus interceptés et données secondaires) n’est effectué que pour les finalités opérationnelles prévues et doit être nécessaire et proportionné en toutes circonstances.

388

(389)  Ce type de mandat n’est pas requis lorsque les données relatives aux personnes se trouvant dans les îles Britanniques sont des «données secondaires» (voir l’article 152, paragraphe 1), point c), de l’IPA 2016).

389

(390)  Articles 152 et 193 de l’IPA 2016.

390

(391)  Articles 155 et 196 de l’IPA 2016.

391

(392)  Articles 152 et 193 de l’IPA 2016.

392

(393)  Article 229 de l’IPA 2016.

393

(394)  Point 6.74 du code de bonnes pratiques relatif à l’interception des communications, voir la note de bas de page 278, et point 6.78 du code de bonnes pratiques relatif à l’interférence avec des équipements, voir la note de bas de page 348.

394

(395)  L’IPCO est constitué en vertu de l’article 238 de l’IPA 2016 afin de fournir à l’IPC le personnel, les locaux, les équipements et les autres installations et services nécessaires à l’exécution de ses missions (voir le considérant 251).

395

(396)  Le rapport annuel de 2018 de l’IPCO précisait que les justifications enregistrées par les analystes du GCHQ «respectaient les critères requis et les analystes rendaient compte de la proportionnalité de leurs demandes de collecte en masse de manière suffisamment détaillée». Point 6.22 du rapport annuel de 2018 du commissaire aux pouvoirs d’enquête, voir la note de bas de page 464.

396

(397)  Point 7.6 du rapport annuel de 2019 du commissaire aux pouvoirs d’enquête, voir la note de bas de page 463.

397

(398)  Point 10.22 du rapport annuel de 2019 du commissaire aux pouvoirs d’enquête, voir la note de bas de page 463.

398

(399)  Cela découle de la définition des données de communication contenue à l’article 261, paragraphe 5, de l’IPA 2016, selon laquelle les données de communication sont détenues ou obtenues par un opérateur de télécommunications et soit portent sur l’utilisateur d’un service de télécommunication et sur la fourniture de ce service, soit sont comprises dans une communication, en font partie, y sont jointes ou logiquement associées (voir également le code de bonnes pratiques relatif à l’acquisition de masse de données de communication, disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf, points 2.15 à 2.22). De plus, selon la définition d’un «opérateur de télécommunications» proposée à l’article 261, paragraphe 10, de l’IPA 2016, il doit s’agir d’une personne qui propose ou fournit un service de télécommunications à des personnes au Royaume-Uni ou qui contrôle ou fournit un système de télécommunications se trouvant au Royaume-Uni ou contrôlé depuis ce pays (entièrement ou en partie). Ces définitions indiquent clairement que les obligations au titre de l’IPA 2016 ne peuvent pas être imposées aux opérateurs de télécommunications dont les équipements ne se trouvent pas au Royaume-Uni ou ne sont pas contrôlés depuis ce pays ou qui ne proposent ou ne fournissent pas de services à des personnes se trouvant au Royaume-Uni (voir également le code de bonnes pratiques relatif à l’acquisition de masse de données de communication, point 2.2). Si des abonnés de l’Union (qu’ils se trouvent dans l’Union ou au Royaume-Uni) ont recours à des services au Royaume-Uni, toute donnée de communication en lien avec la fourniture de ce service sera collectée directement par le fournisseur de services au Royaume-Uni plutôt que de faire l’objet d’un transfert depuis l’Union.

399

(400)  L’article 94, paragraphe 1, de la loi de 1984 sur les télécommunications prévoyait que le secrétaire d’État pouvait donner «des instructions de nature générale lui semblant nécessaires ou utiles dans l’intérêt de la sécurité nationale [...]» (voir la note de bas de page 451).

400

(401)  Voir l’arrêt Privacy International, point 78.

401

(402)  Voir le point 4.11 du code de bonnes pratiques relatif à l’acquisition de masse des données de communication (voir la note de bas de page 399414).

402

(403)  Un mandat d’acquisition de masse ne peut être demandé que par les directeurs des services de renseignement, qui sont: i) le directeur général du MI5; ii) le chef du SIS; ou iii) le directeur du GCHQ (voir les articles 158 et 263 de l’IPA 2016).

403

(404)  Point 4.5 du code de bonnes pratiques relatif à l’acquisition de masse des données de communication (voir la note de bas de page 399).

404

(405)  Selon l’article 161 de l’IPA 2016, les finalités opérationnelles mentionnées dans le mandat doivent être précisées dans une liste tenue à jour par les directeurs des services de renseignement (la «liste des finalités opérationnelles») et être considérées par ces derniers comme des finalités opérationnelles pour lesquelles les données de communication obtenues dans le cadre de mandats d’acquisition de masse peuvent être sélectionnées en vue de leur examen.

405

(406)  Point 6.6 du code de bonnes pratiques relatif à l’acquisition de masse des données de communication (voir la note de bas de page 399).

406

(407)  L’article 172 de l’IPA 2016 exige que des garanties spécifiques soient mises en place pour la phase de filtrage et de sélection en vue de l’examen des communications acquises en masse. De plus, un examen réalisé de manière délibérée en violation de ces garanties constitue également une infraction pénale (voir l’article 173 de l’IPA 2016).

407

(408)  Article 171 de l’IPA 2016.

408

(409)  Article 171, paragraphe 9, de l’IPA 2016.

409

(410)  Article 162 de l’IPA 2016.

410

(411)  Article 163 de l’IPA 2016.

411

(412)  Articles 164 à 166 de l’IPA 2016.

412

(413)  Article 159 de l’IPA 2016.

413

(414)  Point 8.6 du rapport annuel de 2019 de l’IPCO, voir la note de bas de page 463.

414

(415)  Point 10.4 du rapport annuel de 2019 de l’IPCO, voir la note de bas de page 463.

415

(416)  Point 8.37 du rapport annuel de 2019 de l’IPCO, voir la note de bas de page 463.

416

(417)  Article 200 de l’IPA 2016.

417

(418)  Cadre explicatif relatif aux discussions sur l’adéquation du Royaume-Uni, section H: Sécurité nationale, page 34, voir la note de bas de page 29.

418

(419)  Article 204 de l’IPA 2016.

419

(420)  Point 4.7 du code de bonnes pratiques relatif à la conservation et à l’utilisation par les services de renseignement des ensembles de données à caractère personnel en masse, disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715478/Bulk_Personal_Datasets_Code_of_Practice.pdf

420

(421)  Article 205 de l’IPA 2016.

421

(422)  Par exemple, les données à caractère personnel sensibles, voir l’article 202 de l’IPA 2016 et les points 4.21 et 4.12 du code de bonnes pratiques relatif à la conservation et à l’utilisation par les services de renseignement des ensembles de données à caractère personnel en masse, voir la note de bas de page 469.

422

(423)  Une demande de mandat EDM spécifique doit faire l’objet d’un examen individuel par le secrétaire d’État, c.-à-d. à l’égard d’un ensemble de données spécifique. En vertu de l’article 205 de l’IPA, le service de renseignement est tenu d’inclure dans sa demande de mandat EDM spécifique une explication détaillée de la nature et de la portée des éléments en question, ainsi qu’une liste des «finalités opérationnelles» pour lesquelles le service de renseignement en question souhaite examiner l’EDM (lorsque le service de renseignement demande un mandat de conservation et d’examen, et pas uniquement un mandat de conservation). En revanche, lorsqu’il délivre un mandat EDM par catégorie, le secrétaire d’État examine en une seule fois l’intégralité de la catégorie d’ensembles de données.

423

(424)  Articles 204 et 205 de l’IPA 2016.

424

(425)  Article 2 de l’IPA 2016.

425

(426)  Articles 204 et 205 de l’IPA 2016.

426

(427)  Point 5.2 du code de bonnes pratiques relatif à la conservation et à l’utilisation par les services de renseignement des ensembles de données à caractère personnel en masse, voir la note de bas de page 420.

427

(428)  Points 8.1 à 8.15 du code de bonnes pratiques relatif à la conservation et à l’utilisation par les services de renseignement des ensembles de données à caractère personnel en masse, voir la note de bas de page 420.

428

(429)  Cadre explicatif relatif aux discussions sur l’adéquation du Royaume-Uni, section H: Sécurité nationale, page 34, voir la note de bas de page 29.

429

(430)  Article 87, paragraphe 1, de la DPA 2018.

430

(431)  Article 87, paragraphe 3, de la DPA 2018. Bien que les responsables du traitement puissent déroger à ce principe au titre de l’article 110 de la DPA 2018 dans la mesure où une telle dérogation est requise pour garantir la sécurité nationale, la dérogation doit être évaluée au cas par cas et ne peut être invoquée que dans la mesure où l’application d’une disposition particulière aurait des conséquences négatives sur la sécurité nationale (voir le considérant 132). Les certificats de sécurité nationale pour les services de renseignement britanniques (disponibles à l’adresse suivante: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/) ne couvrent pas l’article 87, paragraphe 3, de la DPA 2018. De plus, étant donné que tout traitement pour une finalité différente doit être autorisé par la loi, les services de renseignement doivent disposer d’une base juridique claire concernant le traitement ultérieur.

431

(432)  Pour de plus amples informations à ce sujet, voir la note de bas de page 312.

432

(433)  Voir la note de bas de page 312.

433

(434)  Orientations de l’ICO sur le traitement des services de renseignement (voir la note de bas de page 161).

434

(435)  Article 54 de l’IPA 2016.

435

(436)  Article 130 de l’IPA 2016.

436

(437)  Article 151 de l’IPA 2016.

437

(438)  Article 171, paragraphe 9, de l’IPA 2016.

438

(439)  Article 192 de l’IPA 2016.

439

(440)  Les dispositions doivent comprendre des mesures visant à garantir que toute copie faite des éléments est stockée, pour toute la durée de leur conservation, de manière sécurisée. Les éléments obtenus dans le cadre d’un mandat et toutes les copies faites de ces éléments doivent être détruits dès qu’il n’existe plus de motifs pertinents de les conserver (voir l’article 150, paragraphes 2 et 5 et l’article 151, paragraphe 2, de l’IPA 2016). Il convient de noter que des garanties similaires, prévues dans le cadre juridique précédent (RIPA 2000), ont été jugées conformes aux exigences fixées par la Cour européenne des droits de l’homme pour le partage d’éléments obtenus par interception de masse avec des États étrangers ou des organisations internationales [Cour européenne des droits de l’homme (grande chambre), Big Brother Watch et autres/Royaume-Uni (voir note de bas de page 279 ci-dessus), points 362 et 399].

440

(441)  Article 116 de la DPA 2018.

441

(442)  Conformément à l’annexe 13, point 2, de la DPA 2018, des avis d’exécution et de sanction peuvent être adressés à un responsable du traitement ou à un sous-traitant en lien avec des violations du chapitre 2 de la partie 4 de la DPA 2018 (principes du traitement), d’une disposition de la partie 4 de la DPA 2018 conférant des droits à une personne concernée, d’une obligation de communiquer une violation de données à caractère personnel au commissaire au titre de l’article 108 de la DPA 2018 et des principes applicables aux transferts de données à caractère personnel vers des pays tiers, vers des pays n’ayant pas adhéré à la convention et à des organisations internationales au titre de l’article 109 de la DPA 2018 (pour de plus amples informations sur les avis d’exécution et de sanction, voir le considérant 92).

442

(443)  En vertu de l’article 147, paragraphe 6, de la DPA 2018, le commissaire à l’information ne peut pas adresser un avis d’évaluation à un organe mentionné à l’article 23, paragraphe 3, de la loi de 2000 sur la liberté de l’information. Il peut notamment s’agir du Security Service (MI5), du Secret Intelligence Service (MI6) et du Government Communications Headquarter (GCHQ).

443

Security Service

Secret Intelligence Service

Government Communications Headquarter

(444)  Les dispositions pouvant faire l’objet d’une exemption sont les suivantes: l’article 108 (communication d’une violation de données à caractère personnel au commissaire); l’article 119 (inspection conformément aux obligations internationales); les articles 142 à 154 et l’annexe 15 (avis et pouvoirs d’accès et d’inspection du commissaire); et les articles 170 à 173 (infractions concernant des données à caractère personnel). De plus, concernant le traitement par les services de renseignement, l’annexe 13 (autres fonctions générales du commissaire), point 1, sous a) et g), et point 2.

444

(445)  Protocole d’accord entre le Bureau du commissaire à l’information et la communauté du renseignement britannique, voir la note de bas de page 165.

445

(446)  Dans le cas de sept réclamations, l’ICO a recommandé à l’auteur de la réclamation de signaler le problème au responsable du traitement (c’est le cas lorsqu’une personne a signalé le problème à l’ICO alors qu’elle aurait dû d’abord le signaler au responsable du traitement), dans le cas d’une réclamation, l’ICO a donné des conseils généraux au responsable du traitement (c’est le cas lorsque les actions du responsable du traitement ne semblent pas avoir violé la législation, mais que de meilleures pratiques auraient pu éviter que le problème ne soit signalé à l’ICO) et dans le cas des treize autres réclamations, le responsable du traitement n’a été tenu de prendre aucune mesure particulière (c’est le cas lorsque le problème signalé par la personne ne relève pas du champ d’application de la DPA 2018 car il concerne certes le traitement d’informations à caractère personnel, mais sur la base des informations fournies, le responsable du traitement ne semble pas avoir violé la législation).

446

(447)  Conformément à l’article 227, paragraphes 7 et 8, de l’IPA 2016, le commissaire aux pouvoirs d’enquête est un commissaire judiciaire et le commissaire aux pouvoirs d’enquête et les autres commissaires judiciaires sont désignés collectivement sous le nom de commissaires judiciaires. À l’heure actuelle, on compte 15 commissaires judiciaires.

447

(448)  Selon l’article 60, paragraphe 2, de la partie 3 de la loi de 2005 sur la réforme constitutionnelle, les «hautes fonctions judiciaires» correspondent aux fonctions de juge dans l’une des juridictions suivantes: i) la Cour suprême; ii) la Cour d’appel d’Angleterre et du pays de Galles (Court of Appeal in England and Wales); iii) la Haute Cour d’Angleterre et du pays de Galles (High Court in England and Wales); iv) la Cour de session (Court of Session); v) la Cour d’appel d’Irlande du Nord (Court of Appeal in Northern Ireland); vi) la Haute Cour d’Irlande du Nord (High Court in Northern Ireland); ou aux fonctions de Lord judiciaire (Lord of Appeal in Ordinary).

448

Court of Appeal in England and Wales

High Court in England and Wales

Court of Session

Court of Appeal in Northern Ireland

High Court in Northern Ireland

Lord of Appeal in Ordinary

(449)  L’indépendance des juges est établie par convention et a été largement reconnue depuis l’Acte d’établissement (Act of Settlement) de 1701.

449

Act of Settlement

(450)  Article 227, paragraphe 3, de l’IPA 2016. Les commissaires judiciaires doivent également être recommandés par le commissaire aux pouvoirs d’enquête, voir l’article 227, paragraphe 4, point e), de l’IPA 2016.

450

(451)  Article 238 de l’IPA 2016.

451

(452)  Article 227, paragraphe 2, de l’IPA 2016.

452

(453)  Le processus de destitution est identique au processus de destitution d’autres juges au Royaume-Uni (voir par exemple l’article 11, paragraphe 3, de la loi de 1981 sur les Cours supérieures et l’article 33 de la loi de 2005 sur la réforme constitutionnelle, qui exigent également une résolution suivie de l’approbation des deux chambres du Parlement). À ce jour, aucun commissaire judiciaire n’a été destitué.

453

(454)  Un organisme indépendant est une organisation ou une agence qui reçoit des financements d’un gouvernement, mais qui est en mesure d’agir de manière indépendante (pour une définition et de plus amples informations sur la notion d’organisme indépendant, voir le manuel du Bureau du Cabinet sur la classification des organismes publics, disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/519571/Classification-of-Public_Bodies-Guidance-for-Departments.pdf et le premier rapport de la session 2014-2015 de la commission spéciale de l’administration publique de la Chambre des communes, disponible à l’adresse suivante: https://publications.parliament.uk/pa/cm201415/cmselect/cmpubadm/110/110.pdf )

454

(455)  Conformément à l’article 229 de l’IPA 2016, les commissaires judiciaires disposent de pouvoirs de surveillance étendus qui couvrent également le contrôle de la conservation et de la divulgation des données collectées par les services de renseignement.

455

(456)  Les décisions relatives à l’approbation d’une décision du secrétaire d’État de délivrer un mandat relèvent de la compétence des commissaires judiciaires eux-mêmes. Si un commissaire refuse d’approuver un mandat, le secrétaire d’État peut interjeter appel devant le commissaire aux pouvoirs d’enquête, dont la décision est définitive.

456

(457)  L’autorisation de l’IPC est toujours nécessaire lorsque les données de communication sont acquises à des fins répressives (article 60A de l’IPA 2016). Lorsque des données de communication sont acquises à des fins de sécurité nationale, l’autorisation peut être accordée par l’IPC ou par un haut fonctionnaire désigné de l’autorité publique compétente (voir les articles 61 et 61A de l’IPA 2016 et le considérant 203).

457

(458)  Déclaration de fin de mission du rapporteur spécial sur le droit à la vie privée à l’issue de sa mission au Royaume-Uni de Grande-Bretagne et d’Irlande du Nord (voir la note de bas de page 281).

458

(459)  Article 229 de l’IPA 2016. Les pouvoirs d’enquête et d'information des commissaires judiciaires sont énoncés à l’article 235 de l’IPA 2016.

459

(460)  Il s’agit notamment des mesures de surveillance prévues au titre de la RIPA 2000, de l’exercice des fonctions au titre de la partie 3 de la loi de 1997 sur la police (autorisation d’agir concernant des biens) et de l’exercice par le secrétaire d’État de fonctions au titre des articles 5 à 7 de la loi de 1994 sur les services de renseignement [mandats d’interférence avec la télégraphie sans fil, d’accès et d’interférence avec des biens (article 229 de l’IPA 2016)].

460

(461)  Article 230 de l’IPA 2016. L’IPC peut également adresser de sa propre initiative au Premier ministre un rapport sur tout sujet relevant de ses fonctions. L’IPC doit également présenter un rapport au Premier ministre sur demande de celui-ci, et le Premier ministre peut demander à l’IPC d’examiner toute fonction des services de renseignement.

461

(462)  Certaines parties peuvent en être exclues dans le cas où leur publication serait contraire à la sécurité nationale.

462

(463)  Par exemple, dans le rapport annuel de 2019 de l’IPCO (point 6.38), il est mentionné qu’il a été recommandé au MI5 de modifier sa politique de conservation des ensembles de données à caractère personnel en masse (EDM) étant donné qu’il aurait dû adopter une approche tenant compte de la proportionnalité de la conservation pour tous les domaines des bases d’EDM et pour chaque EDM détenu. Fin 2018, l’IPCO n’était pas convaincu que cette recommandation avait été suivie et le rapport de 2019 a expliqué que le MI5 était en train de mettre en place une nouvelle procédure pour s’acquitter de cette obligation. Le rapport annuel de 2019 (point 8.22) mentionne également le fait qu’une série de recommandations a été adressée au GCHQ concernant son registre rendant compte de la proportionnalité de ses demandes relatives aux données en masse. Le rapport confirme que des progrès ont été accomplis dans ce domaine fin 2018. Rapport annuel de 2019 du Bureau du commissaire aux pouvoirs d’enquête, disponible à l’adresse suivante: https://www.ipco.org.uk/docs/IPC%20Annual%20Report%202019_Web%20Accessible%20version_final.pdf. En outre, chaque inspection de l’IPCO d’une autorité publique se conclut par un rapport qui est remis à l’autorité et qui contient des recommandations découlant de cette inspection. L’IPCO commence ensuite chaque inspection ultérieure par un examen des recommandations de la fois précédente et le nouveau rapport d’inspection précise si ces recommandations ont été suivies ou sont toujours pertinentes.

463

(464)  Une erreur est considérée comme «grave» lorsque le commissaire considère qu’elle a causé un préjudice ou un dommage considérable à la personne concernée (article 231, paragraphe 2, de l’IPA 2016). En 2018, 22 erreurs ont été signalées, dont huit ont été considérées comme graves et ont été portées à la connaissance de la personne concernée. Voir le rapport annuel de 2018 du Bureau du commissaire aux pouvoirs d’enquête, annexe C (voir https://www.ipco.org.uk/docs/IPCO%20Annual%20Report%202018%20final.pdf). En 2019, 14 erreurs ont été considérées comme graves. Voir le rapport annuel de 2019 du Bureau du commissaire aux pouvoirs d’enquête, annexe C, voir la note de bas de page 463.

464

(465)  L’article 231 de l’IPA 2016 précise que, lorsqu’il informe une personne de l’existence d’une erreur, l’IPC doit lui fournir les informations qu’il juge nécessaires à l’exercice de ces droits, en tenant particulièrement compte de la mesure dans laquelle la divulgation des informations serait contraire à l’intérêt public ou préjudiciable à la prévention ou la détection des infractions graves, la prospérité économique du Royaume-Uni ou la poursuite de l’exécution des missions des services de renseignement.

465

(466)  Comme l’ont expliqué les autorités britanniques, la loi sur la justice et la sécurité a développé le mandat de l’ISC pour y inclure un rôle de surveillance de la communauté du renseignement qui va au-delà des trois agences de renseignement et permet la surveillance rétrospective des activités opérationnelles des agences sur des questions d’intérêt national majeur.

466

(467)  Article 2 de la JSA 2013.

467

(468)  Protocole d’accord entre le Premier ministre et l’ISC, disponible à l’adresse suivante: http://data.parliament.uk/DepositedPapers/Files/DEP2013-0415/AnnexA-JSBill-summaryofISCMoU.pdf

468

(469)  Point 14 du protocole d’accord entre le premier ministre et l’ISC, voir la note de bas de page 468.

469

(470)  Le secrétaire d’État ne peut opposer son veto à la divulgation d’informations que pour deux raisons: les informations sont de nature sensible et ne devraient pas être divulguées à l’ISC dans l’intérêt de la sécurité nationale; ou les informations sont d’une nature telle que, si l’on demandait au secrétaire d’État de les présenter devant une commission spéciale de la Chambre des communes consacrée à un ministère donné, il considérerait (pour des raisons ne se limitant pas à la sécurité nationale) qu’il ne serait pas approprié de le faire. (Annexe 1, point 4 2), de la loi RIPA 2013).

470

(471)  Cadre explicatif relatif aux discussions sur l’adéquation du Royaume-Uni, section H: Sécurité nationale, page 43, voir la note de bas de page 31.

471

(472)  Article 1 de la JSA 2013. Les ministres ne sont pas éligibles au statut de membre. Les membres restent membres de l’ISC pour la durée du mandat parlementaire au cours duquel ils ont été nommés. Ils peuvent être destitués par une résolution de la Chambre qui les a nommés, s’ils cessent d’être parlementaires ou s’ils deviennent ministres. Un membre peut également démissionner.

472

(473)  Les rapports et déclarations de la commission sont disponibles en ligne à l’adresse suivante: https://isc.independent.gov.uk/publications/. En 2015, l’ISC a publié un rapport intitulé «Privacy and Security: a modern and transparent legal framework» (Vie privée et sécurité: un cadre juridique moderne et transparent) (voir: https://isc.independent.gov.uk/wp-content/uploads/2021/01/20150312_ISC_PSRptweb.pdf), dans lequel elle a analysé le cadre juridique applicable aux techniques de surveillance utilisées par les agences de renseignement et a publié une série de recommandations qui a été ensuite prise en compte et intégrée dans le projet de loi sur les pouvoirs d’enquête, devenu l’IPA 2016. La réponse du gouvernement au rapport sur la vie privée et la sécurité est disponible à l’adresse suivante: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20151208_Privacy_and_Security_Government_Response.pdf

473

(474)  Articles 142, 161 et 183 de l’IPA 2016.

474

(475)  Article 234 de l’IPA 2016.

475

(476)  Article 236 de l’IPA 2016.

476

(477)  Commission sur le renseignement et la sécurité du Parlement, rapport sur le projet de loi sur les pouvoirs d’enquête, disponible à l’adresse suivante: https://isc.independent.gov.uk/wp-content/uploads/2021/01/20160209_ISC_Rpt_IPBillweb.pdf

477

(478)  Ces obligations générales relatives à la protection de la vie privée sont désormais énoncées à l’article 2, paragraphe 2, de l’IPA 2016, qui prévoit qu’une autorité publique agissant au titre de ladite loi doit déterminer si l’objectif visé par le mandat, l’autorisation ou l’avis pourrait être raisonnablement atteint par d’autres moyens moins intrusifs ou si le niveau de protection à appliquer concernant l’obtention d’informations en vertu du mandat, de l’autorisation ou de l’avis est plus élevé en raison de la nature particulièrement sensible des informations en question, de l’intérêt public à assurer l’intégrité et la sécurité des systèmes de télécommunication et des services postaux et de tout autre aspect de l’intérêt public à assurer la protection de la vie privée.

478

(479)  Par exemple, à la suite de la demande de l’ISC, le nombre de jours pendant lesquels un mandat «urgent» peut être en vigueur avant que le commissaire judiciaire ne doive l’approuver a été réduit de cinq à trois jours ouvrables et l’ISC dispose désormais du droit de soumettre la question au commissaire aux pouvoirs d’enquête en vue d’une enquête.

479

(480)  Arrêt Schrems II, point 194.

480

(481)  Arrêt Schrems II, point 197.

481

(482)  Article 94, paragraphe 11, de la DPA 2018.

482

(483)  Article 99, paragraphe 4, de la DPA 2018.

483

(484)  Article 100, paragraphe 1, de la DPA 2018.

484

(485)  L’article 169 de la DPA 2018 autorise les réclamations introduites par «[u]ne personne qui a subi un préjudice du fait de la violation d’une exigence de la législation relative à la protection des données». Selon les informations fournies par les autorités britanniques, en pratique, il est probable qu’une réclamation ou une plainte à l’encontre des services de renseignement soit présentée auprès du tribunal chargé des pouvoirs d’enquête, qui dispose d’une vaste compétence, qui peut accorder des indemnisations/des dommages-intérêts et devant lequel le dépôt d’une réclamation n’entraîne aucun coût.

485

(486)  Article 169, paragraphe 5, de la DPA 2018.

486

(487)  Selon l’annexe 3 de la RIPA 2000, les membres doivent disposer d’une certaine expérience judiciaire et leur mandat peut être renouvelé.

487

(488)  Une «intervention» est une motion déposée devant le Parlement qui vise à informer le monarque des avis du Parlement sur une question spécifique.

488

(489)  Annexe 3, point 1 5), de la loi RIPA 2000.

489

(490)  Article 65, paragraphe 5, de la RIPA 2000.

490

(491)  Au sujet du critère de «conviction», voir l’affaire Human Rights Watch/Secretary of State [2016] UKIPTrib15_165-CH, point 41. Dans cette affaire, le tribunal chargé des pouvoirs d’enquête, en renvoyant à la jurisprudence de la Cour européenne des droits de l’homme, a conclu que le critère approprié consiste à déterminer si, en ce qui concerne la conviction affirmée qu’une conduite relevant de l’article 68, paragraphe 5, de la RIPA 2000 a été mise en œuvre par un service de renseignement ou pour le compte de celui-ci, cette conviction est fondée, par exemple parce que la personne peut se prétendre victime d’une violation causée par la simple existence de mesures de surveillance secrète ou d’une législation autorisant de telles mesures uniquement si elle est en mesure de démontrer que, du fait de sa situation personnelle, elle risque potentiellement d’être visée par ces mesures.

491

(492)  Article 65, paragraphe 4, point a), de la RIPA 2000.

492

(493)  Ces circonstances font référence à une conduite des autorités publiques mise en œuvre en vertu d’un pouvoir (par ex. un mandat, une autorisation/un avis d’acquisition de communications, etc.) ou aux cas dans lesquels les circonstances sont telles (que ce pouvoir existe ou non) qu’il aurait été inapproprié de mettre en œuvre cette conduite en l’absence de ce pouvoir, ou du moins sans avoir vérifié au préalable s’il convenait d’en faire la demande. Les conduites autorisées par un commissaire judiciaire sont considérées comme ayant été mises en œuvre dans des circonstances contestables (article 65, paragraphe 7ZA, de la RIPA 2000), tandis que d’autres conduites mises en œuvre avec l’autorisation d’une personne exerçant une fonction juridictionnelle ne sont pas considérées comme ayant été mises en œuvre dans des circonstances contestables (article 65, paragraphes 7 et 8, de la RIPA 2000).

493

(494)  Selon les informations fournies par les autorités britanniques, compte tenu du seuil peu élevé pour l’introduction d’une réclamation, il n’est pas inhabituel que l’enquête du tribunal détermine qu’en réalité, l’auteur de la réclamation n’a jamais fait l’objet d’une enquête menée par une autorité publique. Le dernier rapport statistique du tribunal chargé des pouvoirs d’enquête précise qu’en 2016, le tribunal a reçu 209 réclamations, dont 52 % ont été considérées comme fantaisistes ou vexatoires et 25 % ont débouché sur un non-lieu. Selon les explications fournies par les autorités britanniques, cela signifie soit qu’aucune activité/aucun pouvoir de surveillance secrète n’a été utilisé en lien avec l’auteur de la réclamation, soit que des techniques de surveillance secrète ont été utilisées, mais que le tribunal a considéré que l’activité était légale. De plus, 11 % ont été jugées comme ne relevant pas de la compétence du tribunal, ont été retirées ou invalidées, 5 % ont été jugées comme tombant sous le coup de la prescription et 7 % ont fait l’objet d’un jugement en faveur de l’auteur de la réclamation. Rapport statistique de 2016 du tribunal chargé des pouvoirs d’enquête, disponible à l’adresse suivante: https://www.ipt-uk.com/docs/IPT%20Statisical%20Report%202016.pdf

494

(495)  Voir la décision dans l’affaire Human Rights Watch/Secretary of State [2016] UKIPTrib15_165-CH. Dans cette affaire, le tribunal chargé des pouvoirs d’enquête, en renvoyant à la jurisprudence de la Cour européenne des droits de l’homme, a conclu que le critère approprié, en ce qui concerne la conviction qu’une conduite relevant de l’article 68, paragraphe 5, de la RIPA 2000 a été mise en œuvre par un service de renseignement ou pour le compte de celui-ci, consiste à déterminer si cette conviction est fondée, notamment par le fait que la personne peut se prétendre victime d’une violation causée par la simple existence de mesures de surveillance secrète ou d’une législation autorisant de telles mesures uniquement si elle est en mesure de démontrer que, du fait de sa situation personnelle, elle risque potentiellement d’être visée par ces mesures (voir la décision dans l’affaire Human Rights Watch/Secretary of State, point 41).

495

(496)  Article 67, paragraphe 3, de la RIPA 2000.

496

(497)  Article 67, paragraphe 2, de la RIPA 2000.

497

(498)  Article 68, paragraphes 6 et 7, de la RIPA 2000.

498

(499)  Article 68, paragraphe 4, de la RIPA 2000.

499

(500)  La décision rendue dans l’affaire Liberty & Others/the Security Service, SIS, GCHQ, [2015] UKIP Trib 13_77-H_2, constitue un exemple de l’application de ces pouvoirs. Le tribunal a tranché en faveur des deux auteurs de la réclamation car, dans un cas, les communications avaient été conservées au-delà des limites prévues et, dans l’autre, la procédure d’examen n’avait pas été respectée conformément au règlement intérieur du GCHQ. Dans la première affaire, le tribunal a ordonné aux services de renseignement de détruire les communications conservées plus longtemps que la période applicable. Dans la deuxième affaire, aucun ordre de destruction n’a été délivré puisque les communications n’avaient pas été conservées.

500

(501)  Arrêt dans l’affaire Kennedy, voir la note de bas de page 129.

501

(502)  Cour européenne des droits de l’homme, Big Brother Watch et autres/Royaume-Uni (voir note 268 ci-dessus), points 413 à 415.

502

(503)  Cour européenne des droits de l’homme, arrêt Big Brother Watch, point 425.

503

(504)  Comme l’illustre, par exemple, le récent arrêt de la grande chambre de la Cour européenne des droits de l’homme dans l’affaire Big Brother Watch et autres/Royaume-Uni (voir note 279 ci-dessus), cela permet un contrôle juridictionnel effectif – similaire à celui auquel sont soumis les États membres de l’Union – par une juridiction internationale sur le respect des droits fondamentaux par les autorités publiques lors de l’accès à des données à caractère personnel. En outre, l’exécution des arrêts de la Cour européenne des droits de l’homme est soumise à un contrôle spécifique du Conseil de l’Europe.

504

(505)  Dans l’affaire Belhaj & others [2017] UKSC 3, la détermination de l’illégalité de l’interception d’éléments couverts par le secret professionnel était directement fondée sur l’article 8 de la CEDH (voir le moyen 11).

505

(506)  Haute Cour de Justice, arrêt Liberty, [2019] EWHC 2057 (Admin), point 170.

506

(507)  Arrêt Schrems, point 65.

507

(508)  Arrêt Schrems, point 65: «À cet égard, il incombe au législateur national de prévoir des voies de recours permettant à l’autorité nationale de contrôle concernée de faire valoir les griefs qu’elle estime fondés devant les juridictions nationales afin que ces dernières procèdent, si elles partagent les doutes de cette autorité quant à la validité de la décision de la Commission, à un renvoi préjudiciel aux fins de l’examen de la validité de cette décision.»

508

(509)  Avis 14/2021 concernant le projet de décision d’exécution de la Commission européenne conformément au règlement (UE) 2016/679 constatant le niveau de protection adéquat des données à caractère personnel assuré par le Royaume-Uni, disponible à l’adresse suivante: https://edpb.europa.eu/our-work-tools/our-documents/opinion-art-70/opinion-142021-regarding-european-commission-draft_en

509

---

| 11.10.2021 | FR | Journal officiel de l’Union européenne | L 360/69 |
| --- | --- | --- | --- |

11.10.2021

FR

Journal officiel de l’Union européenne

L 360/69

---

DÉCISION D’EXÉCUTION (UE) 2021/1773 DE LA COMMISSION

du 28 juin 2021

constatant, conformément à la directive (UE) 2016/680 du Parlement européen et du Conseil, le caractère adéquat du niveau de protection des données à caractère personnel assuré par le Royaume-Uni

[notifiée sous le numéro C(2021) 4801]

LA COMMISSION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (1), et en particulier son article 36, paragraphe 3,

considérant ce qui suit:

1.   INTRODUCTION

INTRODUCTION

| (1) | La directive (UE) 2016/680 fixe les règles applicables au transfert des données à caractère personnel des autorités compétentes au sein de l’Union vers des pays tiers et à des organisations internationales, dans la mesure où ces transferts relèvent de son champ d’application. Les règles relatives aux transferts internationaux de données par les autorités compétentes sont définies au chapitre V de la directive (UE) 2016/680, et plus précisément aux articles 35 à 40. Si le flux des données à caractère personnel en provenance ou à destination de pays non membres de l’Union européenne est essentiel à la coopération efficace en matière répressive, il convient de garantir que le niveau de protection des données à caractère personnel au sein de l’Union européenne n’est pas compromis par ces transferts (2). |
| --- | --- |

(1)

La directive (UE) 2016/680 fixe les règles applicables au transfert des données à caractère personnel des autorités compétentes au sein de l’Union vers des pays tiers et à des organisations internationales, dans la mesure où ces transferts relèvent de son champ d’application. Les règles relatives aux transferts internationaux de données par les autorités compétentes sont définies au chapitre V de la directive (UE) 2016/680, et plus précisément aux articles 35 à 40. Si le flux des données à caractère personnel en provenance ou à destination de pays non membres de l’Union européenne est essentiel à la coopération efficace en matière répressive, il convient de garantir que le niveau de protection des données à caractère personnel au sein de l’Union européenne n’est pas compromis par ces transferts (2).

2

| (2) | En vertu de l’article 36, paragraphe 3, de la directive (UE) 2016/680, la Commission peut constater au moyen d’un acte d’exécution qu’un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans un pays tiers en question, ou une organisation internationale, assurent un niveau de protection adéquat. Dans cette circonstance, les transferts de données à caractère personnel vers un pays tiers peuvent avoir lieu sans qu’il soit nécessaire d’obtenir une autre autorisation (sauf lorsqu’un autre État membre auprès duquel les données ont été collectées doit autoriser le transfert), comme prévu à l’article 35, paragraphe 1, et au considérant 66 de la directive (UE) 2016/680. |
| --- | --- |

(2)

En vertu de l’article 36, paragraphe 3, de la directive (UE) 2016/680, la Commission peut constater au moyen d’un acte d’exécution qu’un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans un pays tiers en question, ou une organisation internationale, assurent un niveau de protection adéquat. Dans cette circonstance, les transferts de données à caractère personnel vers un pays tiers peuvent avoir lieu sans qu’il soit nécessaire d’obtenir une autre autorisation (sauf lorsqu’un autre État membre auprès duquel les données ont été collectées doit autoriser le transfert), comme prévu à l’article 35, paragraphe 1, et au considérant 66 de la directive (UE) 2016/680.

| (3) | Comme précisé à l’article 36, paragraphe 2, de la directive (UE) 2016/680, l’adoption d’une décision d’adéquation doit reposer sur une analyse approfondie de l’ordre juridique du pays tiers. Dans son évaluation, la Commission doit déterminer si le pays tiers en question assure un niveau de protection «essentiellement équivalent» à celui qui est assuré au sein de l’Union européenne [considérant 67 de la directive (UE) 2016/680]. La norme en fonction de laquelle le niveau «essentiellement équivalent» est évalué est celle établie par la législation de l’Union européenne, notamment la directive (UE) 2016/680, ainsi que par la jurisprudence de la Cour de justice de l’Union européenne (3). Les critères de référence pour l’adéquation définis par le comité européen de la protection des données sont également importants à cet égard (4). |
| --- | --- |

(3)

Comme précisé à l’article 36, paragraphe 2, de la directive (UE) 2016/680, l’adoption d’une décision d’adéquation doit reposer sur une analyse approfondie de l’ordre juridique du pays tiers. Dans son évaluation, la Commission doit déterminer si le pays tiers en question assure un niveau de protection «essentiellement équivalent» à celui qui est assuré au sein de l’Union européenne [considérant 67 de la directive (UE) 2016/680]. La norme en fonction de laquelle le niveau «essentiellement équivalent» est évalué est celle établie par la législation de l’Union européenne, notamment la directive (UE) 2016/680, ainsi que par la jurisprudence de la Cour de justice de l’Union européenne (3). Les critères de référence pour l’adéquation définis par le comité européen de la protection des données sont également importants à cet égard (4).

3

4

| (4) | Comme l’a précisé la Cour de justice de l’Union européenne, il n’est pas requis d’assurer un niveau de protection identique (5). En particulier, les moyens auxquels ce pays tiers a recours aux fins de la protection des données à caractère personnel peuvent être différents de ceux mis en œuvre au sein de l’Union, pour autant qu’ils s’avèrent, en pratique, effectifs afin d’assurer un niveau de protection adéquat (6). Le principe de niveau de protection adéquat n’exige donc pas que l’on reproduise à l’identique les règles de l’Union. Il s’agit plutôt de déterminer si le système étranger offre, dans son ensemble, par l’essence de ses droits en matière de protection de la vie privée et leur mise en œuvre effective, leur opposabilité et le contrôle de leur application, le niveau requis de protection (7). |
| --- | --- |

(4)

Comme l’a précisé la Cour de justice de l’Union européenne, il n’est pas requis d’assurer un niveau de protection identique (5). En particulier, les moyens auxquels ce pays tiers a recours aux fins de la protection des données à caractère personnel peuvent être différents de ceux mis en œuvre au sein de l’Union, pour autant qu’ils s’avèrent, en pratique, effectifs afin d’assurer un niveau de protection adéquat (6). Le principe de niveau de protection adéquat n’exige donc pas que l’on reproduise à l’identique les règles de l’Union. Il s’agit plutôt de déterminer si le système étranger offre, dans son ensemble, par l’essence de ses droits en matière de protection de la vie privée et leur mise en œuvre effective, leur opposabilité et le contrôle de leur application, le niveau requis de protection (7).

5

6

7

| (5) | La Commission a soigneusement analysé la législation et les pratiques pertinentes du Royaume-Uni (UK). Sur la base de ses constatations, exposées ci-dessous, la Commission conclut que le Royaume-Uni assure un niveau de protection adéquat des données à caractère personnel transférées des autorités compétentes au sein de l’Union relevant du champ d’application de la directive (UE) 2016/680, vers les autorités compétentes au sein du Royaume-Uni relevant du champ d’application de la partie 3 de la loi de 2018 sur la protection des données (Data Protection Act 2018, la «loi DPA 2018») (8). |
| --- | --- |

(5)

La Commission a soigneusement analysé la législation et les pratiques pertinentes du Royaume-Uni (UK). Sur la base de ses constatations, exposées ci-dessous, la Commission conclut que le Royaume-Uni assure un niveau de protection adéquat des données à caractère personnel transférées des autorités compétentes au sein de l’Union relevant du champ d’application de la directive (UE) 2016/680, vers les autorités compétentes au sein du Royaume-Uni relevant du champ d’application de la partie 3 de la loi de 2018 sur la protection des données (Data Protection Act 2018, la «loi DPA 2018») (8).

8

| (6) | La présente décision a pour effet d’autoriser ces transferts sans qu’il soit nécessaire d’obtenir une autre autorisation pendant une période de quatre ans, renouvelable, et sans préjudice des conditions exposées à l’article 35 de la directive (UE) 2016/680. |
| --- | --- |

(6)

La présente décision a pour effet d’autoriser ces transferts sans qu’il soit nécessaire d’obtenir une autre autorisation pendant une période de quatre ans, renouvelable, et sans préjudice des conditions exposées à l’article 35 de la directive (UE) 2016/680.

2.   RÈGLES APPLICABLES AU TRAITEMENT DE DONNÉES À CARACTÈRE PERSONNEL PAR LES AUTORITÉS COMPÉTENTES À DES FINS RÉPRESSIVES

RÈGLES APPLICABLES AU TRAITEMENT DE DONNÉES À CARACTÈRE PERSONNEL PAR LES AUTORITÉS COMPÉTENTES À DES FINS RÉPRESSIVES

2.1.   Le cadre constitutionnel

Le cadre constitutionnel

| (7) | Le Royaume-Uni est une démocratie parlementaire. Il dispose d’un Parlement souverain qui constitue l’autorité suprême de toutes les autres institutions publiques, d’un pouvoir exécutif issu du Parlement et responsable devant ce dernier ainsi que d’un pouvoir judiciaire indépendant. Le pouvoir exécutif tire son autorité de sa capacité à bénéficier de la confiance de la Chambre des communes élue et il est responsable devant les deux Chambres du Parlement (Chambre des communes et Chambre des lords), qui sont elles-mêmes chargées de contrôler le gouvernement et de débattre des lois et de les adopter. Le Parlement du Royaume-Uni a délégué au Parlement écossais, au Parlement gallois (Sanedd Cymru) et à l’Assemblée d’Irlande du Nord la responsabilité de légiférer sur certaines questions internes en Écosse, au pays de Galles et en Irlande du Nord. Si la protection des données relève de la compétence exclusive du Parlement du Royaume-Uni, c’est-à-dire que la même législation s’applique dans tout le pays, d’autres domaines d’action politique présentant un intérêt pour la présente décision ont été décentralisés. Par exemple, les systèmes de justice pénale, y compris les fonctions de police (les activités exercées par les forces de police) en Écosse et en Irlande du Nord, sont respectivement dévolus au Parlement écossais et à l’Assemblée d’Irlande du Nord (9). |
| --- | --- |

(7)

Le Royaume-Uni est une démocratie parlementaire. Il dispose d’un Parlement souverain qui constitue l’autorité suprême de toutes les autres institutions publiques, d’un pouvoir exécutif issu du Parlement et responsable devant ce dernier ainsi que d’un pouvoir judiciaire indépendant. Le pouvoir exécutif tire son autorité de sa capacité à bénéficier de la confiance de la Chambre des communes élue et il est responsable devant les deux Chambres du Parlement (Chambre des communes et Chambre des lords), qui sont elles-mêmes chargées de contrôler le gouvernement et de débattre des lois et de les adopter. Le Parlement du Royaume-Uni a délégué au Parlement écossais, au Parlement gallois (Sanedd Cymru) et à l’Assemblée d’Irlande du Nord la responsabilité de légiférer sur certaines questions internes en Écosse, au pays de Galles et en Irlande du Nord. Si la protection des données relève de la compétence exclusive du Parlement du Royaume-Uni, c’est-à-dire que la même législation s’applique dans tout le pays, d’autres domaines d’action politique présentant un intérêt pour la présente décision ont été décentralisés. Par exemple, les systèmes de justice pénale, y compris les fonctions de police (les activités exercées par les forces de police) en Écosse et en Irlande du Nord, sont respectivement dévolus au Parlement écossais et à l’Assemblée d’Irlande du Nord (9).

9

| (8) | Bien que le Royaume-Uni ne dispose pas d’une constitution codifiée à proprement parler, ses principes constitutionnels se sont dessinés au fil du temps, découlant notamment de la jurisprudence et de la convention. La valeur constitutionnelle de certains textes législatifs, tels que la Grande Charte (Magna Carta), la déclaration des droits de 1689 (Bill of Rights 1689) et la loi de 1998 sur les droits de l’homme (Human Rights Act 1998), a été reconnue. Les droits fondamentaux des personnes ont été intégrés dans ce corpus constitutionnel à partir de la common law, des textes législatifs et des traités internationaux, en particulier la Convention européenne des droits de l’homme (CEDH), que le Royaume-Uni a ratifiée en 1951. Le Royaume-Uni a également ratifié la convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (convention 108) en 1987 (10). |
| --- | --- |

(8)

Bien que le Royaume-Uni ne dispose pas d’une constitution codifiée à proprement parler, ses principes constitutionnels se sont dessinés au fil du temps, découlant notamment de la jurisprudence et de la convention. La valeur constitutionnelle de certains textes législatifs, tels que la Grande Charte (Magna Carta), la déclaration des droits de 1689 (Bill of Rights 1689) et la loi de 1998 sur les droits de l’homme (Human Rights Act 1998), a été reconnue. Les droits fondamentaux des personnes ont été intégrés dans ce corpus constitutionnel à partir de la common law, des textes législatifs et des traités internationaux, en particulier la Convention européenne des droits de l’homme (CEDH), que le Royaume-Uni a ratifiée en 1951. Le Royaume-Uni a également ratifié la convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (convention 108) en 1987 (10).

10

| (9) | La loi de 1998 sur les droits de l’homme inscrit les droits énoncés dans la CEDH dans le droit du Royaume-Uni. Elle accorde à toute personne les droits et libertés fondamentaux prévus aux articles 2 à 12 et à l’article 14 de la CEDH et aux articles 1 à 3 du protocole no 1 et à l’article 1er du protocole no 13, lus en combinaison avec les articles 16 à 18 de la CEDH. Il s’agit notamment du droit au respect de la vie privée et familiale, qui inclut lui-même le droit à la protection des données, et du droit à un procès équitable (11). En particulier, en vertu de l’article 8 de la CEDH, il ne peut y avoir ingérence d’une autorité publique dans l’exercice de ce droit au respect de la vie privée que pour autant que cette ingérence est prévue par la loi et qu’elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l’ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d’autrui. |
| --- | --- |

(9)

La loi de 1998 sur les droits de l’homme inscrit les droits énoncés dans la CEDH dans le droit du Royaume-Uni. Elle accorde à toute personne les droits et libertés fondamentaux prévus aux articles 2 à 12 et à l’article 14 de la CEDH et aux articles 1 à 3 du protocole no 1 et à l’article 1er du protocole no 13, lus en combinaison avec les articles 16 à 18 de la CEDH. Il s’agit notamment du droit au respect de la vie privée et familiale, qui inclut lui-même le droit à la protection des données, et du droit à un procès équitable (11). En particulier, en vertu de l’article 8 de la CEDH, il ne peut y avoir ingérence d’une autorité publique dans l’exercice de ce droit au respect de la vie privée que pour autant que cette ingérence est prévue par la loi et qu’elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l’ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d’autrui.

o

er

o

11

| (10) | Conformément à la loi de 1998 sur les droits de l’homme, toute action entreprise par les autorités publiques doit être compatible avec les droits garantis en vertu de la CEDH (12). En outre, les lois et règlements doivent être interprétés et appliqués d’une manière qui soit compatible avec ces droits (13). Dès lors qu’une personne estime que ses droits, y compris ses droits au respect de la vie privée et à la protection des données, ont été violés par les autorités publiques, cette personne peut obtenir réparation devant les juridictions du Royaume-Uni en application de la loi de 1998 sur les droits de l’homme et, en dernier ressort, après avoir épuisé toutes les voies de recours nationales, elle peut demander réparation devant la Cour européenne des droits de l’homme pour violation des droits garantis par la CEDH. |
| --- | --- |

(10)

Conformément à la loi de 1998 sur les droits de l’homme, toute action entreprise par les autorités publiques doit être compatible avec les droits garantis en vertu de la CEDH (12). En outre, les lois et règlements doivent être interprétés et appliqués d’une manière qui soit compatible avec ces droits (13). Dès lors qu’une personne estime que ses droits, y compris ses droits au respect de la vie privée et à la protection des données, ont été violés par les autorités publiques, cette personne peut obtenir réparation devant les juridictions du Royaume-Uni en application de la loi de 1998 sur les droits de l’homme et, en dernier ressort, après avoir épuisé toutes les voies de recours nationales, elle peut demander réparation devant la Cour européenne des droits de l’homme pour violation des droits garantis par la CEDH.

12

13

2.2.   Le cadre du Royaume-Uni relatif à la protection des données

Le cadre du Royaume-Uni relatif à la protection des données

| (11) | Le Royaume-Uni s’est retiré de l’Union le 31 janvier 2020. En vertu de l’accord de retrait du Royaume-Uni de Grande-Bretagne et d’Irlande du Nord de l’Union européenne et de la Communauté européenne de l’énergie atomique (14), le droit de l’Union demeure applicable au Royaume-Uni pendant la période de transition jusqu’au 31 décembre 2020. Avant le retrait et pendant la période de transition, le cadre législatif relatif à la protection de données à caractère personnel au Royaume-Uni régissant le traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces, était constitué des parties pertinentes de la loi de 2018 sur la protection des données qui transposait la directive (UE) 2016/680. |
| --- | --- |

(11)

Le Royaume-Uni s’est retiré de l’Union le 31 janvier 2020. En vertu de l’accord de retrait du Royaume-Uni de Grande-Bretagne et d’Irlande du Nord de l’Union européenne et de la Communauté européenne de l’énergie atomique (14), le droit de l’Union demeure applicable au Royaume-Uni pendant la période de transition jusqu’au 31 décembre 2020. Avant le retrait et pendant la période de transition, le cadre législatif relatif à la protection de données à caractère personnel au Royaume-Uni régissant le traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces, était constitué des parties pertinentes de la loi de 2018 sur la protection des données qui transposait la directive (UE) 2016/680.

14

| (12) | Afin de se préparer à la sortie de l’Union européenne, le gouvernement du Royaume-Uni a adopté la loi de 2018 sur l’Union européenne (retrait) (15), qui a inscrit la législation de l’Union directement applicable dans le droit du Royaume-Uni et a prévu que la législation nationale «dérivée du droit de l’Union européenne» reste applicable après la fin de la période de transition. Au titre de la loi de 2018 sur l’Union européenne (retrait), la partie 3 de la loi DPA 2018 (16) transposant la directive (UE) 2016/680 constitue une législation nationale «dérivée de l’Union européenne». En vertu de ladite loi, la législation nationale «dérivée de l’Union européenne» qui reste inchangée doit être interprétée par les juridictions du Royaume-Uni conformément à la jurisprudence pertinente de la Cour de justice de l’Union européenne (Cour de justice) et aux principes généraux du droit de l’Union, tels qu’ils étaient en vigueur juste avant la fin de la période de transition (dénommés respectivement «jurisprudence de l’Union européenne conservée» et «principes généraux du droit de l’Union européenne conservés») (17). |
| --- | --- |

(12)

Afin de se préparer à la sortie de l’Union européenne, le gouvernement du Royaume-Uni a adopté la loi de 2018 sur l’Union européenne (retrait) (15), qui a inscrit la législation de l’Union directement applicable dans le droit du Royaume-Uni et a prévu que la législation nationale «dérivée du droit de l’Union européenne» reste applicable après la fin de la période de transition. Au titre de la loi de 2018 sur l’Union européenne (retrait), la partie 3 de la loi DPA 2018 (16) transposant la directive (UE) 2016/680 constitue une législation nationale «dérivée de l’Union européenne». En vertu de ladite loi, la législation nationale «dérivée de l’Union européenne» qui reste inchangée doit être interprétée par les juridictions du Royaume-Uni conformément à la jurisprudence pertinente de la Cour de justice de l’Union européenne (Cour de justice) et aux principes généraux du droit de l’Union, tels qu’ils étaient en vigueur juste avant la fin de la période de transition (dénommés respectivement «jurisprudence de l’Union européenne conservée» et «principes généraux du droit de l’Union européenne conservés») (17).

15

16

17

| (13) | En vertu de la loi de 2018 sur l’Union européenne (retrait), les ministres du Royaume-Uni sont habilités à arrêter des dispositions, par la voie de règlements, pour apporter les modifications nécessaires au droit de l’Union européenne conservé qui résultent du retrait du Royaume-Uni de l’Union. Les règlements de 2019 relatifs à la protection des données, à la vie privée et aux communications électroniques (amendements, etc.) (retrait de l’Union européenne) [Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 (DPPEC Regulations)] (18) sont le fruit de l’exercice de ce pouvoir. Ils modifient la législation du Royaume-Uni sur la protection des données, notamment la loi DPA 2018, en vue de l’adapter au contexte national (19). |
| --- | --- |

(13)

En vertu de la loi de 2018 sur l’Union européenne (retrait), les ministres du Royaume-Uni sont habilités à arrêter des dispositions, par la voie de règlements, pour apporter les modifications nécessaires au droit de l’Union européenne conservé qui résultent du retrait du Royaume-Uni de l’Union. Les règlements de 2019 relatifs à la protection des données, à la vie privée et aux communications électroniques (amendements, etc.) (retrait de l’Union européenne) [Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 (DPPEC Regulations)] (18) sont le fruit de l’exercice de ce pouvoir. Ils modifient la législation du Royaume-Uni sur la protection des données, notamment la loi DPA 2018, en vue de l’adapter au contexte national (19).

18

19

| (14) | En conséquence, les normes juridiques relatives au traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces au Royaume-Uni après la fin de la période de transition en vertu de l’accord de retrait, continueront d’être énoncées dans les parties pertinentes de la loi DPA 2018, en particulier dans sa partie 3, mais telles que modifiées par les DPPEC. Le règlement général sur la protection des données du Royaume-Uni («RGPD du Royaume-Uni») ne s’applique pas à ce type de traitement. |
| --- | --- |

(14)

En conséquence, les normes juridiques relatives au traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces au Royaume-Uni après la fin de la période de transition en vertu de l’accord de retrait, continueront d’être énoncées dans les parties pertinentes de la loi DPA 2018, en particulier dans sa partie 3, mais telles que modifiées par les DPPEC. Le règlement général sur la protection des données du Royaume-Uni («RGPD du Royaume-Uni») ne s’applique pas à ce type de traitement.

| (15) | La partie 3 de la loi DPA 2018 prévoit les règles en matière de traitement de données à caractère personnel à des fins répressives, y compris les principes relatifs à la protection des données, les bases juridiques pour le traitement (licéité), les droits des personnes concernées, les obligations des autorités compétentes en tant que responsables du traitement et les limitations applicables aux transferts ultérieurs. Parallèlement, les parties 5 et 6 de la loi DPA 2018 prévoient des règles applicables en matière de supervision, d’application et de recours applicables au domaine répressif. |
| --- | --- |

(15)

La partie 3 de la loi DPA 2018 prévoit les règles en matière de traitement de données à caractère personnel à des fins répressives, y compris les principes relatifs à la protection des données, les bases juridiques pour le traitement (licéité), les droits des personnes concernées, les obligations des autorités compétentes en tant que responsables du traitement et les limitations applicables aux transferts ultérieurs. Parallèlement, les parties 5 et 6 de la loi DPA 2018 prévoient des règles applicables en matière de supervision, d’application et de recours applicables au domaine répressif.

| (16) | En outre, compte tenu du rôle pertinent que jouent les forces de police dans le domaine répressif, il convient de porter une attention particulière aux règles régissant les fonctions de police. Les fonctions de police étant une compétence décentralisée, différents textes législatifs, qui sont toutefois similaires en ce qui concerne leur contenu, s’appliquent en la matière a) en Angleterre et au pays de Galles, b) en Écosse, et c) en Irlande du Nord (20). De plus, divers types de documents d’orientation apportent des précisions supplémentaires sur la manière dont les pouvoirs de police devraient être utilisés. Il existe trois grandes formes d’orientation pour les forces de police: 1) les orientations statutaires publiées en vertu de la législation, telles que le code de déontologie (Code of Ethics) (21) et le code de bonne pratique relatif à la gestion des informations policières (Code of Practice on the Management of Police Information, «CBP relatif à la gestion des informations policières») (22) publiés en vertu de la loi de 1996 sur la police (Police Act 1996) (23) ou les codes PACE (24) publiés en vertu de la loi sur la police et les preuves criminelles (Police and Criminal Evidence Act) (25), 2) la pratique professionnelle agréée pour la gestion des informations policières (orientations de la pratique professionnelle agréée pour la gestion des informations policières) [Authorised Professional Practice on the Management of Police Information (APP Guidance on the Management of Police Information)] (26), publiée par le collège des forces de police (College of Policing) et 3) les orientations opérationnelles (publiées par la police elle-même). Le Conseil national des chefs de la police (National Police Chiefs Council) (un organisme de coordination de toutes les forces de police du Royaume-Uni) publie des orientations opérationnelles que toutes les forces de police ont approuvées et qui s’appliquent donc au niveau national (27). Le but de ces orientations est de garantir une gestion des informations cohérente entre les forces de police (28). |
| --- | --- |

(16)

En outre, compte tenu du rôle pertinent que jouent les forces de police dans le domaine répressif, il convient de porter une attention particulière aux règles régissant les fonctions de police. Les fonctions de police étant une compétence décentralisée, différents textes législatifs, qui sont toutefois similaires en ce qui concerne leur contenu, s’appliquent en la matière a) en Angleterre et au pays de Galles, b) en Écosse, et c) en Irlande du Nord (20). De plus, divers types de documents d’orientation apportent des précisions supplémentaires sur la manière dont les pouvoirs de police devraient être utilisés. Il existe trois grandes formes d’orientation pour les forces de police: 1) les orientations statutaires publiées en vertu de la législation, telles que le code de déontologie (Code of Ethics) (21) et le code de bonne pratique relatif à la gestion des informations policières (Code of Practice on the Management of Police Information, «CBP relatif à la gestion des informations policières») (22) publiés en vertu de la loi de 1996 sur la police (Police Act 1996) (23) ou les codes PACE (24) publiés en vertu de la loi sur la police et les preuves criminelles (Police and Criminal Evidence Act) (25), 2) la pratique professionnelle agréée pour la gestion des informations policières (orientations de la pratique professionnelle agréée pour la gestion des informations policières) [Authorised Professional Practice on the Management of Police Information (APP Guidance on the Management of Police Information)] (26), publiée par le collège des forces de police (College of Policing) et 3) les orientations opérationnelles (publiées par la police elle-même). Le Conseil national des chefs de la police (National Police Chiefs Council) (un organisme de coordination de toutes les forces de police du Royaume-Uni) publie des orientations opérationnelles que toutes les forces de police ont approuvées et qui s’appliquent donc au niveau national (27). Le but de ces orientations est de garantir une gestion des informations cohérente entre les forces de police (28).

20

21

22

23

24

25

26

27

28

| (17) | Le CBP relatif à la gestion des informations policières a été publié par le secrétaire d’État en 2005, en vertu des pouvoirs prévus par l’article 39A de la loi de 1996 sur la police (29). Tout code de bonne pratique publié au titre de la loi sur la police doit être approuvé par le secrétaire d’État et fait l’objet d’une consultation avec l’Agence nationale de lutte contre la criminalité avant sa présentation devant le Parlement. L’article 39A, paragraphe 7, de la loi sur la police exige que la police tienne dûment compte des codes publiés au titre de ladite loi, la police est donc tenue de les respecter (30). En outre, les orientations non statutaires (telles que les orientations de la pratique professionnelle agréée pour la gestion des informations policières) doivent toujours être cohérentes avec le CBP relatif à la gestion des informations policières, qui prévaut (31). En tout état de cause, bien qu’il puisse exister certaines situations opérationnelles dans lesquelles les agents de police doivent s’écarter de ces orientations, ils sont toujours tenus de se conformer aux exigences de la partie 3 de la loi DPA 2018 (32). |
| --- | --- |

(17)

Le CBP relatif à la gestion des informations policières a été publié par le secrétaire d’État en 2005, en vertu des pouvoirs prévus par l’article 39A de la loi de 1996 sur la police (29). Tout code de bonne pratique publié au titre de la loi sur la police doit être approuvé par le secrétaire d’État et fait l’objet d’une consultation avec l’Agence nationale de lutte contre la criminalité avant sa présentation devant le Parlement. L’article 39A, paragraphe 7, de la loi sur la police exige que la police tienne dûment compte des codes publiés au titre de ladite loi, la police est donc tenue de les respecter (30). En outre, les orientations non statutaires (telles que les orientations de la pratique professionnelle agréée pour la gestion des informations policières) doivent toujours être cohérentes avec le CBP relatif à la gestion des informations policières, qui prévaut (31). En tout état de cause, bien qu’il puisse exister certaines situations opérationnelles dans lesquelles les agents de police doivent s’écarter de ces orientations, ils sont toujours tenus de se conformer aux exigences de la partie 3 de la loi DPA 2018 (32).

29

30

31

32

| (18) | Des orientations supplémentaires concernant la législation du Royaume-Uni sur la protection des données pour le traitement dans le domaine répressif sont fournies par le commissaire à l’information (Information Commissioner, «ICO») (33) (pour plus de détails sur l’ICO, voir les considérants 93 à 109). Bien qu’elles ne soient pas juridiquement contraignantes, les juridictions seraient tenues, dans le cadre d’une affaire portée devant une juridiction, de prendre en considération tout manquement aux orientations, puisque ces dernières revêtent une valeur interprétative et démontrent la manière dont le commissaire interprète et applique la législation sur la protection des données en pratique (34). |
| --- | --- |

(18)

Des orientations supplémentaires concernant la législation du Royaume-Uni sur la protection des données pour le traitement dans le domaine répressif sont fournies par le commissaire à l’information (Information Commissioner, «ICO») (33) (pour plus de détails sur l’ICO, voir les considérants 93 à 109). Bien qu’elles ne soient pas juridiquement contraignantes, les juridictions seraient tenues, dans le cadre d’une affaire portée devant une juridiction, de prendre en considération tout manquement aux orientations, puisque ces dernières revêtent une valeur interprétative et démontrent la manière dont le commissaire interprète et applique la législation sur la protection des données en pratique (34).

33

34

| (19) | Enfin, comme mentionné aux considérants 8 à 10, les autorités répressives du Royaume-Uni doivent garantir le respect de la CEDH et de la convention no 108. |
| --- | --- |

(19)

Enfin, comme mentionné aux considérants 8 à 10, les autorités répressives du Royaume-Uni doivent garantir le respect de la CEDH et de la convention no 108.

o

| (20) | Dans sa structure et ses principaux composants, le cadre juridique régissant le traitement des données par les autorités répressives en matière pénale du Royaume-Uni est donc très similaire à celui qui s’applique dans l’Union européenne. Ainsi, ce cadre est non seulement fondé sur des obligations prévues dans le droit interne, qui ont été façonnées par le droit de l’Union, mais également sur des obligations consacrées par le droit international, notamment dans le cadre de l’adhésion du Royaume-Uni à la CEDH et à la convention 108, ainsi que de sa soumission à la compétence de la Cour européenne des droits de l’homme. En conséquence, ces obligations découlant d’instruments internationaux juridiquement contraignants, notamment en ce qui concerne la protection des données à caractère personnel, constituent un élément particulièrement important du cadre juridique évalué dans la présente décision. |
| --- | --- |

(20)

Dans sa structure et ses principaux composants, le cadre juridique régissant le traitement des données par les autorités répressives en matière pénale du Royaume-Uni est donc très similaire à celui qui s’applique dans l’Union européenne. Ainsi, ce cadre est non seulement fondé sur des obligations prévues dans le droit interne, qui ont été façonnées par le droit de l’Union, mais également sur des obligations consacrées par le droit international, notamment dans le cadre de l’adhésion du Royaume-Uni à la CEDH et à la convention 108, ainsi que de sa soumission à la compétence de la Cour européenne des droits de l’homme. En conséquence, ces obligations découlant d’instruments internationaux juridiquement contraignants, notamment en ce qui concerne la protection des données à caractère personnel, constituent un élément particulièrement important du cadre juridique évalué dans la présente décision.

2.3.   Champ d’application matériel et territorial

Champ d’application matériel et territorial

| (21) | Le champ d’application matériel de la partie 3 de la loi DPA 2018 coïncide avec le champ d’application de la directive (UE) 2016/680, tel que précisé à son article 2, paragraphe 2. La partie 3 s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, par une autorité compétente, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier par une autorité compétente. |
| --- | --- |

(21)

Le champ d’application matériel de la partie 3 de la loi DPA 2018 coïncide avec le champ d’application de la directive (UE) 2016/680, tel que précisé à son article 2, paragraphe 2. La partie 3 s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, par une autorité compétente, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier par une autorité compétente.

| (22) | En outre, afin de relever du champ d’application de la partie 3, le responsable du traitement doit être une «autorité compétente» et le traitement doit être effectué «à des fins répressives». Par conséquent, le régime de protection des données évalué dans la présente décision s’applique à toutes les activités répressives de ces autorités compétentes. |
| --- | --- |

(22)

En outre, afin de relever du champ d’application de la partie 3, le responsable du traitement doit être une «autorité compétente» et le traitement doit être effectué «à des fins répressives». Par conséquent, le régime de protection des données évalué dans la présente décision s’applique à toutes les activités répressives de ces autorités compétentes.

| (23) | La notion d’«autorité compétente» est définie à l’article 30 de la loi DPA comme une personne figurant sur la liste établie à l’annexe 7 de la loi DPA 2018, ainsi que comme toute autre personne, dans la mesure où elle exerce des fonctions statutaires pour l’une des fins répressives. Les autorités compétentes énumérées à l’annexe 7 n’incluent pas que les forces de police, mais également tous les départements ministériels du gouvernement du Royaume-Uni ainsi que d’autres autorités exerçant des fonctions d’enquête [par exemple le commissaire chargé des recettes et des douanes (Commissioner for Her Majesty’s Revenue and Customs), l’Autorité fiscale galloise (Welsh Revenue Authority), l’Autorité de la concurrence et des marchés (Competition and Markets Authority), le Cadastre (Her Majesty’s Land Register) ou l’Agence nationale de lutte contre la criminalité (National Crime Agency)], les agences chargées des poursuites, les autres agences de justice pénale et les autres titulaires ou organisations qui exercent des activités répressives (35). La partie 3 de la loi DPA 2018 s’applique également aux juridictions et aux tribunaux lorsque ces derniers exercent leurs fonctions juridictionnelles, à l’exception de la partie relative aux droits de la personne concernée et à la supervision effectuée par l’ICO (36). La liste des autorités compétentes établie à l’annexe 7 n’est pas définitive et est susceptible d’être mise à jour par le secrétaire d’État via des règlements prenant en considération les évolutions de l’organisation des fonctions publiques (37). |
| --- | --- |

(23)

La notion d’«autorité compétente» est définie à l’article 30 de la loi DPA comme une personne figurant sur la liste établie à l’annexe 7 de la loi DPA 2018, ainsi que comme toute autre personne, dans la mesure où elle exerce des fonctions statutaires pour l’une des fins répressives. Les autorités compétentes énumérées à l’annexe 7 n’incluent pas que les forces de police, mais également tous les départements ministériels du gouvernement du Royaume-Uni ainsi que d’autres autorités exerçant des fonctions d’enquête [par exemple le commissaire chargé des recettes et des douanes (Commissioner for Her Majesty’s Revenue and Customs), l’Autorité fiscale galloise (Welsh Revenue Authority), l’Autorité de la concurrence et des marchés (Competition and Markets Authority), le Cadastre (Her Majesty’s Land Register) ou l’Agence nationale de lutte contre la criminalité (National Crime Agency)], les agences chargées des poursuites, les autres agences de justice pénale et les autres titulaires ou organisations qui exercent des activités répressives (35). La partie 3 de la loi DPA 2018 s’applique également aux juridictions et aux tribunaux lorsque ces derniers exercent leurs fonctions juridictionnelles, à l’exception de la partie relative aux droits de la personne concernée et à la supervision effectuée par l’ICO (36). La liste des autorités compétentes établie à l’annexe 7 n’est pas définitive et est susceptible d’être mise à jour par le secrétaire d’État via des règlements prenant en considération les évolutions de l’organisation des fonctions publiques (37).

35

36

37

| (24) | Le traitement en question doit également être effectué «à des fins répressives», définies comme étant la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces (38). Le traitement par une autorité compétente n’est pas régi par la partie 3 de la loi DPA 2018 lorsqu’il n’a pas lieu à des fins répressives. Tel sera le cas, par exemple, lorsque l’Autorité de la concurrence et des marchés enquête sur des affaires qui ne sont pas de nature criminelle (tels que les fusions d’entreprises). Dans ce cas, le RGPD du Royaume-Uni, ainsi que la partie 2 de la loi DPA 2018 s’appliqueront puisque le traitement de données à caractère personnel par les autorités compétentes est effectué à des fins autres que répressives. Afin de déterminer quel régime de protection des données s’applique (partie 3 ou 2 de la loi DPA 2018) au traitement de données à caractère personnel concerné, l’autorité compétente, à savoir le responsable du traitement, est tenue d’examiner si la «finalité principale» de ce traitement est l’une des fins répressives visées par la loi DPA 2018. |
| --- | --- |

(24)

Le traitement en question doit également être effectué «à des fins répressives», définies comme étant la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces (38). Le traitement par une autorité compétente n’est pas régi par la partie 3 de la loi DPA 2018 lorsqu’il n’a pas lieu à des fins répressives. Tel sera le cas, par exemple, lorsque l’Autorité de la concurrence et des marchés enquête sur des affaires qui ne sont pas de nature criminelle (tels que les fusions d’entreprises). Dans ce cas, le RGPD du Royaume-Uni, ainsi que la partie 2 de la loi DPA 2018 s’appliqueront puisque le traitement de données à caractère personnel par les autorités compétentes est effectué à des fins autres que répressives. Afin de déterminer quel régime de protection des données s’applique (partie 3 ou 2 de la loi DPA 2018) au traitement de données à caractère personnel concerné, l’autorité compétente, à savoir le responsable du traitement, est tenue d’examiner si la «finalité principale» de ce traitement est l’une des fins répressives visées par la loi DPA 2018.

38

| (25) | En ce qui concerne le champ d’application territorial de la partie 3 de la loi DPA 2018, l’article 207, paragraphe 2, prévoit que le DPA s’applique au traitement de données à caractère personnel dans le cadre des activités d’une personne établie sur l’ensemble du territoire du Royaume-Uni. Cela comprend les autorités publiques des territoires d’Angleterre, du pays de Galles, d’Écosse et d’Irlande du Nord qui relèvent du champ d’application matériel de la partie 3 de la loi DPA 2018 (39). |
| --- | --- |

(25)

En ce qui concerne le champ d’application territorial de la partie 3 de la loi DPA 2018, l’article 207, paragraphe 2, prévoit que le DPA s’applique au traitement de données à caractère personnel dans le cadre des activités d’une personne établie sur l’ensemble du territoire du Royaume-Uni. Cela comprend les autorités publiques des territoires d’Angleterre, du pays de Galles, d’Écosse et d’Irlande du Nord qui relèvent du champ d’application matériel de la partie 3 de la loi DPA 2018 (39).

39

2.3.1.   Définition des données à caractère personnel et de traitement

Définition des données à caractère personnel et de traitement

| (26) | Les notions essentielles de données à caractère personnel et de traitement sont définies à l’article 3 de la loi DPA 2018 et s’appliquent à l’ensemble de la loi DPA. Les définitions suivent de près les définitions correspondantes énoncées à l’article 3 de la directive (UE) 2016/680. Aux termes de la loi DPA 2018, on entend par «données à caractère personnel» toute information se rapportant à une personne vivante identifiée ou identifiable (40). Conformément à l’article 3, paragraphe 3, de la loi DPA 2018, une personne est identifiable si elle peut être identifiée, directement ou indirectement, à partir des informations, y compris par référence à un nom ou un identifiant ou par référence à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. La notion de «traitement» est définie comme toute opération ou tout ensemble d’opérations appliquées à des informations ou des ensembles d’informations, telles que a) la collecte, l’enregistrement, l’organisation, la structuration ou la conservation; b) l’adaptation ou la modification; c) l’extraction, la consultation ou l’utilisation; d) la communication par transmission, la diffusion ou toute autre forme de mise à disposition; e) le rapprochement ou l’interconnexion; ou f) la limitation, l’effacement ou la destruction. En outre, le DPA définit le «traitement de données sensibles» comme «a) le traitement de données à caractère personnel révélant l’origine raciale ou ethnique, les opinions politiques, les croyances religieuses ou philosophiques ou l’affiliation aux organisations syndicales; b) le traitement de données génétiques ou de données biométriques, dans le but d’identifier exclusivement une personne; c) le traitement de données concernant la santé; le traitement de données relatives à la vie ou l’orientation sexuelle d’une personne» (41). À cet égard, l’article 205 de la loi DPA 2018 fournit la définition de «données biométriques» (42), «données concernant la santé» (43) et «données génétiques» (44). |
| --- | --- |

(26)

Les notions essentielles de données à caractère personnel et de traitement sont définies à l’article 3 de la loi DPA 2018 et s’appliquent à l’ensemble de la loi DPA. Les définitions suivent de près les définitions correspondantes énoncées à l’article 3 de la directive (UE) 2016/680. Aux termes de la loi DPA 2018, on entend par «données à caractère personnel» toute information se rapportant à une personne vivante identifiée ou identifiable (40). Conformément à l’article 3, paragraphe 3, de la loi DPA 2018, une personne est identifiable si elle peut être identifiée, directement ou indirectement, à partir des informations, y compris par référence à un nom ou un identifiant ou par référence à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. La notion de «traitement» est définie comme toute opération ou tout ensemble d’opérations appliquées à des informations ou des ensembles d’informations, telles que a) la collecte, l’enregistrement, l’organisation, la structuration ou la conservation; b) l’adaptation ou la modification; c) l’extraction, la consultation ou l’utilisation; d) la communication par transmission, la diffusion ou toute autre forme de mise à disposition; e) le rapprochement ou l’interconnexion; ou f) la limitation, l’effacement ou la destruction. En outre, le DPA définit le «traitement de données sensibles» comme «a) le traitement de données à caractère personnel révélant l’origine raciale ou ethnique, les opinions politiques, les croyances religieuses ou philosophiques ou l’affiliation aux organisations syndicales; b) le traitement de données génétiques ou de données biométriques, dans le but d’identifier exclusivement une personne; c) le traitement de données concernant la santé; le traitement de données relatives à la vie ou l’orientation sexuelle d’une personne» (41). À cet égard, l’article 205 de la loi DPA 2018 fournit la définition de «données biométriques» (42), «données concernant la santé» (43) et «données génétiques» (44).

40

41

42

43

44

| (27) | L’article 32 de la loi DPA 2018 précise les définitions de «responsable du traitement» et de «sous-traitant» dans le contexte du traitement de données à caractère personnel à des fins répressives, en suivant de près les définitions équivalentes de la directive (UE) 2016/680. Le responsable du traitement désigne l’autorité compétente qui détermine les finalités et les moyens du traitement de données à caractère personnel. Lorsque ce traitement est requis par la loi, le responsable du traitement est l’autorité compétente à laquelle cette obligation est imposée par ladite loi. Un sous-traitant est défini comme toute personne qui traite des données à caractère personnel pour le compte du responsable du traitement (autre qu’une personne qui est employée auprès du responsable du traitement). |
| --- | --- |

(27)

L’article 32 de la loi DPA 2018 précise les définitions de «responsable du traitement» et de «sous-traitant» dans le contexte du traitement de données à caractère personnel à des fins répressives, en suivant de près les définitions équivalentes de la directive (UE) 2016/680. Le responsable du traitement désigne l’autorité compétente qui détermine les finalités et les moyens du traitement de données à caractère personnel. Lorsque ce traitement est requis par la loi, le responsable du traitement est l’autorité compétente à laquelle cette obligation est imposée par ladite loi. Un sous-traitant est défini comme toute personne qui traite des données à caractère personnel pour le compte du responsable du traitement (autre qu’une personne qui est employée auprès du responsable du traitement).

2.4.   Garanties, droits et obligations

Garanties, droits et obligations

2.4.1.   Licéité et loyauté du traitement

Licéité et loyauté du traitement

| (28) | Conformément à l’article 35 de la loi DPA 2018, les données à caractère personnel doivent être traitées de manière licite et loyale, de façon similaire à ce qui est énoncé à l’article 4, paragraphe 1, point a), de la directive (UE) 2016/680. Conformément à l’article 35, paragraphe 2, de la loi DPA 2018, le traitement de données à caractère personnel pour l’une des fins répressives n’est licite que s’il est fondé sur la loi et que soit la personne concernée a donné son consentement au traitement à cette fin, soit le traitement est nécessaire à l’exécution d’une mission effectuée par une autorité compétente à cette fin. |
| --- | --- |

(28)

Conformément à l’article 35 de la loi DPA 2018, les données à caractère personnel doivent être traitées de manière licite et loyale, de façon similaire à ce qui est énoncé à l’article 4, paragraphe 1, point a), de la directive (UE) 2016/680. Conformément à l’article 35, paragraphe 2, de la loi DPA 2018, le traitement de données à caractère personnel pour l’une des fins répressives n’est licite que s’il est fondé sur la loi et que soit la personne concernée a donné son consentement au traitement à cette fin, soit le traitement est nécessaire à l’exécution d’une mission effectuée par une autorité compétente à cette fin.

2.4.1.1.   Traitement sur la base du droit

Traitement sur la base du droit

| (29) | À l’instar de l’article 8 de la directive (UE) 2016/680, afin de garantir la licéité d’un traitement relevant de la partie 3 de la loi DPA 2018, ledit traitement doit être «fondé sur le droit». On entend par traitement «licite» tout traitement autorisé par un texte législatif, par la common law ou par des prérogatives royales (45). |
| --- | --- |

(29)

À l’instar de l’article 8 de la directive (UE) 2016/680, afin de garantir la licéité d’un traitement relevant de la partie 3 de la loi DPA 2018, ledit traitement doit être «fondé sur le droit». On entend par traitement «licite» tout traitement autorisé par un texte législatif, par la common law ou par des prérogatives royales (45).

45

| (30) | Les pouvoirs des autorités compétentes sont en général régis par des textes législatifs, ce qui signifie que leurs fonctions et leurs pouvoirs sont clairement fixés par les législations adoptées par le Parlement (46). Dans certains cas, la police ainsi que les autres autorités compétentes figurant sur la liste établie à l’annexe 7 de la loi DPA 2018 peuvent s’appuyer sur la common law pour traiter les données (47). La common law a évolué grâce à la jurisprudence établie par les décisions des juridictions. La common law est pertinente dans le contexte des pouvoirs dont dispose la police, qui tire de cette source de droit sa mission principale de protéger la population grâce à la détection et la prévention des infractions (48). Toutefois, les forces de police disposent de compétences prévues à la fois par la common law et par les textes législatifs (49) pour accomplir cette mission. Lorsque la police jouit d’une compétence prévue par les textes législatifs, celle-ci prévaut sur toute autre compétence de common law (50). |
| --- | --- |

(30)

Les pouvoirs des autorités compétentes sont en général régis par des textes législatifs, ce qui signifie que leurs fonctions et leurs pouvoirs sont clairement fixés par les législations adoptées par le Parlement (46). Dans certains cas, la police ainsi que les autres autorités compétentes figurant sur la liste établie à l’annexe 7 de la loi DPA 2018 peuvent s’appuyer sur la common law pour traiter les données (47). La common law a évolué grâce à la jurisprudence établie par les décisions des juridictions. La common law est pertinente dans le contexte des pouvoirs dont dispose la police, qui tire de cette source de droit sa mission principale de protéger la population grâce à la détection et la prévention des infractions (48). Toutefois, les forces de police disposent de compétences prévues à la fois par la common law et par les textes législatifs (49) pour accomplir cette mission. Lorsque la police jouit d’une compétence prévue par les textes législatifs, celle-ci prévaut sur toute autre compétence de common law (50).

46

47

48

49

50

| (31) | L’étendue des compétences de common law d’un agent de police a été reconnue par les juridictions pour inclure «toutes les étapes qui lui semblent nécessaires au maintien de la paix, à la prévention des infractions ou à la protection des biens contre les actes criminels» (51). Les compétences de common law ne sont pas des compétences inconditionnelles. Elles sont soumises à une série de limitations, dont des limites fixées par les juridictions (52) et par la législation, notamment la loi de 1998 sur les droits de l’homme (Human Rights Act 1998) et la loi de 2010 sur l’égalité (Equality Act 2010) (53). En outre, pour les autorités compétentes qui traitent les données au titre de la partie 3 de la loi DPA 2018, cela comprend l’exercice des compétences de common law conformément aux exigences énoncées dans la loi DPA 2018 (54). De plus, toute décision d’effectuer un traitement de données, quel qu’il soit, doit tenir compte des exigences des orientations applicables, telles que le CBP relatif à la gestion des informations policières ou les orientations spécifiques à l’un des pays du Royaume-Uni (55). Un certain nombre de documents d’orientation sont publiés par le gouvernement et les services de police opérationnels pour garantir que les agents de police exercent leurs pouvoirs dans le cadre du traitement dans les limites établies par la common law ou les textes législatifs pertinents (56). |
| --- | --- |

(31)

L’étendue des compétences de common law d’un agent de police a été reconnue par les juridictions pour inclure «toutes les étapes qui lui semblent nécessaires au maintien de la paix, à la prévention des infractions ou à la protection des biens contre les actes criminels» (51). Les compétences de common law ne sont pas des compétences inconditionnelles. Elles sont soumises à une série de limitations, dont des limites fixées par les juridictions (52) et par la législation, notamment la loi de 1998 sur les droits de l’homme (Human Rights Act 1998) et la loi de 2010 sur l’égalité (Equality Act 2010) (53). En outre, pour les autorités compétentes qui traitent les données au titre de la partie 3 de la loi DPA 2018, cela comprend l’exercice des compétences de common law conformément aux exigences énoncées dans la loi DPA 2018 (54). De plus, toute décision d’effectuer un traitement de données, quel qu’il soit, doit tenir compte des exigences des orientations applicables, telles que le CBP relatif à la gestion des informations policières ou les orientations spécifiques à l’un des pays du Royaume-Uni (55). Un certain nombre de documents d’orientation sont publiés par le gouvernement et les services de police opérationnels pour garantir que les agents de police exercent leurs pouvoirs dans le cadre du traitement dans les limites établies par la common law ou les textes législatifs pertinents (56).

51

52

53

54

55

56

| (32) | Les prérogatives royales constituent une autre composante du «droit» et font référence à certains pouvoirs conférés à la Couronne et pouvant être exercés par l’exécutif, qui ne sont pas tirés du droit écrit, mais résultent de la souveraineté du monarque (57). Il existe très peu d’exemples de pouvoirs résultant de prérogatives pertinents dans le contexte répressif. Il s’agit, par exemple, du cadre d’assistance juridique mutuel, qui permet le partage de données par le secrétaire d’État avec des pays tiers à des fins répressives. Le pouvoir de partager les données de cette manière n’est pas toujours établi dans le droit écrit (58). Les prérogatives royales sont liées par les principes de la common law (59) et subordonnées au droit écrit et, en conséquence, sont soumises aux limites fixées par la loi de 1998 sur les droits de l’homme et par la loi DPA 2018 (60). |
| --- | --- |

(32)

Les prérogatives royales constituent une autre composante du «droit» et font référence à certains pouvoirs conférés à la Couronne et pouvant être exercés par l’exécutif, qui ne sont pas tirés du droit écrit, mais résultent de la souveraineté du monarque (57). Il existe très peu d’exemples de pouvoirs résultant de prérogatives pertinents dans le contexte répressif. Il s’agit, par exemple, du cadre d’assistance juridique mutuel, qui permet le partage de données par le secrétaire d’État avec des pays tiers à des fins répressives. Le pouvoir de partager les données de cette manière n’est pas toujours établi dans le droit écrit (58). Les prérogatives royales sont liées par les principes de la common law (59) et subordonnées au droit écrit et, en conséquence, sont soumises aux limites fixées par la loi de 1998 sur les droits de l’homme et par la loi DPA 2018 (60).

57

58

59

60

| (33) | À l’instar de l’article 8 de la directive (UE) 2016/680, le régime du Royaume-Uni exige que, en vue de respecter le principe de licéité, les autorités compétentes veillent à ce que, lorsque le traitement est fondé sur le droit, il soit également «nécessaire» à l’exécution d’une mission effectuée à des fins répressives. L’ICO fournit des orientations sur le sujet, précisant que le traitement «doit être un moyen ciblé et proportionné d’atteindre la finalité. La base juridique ne s’appliquera pas si la finalité peut être raisonnablement atteinte grâce à d’autres moyens moins intrusifs. Soutenir que le traitement est nécessaire parce que vous avez choisi de gérer votre entreprise d’une manière spécifique ne suffit pas. La question est de savoir si le traitement est nécessaire à la finalité exposée» (61). |
| --- | --- |

(33)

À l’instar de l’article 8 de la directive (UE) 2016/680, le régime du Royaume-Uni exige que, en vue de respecter le principe de licéité, les autorités compétentes veillent à ce que, lorsque le traitement est fondé sur le droit, il soit également «nécessaire» à l’exécution d’une mission effectuée à des fins répressives. L’ICO fournit des orientations sur le sujet, précisant que le traitement «doit être un moyen ciblé et proportionné d’atteindre la finalité. La base juridique ne s’appliquera pas si la finalité peut être raisonnablement atteinte grâce à d’autres moyens moins intrusifs. Soutenir que le traitement est nécessaire parce que vous avez choisi de gérer votre entreprise d’une manière spécifique ne suffit pas. La question est de savoir si le traitement est nécessaire à la finalité exposée» (61).

61

2.4.1.2.   Traitement fondé sur le «consentement» de la personne concernée

Traitement fondé sur le «consentement» de la personne concernée

| (34) | Comme mentionné au considérant 28, l’article 35, paragraphe 2, de la loi DPA 2018 prévoit la possibilité d’effectuer le traitement des données à caractère personnel sur la base du «consentement» de la personne. |
| --- | --- |

(34)

Comme mentionné au considérant 28, l’article 35, paragraphe 2, de la loi DPA 2018 prévoit la possibilité d’effectuer le traitement des données à caractère personnel sur la base du «consentement» de la personne.

| (35) | Cependant, le consentement ne semble pas constituer une base juridique pertinente pour les opérations de traitement relevant du champ d’application de la présente décision. En réalité, les opérations de traitement couvertes par la présente décision concerneront toujours les données transférées par une autorité compétente d’un État membre vers une autorité compétente du Royaume-Uni au titre de la directive (UE) 2016/680. Par conséquent, elles n’impliqueront généralement pas le type d’interaction directe (collecte) entre une autorité publique et les personnes concernées, qui peut être fondé sur le consentement en vertu de l’article 35, paragraphe 2, point a), de la loi DPA 2018. |
| --- | --- |

(35)

Cependant, le consentement ne semble pas constituer une base juridique pertinente pour les opérations de traitement relevant du champ d’application de la présente décision. En réalité, les opérations de traitement couvertes par la présente décision concerneront toujours les données transférées par une autorité compétente d’un État membre vers une autorité compétente du Royaume-Uni au titre de la directive (UE) 2016/680. Par conséquent, elles n’impliqueront généralement pas le type d’interaction directe (collecte) entre une autorité publique et les personnes concernées, qui peut être fondé sur le consentement en vertu de l’article 35, paragraphe 2, point a), de la loi DPA 2018.

| (36) | Bien que le recours au consentement ne soit donc pas considéré comme pertinent pour l’évaluation menée dans le cadre de la présente décision, il convient de noter, par souci d’exhaustivité, que dans un contexte répressif le traitement n’est jamais fondé sur le consentement seul, puisqu’une autorité compétente doit toujours disposer d’un pouvoir sous-jacent qui lui permet de traiter les données (62). Plus précisément, à l’instar de ce qui est autorisé en vertu de la directive (UE) 2016/680 (63), cela signifie que le consentement fait office de condition supplémentaire pour permettre certaines opérations de traitement limitées et spécifiques qui pourraient autrement ne pas être effectuées, par exemple, la collecte et le traitement d’un échantillon ADN d’une personne qui n’est pas suspectée. Dans ce cas, si le consentement n’était pas donné ou était retiré, le traitement ne serait pas effectué (64). |
| --- | --- |

(36)

Bien que le recours au consentement ne soit donc pas considéré comme pertinent pour l’évaluation menée dans le cadre de la présente décision, il convient de noter, par souci d’exhaustivité, que dans un contexte répressif le traitement n’est jamais fondé sur le consentement seul, puisqu’une autorité compétente doit toujours disposer d’un pouvoir sous-jacent qui lui permet de traiter les données (62). Plus précisément, à l’instar de ce qui est autorisé en vertu de la directive (UE) 2016/680 (63), cela signifie que le consentement fait office de condition supplémentaire pour permettre certaines opérations de traitement limitées et spécifiques qui pourraient autrement ne pas être effectuées, par exemple, la collecte et le traitement d’un échantillon ADN d’une personne qui n’est pas suspectée. Dans ce cas, si le consentement n’était pas donné ou était retiré, le traitement ne serait pas effectué (64).

62

63

64

| (37) | Dans les cas qui nécessitent le consentement de la personne, ce dernier doit être sans équivoque et impliquer une action affirmative claire (65). Les forces de police sont tenues de disposer d’une déclaration de protection des données comprenant, entre autres, les informations requises concernant l’utilisation valable du consentement. De plus, certaines forces de police publient de la documentation supplémentaire sur la façon dont elles se conforment à la législation sur la protection des données, et notamment comment et quand elles utilisent le consentement comme base juridique (66). |
| --- | --- |

(37)

Dans les cas qui nécessitent le consentement de la personne, ce dernier doit être sans équivoque et impliquer une action affirmative claire (65). Les forces de police sont tenues de disposer d’une déclaration de protection des données comprenant, entre autres, les informations requises concernant l’utilisation valable du consentement. De plus, certaines forces de police publient de la documentation supplémentaire sur la façon dont elles se conforment à la législation sur la protection des données, et notamment comment et quand elles utilisent le consentement comme base juridique (66).

65

66

2.4.1.3.   Traitement de données sensibles

Traitement de données sensibles

| (38) | Des garanties spécifiques devraient être prévues pour le traitement des «catégories particulières» de données. À cet égard, à l’instar de l’article 10 de la directive (UE) 2016/680, la partie 3 de la loi DPA 2018 prévoit des garanties renforcées pour le traitement des données dites «sensibles» (67). |
| --- | --- |

(38)

Des garanties spécifiques devraient être prévues pour le traitement des «catégories particulières» de données. À cet égard, à l’instar de l’article 10 de la directive (UE) 2016/680, la partie 3 de la loi DPA 2018 prévoit des garanties renforcées pour le traitement des données dites «sensibles» (67).

67

| (39) | Conformément à l’article 35, paragraphe 3, de la loi DPA 1998, les données sensibles peuvent être traitées par les autorités compétentes à des fins répressives dans deux cas uniquement: 1) la personne concernée a donné son consentement au traitement à des fins répressives et, au moment où le traitement est effectué, le responsable du traitement dispose d’un document stratégique approprié (68); ou 2) le traitement est strictement nécessaire aux fins répressives, il remplit au moins une des conditions énoncées à l’annexe 8 de la loi DPA 2018 et, au moment où le traitement est effectué, le responsable du traitement dispose d’un document stratégique approprié (69). |
| --- | --- |

(39)

Conformément à l’article 35, paragraphe 3, de la loi DPA 1998, les données sensibles peuvent être traitées par les autorités compétentes à des fins répressives dans deux cas uniquement: 1) la personne concernée a donné son consentement au traitement à des fins répressives et, au moment où le traitement est effectué, le responsable du traitement dispose d’un document stratégique approprié (68); ou 2) le traitement est strictement nécessaire aux fins répressives, il remplit au moins une des conditions énoncées à l’annexe 8 de la loi DPA 2018 et, au moment où le traitement est effectué, le responsable du traitement dispose d’un document stratégique approprié (69).

68

69

| (40) | En ce qui concerne le premier cas et comme expliqué au considérant 38, le recours au consentement n’est pas considéré comme pertinent pour le type de situation de transfert faisant l’objet de la présente décision (70). |
| --- | --- |

(40)

En ce qui concerne le premier cas et comme expliqué au considérant 38, le recours au consentement n’est pas considéré comme pertinent pour le type de situation de transfert faisant l’objet de la présente décision (70).

70

| (41) | Lorsque le traitement de données sensibles ne repose pas sur le consentement, il peut être effectué en invoquant une des conditions énumérées à l’annexe 8 de la loi DPA 2018. Ces conditions portent sur le traitement nécessaire à des fins légales; à l’administration de la justice; à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne; à la protection des enfants et des personnes à risque; aux actions en justice; aux actes judiciaires; à la prévention de la fraude; à l’archivage; lorsque les données à caractère personnel sont manifestement rendues publiques par la personne concernée. À l’exception du cas où les données sont manifestement rendues publiques, toutes les conditions prévues par l’annexe 8 sont soumises à un contrôle du critère de «stricte nécessité». Comme précisé par l’ICO, «dans ce contexte, strictement nécessaire signifie que le traitement doit être lié à un besoin social impérieux, auquel on ne peut raisonnablement subvenir grâce à d’autres moyens moins intrusifs» (71). En outre, certaines des conditions sont soumises à d’autres limitations. À titre d’exemple, un critère supplémentaire d’intérêt public substantiel doit être rempli pour invoquer la condition de «fins légales» et la «condition de protection» (points 1 et 4 de l’annexe 8). De plus, en ce qui concerne les conditions relatives à la protection de l’enfant (point 4 de l’annexe 8), la personne concernée doit également avoir un âge déterminé et être considérée comme une personne à risque. Par ailleurs, le responsable du traitement ne peut faire valoir la condition prévue au point 4 de l’annexe 8 que dans des circonstances particulières (72). De la même manière, des limitations s’appliquent aux conditions relatives aux «actes judiciaires» et à la «prévention de la fraude» (points 7 et 8 de l’annexe 8 respectivement). Les deux ne s’appliquent qu’à des responsables du traitement spécifiques. Dans le cas des actes judiciaires, seule une juridiction ou une autre autorité judiciaire peut faire valoir cette condition, et dans le cas de la prévention de la fraude, seuls les responsables du traitement qui sont des organisations de lutte contre la fraude peuvent invoquer cette condition. |
| --- | --- |

(41)

Lorsque le traitement de données sensibles ne repose pas sur le consentement, il peut être effectué en invoquant une des conditions énumérées à l’annexe 8 de la loi DPA 2018. Ces conditions portent sur le traitement nécessaire à des fins légales; à l’administration de la justice; à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne; à la protection des enfants et des personnes à risque; aux actions en justice; aux actes judiciaires; à la prévention de la fraude; à l’archivage; lorsque les données à caractère personnel sont manifestement rendues publiques par la personne concernée. À l’exception du cas où les données sont manifestement rendues publiques, toutes les conditions prévues par l’annexe 8 sont soumises à un contrôle du critère de «stricte nécessité». Comme précisé par l’ICO, «dans ce contexte, strictement nécessaire signifie que le traitement doit être lié à un besoin social impérieux, auquel on ne peut raisonnablement subvenir grâce à d’autres moyens moins intrusifs» (71). En outre, certaines des conditions sont soumises à d’autres limitations. À titre d’exemple, un critère supplémentaire d’intérêt public substantiel doit être rempli pour invoquer la condition de «fins légales» et la «condition de protection» (points 1 et 4 de l’annexe 8). De plus, en ce qui concerne les conditions relatives à la protection de l’enfant (point 4 de l’annexe 8), la personne concernée doit également avoir un âge déterminé et être considérée comme une personne à risque. Par ailleurs, le responsable du traitement ne peut faire valoir la condition prévue au point 4 de l’annexe 8 que dans des circonstances particulières (72). De la même manière, des limitations s’appliquent aux conditions relatives aux «actes judiciaires» et à la «prévention de la fraude» (points 7 et 8 de l’annexe 8 respectivement). Les deux ne s’appliquent qu’à des responsables du traitement spécifiques. Dans le cas des actes judiciaires, seule une juridiction ou une autre autorité judiciaire peut faire valoir cette condition, et dans le cas de la prévention de la fraude, seuls les responsables du traitement qui sont des organisations de lutte contre la fraude peuvent invoquer cette condition.

71

72

| (42) | Enfin, lorsque le traitement repose sur l’une des conditions figurant sur la liste établie à l’annexe 8, et en vertu de l’article 42 de la loi DPA 2018 respectivement, un «document stratégique approprié» doit être en place – expliquant les procédures du responsable du traitement pour garantir le respect des principes de protection des données, ainsi que les politiques dudit responsable en matière de conservation et d’effacement des données à caractère personnel – et des obligations de tenir un registre consolidé s’appliquent. |
| --- | --- |

(42)

Enfin, lorsque le traitement repose sur l’une des conditions figurant sur la liste établie à l’annexe 8, et en vertu de l’article 42 de la loi DPA 2018 respectivement, un «document stratégique approprié» doit être en place – expliquant les procédures du responsable du traitement pour garantir le respect des principes de protection des données, ainsi que les politiques dudit responsable en matière de conservation et d’effacement des données à caractère personnel – et des obligations de tenir un registre consolidé s’appliquent.

2.4.2.   Limitation de la finalité

Limitation de la finalité

| (43) | Les données à caractère personnel devraient être traitées dans un but précis et être ensuite utilisées uniquement dans la mesure où cela n’est pas incompatible avec la finalité du traitement. Ce principe de protection est garanti par l’article 36 de la loi DPA 2018. À l’instar de l’article 4, paragraphe 1, point b), de la directive (UE) 2016/680, cette disposition requiert que a) la finalité répressive pour laquelle les données à caractère personnel sont collectées à tout moment soit déterminée, explicite et légitime et que b) les données à caractère personnel ainsi collectées ne soient pas traitées d’une manière incompatible avec la finalité pour laquelle elles ont été collectées. |
| --- | --- |

(43)

Les données à caractère personnel devraient être traitées dans un but précis et être ensuite utilisées uniquement dans la mesure où cela n’est pas incompatible avec la finalité du traitement. Ce principe de protection est garanti par l’article 36 de la loi DPA 2018. À l’instar de l’article 4, paragraphe 1, point b), de la directive (UE) 2016/680, cette disposition requiert que a) la finalité répressive pour laquelle les données à caractère personnel sont collectées à tout moment soit déterminée, explicite et légitime et que b) les données à caractère personnel ainsi collectées ne soient pas traitées d’une manière incompatible avec la finalité pour laquelle elles ont été collectées.

| (44) | Lorsque les autorités compétentes procèdent au traitement des données à des fins répressives, cela peut comprendre des finalités archivistiques, de recherche scientifique ou historique, et statistiques (73). Dans ces situations, la loi DPA 2018 précise également que l’archivage (ou le traitement à des finalités de recherche scientifique ou historique, et statistiques) n’est pas autorisé lorsqu’il est effectué dans le cadre de décisions prises à l’égard d’une personne concernée spécifique ou si cet archivage est susceptible de lui causer un préjudice ou une détresse (74). |
| --- | --- |

(44)

Lorsque les autorités compétentes procèdent au traitement des données à des fins répressives, cela peut comprendre des finalités archivistiques, de recherche scientifique ou historique, et statistiques (73). Dans ces situations, la loi DPA 2018 précise également que l’archivage (ou le traitement à des finalités de recherche scientifique ou historique, et statistiques) n’est pas autorisé lorsqu’il est effectué dans le cadre de décisions prises à l’égard d’une personne concernée spécifique ou si cet archivage est susceptible de lui causer un préjudice ou une détresse (74).

73

74

2.4.3.   Exactitude et minimisation des données

Exactitude et minimisation des données

| (45) | Les données doivent être exactes et, si nécessaire, tenues à jour. Elles doivent également être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées. À l’instar de l’article 4, paragraphe 1, points c), d) et e), de la directive (UE) 2016/680, ces principes sont garantis par les articles 37 et 38 de la loi DPA 2018. Toutes les mesures raisonnables doivent être prises pour garantir que les données à caractère personnel qui sont inexactes (75) sont effacées ou rectifiées sans tarder (76), au regard des finalités répressives pour lesquelles elles sont traitées (77), et garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont plus à jour ne sont pas transmises ou mises à disposition pour l’une des fins répressives (78). |
| --- | --- |

(45)

Les données doivent être exactes et, si nécessaire, tenues à jour. Elles doivent également être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées. À l’instar de l’article 4, paragraphe 1, points c), d) et e), de la directive (UE) 2016/680, ces principes sont garantis par les articles 37 et 38 de la loi DPA 2018. Toutes les mesures raisonnables doivent être prises pour garantir que les données à caractère personnel qui sont inexactes (75) sont effacées ou rectifiées sans tarder (76), au regard des finalités répressives pour lesquelles elles sont traitées (77), et garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont plus à jour ne sont pas transmises ou mises à disposition pour l’une des fins répressives (78).

75

76

77

78

| (46) | Par ailleurs, de la même façon que l’article 7 de la directive (UE) 2016/680, le régime de protection des données du Royaume-Uni précise que les données à caractère personnel fondées sur des faits doivent être, dans la mesure du possible, distinguées de celles fondées sur des appréciations personnelles (79). Le cas échéant et autant que possible, une distinction claire doit être établie entre les données à caractère personnel de différentes catégories de personnes concernées, telles que les suspects, les personnes reconnues coupables d’une infraction pénale, les victimes d’une infraction pénale et les témoins (80). |
| --- | --- |

(46)

Par ailleurs, de la même façon que l’article 7 de la directive (UE) 2016/680, le régime de protection des données du Royaume-Uni précise que les données à caractère personnel fondées sur des faits doivent être, dans la mesure du possible, distinguées de celles fondées sur des appréciations personnelles (79). Le cas échéant et autant que possible, une distinction claire doit être établie entre les données à caractère personnel de différentes catégories de personnes concernées, telles que les suspects, les personnes reconnues coupables d’une infraction pénale, les victimes d’une infraction pénale et les témoins (80).

79

80

2.4.4.   Limitation de la conservation

Limitation de la conservation

| (47) | Conformément à l’article 5 de la directive (UE) 2016/680, les données ne doivent, en principe, pas être conservées plus longtemps que nécessaire pour atteindre les finalités pour lesquelles les données à caractère personnel sont traitées. En vertu de l’article 39 de la loi DPA 2018 et à l’instar de l’article 5 de ladite directive, il est interdit de conserver des données à caractère personnel pour l’une des fins répressives pendant une durée plus longue que nécessaire à la finalité pour laquelle ces données sont traitées. Le régime juridique du Royaume-Uni exige que des délais appropriés soient fixés pour la vérification régulière de la nécessité de conserver les données à caractère personnel à l’une des fins répressives. D’autres règles relatives aux pratiques en matière de conservation des données et les délais applicables ont été énoncés dans la législation pertinente et dans les orientations régissant les pouvoirs et le fonctionnement de la police. Par exemple, en Angleterre et au pays de Galles, le CBP relatif à la gestion des informations policières du collège des forces de police, ainsi que les orientations de la pratique professionnelle agréée pour la gestion des informations policières prévoient un cadre visant à garantir un processus cohérent de conservation, de vérification et de destruction fondé sur le risque pour la gestion des informations relatives aux fonctions policières opérationnelles (81). Ce cadre fixe des attentes claires pour tout le service en ce qui concerne la manière dont ces informations devraient être créées, partagées, utilisées et gérées au sein des différentes forces de police et d’autres agences et entre elles (82). On attend de la police qu’elle respecte le code de bonne pratique, et ce respect fait l’objet d’un examen par l’inspection de la police et des services d’incendie et de secours (83). |
| --- | --- |

(47)

Conformément à l’article 5 de la directive (UE) 2016/680, les données ne doivent, en principe, pas être conservées plus longtemps que nécessaire pour atteindre les finalités pour lesquelles les données à caractère personnel sont traitées. En vertu de l’article 39 de la loi DPA 2018 et à l’instar de l’article 5 de ladite directive, il est interdit de conserver des données à caractère personnel pour l’une des fins répressives pendant une durée plus longue que nécessaire à la finalité pour laquelle ces données sont traitées. Le régime juridique du Royaume-Uni exige que des délais appropriés soient fixés pour la vérification régulière de la nécessité de conserver les données à caractère personnel à l’une des fins répressives. D’autres règles relatives aux pratiques en matière de conservation des données et les délais applicables ont été énoncés dans la législation pertinente et dans les orientations régissant les pouvoirs et le fonctionnement de la police. Par exemple, en Angleterre et au pays de Galles, le CBP relatif à la gestion des informations policières du collège des forces de police, ainsi que les orientations de la pratique professionnelle agréée pour la gestion des informations policières prévoient un cadre visant à garantir un processus cohérent de conservation, de vérification et de destruction fondé sur le risque pour la gestion des informations relatives aux fonctions policières opérationnelles (81). Ce cadre fixe des attentes claires pour tout le service en ce qui concerne la manière dont ces informations devraient être créées, partagées, utilisées et gérées au sein des différentes forces de police et d’autres agences et entre elles (82). On attend de la police qu’elle respecte le code de bonne pratique, et ce respect fait l’objet d’un examen par l’inspection de la police et des services d’incendie et de secours (83).

81

82

83

| (48) | Le service de police d’Irlande du Nord (PSNI) n’est pas tenu par la loi de suivre le CBP relatif à la gestion des informations policières. Toutefois, le cadre de la gestion des informations policières adopté en 2011 est complété par un manuel du service de police d’Irlande du Nord (PSNI Handbook) (84), qui établit des politiques et des procédures sur la manière dont le CBP relatif à la gestion des informations policières est appliqué en Irlande du Nord. |
| --- | --- |

(48)

Le service de police d’Irlande du Nord (PSNI) n’est pas tenu par la loi de suivre le CBP relatif à la gestion des informations policières. Toutefois, le cadre de la gestion des informations policières adopté en 2011 est complété par un manuel du service de police d’Irlande du Nord (PSNI Handbook) (84), qui établit des politiques et des procédures sur la manière dont le CBP relatif à la gestion des informations policières est appliqué en Irlande du Nord.

84

| (49) | En Écosse, les forces de police s’appuient sur les instructions permanentes relatives à la conservation des dossiers (85), sur lesquelles s’appuie la politique de gestion des dossiers du service de police d’Écosse (86). Les instructions permanentes fixent des règles de conservation spécifiques pour les dossiers conservés par la police écossaise. |
| --- | --- |

(49)

En Écosse, les forces de police s’appuient sur les instructions permanentes relatives à la conservation des dossiers (85), sur lesquelles s’appuie la politique de gestion des dossiers du service de police d’Écosse (86). Les instructions permanentes fixent des règles de conservation spécifiques pour les dossiers conservés par la police écossaise.

85

86

| (50) | Outre l’exigence générale de vérifier les dossiers, qui s’applique à l’ensemble du Royaume-Uni, de plus amples détails sont énoncés dans les règles locales. À titre d’exemple, en ce qui concerne l’Angleterre et le pays de Galles, la loi sur la police et les preuves criminelles, telle que modifiée par la loi de 2012 sur la protection des libertés (Protection of Freedoms Act 2012 – la loi PoFA), prévoit la conservation d’empreintes digitales et des profils ADN ainsi qu’un régime spécifique pour les personnes non condamnées (87). La loi sur la protection des libertés a également créé le poste de commissaire responsable de la conservation et de l’utilisation du matériel biométrique (Commissioner for the Retention and Use of Biometric Material – «commissaire à la biométrie») (88). Des règles spécifiques concernant les photographies d’identité judiciaire sont énoncées dans le document 2017 Custody Image Review (Évaluation des photographies d’identité judiciaire 2017) (89). En ce qui concerne l’Écosse, la loi de 1995 sur les procédures pénales en Écosse prévoit les règles relatives à l’obtention et à la conservation des empreintes digitales et des échantillons biologiques (90). Comme pour l’Angleterre et le pays de Galles, la législation réglemente la conservation des données biométriques dans différents cas (91). |
| --- | --- |

(50)

Outre l’exigence générale de vérifier les dossiers, qui s’applique à l’ensemble du Royaume-Uni, de plus amples détails sont énoncés dans les règles locales. À titre d’exemple, en ce qui concerne l’Angleterre et le pays de Galles, la loi sur la police et les preuves criminelles, telle que modifiée par la loi de 2012 sur la protection des libertés (Protection of Freedoms Act 2012 – la loi PoFA), prévoit la conservation d’empreintes digitales et des profils ADN ainsi qu’un régime spécifique pour les personnes non condamnées (87). La loi sur la protection des libertés a également créé le poste de commissaire responsable de la conservation et de l’utilisation du matériel biométrique (Commissioner for the Retention and Use of Biometric Material – «commissaire à la biométrie») (88). Des règles spécifiques concernant les photographies d’identité judiciaire sont énoncées dans le document 2017 Custody Image Review (Évaluation des photographies d’identité judiciaire 2017) (89). En ce qui concerne l’Écosse, la loi de 1995 sur les procédures pénales en Écosse prévoit les règles relatives à l’obtention et à la conservation des empreintes digitales et des échantillons biologiques (90). Comme pour l’Angleterre et le pays de Galles, la législation réglemente la conservation des données biométriques dans différents cas (91).

87

88

89

90

91

2.4.5.   Sécurité des données

Sécurité des données

| (51) | Les données à caractère personnel doivent être traitées d’une manière garantissant leur sécurité, y compris la protection contre le traitement non autorisé ou illicite et contre toute perte, toute destruction ou tout dégât d’origine accidentelle. À cette fin, les autorités publiques doivent prendre les mesures techniques et organisationnelles appropriées pour protéger les données à caractère personnel contre d’éventuelles menaces. Ces mesures doivent être appréciées en fonction de l’état des connaissances et des coûts correspondants. |
| --- | --- |

(51)

Les données à caractère personnel doivent être traitées d’une manière garantissant leur sécurité, y compris la protection contre le traitement non autorisé ou illicite et contre toute perte, toute destruction ou tout dégât d’origine accidentelle. À cette fin, les autorités publiques doivent prendre les mesures techniques et organisationnelles appropriées pour protéger les données à caractère personnel contre d’éventuelles menaces. Ces mesures doivent être appréciées en fonction de l’état des connaissances et des coûts correspondants.

| (52) | Ces principes se reflètent à l’article 40 de la loi DPA 2018, selon lequel, à l’instar de l’article 4, paragraphe 1, point f), de la directive (UE) 2016/680, les données à caractère personnel traitées pour l’une des fins répressives doivent être traitées de façon à garantir une sécurité appropriée de ces données, à l’aide de mesures techniques ou organisationnelles appropriées. Cela inclut la protection contre le traitement non autorisé ou illicite des données et contre la perte, la destruction ou les dégâts d’origine accidentelle (92). L’article 66 de la loi DPA 2018 précise de plus que chaque responsable du traitement et chaque sous-traitant doivent mettre en œuvre des mesures techniques et organisationnelles pour garantir un niveau de sécurité adapté aux risques résultant du traitement des données à caractère personnel. D’après les notes explicatives, le responsable du traitement doit évaluer les risques et, sur la base de cette évaluation, prendre les mesures de sécurité adéquates, par exemple, le chiffrement ou des niveaux spécifiques d’habilitation de sécurité pour le personnel chargé de traiter les données (93). Ladite évaluation doit également tenir compte, par exemple, de la nature des données traitées ou de tous autres facteurs ou circonstances pertinents susceptibles d’avoir une incidence sur la sécurité du traitement. |
| --- | --- |

(52)

Ces principes se reflètent à l’article 40 de la loi DPA 2018, selon lequel, à l’instar de l’article 4, paragraphe 1, point f), de la directive (UE) 2016/680, les données à caractère personnel traitées pour l’une des fins répressives doivent être traitées de façon à garantir une sécurité appropriée de ces données, à l’aide de mesures techniques ou organisationnelles appropriées. Cela inclut la protection contre le traitement non autorisé ou illicite des données et contre la perte, la destruction ou les dégâts d’origine accidentelle (92). L’article 66 de la loi DPA 2018 précise de plus que chaque responsable du traitement et chaque sous-traitant doivent mettre en œuvre des mesures techniques et organisationnelles pour garantir un niveau de sécurité adapté aux risques résultant du traitement des données à caractère personnel. D’après les notes explicatives, le responsable du traitement doit évaluer les risques et, sur la base de cette évaluation, prendre les mesures de sécurité adéquates, par exemple, le chiffrement ou des niveaux spécifiques d’habilitation de sécurité pour le personnel chargé de traiter les données (93). Ladite évaluation doit également tenir compte, par exemple, de la nature des données traitées ou de tous autres facteurs ou circonstances pertinents susceptibles d’avoir une incidence sur la sécurité du traitement.

92

93

| (53) | Le régime régissant le respect des principes de sécurité des données est très similaire à celui énoncé aux articles 29 à 31 de la directive (UE) 2016/680. En particulier, dans le cas d’une violation de données à caractère personnel touchant les données sous sa responsabilité, le responsable du traitement doit, conformément à l’article 67, paragraphe 1, de la loi DPA 2018, notifier cette violation au commissaire à l’information dans les meilleurs délais et, si possible, dans un délai de 72 heures au plus tard après en avoir pris connaissance (94). Cette obligation de notifier la violation de données à caractère personnel ne s’applique pas lorsque celle-ci n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes (95). Le responsable du traitement doit consigner les faits relatifs à toute violation de données à caractère personnel, ses effets et les mesures prises pour y remédier, de manière que le commissaire à l’information soit en mesure de vérifier le respect de la loi DPA (96). Si un sous-traitant prend connaissance d’une violation de sécurité, il doit en informer le responsable du traitement dans les meilleurs délais (97). |
| --- | --- |

(53)

Le régime régissant le respect des principes de sécurité des données est très similaire à celui énoncé aux articles 29 à 31 de la directive (UE) 2016/680. En particulier, dans le cas d’une violation de données à caractère personnel touchant les données sous sa responsabilité, le responsable du traitement doit, conformément à l’article 67, paragraphe 1, de la loi DPA 2018, notifier cette violation au commissaire à l’information dans les meilleurs délais et, si possible, dans un délai de 72 heures au plus tard après en avoir pris connaissance (94). Cette obligation de notifier la violation de données à caractère personnel ne s’applique pas lorsque celle-ci n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes (95). Le responsable du traitement doit consigner les faits relatifs à toute violation de données à caractère personnel, ses effets et les mesures prises pour y remédier, de manière que le commissaire à l’information soit en mesure de vérifier le respect de la loi DPA (96). Si un sous-traitant prend connaissance d’une violation de sécurité, il doit en informer le responsable du traitement dans les meilleurs délais (97).

94

95

96

97

| (54) | En vertu de l’article 68, paragraphe 1, de la loi DPA 2018, lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et les libertés d’une personne, le responsable du traitement doit communiquer la violation à la personne concernée dans les meilleurs délais (98). La communication doit inclure les mêmes informations que la notification adressée au commissaire à l’information, qui sont décrites au considérant 53. Cette obligation ne s’applique pas si le responsable du traitement a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et si celles-ci ont été appliquées aux données à caractère personnel affectées par ladite violation. Elle ne s’applique également pas si le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et les libertés des personnes concernées n’est plus susceptible de se matérialiser. Enfin, le responsable du traitement n’est pas tenu de notifier la violation à la personne concernée si cela exige des efforts disproportionnés (99). Dans ce cas, les informations doivent être mises à la disposition de la personne concernée d’une autre manière tout aussi efficace, en procédant par exemple à une communication publique (100). Si le responsable du traitement n’a pas communiqué à la personne concernée la violation de données à caractère personnel la concernant, le commissaire à l’information, qui a été informé en vertu de l’article 67 de la loi DPA, peut, après avoir examiné si cette violation est susceptible d’engendrer un risque élevé, exiger du responsable du traitement qu’il procède à cette communication (101). |
| --- | --- |

(54)

En vertu de l’article 68, paragraphe 1, de la loi DPA 2018, lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et les libertés d’une personne, le responsable du traitement doit communiquer la violation à la personne concernée dans les meilleurs délais (98). La communication doit inclure les mêmes informations que la notification adressée au commissaire à l’information, qui sont décrites au considérant 53. Cette obligation ne s’applique pas si le responsable du traitement a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et si celles-ci ont été appliquées aux données à caractère personnel affectées par ladite violation. Elle ne s’applique également pas si le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et les libertés des personnes concernées n’est plus susceptible de se matérialiser. Enfin, le responsable du traitement n’est pas tenu de notifier la violation à la personne concernée si cela exige des efforts disproportionnés (99). Dans ce cas, les informations doivent être mises à la disposition de la personne concernée d’une autre manière tout aussi efficace, en procédant par exemple à une communication publique (100). Si le responsable du traitement n’a pas communiqué à la personne concernée la violation de données à caractère personnel la concernant, le commissaire à l’information, qui a été informé en vertu de l’article 67 de la loi DPA, peut, après avoir examiné si cette violation est susceptible d’engendrer un risque élevé, exiger du responsable du traitement qu’il procède à cette communication (101).

98

99

100

101

2.4.6.   Transparence

Transparence

| (55) | Les personnes concernées doivent être informées des principales caractéristiques du traitement de leurs données à caractère personnel. Ce principe de protection des données se reflète à l’article 44 de la loi DPA 2018, qui, à l’instar de l’article 13 de la directive (UE) 2016/680, prévoit que le responsable du traitement a pour obligation générale de mettre à la disposition des personnes concernées les informations relatives au traitement de leurs données à caractère personnel (que ce soit en mettant les informations à la disposition du public de manière générale ou de toute autre façon) (102). Ces informations devant être mises à la disposition comprennent a) l’identité et les coordonnées du responsable du traitement; b) le cas échéant, les coordonnées du délégué à la protection des données; c) les finalités pour lesquelles le responsable du traitement procède au traitement de données à caractère personnel; d) l’existence du droit des personnes concernées de demander au responsable du traitement l’accès aux données à caractère personnel, leur rectification et leur effacement, ou la limitation de leur traitement; et e) l’existence du droit d’introduire une réclamation auprès du commissaire à l’information et les coordonnées dudit commissaire (103). |
| --- | --- |

(55)

Les personnes concernées doivent être informées des principales caractéristiques du traitement de leurs données à caractère personnel. Ce principe de protection des données se reflète à l’article 44 de la loi DPA 2018, qui, à l’instar de l’article 13 de la directive (UE) 2016/680, prévoit que le responsable du traitement a pour obligation générale de mettre à la disposition des personnes concernées les informations relatives au traitement de leurs données à caractère personnel (que ce soit en mettant les informations à la disposition du public de manière générale ou de toute autre façon) (102). Ces informations devant être mises à la disposition comprennent a) l’identité et les coordonnées du responsable du traitement; b) le cas échéant, les coordonnées du délégué à la protection des données; c) les finalités pour lesquelles le responsable du traitement procède au traitement de données à caractère personnel; d) l’existence du droit des personnes concernées de demander au responsable du traitement l’accès aux données à caractère personnel, leur rectification et leur effacement, ou la limitation de leur traitement; et e) l’existence du droit d’introduire une réclamation auprès du commissaire à l’information et les coordonnées dudit commissaire (103).

102

103

| (56) | Dans des cas particuliers, le responsable du traitement doit également fournir à la personne concernée – afin de lui permettre d’exercer ses droits en vertu de la loi DPA 2018 (par exemple, lorsque les données à caractère personnel traitées sont collectées à l’insu de la personne concernée) – des informations concernant a) la base juridique du traitement; b) les informations relatives à la durée de conservation des données à caractère personnel ou, lorsque ce n’est pas possible, aux critères utilisés pour déterminer cette durée; c) le cas échéant, les informations relatives aux catégories de destinataires des données à caractère personnel (y compris les destinataires dans les pays tiers ou au sein d’organisations internationales); d) toutes autres informations complémentaires nécessaires à l’exercice des droits de la personne concernée en vertu de la partie 3 de la loi DPA 2018 (104). |
| --- | --- |

(56)

Dans des cas particuliers, le responsable du traitement doit également fournir à la personne concernée – afin de lui permettre d’exercer ses droits en vertu de la loi DPA 2018 (par exemple, lorsque les données à caractère personnel traitées sont collectées à l’insu de la personne concernée) – des informations concernant a) la base juridique du traitement; b) les informations relatives à la durée de conservation des données à caractère personnel ou, lorsque ce n’est pas possible, aux critères utilisés pour déterminer cette durée; c) le cas échéant, les informations relatives aux catégories de destinataires des données à caractère personnel (y compris les destinataires dans les pays tiers ou au sein d’organisations internationales); d) toutes autres informations complémentaires nécessaires à l’exercice des droits de la personne concernée en vertu de la partie 3 de la loi DPA 2018 (104).

104

2.4.7.   Droits individuels

Droits individuels

| (57) | Plusieurs droits opposables doivent être conférés aux personnes concernées. Le chapitre 3 de la partie 3 de la loi DPA 2018 confère aux personnes des droits d’accès, de rectification, d’effacement et de limitation (105), qui sont comparables aux droits conférés en vertu du chapitre 3 de la directive (UE) 2016/680. |
| --- | --- |

(57)

Plusieurs droits opposables doivent être conférés aux personnes concernées. Le chapitre 3 de la partie 3 de la loi DPA 2018 confère aux personnes des droits d’accès, de rectification, d’effacement et de limitation (105), qui sont comparables aux droits conférés en vertu du chapitre 3 de la directive (UE) 2016/680.

105

| (58) | Le droit d’accès est établi par l’article 45 de la loi DPA 2018. Premièrement, une personne est en droit d’obtenir, du responsable du traitement, la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées (106). Deuxièmement, lorsque les données à caractère personnel sont traitées, la personne concernée a le droit d’accéder à ces données et de recevoir les informations suivantes concernant le traitement: a) les finalités du traitement ainsi que ses bases juridiques; b) les catégories de données concernées; c) le destinataire auquel les données ont été communiquées; d) la durée pendant laquelle les données à caractère personnel sont conservées; e) l’existence du droit de la personne concernée à la rectification et à l’effacement des données à caractère personnel; f) le droit d’introduire une réclamation; et g) toute information relative à l’origine des données à caractère personnel concernées (107). |
| --- | --- |

(58)

Le droit d’accès est établi par l’article 45 de la loi DPA 2018. Premièrement, une personne est en droit d’obtenir, du responsable du traitement, la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées (106). Deuxièmement, lorsque les données à caractère personnel sont traitées, la personne concernée a le droit d’accéder à ces données et de recevoir les informations suivantes concernant le traitement: a) les finalités du traitement ainsi que ses bases juridiques; b) les catégories de données concernées; c) le destinataire auquel les données ont été communiquées; d) la durée pendant laquelle les données à caractère personnel sont conservées; e) l’existence du droit de la personne concernée à la rectification et à l’effacement des données à caractère personnel; f) le droit d’introduire une réclamation; et g) toute information relative à l’origine des données à caractère personnel concernées (107).

106

107

| (59) | En vertu de l’article 46 de la loi DPA 2018, la personne concernée a le droit d’exiger du responsable du traitement qu’il rectifie les données à caractère personnel inexactes qui la concernent. Le responsable du traitement doit rectifier (ou compléter, si les données sont inexactes parce qu’elles sont incomplètes) les données dans les meilleurs délais. Si les données à caractère personnel doivent être conservées à des fins probatoires, le responsable du traitement doit (au lieu de rectifier les données) limiter leur traitement (108). |
| --- | --- |

(59)

En vertu de l’article 46 de la loi DPA 2018, la personne concernée a le droit d’exiger du responsable du traitement qu’il rectifie les données à caractère personnel inexactes qui la concernent. Le responsable du traitement doit rectifier (ou compléter, si les données sont inexactes parce qu’elles sont incomplètes) les données dans les meilleurs délais. Si les données à caractère personnel doivent être conservées à des fins probatoires, le responsable du traitement doit (au lieu de rectifier les données) limiter leur traitement (108).

108

| (60) | L’article 47 de la loi DPA 2018 confère aux personnes le droit à l’effacement et à la limitation du traitement. Le responsable du traitement doit (109) effacer dans les meilleurs délais les données à caractère personnel lorsque le traitement de ces données est susceptible d’enfreindre l’un des principes de protection des données, les motifs légaux du traitement, ou les garanties relatives à l’archivage et au traitement de données sensibles. Le responsable du traitement doit également effacer les données lorsqu’il y est légalement tenu. Si les données à caractère personnel doivent être conservées à des fins probatoires, le responsable du traitement doit (au lieu d’effacer les données) limiter leur traitement (110). Ledit responsable doit limiter le traitement de données à caractère personnel si une personne concernée conteste l’exactitude des données à caractère personnel, mais qu’il ne peut être déterminé si elles sont exactes ou non (111). |
| --- | --- |

(60)

L’article 47 de la loi DPA 2018 confère aux personnes le droit à l’effacement et à la limitation du traitement. Le responsable du traitement doit (109) effacer dans les meilleurs délais les données à caractère personnel lorsque le traitement de ces données est susceptible d’enfreindre l’un des principes de protection des données, les motifs légaux du traitement, ou les garanties relatives à l’archivage et au traitement de données sensibles. Le responsable du traitement doit également effacer les données lorsqu’il y est légalement tenu. Si les données à caractère personnel doivent être conservées à des fins probatoires, le responsable du traitement doit (au lieu d’effacer les données) limiter leur traitement (110). Ledit responsable doit limiter le traitement de données à caractère personnel si une personne concernée conteste l’exactitude des données à caractère personnel, mais qu’il ne peut être déterminé si elles sont exactes ou non (111).

109

110

111

| (61) | Lorsqu’une personne concernée demande que les données à caractère personnel soient rectifiées ou effacées, ou que le traitement desdites données soit limité, le responsable du traitement doit lui indiquer par écrit si sa demande a été acceptée, et si elle a été refusée, informer la personne concernée des raisons du refus et des voies de recours possibles (le droit de la personne concernée d’introduire une demande auprès du commissaire à l’information pour vérifier que la limitation a bien été appliquée de manière licite, le droit d’introduire une réclamation auprès du commissaire à l’information, et le droit de demander une injonction judiciaire à se conformer aux dispositions légales) (112). |
| --- | --- |

(61)

Lorsqu’une personne concernée demande que les données à caractère personnel soient rectifiées ou effacées, ou que le traitement desdites données soit limité, le responsable du traitement doit lui indiquer par écrit si sa demande a été acceptée, et si elle a été refusée, informer la personne concernée des raisons du refus et des voies de recours possibles (le droit de la personne concernée d’introduire une demande auprès du commissaire à l’information pour vérifier que la limitation a bien été appliquée de manière licite, le droit d’introduire une réclamation auprès du commissaire à l’information, et le droit de demander une injonction judiciaire à se conformer aux dispositions légales) (112).

112

| (62) | Lorsque le responsable du traitement rectifie les données à caractère personnel reçues d’une autre autorité compétente, il doit en informer cette autorité (113). Lorsque le responsable du traitement rectifie, efface ou limite le traitement de données à caractère personnel qu’il a communiquées, ledit responsable doit en informer les destinataires, et les destinataires doivent également rectifier, effacer ou limiter le traitement des données à caractère personnel (dans la mesure où ils en conservent la responsabilité) (114). |
| --- | --- |

(62)

Lorsque le responsable du traitement rectifie les données à caractère personnel reçues d’une autre autorité compétente, il doit en informer cette autorité (113). Lorsque le responsable du traitement rectifie, efface ou limite le traitement de données à caractère personnel qu’il a communiquées, ledit responsable doit en informer les destinataires, et les destinataires doivent également rectifier, effacer ou limiter le traitement des données à caractère personnel (dans la mesure où ils en conservent la responsabilité) (114).

113

114

| (63) | En outre, la personne concernée a le droit d’être informée dans les meilleurs délais, par le responsable du traitement, de toute violation de données à caractère personnel lorsque cette dernière est susceptible d’engendrer un risque élevé pour les droits et les libertés des personnes (115). |
| --- | --- |

(63)

En outre, la personne concernée a le droit d’être informée dans les meilleurs délais, par le responsable du traitement, de toute violation de données à caractère personnel lorsque cette dernière est susceptible d’engendrer un risque élevé pour les droits et les libertés des personnes (115).

115

| (64) | En ce qui concerne tous ces droits de la personne concernée et à l’instar de ce qui est prévu à l’article 12 de la directive (UE) 2016/680, le responsable du traitement a pour obligation de veiller à ce que toute information fournie à la personne concernée le soit de façon concise, compréhensible et aisément accessible (116) et, si possible, sous la même forme que la demande (117). Le responsable du traitement doit donner suite à une demande de la personne concernée dans les meilleurs délais et, en principe et dans tous les cas, dans un délai d’un mois à compter de la demande (118). Lorsque le responsable du traitement a des doutes raisonnables quant à l’identité d’une personne, il peut demander que lui soient fournies des informations supplémentaires et retarder le traitement de la demande jusqu’à ce que l’identité de la personne concernée soit confirmée. Le responsable du traitement peut exiger le paiement de frais raisonnables ou refuser de donner suite à la demande lorsqu’il estime que cette dernière est manifestement infondée (119). L’ICO a fourni des orientations sur les cas dans lesquels une demande est considérée comme manifestement infondée ou excessive et dans lesquels le paiement de frais peut être exigé (120). |
| --- | --- |

(64)

En ce qui concerne tous ces droits de la personne concernée et à l’instar de ce qui est prévu à l’article 12 de la directive (UE) 2016/680, le responsable du traitement a pour obligation de veiller à ce que toute information fournie à la personne concernée le soit de façon concise, compréhensible et aisément accessible (116) et, si possible, sous la même forme que la demande (117). Le responsable du traitement doit donner suite à une demande de la personne concernée dans les meilleurs délais et, en principe et dans tous les cas, dans un délai d’un mois à compter de la demande (118). Lorsque le responsable du traitement a des doutes raisonnables quant à l’identité d’une personne, il peut demander que lui soient fournies des informations supplémentaires et retarder le traitement de la demande jusqu’à ce que l’identité de la personne concernée soit confirmée. Le responsable du traitement peut exiger le paiement de frais raisonnables ou refuser de donner suite à la demande lorsqu’il estime que cette dernière est manifestement infondée (119). L’ICO a fourni des orientations sur les cas dans lesquels une demande est considérée comme manifestement infondée ou excessive et dans lesquels le paiement de frais peut être exigé (120).

116

117

118

119

120

| (65) | En outre, en vertu de l’article 53, paragraphe 4, de la loi DPA 2018, le secrétaire d’État peut, par voie de règlements, préciser le montant maximum des frais. |
| --- | --- |

(65)

En outre, en vertu de l’article 53, paragraphe 4, de la loi DPA 2018, le secrétaire d’État peut, par voie de règlements, préciser le montant maximum des frais.

2.4.7.1.   Limitations des droits de la personne concernée et obligations en matière de transparence

Limitations des droits de la personne concernée et obligations en matière de transparence

| (66) | Une autorité compétente peut, dans certaines circonstances, limiter certains droits de la personne concernée, à savoir le droit d’accès (121), le droit à l’information (122), le droit d’être informé d’une violation de données à caractère personnel (123), et le droit d’être informé des raisons motivant le refus de donner suite à une demande de rectification et d’effacement (124). À l’instar du régime prévu au chapitre III de la directive (UE) 2016/680, l’autorité compétente ne peut appliquer la limitation que si, compte tenu des droits fondamentaux et des intérêts légitimes de la personne concernée, celle-ci constitue une mesure nécessaire et proportionnée pour: a) éviter de gêner une enquête, une recherche ou une procédure officielle ou judiciaire; b) éviter de nuire à la prévention ou à la détection d’infractions pénales, aux enquêtes et aux poursuites en la matière ou à l’exécution de sanctions pénales; c) protéger la sécurité publique; d) protéger la sécurité nationale; e) protéger les droits et les libertés d’autrui. |
| --- | --- |

(66)

Une autorité compétente peut, dans certaines circonstances, limiter certains droits de la personne concernée, à savoir le droit d’accès (121), le droit à l’information (122), le droit d’être informé d’une violation de données à caractère personnel (123), et le droit d’être informé des raisons motivant le refus de donner suite à une demande de rectification et d’effacement (124). À l’instar du régime prévu au chapitre III de la directive (UE) 2016/680, l’autorité compétente ne peut appliquer la limitation que si, compte tenu des droits fondamentaux et des intérêts légitimes de la personne concernée, celle-ci constitue une mesure nécessaire et proportionnée pour: a) éviter de gêner une enquête, une recherche ou une procédure officielle ou judiciaire; b) éviter de nuire à la prévention ou à la détection d’infractions pénales, aux enquêtes et aux poursuites en la matière ou à l’exécution de sanctions pénales; c) protéger la sécurité publique; d) protéger la sécurité nationale; e) protéger les droits et les libertés d’autrui.

121

122

123

124

| (67) | L’ICO a communiqué des orientations concernant l’application de ces limitations. Selon ces orientations, les responsables du traitement doivent effectuer une analyse au cas par cas pour concilier les droits de la personne avec le préjudice que causerait la divulgation. Ils doivent notamment justifier toute limitation appliquée comme étant nécessaire et proportionnée et ne peuvent appliquer que les limitations prévues si cela risque de nuire aux objectifs susmentionnés (125). |
| --- | --- |

(67)

L’ICO a communiqué des orientations concernant l’application de ces limitations. Selon ces orientations, les responsables du traitement doivent effectuer une analyse au cas par cas pour concilier les droits de la personne avec le préjudice que causerait la divulgation. Ils doivent notamment justifier toute limitation appliquée comme étant nécessaire et proportionnée et ne peuvent appliquer que les limitations prévues si cela risque de nuire aux objectifs susmentionnés (125).

125

| (68) | Un certain nombre d’autres documents d’orientations ont été publiés par les autorités compétentes. Ils fournissent des informations détaillées concernant tous les aspects de la législation sur la protection des données, y compris l’application des limitations des droits des personnes concernées (126). À titre d’exemple, en ce qui concerne l’article 45, paragraphe 4, le manuel sur la protection des données du conseil du chef de la police nationale (Data Protection Manual of the National Police Chief’s Counsel) dispose ce qui suit: «Il est essentiel de noter que les limitations ne peuvent être appliquées que dans la mesure où elles sont nécessaires et aussi longtemps que nécessaire. En conséquence, une application sans nuance de la limitation à toutes les données à caractère personnel d’un requérant ou l’application permanente de cette limitation ne sont pas autorisées. Sur ce dernier point, il est fréquent que les données à caractère personnel qui sont collectées à l’insu de la personne concernée, qui est suspectée dans le cadre d’une enquête, doivent être protégées dans un premier temps contre la divulgation à cette personne pour éviter de nuire à l’enquête lorsque cette dernière est en cours. À une date ultérieure cependant, la divulgation ne causerait aucun préjudice si les données à caractère personnel avaient été communiquées à la personne concernée lors de son audition. Les forces de police adoptent des processus qui garantissent que ces limitations ne sont appliquées que dans la mesure nécessaire et aussi longtemps que nécessaire» (127). Ces orientations donnent également des exemples des cas où chacune des limitations est susceptible d’être appliquée (128). |
| --- | --- |

(68)

Un certain nombre d’autres documents d’orientations ont été publiés par les autorités compétentes. Ils fournissent des informations détaillées concernant tous les aspects de la législation sur la protection des données, y compris l’application des limitations des droits des personnes concernées (126). À titre d’exemple, en ce qui concerne l’article 45, paragraphe 4, le manuel sur la protection des données du conseil du chef de la police nationale (Data Protection Manual of the National Police Chief’s Counsel) dispose ce qui suit: «Il est essentiel de noter que les limitations ne peuvent être appliquées que dans la mesure où elles sont nécessaires et aussi longtemps que nécessaire. En conséquence, une application sans nuance de la limitation à toutes les données à caractère personnel d’un requérant ou l’application permanente de cette limitation ne sont pas autorisées. Sur ce dernier point, il est fréquent que les données à caractère personnel qui sont collectées à l’insu de la personne concernée, qui est suspectée dans le cadre d’une enquête, doivent être protégées dans un premier temps contre la divulgation à cette personne pour éviter de nuire à l’enquête lorsque cette dernière est en cours. À une date ultérieure cependant, la divulgation ne causerait aucun préjudice si les données à caractère personnel avaient été communiquées à la personne concernée lors de son audition. Les forces de police adoptent des processus qui garantissent que ces limitations ne sont appliquées que dans la mesure nécessaire et aussi longtemps que nécessaire» (127). Ces orientations donnent également des exemples des cas où chacune des limitations est susceptible d’être appliquée (128).

126

127

128

| (69) | De plus, en ce qui concerne la possibilité de limiter l’un des droits susmentionnés aux fins de la protection de la «sécurité nationale», un responsable du traitement peut déposer une demande de certificat signé par un ministre ou le procureur général (Attorney General) [ou l’avocat général pour l’Écosse (Advocate General for Scotland) ] attestant qu’une limitation de ces droits est une mesure nécessaire et proportionnée pour protéger la sécurité nationale (129). Le gouvernement du Royaume-Uni a publié des orientations relatives aux certificats de sécurité nationale au titre de la loi DPA 2018, qui soulignent notamment que toute limitation des droits de la personne concernée pour la sauvegarde de la sécurité nationale doit être nécessaire et proportionnée (130) (pour plus de détails sur les certificats de sécurité nationale, voir les considérants 131 à 134). |
| --- | --- |

(69)

De plus, en ce qui concerne la possibilité de limiter l’un des droits susmentionnés aux fins de la protection de la «sécurité nationale», un responsable du traitement peut déposer une demande de certificat signé par un ministre ou le procureur général (Attorney General) [ou l’avocat général pour l’Écosse (Advocate General for Scotland) ] attestant qu’une limitation de ces droits est une mesure nécessaire et proportionnée pour protéger la sécurité nationale (129). Le gouvernement du Royaume-Uni a publié des orientations relatives aux certificats de sécurité nationale au titre de la loi DPA 2018, qui soulignent notamment que toute limitation des droits de la personne concernée pour la sauvegarde de la sécurité nationale doit être nécessaire et proportionnée (130) (pour plus de détails sur les certificats de sécurité nationale, voir les considérants 131 à 134).

129

130

| (70) | En outre, lorsqu’une limitation des droits de la personne concernée s’applique, l’autorité compétente doit informer cette dernière, dans les meilleurs délais, de ladite limitation, des raisons qui la motivent, et des voies de recours possibles, sauf si ces informations sont susceptibles de remettre en question les raisons motivant la limitation (131). Une garantie supplémentaire contre le recours abusif aux limitations est que le responsable du traitement doit consigner les raisons motivant la limitation des informations et mettre ce registre à la disposition du commissaire à l’information, si demande en est faite (132). |
| --- | --- |

(70)

En outre, lorsqu’une limitation des droits de la personne concernée s’applique, l’autorité compétente doit informer cette dernière, dans les meilleurs délais, de ladite limitation, des raisons qui la motivent, et des voies de recours possibles, sauf si ces informations sont susceptibles de remettre en question les raisons motivant la limitation (131). Une garantie supplémentaire contre le recours abusif aux limitations est que le responsable du traitement doit consigner les raisons motivant la limitation des informations et mettre ce registre à la disposition du commissaire à l’information, si demande en est faite (132).

131

132

| (71) | Si le responsable du traitement refuse de fournir les informations de transparence supplémentaires, ou l’accès, ou qu’il refuse une demande de rectification, d’effacement ou de limitation du traitement, la personne peut demander au commissaire à l’information de vérifier que le responsable du traitement a bien appliqué la limitation de manière licite (133). La personne concernée peut également introduire une réclamation auprès du commissaire à l’information ou demander une injonction judiciaire ordonnant au responsable du traitement de donner suite à sa demande (134). |
| --- | --- |

(71)

Si le responsable du traitement refuse de fournir les informations de transparence supplémentaires, ou l’accès, ou qu’il refuse une demande de rectification, d’effacement ou de limitation du traitement, la personne peut demander au commissaire à l’information de vérifier que le responsable du traitement a bien appliqué la limitation de manière licite (133). La personne concernée peut également introduire une réclamation auprès du commissaire à l’information ou demander une injonction judiciaire ordonnant au responsable du traitement de donner suite à sa demande (134).

133

134

2.4.7.2.   Prise de décision automatisée

Prise de décision automatisée

| (72) | Les articles 49 et 50 de la loi DPA 2018 couvrent respectivement les droits relatifs à la prise de décision automatisée et les garanties à appliquer (135). À l’instar de ce que prévoit l’article 11 de la directive (UE) 2016/680, le responsable du traitement ne peut prendre une décision déterminante fondée exclusivement sur le traitement automatisé de données à caractère personnel que si elle est nécessaire ou autorisée par la loi (136). Une décision est déterminante si elle est susceptible de produire des effets juridiques défavorables pour la personne concernée ou d’affecter cette dernière de manière significative (137). |
| --- | --- |

(72)

Les articles 49 et 50 de la loi DPA 2018 couvrent respectivement les droits relatifs à la prise de décision automatisée et les garanties à appliquer (135). À l’instar de ce que prévoit l’article 11 de la directive (UE) 2016/680, le responsable du traitement ne peut prendre une décision déterminante fondée exclusivement sur le traitement automatisé de données à caractère personnel que si elle est nécessaire ou autorisée par la loi (136). Une décision est déterminante si elle est susceptible de produire des effets juridiques défavorables pour la personne concernée ou d’affecter cette dernière de manière significative (137).

135

136

137

| (73) | Lorsque la loi oblige ou autorise le responsable du traitement à prendre une décision déterminante, l’article 50 de la loi DPA 2018 fixe les garanties qui s’appliqueront à cette décision (définie comme une «décision déterminante désignée»). Le responsable du traitement doit, dès que cela est raisonnablement réalisable, informer la personne concernée que cette décision a été prise. Dès lors, la personne concernée peut, dans un délai d’un mois, demander au responsable du traitement de revoir la décision ou d’en prendre une nouvelle qui n’est pas fondée exclusivement sur le traitement automatisé. Le responsable du traitement doit évaluer la demande et tenir la personne concernée informée de l’issue de cette évaluation. La loi DPA 2018 investit le secrétaire d’État du pouvoir d’adopter les règlements fixant des garanties supplémentaires (138). Aucun règlement de ce type n’a encore été adopté. |
| --- | --- |

(73)

Lorsque la loi oblige ou autorise le responsable du traitement à prendre une décision déterminante, l’article 50 de la loi DPA 2018 fixe les garanties qui s’appliqueront à cette décision (définie comme une «décision déterminante désignée»). Le responsable du traitement doit, dès que cela est raisonnablement réalisable, informer la personne concernée que cette décision a été prise. Dès lors, la personne concernée peut, dans un délai d’un mois, demander au responsable du traitement de revoir la décision ou d’en prendre une nouvelle qui n’est pas fondée exclusivement sur le traitement automatisé. Le responsable du traitement doit évaluer la demande et tenir la personne concernée informée de l’issue de cette évaluation. La loi DPA 2018 investit le secrétaire d’État du pouvoir d’adopter les règlements fixant des garanties supplémentaires (138). Aucun règlement de ce type n’a encore été adopté.

138

2.4.8.   Transferts ultérieurs

Transferts ultérieurs

| (74) | Le niveau de protection conféré aux données à caractère personnel qui sont transférées depuis une autorité répressive d’un État membre vers une autorité répressive au Royaume-Uni ne doit pas être compromis par le transfert ultérieur de ces mêmes données vers des destinataires se trouvant dans un pays tiers. Ces «transferts ultérieurs» qui constituent, du point de vue d’une autorité répressive britannique, des transferts internationaux en provenance du Royaume-Uni ne devraient être autorisés que si le destinataire ultérieur en dehors du Royaume-Uni est lui-même soumis à des règles assurant un niveau de protection semblable à celui garanti par l’ordre juridique britannique. |
| --- | --- |

(74)

Le niveau de protection conféré aux données à caractère personnel qui sont transférées depuis une autorité répressive d’un État membre vers une autorité répressive au Royaume-Uni ne doit pas être compromis par le transfert ultérieur de ces mêmes données vers des destinataires se trouvant dans un pays tiers. Ces «transferts ultérieurs» qui constituent, du point de vue d’une autorité répressive britannique, des transferts internationaux en provenance du Royaume-Uni ne devraient être autorisés que si le destinataire ultérieur en dehors du Royaume-Uni est lui-même soumis à des règles assurant un niveau de protection semblable à celui garanti par l’ordre juridique britannique.

| (75) | Le régime des transferts internationaux du Royaume-Uni est régi par le chapitre 5 de la partie 3 de la loi DPA 2018 (139), et reflète l’approche adoptée au chapitre V de la directive (UE) 2016/680. En particulier, pour transférer des données à caractère personnel vers un pays tiers, une autorité compétente doit remplir trois conditions: a) le transfert doit être nécessaire à des fins répressives; b) le transfert doit être fondé sur: i) un règlement d’adéquation en ce qui concerne le pays tiers, ii) s’il ne repose pas sur un règlement d’adéquation, l’existence de garanties appropriées, ou iii) s’il ne repose pas sur une décision d’adéquation ou des garanties appropriées, il doit être fondé sur des circonstances particulières; et c) le destinataire du transfert doit être: i) une autorité pertinente (c’est-à-dire l’équivalent d’une autorité compétente) dans le pays tiers; ii) une «organisation internationale compétente», par exemple un organisme international qui exerce des fonctions correspondant à l’une des fins répressives; ou iii) une personne autre qu’une autorité pertinente, mais uniquement lorsque le transfert est strictement nécessaire à l’une des fins répressives; il n’existe pas de libertés ni de droits fondamentaux de la personne concernée qui prévalent sur l’intérêt public exigeant le transfert; un transfert des données à caractère personnel à une autorité pertinente du pays tiers serait inefficace ou inapproprié; et le destinataire est informé des fins pour lesquelles les données sont susceptibles d’être traitées (140). |
| --- | --- |

(75)

Le régime des transferts internationaux du Royaume-Uni est régi par le chapitre 5 de la partie 3 de la loi DPA 2018 (139), et reflète l’approche adoptée au chapitre V de la directive (UE) 2016/680. En particulier, pour transférer des données à caractère personnel vers un pays tiers, une autorité compétente doit remplir trois conditions: a) le transfert doit être nécessaire à des fins répressives; b) le transfert doit être fondé sur: i) un règlement d’adéquation en ce qui concerne le pays tiers, ii) s’il ne repose pas sur un règlement d’adéquation, l’existence de garanties appropriées, ou iii) s’il ne repose pas sur une décision d’adéquation ou des garanties appropriées, il doit être fondé sur des circonstances particulières; et c) le destinataire du transfert doit être: i) une autorité pertinente (c’est-à-dire l’équivalent d’une autorité compétente) dans le pays tiers; ii) une «organisation internationale compétente», par exemple un organisme international qui exerce des fonctions correspondant à l’une des fins répressives; ou iii) une personne autre qu’une autorité pertinente, mais uniquement lorsque le transfert est strictement nécessaire à l’une des fins répressives; il n’existe pas de libertés ni de droits fondamentaux de la personne concernée qui prévalent sur l’intérêt public exigeant le transfert; un transfert des données à caractère personnel à une autorité pertinente du pays tiers serait inefficace ou inapproprié; et le destinataire est informé des fins pour lesquelles les données sont susceptibles d’être traitées (140).

139

140

| (76) | Les règlements d’adéquation relatifs à un pays tiers, un territoire, un secteur déterminé dans un pays tiers ou une organisation internationale, ou à une description (141) d’un tel pays, territoire, secteur ou d’une telle organisation sont adoptés par le secrétaire d’État. En ce qui concerne les normes à observer, le secrétaire d’État est tenu d’évaluer si ce territoire/secteur ou cette organisation assure un niveau de protection des données à caractère personnel adéquat. L’article 74A, paragraphe 4, de la loi DPA 2018 précise que, à cette fin, le secrétaire d’État doit prendre en considération un certain nombre d’éléments qui reflètent ceux énumérés à l’article 36 de la directive (UE) 2016/680 (142). À cet égard, depuis la fin de la période de transition, la partie 3 de la loi DPA 2018 constitue une législation nationale «dérivée de l’Union européenne» qui, comme il a été expliqué, sera interprétée par les juridictions du Royaume-Uni conformément à la jurisprudence de la Cour de justice pertinente datant d’avant la sortie du Royaume-Uni de l’Union et aux principes généraux du droit de l’Union, tels qu’ils étaient en vigueur juste avant la fin de la période de transition. Cela inclut la norme de niveau «essentiellement équivalent» qui s’appliquera donc aux évaluations d’adéquation effectuées par les autorités du Royaume-Uni. |
| --- | --- |

(76)

Les règlements d’adéquation relatifs à un pays tiers, un territoire, un secteur déterminé dans un pays tiers ou une organisation internationale, ou à une description (141) d’un tel pays, territoire, secteur ou d’une telle organisation sont adoptés par le secrétaire d’État. En ce qui concerne les normes à observer, le secrétaire d’État est tenu d’évaluer si ce territoire/secteur ou cette organisation assure un niveau de protection des données à caractère personnel adéquat. L’article 74A, paragraphe 4, de la loi DPA 2018 précise que, à cette fin, le secrétaire d’État doit prendre en considération un certain nombre d’éléments qui reflètent ceux énumérés à l’article 36 de la directive (UE) 2016/680 (142). À cet égard, depuis la fin de la période de transition, la partie 3 de la loi DPA 2018 constitue une législation nationale «dérivée de l’Union européenne» qui, comme il a été expliqué, sera interprétée par les juridictions du Royaume-Uni conformément à la jurisprudence de la Cour de justice pertinente datant d’avant la sortie du Royaume-Uni de l’Union et aux principes généraux du droit de l’Union, tels qu’ils étaient en vigueur juste avant la fin de la période de transition. Cela inclut la norme de niveau «essentiellement équivalent» qui s’appliquera donc aux évaluations d’adéquation effectuées par les autorités du Royaume-Uni.

141

142

| (77) | En ce qui concerne la procédure, les règlements sont soumis aux règles de procédure «générales» prévues par l’article 182 de la loi DPA 2018. Selon ladite procédure, le secrétaire d’État doit consulter le commissaire à l’information lorsqu’il propose d’adopter de futurs règlements d’adéquation au Royaume-Uni (143). Une fois adoptés par le secrétaire d’État, lesdits règlements sont déposés devant le Parlement et soumis à la procédure «d’approbation tacite», en vertu de laquelle les deux Chambres du Parlement peuvent examiner les règlements et sont habilitées à voter une proposition d’annulation du règlement dans un délai de 40 jours (144). |
| --- | --- |

(77)

En ce qui concerne la procédure, les règlements sont soumis aux règles de procédure «générales» prévues par l’article 182 de la loi DPA 2018. Selon ladite procédure, le secrétaire d’État doit consulter le commissaire à l’information lorsqu’il propose d’adopter de futurs règlements d’adéquation au Royaume-Uni (143). Une fois adoptés par le secrétaire d’État, lesdits règlements sont déposés devant le Parlement et soumis à la procédure «d’approbation tacite», en vertu de laquelle les deux Chambres du Parlement peuvent examiner les règlements et sont habilitées à voter une proposition d’annulation du règlement dans un délai de 40 jours (144).

143

144

| (78) | Conformément à l’article 74B, paragraphe 1, de la loi DPA 2018, les règlements d’adéquation doivent être réexaminés tous les quatre ans au minimum et le secrétaire d’État doit suivre, de manière permanente, les évolutions au sein des pays tiers et des organisations internationales susceptibles d’avoir une incidence sur les décisions d’adopter des règlements d’adéquation, ou de modifier ou d’abroger lesdits règlements. Lorsque le secrétaire d’État constate qu’un pays donné ou une organisation n’assure plus un niveau de protection des données à caractère personnel adéquat, il est tenu, dans la mesure nécessaire, de modifier ou d’abroger les règlements et d’engager des consultations avec le pays tiers ou l’organisation internationale concernés en vue de remédier à ce manquement. |
| --- | --- |

(78)

Conformément à l’article 74B, paragraphe 1, de la loi DPA 2018, les règlements d’adéquation doivent être réexaminés tous les quatre ans au minimum et le secrétaire d’État doit suivre, de manière permanente, les évolutions au sein des pays tiers et des organisations internationales susceptibles d’avoir une incidence sur les décisions d’adopter des règlements d’adéquation, ou de modifier ou d’abroger lesdits règlements. Lorsque le secrétaire d’État constate qu’un pays donné ou une organisation n’assure plus un niveau de protection des données à caractère personnel adéquat, il est tenu, dans la mesure nécessaire, de modifier ou d’abroger les règlements et d’engager des consultations avec le pays tiers ou l’organisation internationale concernés en vue de remédier à ce manquement.

| (79) | À l’instar de ce qui est prévu à l’article 37 de la directive (UE) 2016/680, en l’absence d’un règlement d’adéquation, un transfert de données à caractère personnel dans le contexte de l’application des lois serait possible si des garanties appropriées sont en place. Lesdites garanties sont assurées au moyen, soit a) d’un instrument juridiquement contraignant comprenant les garanties appropriées pour la protection des données à caractère personnel; soit b) d’une évaluation menée par le responsable du traitement qui, ayant évalué toutes les circonstances du transfert, estime qu’il existe des garanties appropriées au regard de la protection des données (145). Par ailleurs, lorsque les transferts sont fondés sur des garanties appropriées, la loi DPA 2018 prévoit que, outre la fonction de supervision normale de l’ICO, les autorités compétentes sont tenues de mettre à disposition des informations spécifiques relatives aux transferts vers l’ICO (146). |
| --- | --- |

(79)

À l’instar de ce qui est prévu à l’article 37 de la directive (UE) 2016/680, en l’absence d’un règlement d’adéquation, un transfert de données à caractère personnel dans le contexte de l’application des lois serait possible si des garanties appropriées sont en place. Lesdites garanties sont assurées au moyen, soit a) d’un instrument juridiquement contraignant comprenant les garanties appropriées pour la protection des données à caractère personnel; soit b) d’une évaluation menée par le responsable du traitement qui, ayant évalué toutes les circonstances du transfert, estime qu’il existe des garanties appropriées au regard de la protection des données (145). Par ailleurs, lorsque les transferts sont fondés sur des garanties appropriées, la loi DPA 2018 prévoit que, outre la fonction de supervision normale de l’ICO, les autorités compétentes sont tenues de mettre à disposition des informations spécifiques relatives aux transferts vers l’ICO (146).

145

146

| (80) | Si un transfert ne repose pas sur une décision d’adéquation ou des garanties appropriées, il peut avoir lieu dans certaines circonstances spécifiques, dites «circonstances spéciales» (147). Tel est le cas lorsque le transfert est nécessaire: a) à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne; b) à la sauvegarde des intérêts légitimes de la personne concernée; c) à la prévention d’une menace grave et immédiate pour la sécurité publique d’un pays tiers; d) dans des cas particuliers pour l’une des fins répressives; ou e) dans des cas particuliers, à des fins juridiques (par exemple, dans le cadre d’une procédure judiciaire ou pour obtenir un avis juridique) (148). Il convient de noter que les points d) et e) ne s’appliquent pas si les droits et libertés de la personne concernée prévalent sur l’intérêt public du transfert (149). Cet ensemble de circonstances correspond aux situations et conditions spécifiques qualifiées de «dérogations» au titre de l’article 38 de la directive (UE) 2016/680. |
| --- | --- |

(80)

Si un transfert ne repose pas sur une décision d’adéquation ou des garanties appropriées, il peut avoir lieu dans certaines circonstances spécifiques, dites «circonstances spéciales» (147). Tel est le cas lorsque le transfert est nécessaire: a) à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne; b) à la sauvegarde des intérêts légitimes de la personne concernée; c) à la prévention d’une menace grave et immédiate pour la sécurité publique d’un pays tiers; d) dans des cas particuliers pour l’une des fins répressives; ou e) dans des cas particuliers, à des fins juridiques (par exemple, dans le cadre d’une procédure judiciaire ou pour obtenir un avis juridique) (148). Il convient de noter que les points d) et e) ne s’appliquent pas si les droits et libertés de la personne concernée prévalent sur l’intérêt public du transfert (149). Cet ensemble de circonstances correspond aux situations et conditions spécifiques qualifiées de «dérogations» au titre de l’article 38 de la directive (UE) 2016/680.

147

148

149

| (81) | Dans ces circonstances, la date du transfert, l’heure, la justification, le nom du destinataire et toute autre information pertinente le concernant et la description des données à caractère personnel transférées doivent être documentés, et mis à la disposition du commissaire à l’information à sa demande (150). |
| --- | --- |

(81)

Dans ces circonstances, la date du transfert, l’heure, la justification, le nom du destinataire et toute autre information pertinente le concernant et la description des données à caractère personnel transférées doivent être documentés, et mis à la disposition du commissaire à l’information à sa demande (150).

150

| (82) | L’article 78 de la loi DPA 2018 régit le cas des «transferts ultérieurs», à savoir lorsque les données à caractère personnel qui ont été transférées du Royaume-Uni à un pays tiers sont ensuite transférées vers un autre pays tiers ou une organisation internationale. En vertu de l’article 78, paragraphe 1, le responsable du traitement du Royaume-Uni à l’origine du transfert doit imposer comme condition au transfert que les données ne soient pas ultérieurement transférées vers un pays tiers sans son autorisation. En outre, en vertu de l’article 78, paragraphe 3, et à l’instar de ce qui est prévu à l’article 35, paragraphe 1, point e), de la directive (UE) 2016/680, plusieurs exigences de fond s’appliquent lorsqu’une telle autorisation est demandée. Plus spécifiquement, lorsque l’autorité compétente prend la décision d’autoriser ou non le transfert, elle doit s’assurer que le transfert ultérieur est nécessaire aux fins répressives et devrait tenir compte, entre autres, a) de la gravité des circonstances ayant conduit à la demande d’autorisation, b) des fins pour lesquelles les données à caractère personnel ont initialement été transférées, et c) des normes relatives à la protection des données à caractère personnel qui s’appliquent dans le pays tiers ou au sein de l’organisation internationale destinataire du transfert de données. |
| --- | --- |

(82)

L’article 78 de la loi DPA 2018 régit le cas des «transferts ultérieurs», à savoir lorsque les données à caractère personnel qui ont été transférées du Royaume-Uni à un pays tiers sont ensuite transférées vers un autre pays tiers ou une organisation internationale. En vertu de l’article 78, paragraphe 1, le responsable du traitement du Royaume-Uni à l’origine du transfert doit imposer comme condition au transfert que les données ne soient pas ultérieurement transférées vers un pays tiers sans son autorisation. En outre, en vertu de l’article 78, paragraphe 3, et à l’instar de ce qui est prévu à l’article 35, paragraphe 1, point e), de la directive (UE) 2016/680, plusieurs exigences de fond s’appliquent lorsqu’une telle autorisation est demandée. Plus spécifiquement, lorsque l’autorité compétente prend la décision d’autoriser ou non le transfert, elle doit s’assurer que le transfert ultérieur est nécessaire aux fins répressives et devrait tenir compte, entre autres, a) de la gravité des circonstances ayant conduit à la demande d’autorisation, b) des fins pour lesquelles les données à caractère personnel ont initialement été transférées, et c) des normes relatives à la protection des données à caractère personnel qui s’appliquent dans le pays tiers ou au sein de l’organisation internationale destinataire du transfert de données.

| (83) | En outre, lorsque la personne concernée par un transfert ultérieur depuis le Royaume-Uni avait initialement fait l’objet d’un transfert depuis l’Union européenne, des garanties supplémentaires s’appliquent. |
| --- | --- |

(83)

En outre, lorsque la personne concernée par un transfert ultérieur depuis le Royaume-Uni avait initialement fait l’objet d’un transfert depuis l’Union européenne, des garanties supplémentaires s’appliquent.

| (84) | Premièrement, l’article 73, paragraphe 1, point b), de la loi DPA 2018 dispose, à l’instar de l’article 35, paragraphe 1, point c), de la directive (UE) 2016/680, que, dans le cas où les données à caractère personnel ont initialement été transmises au responsable du traitement ou à une autre autorité compétente ou mises de quelque autre manière à leur disposition par un État membre, ledit État membre, ou toute personne établie dans cet État membre qui constitue une autorité compétente aux fins de la directive (UE) 2016/680, doit avoir autorisé le transfert conformément au droit de l’État membre. |
| --- | --- |

(84)

Premièrement, l’article 73, paragraphe 1, point b), de la loi DPA 2018 dispose, à l’instar de l’article 35, paragraphe 1, point c), de la directive (UE) 2016/680, que, dans le cas où les données à caractère personnel ont initialement été transmises au responsable du traitement ou à une autre autorité compétente ou mises de quelque autre manière à leur disposition par un État membre, ledit État membre, ou toute personne établie dans cet État membre qui constitue une autorité compétente aux fins de la directive (UE) 2016/680, doit avoir autorisé le transfert conformément au droit de l’État membre.

| (85) | Cependant, à l’instar de l’article 35, paragraphe 2, de la directive (UE) 2016/680, cette autorisation n’est pas requise lorsque a) le transfert est nécessaire aux fins de la prévention d’une menace grave et immédiate pour la sécurité publique d’un État membre ou d’un pays tiers ou pour les intérêts essentiels d’un État membre et que b) l’autorisation ne peut pas être obtenue en temps utile. Dans ce cas, l’autorité de l’État membre qui aurait été responsable de la décision d’autoriser ou non le transfert doit en être informée dans les meilleurs délais (151). |
| --- | --- |

(85)

Cependant, à l’instar de l’article 35, paragraphe 2, de la directive (UE) 2016/680, cette autorisation n’est pas requise lorsque a) le transfert est nécessaire aux fins de la prévention d’une menace grave et immédiate pour la sécurité publique d’un État membre ou d’un pays tiers ou pour les intérêts essentiels d’un État membre et que b) l’autorisation ne peut pas être obtenue en temps utile. Dans ce cas, l’autorité de l’État membre qui aurait été responsable de la décision d’autoriser ou non le transfert doit en être informée dans les meilleurs délais (151).

151

| (86) | Deuxièmement, la même approche s’applique en cas de données initialement transférées depuis l’Union européenne vers le Royaume-Uni, puis transférées ultérieurement par le Royaume-Uni vers un pays tiers qui les transférerait ensuite à un autre pays tiers. Dans ce cas, en vertu de l’article 78, paragraphe 4, l’autorité compétente du Royaume-Uni ne peut autoriser ce dernier transfert, en vertu de l’article 78, paragraphe 1, que si «l’État membre [qui a initialement transféré les données concernées], ou toute personne établie dans cet État membre qui constitue une autorité compétente aux fins de la directive en matière de protection des données dans le domaine répressif, a autorisé le transfert conformément au droit de l’État membre». Ces garanties sont importantes, car elles permettent aux autorités des États membres de garantir la continuité de la protection, conformément à la législation de l’Union européenne en matière de protection des données, tout au long de la «chaîne de transferts» |
| --- | --- |

(86)

Deuxièmement, la même approche s’applique en cas de données initialement transférées depuis l’Union européenne vers le Royaume-Uni, puis transférées ultérieurement par le Royaume-Uni vers un pays tiers qui les transférerait ensuite à un autre pays tiers. Dans ce cas, en vertu de l’article 78, paragraphe 4, l’autorité compétente du Royaume-Uni ne peut autoriser ce dernier transfert, en vertu de l’article 78, paragraphe 1, que si «l’État membre [qui a initialement transféré les données concernées], ou toute personne établie dans cet État membre qui constitue une autorité compétente aux fins de la directive en matière de protection des données dans le domaine répressif, a autorisé le transfert conformément au droit de l’État membre». Ces garanties sont importantes, car elles permettent aux autorités des États membres de garantir la continuité de la protection, conformément à la législation de l’Union européenne en matière de protection des données, tout au long de la «chaîne de transferts»

| (87) | Ce nouveau cadre relatif aux transferts internationaux est devenu applicable à la fin de la période de transition (152). Cependant, l’annexe 21, points 10 à 12 (introduits par les DPPEC), prévoit que certains transferts de données à caractère personnel, à partir de la fin de la période de transition, soient traités comme s’ils reposaient sur des règlements d’adéquation. Ces transferts comprennent les transferts vers un État membre, un État de l’AELE ou un pays tiers qui fait l’objet d’une décision d’adéquation de l’Union européenne à la fin de la période de transition, ainsi que vers le territoire de Gibraltar. En conséquence, les transferts vers ces pays peuvent se poursuivre de la même manière qu’avant la sortie du Royaume-Uni de l’Union. À l’issue de la période de transition, le secrétaire d’État doit effectuer un examen des constats d’adéquation dans un délai de quatre ans, c’est-à-dire avant la fin du mois de décembre 2024. Selon les explications fournies par les autorités britanniques, bien que le secrétaire d’État doive procéder à cet examen avant fin décembre 2024, les dispositions transitoires n’incluent pas de disposition de «caducité» et les dispositions transitoires pertinentes ne cesseront pas automatiquement de produire leurs effets si l’examen n’est pas terminé d’ici la fin du mois de décembre 2024. |
| --- | --- |

(87)

Ce nouveau cadre relatif aux transferts internationaux est devenu applicable à la fin de la période de transition (152). Cependant, l’annexe 21, points 10 à 12 (introduits par les DPPEC), prévoit que certains transferts de données à caractère personnel, à partir de la fin de la période de transition, soient traités comme s’ils reposaient sur des règlements d’adéquation. Ces transferts comprennent les transferts vers un État membre, un État de l’AELE ou un pays tiers qui fait l’objet d’une décision d’adéquation de l’Union européenne à la fin de la période de transition, ainsi que vers le territoire de Gibraltar. En conséquence, les transferts vers ces pays peuvent se poursuivre de la même manière qu’avant la sortie du Royaume-Uni de l’Union. À l’issue de la période de transition, le secrétaire d’État doit effectuer un examen des constats d’adéquation dans un délai de quatre ans, c’est-à-dire avant la fin du mois de décembre 2024. Selon les explications fournies par les autorités britanniques, bien que le secrétaire d’État doive procéder à cet examen avant fin décembre 2024, les dispositions transitoires n’incluent pas de disposition de «caducité» et les dispositions transitoires pertinentes ne cesseront pas automatiquement de produire leurs effets si l’examen n’est pas terminé d’ici la fin du mois de décembre 2024.

152

2.4.9.   Responsabilité

Responsabilité

| (88) | Selon le principe de responsabilité, les autorités publiques traitant des données sont tenues de mettre en place les mesures techniques et organisationnelles appropriées pour s’acquitter effectivement de leurs obligations en matière de protection des données et doivent être en mesure de démontrer le respect de ces obligations, en particulier à l’autorité de contrôle compétente. |
| --- | --- |

(88)

Selon le principe de responsabilité, les autorités publiques traitant des données sont tenues de mettre en place les mesures techniques et organisationnelles appropriées pour s’acquitter effectivement de leurs obligations en matière de protection des données et doivent être en mesure de démontrer le respect de ces obligations, en particulier à l’autorité de contrôle compétente.

| (89) | Ce principe se reflète à l’article 56 de la loi DPA 2018, qui introduit une obligation de responsabilité générale pour le responsable du traitement, c’est-à-dire l’obligation de mettre en œuvre les mesures techniques et organisationnelles appropriées pour s’assurer et être en mesure de démontrer que le traitement de données à caractère personnel est effectué conformément aux exigences de la partie 3 de la loi DPA 2018. Ces mesures mises en œuvre doivent être réexaminées et actualisées, si nécessaire, et, lorsque cela est proportionné au regard des activités de traitement, comprendre les politiques appropriées en matière de protection des données. |
| --- | --- |

(89)

Ce principe se reflète à l’article 56 de la loi DPA 2018, qui introduit une obligation de responsabilité générale pour le responsable du traitement, c’est-à-dire l’obligation de mettre en œuvre les mesures techniques et organisationnelles appropriées pour s’assurer et être en mesure de démontrer que le traitement de données à caractère personnel est effectué conformément aux exigences de la partie 3 de la loi DPA 2018. Ces mesures mises en œuvre doivent être réexaminées et actualisées, si nécessaire, et, lorsque cela est proportionné au regard des activités de traitement, comprendre les politiques appropriées en matière de protection des données.

| (90) | Conformément au chapitre IV de la directive (UE) 2016/680, les articles 55 à 71 de la loi DPA 2018 prévoient différents mécanismes pour garantir la responsabilité et permettre aux responsables du traitement et aux sous-traitants d’apporter la preuve qu’ils respectent leurs obligations. Plus particulièrement, les responsables du traitement sont tenus de mettre en œuvre des mesures de protection des données dès la conception et par défaut, c’est-à-dire de s’assurer que les principes de protection des données sont appliqués de façon effective, et sont tenus de tenir des registres pour toutes les catégories d’activités de traitement relevant de leur responsabilité (y compris les informations sur l’identité du responsable du traitement, les coordonnées du délégué à la protection des données, les finalités du traitement, les catégories des destinataires des divulgations, et une description des catégories de personnes concernées et de données à caractère personnel) et de maintenir ces registres à la disposition du commissaire à l’information, à sa demande. Le responsable du traitement et le sous-traitant doivent également tenir des journaux pour certaines opérations de traitement et les mettre à la disposition du commissaire à l’information (153). Les responsables du traitement sont également spécifiquement tenus de coopérer avec le commissaire à l’information dans l’exécution de leurs missions. |
| --- | --- |

(90)

Conformément au chapitre IV de la directive (UE) 2016/680, les articles 55 à 71 de la loi DPA 2018 prévoient différents mécanismes pour garantir la responsabilité et permettre aux responsables du traitement et aux sous-traitants d’apporter la preuve qu’ils respectent leurs obligations. Plus particulièrement, les responsables du traitement sont tenus de mettre en œuvre des mesures de protection des données dès la conception et par défaut, c’est-à-dire de s’assurer que les principes de protection des données sont appliqués de façon effective, et sont tenus de tenir des registres pour toutes les catégories d’activités de traitement relevant de leur responsabilité (y compris les informations sur l’identité du responsable du traitement, les coordonnées du délégué à la protection des données, les finalités du traitement, les catégories des destinataires des divulgations, et une description des catégories de personnes concernées et de données à caractère personnel) et de maintenir ces registres à la disposition du commissaire à l’information, à sa demande. Le responsable du traitement et le sous-traitant doivent également tenir des journaux pour certaines opérations de traitement et les mettre à la disposition du commissaire à l’information (153). Les responsables du traitement sont également spécifiquement tenus de coopérer avec le commissaire à l’information dans l’exécution de leurs missions.

153

| (91) | La loi DPA 2018 énonce également des exigences supplémentaires lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Ces exigences comprennent une obligation d’effectuer des analyses d’impact relatives à la protection des données et de consulter le commissaire à l’information avant de procéder au traitement s’il ressort de cette analyse que le traitement engendrerait un risque élevé pour les droits et les libertés des personnes (en l’absence de mesures visant à atténuer ce risque). |
| --- | --- |

(91)

La loi DPA 2018 énonce également des exigences supplémentaires lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Ces exigences comprennent une obligation d’effectuer des analyses d’impact relatives à la protection des données et de consulter le commissaire à l’information avant de procéder au traitement s’il ressort de cette analyse que le traitement engendrerait un risque élevé pour les droits et les libertés des personnes (en l’absence de mesures visant à atténuer ce risque).

| (92) | Le responsable du traitement doit par ailleurs désigner un délégué à la protection des données, sauf si ledit responsable est une juridiction ou une autre autorité judiciaire dans l’exercice de sa fonction juridictionnelle (154). Le responsable du traitement doit veiller à ce que le délégué à la protection des données soit associé à toutes les questions relatives à la protection des données à caractère personnel, qu’il dispose des ressources nécessaires ainsi que de l’accès aux données à caractère personnel et aux traitements et qu’il puisse exercer ses missions en toute indépendance. Les missions du délégué à la protection des données sont énoncées à l’article 71 de la loi DPA 2018, dont celles de fournir des informations et dispenser des conseils, de contrôler le respect des règles ainsi que de coopérer avec le commissaire à l’information et de faire office de point de contact pour ce dernier. Lorsqu’il accomplit ses tâches, le délégué à la protection des données doit tenir dûment compte des risques associés aux opérations de traitement compte tenu de la nature, de la portée, du contexte et des finalités du traitement. |
| --- | --- |

(92)

Le responsable du traitement doit par ailleurs désigner un délégué à la protection des données, sauf si ledit responsable est une juridiction ou une autre autorité judiciaire dans l’exercice de sa fonction juridictionnelle (154). Le responsable du traitement doit veiller à ce que le délégué à la protection des données soit associé à toutes les questions relatives à la protection des données à caractère personnel, qu’il dispose des ressources nécessaires ainsi que de l’accès aux données à caractère personnel et aux traitements et qu’il puisse exercer ses missions en toute indépendance. Les missions du délégué à la protection des données sont énoncées à l’article 71 de la loi DPA 2018, dont celles de fournir des informations et dispenser des conseils, de contrôler le respect des règles ainsi que de coopérer avec le commissaire à l’information et de faire office de point de contact pour ce dernier. Lorsqu’il accomplit ses tâches, le délégué à la protection des données doit tenir dûment compte des risques associés aux opérations de traitement compte tenu de la nature, de la portée, du contexte et des finalités du traitement.

154

2.5.   Surveillance et contrôle de l’application des règles

Surveillance et contrôle de l’application des règles

2.5.1.   Surveillance indépendante

Surveillance indépendante

| (93) | Pour garantir un niveau adéquat de protection des données également dans la pratique, une autorité de contrôle indépendante chargée de surveiller l’application des règles en matière de protection des données et de les faire respecter doit être mise en place. Cette autorité doit agir en toute indépendance et en toute impartialité dans l’exercice de ses fonctions et compétences. |
| --- | --- |

(93)

Pour garantir un niveau adéquat de protection des données également dans la pratique, une autorité de contrôle indépendante chargée de surveiller l’application des règles en matière de protection des données et de les faire respecter doit être mise en place. Cette autorité doit agir en toute indépendance et en toute impartialité dans l’exercice de ses fonctions et compétences.

| (94) | Au Royaume-Uni, l’autorité chargée de surveiller l’application du RGPD britannique et de la DPA 2018 et de les faire respecter est le commissaire à l’information (155). Le commissaire à l’information surveille également le traitement de données à caractère personnel par les autorités compétentes qui relèvent du champ d’application de la partie 3 de la loi DPA 2018 (156). Le commissaire à l’information est une «personne morale individuelle»: une entité juridique séparée constituée d’une seule personne. Le commissaire à l’information est soutenu dans son travail par un bureau. Le 31 mars 2020, le personnel permanent du Bureau du commissaire à l’information comptait 768 membres (157). Le ministère parrain du commissaire à l’information est le ministère du numérique, de la culture, des médias et du sport (158). |
| --- | --- |

(94)

Au Royaume-Uni, l’autorité chargée de surveiller l’application du RGPD britannique et de la DPA 2018 et de les faire respecter est le commissaire à l’information (155). Le commissaire à l’information surveille également le traitement de données à caractère personnel par les autorités compétentes qui relèvent du champ d’application de la partie 3 de la loi DPA 2018 (156). Le commissaire à l’information est une «personne morale individuelle»: une entité juridique séparée constituée d’une seule personne. Le commissaire à l’information est soutenu dans son travail par un bureau. Le 31 mars 2020, le personnel permanent du Bureau du commissaire à l’information comptait 768 membres (157). Le ministère parrain du commissaire à l’information est le ministère du numérique, de la culture, des médias et du sport (158).

155

156

157

158

| (95) | L’indépendance du commissaire est explicitement énoncée à l’article 52 du RGPD du Royaume-Uni, qui reflète les exigences fixées par l’article 52, paragraphes 1 à 3, du règlement (UE) 2016/679 du Parlement européen et du Conseil (159). Le commissaire doit exercer en toute indépendance ses missions et ses pouvoirs en vertu du RGPD du Royaume-Uni, demeurer libre de toute influence extérieure en ce qui concerne ces missions et ces pouvoirs, qu’elle soit directe ou indirecte, et ne doit ni solliciter ni accepter d’instructions de quiconque. Le commissaire doit en outre s’abstenir de tout acte incompatible avec ses fonctions et, pendant son mandat, n’exercer aucune activité professionnelle incompatible, rémunérée ou non. |
| --- | --- |

(95)

L’indépendance du commissaire est explicitement énoncée à l’article 52 du RGPD du Royaume-Uni, qui reflète les exigences fixées par l’article 52, paragraphes 1 à 3, du règlement (UE) 2016/679 du Parlement européen et du Conseil (159). Le commissaire doit exercer en toute indépendance ses missions et ses pouvoirs en vertu du RGPD du Royaume-Uni, demeurer libre de toute influence extérieure en ce qui concerne ces missions et ces pouvoirs, qu’elle soit directe ou indirecte, et ne doit ni solliciter ni accepter d’instructions de quiconque. Le commissaire doit en outre s’abstenir de tout acte incompatible avec ses fonctions et, pendant son mandat, n’exercer aucune activité professionnelle incompatible, rémunérée ou non.

159

| (96) | Les conditions pour la nomination et la révocation du commissaire à l’information sont énoncées à l’annexe 12 de la loi DPA 2018. Le commissaire à l’information est nommé par la Reine suivant les recommandations du Gouvernement, en vertu d’une compétition juste et ouverte. Le candidat doit posséder les qualifications, les aptitudes et les compétences adéquates. Conformément au code de gouvernance pour les nominations publiques, un panel d’évaluation consultatif dresse une liste des candidats retenus (160). Avant que le secrétaire d’État au département du numérique, de la culture, des médias et du sport n’arrête sa décision, le comité spécial compétent du Parlement est tenu d’effectuer un examen préalable à la nomination. L’avis de la commission est ensuite rendu public (161). |
| --- | --- |

(96)

Les conditions pour la nomination et la révocation du commissaire à l’information sont énoncées à l’annexe 12 de la loi DPA 2018. Le commissaire à l’information est nommé par la Reine suivant les recommandations du Gouvernement, en vertu d’une compétition juste et ouverte. Le candidat doit posséder les qualifications, les aptitudes et les compétences adéquates. Conformément au code de gouvernance pour les nominations publiques, un panel d’évaluation consultatif dresse une liste des candidats retenus (160). Avant que le secrétaire d’État au département du numérique, de la culture, des médias et du sport n’arrête sa décision, le comité spécial compétent du Parlement est tenu d’effectuer un examen préalable à la nomination. L’avis de la commission est ensuite rendu public (161).

160

161

| (97) | Le commissaire à l’information est nommé pour une durée maximale de sept ans. Le commissaire à l’information peut être démis de ses fonctions par la Reine à la suite d’une requête émise par les deux Chambres (162). Aucune demande de révocation du commissaire à l’information ne peut être présentée à l’une ou l’autre des Chambres du Parlement, sauf si un ministre dépose un rapport à la Chambre concernée exposant qu’il est convaincu que le commissaire à l’information a commis une faute grave et/ou que le commissaire ne remplit plus les conditions nécessaires à l’exercice de ses fonctions (163). |
| --- | --- |

(97)

Le commissaire à l’information est nommé pour une durée maximale de sept ans. Le commissaire à l’information peut être démis de ses fonctions par la Reine à la suite d’une requête émise par les deux Chambres (162). Aucune demande de révocation du commissaire à l’information ne peut être présentée à l’une ou l’autre des Chambres du Parlement, sauf si un ministre dépose un rapport à la Chambre concernée exposant qu’il est convaincu que le commissaire à l’information a commis une faute grave et/ou que le commissaire ne remplit plus les conditions nécessaires à l’exercice de ses fonctions (163).

162

163

| (98) | Le financement du commissaire à l’information provient de trois sources: i) les frais de protection de données payés par les responsables du traitement qui sont fixés par les règlements du secrétaire d’État (164) et constituent 85 à 90 % du budget annuel du bureau (165); ii) les subventions susceptibles d’être versées par le gouvernement au commissaire à l’information et servant principalement à payer les coûts d’exploitation du commissaire à l’information en ce qui concerne les missions qui ne sont pas liées à la protection des données (166); et iii) les frais facturés pour la prestation de services (167). À l’heure actuelle, aucun frais de cette sorte n’est facturé. |
| --- | --- |

(98)

Le financement du commissaire à l’information provient de trois sources: i) les frais de protection de données payés par les responsables du traitement qui sont fixés par les règlements du secrétaire d’État (164) et constituent 85 à 90 % du budget annuel du bureau (165); ii) les subventions susceptibles d’être versées par le gouvernement au commissaire à l’information et servant principalement à payer les coûts d’exploitation du commissaire à l’information en ce qui concerne les missions qui ne sont pas liées à la protection des données (166); et iii) les frais facturés pour la prestation de services (167). À l’heure actuelle, aucun frais de cette sorte n’est facturé.

164

165

166

167

| (99) | Les fonctions générales du commissaire à l’information en ce qui concerne le traitement de données à caractère personnel qui relève du champ d’application de la partie 3 de la loi DPA 2018 sont énoncées à l’annexe 13 de la loi DPA 2018. Les missions comprennent la surveillance et le contrôle de l’application de la partie 3 de la loi DPA 2018, la sensibilisation du public, la dispense de conseils au Parlement, au gouvernement et à d’autres institutions au sujet des mesures législatives et administratives, la sensibilisation des responsables du traitement et des sous-traitants aux obligations qui leur incombent, la fourniture d’informations à une personne concernée sur l’exercice de ses droits et la conduite d’enquêtes. Afin de préserver l’indépendance du pouvoir judiciaire, le commissaire à l’information n’est pas habilité à exercer ses fonctions relatives au traitement de données à caractère personnel par une personne dans l’exercice de sa fonction juridictionnelle, ou par une juridiction ou un tribunal dans l’exercice de leur fonction juridictionnelle. Néanmoins, la surveillance du pouvoir judiciaire est assurée par des organismes spécialisés, dont il est question ci-après. |
| --- | --- |

(99)

Les fonctions générales du commissaire à l’information en ce qui concerne le traitement de données à caractère personnel qui relève du champ d’application de la partie 3 de la loi DPA 2018 sont énoncées à l’annexe 13 de la loi DPA 2018. Les missions comprennent la surveillance et le contrôle de l’application de la partie 3 de la loi DPA 2018, la sensibilisation du public, la dispense de conseils au Parlement, au gouvernement et à d’autres institutions au sujet des mesures législatives et administratives, la sensibilisation des responsables du traitement et des sous-traitants aux obligations qui leur incombent, la fourniture d’informations à une personne concernée sur l’exercice de ses droits et la conduite d’enquêtes. Afin de préserver l’indépendance du pouvoir judiciaire, le commissaire à l’information n’est pas habilité à exercer ses fonctions relatives au traitement de données à caractère personnel par une personne dans l’exercice de sa fonction juridictionnelle, ou par une juridiction ou un tribunal dans l’exercice de leur fonction juridictionnelle. Néanmoins, la surveillance du pouvoir judiciaire est assurée par des organismes spécialisés, dont il est question ci-après.

2.5.1.1   Contrôle de l’application des règles, y compris les sanctions

Contrôle de l’application des règles, y compris les sanctions

| (100) | Le commissaire dispose de compétences générales d’enquête, de rectification, d’autorisation et de consultation en ce qui concerne le traitement de données à caractère personnel auquel s’applique la partie 3 de la loi DPA 2018. Le commissaire dispose de compétences pour notifier au responsable du traitement ou au sous-traitant une violation alléguée de la partie 3, avertir un responsable du traitement ou un sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions de la partie 3 et rappeler à l’ordre un responsable du traitement ou un sous-traitant lorsque les opérations de traitement ont entraîné une violation des dispositions de la partie 3. En outre, de sa propre initiative ou sur demande, le commissaire peut émettre des avis à l’attention du parlement britannique, du gouvernement ou d’autres institutions et organismes ainsi que du public, sur toute question relative à la protection des données à caractère personnel (168). |
| --- | --- |

(100)

Le commissaire dispose de compétences générales d’enquête, de rectification, d’autorisation et de consultation en ce qui concerne le traitement de données à caractère personnel auquel s’applique la partie 3 de la loi DPA 2018. Le commissaire dispose de compétences pour notifier au responsable du traitement ou au sous-traitant une violation alléguée de la partie 3, avertir un responsable du traitement ou un sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions de la partie 3 et rappeler à l’ordre un responsable du traitement ou un sous-traitant lorsque les opérations de traitement ont entraîné une violation des dispositions de la partie 3. En outre, de sa propre initiative ou sur demande, le commissaire peut émettre des avis à l’attention du parlement britannique, du gouvernement ou d’autres institutions et organismes ainsi que du public, sur toute question relative à la protection des données à caractère personnel (168).

168

| (101) | En outre, le commissaire dispose de compétences pour:






  — | ordonner au responsable du traitement et au sous-traitant (et, dans certaines circonstances, à toute autre personne) de fournir les informations nécessaires en remettant un avis d’information («avis d’information») (169), |
| --- | --- | --- |

(101)

En outre, le commissaire dispose de compétences pour:

—

ordonner au responsable du traitement et au sous-traitant (et, dans certaines circonstances, à toute autre personne) de fournir les informations nécessaires en remettant un avis d’information («avis d’information») (169),

169

| — | mener des enquêtes et des audits en émettant un avis d’évaluation, aux fins desquels le responsable du traitement ou le sous-traitant est susceptible de devoir permettre au commissaire d’accéder aux locaux déterminés, d’inspecter ou d’étudier les documents ou l’équipement, d’interroger des personnes traitant les données à caractère personnel pour le compte du responsable du traitement («avis d’évaluation») (170), |
| --- | --- |

—

mener des enquêtes et des audits en émettant un avis d’évaluation, aux fins desquels le responsable du traitement ou le sous-traitant est susceptible de devoir permettre au commissaire d’accéder aux locaux déterminés, d’inspecter ou d’étudier les documents ou l’équipement, d’interroger des personnes traitant les données à caractère personnel pour le compte du responsable du traitement («avis d’évaluation») (170),

170

| — | obtenir autrement l’accès aux documents du responsable du traitement ou du sous-traitant et aux locaux de ces derniers, en application de l’article 154 de la loi DPA 2018 («pouvoirs d’accès et d’inspection»), |
| --- | --- |

—

obtenir autrement l’accès aux documents du responsable du traitement ou du sous-traitant et aux locaux de ces derniers, en application de l’article 154 de la loi DPA 2018 («pouvoirs d’accès et d’inspection»),

| — | adopter des mesures correctrices, y compris par voie d’avertissements et de rappels à l’ordre, ou donner des ordres au moyen d’un avis d’exécution, qui oblige le responsable du traitement ou le sous-traitant à prendre ou à s’abstenir de prendre des mesures déterminées («avis d’exécution») (171), et |
| --- | --- |

—

adopter des mesures correctrices, y compris par voie d’avertissements et de rappels à l’ordre, ou donner des ordres au moyen d’un avis d’exécution, qui oblige le responsable du traitement ou le sous-traitant à prendre ou à s’abstenir de prendre des mesures déterminées («avis d’exécution») (171), et

171

| — | infliger des amendes administratives sous la forme d’un avis de sanction («avis de sanction») (172). |
| --- | --- |

—

infliger des amendes administratives sous la forme d’un avis de sanction («avis de sanction») (172).

172

| (102) | La politique d’intervention réglementaire (Regulatory Action Policy) de l’ICO définit les circonstances dans lesquelles le commissaire émettra respectivement un avis d’information, d’évaluation, d’exécution et de sanction (173). Un avis d’exécution peut imposer des exigences que le commissaire estime appropriées pour remédier au manquement. Un avis de sanction exige de la personne qu’elle verse au commissaire à l’information un montant précisé dans l’avis. Un avis de sanction peut être émis lorsqu’un non-respect de certaines des dispositions de la loi DPA 2018 (174) a été constaté ou peut être remis à un responsable du traitement ou à un sous-traitant qui n’a pas respecté un avis d’information, d’évaluation ou d’exécution. |
| --- | --- |

(102)

La politique d’intervention réglementaire (Regulatory Action Policy) de l’ICO définit les circonstances dans lesquelles le commissaire émettra respectivement un avis d’information, d’évaluation, d’exécution et de sanction (173). Un avis d’exécution peut imposer des exigences que le commissaire estime appropriées pour remédier au manquement. Un avis de sanction exige de la personne qu’elle verse au commissaire à l’information un montant précisé dans l’avis. Un avis de sanction peut être émis lorsqu’un non-respect de certaines des dispositions de la loi DPA 2018 (174) a été constaté ou peut être remis à un responsable du traitement ou à un sous-traitant qui n’a pas respecté un avis d’information, d’évaluation ou d’exécution.

173

174

| (103) | Plus particulièrement, lorsqu’il décide s’il convient d’adresser un avis de sanction à un responsable du traitement ou à un sous-traitant et qu’il détermine le montant de la sanction, le commissaire à l’information doit prendre en considération les éléments énumérés à l’article 155, paragraphe 3, de la loi DPA 2018, dont la nature et la gravité du manquement, le fait que le manquement a été commis délibérément ou par négligence, toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées, le degré de responsabilité du responsable du traitement ou du sous-traitant (compte tenu des mesures techniques et organisationnelles qu’ils ont mises en œuvre), tout manquement pertinent commis précédemment par le responsable du traitement ou le sous-traitant; les catégories de données à caractère personnel concernées par le manquement et la question de savoir si la sanction serait effective, proportionnée et dissuasive. |
| --- | --- |

(103)

Plus particulièrement, lorsqu’il décide s’il convient d’adresser un avis de sanction à un responsable du traitement ou à un sous-traitant et qu’il détermine le montant de la sanction, le commissaire à l’information doit prendre en considération les éléments énumérés à l’article 155, paragraphe 3, de la loi DPA 2018, dont la nature et la gravité du manquement, le fait que le manquement a été commis délibérément ou par négligence, toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées, le degré de responsabilité du responsable du traitement ou du sous-traitant (compte tenu des mesures techniques et organisationnelles qu’ils ont mises en œuvre), tout manquement pertinent commis précédemment par le responsable du traitement ou le sous-traitant; les catégories de données à caractère personnel concernées par le manquement et la question de savoir si la sanction serait effective, proportionnée et dissuasive.

| (104) | Le montant maximal de la sanction qui peut être imposée par voie d’avis de sanction est de a) 17 500 000 livres sterling (GBP) pour un non-respect des principes de protection des données (articles 35, article 36, article 37, article 38, paragraphe 1, article 39, paragraphe 1, et article 40 de la loi DPA 2018), des obligations en matière de transparence et des droits individuels (articles 44, 45, 46, 47, 48, 49, 52 et 53 de la loi DPA 2018), et des principes relatifs aux transferts internationaux de données à caractère personnel (articles 73, 75, 76, 77 ou 78 de la loi DPA 2018); et de b) 8 700 000 GBP pour tout autre manquement (175). Concernant le non-respect d’un avis d’information, d’évaluation ou d’exécution le montant maximal de la sanction qui peut être imposée par voie d’avis de sanction est de 17 500 000 GBP. |
| --- | --- |

(104)

Le montant maximal de la sanction qui peut être imposée par voie d’avis de sanction est de a) 17 500 000 livres sterling (GBP) pour un non-respect des principes de protection des données (articles 35, article 36, article 37, article 38, paragraphe 1, article 39, paragraphe 1, et article 40 de la loi DPA 2018), des obligations en matière de transparence et des droits individuels (articles 44, 45, 46, 47, 48, 49, 52 et 53 de la loi DPA 2018), et des principes relatifs aux transferts internationaux de données à caractère personnel (articles 73, 75, 76, 77 ou 78 de la loi DPA 2018); et de b) 8 700 000 GBP pour tout autre manquement (175). Concernant le non-respect d’un avis d’information, d’évaluation ou d’exécution le montant maximal de la sanction qui peut être imposée par voie d’avis de sanction est de 17 500 000 GBP.

175

| (105) | D’après ses derniers rapports annuels (2018-2019 (176), 2019-2020 (177)), le commissaire à l’information a mené plusieurs enquêtes relatives au traitement de données à caractère personnel par les autorités répressives. Par exemple, le commissaire a conduit une enquête et publié un avis en octobre 2019 concernant le recours à la technologie de reconnaissance faciale dans les lieux publics à des fins répressives. L’enquête s’est particulièrement concentrée sur l’usage des capacités de reconnaissance faciale en temps réel par la police du pays de Galles du Sud et le service de police métropolitaine (Metropolitan Police Service – MPS). En outre, le commissaire a mené une enquête sur la base de données «Gang matrix» (matrice des gangs) du MPS (178), et a constaté une série de graves violations de la législation sur la protection des données susceptibles d’ébranler la confiance du public en la matrice et l’utilisation des données. |
| --- | --- |

(105)

D’après ses derniers rapports annuels (2018-2019 (176), 2019-2020 (177)), le commissaire à l’information a mené plusieurs enquêtes relatives au traitement de données à caractère personnel par les autorités répressives. Par exemple, le commissaire a conduit une enquête et publié un avis en octobre 2019 concernant le recours à la technologie de reconnaissance faciale dans les lieux publics à des fins répressives. L’enquête s’est particulièrement concentrée sur l’usage des capacités de reconnaissance faciale en temps réel par la police du pays de Galles du Sud et le service de police métropolitaine (Metropolitan Police Service – MPS). En outre, le commissaire a mené une enquête sur la base de données «Gang matrix» (matrice des gangs) du MPS (178), et a constaté une série de graves violations de la législation sur la protection des données susceptibles d’ébranler la confiance du public en la matrice et l’utilisation des données.

176

177

178

| (106) | En novembre 2018, le commissaire à l’information a émis un avis d’exécution à la suite duquel le MPS a pris les mesures nécessaires pour renforcer la sécurité et la responsabilité et garantir que les données soient utilisées de manière proportionnée. |
| --- | --- |

(106)

En novembre 2018, le commissaire à l’information a émis un avis d’exécution à la suite duquel le MPS a pris les mesures nécessaires pour renforcer la sécurité et la responsabilité et garantir que les données soient utilisées de manière proportionnée.

| (107) | Un autre exemple d’une récente mesure répressive est l’amende de 325 000 GBP infligée en mai 2018 par le commissaire à l’encontre du ministère public, après la perte de plusieurs DVD non cryptés contenant des enregistrements d’interrogatoires de police. Par ailleurs, le commissaire à l’information a conduit des enquêtes sur des questions plus générales, par exemple, au cours du premier semestre de l’année 2020, sur l’utilisation de l’extraction des téléphones portables à des fins policières et le traitement des données à caractère personnel des victimes. |
| --- | --- |

(107)

Un autre exemple d’une récente mesure répressive est l’amende de 325 000 GBP infligée en mai 2018 par le commissaire à l’encontre du ministère public, après la perte de plusieurs DVD non cryptés contenant des enregistrements d’interrogatoires de police. Par ailleurs, le commissaire à l’information a conduit des enquêtes sur des questions plus générales, par exemple, au cours du premier semestre de l’année 2020, sur l’utilisation de l’extraction des téléphones portables à des fins policières et le traitement des données à caractère personnel des victimes.

| (108) | Outre ces pouvoirs d’application des règles du commissaire à l’information, certaines violations de la législation sur la protection des données constituent des infractions et peuvent, à ce titre, faire l’objet de sanctions pénales (article 196 de la loi DPA 2018). Cela vaut, par exemple, pour l’obtention et la divulgation de données à caractère personnel sans le consentement du responsable du traitement et la divulgation de données à caractère personnel à une personne tierce sans le consentement du responsable du traitement (179); la nouvelle identification d’informations qui sont des données à caractère personnel anonymisées sans le consentement du responsable du traitement en charge de l’anonymisation de données à caractère personnel (180); l’obstruction intentionnelle du commissaire dans l’exercice de ses pouvoirs en ce qui concerne l’inspection des données à caractère personnel, conformément aux obligations internationales (181), les fausses déclarations en réponse à un avis d’information, ou la destruction d’informations en rapport avec les avis d’information et d’évaluation (182). |
| --- | --- |

(108)

Outre ces pouvoirs d’application des règles du commissaire à l’information, certaines violations de la législation sur la protection des données constituent des infractions et peuvent, à ce titre, faire l’objet de sanctions pénales (article 196 de la loi DPA 2018). Cela vaut, par exemple, pour l’obtention et la divulgation de données à caractère personnel sans le consentement du responsable du traitement et la divulgation de données à caractère personnel à une personne tierce sans le consentement du responsable du traitement (179); la nouvelle identification d’informations qui sont des données à caractère personnel anonymisées sans le consentement du responsable du traitement en charge de l’anonymisation de données à caractère personnel (180); l’obstruction intentionnelle du commissaire dans l’exercice de ses pouvoirs en ce qui concerne l’inspection des données à caractère personnel, conformément aux obligations internationales (181), les fausses déclarations en réponse à un avis d’information, ou la destruction d’informations en rapport avec les avis d’information et d’évaluation (182).

179

180

181

182

| (109) | Le commissaire à l’information est également tenu, au titre de l’article 139 de la loi DPA 2018, de déposer devant chaque Chambre du Parlement un rapport général portant sur l’exercice de ses fonctions en vertu de cette loi (183). |
| --- | --- |

(109)

Le commissaire à l’information est également tenu, au titre de l’article 139 de la loi DPA 2018, de déposer devant chaque Chambre du Parlement un rapport général portant sur l’exercice de ses fonctions en vertu de cette loi (183).

183

2.5.2.   Surveillance du pouvoir judiciaire

Surveillance du pouvoir judiciaire

| (110) | La surveillance du traitement de données à caractère personnel par les juridictions et le pouvoir judiciaire est double. Lorsqu’un titulaire d’une fonction juridictionnelle ou une juridiction n’agit pas dans l’exercice de sa fonction juridictionnelle, la surveillance est assurée par le commissaire à l’information. Lorsque le responsable du traitement agit dans l’exercice de sa fonction juridictionnelle, l’ICO ne peut exercer ses fonctions de surveillance (184) et la surveillance est assurée par des organismes spéciaux. Cela reflète l’approche adoptée par l’article 32 de la directive (UE) 2016/680. |
| --- | --- |

(110)

La surveillance du traitement de données à caractère personnel par les juridictions et le pouvoir judiciaire est double. Lorsqu’un titulaire d’une fonction juridictionnelle ou une juridiction n’agit pas dans l’exercice de sa fonction juridictionnelle, la surveillance est assurée par le commissaire à l’information. Lorsque le responsable du traitement agit dans l’exercice de sa fonction juridictionnelle, l’ICO ne peut exercer ses fonctions de surveillance (184) et la surveillance est assurée par des organismes spéciaux. Cela reflète l’approche adoptée par l’article 32 de la directive (UE) 2016/680.

184

| (111) | En particulier, dans le deuxième scénario, dans le cas des juridictions d’Angleterre et du pays de Galles et des tribunaux de première instance et supérieurs d’Angleterre et du pays de Galles, cette surveillance est assurée par le panel de protection des données judiciaires (185). En outre, le président de la Haute Cour et le Premier président des tribunaux ont publié une déclaration de protection des données (186) qui définit les modalités de traitement des données à caractère personnel par les juridictions d’Angleterre et du pays de Galles dans le cadre de leur fonction juridictionnelle. Une déclaration similaire a été publiée par les autorités judiciaires d’Irlande du Nord (187) et d’Écosse (188). |
| --- | --- |

(111)

En particulier, dans le deuxième scénario, dans le cas des juridictions d’Angleterre et du pays de Galles et des tribunaux de première instance et supérieurs d’Angleterre et du pays de Galles, cette surveillance est assurée par le panel de protection des données judiciaires (185). En outre, le président de la Haute Cour et le Premier président des tribunaux ont publié une déclaration de protection des données (186) qui définit les modalités de traitement des données à caractère personnel par les juridictions d’Angleterre et du pays de Galles dans le cadre de leur fonction juridictionnelle. Une déclaration similaire a été publiée par les autorités judiciaires d’Irlande du Nord (187) et d’Écosse (188).

185

186

187

188

| (112) | De plus, en Irlande du Nord, le président de la Haute Cour a nommé un juge de la Haute Cour en qualité de juge chargé de la surveillance des données (189). Il a également publié des orientations à l’intention des juges d’Irlande du Nord sur les mesures à prendre en cas de perte potentielle ou avérée de données et sur les modalités de gestion des problèmes qui en découlent (190). |
| --- | --- |

(112)

De plus, en Irlande du Nord, le président de la Haute Cour a nommé un juge de la Haute Cour en qualité de juge chargé de la surveillance des données (189). Il a également publié des orientations à l’intention des juges d’Irlande du Nord sur les mesures à prendre en cas de perte potentielle ou avérée de données et sur les modalités de gestion des problèmes qui en découlent (190).

189

190

| (113) | En Écosse, le Lord président (le doyen des juges) a nommé un juge délégué à la surveillance des données pour enquêter sur toute réclamation reposant sur des motifs de protection des données. Ses fonctions sont décrites dans les règles relatives aux plaintes judiciaires qui correspondent à celles établies pour l’Angleterre et le pays de Galles (191). |
| --- | --- |

(113)

En Écosse, le Lord président (le doyen des juges) a nommé un juge délégué à la surveillance des données pour enquêter sur toute réclamation reposant sur des motifs de protection des données. Ses fonctions sont décrites dans les règles relatives aux plaintes judiciaires qui correspondent à celles établies pour l’Angleterre et le pays de Galles (191).

191

| (114) | Enfin, au sein de la Cour suprême, l’un des juges est désigné pour surveiller la protection des données. |
| --- | --- |

(114)

Enfin, au sein de la Cour suprême, l’un des juges est désigné pour surveiller la protection des données.

2.5.3.   Voies de recours

Voies de recours

| (115) | En vue d’une protection adéquate et, en particulier, du respect de ses droits individuels, la personne concernée doit disposer de possibilités de recours administratif et juridictionnel effectif, y compris de réparation du préjudice subi. |
| --- | --- |

(115)

En vue d’une protection adéquate et, en particulier, du respect de ses droits individuels, la personne concernée doit disposer de possibilités de recours administratif et juridictionnel effectif, y compris de réparation du préjudice subi.

| (116) | Premièrement, une personne concernée a le droit de déposer une réclamation auprès du commissaire à l’information si elle estime que, en ce qui concerne les données à caractère personnel la concernant, une violation de la partie 3 de la loi DPA 2018 a eu lieu (192). Comme décrit aux considérants 100 et 109, le commissaire à l’information est habilité à évaluer le respect de la loi DPA 2018 par le responsable du traitement et le sous-traitant, d’exiger du responsable du traitement et du sous-traitant qu’ils prennent les mesures nécessaires en cas de non-respect et d’infliger des amendes. |
| --- | --- |

(116)

Premièrement, une personne concernée a le droit de déposer une réclamation auprès du commissaire à l’information si elle estime que, en ce qui concerne les données à caractère personnel la concernant, une violation de la partie 3 de la loi DPA 2018 a eu lieu (192). Comme décrit aux considérants 100 et 109, le commissaire à l’information est habilité à évaluer le respect de la loi DPA 2018 par le responsable du traitement et le sous-traitant, d’exiger du responsable du traitement et du sous-traitant qu’ils prennent les mesures nécessaires en cas de non-respect et d’infliger des amendes.

192

| (117) | Deuxièmement, la loi DPA 2018 prévoit un droit de recours contre le commissaire à l’information. Si le commissaire échoue à «faire avancer» (193) une réclamation introduite par la personne concernée, l’auteur de la réclamation dispose d’un recours juridictionnel, car il peut demander au tribunal de première instance (194) d’ordonner au commissaire de prendre les mesures adéquates pour donner suite à la réclamation ou pour informer l’auteur de la réclamation de l’avancement de la réclamation (195). En outre, toute personne qui reçoit l’un des avis susmentionnés (avis d’information, d’évaluation, d’exécution ou de sanction) de la part du commissaire peut former un recours devant un tribunal de première instance. Si le tribunal estime que la décision du commissaire n’est pas conforme à la loi ou que le commissaire à l’information aurait dû exercer son pouvoir discrétionnaire d’une manière différente, le tribunal doit faire droit au recours, ou substituer à la décision du commissaire un autre avis ou une autre décision que le commissaire à l’information aurait pu émettre ou prendre (196). |
| --- | --- |

(117)

Deuxièmement, la loi DPA 2018 prévoit un droit de recours contre le commissaire à l’information. Si le commissaire échoue à «faire avancer» (193) une réclamation introduite par la personne concernée, l’auteur de la réclamation dispose d’un recours juridictionnel, car il peut demander au tribunal de première instance (194) d’ordonner au commissaire de prendre les mesures adéquates pour donner suite à la réclamation ou pour informer l’auteur de la réclamation de l’avancement de la réclamation (195). En outre, toute personne qui reçoit l’un des avis susmentionnés (avis d’information, d’évaluation, d’exécution ou de sanction) de la part du commissaire peut former un recours devant un tribunal de première instance. Si le tribunal estime que la décision du commissaire n’est pas conforme à la loi ou que le commissaire à l’information aurait dû exercer son pouvoir discrétionnaire d’une manière différente, le tribunal doit faire droit au recours, ou substituer à la décision du commissaire un autre avis ou une autre décision que le commissaire à l’information aurait pu émettre ou prendre (196).

193

194

195

196

| (118) | Troisièmement, les personnes peuvent introduire un recours juridictionnel à l’encontre des responsables du traitement et des sous-traitants directement devant les juridictions en vertu de l’article 167 de la loi DPA 2018. Si, à la suite d’une demande de la personne concernée, une juridiction est convaincue qu’il y a eu violation des droits de la personne concernée au titre de la législation sur la protection des données, elle peut ordonner au responsable du traitement, ou à un sous-traitant agissant au nom dudit responsable, de prendre les mesures définies dans l’injonction ou de s’en abstenir. Par ailleurs, en vertu de l’article 169 de la loi DPA 2018, toute personne qui subit un préjudice en raison d’une violation d’une exigence prévue par la législation sur la protection des données (dont par la partie 3 de la loi DPA 2018) autre que le RGPD du Royaume-Uni, peut obtenir, de la part du responsable du traitement ou du sous-traitant, une indemnisation pour le préjudice subi, sauf si ledit responsable ou sous-traitant prouve qu’il n’est en aucune manière responsable du fait générateur du préjudice. Le préjudice comprend aussi bien la perte financière que le préjudice n’entraînant aucune perte financière, tel que la détresse. |
| --- | --- |

(118)

Troisièmement, les personnes peuvent introduire un recours juridictionnel à l’encontre des responsables du traitement et des sous-traitants directement devant les juridictions en vertu de l’article 167 de la loi DPA 2018. Si, à la suite d’une demande de la personne concernée, une juridiction est convaincue qu’il y a eu violation des droits de la personne concernée au titre de la législation sur la protection des données, elle peut ordonner au responsable du traitement, ou à un sous-traitant agissant au nom dudit responsable, de prendre les mesures définies dans l’injonction ou de s’en abstenir. Par ailleurs, en vertu de l’article 169 de la loi DPA 2018, toute personne qui subit un préjudice en raison d’une violation d’une exigence prévue par la législation sur la protection des données (dont par la partie 3 de la loi DPA 2018) autre que le RGPD du Royaume-Uni, peut obtenir, de la part du responsable du traitement ou du sous-traitant, une indemnisation pour le préjudice subi, sauf si ledit responsable ou sous-traitant prouve qu’il n’est en aucune manière responsable du fait générateur du préjudice. Le préjudice comprend aussi bien la perte financière que le préjudice n’entraînant aucune perte financière, tel que la détresse.

| (119) | Quatrièmement, dès lors qu’une personne estime que ses droits, y compris ses droits au respect de la vie privée et à la protection des données, ont été violés par les autorités publiques, elle peut obtenir réparation devant les juridictions du Royaume-Uni en application de la loi de 1998 sur les droits de l’homme. Les responsables du traitement au titre de la partie 3 de la loi DPA 2018, c’est-à-dire les autorités compétentes, sont toujours des autorités publiques au sens de la loi de 1998 sur les droits de l’homme. Toute personne qui prétend que l’autorité publique a agi (ou propose d’agir) d’une manière incompatible avec un droit garanti par la CEDH et, partant, illicite en vertu de l’article 6, paragraphe 1, de la loi de 1998 sur les droits de l’homme, peut engager une procédure à l’encontre de l’autorité devant la juridiction ou le tribunal approprié, ou invoquer les droits concernés dans toute procédure juridictionnelle, si elle est (ou serait) victime de l’acte illicite (197). |
| --- | --- |

(119)

Quatrièmement, dès lors qu’une personne estime que ses droits, y compris ses droits au respect de la vie privée et à la protection des données, ont été violés par les autorités publiques, elle peut obtenir réparation devant les juridictions du Royaume-Uni en application de la loi de 1998 sur les droits de l’homme. Les responsables du traitement au titre de la partie 3 de la loi DPA 2018, c’est-à-dire les autorités compétentes, sont toujours des autorités publiques au sens de la loi de 1998 sur les droits de l’homme. Toute personne qui prétend que l’autorité publique a agi (ou propose d’agir) d’une manière incompatible avec un droit garanti par la CEDH et, partant, illicite en vertu de l’article 6, paragraphe 1, de la loi de 1998 sur les droits de l’homme, peut engager une procédure à l’encontre de l’autorité devant la juridiction ou le tribunal approprié, ou invoquer les droits concernés dans toute procédure juridictionnelle, si elle est (ou serait) victime de l’acte illicite (197).

197

| (120) | Si la juridiction constate le caractère illégal d’un acte de l’autorité publique, elle peut, dans la limite de ses pouvoirs, prendre toute mesure ou toute ordonnance qu’elle considère comme juste et appropriée (198). La juridiction peut en outre déclarer qu’une disposition du droit primaire est incompatible avec un droit garanti au titre de la CEDH. |
| --- | --- |

(120)

Si la juridiction constate le caractère illégal d’un acte de l’autorité publique, elle peut, dans la limite de ses pouvoirs, prendre toute mesure ou toute ordonnance qu’elle considère comme juste et appropriée (198). La juridiction peut en outre déclarer qu’une disposition du droit primaire est incompatible avec un droit garanti au titre de la CEDH.

198

| (121) | Enfin, après avoir épuisé toutes les voies de recours nationales, une personne peut obtenir réparation devant la Cour européenne des droits de l’homme pour violation des droits garantis par la CEDH. |
| --- | --- |

(121)

Enfin, après avoir épuisé toutes les voies de recours nationales, une personne peut obtenir réparation devant la Cour européenne des droits de l’homme pour violation des droits garantis par la CEDH.

2.6.   Partage ultérieur

Partage ultérieur

| (122) | Le droit du Royaume-Uni autorise, sous certaines conditions, le partage de données par une autorité répressive avec d’autres autorités britanniques pour des finalités autres que celles pour lesquelles lesdites données ont initialement été collectées (dit «partage ultérieur»). |
| --- | --- |

(122)

Le droit du Royaume-Uni autorise, sous certaines conditions, le partage de données par une autorité répressive avec d’autres autorités britanniques pour des finalités autres que celles pour lesquelles lesdites données ont initialement été collectées (dit «partage ultérieur»).

| (123) | De manière similaire à ce qui est prévu à l’article 4, paragraphe 2, de la directive (UE) 2016/680, l’article 36, paragraphe 3, de la loi DPA 2018 autorise que les données à caractère personnel collectées par une autorité compétente à une fin répressive puissent être traitées ultérieurement (que ce soit par le même responsable du traitement ou un autre) pour toute autre fin répressive, à la condition que le responsable du traitement soit autorisé par la loi à traiter les données à cette autre fin et que le traitement soit nécessaire et proportionné (199). Dans cette situation, toutes les garanties prévues par la partie 3 de la loi DPA 2018 et analysées ci-dessus s’appliquent au traitement effectué par l’autorité destinataire. |
| --- | --- |

(123)

De manière similaire à ce qui est prévu à l’article 4, paragraphe 2, de la directive (UE) 2016/680, l’article 36, paragraphe 3, de la loi DPA 2018 autorise que les données à caractère personnel collectées par une autorité compétente à une fin répressive puissent être traitées ultérieurement (que ce soit par le même responsable du traitement ou un autre) pour toute autre fin répressive, à la condition que le responsable du traitement soit autorisé par la loi à traiter les données à cette autre fin et que le traitement soit nécessaire et proportionné (199). Dans cette situation, toutes les garanties prévues par la partie 3 de la loi DPA 2018 et analysées ci-dessus s’appliquent au traitement effectué par l’autorité destinataire.

199

| (124) | Dans l’ordre juridique du Royaume-Uni, différentes lois autorisent explicitement le partage ultérieur. En particulier, i) la loi de 2017 sur l’économie numérique (Digital Economy Act 2017) permet le partage entre les autorités publiques à plusieurs fins, par exemple en cas de fraude commise à l’encontre du secteur public qui entraînerait une perte ou un risque de perte pour une autorité publique (200) ou en cas de dette due à une autorité publique ou à la Couronne (201); ii) la loi de 2013 sur la criminalité et les tribunaux autorise le partage d’informations avec l’Agence nationale de lutte contre la criminalité (202) pour la lutte, les enquêtes et les poursuites contre la grande criminalité et la criminalité organisée; iii) la loi de 2007 sur les infractions graves (Serious Crime Act 2007) permet aux autorités publiques de divulguer des informations aux organisations de lutte contre la fraude à des fins de prévention de la fraude (203). |
| --- | --- |

(124)

Dans l’ordre juridique du Royaume-Uni, différentes lois autorisent explicitement le partage ultérieur. En particulier, i) la loi de 2017 sur l’économie numérique (Digital Economy Act 2017) permet le partage entre les autorités publiques à plusieurs fins, par exemple en cas de fraude commise à l’encontre du secteur public qui entraînerait une perte ou un risque de perte pour une autorité publique (200) ou en cas de dette due à une autorité publique ou à la Couronne (201); ii) la loi de 2013 sur la criminalité et les tribunaux autorise le partage d’informations avec l’Agence nationale de lutte contre la criminalité (202) pour la lutte, les enquêtes et les poursuites contre la grande criminalité et la criminalité organisée; iii) la loi de 2007 sur les infractions graves (Serious Crime Act 2007) permet aux autorités publiques de divulguer des informations aux organisations de lutte contre la fraude à des fins de prévention de la fraude (203).

200

201

202

203

| (125) | Ces lois exigent explicitement que le partage d’informations soit effectué dans le respect des règles fixées par la loi DPA 2018. En outre, le collège britannique de la police a publié une pratique professionnelle autorisée concernant le partage d’informations (204) afin d’aider la police à respecter ses obligations en matière de protection des données découlant du RGPD britannique, de la DPA 2018 et de la loi de 1998 sur les droits de l’homme. La conformité du partage avec le cadre juridique applicable en matière de protection des données peut bien entendu faire l’objet d’un contrôle juridictionnel (205). |
| --- | --- |

(125)

Ces lois exigent explicitement que le partage d’informations soit effectué dans le respect des règles fixées par la loi DPA 2018. En outre, le collège britannique de la police a publié une pratique professionnelle autorisée concernant le partage d’informations (204) afin d’aider la police à respecter ses obligations en matière de protection des données découlant du RGPD britannique, de la DPA 2018 et de la loi de 1998 sur les droits de l’homme. La conformité du partage avec le cadre juridique applicable en matière de protection des données peut bien entendu faire l’objet d’un contrôle juridictionnel (205).

204

205

| (126) | Par ailleurs, à l’instar de ce que dispose l’article 9 de la directive (UE) 2016/680, la DPA 2018 prévoit que les données à caractère personnel collectées à des fins répressives peuvent être traitées à des fins autres que des fins répressives lorsque le traitement est autorisé par la loi (206). Ce type de partage concerne deux situations: 1) lorsqu’une autorité répressive en matière pénale partage des données avec une autorité répressive en matière non pénale autre qu’une agence de renseignement (par exemple, une autorité financière ou fiscale, une autorité de concurrence, un service d’aide sociale à l’enfance); 2) lorsqu’une autorité répressive en matière pénale partage des données avec une agence de renseignement. Dans la première situation, le traitement de données à caractère personnel relèvera du champ d’application du RGPD du Royaume-Uni ainsi que de la partie 2 de la loi DPA 2018. Comme précisé dans la décision XXX adoptée en vertu du règlement (UE) 2016/679, les garanties prévues par le RGPD du Royaume-Uni et par la partie 2 de la loi DPA 2018 assurent un niveau de protection essentiellement équivalent à celui assuré au sein de l’Union (207). |
| --- | --- |

(126)

Par ailleurs, à l’instar de ce que dispose l’article 9 de la directive (UE) 2016/680, la DPA 2018 prévoit que les données à caractère personnel collectées à des fins répressives peuvent être traitées à des fins autres que des fins répressives lorsque le traitement est autorisé par la loi (206). Ce type de partage concerne deux situations: 1) lorsqu’une autorité répressive en matière pénale partage des données avec une autorité répressive en matière non pénale autre qu’une agence de renseignement (par exemple, une autorité financière ou fiscale, une autorité de concurrence, un service d’aide sociale à l’enfance); 2) lorsqu’une autorité répressive en matière pénale partage des données avec une agence de renseignement. Dans la première situation, le traitement de données à caractère personnel relèvera du champ d’application du RGPD du Royaume-Uni ainsi que de la partie 2 de la loi DPA 2018. Comme précisé dans la décision XXX adoptée en vertu du règlement (UE) 2016/679, les garanties prévues par le RGPD du Royaume-Uni et par la partie 2 de la loi DPA 2018 assurent un niveau de protection essentiellement équivalent à celui assuré au sein de l’Union (207).

206

207

| (127) | Dans la seconde situation, concernant le partage de données collectées par une autorité répressive en matière pénale avec une agence de renseignement aux fins de la sauvegarde de la sécurité nationale, la base juridique autorisant ce partage est la loi de 2008 relative à la lutte contre le terrorisme, dite «loi CTA 2008» (208). En vertu de la loi CTA 2008, toute personne peut fournir des informations à l’un des services de renseignement en vue de l’exercice d’une des fonctions de ce service, dont celle liée à la «sécurité nationale». |
| --- | --- |

(127)

Dans la seconde situation, concernant le partage de données collectées par une autorité répressive en matière pénale avec une agence de renseignement aux fins de la sauvegarde de la sécurité nationale, la base juridique autorisant ce partage est la loi de 2008 relative à la lutte contre le terrorisme, dite «loi CTA 2008» (208). En vertu de la loi CTA 2008, toute personne peut fournir des informations à l’un des services de renseignement en vue de l’exercice d’une des fonctions de ce service, dont celle liée à la «sécurité nationale».

208

| (128) | En ce qui concerne les conditions dans lesquelles les données peuvent être partagées aux fins de la sauvegarde de la sécurité nationale, la loi sur les services de renseignement (Intelligence Services Act) et la loi sur les services de sécurité (Security Services Act) limitent la capacité d’obtention de données des services de renseignement à ce qui est nécessaire pour s’acquitter de leurs fonctions statutaires. Les autorités compétentes qui relèvent du champ d’application de la partie 3 de la loi DPA 2018 et qui visent à partager des données avec les services de renseignement devront tenir compte d’un certain nombre de facteurs/limitations, en plus des fonctions statutaires des agences, fixées dans la loi sur les services de renseignement et la loi sur les services de sécurité (209). L’article 20 de la loi CTA 2008 précise que tout partage de données au titre de l’article 19 de la loi CTA 2008 doit toujours être conforme à la législation sur la protection des données, ce qui signifie que toutes les limitations et exigences prévues par la loi DPA 2018 s’appliquent. Par ailleurs, les autorités répressives et les services de renseignement sont des autorités publiques au sens de la loi de 1998 sur les droits de l’homme et doivent donc veiller à ce que leurs agissements soient conformes aux droits garantis en vertu de la CEDH, y compris son article 8. Autrement dit, ces exigences signifient que tout partage de données entre les autorités répressives et les services de renseignement est conforme à la législation sur la protection des données et à la CEDH. |
| --- | --- |

(128)

En ce qui concerne les conditions dans lesquelles les données peuvent être partagées aux fins de la sauvegarde de la sécurité nationale, la loi sur les services de renseignement (Intelligence Services Act) et la loi sur les services de sécurité (Security Services Act) limitent la capacité d’obtention de données des services de renseignement à ce qui est nécessaire pour s’acquitter de leurs fonctions statutaires. Les autorités compétentes qui relèvent du champ d’application de la partie 3 de la loi DPA 2018 et qui visent à partager des données avec les services de renseignement devront tenir compte d’un certain nombre de facteurs/limitations, en plus des fonctions statutaires des agences, fixées dans la loi sur les services de renseignement et la loi sur les services de sécurité (209). L’article 20 de la loi CTA 2008 précise que tout partage de données au titre de l’article 19 de la loi CTA 2008 doit toujours être conforme à la législation sur la protection des données, ce qui signifie que toutes les limitations et exigences prévues par la loi DPA 2018 s’appliquent. Par ailleurs, les autorités répressives et les services de renseignement sont des autorités publiques au sens de la loi de 1998 sur les droits de l’homme et doivent donc veiller à ce que leurs agissements soient conformes aux droits garantis en vertu de la CEDH, y compris son article 8. Autrement dit, ces exigences signifient que tout partage de données entre les autorités répressives et les services de renseignement est conforme à la législation sur la protection des données et à la CEDH.

209

| (129) | Le traitement, par les services de renseignement, de données à caractère personnel reçues ou obtenues auprès des autorités répressives aux fins de la sauvegarde de la sécurité nationale est soumis à un certain nombre de conditions et garanties (210). La partie 4 de la loi DPA 2018 s’applique à toutes les opérations de traitement effectuées par les services de renseignement ou en leur nom. Elle fixe les principes essentiels de la protection des données (licéité, loyauté et transparence (211); limitation des finalités (212); minimisation des données (213); exactitude (214); limitation de la conservation (215) et sécurité (216), impose des conditions au traitement de données de catégories spéciales (217), prévoit des droits pour les personnes concernées (218), exige la protection des données dès la conception (219) et réglemente les transferts internationaux de données à caractère personnel (220). |
| --- | --- |

(129)

Le traitement, par les services de renseignement, de données à caractère personnel reçues ou obtenues auprès des autorités répressives aux fins de la sauvegarde de la sécurité nationale est soumis à un certain nombre de conditions et garanties (210). La partie 4 de la loi DPA 2018 s’applique à toutes les opérations de traitement effectuées par les services de renseignement ou en leur nom. Elle fixe les principes essentiels de la protection des données (licéité, loyauté et transparence (211); limitation des finalités (212); minimisation des données (213); exactitude (214); limitation de la conservation (215) et sécurité (216), impose des conditions au traitement de données de catégories spéciales (217), prévoit des droits pour les personnes concernées (218), exige la protection des données dès la conception (219) et réglemente les transferts internationaux de données à caractère personnel (220).

210

211

212

213

214

215

216

217

218

219

220

| (130) | Parallèlement, l’article 110 de la loi DPA 2018 prévoit une dérogation à certaines dispositions énoncées dans la partie 4 de la loi DPA 2018 lorsque cette dérogation est nécessaire à la sauvegarde de la sécurité nationale. L’article 110, paragraphe 2, de la loi DPA 2018 énumère les dispositions auxquelles il peut être dérogé. Cela comprend les principes de protection des données (hormis le principe de licéité), les droits de la personne concernée, l’obligation d’informer le commissaire à l’information de toute violation de données à caractère personnel, les pouvoirs d’inspection du commissaire à l’information conformément aux obligations internationales, certains pouvoirs d’application du commissaire à l’information, les dispositions qui érigent en infraction pénale certaines violations de données à caractère personnel et les dispositions relatives aux finalités spéciales du traitement, telles que les fins journalistiques, académiques ou artistiques. Cette exemption peut être appliquée sur la base d’une analyse au cas par cas (221). Comme expliqué par les autorités du Royaume-Uni et tel que confirmé par la jurisprudence des tribunaux du Royaume-Uni, «a) le responsable du traitement doit tenir compte des conséquences réelles pour la sécurité ou la défense nationales s’il devait se conformer à la disposition particulière relative à la protection des données, et s’il pouvait se conformer raisonnablement aux règles habituelles sans avoir d’incidence sur la sécurité nationale ou la défense» (222). La question de savoir si l’exemption a été appliquée de manière appropriée est soumise à la surveillance de l’ICO (223). |
| --- | --- |

(130)

Parallèlement, l’article 110 de la loi DPA 2018 prévoit une dérogation à certaines dispositions énoncées dans la partie 4 de la loi DPA 2018 lorsque cette dérogation est nécessaire à la sauvegarde de la sécurité nationale. L’article 110, paragraphe 2, de la loi DPA 2018 énumère les dispositions auxquelles il peut être dérogé. Cela comprend les principes de protection des données (hormis le principe de licéité), les droits de la personne concernée, l’obligation d’informer le commissaire à l’information de toute violation de données à caractère personnel, les pouvoirs d’inspection du commissaire à l’information conformément aux obligations internationales, certains pouvoirs d’application du commissaire à l’information, les dispositions qui érigent en infraction pénale certaines violations de données à caractère personnel et les dispositions relatives aux finalités spéciales du traitement, telles que les fins journalistiques, académiques ou artistiques. Cette exemption peut être appliquée sur la base d’une analyse au cas par cas (221). Comme expliqué par les autorités du Royaume-Uni et tel que confirmé par la jurisprudence des tribunaux du Royaume-Uni, «a) le responsable du traitement doit tenir compte des conséquences réelles pour la sécurité ou la défense nationales s’il devait se conformer à la disposition particulière relative à la protection des données, et s’il pouvait se conformer raisonnablement aux règles habituelles sans avoir d’incidence sur la sécurité nationale ou la défense» (222). La question de savoir si l’exemption a été appliquée de manière appropriée est soumise à la surveillance de l’ICO (223).

221

222

223

| (131) | De plus, en ce qui concerne la possibilité de limiter l’un des droits susmentionnés aux fins de la protection de la «sécurité nationale», l’article 79 de la DPA 2018 prévoit la possibilité pour un responsable du traitement de déposer une demande de certificat signé par un ministre ou le procureur général attestant qu’une limitation de ces droits est, ou a été à un moment donné, une mesure nécessaire et proportionnée pour sauvegarder la sécurité nationale. (224) Le gouvernement du Royaume-Uni a publié des orientations relatives aux certificats de sécurité nationale au titre de la loi DPA 2018, qui soulignent notamment que toute limitation des droits de la personne concernée pour la sauvegarde de la sécurité nationale doit être nécessaire et proportionnée (225). Tous les certificats de sécurité nationale doivent être publiés sur le site internet de l’ICO (226). |
| --- | --- |

(131)

De plus, en ce qui concerne la possibilité de limiter l’un des droits susmentionnés aux fins de la protection de la «sécurité nationale», l’article 79 de la DPA 2018 prévoit la possibilité pour un responsable du traitement de déposer une demande de certificat signé par un ministre ou le procureur général attestant qu’une limitation de ces droits est, ou a été à un moment donné, une mesure nécessaire et proportionnée pour sauvegarder la sécurité nationale. (224) Le gouvernement du Royaume-Uni a publié des orientations relatives aux certificats de sécurité nationale au titre de la loi DPA 2018, qui soulignent notamment que toute limitation des droits de la personne concernée pour la sauvegarde de la sécurité nationale doit être nécessaire et proportionnée (225). Tous les certificats de sécurité nationale doivent être publiés sur le site internet de l’ICO (226).

224

225

226

| (132) | Le certificat devrait être valable pour une durée déterminée n’excédant pas cinq ans, de manière à être régulièrement révisé par le pouvoir exécutif (227). Un certificat désigne les données à caractère personnel ou les catégories de données à caractère personnel faisant l’objet de l’exemption, ainsi que les dispositions de la DPA 2018 auxquelles s’applique l’exemption (228). |
| --- | --- |

(132)

Le certificat devrait être valable pour une durée déterminée n’excédant pas cinq ans, de manière à être régulièrement révisé par le pouvoir exécutif (227). Un certificat désigne les données à caractère personnel ou les catégories de données à caractère personnel faisant l’objet de l’exemption, ainsi que les dispositions de la DPA 2018 auxquelles s’applique l’exemption (228).

227

228

| (133) | Il est important de noter que les certificats de sécurité nationale ne constituent pas un motif supplémentaire de restreindre les droits en matière de protection des données pour des raisons de sécurité nationale. En d’autres termes, le responsable du traitement ou le sous-traitant ne peut faire valoir un certificat que s’il est arrivé à la conclusion qu’il est nécessaire d’invoquer la dérogation de sécurité nationale, qui doit s’appliquer au cas par cas. Même si un certificat de sécurité nationale s’applique à la matière concernée, l’ICO peut examiner si l’application de l’exemption concernant la sécurité nationale était justifiée ou non dans un cas particulier (229). |
| --- | --- |

(133)

Il est important de noter que les certificats de sécurité nationale ne constituent pas un motif supplémentaire de restreindre les droits en matière de protection des données pour des raisons de sécurité nationale. En d’autres termes, le responsable du traitement ou le sous-traitant ne peut faire valoir un certificat que s’il est arrivé à la conclusion qu’il est nécessaire d’invoquer la dérogation de sécurité nationale, qui doit s’appliquer au cas par cas. Même si un certificat de sécurité nationale s’applique à la matière concernée, l’ICO peut examiner si l’application de l’exemption concernant la sécurité nationale était justifiée ou non dans un cas particulier (229).

229

| (134) | Toute personne directement concernée par la délivrance du certificat peut introduire un recours auprès du tribunal supérieur (230) contre le certificat (231) ou, lorsque le certificat définit les données au moyen d’une description générale, remettre en question l’application du certificat à certaines données (232). |
| --- | --- |

(134)

Toute personne directement concernée par la délivrance du certificat peut introduire un recours auprès du tribunal supérieur (230) contre le certificat (231) ou, lorsque le certificat définit les données au moyen d’une description générale, remettre en question l’application du certificat à certaines données (232).

230

231

232

| (135) | Le tribunal examinera la décision de délivrer un certificat et déterminera s’il existait des motifs raisonnables de le délivrer (233). Il peut étudier un large éventail de questions, y compris la nécessité, la proportionnalité et la licéité, en tenant compte de l’incidence sur les droits des personnes concernées et en équilibrant la nécessité de sauvegarder la sécurité nationale. À l’issue de cet examen, le tribunal peut décider que le certificat ne s’applique pas aux données à caractère personnel spécifiques faisant l’objet du recours (234). |
| --- | --- |

(135)

Le tribunal examinera la décision de délivrer un certificat et déterminera s’il existait des motifs raisonnables de le délivrer (233). Il peut étudier un large éventail de questions, y compris la nécessité, la proportionnalité et la licéité, en tenant compte de l’incidence sur les droits des personnes concernées et en équilibrant la nécessité de sauvegarder la sécurité nationale. À l’issue de cet examen, le tribunal peut décider que le certificat ne s’applique pas aux données à caractère personnel spécifiques faisant l’objet du recours (234).

233

234

| (136) | Différentes limitations possibles concernent celles qui s’appliquent, en vertu de l’annexe 11 de la DPA 2018, à certaines dispositions de la partie 4 de la DPA 2018 (235) pour garantir d’autres objectifs importants d’intérêt public général ou des intérêts protégés, tels que l’immunité parlementaire, le secret professionnel, le déroulement des procédures judiciaires ou l’efficacité au combat des forces armées. L’application de ces dispositions est soit exemptée pour certaines catégories d’informations (ci-après une exemption «fondée sur une catégorie»), soit exemptée dans la mesure où elle serait susceptible de porter préjudice à l’intérêt protégé (ci-après une exemption «fondée sur un préjudice») (236). Les dérogations sur la base du préjudice ne peuvent être invoquées que tant que l’application des dispositions de protection de données énumérées serait susceptible de nuire aux intérêts spécifiques concernés. Le fait de recourir à une dérogation doit en conséquence être justifié en précisant le préjudice concerné qui pourrait se produire dans le cas en question. Les dérogations sur la base de la catégorie ne peuvent être invoquées qu’en ce qui concerne la catégorie d’informations spécifique et circonscrite pour laquelle la dérogation est accordée. En ce qui concerne leurs objectifs et leurs effets, ces dérogations sont similaires à plusieurs des dérogations énoncées dans le RGPD du Royaume-Uni (au titre de l’annexe 2 de la loi DPA 2018) qui, elles-mêmes, reflètent celles prévues par l’article 23 du RGPD. |
| --- | --- |

(136)

Différentes limitations possibles concernent celles qui s’appliquent, en vertu de l’annexe 11 de la DPA 2018, à certaines dispositions de la partie 4 de la DPA 2018 (235) pour garantir d’autres objectifs importants d’intérêt public général ou des intérêts protégés, tels que l’immunité parlementaire, le secret professionnel, le déroulement des procédures judiciaires ou l’efficacité au combat des forces armées. L’application de ces dispositions est soit exemptée pour certaines catégories d’informations (ci-après une exemption «fondée sur une catégorie»), soit exemptée dans la mesure où elle serait susceptible de porter préjudice à l’intérêt protégé (ci-après une exemption «fondée sur un préjudice») (236). Les dérogations sur la base du préjudice ne peuvent être invoquées que tant que l’application des dispositions de protection de données énumérées serait susceptible de nuire aux intérêts spécifiques concernés. Le fait de recourir à une dérogation doit en conséquence être justifié en précisant le préjudice concerné qui pourrait se produire dans le cas en question. Les dérogations sur la base de la catégorie ne peuvent être invoquées qu’en ce qui concerne la catégorie d’informations spécifique et circonscrite pour laquelle la dérogation est accordée. En ce qui concerne leurs objectifs et leurs effets, ces dérogations sont similaires à plusieurs des dérogations énoncées dans le RGPD du Royaume-Uni (au titre de l’annexe 2 de la loi DPA 2018) qui, elles-mêmes, reflètent celles prévues par l’article 23 du RGPD.

235

236

| (137) | Il ressort de ce qui précède que les dispositions juridiques britanniques applicables, telles qu’elles ont été également interprétées par les juridictions et le commissaire à l’information, prévoient bien des limitations et des conditions pour garantir que les exemptions et les limitations susmentionnées restent dans les limites de ce qui est nécessaire et proportionné à la protection de la sécurité nationale. |
| --- | --- |

(137)

Il ressort de ce qui précède que les dispositions juridiques britanniques applicables, telles qu’elles ont été également interprétées par les juridictions et le commissaire à l’information, prévoient bien des limitations et des conditions pour garantir que les exemptions et les limitations susmentionnées restent dans les limites de ce qui est nécessaire et proportionné à la protection de la sécurité nationale.

| (138) | Le commissaire à l’information surveille le traitement de données à caractère personnel effectué par les services de renseignement en vertu de la partie 4 de la loi DPA 2018 (237). |
| --- | --- |

(138)

Le commissaire à l’information surveille le traitement de données à caractère personnel effectué par les services de renseignement en vertu de la partie 4 de la loi DPA 2018 (237).

237

| (139) | Les fonctions générales du commissaire à l’information en ce qui concerne le traitement de données à caractère personnel par des services de renseignement au titre de la partie 4 de la loi DPA 2018 sont énoncées à l’annexe 13 de la loi DPA 2018. Les missions comprennent notamment, mais sans s’y limiter, la surveillance et le contrôle de l’application de la partie 4 de la loi DPA 2018, la sensibilisation du public, la dispense de conseils au Parlement, au gouvernement et à d’autres institutions au sujet des mesures législatives et administratives, la sensibilisation des responsables du traitement et des sous-traitants aux obligations qui leur incombent, la fourniture d’informations à une personne concernée sur l’exercice de ses droits, et la conduite d’enquêtes. |
| --- | --- |

(139)

Les fonctions générales du commissaire à l’information en ce qui concerne le traitement de données à caractère personnel par des services de renseignement au titre de la partie 4 de la loi DPA 2018 sont énoncées à l’annexe 13 de la loi DPA 2018. Les missions comprennent notamment, mais sans s’y limiter, la surveillance et le contrôle de l’application de la partie 4 de la loi DPA 2018, la sensibilisation du public, la dispense de conseils au Parlement, au gouvernement et à d’autres institutions au sujet des mesures législatives et administratives, la sensibilisation des responsables du traitement et des sous-traitants aux obligations qui leur incombent, la fourniture d’informations à une personne concernée sur l’exercice de ses droits, et la conduite d’enquêtes.

| (140) | En ce qui concerne la partie 3 de la loi DPA 2018, le commissaire dispose de compétences pour notifier aux responsables du traitement une violation alléguée, avertir qu’une opération de traitement est susceptible d’enfreindre les règles et rappeler à l’ordre lorsque la violation est confirmée. Il peut également émettre des avis d’exécution et de sanction en cas de violations de certaines dispositions de ladite loi (238). Néanmoins, à la différence des autres parties de la loi DPA 2018, le commissaire ne peut pas adresser d’avis d’évaluation à un organisme de sécurité nationale (239). |
| --- | --- |

(140)

En ce qui concerne la partie 3 de la loi DPA 2018, le commissaire dispose de compétences pour notifier aux responsables du traitement une violation alléguée, avertir qu’une opération de traitement est susceptible d’enfreindre les règles et rappeler à l’ordre lorsque la violation est confirmée. Il peut également émettre des avis d’exécution et de sanction en cas de violations de certaines dispositions de ladite loi (238). Néanmoins, à la différence des autres parties de la loi DPA 2018, le commissaire ne peut pas adresser d’avis d’évaluation à un organisme de sécurité nationale (239).

238

239

| (141) | En outre, l’article 110 de la loi DPA 2018 prévoit une exception à l’utilisation de certains pouvoirs du commissaire lorsque cela est requis aux fins de la sauvegarde de la sécurité nationale. Cela comprend le pouvoir du commissaire d’émettre des avis (de tout type) en vertu de la loi DPA (avis d’information, avis d’évaluation, avis d’exécution et avis de sanction), le pouvoir de mener des inspections conformément aux obligations internationales, les pouvoirs d’accès et d’inspection et les règles relatives aux infractions (240). Comme expliqué au considérant 136, ces exceptions ne s’appliqueront, au cas par cas, que si elles constituent une mesure nécessaire et proportionnée. L’application de ces dérogations peut faire l’objet d’un contrôle juridictionnel (241). |
| --- | --- |

(141)

En outre, l’article 110 de la loi DPA 2018 prévoit une exception à l’utilisation de certains pouvoirs du commissaire lorsque cela est requis aux fins de la sauvegarde de la sécurité nationale. Cela comprend le pouvoir du commissaire d’émettre des avis (de tout type) en vertu de la loi DPA (avis d’information, avis d’évaluation, avis d’exécution et avis de sanction), le pouvoir de mener des inspections conformément aux obligations internationales, les pouvoirs d’accès et d’inspection et les règles relatives aux infractions (240). Comme expliqué au considérant 136, ces exceptions ne s’appliqueront, au cas par cas, que si elles constituent une mesure nécessaire et proportionnée. L’application de ces dérogations peut faire l’objet d’un contrôle juridictionnel (241).

240

241

| (142) | L’ICO et les services de renseignement du Royaume-Uni ont signé un protocole d’accord (242) fixant un cadre pour la coopération sur un certain nombre de questions, dont les notifications de violation de données à caractère personnel et le traitement des réclamations de personnes concernées. En particulier, ce protocole prévoit que, lorsqu’il reçoit une réclamation, l’ICO évaluera si une dérogation de sécurité nationale a bien été invoquée de manière appropriée. Les réponses aux demandes faites par l’ICO dans le contexte de l’examen des réclamations individuelles doivent être apportées dans un délai de 20 jours ouvrés par les orientations du gouvernement du Royaume-Uni sur les certificats de sécurité nationale, en application de la loi sur la protection des données, au moyen de canaux sécurisés adéquats dans le cas où des renseignements classifiés sont concernés. Du mois d’avril 2018 à ce jour, l’ICO a reçu 21 réclamations de la part de particuliers concernant les services de renseignement. Chaque réclamation a été évaluée et l’issue a été notifiée à la personne concernée (243). |
| --- | --- |

(142)

L’ICO et les services de renseignement du Royaume-Uni ont signé un protocole d’accord (242) fixant un cadre pour la coopération sur un certain nombre de questions, dont les notifications de violation de données à caractère personnel et le traitement des réclamations de personnes concernées. En particulier, ce protocole prévoit que, lorsqu’il reçoit une réclamation, l’ICO évaluera si une dérogation de sécurité nationale a bien été invoquée de manière appropriée. Les réponses aux demandes faites par l’ICO dans le contexte de l’examen des réclamations individuelles doivent être apportées dans un délai de 20 jours ouvrés par les orientations du gouvernement du Royaume-Uni sur les certificats de sécurité nationale, en application de la loi sur la protection des données, au moyen de canaux sécurisés adéquats dans le cas où des renseignements classifiés sont concernés. Du mois d’avril 2018 à ce jour, l’ICO a reçu 21 réclamations de la part de particuliers concernant les services de renseignement. Chaque réclamation a été évaluée et l’issue a été notifiée à la personne concernée (243).

242

243

| (143) | De plus, le Comité de renseignement et de sécurité (Intelligence and Security Committee – ISC) exerce un contrôle parlementaire sur le traitement de données par les agences de renseignement. Le Comité trouve sa base légale dans la loi de 2013 sur la justice et la sécurité (Justice and Security Act 2013), dite «loi JSA 2013» (244). La loi institue l’ISC comme une commission du Parlement du Royaume-Uni. L’ISC est composé de membres appartenant à l’une ou l’autre Chambre du Parlement et nommés par le Premier ministre après consultation du chef de l’opposition (245). L’ISC est tenu de présenter un rapport annuel devant le Parlement sur l’exercice de ses fonctions et d’autres rapports qu’il estime pertinents (246). |
| --- | --- |

(143)

De plus, le Comité de renseignement et de sécurité (Intelligence and Security Committee – ISC) exerce un contrôle parlementaire sur le traitement de données par les agences de renseignement. Le Comité trouve sa base légale dans la loi de 2013 sur la justice et la sécurité (Justice and Security Act 2013), dite «loi JSA 2013» (244). La loi institue l’ISC comme une commission du Parlement du Royaume-Uni. L’ISC est composé de membres appartenant à l’une ou l’autre Chambre du Parlement et nommés par le Premier ministre après consultation du chef de l’opposition (245). L’ISC est tenu de présenter un rapport annuel devant le Parlement sur l’exercice de ses fonctions et d’autres rapports qu’il estime pertinents (246).

244

245

246

| (144) | Depuis 2013, l’ISC est investi de pouvoirs accrus, dont la supervision des activités opérationnelles des services de sécurité. Conformément à l’article 2 de la loi JSA 2013, l’ISC a pour mission de superviser les dépenses, l’administration, la politique et les opérations des agences de sécurité nationale. La loi JSA 2013 précise que l’ISC est habilité à mener des enquêtes sur des questions opérationnelles lorsqu’elles ne concernent pas des opérations en cours (247). Le protocole d’accord conclu entre le Premier ministre et l’ISC (248) définit en détail les éléments à prendre en considération pour déterminer si une activité fait ou non partie d’une opération en cours (249). L’ISC peut également être invité par le Premier ministre à enquêter sur des opérations en cours et peut examiner les informations fournies de plein gré par les agences. |
| --- | --- |

(144)

Depuis 2013, l’ISC est investi de pouvoirs accrus, dont la supervision des activités opérationnelles des services de sécurité. Conformément à l’article 2 de la loi JSA 2013, l’ISC a pour mission de superviser les dépenses, l’administration, la politique et les opérations des agences de sécurité nationale. La loi JSA 2013 précise que l’ISC est habilité à mener des enquêtes sur des questions opérationnelles lorsqu’elles ne concernent pas des opérations en cours (247). Le protocole d’accord conclu entre le Premier ministre et l’ISC (248) définit en détail les éléments à prendre en considération pour déterminer si une activité fait ou non partie d’une opération en cours (249). L’ISC peut également être invité par le Premier ministre à enquêter sur des opérations en cours et peut examiner les informations fournies de plein gré par les agences.

247

248

249

| (145) | En vertu de l’annexe 1 de la loi JSA 2013, l’ISC peut demander aux dirigeants de l’un des trois services de renseignement de divulguer toute information. L’agence doit rendre ces informations disponibles, à moins que le secrétaire d’État n’y oppose son veto (250). Les autorités du Royaume-Uni ont expliqué qu’en pratique, très peu d’informations ne sont pas communiquées à l’ISC (251). |
| --- | --- |

(145)

En vertu de l’annexe 1 de la loi JSA 2013, l’ISC peut demander aux dirigeants de l’un des trois services de renseignement de divulguer toute information. L’agence doit rendre ces informations disponibles, à moins que le secrétaire d’État n’y oppose son veto (250). Les autorités du Royaume-Uni ont expliqué qu’en pratique, très peu d’informations ne sont pas communiquées à l’ISC (251).

250

251

| (146) | Tout d’abord, en ce qui concerne la réparation, une personne concernée peut, conformément à l’article 165, paragraphe 2, de la loi DPA 2018, introduire une réclamation auprès de l’ICO si elle considère qu’il y a eu violation de la partie 4 de la loi DPA 2018 quant aux données à caractère personnel la concernant, y compris toute utilisation abusive des dérogations de sécurité nationale et des limitations. |
| --- | --- |

(146)

Tout d’abord, en ce qui concerne la réparation, une personne concernée peut, conformément à l’article 165, paragraphe 2, de la loi DPA 2018, introduire une réclamation auprès de l’ICO si elle considère qu’il y a eu violation de la partie 4 de la loi DPA 2018 quant aux données à caractère personnel la concernant, y compris toute utilisation abusive des dérogations de sécurité nationale et des limitations.

| (147) | En outre, au titre de la partie 4 de la loi DPA 2018, les personnes ont le droit de solliciter auprès de la Haute Cour (ou de la Cour de session en Écosse) une ordonnance exigeant du responsable du traitement qu’il respecte le droit d’accès aux données (252), le droit de s’opposer à leur traitement (253) ainsi que le droit de rectification et le droit à l’effacement. |
| --- | --- |

(147)

En outre, au titre de la partie 4 de la loi DPA 2018, les personnes ont le droit de solliciter auprès de la Haute Cour (ou de la Cour de session en Écosse) une ordonnance exigeant du responsable du traitement qu’il respecte le droit d’accès aux données (252), le droit de s’opposer à leur traitement (253) ainsi que le droit de rectification et le droit à l’effacement.

252

253

| (148) | Les personnes ont également le droit de demander une indemnisation pour un préjudice subi en raison de la violation d’une exigence énoncée dans la partie 4 de la loi DPA 2018 par le responsable du traitement ou un sous-traitant (254). Le préjudice comprend aussi bien la perte financière que le préjudice n’entraînant aucune perte financière, tel que la détresse (255). |
| --- | --- |

(148)

Les personnes ont également le droit de demander une indemnisation pour un préjudice subi en raison de la violation d’une exigence énoncée dans la partie 4 de la loi DPA 2018 par le responsable du traitement ou un sous-traitant (254). Le préjudice comprend aussi bien la perte financière que le préjudice n’entraînant aucune perte financière, tel que la détresse (255).

254

255

| (149) | Enfin, une personne peut introduire une réclamation auprès du tribunal chargé des pouvoirs d’enquête (Investigatory Powers Tribunal), dit «IPT», pour tout comportement de la part ou au nom des agences de renseignement du Royaume-Uni (256). L’IPT est institué par la loi de 2000 portant réglementation des pouvoirs d’enquête pour l’Angleterre, le pays de Galles et l’Irlande du Nord et la loi de 2000 portant réglementation des pouvoirs d’enquête (Écosse) pour l’Écosse («loi RIPA 2000») et est indépendant du pouvoir exécutif (257). En vertu de l’article 65 de la loi RIPA 2000, les membres de l’IPT sont nommés par la Reine pour une durée de cinq ans. |
| --- | --- |

(149)

Enfin, une personne peut introduire une réclamation auprès du tribunal chargé des pouvoirs d’enquête (Investigatory Powers Tribunal), dit «IPT», pour tout comportement de la part ou au nom des agences de renseignement du Royaume-Uni (256). L’IPT est institué par la loi de 2000 portant réglementation des pouvoirs d’enquête pour l’Angleterre, le pays de Galles et l’Irlande du Nord et la loi de 2000 portant réglementation des pouvoirs d’enquête (Écosse) pour l’Écosse («loi RIPA 2000») et est indépendant du pouvoir exécutif (257). En vertu de l’article 65 de la loi RIPA 2000, les membres de l’IPT sont nommés par la Reine pour une durée de cinq ans.

256

257

| (150) | Un membre du tribunal peut être démis de ses fonctions par la Reine à la suite d’une requête (258) émise par les deux Chambres du Parlement (259). |
| --- | --- |

(150)

Un membre du tribunal peut être démis de ses fonctions par la Reine à la suite d’une requête (258) émise par les deux Chambres du Parlement (259).

258

259

| (151) | Afin d’engager une action en justice devant l’IPT («qualité pour agir»), en vertu de l’article 65 de la loi RIPA 2000, une personne doit croire i) que le comportement d’un service de renseignement concernait sa personne, l’un de ses biens, toute communication qu’elle a envoyée ou reçue, ou qui lui est destinée, ou son utilisation d’un service postal, d’un service de télécommunications ou d’un système de télécommunications (260), et ii) que le comportement a eu lieu dans des «circonstances contestables» (261) ou qu’il s’agit d’un comportement «de la part ou au nom des services de renseignement» (262). Étant donné que ce critère de «conviction» en particulier a été interprété de manière assez large (263), la saisine du tribunal nécessite une qualité pour agir relativement faible. |
| --- | --- |

(151)

Afin d’engager une action en justice devant l’IPT («qualité pour agir»), en vertu de l’article 65 de la loi RIPA 2000, une personne doit croire i) que le comportement d’un service de renseignement concernait sa personne, l’un de ses biens, toute communication qu’elle a envoyée ou reçue, ou qui lui est destinée, ou son utilisation d’un service postal, d’un service de télécommunications ou d’un système de télécommunications (260), et ii) que le comportement a eu lieu dans des «circonstances contestables» (261) ou qu’il s’agit d’un comportement «de la part ou au nom des services de renseignement» (262). Étant donné que ce critère de «conviction» en particulier a été interprété de manière assez large (263), la saisine du tribunal nécessite une qualité pour agir relativement faible.

260

261

262

263

| (152) | Lorsqu’un tribunal examine une réclamation qui lui est adressée, il a pour devoir d’enquêter pour déterminer si les personnes contre qui toute allégation est formulée dans la réclamation ont agi à l’égard de l’auteur de la réclamation, ainsi que d’enquêter sur l’autorité qui aurait commis des violations et sur la question de savoir si le comportement allégué a eu lieu (264). Lorsque le tribunal est saisi de toute procédure, il doit appliquer les mêmes principes pour prendre sa décision dans le cadre de cette procédure que ceux qu’appliquerait une juridiction pour examiner une demande de contrôle juridictionnel (265). |
| --- | --- |

(152)

Lorsqu’un tribunal examine une réclamation qui lui est adressée, il a pour devoir d’enquêter pour déterminer si les personnes contre qui toute allégation est formulée dans la réclamation ont agi à l’égard de l’auteur de la réclamation, ainsi que d’enquêter sur l’autorité qui aurait commis des violations et sur la question de savoir si le comportement allégué a eu lieu (264). Lorsque le tribunal est saisi de toute procédure, il doit appliquer les mêmes principes pour prendre sa décision dans le cadre de cette procédure que ceux qu’appliquerait une juridiction pour examiner une demande de contrôle juridictionnel (265).

264

265

| (153) | Le tribunal est tenu d’informer l’auteur de la réclamation si une décision a été prise en sa faveur ou non (266). En vertu de l’article 67, paragraphes 6 et 7, de la loi RIPA 2000, le tribunal est habilité à rendre des ordonnances provisoires et à octroyer des indemnités ou à rendre toute autre ordonnance qu’il juge appropriée (267). Conformément à l’article 67A de la loi RIPA 2000, une décision du tribunal peut faire l’objet d’un recours, sous réserve de l’autorisation accordée par le tribunal ou la cour d’appel compétente. |
| --- | --- |

(153)

Le tribunal est tenu d’informer l’auteur de la réclamation si une décision a été prise en sa faveur ou non (266). En vertu de l’article 67, paragraphes 6 et 7, de la loi RIPA 2000, le tribunal est habilité à rendre des ordonnances provisoires et à octroyer des indemnités ou à rendre toute autre ordonnance qu’il juge appropriée (267). Conformément à l’article 67A de la loi RIPA 2000, une décision du tribunal peut faire l’objet d’un recours, sous réserve de l’autorisation accordée par le tribunal ou la cour d’appel compétente.

266

267

| (154) | Plus particulièrement, les personnes peuvent introduire une réclamation (et obtenir réparation) auprès de l’IPT si elles estiment qu’une autorité publique a agi (ou propose d’agir) d’une manière incompatible avec les droits garantis par la CEDH, y compris le droit au respect de la vie privée et à la protection des données, et, partant, d’une manière illicite en vertu de l’article 6, paragraphe 1, de la loi de 1998 sur les droits de l’homme. L’IPT s’est vu attribuer la compétence juridictionnelle exclusive pour toutes les réclamations relevant de la loi sur les droits de l’homme et concernant les agences de renseignement. Cela signifie, comme l’a relevé la Haute Cour, que «la question de savoir s’il y a eu violation de la loi sur les droits de l’homme dans les faits d’une affaire spécifique peut, en principe, être soulevée et jugée par un tribunal indépendant qui peut avoir accès à tous les documents pertinents, y compris les documents secrets. [...] Nous gardons également à l’esprit que, dans ce contexte, l’IPT peut désormais faire lui-même l’objet d’un recours devant une cour d’appel appropriée (il s’agirait de la Cour d’appel en Angleterre et au pays de Galles); et que la Cour suprême a récemment tranché que l’IPT peut en principe faire l’objet d’un contrôle juridictionnel: voir l’affaire R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219» (268). Si l’IPT juge tout acte d’une autorité publique comme étant illicite, il est habilité, en vertu de ses pouvoirs, à accorder toute réparation ou tout recours, ou à émettre une ordonnance dans la mesure où il estime cela juste et approprié (269). |
| --- | --- |

(154)

Plus particulièrement, les personnes peuvent introduire une réclamation (et obtenir réparation) auprès de l’IPT si elles estiment qu’une autorité publique a agi (ou propose d’agir) d’une manière incompatible avec les droits garantis par la CEDH, y compris le droit au respect de la vie privée et à la protection des données, et, partant, d’une manière illicite en vertu de l’article 6, paragraphe 1, de la loi de 1998 sur les droits de l’homme. L’IPT s’est vu attribuer la compétence juridictionnelle exclusive pour toutes les réclamations relevant de la loi sur les droits de l’homme et concernant les agences de renseignement. Cela signifie, comme l’a relevé la Haute Cour, que «la question de savoir s’il y a eu violation de la loi sur les droits de l’homme dans les faits d’une affaire spécifique peut, en principe, être soulevée et jugée par un tribunal indépendant qui peut avoir accès à tous les documents pertinents, y compris les documents secrets. [...] Nous gardons également à l’esprit que, dans ce contexte, l’IPT peut désormais faire lui-même l’objet d’un recours devant une cour d’appel appropriée (il s’agirait de la Cour d’appel en Angleterre et au pays de Galles); et que la Cour suprême a récemment tranché que l’IPT peut en principe faire l’objet d’un contrôle juridictionnel: voir l’affaire R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219» (268). Si l’IPT juge tout acte d’une autorité publique comme étant illicite, il est habilité, en vertu de ses pouvoirs, à accorder toute réparation ou tout recours, ou à émettre une ordonnance dans la mesure où il estime cela juste et approprié (269).

268

269

| (155) | Après avoir épuisé toutes les voies de recours nationales, une personne peut demander réparation devant la Cour européenne des droits de l’homme pour violation des droits garantis par la CEDH, dont le droit au respect de la vie privée et le droit à la protection des données. |
| --- | --- |

(155)

Après avoir épuisé toutes les voies de recours nationales, une personne peut demander réparation devant la Cour européenne des droits de l’homme pour violation des droits garantis par la CEDH, dont le droit au respect de la vie privée et le droit à la protection des données.

| (156) | Il découle de ce qui précède que le partage par les autorités répressives en matière pénale du Royaume-Uni de données transférées au titre de la présente décision avec d’autres autorités publiques, dont les agences de renseignement, est encadré par des limitations et des conditions garantissant que ce partage ultérieur sera nécessaire et proportionné et soumis à des garanties spécifiques de protection des données en vertu de la loi DPA 2018. En outre, le traitement de données par les autorités publiques en question est surveillé par des organismes indépendants et les personnes concernées ont à leur disposition des voies de recours efficaces. |
| --- | --- |

(156)

Il découle de ce qui précède que le partage par les autorités répressives en matière pénale du Royaume-Uni de données transférées au titre de la présente décision avec d’autres autorités publiques, dont les agences de renseignement, est encadré par des limitations et des conditions garantissant que ce partage ultérieur sera nécessaire et proportionné et soumis à des garanties spécifiques de protection des données en vertu de la loi DPA 2018. En outre, le traitement de données par les autorités publiques en question est surveillé par des organismes indépendants et les personnes concernées ont à leur disposition des voies de recours efficaces.

3.   CONCLUSIONS

CONCLUSIONS

| (157) | La Commission estime que la partie 3 de la loi DPA 2018 garantit un niveau de protection des données à caractère personnel transférées, à des fins répressives, des autorités compétentes de l’Union vers les autorités compétentes du Royaume-Uni, qui est essentiellement équivalent à celui garanti par la directive (UE) 2016/680. |
| --- | --- |

(157)

La Commission estime que la partie 3 de la loi DPA 2018 garantit un niveau de protection des données à caractère personnel transférées, à des fins répressives, des autorités compétentes de l’Union vers les autorités compétentes du Royaume-Uni, qui est essentiellement équivalent à celui garanti par la directive (UE) 2016/680.

| (158) | De plus, la Commission estime que, pris dans leur ensemble, les mécanismes de surveillance et les voies de recours prévus dans le droit du Royaume-Uni permettent de détecter et de sanctionner en pratique les infractions et offrent aux personnes concernées des voies de droit leur permettant d’avoir accès aux données à caractère personnel les concernant et, in fine, d’obtenir leur rectification ou leur effacement. |
| --- | --- |

(158)

De plus, la Commission estime que, pris dans leur ensemble, les mécanismes de surveillance et les voies de recours prévus dans le droit du Royaume-Uni permettent de détecter et de sanctionner en pratique les infractions et offrent aux personnes concernées des voies de droit leur permettant d’avoir accès aux données à caractère personnel les concernant et, in fine, d’obtenir leur rectification ou leur effacement.

| (159) | Enfin, sur la base des informations disponibles concernant l’ordre juridique du Royaume-Uni, la Commission considère que toute atteinte aux droits fondamentaux des personnes dont les données à caractère personnel sont transférées de l’Union européenne vers le Royaume-Uni par des autorités publiques du Royaume-Uni à des fins d’intérêt public, y compris dans le contexte du partage de données à caractère personnel entre des autorités répressives et d’autres autorités publiques, telles que les organismes de sécurité nationale, sera limitée à ce qui est strictement nécessaire pour atteindre l’objectif légitime visé et qu’il existe une protection juridique effective contre les atteintes de cette nature. |
| --- | --- |

(159)

Enfin, sur la base des informations disponibles concernant l’ordre juridique du Royaume-Uni, la Commission considère que toute atteinte aux droits fondamentaux des personnes dont les données à caractère personnel sont transférées de l’Union européenne vers le Royaume-Uni par des autorités publiques du Royaume-Uni à des fins d’intérêt public, y compris dans le contexte du partage de données à caractère personnel entre des autorités répressives et d’autres autorités publiques, telles que les organismes de sécurité nationale, sera limitée à ce qui est strictement nécessaire pour atteindre l’objectif légitime visé et qu’il existe une protection juridique effective contre les atteintes de cette nature.

| (160) | En conséquence, il convient de décider que le Royaume-Uni assure un niveau de protection adéquat au sens de l’article 36, paragraphe 2, de la directive (UE) 2016/680, interprété à la lumière de la charte des droits fondamentaux. |
| --- | --- |

(160)

En conséquence, il convient de décider que le Royaume-Uni assure un niveau de protection adéquat au sens de l’article 36, paragraphe 2, de la directive (UE) 2016/680, interprété à la lumière de la charte des droits fondamentaux.

| (161) | Cette conclusion repose tant sur le régime national pertinent du Royaume-Uni que sur les engagements internationaux du Royaume-Uni, en particulier son adhésion à la convention européenne des droits de l’homme et le fait qu’il se soumette à la juridiction de la Cour européenne des droits de l’homme. Le respect indéfectible de ces obligations internationales est donc un élément particulièrement important de l’évaluation sur laquelle se fonde la présente décision. |
| --- | --- |

(161)

Cette conclusion repose tant sur le régime national pertinent du Royaume-Uni que sur les engagements internationaux du Royaume-Uni, en particulier son adhésion à la convention européenne des droits de l’homme et le fait qu’il se soumette à la juridiction de la Cour européenne des droits de l’homme. Le respect indéfectible de ces obligations internationales est donc un élément particulièrement important de l’évaluation sur laquelle se fonde la présente décision.

4.   EFFETS DE LA PRÉSENTE DÉCISION ET ACTION DES AUTORITÉS CHARGÉES DE LA PROTECTION DES DONNÉES

EFFETS DE LA PRÉSENTE DÉCISION ET ACTION DES AUTORITÉS CHARGÉES DE LA PROTECTION DES DONNÉES

| (162) | Les États membres et leurs organes sont tenus de prendre les mesures nécessaires pour se conformer aux actes des institutions de l’Union, car ces derniers jouissent d’une présomption de légalité et produisent, dès lors, des effets juridiques aussi longtemps qu’ils n’ont pas expiré, été retirés, annulés à la suite d’un recours en annulation ou déclarés invalides à la suite d’un renvoi préjudiciel ou d’une exception d’illégalité. |
| --- | --- |

(162)

Les États membres et leurs organes sont tenus de prendre les mesures nécessaires pour se conformer aux actes des institutions de l’Union, car ces derniers jouissent d’une présomption de légalité et produisent, dès lors, des effets juridiques aussi longtemps qu’ils n’ont pas expiré, été retirés, annulés à la suite d’un recours en annulation ou déclarés invalides à la suite d’un renvoi préjudiciel ou d’une exception d’illégalité.

| (163) | En conséquence, une décision d’adéquation de la Commission adoptée en vertu de l’article 36, paragraphe 3, de la directive (UE) 2016/680, a un caractère contraignant pour tous les organes des États membres destinataires, y compris leurs autorités de contrôle indépendantes. En particulier, au cours de la période d’application de la présente décision, les transferts d’un responsable du traitement ou d’un sous-traitant situé dans l’Union à des responsables du traitement ou des sous-traitants situés au Royaume-Uni peuvent avoir lieu sans qu’il soit nécessaire d’obtenir une autorisation supplémentaire. |
| --- | --- |

(163)

En conséquence, une décision d’adéquation de la Commission adoptée en vertu de l’article 36, paragraphe 3, de la directive (UE) 2016/680, a un caractère contraignant pour tous les organes des États membres destinataires, y compris leurs autorités de contrôle indépendantes. En particulier, au cours de la période d’application de la présente décision, les transferts d’un responsable du traitement ou d’un sous-traitant situé dans l’Union à des responsables du traitement ou des sous-traitants situés au Royaume-Uni peuvent avoir lieu sans qu’il soit nécessaire d’obtenir une autorisation supplémentaire.

| (164) | Parallèlement, il convient de rappeler que, en vertu de l’article 47, paragraphe 5, de la directive (UE) 2016/680, et ainsi que la Cour de justice l’a expliqué dans l’arrêt Schrems, lorsqu’une autorité chargée de la protection des données met en cause, notamment après avoir été saisie d’une réclamation, la compatibilité d’une décision d’adéquation de la Commission avec la protection des droits fondamentaux que constituent le respect de la vie privée et la protection des données, le droit national doit prévoir des voies de recours lui permettant de faire valoir ces griefs devant les juridictions nationales, qui pourraient être amenées à procéder à un renvoi préjudiciel devant la Cour de justice (270). |
| --- | --- |

(164)

Parallèlement, il convient de rappeler que, en vertu de l’article 47, paragraphe 5, de la directive (UE) 2016/680, et ainsi que la Cour de justice l’a expliqué dans l’arrêt Schrems, lorsqu’une autorité chargée de la protection des données met en cause, notamment après avoir été saisie d’une réclamation, la compatibilité d’une décision d’adéquation de la Commission avec la protection des droits fondamentaux que constituent le respect de la vie privée et la protection des données, le droit national doit prévoir des voies de recours lui permettant de faire valoir ces griefs devant les juridictions nationales, qui pourraient être amenées à procéder à un renvoi préjudiciel devant la Cour de justice (270).

270

5.   SUIVI, SUSPENSION, ABROGATION OU MODIFICATION DE LA PRÉSENTE DÉCISION

SUIVI, SUSPENSION, ABROGATION OU MODIFICATION DE LA PRÉSENTE DÉCISION

| (165) | Conformément à l’article 36, paragraphe 4, de la directive (UE) 2016/680, la Commission doit suivre, de manière permanente, les évolutions pertinentes au Royaume-Uni après l’adoption de la présente décision afin de déterminer si ce pays continue d’assurer un niveau de protection essentiellement équivalent. Ce suivi est particulièrement important en l’occurrence, puisque le Royaume-Uni dirigera, appliquera et fera appliquer un nouveau régime de protection des données qui ne sera plus soumis au droit de l’Union et qui sera susceptible d’évoluer. À cet égard, une attention particulière sera accordée à l’application des règles britanniques en matière des transferts de données à caractère personnel vers des pays tiers, notamment par la conclusion de conventions internationales, à l’incidence que ces transferts pourraient avoir sur le niveau de protection conféré aux données transférées au regard de la présente décision, ainsi qu’à l’efficacité de l’exercice des droits individuels dans les domaines couverts par la présente décision. Parmi d’autres éléments, la Commission fondera son suivi sur les évolutions de la jurisprudence et sur la surveillance exercée par l’ICO et par d’autres organismes indépendants. |
| --- | --- |

(165)

Conformément à l’article 36, paragraphe 4, de la directive (UE) 2016/680, la Commission doit suivre, de manière permanente, les évolutions pertinentes au Royaume-Uni après l’adoption de la présente décision afin de déterminer si ce pays continue d’assurer un niveau de protection essentiellement équivalent. Ce suivi est particulièrement important en l’occurrence, puisque le Royaume-Uni dirigera, appliquera et fera appliquer un nouveau régime de protection des données qui ne sera plus soumis au droit de l’Union et qui sera susceptible d’évoluer. À cet égard, une attention particulière sera accordée à l’application des règles britanniques en matière des transferts de données à caractère personnel vers des pays tiers, notamment par la conclusion de conventions internationales, à l’incidence que ces transferts pourraient avoir sur le niveau de protection conféré aux données transférées au regard de la présente décision, ainsi qu’à l’efficacité de l’exercice des droits individuels dans les domaines couverts par la présente décision. Parmi d’autres éléments, la Commission fondera son suivi sur les évolutions de la jurisprudence et sur la surveillance exercée par l’ICO et par d’autres organismes indépendants.

| (166) | Afin de faciliter ce suivi, les autorités du Royaume-Uni sont invitées à informer sans délai et régulièrement la Commission de toute modification de fond apportée à l’ordre juridique britannique ayant une incidence sur le cadre juridique qui fait l’objet de la présente décision, ainsi que de toute évolution des pratiques relatives au traitement des données à caractère personnel évaluées dans la présente décision, en particulier en ce qui concerne les éléments mentionnés au considérant 165. |
| --- | --- |

(166)

Afin de faciliter ce suivi, les autorités du Royaume-Uni sont invitées à informer sans délai et régulièrement la Commission de toute modification de fond apportée à l’ordre juridique britannique ayant une incidence sur le cadre juridique qui fait l’objet de la présente décision, ainsi que de toute évolution des pratiques relatives au traitement des données à caractère personnel évaluées dans la présente décision, en particulier en ce qui concerne les éléments mentionnés au considérant 165.

| (167) | En outre, afin de permettre à la Commission d’accomplir efficacement sa mission de suivi, les États membres devraient l’informer de toute mesure pertinente prise par les autorités nationales chargées de la protection des données, en particulier en ce qui concerne les questions ou les plaintes des personnes concernées de l’Union européenne au sujet du transfert de données à caractère personnel des autorités compétentes de l’Union vers les autorités compétentes du Royaume-Uni. La Commission devrait également être informée de tout élément indiquant que les actions des autorités publiques du Royaume-Uni compétentes pour la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière, y compris de tout organisme de surveillance, n’assurent pas le niveau de protection requis. |
| --- | --- |

(167)

En outre, afin de permettre à la Commission d’accomplir efficacement sa mission de suivi, les États membres devraient l’informer de toute mesure pertinente prise par les autorités nationales chargées de la protection des données, en particulier en ce qui concerne les questions ou les plaintes des personnes concernées de l’Union européenne au sujet du transfert de données à caractère personnel des autorités compétentes de l’Union vers les autorités compétentes du Royaume-Uni. La Commission devrait également être informée de tout élément indiquant que les actions des autorités publiques du Royaume-Uni compétentes pour la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière, y compris de tout organisme de surveillance, n’assurent pas le niveau de protection requis.

| (168) | Lorsque des informations disponibles, en particulier les informations résultant du suivi de la présente décision ou fournies par les autorités du Royaume-Uni ou des États membres, révèlent que le niveau de protection assuré par le Royaume-Uni pourrait ne plus être adéquat, la Commission devrait en informer sans délai les autorités compétentes du Royaume-Uni et demander que des mesures appropriées soient prises dans un délai bien défini, qui ne peut excéder trois mois. Si nécessaire, cette période peut être prolongée pour une durée bien définie, en tenant compte de la nature du problème à régler ou des mesures à prendre. |
| --- | --- |

(168)

Lorsque des informations disponibles, en particulier les informations résultant du suivi de la présente décision ou fournies par les autorités du Royaume-Uni ou des États membres, révèlent que le niveau de protection assuré par le Royaume-Uni pourrait ne plus être adéquat, la Commission devrait en informer sans délai les autorités compétentes du Royaume-Uni et demander que des mesures appropriées soient prises dans un délai bien défini, qui ne peut excéder trois mois. Si nécessaire, cette période peut être prolongée pour une durée bien définie, en tenant compte de la nature du problème à régler ou des mesures à prendre.

| (169) | Si, à l’expiration de ce délai défini, les autorités compétentes du Royaume-Uni échouent à prendre ces mesures ou à démontrer autrement de manière satisfaisante que la présente décision reste fondée sur un niveau de protection adéquat, la Commission lancera la procédure visée à l’article 58, paragraphe 2, de la directive (UE) 2016/680, en vue de suspendre partiellement ou complètement ou d’abroger la présente décision. |
| --- | --- |

(169)

Si, à l’expiration de ce délai défini, les autorités compétentes du Royaume-Uni échouent à prendre ces mesures ou à démontrer autrement de manière satisfaisante que la présente décision reste fondée sur un niveau de protection adéquat, la Commission lancera la procédure visée à l’article 58, paragraphe 2, de la directive (UE) 2016/680, en vue de suspendre partiellement ou complètement ou d’abroger la présente décision.

| (170) | À défaut, la Commission lancera cette procédure visant à modifier la présente décision, notamment en soumettant les transferts de données à des conditions supplémentaires ou en limitant le constat d’adéquation aux seuls transferts de données pour lesquels un niveau de protection adéquat continue à être garanti. |
| --- | --- |

(170)

À défaut, la Commission lancera cette procédure visant à modifier la présente décision, notamment en soumettant les transferts de données à des conditions supplémentaires ou en limitant le constat d’adéquation aux seuls transferts de données pour lesquels un niveau de protection adéquat continue à être garanti.

| (171) | Pour des raisons d’urgence impérieuses dûment justifiées, la Commission recourra à la possibilité d’adopter des actes d’exécution suspendant, abrogeant ou amendant la présente décision, qui seraient immédiatement applicables, conformément à la procédure visée à l’article 58, paragraphe 3, de la directive (UE) 2016/680. |
| --- | --- |

(171)

Pour des raisons d’urgence impérieuses dûment justifiées, la Commission recourra à la possibilité d’adopter des actes d’exécution suspendant, abrogeant ou amendant la présente décision, qui seraient immédiatement applicables, conformément à la procédure visée à l’article 58, paragraphe 3, de la directive (UE) 2016/680.

6.   DURÉE ET RENOUVELLEMENT DE LA PRÉSENTE DÉCISION

DURÉE ET RENOUVELLEMENT DE LA PRÉSENTE DÉCISION

| (172) | Il convient de noter que, à la fin de la période de transition prévue par l’accord de retrait et dès que la disposition transitoire visée à l’article 782 de l’accord de commerce et de coopération UE-Royaume-Uni cessera d’être applicable, le Royaume-Uni dirigera, appliquera et fera appliquer un nouveau régime de protection des données, autre que celui qui était en place lorsque le Royaume-Uni était lié par le droit de l’Union européenne. Cela peut notamment impliquer des amendements ou des modifications du cadre de protection des données évalué dans la présente décision, de même que d’autres évolutions pertinentes. |
| --- | --- |

(172)

Il convient de noter que, à la fin de la période de transition prévue par l’accord de retrait et dès que la disposition transitoire visée à l’article 782 de l’accord de commerce et de coopération UE-Royaume-Uni cessera d’être applicable, le Royaume-Uni dirigera, appliquera et fera appliquer un nouveau régime de protection des données, autre que celui qui était en place lorsque le Royaume-Uni était lié par le droit de l’Union européenne. Cela peut notamment impliquer des amendements ou des modifications du cadre de protection des données évalué dans la présente décision, de même que d’autres évolutions pertinentes.

| (173) | Il convient donc de prévoir que la présente décision sera applicable pour une durée de quatre ans à compter de son entrée en vigueur. |
| --- | --- |

(173)

Il convient donc de prévoir que la présente décision sera applicable pour une durée de quatre ans à compter de son entrée en vigueur.

| (174) | Lorsque des informations particulières résultant du suivi de la présente décision révèlent que les conclusions relatives à l’adéquation du niveau de protection assuré par le Royaume-Uni sont toujours justifiées en fait et en droit, la Commission devrait, au plus tard six mois avant que la présente décision ne cesse de s’appliquer, lancer la procédure de modification de la présente décision en étendant sa portée dans le temps, en principe, pour une durée supplémentaire de quatre ans. Tout acte d’exécution portant modification de la présente décision doit être adopté conformément à la procédure mentionnée à l’article 58, paragraphe 2, de la directive (UE) 2016/680. |
| --- | --- |

(174)

Lorsque des informations particulières résultant du suivi de la présente décision révèlent que les conclusions relatives à l’adéquation du niveau de protection assuré par le Royaume-Uni sont toujours justifiées en fait et en droit, la Commission devrait, au plus tard six mois avant que la présente décision ne cesse de s’appliquer, lancer la procédure de modification de la présente décision en étendant sa portée dans le temps, en principe, pour une durée supplémentaire de quatre ans. Tout acte d’exécution portant modification de la présente décision doit être adopté conformément à la procédure mentionnée à l’article 58, paragraphe 2, de la directive (UE) 2016/680.

7.   CONSIDÉRATIONS FINALES

CONSIDÉRATIONS FINALES

| (175) | Le comité européen de la protection des données a publié son avis (271), dont il a été tenu compte dans l’élaboration de la présente décision. |
| --- | --- |

(175)

Le comité européen de la protection des données a publié son avis (271), dont il a été tenu compte dans l’élaboration de la présente décision.

271

| (176) | Les mesures prévues dans la présente décision sont conformes à l’avis du comité institué par l’article 58 de la directive (UE) 2016/680. |
| --- | --- |

(176)

Les mesures prévues dans la présente décision sont conformes à l’avis du comité institué par l’article 58 de la directive (UE) 2016/680.

| (177) | Conformément à l’article 6 bis du protocole no 21 sur la position du Royaume-Uni et de l’Irlande à l’égard de l’espace de liberté, de sécurité et de justice, annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, l’Irlande n’est pas liée par les règles fixées dans la directive (UE) 2016/680, et donc dans la présente décision d’exécution, concernant le traitement de données à caractère personnel par les États membres dans l’exercice d’activités qui relèvent du champ d’application du chapitre 4 ou 5 du titre V de la troisième partie du traité sur le fonctionnement de l’Union européenne, lorsque l’Irlande n’est pas liée par les règles qui régissent des formes de coopération judiciaire en matière pénale ou de coopération policière dans le cadre desquelles les dispositions fixées sur la base de l’article 16 du traité sur le fonctionnement de l’Union européenne doivent être respectées. En outre, en vertu de la décision d’exécution (UE) 2020/1745 du Conseil (272), la directive (UE) 2016/680 sera mise en œuvre et appliquée provisoirement en Irlande à partir du 1er janvier 2021. L’Irlande est donc liée par la présente décision d’exécution, dans les mêmes conditions que celles relatives à l’application de la directive (UE) 2016/680 en Irlande, énoncées dans la décision d’exécution (UE) 2020/1745, en ce qui concerne l’acquis de Schengen auquel elle participe. |
| --- | --- |

(177)

Conformément à l’article 6 bis du protocole no 21 sur la position du Royaume-Uni et de l’Irlande à l’égard de l’espace de liberté, de sécurité et de justice, annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, l’Irlande n’est pas liée par les règles fixées dans la directive (UE) 2016/680, et donc dans la présente décision d’exécution, concernant le traitement de données à caractère personnel par les États membres dans l’exercice d’activités qui relèvent du champ d’application du chapitre 4 ou 5 du titre V de la troisième partie du traité sur le fonctionnement de l’Union européenne, lorsque l’Irlande n’est pas liée par les règles qui régissent des formes de coopération judiciaire en matière pénale ou de coopération policière dans le cadre desquelles les dispositions fixées sur la base de l’article 16 du traité sur le fonctionnement de l’Union européenne doivent être respectées. En outre, en vertu de la décision d’exécution (UE) 2020/1745 du Conseil (272), la directive (UE) 2016/680 sera mise en œuvre et appliquée provisoirement en Irlande à partir du 1er janvier 2021. L’Irlande est donc liée par la présente décision d’exécution, dans les mêmes conditions que celles relatives à l’application de la directive (UE) 2016/680 en Irlande, énoncées dans la décision d’exécution (UE) 2020/1745, en ce qui concerne l’acquis de Schengen auquel elle participe.

bis

o

272

er

| (178) | Conformément aux articles 2 et 2 bis du protocole no 22 sur la position du Danemark, annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, le Danemark n’est pas lié par les règles fixées dans la directive (UE) 2016/680, et donc dans la présente décision d’exécution, ni soumis à leur application, lorsqu’elles concernent le traitement de données à caractère personnel par les États membres dans l’exercice d’activités qui relèvent du champ d’application du chapitre 4 ou 5 du titre V de la troisième partie du traité sur le fonctionnement de l’Union européenne. Toutefois, étant donné que la directive (UE) 2016/680 développe l’acquis de Schengen, le Danemark, conformément à l’article 4 de ce protocole, a notifié le 26 octobre 2016 sa décision de mettre la directive (UE) 2016/680 en œuvre. Le Danemark est donc tenu, en application du droit international, de mettre en œuvre la présente décision d’exécution. |
| --- | --- |

(178)

Conformément aux articles 2 et 2 bis du protocole no 22 sur la position du Danemark, annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, le Danemark n’est pas lié par les règles fixées dans la directive (UE) 2016/680, et donc dans la présente décision d’exécution, ni soumis à leur application, lorsqu’elles concernent le traitement de données à caractère personnel par les États membres dans l’exercice d’activités qui relèvent du champ d’application du chapitre 4 ou 5 du titre V de la troisième partie du traité sur le fonctionnement de l’Union européenne. Toutefois, étant donné que la directive (UE) 2016/680 développe l’acquis de Schengen, le Danemark, conformément à l’article 4 de ce protocole, a notifié le 26 octobre 2016 sa décision de mettre la directive (UE) 2016/680 en œuvre. Le Danemark est donc tenu, en application du droit international, de mettre en œuvre la présente décision d’exécution.

bis

o

| (179) | En ce qui concerne l’Islande et la Norvège, la présente décision d’exécution constitue un développement des dispositions de l’acquis de Schengen au sens de l’accord conclu par le Conseil de l’Union européenne, la République d’Islande et le Royaume de Norvège sur l’association de ces deux États à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (273). |
| --- | --- |

(179)

En ce qui concerne l’Islande et la Norvège, la présente décision d’exécution constitue un développement des dispositions de l’acquis de Schengen au sens de l’accord conclu par le Conseil de l’Union européenne, la République d’Islande et le Royaume de Norvège sur l’association de ces deux États à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (273).

273

| (180) | En ce qui concerne la Suisse, la présente décision d’exécution constitue un développement des dispositions de l’acquis de Schengen au sens de l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (274). |
| --- | --- |

(180)

En ce qui concerne la Suisse, la présente décision d’exécution constitue un développement des dispositions de l’acquis de Schengen au sens de l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (274).

274

| (181) | En ce qui concerne le Liechtenstein, la présente décision d’exécution constitue un développement des dispositions de l’acquis de Schengen au sens du protocole signé entre l’Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l’adhésion de la Principauté de Liechtenstein à l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (275), |
| --- | --- |

(181)

En ce qui concerne le Liechtenstein, la présente décision d’exécution constitue un développement des dispositions de l’acquis de Schengen au sens du protocole signé entre l’Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l’adhésion de la Principauté de Liechtenstein à l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (275),

275

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

Aux fins de l’article 36 de la directive (UE) 2016/680, le Royaume-Uni assure un niveau de protection adéquat des données à caractère personnel transférées de l’Union européenne vers des autorités publiques du Royaume-Uni compétentes pour la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l’exécution des sanctions pénales.

Article 2

Lorsque, afin de protéger des personnes à l’égard du traitement de leurs données à caractère personnel, les autorités de contrôle compétentes des États membres exercent leurs pouvoirs en vertu de l’article 47 de la directive (UE) 2016/680 en ce qui concerne les transferts de données vers les autorités publiques au Royaume-Uni dans le cadre du champ d’application de l’article 1er, les États membres concernés en informent la Commission sans délai.

Article 3

1.   La Commission surveille de manière continue l’application du cadre juridique sur lequel se fonde la présente décision, notamment les conditions dans lesquelles les transferts ultérieurs sont effectués et les droits individuels exercés, dans le but de déterminer si le Royaume-Uni continue d’assurer un niveau de protection adéquat au sens de l’article 1er.

2.   Les États membres et la Commission s’informent mutuellement des cas dans lesquels le commissaire à l’information, ou toute autre autorité compétente du Royaume-Uni, échoue à faire respecter le cadre juridique sur lequel se fonde la présente décision.

3.   Les États membres et la Commission s’informent mutuellement de tout élément indiquant que les atteintes au droit des personnes à la protection de leurs données à caractère personnel commises par des autorités publiques du Royaume-Uni vont au-delà de ce qui est strictement nécessaire ou qu’il n’existe pas de protection juridique effective contre les atteintes de cette nature.

4.   Lorsqu’elle est en possession d’éléments indiquant qu’un niveau de protection adéquat n’est plus assuré, la Commission en informe les autorités compétentes du Royaume-Uni et peut suspendre, abroger ou modifier la présente décision.

5.   La Commission peut suspendre, abroger ou modifier la présente décision si le défaut de coopération de la part du gouvernement du Royaume-Uni l’empêche de déterminer si le constat établi à l’article 1er est affecté.

Article 4

La présente décision vient à échéance le 27 juin 2025, à moins qu’elle ne soit prolongée conformément à la procédure prévue à l’article 58, paragraphe 2, de la directive (UE) 2016/680.

Article 5

Les États membres sont destinataires de la présente décision.

Fait à Bruxelles, le 28 juin 2021.

Par la Commission

Didier REYNDERS

Membre de la Commission

---

(1)  
  JO L 119 du 4.5.2016, p. 89.

1

(2)  Voir le considérant 64 de la directive (UE) 2016/680.

2

(3)  Voir, tout récemment, l’affaire C-311/18, Maximilian Schrems/Data Protection Commissioner (ci-après l’«arrêt Schrems II»), ECLI:EU:C:2020:559.

3

(4)  Voir les recommandations 01/2021 sur les critères de référence dans le cadre de la directive en matière de protection des données dans le domaine répressif, adoptées en février 2021, disponibles à l’adresse suivante: https://edpb.europa.eu/system/files/2021-05/recommendations012021onart.36led.pdf_fr.pdf.

4

(5)  Affaire C-362/14, Maximillian Schrems/Data Protection Commissioner (ci-après l’«arrêt Schrems»), ECLI:EU:C:2015:650, point 73.

5

(6)  Arrêt Schrems, point 74.

6

(7)  Communication de la Commission au Parlement européen et au Conseil intitulée «Échange et protection de données à caractère personnel à l’ère de la mondialisation», COM(2017) 7 du 10.1.2017, section 3.1, p. 6, disponible à l’adresse suivante: https://eur-lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX:52017DC0007&from=FR.

7

(8)  Loi de 2018 sur la protection des données, disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2018/12/contents.

8

(9)  Cadre explicatif du Royaume-Uni pour la discussion relative au niveau de protection adéquat, section F: Application des lois, disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872237/F_-_Law_Enforcement_.pdf.

9

(10)  À l’origine, les principes de la convention no 108 ont été mis en œuvre dans la loi du Royaume-Uni par l’intermédiaire de la loi de 1984 sur la protection des données, remplacée par la loi DPA 1998, puis par la loi DPA 2018 (lue conjointement avec le «RGPD du Royaume-Uni»). Le Royaume-Uni a en outre signé en 2018 le protocole d’amendement de la convention pour la protection des personnes à l’égard du traitement automatisé de données à caractère personnel (dite «convention 108+») et œuvre actuellement à la ratification de la convention.

10

o

(11)  Articles 6 et 8 de la CEDH (voir également l’annexe 1 de la loi de 1998 sur les droits de l’homme).

11

(12)  Article 6 de la loi de 1998 sur les droits de l’homme.

12

(13)  Article 3 de la loi de 1998 sur les droits de l’homme.

13

(14)  Accord sur le retrait du Royaume-Uni de Grande-Bretagne et d’Irlande du Nord de l’Union européenne et de la Communauté européenne de l’énergie atomique 2019/C 384 I/01, XT/21054/2019/INIT, JO C 384I du 12.11.2019, p. 1 («accord de retrait»), disponible à l’adresse suivante: https://eur-lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX:12019W/TXT(02)&from=FR.

14

(15)  Loi de 2018 sur l’Union européenne (retrait), disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2018/16/contents.

15

(16)  Loi de 2018 sur la protection des données, disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2018/12/contents.

16

(17)  Article 6 de la loi de 2018 sur l’Union européenne (retrait).

17

(18)  Les règlements de 2019 relatifs à la protection des données, à la vie privée et aux communications électroniques (amendements, etc.) (retrait de l’Union européenne) [Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019], disponibles à l’adresse suivante: https://www.legislation.gov.uk/uksi/2019/419/contents/made, tels que modifiés par les DPPEC 2020, disponibles à l’adresse suivante: https://www.legislation.gov.uk/ukdsi/2020/9780348213522.

18

(19)  Les règlements relatifs au retrait (Exit Regulations) apportent plusieurs modifications à la partie 3 de la loi DPA 2018. Un certain nombre de ces modifications sont d’ordre technique, comme la suppression des références à l’«État membre» ou à la «directive en matière de protection des données dans le domaine répressif» [voir, par exemple, l’article 48, paragraphe 8, ou l’article 73, paragraphe 5, point a), de la loi DPA 2018] au profit du «droit national», de manière que la partie 3 puisse effectivement opérer en tant que droit national après la fin de la période de transition. En certains endroits, d’autres types de modifications étaient nécessaires, par exemple en ce qui concerne «qui» adopte les «décisions d’adéquation» aux fins du cadre législatif du Royaume-Uni en matière de protection des données [voir l’article 74A de la loi DPA 2018], à savoir le secrétaire d’État au lieu de la Commission européenne.

19

(20)  Pour une explication plus détaillée sur les forces de police et leurs pouvoirs au Royaume-Uni, voir: Cadre explicatif du Royaume-Uni pour la discussion relative à l’adéquation, section F: Application des lois (voir la note de bas de page no 9).

20

o

(21)  Code de bonne pratique pour les principes et normes de conduite professionnelle pour la profession policière en Angleterre et au pays de Galles (Code of Practice for the Principles and Standards of Professional Behaviour for the Policing Profession of England and Wales), disponible à l’adresse suivante: https://www.college.police.uk/What-we-do/Ethics/Documents/Code_of_Ethics.pdf; code de déontologie des services de police d’Irlande du Nord (Police Service Northern Ireland Code of Ethics), disponible à l’adresse suivante: https://www.nipolicingboard.org.uk/psni-code-ethics; code de déontologie pour les fonctions de police en Écosse (Code of Ethics for policing in Scotland), disponible à l’adresse suivante: https://www.scotland.police.uk/about-us/code-of-ethics-for-policing-in-scotland/.

21

(22)  Code de bonne pratique relatif à la gestion des informations policières, disponible à l’adresse suivante: http://library.college.police.uk/docs/APPref/Management-of-Police-Information.pdf.

22

(23)  Loi de 1996 sur la police, disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/1996/16/contents.

23

(24)  Codes de bonne pratique de la loi de 1984 sur la police et les preuves criminelles (PACE), disponibles à l’adresse suivante: https://www.gov.uk/guidance/police-and-criminal-evidence-act-1984-pace-codes-of-practice.

24

(25)  Loi de 1984 sur la police et les preuves criminelles, disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/1984/60/contents.

25

(26)  Pratique professionnelle agréée pour la gestion des informations policières, disponible à l’adresse suivante: https://www.app.college.police.uk/app-content/information-management/management-of-police-information/.

26

(27)  Manuel de protection des données à l’intention des professionnels de la protection des données des forces de police (Data Protection Manual for Police Data Protection Professionals), disponible à l’adresse suivante: https://www.npcc.police.uk/2019%20FOI/IMORCC/225%2019%20NPCC%20DP%20Manual%20Draft%200.11%20Mar%202019.pdf.

27

(28)  Par exemple le CBP relatif à la gestion des informations policières (voir la note de bas de page no 22) s’applique à la conservation d’informations relatives aux fonctions policières opérationnelles [voir le considérant 47 de la présente décision].

28

o

(29)  Selon les informations fournies par les autorités du Royaume-Uni, au cours des discussions sur l’adéquation, le collège des forces de police rédigeait un projet de code de bonne pratique pour la gestion des informations et des registres pour remplacer le CBP relatif à la gestion des informations policières. Ce projet de code a été publié pour consultation publique le 25 janvier 2021 et est disponible à l’adresse suivante: https://www.college.police.uk/article/information-records-management-consultation.

29

(30)  Dans l’affaire R/Commissioner of Police of Metropolis [2014] EWCA Civ 585, le statut juridique du CBP relatif à la gestion des informations policières a été confirmé et le juge de la Chambre des lords (Lord Justice) Laws a déclaré qu’en vertu de l’article 39A de la loi de 1996 sur la police, le préfet de la police londonienne est tenu de respecter le CBP relatif à la gestion des informations policières et les orientations de la pratique professionnelle agréée pour la gestion des informations policières.

30

(31)  L’inspection de la police et des services d’incendie et de secours (Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services, «HMICFRS») inspecte les forces de police pour ce qui est de leur respect du CBP relatif à la gestion des informations policières.

31

(32)  Voir à cet égard l’avis du collège des forces de police en ce qui concerne le respect des orientations de la pratique professionnelle agréée pour tous les éléments des fonctions de police, qui explique que «[l]a pratique professionnelle agréée est approuvée par l’organisme professionnel des fonctions de police (collège des forces de police) en tant que source officielle de la pratique professionnelle en la matière. On attend des agents et du personnel de police qu’ils tiennent compte de la pratique professionnelle agréée dans l’exercice de leurs responsabilités. Il peut cependant y avoir des circonstances où il existe une raison opérationnelle légitime pour que les forces de police s’écartent de la pratique professionnelle agréée, à condition que cet écart soit clairement motivé. Il incomberait aux forces de police d’assumer la responsabilité de tout risque local et national associé au fait d’opérer en dehors des lignes directrices agréées au niveau national, et, si un incident ou une enquête a lieu en conséquence [par exemple par l’intermédiaire du Bureau indépendant sur la conduite policière (Independent Office of Police Conduct)], les forces de police sont tenues responsables de tout risque.», disponible à l’adresse suivante: https://www.app.college.police.uk/faq-page.

32

(33)  Guide relatif au traitement de données par les services répressifs (Guide to Law Enforcement Processing), disponible à l’adresse suivante: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/.

33

(34)  Voir l’affaire Bridges/the Chief Constable of South Wales Police [2019] EWHC 2341 (Admin) où, tout en notant la nature non statutaire des orientations du commissaire, la Haute Cour a déclaré que «[lorsqu’elle] évalue si un responsable du traitement des données s’est conformé ou non aux obligations de l’article 64 (obligation d’effectuer une analyse d’impact relative à la protection des données en ce qui concerne les traitements à haut risque), une juridiction tiendra compte des orientations publiées par le commissaire à l’information en matière d’analyses d’impact relatives à la protection des données».

34

(35)  Parmi ces derniers, l’annexe 7 de la loi DPA 2018 cite les procureurs généraux du Royaume-Uni (Directors of Public Prosecutors), le directeur des poursuites pénales en Irlande du Nord (Director of Public Prosecutors for Northern Ireland) ou la commission de l’information (Information Commission).

35

(36)  Article 43, paragraphe 3, de la loi DPA 2018.

36

(37)  Article 30, paragraphe 3, de la loi DPA 2018. Les services de renseignement [le service secret de renseignement (Secret Intelligence Service), le service de sécurité (Security Service) et le quartier général des communications (Government Communications Headquarters)] ne sont pas des autorités compétentes (voir l’article 30, paragraphe 2, de la loi DPA 2018) et la partie 3 de la loi DPA 2018 ne s’applique à aucune de leurs activités. Leurs activités relèvent du champ d’application de la partie 4 de la loi DPA 2018.

37

(38)  Article 31 de la loi DPA 2018.

38

(39)  Par conséquent, la loi DPA 2018 et, dès lors, la présente décision ne s’appliquent pas aux dépendances de la Couronne britannique ni aux autres territoires d’outre-mer du Royaume-Uni, tels que les Îles Falkland ou le territoire de Gibraltar.

39

(40)  Les données à caractère personnel relatives à une personne décédée ne relèvent pas du champ d’application de la loi DPA 2018.

40

(41)  Article 35, paragraphe 8, de la loi DPA 2018.

41

(42)  
  «Données biométriques»: les données à caractère personnel résultant d’un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d’une personne, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques.

42

(43)  
  «Données concernant la santé»: les données à caractère personnel relatives à la santé physique ou mentale d’une personne, y compris la fourniture de soins de santé, qui révèlent des informations sur l’état de santé de cette personne.

43

(44)  
  «Données génétiques»: les données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d’une personne qui donnent des informations uniques sur la physiologie ou l’état de santé de cet individu et qui résultent, notamment, d’une analyse d’un échantillon biologique de la personne en question.

44

(45)  Point 181 des notes explicatives de la loi DPA 2018, disponibles à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2018/12/pdfs/ukpgaen_20180012_en.pdf.

45

(46)  Par exemple, l’Agence nationale de lutte contre la criminalité tire ses pouvoirs de la loi de 2013 sur la criminalité et les tribunaux (Crime and Courts Act 2013), disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2013/22/contents. De la même manière, les pouvoirs de l’Agence sur les standards en matière de produits alimentaires (Food Standards Agency) sont prévus par la loi de 1999 sur les normes alimentaires (Food Standards Act 1999), disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/1999/28/contents. D’autres exemples sont la loi de 1985 sur la poursuite des délinquants (Prosecution of Offenders Act 1985), qui a créé le ministère public (Crown Prosecution Service) (voir https://www.legislation.gov.uk/ukpga/1985/23/contents); la loi de 2005 sur les commissaires chargés des recettes et des douanes (Commissioners for Revenue and Customs Act 2005) qui a institué l’administration fiscale et douanière du Royaume-Uni (Her Majesty’s Revenue and Customs) (voir: https://www.legislation.gov.uk/ukpga/2005/11/contents); la loi de 1995 sur les procédures pénales en Écosse [Criminal Procedure (Scotland) Act 1995], qui a institué la Commission écossaise de révision des affaires criminelles (Scottish Criminal Cases Review Commission) (voir: https://www.legislation.gov.uk/ukpga/1995/46/contents); la loi de 2002 sur la justice en Irlande du Nord [Justice (Northern Ireland) Act 2002], qui a mis en place le Parquet d’Irlande du Nord (Public Prosecution Service in Northern Ireland) (voir: https://www.legislation.gov.uk/ukpga/2002/26/contents), ainsi que la loi de 1987 sur la justice pénale (Criminal Justice Act 1987) qui a institué l’Office des fraudes graves (Serious Fraud Office) et lui a octroyé ses pouvoirs (voir: https://www.legislation.gov.uk/ukpga/1987/38/contents).

46

(47)  Par exemple, selon les informations communiquées par les autorités du Royaume-Uni, au sein du ministère public (Crown office and Procurator Fiscal Service), qui est chargé d’engager les poursuites en Écosse, le Lord Advocate (procureur général), qui est à la tête du système de poursuite écossais, tire de la common law son pouvoir d’enquêter sur les décès et de poursuivre les infractions, alors que certaines de ses fonctions sont établies par des textes législatifs. En outre, la Couronne et, par extension, divers gouvernements, départements et ministres tirent eux aussi leurs pouvoirs de la législation, de la common law et des prérogatives royales combinées (il s’agit de compétences de common law conférées à la Couronne mais exercées par les ministres).

47

(48)  Cadre explicatif du Royaume-Uni pour la discussion relative au niveau de protection adéquat, section F: Application des lois, page 8 (voir la note de bas de page no 9).

48

o

(49)  Les textes législatifs majeurs prévoyant le régime des principaux pouvoirs de police (arrestations, perquisitions, autorisations pour le maintien en détention, prises d’empreintes digitales, prélèvements intimes, interceptions sur mandat, accès aux données de communication) sont: i) pour l’Angleterre et le pays de Galles, la loi de 1984 sur la police et les preuves criminelles (Police and Criminal Evidence Act 1984 – la loi PACE), disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/1984/60/contents [telle que modifiée par la loi de 2012 sur la protection des libertés (Protection of Freedoms Act 2012 – la loi PoFA), disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2012/9/contents], et la loi de 2016 sur les pouvoirs d’enquête (Investigatory Powers Act 2016 – IPA), disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2016/25/contents), ii) pour l’Écosse, la loi de 2016 sur la justice pénale en Écosse [Criminal Justice (Scotland) Act 2016], disponible à l’adresse suivante: https://www.legislation.gov.uk/asp/2016/1/contents, et la loi de 1995 sur les procédures pénales en Écosse [Criminal Procedure (Scotland) Act 1995], disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/1995/46/contents) iii) pour l’Irlande du Nord, l’ordonnance de 1989 sur la police et les preuves criminelles en Irlande du Nord [Police and Criminal Evidence (Northern Ireland) Order 1989], disponible à l’adresse suivante: https://www.legislation.gov.uk/nisi/1989/1341/contents.

49

(50)  Les autorités du Royaume-Uni ont expliqué que la primauté du droit écrit est établie de longue date au Royaume-Uni, à savoir depuis l’arrêt dans l’affaire Entick/Carrington [1765] EWHC KB J98, qui reconnaissait l’existence de limites à l’exercice des pouvoirs par l’exécutif et arrêtait le principe selon lequel les compétences de common law et les pouvoirs résultant des prérogatives du monarque et du gouvernement sont subordonnés aux lois du pays.

50

(51)  Voir l’affaire Rice/Connolly [1966] 2 QB 414.

51

(52)  Voir l’affaire R(Catt)/Association of Chief police Officers [2015] AC 1065, dans laquelle, en ce qui concerne les pouvoirs de police pour obtenir et conserver les informations relatives à une personne (qui a commis une infraction), Lord Sumption a estimé que, au titre de la common law, la police a le pouvoir d’obtenir et de conserver des informations à des fins policières, c’est-à-dire, au sens large, pour le maintien de l’ordre public et pour la prévention et la détection des infractions. Ces pouvoirs n’autorisent pas les méthodes intrusives pour l’obtention d’informations, telles que la violation de propriété privée ou les actes (autres que l’arrestation en vertu des compétences de common law) qui constitueraient une agression. Dans cette affaire, le juge a estimé que les compétences de common law suffisaient largement pour autoriser l’obtention et la conservation du type d’informations publiques en question dans ces recours.

52

(53)  Loi de 2010 sur l’égalité, disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2010/15/contents.

53

(54)  Pour un exemple d’affaire dans laquelle les compétences de common law sont évaluées dans le cadre de la loi DPA 1998, voir la décision de la Haute Cour dans l’affaire Bridges/the Chief Constable of South Wales Police (voir la note de bas de page no 33). Voir également les affaires Vidal-Hall/Google Inc. [2015] EWCA Civ 311 et Richard/BBC [2018] EWHC 1837 (Ch).

54

o

(55)  Voir, par exemple, les orientations du Service de police d’Irlande du Nord (Police Service of Northern Ireland) sur les prescriptions de service en matière de gestion des registres, disponibles à l’adresse suivante: https://www.psni.police.uk/globalassets/advice--information/our-publications/policies-and-service-procedures/records-management-080819.pdf.

55

(56)  La Chambre des communes a publié un document d’information qui fixe les compétences essentielles prévues par la common law et par les textes législatifs de la police en Angleterre et au pays de Galles (voir: https://researchbriefings.files.uk/documents/CBP-8637/CBP-8637.pdf). Par exemple, d’après ce document, si les pouvoirs de maintien de la «paix de la Couronne» sont des compétences dérivées de la common law, de même que le «recours à la force», «les pouvoirs d’interpellation et de fouille» découlent toujours du droit écrit. En outre, le gouvernement écossais publie sur son site web des informations relatives aux pouvoirs d’arrestation et d’interpellation et de fouille de la police (voir: https://www.gov.scot/policies/police/police-powers).

56

(57)  Selon les informations communiquées par les autorités du Royaume-Uni, les pouvoirs résultant des prérogatives exercés par le gouvernement comprennent, par exemple, l’élaboration et la ratification de traités, la conduite de la diplomatie et le recours aux forces armées au Royaume-Uni pour soutenir la police dans le maintien de la paix.

57

(58)  À cet égard, voir l’évaluation du régime des transferts ultérieurs du Royaume-Uni aux considérants 74 à 87.

58

(59)  Voir l’affaire Bancoult/Secretary of State for Foreign and Commonwealth Affairs [2008] UKHL 61, dans laquelle les juridictions ont estimé que le pouvoir d’adopter des décrets en conseil, qui résulte des prérogatives, était également soumis aux motifs ordinaires du contrôle juridictionnel.

59

(60)  Voir l’affaire Attorney-General/De Keyser’s Royal Hotel Ltd [1920] AC 508, dans laquelle la juridiction a jugé que les pouvoirs résultant des prérogatives ne peuvent être exercés lorsque les pouvoirs découlant des textes législatifs les remplacent; l’affaire Laker Airways/Department of Trade [1977] QB 643, dans laquelle la juridiction a estimé que les pouvoirs résultant des prérogatives ne peuvent être utilisés dans le but d’entraver le droit écrit; l’affaire R/Secretary of State for the Home Department, ex parte Fire Brigades Union [1995] UKHL 3, dans laquelle la juridiction a jugé que les pouvoirs résultant des prérogatives ne peuvent être exercés lorsqu’ils rentrent en contradiction avec la législation promulguée, même si cette dernière n’est pas encore en vigueur; l’affaire R (Miller)/Secretary of State for Exiting the European Union [2017] UKSC 5, dans laquelle la juridiction a confirmé la capacité du droit écrit à adapter et abroger les pouvoirs résultant des prérogatives. Pour un aperçu général de la relation entre les prérogatives royales et les compétences résultant du droit écrit ou de la common law, voir le document d’information de la Chambre des communes, disponible à l’adresse suivante: https://researchbriefings.files.parliament.uk/documents/SN03861/SN03861.pdf.

60

(61)  Guide relatif au traitement de données par les services répressifs, «Sur quoi porte le premier principe?» («What is the first principle about?»), disponible à l’adresse suivante: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/principles/#ib2.

61

(62)  Cela découle du libellé de la disposition pertinente de la loi DPA 2018, selon laquelle le traitement de données à caractère personnel pour l’une des fins répressives n’est licite que si, et dans la mesure où, il est «fondé sur le droit» et: soit a) la personne concernée a donné son consentement au traitement à cette fin, soit b) le traitement est nécessaire à l’exécution d’une mission effectuée par une autorité compétente à cette fin.

62

(63)  Voir les considérants 35 et 37 de la directive (UE) 2016/680.

63

(64)  Les autorités du Royaume-Uni ont expliqué, à titre d’exemple, qu’un cas dans lequel le consentement pourrait être une base adéquate pour le traitement serait celui où la police obtient un échantillon ADN d’une personne disparue dans le but de le comparer à l’ADN d’un corps éventuellement trouvé. Dans de telles circonstances, il serait inadéquat que la police oblige la personne concernée à fournir un échantillon; au lieu de cela, la police demanderait le consentement de la personne, qui est donné librement et peut être retiré à tout moment. Si le consentement venait à être retiré, les données ne pourraient plus être traitées, sauf si une nouvelle base juridique était établie pour continuer à traiter l’échantillon (par exemple, la personne concernée est devenue suspecte). Un autre exemple pourrait se présenter si les forces de police enquêtent sur une infraction dont la victime (qui pourrait être la victime d’un vol avec violence, d’une infraction à caractère sexuel, de violence domestique, ou être un proche d’une victime d’homicide ou d’une autre victime d’une infraction) pourrait bénéficier d’un renvoi vers Victim Support (Aide aux victimes – une organisation caritative indépendante qui œuvre à soutenir les personnes touchées par la criminalité et les événements traumatiques). Dans de telles circonstances, la police ne partagera les données à caractère personnel telles que le nom et les coordonnées avec Victim Support que si elle a obtenu le consentement de la victime.

64

(65)  Il n’existe aucune définition distincte de «consentement» aux fins du traitement de données à caractère personnel visées à la partie 3 de la loi DPA 2018. L’ICO a fourni des orientations sur la notion de «consentement» dans la partie 3 de la loi DPA 2018, précisant qu’elle revêtait la même signification et devait être alignée sur la définition énoncée dans le RGPD, notamment que «le consentement doit être donné de façon libre, spécifique et éclairée et [qu’]il doit y avoir un véritable choix quant à l’accord au traitement des données» [guide relatif au traitement de données par les services répressifs, «Sur quoi porte le premier principe?» (voir la note de bas de page no 64) et le guide sur la protection des données, «Consentement» (Guide to Data Protection, «
  Consent
  »), disponible à l’adresse suivante: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/lawful-basis-for-processing/consent/).

65

o

Guide to Data Protection

Consent

(66)  Voir, par exemple, les informations publiées sur la page web de la police du comté Lincolnshire (voir: https://www.lincs.police.uk/resource-library/data-protection/law-enforcement-processing/) ou sur la page web de la police du comté West Yorkshire (voir: https://www.westyorkshire.police.uk/sites/default/files/2018-06/data_protection.pdf).

66

(67)  Article 35, paragraphe 8, de la loi DPA 2018.

67

(68)  Article 35, paragraphe 4, de la loi DPA 2018.

68

(69)  Article 35, paragraphe 5, de la loi DPA 2018.

69

(70)  Par souci d’exhaustivité, il convient de noter que, lorsque le traitement repose sur le consentement, ce dernier doit être donné de façon libre, spécifique et éclairée et il doit y avoir un véritable choix quant à l’accord au traitement des données. En outre, lorsqu’il procède au traitement sur la base du consentement de la personne concernée, le responsable du traitement est tenu de disposer d’un «document stratégique approprié». L’article 42 de la loi DPA 2018 énonce les exigences que ce document doit satisfaire. Il précise que ce document doit, au minimum, expliquer les procédures du responsable du traitement pour garantir le respect des principes de protection des données, ainsi que les politiques dudit responsable en matière de conservation et d’effacement des données à caractère personnel. Conformément à l’article 42 de la loi DPA 2018, cela signifie que le responsable du traitement doit élaborer un document a) qui explique les procédures dudit responsable pour garantir le respect des principes de protection des données; et b) qui explique les politiques dudit responsable en matière de conservation et d’effacement des données à caractère personnel traitées sur la base du consentement de la personne concernée ou qui précisent la durée probable de conservation desdites données. En particulier, le document stratégique exige que le responsable du traitement, dans le respect de sa mission d’enregistrement des activités de traitement, inclue toujours les éléments mentionnés aux points a) et b). L’ICO a publié un modèle de document [guide relatif au traitement de données par les services répressifs: «Conditions pour le traitement de données sensibles» («
  Conditions for sensitive processing
  »), disponible à l’adresse suivante: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/conditions-for-sensitive-processing] et peut prendre des mesures répressives si les responsables du traitement manquent à ces exigences. Les juridictions étudient également le document stratégique approprié lorsque d’éventuelles violations de la loi DPA 2018 sont examinées. Par exemple, dans la récente affaire R (Bridges)/Chief Constable of South Wales Police, les juridictions ont examiné le document stratégique approprié du responsable du traitement et jugé que ce dernier était certes approprié, mais qu’il aurait gagné à être plus de précis. En conséquence, la police du pays de Galles du Sud a évalué et mis à jour le document stratégique approprié conformément aux nouvelles orientations de l’ICO (voir la note de bas de page no 33). Par ailleurs, en vertu de l’article 42, paragraphe 3, de la loi DPA 2018, le responsable du traitement devrait régulièrement réviser le document stratégique approprié. Enfin, à titre de garantie supplémentaire, le responsable du traitement doit, en application de l’article 42, paragraphe 4, de la loi DPA 2018, tenir un registre consolidé des activités de traitement comprenant des éléments additionnels par rapport à l’obligation générale, qui incombe au responsable du traitement et qui est énoncée à l’article 61 de la loi DPA 2018, de tenir des registres relatifs aux activités de traitement.

70

Conditions for sensitive processing

o

(71)  Guide relatif au traitement de données par les services répressifs, «Conditions pour le traitement de données sensibles» («Conditions for sensitive processing») (voir la note de bas de page no 70).

71

o

(72)  Le traitement est effectué sans le consentement de la personne concernée lorsque: a) le consentement au traitement ne peut être donné par la personne concernée; b) on ne peut raisonnablement attendre du responsable du traitement qu’il obtienne le consentement de la personne concernée au traitement; c) le traitement doit être effectué sans le consentement de la personne concernée, étant donné que l’obtention du consentement de la personne concernée porterait atteinte à la protection visée au point 1) a).

72

(73)  Voir l’article 41, paragraphe 1, de la loi DPA 2018.

73

(74)  Voir l’article 41, paragraphe 2, de la loi DPA 2018.

74

(75)  L’article 205 de la loi DPA 2018 définit le terme «inexact» comme désignant des données à caractère personnel «incorrectes ou trompeuses». Les autorités du Royaume-Uni ont expliqué qu’il est fréquent que les données relatives à des enquêtes pénales soient incomplètes, mais qu’elles peuvent malgré tout être exactes.

75

(76)  Article 38, paragraphe 1, point b), de la loi DPA 2018.

76

(77)  Selon le cadre explicatif du Royaume-Uni pour la discussion relative au niveau de protection adéquat, «cela permet de garantir que les droits des personnes concernées, aussi bien que les besoins opérationnels des autorités répressives, sont reconnus. Le point ci-dessus a été soigneusement étudié aux différentes étapes de l’élaboration du projet de loi sur la protection des données, puisqu’il peut exister des motifs opérationnels spécifiques et limités pour lesquels les données ne peuvent être rectifiées. Cela sera très probablement le cas si les données à caractère personnel inexactes concernées doivent être conservées sous leur forme originale à des fins probatoires» (voir le cadre explicatif du Royaume-Uni pour la discussion relative à l’adéquation, section F: Application des lois, page 21 (voir la note de bas de page no 9).

77

o

(78)  Article 38, paragraphe 4, de la loi DPA 2018. En outre, au titre de l’article 38, paragraphe 5, de la loi DPA 2018, la qualité des données à caractère personnel doit être vérifiée avant leur transmission ou leur mise à disposition, les informations nécessaires qui permettent au destinataire d’évaluer le degré d’exactitude, d’exhaustivité et de fiabilité des données et leur niveau de mise à jour doivent être comprises dans toutes les transmissions de données à caractère personnel, et s’il s’avère, après leur transmission, que les données à caractère personnel sont incorrectes ou que la transmission était illicite, le destinataire doit en être informé sans délai.

78

(79)  Article 38, paragraphe 2, de la loi DPA 2018.

79

(80)  Article 38, paragraphe 3, de la loi DPA 2018.

80

(81)  Ce cadre garantit la cohérence de l’application de la conservation des données à caractère personnel acquises. La période d’examen dépend des infractions, qui se divisent en quatre groupes: 1) certaines questions relatives à la protection de la population; 2) autres infractions violentes et graves à caractère sexuel; 3) toutes les autres infractions; 4) divers. Pour plus de détails, voir les orientations de la pratique professionnelle agréée pour la gestion des informations policières (voir la note de bas de page no 26).

81

o

(82)  D’après les informations communiquées par les autorités du Royaume-Uni, d’autres organisations sont libres de suivre les principes du CBP relatif à la gestion des informations policières si elles le souhaitent, par exemple, l’administration fiscale et douanière du Royaume-Uni et l’Agence nationale de lutte contre la criminalité adoptent volontairement de nombreux principes du CBP relatif à la gestion des informations policières pour assurer la cohérence de l’application des lois. En général, la plupart des organisations fourniront à leur personnel des politiques et des orientations spécifiques relatives à la manière de traiter les données à caractère personnel dans le cadre de leur mission et adaptées à leur organisation propre. D’habitude, cela comprend également une formation obligatoire.

82

(83)  Le CBP relatif à la gestion des informations policières a été publié en vertu des pouvoirs prévus par la loi de 1996 sur la police, qui permet au collège des forces de police de publier des codes de bonne pratique relatifs au fonctionnement efficace de la police. Tout code de bonne pratique élaboré au titre de cette loi doit être approuvé par le secrétaire d’État et fait l’objet d’une consultation avec l’Agence nationale de lutte contre la criminalité avant sa présentation au Parlement. L’article 39A, paragraphe 7, de la loi de 1996 sur la police exige que la police tienne dûment compte des codes publiés au titre de la loi de 1996 sur la police.

83

(84)  Manuel du service de police d’Irlande du Nord sur la gestion des informations policières, chapitre 1-6.

84

(85)  Instructions permanentes relatives à la conservation des dossiers, disponibles à l’adresse suivante: https://www.scotland.police.uk/spa-media/nhobty5i/record-retention-sop.pdf.

85

(86)  Pour plus de détails sur la gestion des dossiers, voir les informations relatives aux Archives nationales d’Écosse (National Records of Scotland), disponibles à l’adresse suivante: https://www.nrscotland.gov.uk/record-keeping/records-management.

86

(87)  Les durées de conservation diffèrent selon qu’une personne a été condamnée ou non (articles 63I à 63KA de la loi PACE de 1984). Par exemple, dans le cas d’une personne adulte condamnée pour une infraction portant inscription dans les fichiers de police, ses empreintes digitales et son profil ADN peuvent être conservés indéfiniment (article 63I, paragraphe 2, de la loi PACE de 1984), alors que la conservation est limitée dans le temps lorsque la personne condamnée est âgée de moins de 18 ans, que l’infraction est une infraction «mineure» portant inscription dans les fichiers de police et que la personne n’a pas été condamnée auparavant (article 63K de la loi PACE de 1984). La durée de conservation dans le cas d’une personne arrêtée ou inculpée, mais non condamnée est limitée à trois ans (article 63F de la loi PACE de 1984). La prolongation de cette durée de conservation doit être approuvée par l’autorité judiciaire (article 63F, paragraphe 7, de la loi PACE de 1984). Dans le cas de personnes arrêtées ou inculpées pour des infractions mineures mais non condamnées, la conservation est impossible (articles 63D et 63H de la loi PACE de 1984).

87

(88)  L’article 20 de la loi PoFA de 2012 crée le poste de commissaire à la biométrie (Biometrics Commissioner). Les fonctions de ce commissaire sont, entre autres, de décider si la police peut ou non conserver les dossiers de profils ADN et les empreintes digitales des personnes qui ont été arrêtées mais ne sont pas accusées d’avoir commis une infraction désignée (article 63G de la loi PACE de 1984). En outre, le commissaire à la biométrie est investi d’une responsabilité générale pour la surveillance de la conservation et de l’utilisation de l’ADN et des empreintes digitales, ainsi que de la conservation pour des motifs de sécurité nationale, sous contrôle (article 20, paragraphe 2, de la loi PoFA de 2012). Le commissaire à la biométrie est nommé en vertu du code de gouvernance sur les nominations publiques (Governance Code for Public Appointments - GOV.UK, www.gov.uk) et son mandat prévoit qu’il ne peut être démis de ses fonctions par le ministère de l’intérieur que dans une série strictement définie de circonstances (incapacité d’accomplir ses fonctions pendant une période de trois mois, condamnation pour infraction pénale ou manquement aux obligations de son mandat, etc.)

88

(89)  Review of the Use and Retention of Custody Images (Évaluation de l’utilisation et de la conservation des photographies d’identité judiciaire), disponible à l’adresse suivante: https://www.gov.uk/government/publications/custody-images-review-of-their-use-and-retention.

89

(90)  Articles 18 et suivants de la loi de 1995 sur les procédures pénales en Écosse.

90

(91)  Les durées de conservation varient selon que la personne a été condamnée (article 18, paragraphe 3, de la loi de 1995 sur les procédures pénales en Écosse) ou qu’elle est mineure. Dans ce dernier cas, la durée de conservation est de trois ans à compter de la condamnation prononcée lors de l’audience des mineurs (children’s hearing) (article 18E, paragraphe 8, de la loi de 1995 sur les procédures pénales en Écosse). Les données relatives aux personnes arrêtées mais non condamnées ne peuvent être conservées (article 18, paragraphe 3, de la loi de 1995 sur les procédures pénales en Écosse), à l’exception de certains cas spécifiques et selon la gravité de l’infraction (article 18A de la loi de 1995 sur les procédures pénales en Écosse). La loi de 2020 sur le commissaire écossais à la biométrie (Scottish Biometrics Commissioner Act 2020) (voir: https://www.legislation.gov.uk/asp/2020/8/contents) créé le poste de commissaire écossais à la biométrie, dont la mission est d’élaborer et de réviser les codes de bonne pratique (approuvés par le Parlement d’Écosse) relatifs à l’acquisition, la conservation, l’utilisation et la destruction des données biométriques à des fins de justice pénale et à des fins policières (article 7 de la loi de 2020 sur le commissaire écossais à la biométrie).

91

(92)  Conformément aux notes explicatives de la loi DPA 2018 (voir la note de bas de page no 45), le responsable du traitement doit, en particulier: concevoir et organiser la sécurité en fonction de la nature des données à caractère personnel qu’il détient et du préjudice susceptible de résulter d’une violation de la sécurité; être transparent quant à la personne chargée, au sein de son organisation, de garantir la sécurité des informations; s’assurer qu’il dispose d’une sécurité physique et technique adéquate, soutenue par des politiques et des procédures solides et d’un personnel digne de confiance et bien formé; et être prêt à réagir promptement et efficacement à toute violation de la sécurité.

92

o

(93)  Point 221 des notes explicatives de la loi DPA 2018 (voir la note de bas de page no 45).

93

o

(94)  En application de l’article 67, paragraphe 4, de la loi DPA 2018, la notification décrit la nature de la violation de données à caractère personnel (y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés), communique le nom et les coordonnées d’un point de contact, décrit les conséquences probables de la violation de données à caractère personnel, ainsi que les mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel (y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives).

94

(95)  Article 67, paragraphe 2, de la loi DPA 2018.

95

(96)  Article 67, paragraphe 6, de la loi DPA 2018.

96

(97)  Article 67, paragraphe 9, de la loi DPA 2018.

97

(98)  En vertu de l’article 68, paragraphe 7, de la loi DPA 2018, le responsable du traitement peut limiter, en tout ou partie, la fourniture d’informations à la personne concernée dès lors et aussi longtemps que la restriction constitue, compte tenu des droits fondamentaux et des intérêts légitimes de la personne concernée, une mesure nécessaire et proportionnée pour a) éviter de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires; b) éviter de nuire à la prévention ou à la détection d’infractions pénales, aux enquêtes et aux poursuites en la matière ou à l’exécution de sanctions pénales; c) protéger la sécurité publique; d) protéger la sécurité nationale; e) protéger les droits et les libertés d’autrui.

98

(99)  Article 68, paragraphe 3, de la loi DPA 2018.

99

(100)  Article 68, paragraphe 5, de la loi DPA 2018.

100

(101)  Article 68, paragraphe 6, de la loi DPA 2018, sous réserve de la restriction prévue à l’article 68, paragraphe 8, de la loi DPA 2018.

101

(102)  Le guide relatif au traitement de données par les services répressifs fournit l’exemple suivant: «Vous disposez d’une déclaration générale de protection des données sur votre site web qui couvre les informations de base relatives à l’organisation, la finalité pour laquelle vous traitez des données à caractère personnel, les droits des personnes concernées et leur droit d’introduire une réclamation auprès du commissaire à l’information. Vous avez reçu des renseignements selon lesquels une personne était présente lorsque le crime a eu lieu. Lors de la première audition de cette personne, vous devez fournir les informations génériques, ainsi que les informations complémentaires afin de permettre l’exercice de ses droits. Vous pouvez limiter les informations relatives au traitement loyal que vous fournissez uniquement si ces informations nuiront à l’enquête que vous menez» [guide relatif au traitement de données par les services répressifs, «Quelles informations devrions-nous fournir à une personne?» («
  What information should we supply to an individual?»), disponible à l’adresse suivante: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-to-be-informed/#ib3].

102

What information should we supply to an individual

(103)  Le guide relatif au traitement de données par les services répressifs indique que les informations fournies relatives au traitement de données à caractère personnel doivent être concises, compréhensibles et aisément accessibles; écrites dans un langage clair et simple, adaptées aux besoins des personnes vulnérables, telles que les enfants; et gratuites [guide relatif au traitement de données par les services répressifs, «Comment devrions-nous fournir cette information?» («
  How should we provide this information?
  »), disponible à l’adresse suivante: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-to-be-informed/#ib1].

103

How should we provide this information?

(104)  Article 44, paragraphe 2, de la loi DPA 2018.

104

(105)  Pour une analyse détaillée des droits de la personne concernée, voir: Guide relatif au traitement de données par les services répressifs, «Droits individuels» («
  Individual rights
  »), disponible à l’adresse suivante: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/.

105

Individual rights

(106)  Article 45, paragraphe 1, de la loi DPA 2018.

106

(107)  Article 45, paragraphe 2, de la loi DPA 2018.

107

(108)  Article 46, paragraphe 4, de la loi DPA 2018.

108

(109)  Une personne concernée peut demander au responsable du traitement d’effacer les données à caractère personnel ou d’en limiter le traitement (mais les obligations du responsable d’effacer les données ou d’en limiter le traitement s’appliquent, qu’une telle demande soit faite ou non).

109

(110)  Article 46, paragraphe 4, et article 47, paragraphe 2, de la loi DPA 2018.

110

(111)  Article 47, paragraphe 3, de la loi DPA 2018.

111

(112)  Article 48, paragraphe 1, de la loi DPA 2018.

112

(113)  Article 48, paragraphe 7, de la loi DPA 2018.

113

(114)  Article 48, paragraphe 9, de la loi DPA 2018.

114

(115)  Article 68 de la loi DPA 2018.

115

(116)  Article 52, paragraphe 1, de la loi DPA 2018.

116

(117)  Article 52, paragraphe 3, de la loi DPA 2018.

117

(118)  L’article 54 de la loi DPA 2018 définit le «délai applicable» comme étant la période d’un mois, ou toute période plus longue pouvant être précisée dans les règlements, commençant en temps opportun (quand le responsable du traitement reçoit la demande en question; quand il reçoit les informations requises, le cas échéant, dans le cadre d’une demande en vertu de l’article 52, paragraphe 4 de la loi DPA; ou lorsque les frais exigés, le cas échéant, au titre de la demande en application de l’article 53 de la loi DPA sont versés).

118

(119)  Article 53, paragraphe 1, de la loi DPA 2018.

119

(120)  Selon les orientations de l’ICO, un responsable du traitement peut décider d’exiger le paiement de frais auprès de la personne concernée si la demande de cette dernière est manifestement infondée ou excessive, mais qu’il choisit tout de même d’y donner suite. Les frais doivent être raisonnables et pouvoir être justifiés. Guide relatif au traitement de données par les services répressifs «Demandes manifestement infondées et excessives» («
  Manifestly unfounded and excessive requests
  »), disponible à l’adresse suivante: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/manifestly-unfounded-and-excessive-requests/

120

Manifestly unfounded and excessive requests

(121)  Article 45, paragraphe 4, de la loi DPA 2018.

121

(122)  Article 44, paragraphe 4, de la loi DPA 2018.

122

(123)  Article 68, paragraphe 7, de la loi DPA 2018.

123

(124)  Article 48, paragraphe 3, de la loi DPA 2018.

124

(125)  Voir, par exemple, le Guide relatif au traitement de données par les services répressifs sur le droit d’accès, disponible à l’adresse suivante: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-of-access/#ib8.

125

(126)  Voir, par exemple, le manuel de protection des données à l’intention des professionnels de la protection des données des forces de police, publié par le conseil du chef de la police nationale (voir la note de bas de page no 27) ou les orientations fournies par l’Office des fraudes graves, disponibles à l’adresse suivante: https://www.sfo.gov.uk/publications/guidance-policy-and-protocols/sfo-operational-handbook/data-protection/.

126

o

(127)  Manuel de protection des données du conseil du chef de la police nationale, page 140 (voir la note de bas de page no 27).

127

o

(128)  Le manuel de protection des données du conseil du chef de la police nationale dispose que le fait d’«éviter de gêner une enquête, une recherche ou une procédure officielle ou judiciaire» est susceptible d’être pertinent pour les données à caractère personnel traitées dans le cadre d’enquêtes judiciaires médico-légales, de procédures juridictionnelles engagées en matière familiale, d’enquêtes disciplinaires internes non pénales, et d’enquêtes telles que l’enquête indépendante sur les abus sexuels commis contre des enfants (Independent Inquiry into Child Sexual Abuse); alors que le fait de «protéger les droits et libertés d’autrui» s’applique aux données à caractère personnel qui concerneraient également d’autres personnes ainsi que le requérant (manuel de protection des données du conseil du chef de la police nationale, page 140, voir la note de bas de page no 27).

128

o

(129)  Article 79 de la loi DPA 2018.

129

(130)  Orientations du gouvernement du Royaume-Uni sur les certificats de sécurité nationale, disponibles à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf.

130

(131)  Article 44, paragraphes 5 et 6, article 45, paragraphes 5 et 6, et article 48, paragraphe 4, de la loi DPA 2018.

131

(132)  Article 44, paragraphe 7, article 45, paragraphe 7, et article 48, paragraphe 6, de la loi DPA 2018.

132

(133)  Article 51 de la loi DPA 2018.

133

(134)  Article 167 de la loi DPA 2018.

134

(135)  En ce qui concerne le champ d’application du traitement automatisé, les notes explicatives de la loi DPA 2018 énoncent ce qui suit: «ces dispositions concernent la prise de décision entièrement automatisée et non le traitement automatisé. On parle de traitement automatisé (y compris de profilage) lorsqu’une opération effectuée sur les données ne requiert pas d’intervention humaine. Il y est régulièrement fait recours dans l’application des lois pour filtrer d’importants ensembles de données et obtenir des quantités pouvant être gérées par un opérateur humain. La prise de décision automatisée est une forme de traitement automatisé et exige que la décision finale soit prise sans influence humaine» (point 204 des notes explicatives de la loi DPA, voir la note de bas de page no 45).

135

o

(136)  En plus des protections prévues dans la loi DPA, d’autres restrictions législatives dans le cadre juridique du Royaume-Uni s’appliquent aux autorités répressives et empêcheraient tout traitement automatisé (y compris le profilage) qui entraînerait une discrimination illégale. La loi de 1998 sur les droits de l’homme inscrit les droits énoncés dans la CEDH dans le droit du Royaume-Uni, et notamment le droit prévu à l’article 14 de la convention, qui interdit toute discrimination. De la même façon, la loi de 2010 sur l’égalité interdit toute discrimination contre des personnes présentant des caractéristiques protégées (en matière de sexe, de race, de handicap, etc.)

136

(137)  Article 49, paragraphe 2, de la loi DPA 2018.

137

(138)  Article 50, paragraphe 4, de la loi DPA 2018.

138

(139)  Ce nouveau cadre est devenu applicable à la fin de la période de transition, y compris le pouvoir du secrétaire d’État d’adopter des règlements d’adéquation. Cependant, les DPPEC (en particulier l’annexe 21, points 10 à 12, que les DPPEC insèrent à la loi DPA 2018) prévoient que certains transferts de données à caractère personnel pendant et après la période de transition soient traités comme s’ils reposaient sur des règlements d’adéquation. Ces transferts comprennent les transferts vers des pays tiers qui font l’objet d’une décision d’adéquation de l’Union européenne à la fin de la période de transition et vers des États membres de l’Union européenne, les États de l’AELE et le territoire de Gibraltar du fait de leur application de la directive en matière de protection des données dans le domaine répressif au traitement des données à des fins répressives [les États de l’AELE appliquent la directive (UE) 2016/680 en raison de leurs obligations au titre de l’acquis de Schengen]. Cela signifie qu’à la fin de la période de transition, les transferts vers ces pays peuvent se poursuivre de la même manière qu’avant la sortie de l’Union. À l’issue de la période de transition, le secrétaire d’État doit effectuer un examen des constats d’adéquation dans un délai de quatre ans.

139

(140)  Articles 73 et 77 de la loi DPA 2018.

140

(141)  Les autorités du Royaume-Uni ont expliqué que la description d’un pays ou d’une organisation internationale fait référence à une situation dans laquelle il serait nécessaire de procéder à une détermination spécifique ou partielle du caractère adéquat avec des limitations ciblées (par exemple, un règlement d’adéquation relatif à un type précis de transferts de données uniquement).

141

(142)  Voir l’article 74A, paragraphe 4, de la loi DPA 2018, qui prévoit que, pour évaluer le caractère adéquat du niveau de protection des données, «le secrétaire d’État doit, en particulier, tenir compte a) de l’état de droit, du respect des droits de l’homme et des libertés fondamentales, de la législation applicable, tant générale que sectorielle, y compris en ce qui concerne la sécurité publique, la défense, la sécurité nationale, le droit pénal et l’accès des autorités publiques aux données à caractère personnel, ainsi que de la mise en œuvre de cette législation, des règles en matière de protection des données, des règles professionnelles et des mesures de sécurité, y compris les règles régissant le transfert ultérieur de données à caractère personnel vers un autre pays tiers ou une autre organisation internationale, qui sont respectées dans ce pays ou par cette organisation internationale, de la jurisprudence, ainsi que des droits effectifs et opposables des personnes concernées et des possibilités de recours administratif et juridictionnel effectif pour les personnes concernées dont les données à caractère personnel sont transférées; b) de l’existence et du fonctionnement effectif d’une ou de plusieurs autorités de contrôle indépendantes qui sont chargées dans le pays tiers ou au sein de l’organisation internationale d’assurer et de faire respecter le régime juridique garantissant la protection des données, en disposant notamment des pouvoirs d’exécution adéquats, d’assister et de conseiller les personnes concernées dans l’exercice de leurs droits et dans leur coopération avec le commissaire; et c) des engagements internationaux pris par le pays tiers concerné ou par l’organisation internationale concernée, ou d’autres obligations découlant de conventions ou d’instruments juridiquement contraignants, ou encore découlant de leur participation à des systèmes multilatéraux ou régionaux, notamment en matière de protection des données à caractère personnel».

142

(143)  Voir le protocole d’accord entre le entre le secrétaire d’État au département du numérique, de la culture, des médias et du sport (Secretary of State for the Department for Digital, Culture, Media and Sport – DCMS) et le bureau du commissaire à l’information sur le rôle de l’ICO dans les nouvelles évaluations d’adéquation effectuées par le Royaume-Uni, disponible à l’adresse suivante: https://www.gov.uk/government/publications/memorandum-of-understanding-mou-on-the-role-of-the-ico-in-relation-to-new-uk-adequacy-assessments.

143

(144)  Au cours de ce délai de 40 jours, les deux Chambres du Parlement ont la possibilité, si elles le souhaitent, de voter contre les règlements; si ce vote est adopté, les règlements cesseront immédiatement d’avoir des effets juridiques.

144

(145)  Article 75 de la loi DPA 2018.

145

(146)  Selon l’article 75, paragraphe 3, de la loi DPA 2018, lorsqu’un transfert de données a lieu sur la base de garanties appropriées: a) ce transfert doit être documenté, b) la documentation est mise, sur demande, à la disposition du commissaire et c) la documentation doit inclure, notamment i) la date et l’heure du transfert, ii) le nom du destinataire et toute autre information pertinente le concernant, iii) la justification du transfert et iv) une description des données à caractère personnel transférées.

146

(147)  Guide relatif au traitement de données par les services répressifs, «Existe-t-il des circonstances spéciales?» («
  Are there any special circumstances?
  »), disponible à l’adresse suivante: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/international-transfers/#ib3).

147

Are there any special circumstances?

(148)  Article 76 de la loi DPA 2018.

148

(149)  Article 76 de la loi DPA 2018.

149

(150)  Article 76, paragraphe 3, de la loi DPA 2018.

150

(151)  Article 73, paragraphe 5, de la loi DPA 2018.

151

(152)  L’applicabilité de ce nouveau cadre doit être lue à la lumière de l’article 782 de l’accord de commerce et de coopération entre l’Union européenne et la Communauté européenne de l’énergie atomique, d’une part, et le Royaume-Uni de Grande-Bretagne et d’Irlande du Nord, d’autre part, (JO L 444 du 31.12.2020, p. 14) («accord de commerce et de coopération UE-Royaume-Uni»), disponible à l’adresse suivante: https://eur-lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX:22020A1231(01)&from=FR.

152

(153)  Article 62 de la loi DPA 2018.

153

(154)  Article 69 de la loi DPA 2018.

154

(155)  Article 36, paragraphe 2, point b), de la directive (UE) 2016/680.

155

(156)  Article 116 de la loi DPA 2018.

156

(157)  Rapport annuel et états financiers du commissaire à l’information pour la période 2019-2020, disponibles à l’adresse suivante: https://ico.org.uk/media/about-the-ico/documents/2618021/annual-report-2019-20-v83-certified.pdf.

157

(158)  Un accord de gestion régit la relation entre les deux parties. Les principales responsabilités du DCMS, en tant que département parrain, sont notamment les suivantes: garantir que l’ICO bénéficie d’un financement et de ressources suffisants; représenter les intérêts de l’ICO auprès du Parlement et des autres départements du Gouvernement; garantir la mise en place d’un cadre national robuste de protection des données; et fournir des orientations et un soutien à l’ICO sur les questions organisationnelles, telles les questions immobilières, les baux et les marchés publics (accord de gestion 2018-2021, disponible à l’adresse suivante: https://ico.org.uk/media/about-the-ico/documents/2259800/management-agreement-2018-2021.pdf).

158

(159)  Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

159

(160)  Code de gouvernance pour les nominations publiques, disponible à l’adresse suivante: https://www.gov.uk/government/publications/governance-code-for-public-appointments.

160

(161)  Deuxième rapport de la session 2015-2016 de la commission de la culture, des médias et du sport de la Chambre des communes, disponible à l’adresse suivante: https://publications.parliament.uk/pa/cm201516/cmselect/cmcumeds/990/990.pdf.

161

(162)  Une «requête» («
  adress
  ») est une proposition déposée devant le Parlement dans le but d’informer le monarque des opinions du Parlement sur une question en particulier.

162

adress

(163)  Annexe 12, point 3, de la loi DPA 2018.

163

(164)  Article 137 de la loi DPA 2018.

164

(165)  Les articles 137 et 138 de la DPA 2018 contiennent un certain nombre de garanties afin de faire en sorte que le montant des redevances soit fixé à un niveau approprié. En particulier, l’article 137, paragraphe 4, de la loi DPA 2018, dresse une liste des éléments que le secrétaire d’État doit prendre en considération lorsqu’il adopte des règlements précisant les montants dont diverses organisations doivent s’acquitter. L’article 138, paragraphe 1, et l’article 182 de la loi DPA 2018 comprennent en outre une prescription légale exigeant du secrétaire d’État qu’il consulte le commissaire à l’information et d’autres représentants de personnes susceptibles d’être concernées par les règlements, avant que ces derniers ne soient adoptés, de manière que leurs avis puissent être pris en considération. Par ailleurs, conformément à l’article 138, paragraphe 2, de la loi DPA 2018, le commissaire à l’information est tenu de maintenir les règlements relatifs aux frais à l’étude et peut soumettre des propositions de modifications desdits règlements au secrétaire d’État. Enfin, les règlements sont soumis à une procédure de ratification et ne peuvent être adoptés sans avoir été approuvés au préalable par chaque Chambre du Parlement par voie de résolution, sauf lorsque lesdits règlements sont simplement destinés à tenir compte d’une augmentation de l’indice des prix de détail (auquel cas ils seront soumis à une procédure d’approbation tacite).

165

(166)  L’accord de gestion précise que «le secrétaire d’État peut effectuer des paiements en faveur du commissaire à l’information à partir des fonds versés par le Parlement au titre de l’annexe 12, point 9, de la DPA 2018. Après consultation du commissaire à l’information, le DCMS versera à ce dernier les montants correspondants (la subvention) pour les frais administratifs de l’ICO et l’exercice de ses fonctions ayant trait à un certain nombre de missions spécifiques, notamment la liberté de l’information» (accord de gestion 2018-2021, point 1.12, voir la note de bas de page no 158).

166

o

(167)  Article 134 de la loi DPA 2018.

167

(168)  Annexe 13, point 2, de la loi DPA 2018.

168

(169)  Article 142 de la loi DPA 2018 (sous réserve des limitations de l’article 143 de la loi DPA 2018).

169

(170)  Article 146 de la loi DPA 2018 (sous réserve des limitations de l’article 147 de la loi DPA 2018).

170

(171)  Articles 149 à 151 de la loi DPA 2018 (sous réserve des limitations de l’article 152 de la loi DPA 2018).

171

(172)  Article 155 de la loi DPA 2018 (sous réserve des limitations de l’article 156 de la loi DPA 2018).

172

(173)  Politique d’action réglementaire, disponible à l’adresse suivante: https://ico.org.uk/media/about-the-ico/documents/2259467/regulatory-action-policy.pdf.

173

(174)  L’ICO peut notamment émettre un avis de sanction dans le cas d’un non-respect visé à l’article 149, paragraphe 2, 3, 4 ou 5, de la loi DPA 2018.

174

(175)  Article 157 de la loi DPA 2018.

175

(176)  Rapport annuel et états financiers du commissaire à l’information pour la période 2018-2019, disponibles à l’adresse suivante: https://ico.org.uk/media/about-the-ico/documents/2615262/annual-report-201819.pdf.

176

(177)  Rapport annuel 2019-2020 du commissaire à l’information (voir la note de bas de page no 157).

177

o

(178)  Une base de données recensant les renseignements relatifs aux membres de gang présumés et aux victimes de crimes liés aux gangs.

178

(179)  Article 170 de la loi DPA 2018.

179

(180)  Article 171 de la loi DPA 2018.

180

(181)  Article 119 de la loi DPA 2018.

181

(182)  Articles 144 et 148 de la loi DPA 2018.

182

(183)  Comme énoncé dans l’accord de gestion, le rapport annuel doit: i) couvrir toute entreprise, filiale ou coentreprise sous le contrôle de l’ICO; ii) être conforme au manuel d’information financière du Trésor (Treasury’s Financial Reporting Manual – FReM); iii) contenir une déclaration de gouvernance, énonçant les manières dont le comptable a géré et contrôlé les ressources utilisées au sein de l’organisation au cours de l’année, démontrant l’adéquation de la gestion des risques par l’organisation pour la réalisation de ses buts et objectifs; et iv) exposer les activités et performances principales au cours de l’exercice financier précédent et présenter sous forme résumée la planification prévisionnelle (accord de gestion 2018-2021, point 3.26, voir la note de bas de page no 158).

183

o

(184)  Article 117 de la loi DPA 2018.

184

(185)  Le panel est chargé de fournir des orientations et de dispenser des formations aux juges. Il traite également les réclamations des personnes concernées en ce qui concerne le traitement de données à caractère personnel par les juridictions, les tribunaux et les personnes dans l’exercice de leur fonction juridictionnelle. Le tribunal spécialisé œuvre à fournir les moyens grâce auxquels toute réclamation peut être résolue. Si l’auteur d’une réclamation était insatisfait d’une décision du tribunal spécialisé, et s’il a apporté des éléments de preuve supplémentaires, ledit tribunal pourrait réexaminer sa décision. Alors que le tribunal spécialisé lui-même n’impose aucune sanction financière, s’il estime qu’il y a violation suffisamment grave de la loi DPA 2018, il peut transmettre la réclamation au Bureau d’enquête sur la conduite judiciaire (Judicial Conduct Investigation Office – JCIO), qui l’examinera. Si la réclamation est acceptée, il incombe au Lord chancelier (Lord Chancellor) et au président de la Haute Cour (Lord Chief Justice) (ou tout juge de haut rang appelé à agir en son nom) de décider des mesures à prendre à l’encontre du titulaire de la fonction. Cela peut comprendre, par ordre de gravité: la dispense de conseils formels, l’émission d’avertissements et de rappels à l’ordre formels, et, finalement, la destitution de la fonction. Si une personne n’est pas satisfaite de la manière dont sa réclamation a été examinée par le JCIO, il lui est possible de déposer une plainte auprès du médiateur pour les nominations et la conduite judiciaires (Judicial Appointments and Conduct Ombudsman) (voir: https://www.gov.uk/government/organisations/judicial-appointments-and-conduct-ombudsman). Le médiateur est habilité à demander au JCIO de réexaminer la réclamation et à proposer que l’auteur de la réclamation soit indemnisé s’il estime que celui-ci a subi un préjudice résultant d’une mauvaise administration.

185

(186)  La déclaration de protection des données du président de la Haute Cour et du Premier président des tribunaux est disponible à l’adresse suivante: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

186

(187)  La déclaration de protection des données publiée par le président de la Haute Cour d’Irlande du Nord est disponible à l’adresse suivante: https://judiciaryni.uk/data-privacy.

187

(188)  La déclaration de protection des données pour les juridictions écossaises est disponible à l’adresse suivante: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

188

(189)  Le juge chargé de la surveillance des données fournit des orientations aux juges et enquête sur les violations et/ou les réclamations relatives au traitement de données à caractère personnel par les juridictions ou les personnes agissant dans l’exercice de leur fonction juridictionnelle.

189

(190)  Lorsque la réclamation ou la violation est considérée comme grave, celle-ci est soumise au responsable des plaintes judiciaires afin de faire l’objet d’une enquête plus poussée, conformément au code de bonnes pratiques relatif aux plaintes du président de la Haute Cour d’Irlande du Nord. Une telle réclamation pourrait finalement donner lieu à: aucune mesure ultérieure, des conseils, une formation ou un mentorat, un avertissement informel ou formel, un avertissement final, la limitation de la pratique ou la saisine d’un tribunal prévu par la loi. Le code de bonne pratique relatif aux réclamations du président de la Haute Cour d’Irlande du Nord est disponible à l’adresse suivante: https://judiciaryni.uk/sites/judiciary/files/media-files/14G.%20CODE%20OF%20PRACTICE%20Judicial%20~%2028%20Feb%2013%20%28Final%29%20updated%20with%20new%20comp..__1.pdf.

190

(191)  Toute réclamation qui s’avère fondée est examinée par le juge chargé de la surveillance des données et est soumise au plus haut magistrat qui a le pouvoir d’émettre un avis, un avertissement formel ou un rappel à l’ordre s’il le juge nécessaire (des règles équivalentes existent pour les membres des tribunaux et sont disponibles à l’adresse suivante: https://www.judiciary.scot/docs/librariesprovider3/judiciarydocuments/complaints/complaintsaboutthejudiciaryscotlandrules2017_1d392ab6e14f6425aa0c7f48d062f5cc5.pdf?sfvrsn=5d3eb9a1_2).

191

(192)  Article 165 de la loi DPA 2018.

192

(193)  L’article 166 de la loi DPA 2018 fait spécifiquement référence aux situations suivantes: a) le commissaire ne prend pas les mesures appropriées pour donner suite à la réclamation, b) le commissaire ne fournit pas à l’auteur de la réclamation les informations relatives à l’état d’avancement de la réclamation, ou à l’issue de celle-ci, avant la fin du délai de trois mois à compter de la réception de la réclamation par le commissaire ou c) si son examen de la réclamation n’est pas mené à terme au cours de ce délai, le commissaire ne fournit pas ces informations à l’auteur de la réclamation dans un délai supplémentaire de trois mois.

193

(194)  Le tribunal de première instance est la juridiction compétente pour examiner les recours formés à l’encontre de décisions prises par les organismes réglementaires du gouvernement. Dans le cas d’une décision prise par le commissaire à l’information, la chambre compétente est la division de la réglementation générale (General Regulatory Chamber), qui est compétente pour l’ensemble du Royaume-Uni.

194

(195)  Article 166 de la loi DPA 2018.

195

(196)  Articles 161 et 162 de la loi DPA 2018.

196

(197)  Voir l’affaire Brown/Commissioner of the Met de 2016, dans laquelle la juridiction a accordé réparation à la plaignante dans le contexte de la protection des données dans le cadre d’une action intentée contre la police. La juridiction a statué en faveur de la plaignante, faisant droit à ses allégations de violation des obligations découlant de la loi DPA 1998, de violation de la loi de 1998 sur les droits de l’homme (et des droits liés prévus à l’article 8 de la CEDH) et d’usage abusif de données relatives à la vie privée (la partie défenderesse a finalement admis qu’elle enfreignait la loi DPA et la CEDH, de sorte que le jugement se concentrait sur la mesure corrective adéquate). En raison de ces violations, la juridiction a accordé une indemnisation pécuniaire à la plaignante.

197

(198)  Article 8, paragraphe 1, de la loi de 1998 sur les droits de l’homme.

198

(199)  Article 36, paragraphe 3, de la loi DPA 2018.

199

(200)  Article 56 de la loi de 2017 sur l’économie numérique, disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2017/30/contents.

200

(201)  Article 48 de la loi de 2017 sur l’économie numérique.

201

(202)  Article 7 de la loi de 2013 sur la criminalité et les juridictions, disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2013/22/contents.

202

(203)  Article 68 de la loi de 2007 sur les infractions graves, disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2007/27/contents.

203

(204)  La pratique professionnelle agréée pour le partage d’informations est disponible à l’adresse suivante: https://www.app.college.police.uk/app-content/information-management/sharing-police-information.

204

(205)  Voir, par exemple, l’affaire M/the Chief Constable of Sussex Police [2019] EWHC 975 (Admin), dans laquelle la Haute Cour a été saisie pour examiner le partage de données entre la police et un partenariat pour la réduction de la criminalité d’entreprise (Business Crime Reduction Partnership – BCRP), une organisation habilitée à gérer un système d’avis d’exclusion, interdisant à certaines personnes d’entrer dans les locaux commerciaux de ses membres. La Haute Cour a examiné le partage de données, qui était effectué sur la base d’un accord ayant pour finalité la protection du public et la prévention du crime, et a finalement conclu que la majorité des aspects du partage de données étaient licites, sauf en ce qui concerne certaines informations sensibles que la police et le BRCP partageaient entre eux. Un autre exemple est l’affaire Cooper/NCA [2019] EWCA Civ 16, dans laquelle la Cour d’appel a confirmé le partage de données entre la police et l’Agence de lutte contre la grande criminalité organisée, une autorité répressive qui fait actuellement partie de l’Agence nationale de lutte contre la criminalité.

205

(206)  Article 36, paragraphe 4, de la loi DPA 2018.

206

(207)  Décision d’exécution de la Commission constatant, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, le caractère adéquat du niveau de protection des données à caractère personnel assuré par le Royaume-Uni C(2021) 4800.

207

(208)  Article 19 de la loi de 2008 relative à la lutte contre le terrorisme, disponible à l’adresse suivante: https://www.legislation.gov.uk/ukpga/2008/28/section/19.

208

(209)  L’article 2, paragraphe 2, de la loi 1994 sur les services de renseignement (voir: https://www.legislation.gov.uk/ukpga/1994/13/contents) dispose que «[l]e chef du service de renseignement est responsable de l’efficacité de ce service et il lui incombe de veiller à ce que a) des dispositions soient en place pour s’assurer que le service de renseignement n’obtient aucune information, sauf si cela lui est nécessaire pour s’acquitter correctement de ses fonctions, et qu’il ne divulgue aucune information, sauf si cela est nécessaire i) à cette finalité; ii) aux intérêts de sécurité nationale; iii) aux fins de prévention ou de détection des infractions graves; ou iv) aux fins de toute procédure pénale; et que b) le service de renseignement ne prenne aucune mesure en vue de servir les intérêts d’un parti politique du Royaume-Uni», alors que l’article 2, paragraphe 2, de la loi de 1989 sur les services de sécurité (voir: https://www.legislation.gov.uk/ukpga/1989/5/contents) dispose que «[l]e directeur général est responsable de l’efficacité de ce service et il lui incombe de veiller à ce que a) des dispositions soient en place pour s’assurer que le service n’obtient aucune information, sauf si cela lui est nécessaire pour s’acquitter correctement de ses fonctions, et qu’il ne divulgue aucune information, sauf si cela est nécessaire à cette finalité ou aux fins de prévention ou de détection des infractions graves ou aux fins de toute procédure pénale; et que b) le service ne prenne aucune mesure en vue de servir les intérêts d’un parti politique; et que c) des dispositions convenues avec le directeur général de l’Agence nationale de lutte contre la criminalité soient en place afin de coordonner les activités du service en application de l’article 1, paragraphe 4, de la présente loi avec les activités des forces de police, de l’Agence nationale de lutte contre la criminalité et les autres autorités répressives».

209

(210)  Les garanties et les limitations des pouvoirs des services de renseignement sont également réglementées par la loi de 2016 sur les pouvoirs d’enquête qui, conjointement avec la loi de 2000 portant réglementation des pouvoirs d’enquête (Regulation of Investigatory Powers Act 2000) pour l’Angleterre, le pays de Galles et l’Irlande du Nord et avec la loi de 2000 portant réglementation des pouvoirs d’enquête en Écosse [Regulation of Investigatory Powers (Scotland) Act 2000] pour l’Écosse, fixe la base juridique pour l’exercice de ces pouvoirs. Ces pouvoirs ne sont toutefois pas pertinents dans le contexte du «partage ultérieur», puisqu’ils couvrent la collecte directe de données à caractère personnel par les agences de renseignement. Pour une évaluation des pouvoirs accordés aux agences de renseignement au titre de la loi sur les pouvoirs d’enquête, voir la décision d’exécution de la Commission constatant, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, le caractère adéquat du niveau de protection des données à caractère personnel assuré par le Royaume-Uni C(2021) 4800.

210

(211)  En application de l’article 86, paragraphe 6, de la loi DPA 2018, afin d’apprécier la loyauté et la transparence du traitement, il convient de prendre en considération la méthode par laquelle les données ont été obtenues. En ce sens, l’exigence de loyauté et de transparence est satisfaite si les données sont obtenues auprès d’une personne légalement autorisée à les fournir ou tenue de le faire.

211

(212)  Conformément à l’article 87 de la DPA 2018, les finalités du traitement doivent être déterminées, explicites et légitimes. Les données ne doivent pas être traitées d’une manière incompatible avec les finalités pour lesquelles elles ont été collectées. Conformément à l’article 87, paragraphe 3, le traitement de données à caractère personnel ultérieur compatible n’est permis que si le responsable du traitement est autorisé par la loi à traiter les données pour cette finalité et si le traitement est nécessaire et proportionné à cette finalité. Le traitement doit être considéré comme compatible lorsqu’il s’agit d’un traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, soumis à des garanties appropriées (article 87, paragraphe 4, de la loi DPA 2018).

212

(213)  Les données à caractère personnel doivent être adéquates, pertinentes et limitées (article 88 de la DPA 2018).

213

(214)  Les données à caractère personnel doivent être exactes et à jour (article 89 de la DPA 2018).

214

(215)  Les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire (article 90 de la DPA 2018).

215

(216)  Le sixième principe en matière de protection des données est que les données à caractère personnel doivent être traitées d’une manière qui consiste notamment à prendre des mesures de sécurité appropriées au regard des risques que présente le traitement de ces données. Ces risques comprennent (mais ne s’y limitent pas) l’accès accidentel ou non autorisé aux données à caractère personnel, ou leur destruction, perte, utilisation, modification ou divulgation (article 91 de la loi DPA 2018). L’article 107 exige également que 1) chaque responsable du traitement mette en œuvre les mesures de sécurité appropriées aux risques découlant du traitement de données à caractère personnel et que 2) dans le cas d’un traitement automatisé, chaque responsable du traitement et sous-traitant mettent en œuvre des mesures de prévention ou d’atténuation reposant sur une évaluation des risques.

216

(217)  Article 86, paragraphe 2, point b), et annexe 10 de la loi DPA 2018.

217

(218)  Partie 4, chapitre 3, de la DPA 2018, notamment les droits: d’accès, de rectification et d’effacement, de s’opposer au traitement et de ne pas faire l’objet d’une décision automatisée, d’intervenir dans la prise de décision automatisée et d’être informé de la décision. Par ailleurs, le responsable du traitement est tenu de fournir à la personne concernée les informations relatives au traitement de ses données à caractère personnel.

218

(219)  Article 103 de la loi DPA 2018.

219

(220)  Article 109 de la loi DPA 2018. Les transferts de données à caractère personnel vers des organisations internationales ou des pays en dehors du Royaume-Uni sont possibles si ces transferts constituent une mesure nécessaire et proportionnée prise aux fins des fonctions statutaires du responsable du traitement, ou à d’autres fins prévues par des articles particuliers de la loi de 1989 sur les services de sécurité et de la loi de 1994 sur les services de renseignement (Intelligence Services Act 1994).

220

(221)  Voir l’affaire Baker/Secretary of State for the Home Department [2001] UKIT NSA2 («Baker/Secretary of State»).

221

(222)  Cadre explicatif du Royaume-Uni pour la discussion relative à l’adéquation, section H: Cadre relatif à la protection de données et aux pouvoirs d’enquêtes dans le contexte de sécurité nationale (National Security Data Protection and Investigatory Powers Framework), pages 15-16, disponible à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872239/H_-_National_Security.pdf. Voir également l’affaire Baker/Secretary of State (voir la note de bas de page ci-dessus 220), dans laquelle le tribunal a invalidé un certificat de sécurité nationale délivré par le ministre de l’intérieur et confirmant l’application de la dérogation de sécurité nationale, considérant qu’aucune raison ne justifiait une exception générale à l’obligation de donner suite aux demandes d’accès et que permettre cette exception en toutes circonstances sans une analyse au cas par cas excédait ce qui était nécessaire et proportionné à la sauvegarde de la sécurité nationale.

222

(223)  Voir le protocole d’accord entre l’ICO et l’UKIC (UK Intelligence Community – communauté de renseignement du Royaume-Uni), selon lequel «[l]orsque l’ICO recevra une réclamation d’une personne concernée, il s’assurera que la question aura été traitée comme il se doit, et, le cas échéant, que la dérogation aura bien été invoquée de manière appropriée» (point 16 du protocole d’accord conclu entre le bureau du commissaire à l’information et la communauté de renseignement du Royaume-Uni, disponible à l’adresse suivante: https://ico.org.uk/media/about-the-ico/mou/2617438/uk-intelligence-community-ico-mou.pdf).

223

(224)  La loi DPA 2018 a révoqué la possibilité d’émettre un certificat en vertu de l’article 28, paragraphe 2, de la loi de 1998 sur la protection des données. Toutefois, la possibilité d’émettre d’«anciens certificats» persiste dans la mesure où il existe une possibilité de recours historique en vertu de la loi de 1998 (voir le paragraphe 17 de la partie 5 de l’annexe 20 de la loi DPA 2018). Toutefois, cette possibilité semble très rare et ne s’applique que dans des cas limités, notamment lorsqu’une personne concernée introduit un recours contre l’application de l’exemption concernant la sécurité nationale pour un traitement effectué par une autorité publique sous l’empire de la loi de 1998. Il convient de noter que dans ces cas, l’article 28 de la loi DPA 1998 s’applique intégralement, ce qui inclut la possibilité pour la personne concernée d’introduire un recours contre le certificat. À l’heure actuelle, aucun certificat de sécurité nationale n’a été émis en vertu de la loi DPA 1998.

224

(225)  Orientations du gouvernement britannique sur les certificats de sécurité nationale au titre de la loi de 2018 sur la protection des données, disponibles à l’adresse suivante: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf

225

(226)  Conformément à l’article 130 de la loi DPA 2018, l’ICO peut décider de ne pas publier tout ou partie du texte du certificat dans le cas où cette publication serait contraire à l’intérêt de la sécurité nationale ou à l’intérêt public ou serait suceptible de compromettre la sécurité d’une personne. Dans de tels cas, l’ICO publie toutefois le fait que le certificat a été émis.

226

(227)  Point 15 des orientations du gouvernement du Royaume-Uni sur les certificats de sécurité nationale, voir la note de bas de page no 225.

227

o

(228)  Point 5 des orientations du gouvernement du Royaume-Uni sur les certificats de sécurité nationale, voir la note de bas de page no 225.

228

o

(229)  En vertu de l’article 102 de la DPA 2018, le responsable du traitement doit être en mesure de démontrer qu’il s’est conformé à la DPA 2018. Cela implique que le service de renseignement serait tenu de prouver à l’ICO que, lorsqu’il invoque la dérogation, il a pris en considération les circonstances spécifiques de la situation. L’ICO publie également un registre des certificats de sécurité nationale, qui est disponible à l’adresse suivante: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/.

229

(230)  Le Tribunal supérieur est la juridiction compétente pour connaître des recours contre les décisions rendues par les tribunaux administratifs inférieurs et est expressément compétent en ce qui concerne les recours directs contre les décisions de certains organismes publics.

230

(231)  Article 111, paragraphe 3, de la loi DPA 2018.

231

(232)  Article 111, paragraphe 5, de la loi DPA 2018.

232

(233)  Dans l’affaire Baker/Secretary of State (voir la note de bas de page no 221, le tribunal compétent en matière d’informations a invalidé un certificat de sécurité nationale délivré par le ministre de l’intérieur, considérant qu’aucune raison ne justifiait une exception générale à l’obligation de donner suite aux demandes d’accès et que permettre cette exception en toutes circonstances sans une analyse au cas par cas excédait ce qui était nécessaire et proportionné à la sauvegarde de la sécurité nationale.

233

o

(234)  Point 25 des orientations du gouvernement du Royaume-Uni sur les certificats de sécurité nationale, voir la note de bas de page no 225.

234

o

(235)  Cela comprend: i) les principes relatifs à la protection des données visés à la partie 4, à l’exception de l’exigence relative à la licéité du traitement prévue par le premier principe et du fait que le traitement doit remplir l’une des conditions pertinentes énoncées aux annexes 9 et 10; ii) les droits des personnes concernées; et iii) les obligations relatives à la notification des violations à l’ICO.

235

(236)  Selon le cadre explicatif du Royaume-Uni, les exceptions «fondées sur une catégorie» sont les suivantes: i) les informations concernant l’attribution par la Couronne d’une distinction honorifique ou d’un titre de noblesse; ii) le secret professionnel; iii) les références confidentielles en matière d’emploi, de formation ou d’éducation; et iv) les copies et notes d’examen. Les dérogations «sur la base du préjudice» concernent les questions suivantes: i) la prévention ou la détection des infractions pénales; l’arrestation et la poursuite des auteurs d’infractions; ii) l’immunité parlementaire; iii) le déroulement des procédures judiciaires; iv) l’efficacité au combat des forces armées de la Couronne; v) le bien-être économique du Royaume-Uni; vi) les négociations avec la personne concernée; vii) les finalités de recherche scientifique ou historique, ou les finalités statistiques; viii) les finalités archivistiques dans l’intérêt public. Cadre explicatif du Royaume-Uni pour la discussion relative à l’adéquation, section H: Sécurité nationale, p. 13, voir la note de bas de page no 222.

236

o

(237)  Article 116 de la loi DPA 2018.

237

(238)  Il ressort d’une lecture combinée de l’article 149, paragraphe 2, et de l’article 155 de la loi DPA 2018, que les avis d’exécution et de sanction peuvent être adressés à un responsable du traitement ou sous-traitant en cas de violations du chapitre 2 de la partie 4 de la loi DPA 2018 (principes de traitement), d’une disposition de la partie 4 de la loi DPA 2018 conférant des droits à une personne concernée, d’une obligation d’informer le commissaire d’une violation de données à caractère personnel en application de l’article 108 de la loi DPA 2018 et des principes relatifs aux transferts de données à caractère personnel vers des pays tiers, des pays non liés par la convention et des organisations internationales énoncés à l’article 109 de la loi DPA 2018. (Pour plus de détails sur les avis d’exécution et de sanction, voir les considérants 102 et 103.)

238

(239)  En vertu de l’article 147, paragraphe 6, de la loi DPA 2018, le commissaire à l’information ne peut pas adresser d’avis d’évaluation à un organisme visé à l’article 23, paragraphe 3, de la loi de 2000 sur la liberté d’information (Freedom of Information Act 2000). Il s’agit notamment du service de sécurité (MI5), du service secret de renseignement (MI6) et du quartier général des communications.

239

(240)  Les dispositions pouvant faire l’objet d’une dérogation sont les suivantes: l’article 108 (informer le commissaire d’une violation de données à caractère personnel), l’article 119 (mener des inspections conformément aux obligations internationales); les articles 142 à 154 et l’annexe 15 (avis du commissaire et pouvoirs d’accès et d’inspection); et les articles 170 à 173 (infractions relatives aux données à caractère personnel). De plus, concernant le traitement par les services de renseignement, l’annexe 13 (autres fonctions générales du commissaire), point 1, sous a) et g), et point 2.

240

(241)  Voir exemple l’affaire Baker/Secretary of State for the Home Department (voir la note de bas de page no 221).

241

o

(242)  Protocole d’accord entre l’ICO et la communauté de renseignement du Royaume-Uni, voir la note de bas de page no 231.

242

o

(243)  Dans sept de ces cas, l’ICO a conseillé à l’auteur de la réclamation de faire part de ses inquiétudes auprès du responsable du traitement (il s’agit du cas où une personne a exprimé ses inquiétudes auprès de l’ICO, mais qu’elle aurait d’abord dû le faire auprès du responsable du traitement). Dans l’un de ces cas, l’ICO a dispensé des conseils généraux au responsable du traitement (il s’agit du cas où les agissements du responsable du traitement ne semblaient pas avoir enfreint la législation, mais où une amélioration des pratiques aurait pu éviter la communication des préoccupations à l’ICO). Dans les 13 autres cas, aucune mesure n’était requise de la part du responsable du traitement (il s’agit de cas où les préoccupations soulevées par la personne relevaient bien de la loi de 2018 sur la protection des données, car elles concernaient le traitement de données à caractère personnel, mais où il ressortait des informations fournies que le responsable du traitement ne semblait pas avoir enfreint la législation).

243

(244)  Comme expliqué par les autorités du Royaume-Uni, la loi JSA a élargi les attributions de l’ISC pour y inclure un rôle de supervision de la communauté de renseignement au-delà des trois agences et permettre la supervision rétrospective des activités opérationnelles des agences sur des questions d’intérêt national majeur.

244

(245)  Article 1er de la loi JSA 2013. Les ministres ne sont pas éligibles pour devenir membres. Les membres occupent leur poste au sein de l’ISC pendant la durée de la législature du Parlement au cours de laquelle ils ont été nommés. La Chambre qui les a nommés peut les destituer par voie de résolution, ou ils peuvent être révoqués s’ils cessent d’être membres du Parlement, ou s’ils deviennent ministres. Un membre peut également démissionner.

245

er

(246)  Les rapports et les déclarations du Comité sont disponibles à l’adresse suivante: http://isc.independent.gov.uk/committee-reports. En 2015, l’ISC a publié un rapport intitulé «Privacy and Security: A modern and transparent legal framework» (Vie privée et sécurité: un cadre juridique moderne et transparent) (voir: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20150312_ISC_P%2BS%2BRpt%28web%29.pdf), dans lequel il étudiait le cadre juridique relatif aux techniques de surveillance employées par les agences de renseignement, et a émis une série de recommandations qui ont été examinées par la suite et incorporées dans le projet de loi sur les pouvoirs d’enquête (Investigatory Powers Bill), converti en loi – IPA 2016. La réponse du gouvernement à ce rapport relatif à la vie privée et à la sécurité est disponible à l’adresse suivante: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20151208_Privacy_and_Security_Government_Response.pdf.

246

(247)  Article 2 de la loi JSA 2013.

247

(248)  Protocole d’accord conclu entre le Premier ministre et l’ISC, disponible à l’adresse suivante: http://data.parliament.uk/DepositedPapers/Files/DEP2013-0415/AnnexA-JSBill-summaryofISCMoU.pdf

248

(249)  Point 14 du protocole d’accord entre le Premier ministre et l’ISC, voir la note de bas de page no 248.

249

o

(250)  Le secrétaire d’État ne peut opposer son veto à la divulgation d’informations que pour deux motifs: les informations sont sensibles et ne devraient pas être divulguées à l’ISC à des fins de sauvegarde de la sécurité nationale; ou il s’agit d’informations d’une nature telle que, si le secrétaire d’État était invité à les produire devant une commission d’enquête départementale de la Chambre des communes, il estimerait (pour des motifs qui ne se limitent pas à la sauvegarde de la sécurité nationale) qu’il convient de ne pas le faire [annexe 1, point 4 2), de la loi JSA 2013].

250

(251)  Cadre explicatif du Royaume-Uni – section H: Sécurité nationale, p. 43.

251

(252)  Article 94, paragraphe 11, de la loi DPA 2018.

252

(253)  Article 99, paragraphe 4, de la loi DPA 2018.

253

(254)  L’article 169 de la loi DPA 2018 permet à «une personne qui subit un préjudice en raison de la violation d’une exigence de la législation sur la protection des données» d’introduire des réclamations.

254

(255)  Article 169, paragraphe 5, de la loi DPA 2018.

255

(256)  Voir l’article 65, paragraphe 2, point b), de la loi RIPA.

256

(257)  Conformément à l’annexe 3 de la loi RIPA 2000, les membres doivent justifier d’une expérience spécifique dans le domaine judiciaire et leur mandat peut être renouvelé.

257

(258)  Sur la notion de requête, voir la note de bas de page no 183.

258

o

(259)  Annexe 3, point 1 5), de la loi RIPA 2000.

259

(260)  Article 65, paragraphe 4, de la loi RIPA 2000.

260

(261)  De telles circonstances font référence au comportement d’autorités publiques ayant lieu en vertu de leur autorité (par exemple la délivrance d’un mandat, d’une autorisation/d’un avis pour l’acquisition de communications, etc.), ou si les circonstances sont telles (qu’il y ait une telle autorité ou non) qu’il n’aurait pas été approprié que le comportement ait lieu sans elle, ou au moins sans qu’il y ait eu un examen sérieux visant à déterminer si cette autorité devrait être sollicitée. Le comportement autorisé par un commissaire judiciaire (Judicial Commissioner) est considéré comme ayant eu lieu dans des circonstances contestables [article 65 (7ZA) de la loi RIPA 2000] alors que les autres comportements qui ont lieu avec l’autorisation d’une personne exerçant une fonction judiciaire sont considérés comme n’ayant pas eu lieu dans des circonstances contestables (article 65, paragraphes 7 et 8, de la loi RIPA 2000).

261

(262)  D’après les informations fournies par les autorités du Royaume-Uni, vu les critères peu contraignants requis pour introduire une réclamation, il est fréquent que l’enquête du tribunal révèle que l’auteur de la réclamation n’a, en réalité, jamais fait l’objet d’une enquête menée par une autorité publique. Le dernier rapport statistique de l’IPT précise qu’en 2016, le tribunal a reçu 209 réclamations. 52 % ont été considérées comme fantaisistes ou vexatoires et 25 % d’entre elles n’ont donné lieu à «aucune décision». Selon les explications des autorités du Royaume-Uni, cela signifie soit qu’il n’y a eu aucun recours à un pouvoir dissimulé ou une activité dissimulée à l’égard de l’auteur de la réclamation, soit que des techniques dissimulées ont été employées et que le tribunal a conclu que l’activité était licite. Par ailleurs, 11 % de ces réclamations ne relevaient pas de la compétence de la juridiction, ont été retirées ou n’étaient pas valides, 5 % ont été écartées en raison de leur caractère tardif et, pour 7 % d’entre elles, l’auteur de la réclamation a obtenu gain de cause. Rapport statistique de 2016 du tribunal chargé des pouvoirs d’enquête, disponible à l’adresse suivante: https://www.ipt-uk.com/docs/IPT%20Statisical%20Report%202016.pdf.

262

(263)  Voir l’affaire Human Rights Watch/Secretary of State [2016] UKIPTrib15_165-CH. Dans cette situation, l’IPT, en se référant à la jurisprudence de la CEDH, a estimé que le critère approprié en ce qui concerne la conviction qu’un comportement relevant de l’article 68, paragraphe 5, de la loi RIPA 2000 a été exercé par ou au nom de l’un des services de renseignement, est de déterminer si cette conviction est fondée. Cela comprend le fait qu’une personne ne peut prétendre être victime d’une violation entraînée par la simple existence de mesures secrètes ou d’une législation permettant des mesures secrètes que si elle est en mesure de démontrer qu’en raison de sa situation personnelle, elle risque potentiellement d’être soumise à de telles mesures (voir l’affaire Human Rights Watch/Secretary of State, point 41).

263

(264)  Article 67, paragraphe 3, de la loi RIPA 2000.

264

(265)  Article 67, paragraphe 2, de la loi RIPA 2000.

265

(266)  Article 68, paragraphe 4, de la loi RIPA 2000.

266

(267)  Il peut s’agir d’une ordonnance exigeant la destruction de tout registre d’information détenu par une autorité publique concernant une personne.

267

(268)  Haute Cour de justice, Liberty, [2019] EWHC 2057 (Admin), point 170.

268

(269)  Article 8, paragraphe 1, de la loi de 1998 sur les droits de l’homme.

269

(270)  Arrêt Schrems, point 65.

270

(271)  Avis 15/2021 concernant le projet de décision d’exécution de la Commission européenne conformément à la directive (UE) 2016/680 concernant le niveau de protection adéquat des données à caractère personnel au Royaume-Uni, disponible à l’adresse suivante: https://edpb.europa.eu/our-work-tools/our-documents/opinion-led/opinion-152021-regarding-european-commission-draft_en.

271

(272)  Décision d’exécution (UE) 2020/1745 du Conseil du 18 novembre 2020 relative à la mise en œuvre des dispositions de l’acquis de Schengen dans le domaine de la protection des données et à la mise en œuvre à titre provisoire de certaines dispositions de l’acquis de Schengen en Irlande (JO L 393 du 23.11.2020, p. 3).

272

(273)  
  JO L 176 du 10.7.1999, p. 36.

273

(274)  
  JO L 53 du 27.2.2008, p. 52.

274

(275)  
  JO L 160 du 18.6.2011, p. 21.

275

---

| 11.10.2021 | FR | Journal officiel de l’Union européenne | L 360/108 |
| --- | --- | --- | --- |

11.10.2021

FR

Journal officiel de l’Union européenne

L 360/108

---

DÉCISION D’EXÉCUTION (UE) 2021/1774 DU CONSEIL

du 5 octobre 2021

modifiant la décision d’exécution (UE) 2018/1493 autorisant la Hongrie à introduire une mesure particulière dérogatoire à l’article 26, paragraphe 1, point a), et aux articles 168 et 168 bis de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée

LE CONSEIL DE L’UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu la directive 2006/112/CE du Conseil du 28 novembre 2006 relative au système commun de taxe sur la valeur ajoutée (1), et notamment son article 395, paragraphe 1, premier alinéa,

vu la proposition de la Commission européenne,

considérant ce qui suit:

| (1) | La décision d’exécution (UE) 2018/1493 du Conseil (2) a autorisé la Hongrie à appliquer, jusqu’au 31 décembre 2021, une mesure particulière qui consiste, d’une part, à limiter à 50 % le droit de déduire la taxe sur la valeur ajoutée (TVA) sur les dépenses liées aux voitures particulières qui ne sont pas utilisées exclusivement à des fins professionnelles, par dérogation aux articles 168 et 168 bis de la directive 2006/112/CE, et, d’autre part, à ne pas assimiler à des prestations de services à titre onéreux l’utilisation à des fins non professionnelles d’une voiture particulière affectée à l’entreprise d’un assujetti, lorsque cette voiture a fait l’objet de la limitation autorisée au titre de l’article 1er de ladite décision d’exécution, par dérogation à l’article 26, paragraphe 1, point a), de ladite directive (ci-après dénommée «mesure particulière»). |
| --- | --- |

(1)

La décision d’exécution (UE) 2018/1493 du Conseil (2) a autorisé la Hongrie à appliquer, jusqu’au 31 décembre 2021, une mesure particulière qui consiste, d’une part, à limiter à 50 % le droit de déduire la taxe sur la valeur ajoutée (TVA) sur les dépenses liées aux voitures particulières qui ne sont pas utilisées exclusivement à des fins professionnelles, par dérogation aux articles 168 et 168 bis de la directive 2006/112/CE, et, d’autre part, à ne pas assimiler à des prestations de services à titre onéreux l’utilisation à des fins non professionnelles d’une voiture particulière affectée à l’entreprise d’un assujetti, lorsque cette voiture a fait l’objet de la limitation autorisée au titre de l’article 1er de ladite décision d’exécution, par dérogation à l’article 26, paragraphe 1, point a), de ladite directive (ci-après dénommée «mesure particulière»).

| (2) | Par lettre enregistrée à la Commission le 25 février 2021, la Hongrie a demandé l’autorisation de continuer à appliquer la mesure particulière (ci-après dénommée «demande de prorogation»). |
| --- | --- |

(2)

Par lettre enregistrée à la Commission le 25 février 2021, la Hongrie a demandé l’autorisation de continuer à appliquer la mesure particulière (ci-après dénommée «demande de prorogation»).

| (3) | En vertu de l’article 395, paragraphe 2, deuxième alinéa, de la directive 2006/112/CE, la Commission a transmis la demande de prorogation aux autres États membres par lettres datées du 7 avril 2021. Par lettre datée du 8 avril 2021, la Commission a informé la Hongrie qu’elle disposait de toutes les données utiles pour étudier la demande de prorogation. |
| --- | --- |

(3)

En vertu de l’article 395, paragraphe 2, deuxième alinéa, de la directive 2006/112/CE, la Commission a transmis la demande de prorogation aux autres États membres par lettres datées du 7 avril 2021. Par lettre datée du 8 avril 2021, la Commission a informé la Hongrie qu’elle disposait de toutes les données utiles pour étudier la demande de prorogation.

| (4) | En vertu de l’article 5 de la décision d’exécution (UE) 2018/1493, la Hongrie a présenté, en même temps que la demande de prorogation, un rapport comprenant le réexamen du pourcentage fixé pour la déduction de la TVA. Sur la base des informations actuellement disponibles, à savoir l’expérience tirée des contrôles fiscaux et les données statistiques relatives à l’utilisation privée des voitures particulières, la Hongrie confirme dans la demande de prorogation que la limitation de 50 % reste justifiée et appropriée. Par ailleurs, en simplifiant la perception de la TVA, la mesure particulière a effectivement permis de réduire la charge administrative pour les entreprises et les autorités fiscales. Dans le même temps, elle empêche la fraude fiscale due à une tenue incorrecte de la comptabilité. Il convient donc que la Hongrie soit autorisée à proroger l’application de cette mesure particulière. |
| --- | --- |

(4)

En vertu de l’article 5 de la décision d’exécution (UE) 2018/1493, la Hongrie a présenté, en même temps que la demande de prorogation, un rapport comprenant le réexamen du pourcentage fixé pour la déduction de la TVA. Sur la base des informations actuellement disponibles, à savoir l’expérience tirée des contrôles fiscaux et les données statistiques relatives à l’utilisation privée des voitures particulières, la Hongrie confirme dans la demande de prorogation que la limitation de 50 % reste justifiée et appropriée. Par ailleurs, en simplifiant la perception de la TVA, la mesure particulière a effectivement permis de réduire la charge administrative pour les entreprises et les autorités fiscales. Dans le même temps, elle empêche la fraude fiscale due à une tenue incorrecte de la comptabilité. Il convient donc que la Hongrie soit autorisée à proroger l’application de cette mesure particulière.

| (5) | Il y a lieu de limiter dans le temps la prorogation de la mesure particulière afin de pouvoir évaluer son efficacité et l’adéquation du pourcentage. La Hongrie devrait dès lors être autorisée à continuer d’appliquer la mesure particulière pour une période limitée, s’achevant le 31 décembre 2024. |
| --- | --- |

(5)

Il y a lieu de limiter dans le temps la prorogation de la mesure particulière afin de pouvoir évaluer son efficacité et l’adéquation du pourcentage. La Hongrie devrait dès lors être autorisée à continuer d’appliquer la mesure particulière pour une période limitée, s’achevant le 31 décembre 2024.

| (6) | Si la Hongrie estime qu’il est nécessaire de proroger l’autorisation au-delà de 2024, elle devra présenter à la Commission, au plus tard le 31 mars 2024, une demande de prorogation accompagnée d’un rapport comportant le réexamen du pourcentage maximal appliqué. |
| --- | --- |

(6)

Si la Hongrie estime qu’il est nécessaire de proroger l’autorisation au-delà de 2024, elle devra présenter à la Commission, au plus tard le 31 mars 2024, une demande de prorogation accompagnée d’un rapport comportant le réexamen du pourcentage maximal appliqué.

| (7) | La mesure particulière n’aura qu’un effet négligeable sur le montant total des recettes fiscales perçues au stade de la consommation finale et n’aura aucune incidence négative sur les ressources propres de l’Union provenant de la TVA. |
| --- | --- |

(7)

La mesure particulière n’aura qu’un effet négligeable sur le montant total des recettes fiscales perçues au stade de la consommation finale et n’aura aucune incidence négative sur les ressources propres de l’Union provenant de la TVA.

| (8) | Il y a donc lieu de modifier la décision d’exécution (UE) 2018/1493 en conséquence, |
| --- | --- |

(8)

Il y a donc lieu de modifier la décision d’exécution (UE) 2018/1493 en conséquence,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

L’article 5 de la décision d’exécution (UE) 2018/1493 est remplacé par le texte suivant:

«Article 5

La présente décision est applicable du 1er janvier 2019 au 31 décembre 2024.

Toute demande de prorogation de l’autorisation prévue par la présente décision est présentée à la Commission au plus tard le 31 mars 2024 et est accompagnée d’un rapport comportant le réexamen du pourcentage fixé à l’article 1er.».

Article 2

La présente décision prend effet le jour de sa notification.

Article 3

La Hongrie est destinataire de la présente décision.

Fait à Luxembourg, le 5 octobre 2021.

Par le Conseil

Le président

A. ŠIRCELJ

---

(1)  
  JO L 347 du 11.12.2006, p. 1.

1

(2)  Décision d’exécution (UE) 2018/1493 du Conseil du 2 octobre 2018 autorisant la Hongrie à introduire une mesure particulière dérogatoire à l’article 26, paragraphe 1, point a), et aux articles 168 et 168 bis de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée (JO L 252 du 8.10.2018, p. 44).

2

bis

---

| 11.10.2021 | FR | Journal officiel de l’Union européenne | L 360/110 |
| --- | --- | --- | --- |

11.10.2021

FR

Journal officiel de l’Union européenne

L 360/110

---

DÉCISION D’EXÉCUTION (UE) 2021/1775 DU CONSEIL

du 5 octobre 2021

modifiant la décision d’exécution (UE) 2018/789 autorisant la Hongrie à introduire une mesure particulière dérogatoire à l’article 193 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée

LE CONSEIL DE L’UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu la directive 2006/112/CE du Conseil du 28 novembre 2006 relative au système commun de taxe sur la valeur ajoutée (1), et notamment son article 395, paragraphe 1, premier alinéa,

vu la proposition de la Commission européenne,

considérant ce qui suit:

| (1) | L’article 193 de la directive 2006/112/CE prévoit que tout assujetti effectuant une livraison de biens ou une prestation de services est normalement redevable de la taxe sur la valeur ajoutée (TVA) envers les autorités fiscales. |
| --- | --- |

(1)

L’article 193 de la directive 2006/112/CE prévoit que tout assujetti effectuant une livraison de biens ou une prestation de services est normalement redevable de la taxe sur la valeur ajoutée (TVA) envers les autorités fiscales.

| (2) | La décision d’exécution (UE) 2018/789 du Conseil (2) a autorisé la Hongrie à introduire une mesure dérogatoire à l’article 193 de la directive 2006/112/CE en ce qui concerne la personne redevable de la TVA dans le cas où certaines opérations sont effectuées par un assujetti faisant l’objet d’une procédure de liquidation ou de toute autre procédure établissant légalement son insolvabilité (ci-après dénommée «mesure particulière»). |
| --- | --- |

(2)

La décision d’exécution (UE) 2018/789 du Conseil (2) a autorisé la Hongrie à introduire une mesure dérogatoire à l’article 193 de la directive 2006/112/CE en ce qui concerne la personne redevable de la TVA dans le cas où certaines opérations sont effectuées par un assujetti faisant l’objet d’une procédure de liquidation ou de toute autre procédure établissant légalement son insolvabilité (ci-après dénommée «mesure particulière»).

| (3) | Par lettre enregistrée à la Commission le 18 février 2021, la Hongrie a soumis à la Commission une demande visant à ce que l’autorisation d’appliquer la mesure particulière soit prorogée jusqu’au 31 décembre 2026 (ci-après dénommée «demande»). Conjointement à la demande, la Hongrie a présenté un rapport comprenant un réexamen de la mesure particulière. |
| --- | --- |

(3)

Par lettre enregistrée à la Commission le 18 février 2021, la Hongrie a soumis à la Commission une demande visant à ce que l’autorisation d’appliquer la mesure particulière soit prorogée jusqu’au 31 décembre 2026 (ci-après dénommée «demande»). Conjointement à la demande, la Hongrie a présenté un rapport comprenant un réexamen de la mesure particulière.

| (4) | En vertu de l’article 395, paragraphe 2, deuxième alinéa, de la directive 2006/112/CE, la Commission a transmis la demande aux autres États membres par lettres datées du 7 avril 2021. Par lettre datée du 8 avril 2021, la Commission a informé la Hongrie qu’elle disposait de toutes les données utiles pour étudier la demande. |
| --- | --- |

(4)

En vertu de l’article 395, paragraphe 2, deuxième alinéa, de la directive 2006/112/CE, la Commission a transmis la demande aux autres États membres par lettres datées du 7 avril 2021. Par lettre datée du 8 avril 2021, la Commission a informé la Hongrie qu’elle disposait de toutes les données utiles pour étudier la demande.

| (5) | La Hongrie souligne qu’il est fréquent que les assujettis en liquidation ou faisant l’objet d’une procédure d’insolvabilité ne versent pas la TVA due aux autorités fiscales. Parallèlement, l’acquéreur, qui est un assujetti disposant du droit à déduction, peut toujours déduire la TVA acquittée, ce qui a une incidence négative sur le budget et permet de financer la liquidation. La Hongrie a aussi enregistré des cas de fraude dans lesquels des entreprises en liquidation adressaient de fausses factures à des entreprises en activité et réduisaient ainsi considérablement le montant de taxe à payer par ces dernières, sans garantie que l’émetteur acquitterait la TVA due. |
| --- | --- |

(5)

La Hongrie souligne qu’il est fréquent que les assujettis en liquidation ou faisant l’objet d’une procédure d’insolvabilité ne versent pas la TVA due aux autorités fiscales. Parallèlement, l’acquéreur, qui est un assujetti disposant du droit à déduction, peut toujours déduire la TVA acquittée, ce qui a une incidence négative sur le budget et permet de financer la liquidation. La Hongrie a aussi enregistré des cas de fraude dans lesquels des entreprises en liquidation adressaient de fausses factures à des entreprises en activité et réduisaient ainsi considérablement le montant de taxe à payer par ces dernières, sans garantie que l’émetteur acquitterait la TVA due.

| (6) | L’article 199, paragraphe 1, point g), de la directive 2006/112/CE permet aux États membres de prévoir que le redevable de la TVA sur la livraison d’un bien immeuble vendu par le débiteur d’une créance exécutoire dans le cadre d’une procédure de vente forcée est l’assujetti destinataire de la livraison («mécanisme d’autoliquidation»). La mesure particulière permet à la Hongrie d’étendre l’application du mécanisme d’autoliquidation à d’autres opérations effectuées par des assujettis faisant l’objet d’une procédure d’insolvabilité, à savoir les livraisons de biens d’investissement et les opérations portant sur d’autres biens et services dont la valeur normale excède 100 000 HUF. |
| --- | --- |

(6)

L’article 199, paragraphe 1, point g), de la directive 2006/112/CE permet aux États membres de prévoir que le redevable de la TVA sur la livraison d’un bien immeuble vendu par le débiteur d’une créance exécutoire dans le cadre d’une procédure de vente forcée est l’assujetti destinataire de la livraison («mécanisme d’autoliquidation»). La mesure particulière permet à la Hongrie d’étendre l’application du mécanisme d’autoliquidation à d’autres opérations effectuées par des assujettis faisant l’objet d’une procédure d’insolvabilité, à savoir les livraisons de biens d’investissement et les opérations portant sur d’autres biens et services dont la valeur normale excède 100 000 HUF.

| (7) | Il ressort des informations fournies par la Hongrie que l’application du mécanisme d’autoliquidation à ces types d’opérations a utilement permis de simplifier la perception de la taxe et d’empêcher la fraude fiscale. La mise en œuvre de la mesure particulière a limité les pertes pour les recettes publiques et généré des recettes budgétaires supplémentaires. En outre, les effets économiques de la pandémie de COVID-19 pourraient entraîner une forte augmentation du nombre de liquidations dans un avenir proche, ce qui rend d’autant plus nécessaire une prorogation de la mesure particulière. |
| --- | --- |

(7)

Il ressort des informations fournies par la Hongrie que l’application du mécanisme d’autoliquidation à ces types d’opérations a utilement permis de simplifier la perception de la taxe et d’empêcher la fraude fiscale. La mise en œuvre de la mesure particulière a limité les pertes pour les recettes publiques et généré des recettes budgétaires supplémentaires. En outre, les effets économiques de la pandémie de COVID-19 pourraient entraîner une forte augmentation du nombre de liquidations dans un avenir proche, ce qui rend d’autant plus nécessaire une prorogation de la mesure particulière.

| (8) | Il convient que la dérogation demandée soit limitée dans le temps, mais que l’administration fiscale dispose de temps pour introduire d’autres mesures conventionnelles visant à régler le problème et à réduire les pertes pour le budget de l’État, notamment celles qui découlent de pratiques frauduleuses, avant l’expiration de la mesure particulière, et qu’il soit ainsi inutile de proroger à nouveau la mesure particulière. Les dérogations permettant de recourir au mécanisme d’autoliquidation ne sont accordées qu’à titre exceptionnel dans des secteurs spécifiques touchés par la fraude et constituent un moyen de dernier ressort. Il convient dès lors que l’autorisation ne soit prorogée que jusqu’au 31 décembre 2024. |
| --- | --- |

(8)

Il convient que la dérogation demandée soit limitée dans le temps, mais que l’administration fiscale dispose de temps pour introduire d’autres mesures conventionnelles visant à régler le problème et à réduire les pertes pour le budget de l’État, notamment celles qui découlent de pratiques frauduleuses, avant l’expiration de la mesure particulière, et qu’il soit ainsi inutile de proroger à nouveau la mesure particulière. Les dérogations permettant de recourir au mécanisme d’autoliquidation ne sont accordées qu’à titre exceptionnel dans des secteurs spécifiques touchés par la fraude et constituent un moyen de dernier ressort. Il convient dès lors que l’autorisation ne soit prorogée que jusqu’au 31 décembre 2024.

| (9) | La mesure particulière n’aura pas d’incidence négative sur les ressources propres de l’Union provenant de la TVA. |
| --- | --- |

(9)

La mesure particulière n’aura pas d’incidence négative sur les ressources propres de l’Union provenant de la TVA.

| (10) | Il y a donc lieu de modifier la décision d’exécution (UE) 2018/789 en conséquence, |
| --- | --- |

(10)

Il y a donc lieu de modifier la décision d’exécution (UE) 2018/789 en conséquence,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

À l’article 2 de la décision d’exécution (UE) 2018/789, le deuxième alinéa est remplacé par le texte suivant:

«La présente décision expire le 31 décembre 2024.».

Article 2

La présente décision prend effet le jour de sa notification.

Article 3

La Hongrie est destinataire de la présente décision.

Fait à Luxembourg, le 5 octobre 2021.

Par le Conseil

Le président

A. ŠIRCELJ

---

(1)  
  JO L 347 du 11.12.2006, p. 1.

1

(2)  Décision d’exécution (UE) 2018/789 du Conseil du 25 mai 2018 autorisant la Hongrie à introduire une mesure particulière dérogatoire à l’article 193 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée (JO L 134 du 31.5.2018, p. 10).

2

---

| 11.10.2021 | FR | Journal officiel de l’Union européenne | L 360/112 |
| --- | --- | --- | --- |

11.10.2021

FR

Journal officiel de l’Union européenne

L 360/112

---

DÉCISION D’EXÉCUTION (UE) 2021/1776 DU CONSEIL

du 5 octobre 2021

modifiant la décision 2009/791/CE autorisant la République fédérale d’Allemagne à proroger l’application d’une mesure dérogeant à l’article 168 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée

LE CONSEIL DE L’UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu la directive 2006/112/CE du Conseil du 28 novembre 2006 relative au système commun de taxe sur la valeur ajoutée (1), et notamment son article 395, paragraphe 1, premier alinéa,

vu la proposition de la Commission européenne,

considérant ce qui suit:

| (1) | Les articles 168 et 168 bis de la directive 2006/112/CE régissent le droit des assujettis de déduire la taxe sur la valeur ajoutée (TVA) grevant les biens et services qui leur sont fournis pour les besoins de leurs opérations taxées. La République fédérale d’Allemagne (ci-après dénommée «Allemagne») a été autorisée à introduire une mesure dérogatoire destinée à exclure du droit à déduction la TVA grevant les biens et services lorsque l’assujetti utilise ces derniers à plus de 90 % pour ses besoins privés ou ceux de son personnel ou, plus généralement, à des fins étrangères à son entreprise ou pour des activités non économiques. |
| --- | --- |

(1)

Les articles 168 et 168 bis de la directive 2006/112/CE régissent le droit des assujettis de déduire la taxe sur la valeur ajoutée (TVA) grevant les biens et services qui leur sont fournis pour les besoins de leurs opérations taxées. La République fédérale d’Allemagne (ci-après dénommée «Allemagne») a été autorisée à introduire une mesure dérogatoire destinée à exclure du droit à déduction la TVA grevant les biens et services lorsque l’assujetti utilise ces derniers à plus de 90 % pour ses besoins privés ou ceux de son personnel ou, plus généralement, à des fins étrangères à son entreprise ou pour des activités non économiques.

| (2) | Dans un premier temps, la décision 2000/186/CE du Conseil (2) a autorisé l’Allemagne à introduire et à appliquer des mesures dérogatoires aux articles 6 et 17 de la directive 77/388/CEE du Conseil (3) jusqu’au 31 décembre 2002. La décision 2003/354/CE du Conseil (4) a autorisé l’Allemagne à appliquer une mesure dérogatoire à l’article 17 de la directive 77/388/CEE jusqu’au 30 juin 2004. La décision 2004/817/CE du Conseil (5) a prorogé cette autorisation jusqu’au 31 décembre 2009. |
| --- | --- |

(2)

Dans un premier temps, la décision 2000/186/CE du Conseil (2) a autorisé l’Allemagne à introduire et à appliquer des mesures dérogatoires aux articles 6 et 17 de la directive 77/388/CEE du Conseil (3) jusqu’au 31 décembre 2002. La décision 2003/354/CE du Conseil (4) a autorisé l’Allemagne à appliquer une mesure dérogatoire à l’article 17 de la directive 77/388/CEE jusqu’au 30 juin 2004. La décision 2004/817/CE du Conseil (5) a prorogé cette autorisation jusqu’au 31 décembre 2009.

| (3) | En vertu de la décision 2009/791/CE du Conseil (6), l’Allemagne a été autorisée à proroger l’application d’une mesure dérogeant à l’article 168 de la directive 2006/112/CE. Après avoir fait l’objet de prorogations successives, cette autorisation arrive à expiration le 31 décembre 2021. |
| --- | --- |

(3)

En vertu de la décision 2009/791/CE du Conseil (6), l’Allemagne a été autorisée à proroger l’application d’une mesure dérogeant à l’article 168 de la directive 2006/112/CE. Après avoir fait l’objet de prorogations successives, cette autorisation arrive à expiration le 31 décembre 2021.

| (4) | La directive 2009/162/UE du Conseil (7) a inséré l’article 168 bis dans la directive 2006/112/CE afin de limiter la déduction à la proportion de l’utilisation effective aux fins des activités de l’entreprise et d’appliquer ainsi plus efficacement le principe selon lequel la déduction ne prend naissance que dans la mesure où les biens et les services concernés sont utilisés aux fins des activités de l’entreprise de l’assujetti. L’article 1er de la décision 2009/791/CE a été modifié afin d’inclure une référence à l’article 168 bis de la directive 2006/112/CE. Le titre de la décision 2009/791/CE doit donc également mentionner l’article 168 bis de la directive 2006/112/CE. |
| --- | --- |

(4)

La directive 2009/162/UE du Conseil (7) a inséré l’article 168 bis dans la directive 2006/112/CE afin de limiter la déduction à la proportion de l’utilisation effective aux fins des activités de l’entreprise et d’appliquer ainsi plus efficacement le principe selon lequel la déduction ne prend naissance que dans la mesure où les biens et les services concernés sont utilisés aux fins des activités de l’entreprise de l’assujetti. L’article 1er de la décision 2009/791/CE a été modifié afin d’inclure une référence à l’article 168 bis de la directive 2006/112/CE. Le titre de la décision 2009/791/CE doit donc également mentionner l’article 168 bis de la directive 2006/112/CE.

| (5) | Par lettre enregistrée à la Commission le 19 février 2021, l’Allemagne a présenté à la Commission une demande selon laquelle l’autorisation de continuer à appliquer une mesure dérogeant aux articles 168 et 168 bis de la directive 2006/112/CE, en vue d’exclure entièrement du droit à déduction la TVA grevant les biens et les services que l’assujetti utilise à plus de 90 % pour ses besoins privés ou à des fins non professionnelles, y compris pour des activités non économiques (ci-après dénommée «mesure particulière») devait être prolongée (ci-après dénommée «demande»). La demande était accompagnée d’un rapport sur l’application de la mesure particulière comprenant un réexamen du pourcentage de répartition appliqué au droit à déduction de la TVA conformément à l’article 2 de la décision 2009/791/CE. |
| --- | --- |

(5)

Par lettre enregistrée à la Commission le 19 février 2021, l’Allemagne a présenté à la Commission une demande selon laquelle l’autorisation de continuer à appliquer une mesure dérogeant aux articles 168 et 168 bis de la directive 2006/112/CE, en vue d’exclure entièrement du droit à déduction la TVA grevant les biens et les services que l’assujetti utilise à plus de 90 % pour ses besoins privés ou à des fins non professionnelles, y compris pour des activités non économiques (ci-après dénommée «mesure particulière») devait être prolongée (ci-après dénommée «demande»). La demande était accompagnée d’un rapport sur l’application de la mesure particulière comprenant un réexamen du pourcentage de répartition appliqué au droit à déduction de la TVA conformément à l’article 2 de la décision 2009/791/CE.

| (6) | En vertu de l’article 395, paragraphe 2, deuxième alinéa, de la directive 2006/112/CE, la Commission a transmis la demande aux autres États membres par lettres datées du 17 mars 2021. Par lettre datée du 18 mars 2021, la Commission a informé l’Allemagne qu’elle disposait de toutes les données utiles pour étudier la demande. |
| --- | --- |

(6)

En vertu de l’article 395, paragraphe 2, deuxième alinéa, de la directive 2006/112/CE, la Commission a transmis la demande aux autres États membres par lettres datées du 17 mars 2021. Par lettre datée du 18 mars 2021, la Commission a informé l’Allemagne qu’elle disposait de toutes les données utiles pour étudier la demande.

| (7) | Selon l’Allemagne, la mesure particulière s’est révélée très efficace pour simplifier la perception de la TVA et éviter la fraude et l’évasion fiscales. La mesure particulière réduit la charge administrative pour les entreprises et les administrations fiscales, puisqu’elle rend inutile toute forme de suivi de l’utilisation ultérieure des biens et services auxquels l’exclusion du droit à déduction a été appliquée au moment de l’acquisition. Il convient donc que l’Allemagne soit autorisée à continuer à appliquer la mesure particulière pour une nouvelle période limitée, s’achevant le 31 décembre 2024. |
| --- | --- |

(7)

Selon l’Allemagne, la mesure particulière s’est révélée très efficace pour simplifier la perception de la TVA et éviter la fraude et l’évasion fiscales. La mesure particulière réduit la charge administrative pour les entreprises et les administrations fiscales, puisqu’elle rend inutile toute forme de suivi de l’utilisation ultérieure des biens et services auxquels l’exclusion du droit à déduction a été appliquée au moment de l’acquisition. Il convient donc que l’Allemagne soit autorisée à continuer à appliquer la mesure particulière pour une nouvelle période limitée, s’achevant le 31 décembre 2024.

| (8) | Si l’Allemagne juge nécessaire de proroger l’autorisation au-delà de 2024, il convient qu’elle présente une demande à la Commission, au plus tard le 31 mars 2024, accompagnée d’un rapport sur l’application de la mesure particulière qui devrait comporter le réexamen du pourcentage de répartition appliqué. |
| --- | --- |

(8)

Si l’Allemagne juge nécessaire de proroger l’autorisation au-delà de 2024, il convient qu’elle présente une demande à la Commission, au plus tard le 31 mars 2024, accompagnée d’un rapport sur l’application de la mesure particulière qui devrait comporter le réexamen du pourcentage de répartition appliqué.

| (9) | La mesure particulière n’aura pas d’incidence négative sur les ressources propres de l’Union provenant de la TVA. |
| --- | --- |

(9)

La mesure particulière n’aura pas d’incidence négative sur les ressources propres de l’Union provenant de la TVA.

| (10) | Il convient dès lors de modifier la décision 2009/791/CE en conséquence, |
| --- | --- |

(10)

Il convient dès lors de modifier la décision 2009/791/CE en conséquence,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

La décision 2009/791/CE est modifiée comme suit:

| 1) | Le titre est remplacé par le texte suivant:

  «Décision 2009/791/CE du Conseil du 20 octobre 2009 autorisant la République fédérale d’Allemagne à proroger l’application d’une mesure dérogeant aux articles 168 et 168 bis de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée». |
| --- | --- |

1)

Le titre est remplacé par le texte suivant:

«Décision 2009/791/CE du Conseil du 20 octobre 2009 autorisant la République fédérale d’Allemagne à proroger l’application d’une mesure dérogeant aux articles 168 et 168 bis de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée».

| 2) | L’article 2 est remplacé par le texte suivant:

  «Article 2
  La présente décision expire le 31 décembre 2024.
  Toute demande de prorogation de la mesure dérogatoire prévue à la présente décision est soumise à la Commission au plus tard le 31 mars 2024.
  Elle s’accompagne d’un rapport sur l’application de cette mesure qui comprend un réexamen du pourcentage de répartition appliqué au droit à déduction de la TVA sur la base de la présente décision.». |
| --- | --- |

2)

L’article 2 est remplacé par le texte suivant:

«Article 2

La présente décision expire le 31 décembre 2024.

Toute demande de prorogation de la mesure dérogatoire prévue à la présente décision est soumise à la Commission au plus tard le 31 mars 2024.

Elle s’accompagne d’un rapport sur l’application de cette mesure qui comprend un réexamen du pourcentage de répartition appliqué au droit à déduction de la TVA sur la base de la présente décision.».

Article 2

La présente décision prend effet le jour de sa notification.

Article 3

La République fédérale d’Allemagne est destinataire de la présente décision.

Fait à Luxembourg, le 5 octobre 2021.

Par le Conseil

Le président

A. ŠIRCELJ

---

(1)  
  JO L 347 du 11.12.2006, p. 1.

1

(2)  Décision 2000/186/CE du Conseil du 28 février 2000 autorisant la République fédérale d’Allemagne à appliquer des mesures dérogatoires aux articles 6 et 17 de la sixième directive 77/388/CEE en matière d’harmonisation des législations des États membres relatives aux taxes sur le chiffre d’affaires - système commun de taxe sur la valeur ajoutée: assiette uniforme (JO L 59 du 4.3.2000, p. 12).

2

(3)  Sixième directive 77/388/CEE du Conseil du 17 mai 1977 en matière d’harmonisation des législations des États membres relatives aux taxes sur le chiffre d’affaires – Système commun de taxe sur la valeur ajoutée: assiette uniforme (JO L 145 du 13.6.1977, p. 1).

3

(4)  Décision 2003/354/CE du Conseil du 13 mai 2003 autorisant l’Allemagne à appliquer une mesure dérogatoire à l’article 17 de la sixième directive 77/388/CEE en matière d’harmonisation des législations des États membres relatives aux taxes sur le chiffre d’affaires (JO L 123 du 17.5.2003, p. 47).

4

(5)  Décision 2004/817/CE du Conseil du 19 novembre 2004 autorisant l’Allemagne à appliquer une mesure dérogatoire à l’article 17 de la sixième directive 77/388/CEE en matière d’harmonisation des législations des États membres relatives aux taxes sur le chiffre d’affaires (JO L 357 du 2.12.2004, p. 33).

5

(6)  Décision 2009/791/CE du Conseil du 20 octobre 2009 autorisant la République fédérale d’Allemagne à proroger l’application d’une mesure dérogeant à l’article 168 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée (JO L 283 du 30.10.2009, p. 55).

6

(7)  Directive 2009/162/UE du Conseil du 22 décembre 2009 modifiant diverses dispositions de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée (JO L 10 du 15.1.2010, p. 14).

7

---

| 11.10.2021 | FR | Journal officiel de l’Union européenne | L 360/115 |
| --- | --- | --- | --- |

11.10.2021

FR

Journal officiel de l’Union européenne

L 360/115

---

DÉCISION D’EXÉCUTION (UE) 2021/1777 DU CONSEIL

du 5 octobre 2021

autorisant l’Italie à appliquer des taux réduits de taxation au gazole utilisé pour le chauffage et à l’électricité, fournis dans la commune de Campione d’Italia

LE CONSEIL DE L’UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu la directive 2003/96/CE du Conseil du 27 octobre 2003 restructurant le cadre communautaire de taxation des produits énergétiques et de l’électricité (1), et notamment son article 19,

vu la proposition de la Commission européenne,

considérant ce qui suit:

| (1) | Par lettre du 7 août 2020, l’Italie a demandé l’autorisation d’appliquer, pour la période comprise entre 1er janvier 2021 et le 31 décembre 2026, des taux réduits de taxation au gazole utilisé pour le chauffage et à l’électricité, fournis dans la commune de Campione d’Italia conformément à l’article 19 de la directive 2003/96/CE. L’Italie a fourni des informations et explications complémentaires le 19 janvier 2021 pour étayer la demande. |
| --- | --- |

(1)

Par lettre du 7 août 2020, l’Italie a demandé l’autorisation d’appliquer, pour la période comprise entre 1er janvier 2021 et le 31 décembre 2026, des taux réduits de taxation au gazole utilisé pour le chauffage et à l’électricité, fournis dans la commune de Campione d’Italia conformément à l’article 19 de la directive 2003/96/CE. L’Italie a fourni des informations et explications complémentaires le 19 janvier 2021 pour étayer la demande.

| (2) | La commune de Campione d’Italia est une enclave de l’Italie en Suisse, qui couvre une zone géographique très restreinte et présente une faible population. La région est montagneuse, ce qui limite le développement urbain, les activités industrielles et l’accessibilité globale de la commune. Compte tenu de la situation géographique de Campione d’Italia, de son manque d’accès au réseau de gaz naturel et de ses conditions climatiques difficiles, les coûts liés à la fourniture de produits énergétiques dans cette commune sont élevés, que lesdits produits proviennent de Suisse ou d’Italie. De plus, l’inclusion de Campione d’Italia dans le territoire douanier de l’Union le 1er janvier 2020 a entraîné une augmentation des coûts de l’énergie pour les ménages et les entreprises. En outre, Campione d’Italia est confrontée à une grave crise économique, aggravée par la pandémie de COVID-19. |
| --- | --- |

(2)

La commune de Campione d’Italia est une enclave de l’Italie en Suisse, qui couvre une zone géographique très restreinte et présente une faible population. La région est montagneuse, ce qui limite le développement urbain, les activités industrielles et l’accessibilité globale de la commune. Compte tenu de la situation géographique de Campione d’Italia, de son manque d’accès au réseau de gaz naturel et de ses conditions climatiques difficiles, les coûts liés à la fourniture de produits énergétiques dans cette commune sont élevés, que lesdits produits proviennent de Suisse ou d’Italie. De plus, l’inclusion de Campione d’Italia dans le territoire douanier de l’Union le 1er janvier 2020 a entraîné une augmentation des coûts de l’énergie pour les ménages et les entreprises. En outre, Campione d’Italia est confrontée à une grave crise économique, aggravée par la pandémie de COVID-19.

| (3) | Afin d’atténuer le coût élevé de l’énergie à Campione d’Italia, il convient de réduire la taxation sur certains produits énergétiques. |
| --- | --- |

(3)

Afin d’atténuer le coût élevé de l’énergie à Campione d’Italia, il convient de réduire la taxation sur certains produits énergétiques.

| (4) | À l’issue de l’examen de la mesure demandée, la Commission a estimé que celle-ci n’entraînait aucune distorsion de la concurrence, qu’elle n’entravait pas le bon fonctionnement du marché intérieur et qu’elle ne saurait être considérée comme incompatible avec les politiques de l’Union en matière d’environnement, d’énergie et de transport. Les taux réduits de taxation applicables tant au gazole qu’à l’électricité resteraient équivalents ou supérieurs aux niveaux minima de taxation de l’Union fixés dans la directive 2003/96/CE et compenseraient en partie l’augmentation des coûts de l’énergie dans la commune de Campione d’Italia. La réduction de taxation n’est cumulative avec aucun autre type d’allégement fiscal. |
| --- | --- |

(4)

À l’issue de l’examen de la mesure demandée, la Commission a estimé que celle-ci n’entraînait aucune distorsion de la concurrence, qu’elle n’entravait pas le bon fonctionnement du marché intérieur et qu’elle ne saurait être considérée comme incompatible avec les politiques de l’Union en matière d’environnement, d’énergie et de transport. Les taux réduits de taxation applicables tant au gazole qu’à l’électricité resteraient équivalents ou supérieurs aux niveaux minima de taxation de l’Union fixés dans la directive 2003/96/CE et compenseraient en partie l’augmentation des coûts de l’énergie dans la commune de Campione d’Italia. La réduction de taxation n’est cumulative avec aucun autre type d’allégement fiscal.

| (5) | Il convient dès lors d’autoriser l’Italie à appliquer des taux réduits de taxation au gazole utilisé pour le chauffage et à l’électricité, fournis dans la commune de Campione d’Italia. |
| --- | --- |

(5)

Il convient dès lors d’autoriser l’Italie à appliquer des taux réduits de taxation au gazole utilisé pour le chauffage et à l’électricité, fournis dans la commune de Campione d’Italia.

| (6) | Afin de faire en sorte que les objectifs poursuivis par la mesure dérogatoire soient réalisés, c’est-à-dire en particulier éviter les effets déstabilisateurs dus à la conjoncture économique et sociale actuelle de Campione d’Italia, ainsi qu’à sa situation géographique, et d’assurer des conditions de concurrence équitables en atténuant les coûts énergétiques élevés, il convient que la présente décision s’applique à partir du 1er janvier 2021. En prévoyant une date d’application antérieure à celle de l’entrée en vigueur de la mesure dérogatoire, les attentes légitimes des opérateurs du marché et des particuliers sont respectées, puisque la mesure dérogatoire ne porte pas atteinte à leurs droits et obligations. |
| --- | --- |

(6)

Afin de faire en sorte que les objectifs poursuivis par la mesure dérogatoire soient réalisés, c’est-à-dire en particulier éviter les effets déstabilisateurs dus à la conjoncture économique et sociale actuelle de Campione d’Italia, ainsi qu’à sa situation géographique, et d’assurer des conditions de concurrence équitables en atténuant les coûts énergétiques élevés, il convient que la présente décision s’applique à partir du 1er janvier 2021. En prévoyant une date d’application antérieure à celle de l’entrée en vigueur de la mesure dérogatoire, les attentes légitimes des opérateurs du marché et des particuliers sont respectées, puisque la mesure dérogatoire ne porte pas atteinte à leurs droits et obligations.

| (7) | Toute autorisation accordée au titre de l’article 19, paragraphe 2, de la directive 2003/96/CE doit être strictement limitée dans le temps. Afin d’offrir à la commune de Campione d’Italia un degré suffisant de prévisibilité, l’autorisation devrait être accordée pour une période de six ans. Toutefois, afin de ne pas compromettre les évolutions générales à venir du cadre juridique existant, il convient de prévoir que, si le Conseil, agissant en vertu de l’article 113 du traité sur le fonctionnement de l’Union européenne, adoptait un système général modifié de taxation des produits énergétiques avec lequel la présente autorisation ne serait pas compatible, cette dernière devrait cesser de s’appliquer le jour où ces règles générales deviennent applicables. |
| --- | --- |

(7)

Toute autorisation accordée au titre de l’article 19, paragraphe 2, de la directive 2003/96/CE doit être strictement limitée dans le temps. Afin d’offrir à la commune de Campione d’Italia un degré suffisant de prévisibilité, l’autorisation devrait être accordée pour une période de six ans. Toutefois, afin de ne pas compromettre les évolutions générales à venir du cadre juridique existant, il convient de prévoir que, si le Conseil, agissant en vertu de l’article 113 du traité sur le fonctionnement de l’Union européenne, adoptait un système général modifié de taxation des produits énergétiques avec lequel la présente autorisation ne serait pas compatible, cette dernière devrait cesser de s’appliquer le jour où ces règles générales deviennent applicables.

| (8) | La présente décision est sans préjudice de l’application des règles de l’Union relatives aux aides d’État, |
| --- | --- |

(8)

La présente décision est sans préjudice de l’application des règles de l’Union relatives aux aides d’État,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

L’Italie est autorisée à appliquer des taux réduits de taxation au gazole utilisé pour le chauffage et à l’électricité, fournis dans la commune de Campione d’Italia, pour autant que les niveaux minima de taxation visés aux articles 9 et 10 de la directive 2003/96/CE soient observés.

Article 2

La présente décision est applicable du 1er janvier 2021 au 31 décembre 2026.

Toutefois, si le Conseil, agissant en vertu de l’article 113 ou de toute autre disposition pertinente du traité sur le fonctionnement de l’Union européenne, adopte un système général modifié de taxation des produits énergétiques avec lequel l’autorisation accordée à l’article 1er de la présente décision n’est pas compatible, la présente décision cesse de s’appliquer le jour où ces règles générales deviennent applicables.

Article 3

La République italienne est destinataire de la présente décision.

Fait à Luxembourg, le 5 octobre 2021.

Par le Conseil

Le président

A. ŠIRCELJ

---

(1)  
  JO L 283 du 31.10.2003, p. 51.

1

---

| 11.10.2021 | FR | Journal officiel de l’Union européenne | L 360/117 |
| --- | --- | --- | --- |

11.10.2021

FR

Journal officiel de l’Union européenne

L 360/117

---

DÉCISION D’EXÉCUTION (UE) 2021/1778 DU CONSEIL

du 5 octobre 2021

autorisant la République fédérale d’Allemagne à appliquer une mesure particulière dérogatoire à l’article 193 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée

LE CONSEIL DE L’UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu la directive 2006/112/CE du Conseil du 28 novembre 2006 relative au système commun de taxe sur la valeur ajoutée (1), et notamment son article 395, paragraphe 1, premier alinéa,

vu la proposition de la Commission européenne,

considérant ce qui suit:

| (1) | L’article 193 de la directive 2006/112/CE prévoit que l’assujetti effectuant une livraison de biens ou une prestation de services est normalement redevable de la taxe sur la valeur ajoutée (TVA) envers les autorités fiscales. |
| --- | --- |

(1)

L’article 193 de la directive 2006/112/CE prévoit que l’assujetti effectuant une livraison de biens ou une prestation de services est normalement redevable de la taxe sur la valeur ajoutée (TVA) envers les autorités fiscales.

| (2) | Par lettre enregistrée à la Commission le 15 mars 2021, la République fédérale d’Allemagne (ci-après dénommée «Allemagne») a soumis à la Commission une demande visant à être autorisée à appliquer une mesure particulière dérogatoire à l’article 193 de la directive 2006/112/CE en ce qui concerne le redevable de la TVA en cas de transfert de quotas d’émission échangés dans un système national d’échange relevant de la loi sur l’échange de quotas d’émissions provenant de combustibles (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen – BEHG) du 12 décembre 2019 (ci-après dénommée «demande»). |
| --- | --- |

(2)

Par lettre enregistrée à la Commission le 15 mars 2021, la République fédérale d’Allemagne (ci-après dénommée «Allemagne») a soumis à la Commission une demande visant à être autorisée à appliquer une mesure particulière dérogatoire à l’article 193 de la directive 2006/112/CE en ce qui concerne le redevable de la TVA en cas de transfert de quotas d’émission échangés dans un système national d’échange relevant de la loi sur l’échange de quotas d’émissions provenant de combustibles (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen – BEHG) du 12 décembre 2019 (ci-après dénommée «demande»).

| (3) | En vertu de l’article 395, paragraphe 2, deuxième alinéa, de la directive 2006/112/CE, la Commission, par lettres datées du 7 avril 2021, a transmis la demande aux autres États membres et a informé l’Allemagne, par lettre datée du 8 avril 2021, qu’elle disposait de toutes les données utiles pour étudier la demande. |
| --- | --- |

(3)

En vertu de l’article 395, paragraphe 2, deuxième alinéa, de la directive 2006/112/CE, la Commission, par lettres datées du 7 avril 2021, a transmis la demande aux autres États membres et a informé l’Allemagne, par lettre datée du 8 avril 2021, qu’elle disposait de toutes les données utiles pour étudier la demande.

| (4) | L’article 199 bis, paragraphe 1, points a) et b), de la directive 2006/112/CE permet aux États membres de désigner comme redevables de la TVA les assujettis destinataires des transferts de quotas autorisant à émettre des gaz à effet de serre au sens de l’article 3 de la directive 2003/87/CE du Parlement européen et du Conseil (2) et des transferts d’autres unités pouvant être utilisées par les opérateurs en vue de se conformer à ladite directive («mécanisme d’autoliquidation»). Ces dispositions ont été intégrées dans la directive 2006/112/CE par la directive 2010/23/UE du Conseil (3) dans le but de contribuer à la lutte contre la fraude à la TVA. L’application du mécanisme d’autoliquidation à l’échange de quotas d’émission de gaz à effet de serre conformément à l’article 199 bis, paragraphe 1, points a) et b), de la directive 2006/112/CE se limite aux quotas échangés dans le cadre du système d’échange de quotas d’émission de l’UE (ci-après dénommé «SEQE de l’UE»). |
| --- | --- |

(4)

L’article 199 bis, paragraphe 1, points a) et b), de la directive 2006/112/CE permet aux États membres de désigner comme redevables de la TVA les assujettis destinataires des transferts de quotas autorisant à émettre des gaz à effet de serre au sens de l’article 3 de la directive 2003/87/CE du Parlement européen et du Conseil (2) et des transferts d’autres unités pouvant être utilisées par les opérateurs en vue de se conformer à ladite directive («mécanisme d’autoliquidation»). Ces dispositions ont été intégrées dans la directive 2006/112/CE par la directive 2010/23/UE du Conseil (3) dans le but de contribuer à la lutte contre la fraude à la TVA. L’application du mécanisme d’autoliquidation à l’échange de quotas d’émission de gaz à effet de serre conformément à l’article 199 bis, paragraphe 1, points a) et b), de la directive 2006/112/CE se limite aux quotas échangés dans le cadre du système d’échange de quotas d’émission de l’UE (ci-après dénommé «SEQE de l’UE»).

| (5) | Dans le cadre de la BEHG, l’Allemagne a élaboré un cadre juridique pour la mise en place d’un système national d’échange de quotas d’émission, qui couvre les émissions qui ne relèvent pas du SEQE de l’UE. Par conséquent, l’article 199 bis, paragraphe 1, points a) et b), de la directive 2006/112/CE ne fournit pas de base juridique pour l’application du mécanisme d’autoliquidation à l’échange de quotas au titre de la BEHG. |
| --- | --- |

(5)

Dans le cadre de la BEHG, l’Allemagne a élaboré un cadre juridique pour la mise en place d’un système national d’échange de quotas d’émission, qui couvre les émissions qui ne relèvent pas du SEQE de l’UE. Par conséquent, l’article 199 bis, paragraphe 1, points a) et b), de la directive 2006/112/CE ne fournit pas de base juridique pour l’application du mécanisme d’autoliquidation à l’échange de quotas au titre de la BEHG.

| (6) | D’après l’Allemagne, l’échange de quotas est très vulnérable à la fraude à la TVA. L’échange de quotas d’émissions provenant de combustibles relevant de la BEHG peut être exploité à des fins frauduleuses de la même manière que dans le cadre du SEQE de l’UE. Les quotas d’émission peuvent être échangés rapidement, facilement et à plusieurs reprises. Il est, dès lors, difficile pour les autorités de détecter ces changements de propriété et de veiller à ce que le montant correct de la taxe soit prélevé. L’acquéreur des quotas, qui est un assujetti bénéficiant du droit à déduction, pourrait déduire la TVA due, sans que le fournisseur n’ait versé aux autorités fiscales la taxe sur le chiffre d’affaires facturée. Plus précisément, l’intervention dans la chaîne d’approvisionnement d’«opérateurs défaillants» qui disparaissent rapidement ou ne possèdent aucun actif, empêche les autorités de percevoir la taxe éludée, ce qui a une incidence négative sur le budget. Afin de remédier aux pertes de recettes publiques, l’Allemagne a demandé l’autorisation de déroger à l’article 193 de la directive 2006/112/CE afin d’introduire le mécanisme d’autoliquidation pour le transfert de quotas d’émission. |
| --- | --- |

(6)

D’après l’Allemagne, l’échange de quotas est très vulnérable à la fraude à la TVA. L’échange de quotas d’émissions provenant de combustibles relevant de la BEHG peut être exploité à des fins frauduleuses de la même manière que dans le cadre du SEQE de l’UE. Les quotas d’émission peuvent être échangés rapidement, facilement et à plusieurs reprises. Il est, dès lors, difficile pour les autorités de détecter ces changements de propriété et de veiller à ce que le montant correct de la taxe soit prélevé. L’acquéreur des quotas, qui est un assujetti bénéficiant du droit à déduction, pourrait déduire la TVA due, sans que le fournisseur n’ait versé aux autorités fiscales la taxe sur le chiffre d’affaires facturée. Plus précisément, l’intervention dans la chaîne d’approvisionnement d’«opérateurs défaillants» qui disparaissent rapidement ou ne possèdent aucun actif, empêche les autorités de percevoir la taxe éludée, ce qui a une incidence négative sur le budget. Afin de remédier aux pertes de recettes publiques, l’Allemagne a demandé l’autorisation de déroger à l’article 193 de la directive 2006/112/CE afin d’introduire le mécanisme d’autoliquidation pour le transfert de quotas d’émission.

| (7) | La désignation du destinataire comme assujetti redevable de la TVA dans ces cas particuliers simplifierait la procédure de perception de la TVA et permettrait d’éviter certaines formes de fraude et d’évasion fiscales. Il convient dès lors d’autoriser l’Allemagne à appliquer le mécanisme d’autoliquidation au transfert de quotas d’émission échangés dans un système d’échange national relevant de la BEHG (ci-après dénommé «mesure particulière»). |
| --- | --- |

(7)

La désignation du destinataire comme assujetti redevable de la TVA dans ces cas particuliers simplifierait la procédure de perception de la TVA et permettrait d’éviter certaines formes de fraude et d’évasion fiscales. Il convient dès lors d’autoriser l’Allemagne à appliquer le mécanisme d’autoliquidation au transfert de quotas d’émission échangés dans un système d’échange national relevant de la BEHG (ci-après dénommé «mesure particulière»).

| (8) | La mesure particulière devrait être limitée dans le temps. Il y a donc lieu d’autoriser l’Allemagne à appliquer la mesure particulière jusqu’au 31 décembre 2024. |
| --- | --- |

(8)

La mesure particulière devrait être limitée dans le temps. Il y a donc lieu d’autoriser l’Allemagne à appliquer la mesure particulière jusqu’au 31 décembre 2024.

| (9) | Compte tenu du champ d’application et de la nouveauté de la mesure particulière, il est important d’évaluer son incidence. Par conséquent, dans le cas où l’Allemagne envisagerait de proroger la mesure particulière au-delà de 2024, elle devrait soumettre à la Commission un rapport contenant un réexamen de la mesure particulière en même temps que la demande de prorogation au plus tard le 31 mars 2024. Ce rapport devrait comporter une évaluation de l’incidence de la mesure particulière sur la lutte contre la fraude à la TVA et indiquer le nombre d’opérateurs économiques et d’opérations concernés par la mesure particulière. |
| --- | --- |

(9)

Compte tenu du champ d’application et de la nouveauté de la mesure particulière, il est important d’évaluer son incidence. Par conséquent, dans le cas où l’Allemagne envisagerait de proroger la mesure particulière au-delà de 2024, elle devrait soumettre à la Commission un rapport contenant un réexamen de la mesure particulière en même temps que la demande de prorogation au plus tard le 31 mars 2024. Ce rapport devrait comporter une évaluation de l’incidence de la mesure particulière sur la lutte contre la fraude à la TVA et indiquer le nombre d’opérateurs économiques et d’opérations concernés par la mesure particulière.

| (10) | La mesure particulière n’aura pas d’incidence négative sur les ressources propres de l’Union provenant de la TVA, |
| --- | --- |

(10)

La mesure particulière n’aura pas d’incidence négative sur les ressources propres de l’Union provenant de la TVA,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

Par dérogation à l’article 193 de la directive 2006/112/CE, la République fédérale d’Allemagne est autorisée à prévoir que le redevable de la TVA est l’assujetti destinataire du transfert des quotas d’émission échangés dans un système national d’échanges relevant de la loi sur l’échange des quotas d’émissions provenant de combustibles (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen) du 12 décembre 2019.

Article 2

La présente décision expire le 31 décembre 2024.

Toute demande de prorogation de la mesure particulière prévue par la présente décision est soumise à la Commission au plus tard le 31 mars 2024 et est accompagnée d’un rapport sur l’application de cette mesure, qui comprend une évaluation de l’incidence de la mesure sur la lutte contre la fraude à la TVA et indique le nombre d’opérateurs économiques et d’opérations concernés par la mesure.

Article 3

La présente décision prend effet le jour de sa notification.

Article 4

La République fédérale d’Allemagne est destinataire de la présente décision.

Fait à Luxembourg, le 5 octobre 2021.

Par le Conseil

Le président

A. ŠIRCELJ

---

(1)  
  JO L 347 du 11.12.2006, p. 1.

1

(2)  Directive 2003/87/CE du Parlement européen et du Conseil du 13 octobre 2003 établissant un système d’échange de quotas d’émission de gaz à effet de serre dans l’Union et modifiant la directive 96/61/CE du Conseil (JO L 275 du 25.10.2003, p. 32).

2

(3)  Directive 2010/23/UE du Conseil du 16 mars 2010 modifiant la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée en ce qui concerne l’application facultative et temporaire de l’autoliquidation aux prestations de certains services présentant un risque de fraude (JO L 72 du 20.3.2010, p. 1).

3

---

| 11.10.2021 | FR | Journal officiel de l’Union européenne | L 360/120 |
| --- | --- | --- | --- |

11.10.2021

FR

Journal officiel de l’Union européenne

L 360/120

---

DÉCISION D’EXÉCUTION (UE) 2021/1779 DU CONSEIL

du 5 octobre 2021

modifiant la décision d’exécution 2009/1013/UE autorisant la République d’Autriche à proroger l’application d’une mesure dérogeant à l’article 168 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée

LE CONSEIL DE L’UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu la directive 2006/112/CE du Conseil du 28 novembre 2006 relative au système commun de taxe sur la valeur ajoutée (1), et notamment son article 395, paragraphe 1, premier alinéa,

vu la proposition de la Commission européenne,

considérant ce qui suit:

| (1) | La décision d’exécution 2009/1013/UE du Conseil (2) a autorisé la République d’Autriche (ci-après dénommée «Autriche») à appliquer une mesure particulière dérogatoire à la directive 2006/112/CE (ci-après dénommée «mesure particulière»). Après avoir fait l’objet de prorogations successives, cette autorisation arrive à expiration le 31 décembre 2021. |
| --- | --- |

(1)

La décision d’exécution 2009/1013/UE du Conseil (2) a autorisé la République d’Autriche (ci-après dénommée «Autriche») à appliquer une mesure particulière dérogatoire à la directive 2006/112/CE (ci-après dénommée «mesure particulière»). Après avoir fait l’objet de prorogations successives, cette autorisation arrive à expiration le 31 décembre 2021.

| (2) | La directive 2009/162/UE du Conseil (3) a inséré l’article 168 bis dans la directive 2006/112/CE afin de limiter la déduction à la proportion de l’utilisation effective aux fins des activités de l’entreprise et d’appliquer ainsi plus efficacement le principe selon lequel la déduction ne prend naissance que dans la mesure où les biens et les services concernés sont utilisés aux fins des activités de l’entreprise de l’assujetti. L’article 1er de la décision d’exécution 2009/1013/UE a été modifié afin d’inclure une référence à l’article 168 bis de la directive 2006/112/CE. Le titre de la décision d’exécution 2009/1013/UE doit donc également mentionner l’article 168 bis de la directive 2006/112/CE. |
| --- | --- |

(2)

La directive 2009/162/UE du Conseil (3) a inséré l’article 168 bis dans la directive 2006/112/CE afin de limiter la déduction à la proportion de l’utilisation effective aux fins des activités de l’entreprise et d’appliquer ainsi plus efficacement le principe selon lequel la déduction ne prend naissance que dans la mesure où les biens et les services concernés sont utilisés aux fins des activités de l’entreprise de l’assujetti. L’article 1er de la décision d’exécution 2009/1013/UE a été modifié afin d’inclure une référence à l’article 168 bis de la directive 2006/112/CE. Le titre de la décision d’exécution 2009/1013/UE doit donc également mentionner l’article 168 bis de la directive 2006/112/CE.

| (3) | La mesure particulière déroge aux articles 168 et 168 bis de la directive 2006/112/CE régissant le droit des assujettis de déduire la taxe sur la valeur ajoutée (TVA) grevant les biens et services qui leur sont fournis pour les besoins de leurs opérations taxées. La mesure particulière vise à exclure du droit à déduction la TVA grevant les biens et services lorsque l’assujetti utilise ces derniers à plus de 90 % pour ses besoins privés ou ceux de son personnel ou, plus généralement, à des fins étrangères à son entreprise ou pour des activités non économiques. |
| --- | --- |

(3)

La mesure particulière déroge aux articles 168 et 168 bis de la directive 2006/112/CE régissant le droit des assujettis de déduire la taxe sur la valeur ajoutée (TVA) grevant les biens et services qui leur sont fournis pour les besoins de leurs opérations taxées. La mesure particulière vise à exclure du droit à déduction la TVA grevant les biens et services lorsque l’assujetti utilise ces derniers à plus de 90 % pour ses besoins privés ou ceux de son personnel ou, plus généralement, à des fins étrangères à son entreprise ou pour des activités non économiques.

| (4) | L’objectif de cette mesure est de simplifier la procédure d’imposition et de perception de la TVA. Elle n’a qu’une incidence minime sur le montant de la taxe due au stade de la consommation finale. |
| --- | --- |

(4)

L’objectif de cette mesure est de simplifier la procédure d’imposition et de perception de la TVA. Elle n’a qu’une incidence minime sur le montant de la taxe due au stade de la consommation finale.

| (5) | Par lettre enregistrée à la Commission le 19 mars 2021, l’Autriche a demandé l’autorisation de continuer à appliquer la mesure particulière (ci-après dénommée «demande»). |
| --- | --- |

(5)

Par lettre enregistrée à la Commission le 19 mars 2021, l’Autriche a demandé l’autorisation de continuer à appliquer la mesure particulière (ci-après dénommée «demande»).

| (6) | En vertu de l’article 395, paragraphe 2, deuxième alinéa, de la directive 2006/112/CE, la Commission a transmis la demande aux autres États membres par lettres datées du 7 avril 2021. Par lettre datée du 8 avril 2021, la Commission a informé l’Autriche qu’elle disposait de toutes les données utiles pour étudier la demande. |
| --- | --- |

(6)

En vertu de l’article 395, paragraphe 2, deuxième alinéa, de la directive 2006/112/CE, la Commission a transmis la demande aux autres États membres par lettres datées du 7 avril 2021. Par lettre datée du 8 avril 2021, la Commission a informé l’Autriche qu’elle disposait de toutes les données utiles pour étudier la demande.

| (7) | Selon l’Autriche, la mesure particulière s’est révélée très efficace pour simplifier la perception de la TVA et éviter certaines formes de fraude et d’évasion fiscales. La mesure réduit les charges administratives pour les entreprises et les administrations fiscales, puisqu’elle rend inutile toute forme de suivi de l’utilisation ultérieure des biens et services auxquels l’exclusion du droit à déduction a été appliquée au moment de l’acquisition. Il convient donc que l’Autriche soit autorisée à continuer d’appliquer la mesure particulière pour une nouvelle période limitée, s’achevant le 31 décembre 2024. |
| --- | --- |

(7)

Selon l’Autriche, la mesure particulière s’est révélée très efficace pour simplifier la perception de la TVA et éviter certaines formes de fraude et d’évasion fiscales. La mesure réduit les charges administratives pour les entreprises et les administrations fiscales, puisqu’elle rend inutile toute forme de suivi de l’utilisation ultérieure des biens et services auxquels l’exclusion du droit à déduction a été appliquée au moment de l’acquisition. Il convient donc que l’Autriche soit autorisée à continuer d’appliquer la mesure particulière pour une nouvelle période limitée, s’achevant le 31 décembre 2024.

| (8) | Si l’Autriche juge nécessaire de proroger l’autorisation au-delà de 2024, il convient qu’elle présente une demande à la Commission, au plus tard le 31 mars 2024, accompagnée d’un rapport sur l’application de la mesure particulière, comprenant le réexamen du pourcentage de répartition appliqué. |
| --- | --- |

(8)

Si l’Autriche juge nécessaire de proroger l’autorisation au-delà de 2024, il convient qu’elle présente une demande à la Commission, au plus tard le 31 mars 2024, accompagnée d’un rapport sur l’application de la mesure particulière, comprenant le réexamen du pourcentage de répartition appliqué.

| (9) | La mesure particulière n’aura pas d’incidence négative sur les ressources propres de l’Union provenant de la TVA. |
| --- | --- |

(9)

La mesure particulière n’aura pas d’incidence négative sur les ressources propres de l’Union provenant de la TVA.

| (10) | Il y a donc lieu de modifier la décision d’exécution 2009/1013/UE en conséquence, |
| --- | --- |

(10)

Il y a donc lieu de modifier la décision d’exécution 2009/1013/UE en conséquence,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

La décision d’exécution 2009/1013/UE est modifiée comme suit:

| 1) | Le titre est remplacé par le texte suivant:

  «Décision d’exécution 2009/1013/UE du Conseil du 22 décembre 2009 autorisant la République d’Autriche à proroger l’application d’une mesure dérogeant aux articles 168 et 168 bis de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée». |
| --- | --- |

1)

Le titre est remplacé par le texte suivant:

«Décision d’exécution 2009/1013/UE du Conseil du 22 décembre 2009 autorisant la République d’Autriche à proroger l’application d’une mesure dérogeant aux articles 168 et 168 bis de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée».

| 2) | Les articles 1er et 2 sont remplacés par le texte suivant:

  «Article premier
  Par dérogation aux articles 168 et 168 bis de la directive 2006/112/CE, la République d’Autriche est autorisée à exclure complètement du droit à déduction de la taxe sur la valeur ajoutée (TVA) la TVA grevant les biens et services que l’assujetti utilise à plus de 90 % pour ses besoins privés ou ceux de son personnel ou, plus généralement, à des fins étrangères à son entreprise ou pour des activités non économiques.


  Article 2
  La présente décision expire le 31 décembre 2024.
  Toute demande de prorogation de la mesure dérogatoire prévue par la présente décision est soumise à la Commission au plus tard le 31 mars 2024.
  Elle s’accompagne d’un rapport sur l’application de cette mesure qui comprend un réexamen du pourcentage de répartition appliqué au droit à déduction de la TVA sur la base de la présente décision.». |
| --- | --- |

2)

Les articles 1er et 2 sont remplacés par le texte suivant:

«Article premier

Par dérogation aux articles 168 et 168 bis de la directive 2006/112/CE, la République d’Autriche est autorisée à exclure complètement du droit à déduction de la taxe sur la valeur ajoutée (TVA) la TVA grevant les biens et services que l’assujetti utilise à plus de 90 % pour ses besoins privés ou ceux de son personnel ou, plus généralement, à des fins étrangères à son entreprise ou pour des activités non économiques.

Article 2

La présente décision expire le 31 décembre 2024.

Toute demande de prorogation de la mesure dérogatoire prévue par la présente décision est soumise à la Commission au plus tard le 31 mars 2024.

Elle s’accompagne d’un rapport sur l’application de cette mesure qui comprend un réexamen du pourcentage de répartition appliqué au droit à déduction de la TVA sur la base de la présente décision.».

Article 2

La présente décision prend effet le jour de sa notification.

Article 3

La République d’Autriche est destinataire de la présente décision.

Fait à Luxembourg, le 5 octobre 2021.

Par le Conseil

Le président

A. ŠIRCELJ

---

(1)  
  JO L 347 du 11.12.2006, p. 1.

1

(2)  Décision d’exécution 2009/1013/UE du Conseil du 22 décembre 2009 autorisant la République d’Autriche à proroger l’application d’une mesure dérogeant à l’article 168 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée (JO L 348 du 29.12.2009, p. 21).

2

(3)  Directive 2009/162/UE du Conseil du 22 décembre 2009 modifiant diverses dispositions de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée (JO L 10 du 15.1.2010, p. 14).

3

---

| 11.10.2021 | FR | Journal officiel de l’Union européenne | L 360/122 |
| --- | --- | --- | --- |

11.10.2021

FR

Journal officiel de l’Union européenne

L 360/122

---

DÉCISION D’EXÉCUTION (UE) 2021/1780 DU CONSEIL

du 5 octobre 2021

modifiant la décision 2009/790/CE autorisant la République de Pologne à appliquer une mesure dérogatoire à l’article 287 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée

LE CONSEIL DE L’UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu la directive 2006/112/CE du Conseil du 28 novembre 2006 relative au système commun de taxe sur la valeur ajoutée (1), et notamment son article 395, paragraphe 1,

vu la proposition de la Commission européenne,

considérant ce qui suit:

| (1) | En vertu de l’article 287, point 14), de la directive 2006/112/CE, la République de Pologne (ci-après dénommée «Pologne») peut octroyer une franchise de taxe sur la valeur ajoutée (TVA) aux assujettis dont le chiffre d’affaires annuel est au maximum égal à la contre-valeur en monnaie nationale de 10 000 EUR, au taux de conversion du jour de son adhésion. |
| --- | --- |

(1)

En vertu de l’article 287, point 14), de la directive 2006/112/CE, la République de Pologne (ci-après dénommée «Pologne») peut octroyer une franchise de taxe sur la valeur ajoutée (TVA) aux assujettis dont le chiffre d’affaires annuel est au maximum égal à la contre-valeur en monnaie nationale de 10 000 EUR, au taux de conversion du jour de son adhésion.

| (2) | En vertu de la décision 2009/790/CE du Conseil (2), la Pologne est autorisée à appliquer une mesure particulière dérogatoire à l’article 287 de la directive 2006/112/CE afin d’octroyer une franchise de TVA aux assujettis dont le chiffre d’affaires annuel est au maximum égal à la contre-valeur en monnaie nationale de 40 000 EUR (ci-après dénommée «mesure dérogatoire»). |
| --- | --- |

(2)

En vertu de la décision 2009/790/CE du Conseil (2), la Pologne est autorisée à appliquer une mesure particulière dérogatoire à l’article 287 de la directive 2006/112/CE afin d’octroyer une franchise de TVA aux assujettis dont le chiffre d’affaires annuel est au maximum égal à la contre-valeur en monnaie nationale de 40 000 EUR (ci-après dénommée «mesure dérogatoire»).

| (3) | En vertu de la décision d’exécution (UE) 2018/1919 du Conseil (3), la Pologne a été autorisée à continuer d’appliquer la mesure dérogatoire jusqu’au 31 décembre 2021 ou jusqu’à l’entrée en vigueur d’une directive modifiant les dispositions des articles 281 à 294 de la directive 2006/112/CE, la date la plus proche étant retenue. |
| --- | --- |

(3)

En vertu de la décision d’exécution (UE) 2018/1919 du Conseil (3), la Pologne a été autorisée à continuer d’appliquer la mesure dérogatoire jusqu’au 31 décembre 2021 ou jusqu’à l’entrée en vigueur d’une directive modifiant les dispositions des articles 281 à 294 de la directive 2006/112/CE, la date la plus proche étant retenue.

| (4) | Par lettre enregistrée à la Commission le 1er mars 2021, la Pologne a présenté à la Commission une demande l’autorisant à continuer à appliquer jusqu’au 31 décembre 2024 la mesure dérogatoire (ci-après dénommée «demande»). |
| --- | --- |

(4)

Par lettre enregistrée à la Commission le 1er mars 2021, la Pologne a présenté à la Commission une demande l’autorisant à continuer à appliquer jusqu’au 31 décembre 2024 la mesure dérogatoire (ci-après dénommée «demande»).

| (5) | En vertu de l’article 395, paragraphe 2, deuxième alinéa, de la directive 2006/112/CE, la Commission a transmis la demande aux autres États membres, à l’exception de Chypre, par lettres datées du 25 mars 2021, et à Chypre, par lettre datée du 26 mars 2021. Par lettre datée du 29 mars 2021, la Commission a notifié à la Pologne qu’elle disposait de toutes les données utiles pour étudier la demande. |
| --- | --- |

(5)

En vertu de l’article 395, paragraphe 2, deuxième alinéa, de la directive 2006/112/CE, la Commission a transmis la demande aux autres États membres, à l’exception de Chypre, par lettres datées du 25 mars 2021, et à Chypre, par lettre datée du 26 mars 2021. Par lettre datée du 29 mars 2021, la Commission a notifié à la Pologne qu’elle disposait de toutes les données utiles pour étudier la demande.

| (6) | La mesure dérogatoire est conforme aux objectifs de la communication de la Commission du 25 juin 2008 intitulée «“Think Small First”: Priorité aux PME — Un “Small Business Act” pour l’Europe». |
| --- | --- |

(6)

La mesure dérogatoire est conforme aux objectifs de la communication de la Commission du 25 juin 2008 intitulée «“Think Small First”: Priorité aux PME — Un “Small Business Act” pour l’Europe».

| (7) | Selon les informations fournies par la Pologne, la mesure dérogatoire n’aura qu’une incidence négligeable sur le montant global des recettes fiscales de la Pologne perçues au stade de la consommation finale. Les assujettis auront toujours la possibilité d’opter pour le régime normal de TVA. |
| --- | --- |

(7)

Selon les informations fournies par la Pologne, la mesure dérogatoire n’aura qu’une incidence négligeable sur le montant global des recettes fiscales de la Pologne perçues au stade de la consommation finale. Les assujettis auront toujours la possibilité d’opter pour le régime normal de TVA.

| (8) | À la suite de l’entrée en vigueur du règlement (UE, Euratom) 2021/769 du Conseil (4), il n’y aura pas de calcul de compensation effectué par la Pologne en ce qui concerne le relevé des ressources propres TVA à partir de l’exercice 2021. |
| --- | --- |

(8)

À la suite de l’entrée en vigueur du règlement (UE, Euratom) 2021/769 du Conseil (4), il n’y aura pas de calcul de compensation effectué par la Pologne en ce qui concerne le relevé des ressources propres TVA à partir de l’exercice 2021.

| (9) | Étant donné l’incidence positive potentielle de la mesure dérogatoire qui simplifie les obligations liées à la TVA en réduisant la charge administrative et les coûts pour les petites entreprises, il convient d’autoriser la Pologne à appliquer la mesure dérogatoire pendant une nouvelle période. |
| --- | --- |

(9)

Étant donné l’incidence positive potentielle de la mesure dérogatoire qui simplifie les obligations liées à la TVA en réduisant la charge administrative et les coûts pour les petites entreprises, il convient d’autoriser la Pologne à appliquer la mesure dérogatoire pendant une nouvelle période.

| (10) | La directive (UE) 2020/285 du Conseil (5) a modifié les articles 281 à 294 de la directive 2006/112/CE en ce qui concerne le régime particulier des petites entreprises et fixant de nouvelles règles pour les petites entreprises, y compris l’introduction, pour les États membres, d’un seuil maximal de chiffre d’affaires annuel égal à 85 000 EUR ou à sa contre-valeur en monnaie nationale. |
| --- | --- |

(10)

La directive (UE) 2020/285 du Conseil (5) a modifié les articles 281 à 294 de la directive 2006/112/CE en ce qui concerne le régime particulier des petites entreprises et fixant de nouvelles règles pour les petites entreprises, y compris l’introduction, pour les États membres, d’un seuil maximal de chiffre d’affaires annuel égal à 85 000 EUR ou à sa contre-valeur en monnaie nationale.

| (11) | Il y a lieu de limiter dans le temps l’autorisation d’appliquer la mesure dérogatoire. La limite temporelle devrait être suffisante pour permettre d’évaluer l’efficacité et la pertinence du seuil. Par ailleurs, la directive (UE) 2020/285 exige des États membres qu’ils adoptent et publient, au plus tard le 31 décembre 2024, les dispositions législatives, réglementaires et administratives nécessaires pour se conformer à l’article 1er de ladite directive et les appliquer à compter du 1er janvier 2025. Il est donc approprié d’autoriser la Pologne à appliquer la mesure dérogatoire jusqu’au 31 décembre 2024. |
| --- | --- |

(11)

Il y a lieu de limiter dans le temps l’autorisation d’appliquer la mesure dérogatoire. La limite temporelle devrait être suffisante pour permettre d’évaluer l’efficacité et la pertinence du seuil. Par ailleurs, la directive (UE) 2020/285 exige des États membres qu’ils adoptent et publient, au plus tard le 31 décembre 2024, les dispositions législatives, réglementaires et administratives nécessaires pour se conformer à l’article 1er de ladite directive et les appliquer à compter du 1er janvier 2025. Il est donc approprié d’autoriser la Pologne à appliquer la mesure dérogatoire jusqu’au 31 décembre 2024.

| (12) | Il convient, dès lors, de modifier la décision 2009/790/CE en conséquence, |
| --- | --- |

(12)

Il convient, dès lors, de modifier la décision 2009/790/CE en conséquence,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

L’article 2 de la décision 2009/790/CE est remplacé par le texte suivant:

«Article 2

La présente décision est applicable du 1er janvier 2010 au 31 décembre 2024.».

Article 2

La présente décision prend effet le jour de sa notification.

Article 3

La République de Pologne est destinataire de la présente décision.

Fait à Luxembourg, le 5 octobre 2021.

Par le Conseil

Le président

A. ŠIRCELJ

---

(1)  
  JO L 347 du 11.12.2006, p. 1.

1

(2)  Décision 2009/790/CE du Conseil du 20 octobre 2009 autorisant la République de Pologne à appliquer une mesure dérogatoire à l’article 287 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée (JO L 283 du 30.10.2009, p. 53).

2

(3)  Décision d’exécution (UE) 2018/1919 du Conseil du 4 décembre 2018 modifiant la décision 2009/790/CE autorisant la République de Pologne à appliquer une mesure dérogatoire à l’article 287 de la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée (JO L 311 du 7.12.2018, p. 32).

3

(4)  Règlement (UE, Euratom) 2021/769 du Conseil du 30 avril 2021 modifiant le règlement (CEE, Euratom) no 1553/89 concernant le régime uniforme définitif de perception des ressources propres provenant de la taxe sur la valeur ajoutée (JO L 165 du 11.5.2021, p. 9).

4

o

(5)  Directive (UE) 2020/285 du Conseil du 18 février 2020 modifiant la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée en ce qui concerne le régime particulier des petites entreprises et le règlement (UE) no 904/2010 en ce qui concerne la coopération administrative et l’échange d’informations aux fins du contrôle de l’application correcte du régime particulier des petites entreprises (JO L 62 du 2.3.2020, p. 13).

5

o

---

| 11.10.2021 | FR | Journal officiel de l’Union européenne | L 360/124 |
| --- | --- | --- | --- |

11.10.2021

FR

Journal officiel de l’Union européenne

L 360/124

---

DÉCISION D’EXÉCUTION (UE) 2021/1781 DU CONSEIL

du 7 octobre 2021

relative à la suspension de certaines dispositions du règlement (CE) no 810/2009 du Parlement européen et du Conseil en ce qui concerne la Gambie

LE CONSEIL DE L’UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (CE) no 810/2009 du Parlement européen et du Conseil du 13 juillet 2009 établissant un code communautaire des visas (code des visas) (1), et notamment son article 25 bis, paragraphe 5, point a),

vu la proposition de la Commission européenne,

considérant ce qui suit:

| (1) | À la fin du mois de février 2019, les autorités gambiennes ont décidé unilatéralement d’imposer un moratoire sur toutes les opérations de retour forcé, ce qui a empêché des retours effectifs durant la majeure partie de l’année 2019. Après la levée du moratoire en janvier 2020, les États membres ont dû faire face à des obstacles récurrents imposés par la Gambie à l’organisation et à la mise en œuvre d’opérations de retour. Les niveaux fluctuants de la coopération gambienne ont également entravé toutes les phases du processus de retour, y compris lors de l’application des bonnes pratiques existantes et des autres modalités opérationnelles convenues préalablement entre l’Union et la Gambie. Le 6 avril 2021, les autorités gambiennes ont indiqué que, jusqu’à nouvel ordre, le pays n’était pas en mesure d’accueillir des personnes faisant l’objet d’une décision de retour et, en juin 2021, elles ont confirmé l’existence d’un «moratoire sur le retour forcé ou le rapatriement jusqu’après les élections de décembre». |
| --- | --- |

(1)

À la fin du mois de février 2019, les autorités gambiennes ont décidé unilatéralement d’imposer un moratoire sur toutes les opérations de retour forcé, ce qui a empêché des retours effectifs durant la majeure partie de l’année 2019. Après la levée du moratoire en janvier 2020, les États membres ont dû faire face à des obstacles récurrents imposés par la Gambie à l’organisation et à la mise en œuvre d’opérations de retour. Les niveaux fluctuants de la coopération gambienne ont également entravé toutes les phases du processus de retour, y compris lors de l’application des bonnes pratiques existantes et des autres modalités opérationnelles convenues préalablement entre l’Union et la Gambie. Le 6 avril 2021, les autorités gambiennes ont indiqué que, jusqu’à nouvel ordre, le pays n’était pas en mesure d’accueillir des personnes faisant l’objet d’une décision de retour et, en juin 2021, elles ont confirmé l’existence d’un «moratoire sur le retour forcé ou le rapatriement jusqu’après les élections de décembre».

| (2) | Depuis 2019, la Commission a pris des mesures pour améliorer le niveau de coopération de la Gambie en matière de réadmission de ressortissants de pays tiers en séjour irrégulier. Ces mesures ont consisté en plusieurs réunions avec les autorités gambiennes, tant au niveau technique qu’au niveau politique, visant à trouver des solutions mutuellement acceptables et à convenir de nouveaux projets de soutien au profit de la Gambie. Parallèlement, des échanges à haut niveau ont eu lieu entre la Commission et la Gambie. Des questions de réadmission ont également été soulevées avec la Gambie lors d’autres réunions organisées par le SEAE. |
| --- | --- |

(2)

Depuis 2019, la Commission a pris des mesures pour améliorer le niveau de coopération de la Gambie en matière de réadmission de ressortissants de pays tiers en séjour irrégulier. Ces mesures ont consisté en plusieurs réunions avec les autorités gambiennes, tant au niveau technique qu’au niveau politique, visant à trouver des solutions mutuellement acceptables et à convenir de nouveaux projets de soutien au profit de la Gambie. Parallèlement, des échanges à haut niveau ont eu lieu entre la Commission et la Gambie. Des questions de réadmission ont également été soulevées avec la Gambie lors d’autres réunions organisées par le SEAE.

| (3) | Compte tenu des mesures prises jusqu’à présent par la Commission pour améliorer le niveau de coopération ainsi que les relations globales de l’Union avec la Gambie, il est considéré que la coopération de la Gambie avec l’Union sur les questions de réadmission n’est pas suffisante et l’action de l’Union est par conséquent nécessaire. |
| --- | --- |

(3)

Compte tenu des mesures prises jusqu’à présent par la Commission pour améliorer le niveau de coopération ainsi que les relations globales de l’Union avec la Gambie, il est considéré que la coopération de la Gambie avec l’Union sur les questions de réadmission n’est pas suffisante et l’action de l’Union est par conséquent nécessaire.

| (4) | L’application de certaines dispositions du règlement (CE) no 810/2009 dès lors être temporairement suspendue pour les ressortissants gambiens soumis à l’obligation de visa au titre du règlement (UE) 2018/1806 du Parlement européen et du Conseil (2). Cela devrait inciter les autorités gambiennes à faire le nécessaire pour améliorer la coopération sur les questions de réadmission. |
| --- | --- |

(4)

L’application de certaines dispositions du règlement (CE) no 810/2009 dès lors être temporairement suspendue pour les ressortissants gambiens soumis à l’obligation de visa au titre du règlement (UE) 2018/1806 du Parlement européen et du Conseil (2). Cela devrait inciter les autorités gambiennes à faire le nécessaire pour améliorer la coopération sur les questions de réadmission.

| (5) | Les dispositions temporairement suspendues sont celles figurant à l’article 25 bis, paragraphe 5, point a), du code des visas: la suspension de la possibilité d’exempter les demandeurs de visa visés à l’article 14, paragraphe 6, des obligations prévues en matière de pièces justificatives à présenter, la suspension du délai général de traitement de quinze jours calendaires visé à l’article 23, paragraphe 1 (ce qui exclut par conséquent également l’application de la règle relative à la prolongation de ce délai jusqu’à quarante-cinq jours au maximum dans des cas particuliers), la suspension de la délivrance de visas à entrées multiples conformément à l’article 24, paragraphes 2 et 2 quater, ainsi que la suspension de l’exemption facultative du paiement des droits de visa pour les titulaires de passeports diplomatiques ou de service prévue par l’article 16, paragraphe 5, point b). |
| --- | --- |

(5)

Les dispositions temporairement suspendues sont celles figurant à l’article 25 bis, paragraphe 5, point a), du code des visas: la suspension de la possibilité d’exempter les demandeurs de visa visés à l’article 14, paragraphe 6, des obligations prévues en matière de pièces justificatives à présenter, la suspension du délai général de traitement de quinze jours calendaires visé à l’article 23, paragraphe 1 (ce qui exclut par conséquent également l’application de la règle relative à la prolongation de ce délai jusqu’à quarante-cinq jours au maximum dans des cas particuliers), la suspension de la délivrance de visas à entrées multiples conformément à l’article 24, paragraphes 2 et 2 quater, ainsi que la suspension de l’exemption facultative du paiement des droits de visa pour les titulaires de passeports diplomatiques ou de service prévue par l’article 16, paragraphe 5, point b).

| (6) | L’article 21, paragraphe 1, du traité sur le fonctionnement de l’Union européenne (TFUE) prévoit que tout citoyen de l’Union a le droit de circuler et de séjourner librement sur le territoire des États membres, sous réserve des limitations et conditions prévues par les traités et par les dispositions prises pour leur application. La directive 2004/38/CE du Parlement européen et du Conseil (3) donne effet à ces limitations et conditions. La présente décision n’affecte pas l’application de ladite directive, qui étend le droit à la libre circulation aux membres de la famille du citoyen de l’Union, indépendamment de leur nationalité, lorsqu’ils accompagnent ou rejoignent ce dernier. La présente décision ne s’applique donc pas aux membres de la famille d’un citoyen de l’Union auxquels s’applique la directive 2004/38/CE ni aux membres de la famille d’un ressortissant de pays tiers jouissant d’un droit à la libre circulation équivalent à celui des citoyens de l’Union en vertu d’un accord entre l’Union et ses États membres, d’une part, et un pays tiers, d’autre part. |
| --- | --- |

(6)

L’article 21, paragraphe 1, du traité sur le fonctionnement de l’Union européenne (TFUE) prévoit que tout citoyen de l’Union a le droit de circuler et de séjourner librement sur le territoire des États membres, sous réserve des limitations et conditions prévues par les traités et par les dispositions prises pour leur application. La directive 2004/38/CE du Parlement européen et du Conseil (3) donne effet à ces limitations et conditions. La présente décision n’affecte pas l’application de ladite directive, qui étend le droit à la libre circulation aux membres de la famille du citoyen de l’Union, indépendamment de leur nationalité, lorsqu’ils accompagnent ou rejoignent ce dernier. La présente décision ne s’applique donc pas aux membres de la famille d’un citoyen de l’Union auxquels s’applique la directive 2004/38/CE ni aux membres de la famille d’un ressortissant de pays tiers jouissant d’un droit à la libre circulation équivalent à celui des citoyens de l’Union en vertu d’un accord entre l’Union et ses États membres, d’une part, et un pays tiers, d’autre part.

| (7) | Les mesures prévues par la présente décision devraient s’entendre sans préjudice des obligations qui incombent aux États membres en vertu du droit international en tant que pays hôtes d’organisations intergouvernementales internationales ou de conférences internationales convoquées par des organisations intergouvernementales internationales établies dans des États membres. Par conséquent, la suspension temporaire ne devrait pas s’appliquer aux ressortissants gambiens demandant un visa dans la mesure où cela est nécessaire pour que les États membres se conforment à leurs obligations en tant que pays hôtes de telles organisations ou de telles conférences. |
| --- | --- |

(7)

Les mesures prévues par la présente décision devraient s’entendre sans préjudice des obligations qui incombent aux États membres en vertu du droit international en tant que pays hôtes d’organisations intergouvernementales internationales ou de conférences internationales convoquées par des organisations intergouvernementales internationales établies dans des États membres. Par conséquent, la suspension temporaire ne devrait pas s’appliquer aux ressortissants gambiens demandant un visa dans la mesure où cela est nécessaire pour que les États membres se conforment à leurs obligations en tant que pays hôtes de telles organisations ou de telles conférences.

| (8) | Conformément aux articles 1er et 2 du protocole no 22 sur la position du Danemark, annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, le Danemark ne participe pas à l’adoption de la présente décision et n’est pas lié par celle-ci ni soumis à son application. La présente décision développant l’acquis de Schengen, le Danemark décide, conformément à l’article 4 dudit protocole, dans un délai de six mois après que le Conseil a statué sur la présente décision s’il la transpose dans son droit national. |
| --- | --- |

(8)

Conformément aux articles 1er et 2 du protocole no 22 sur la position du Danemark, annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, le Danemark ne participe pas à l’adoption de la présente décision et n’est pas lié par celle-ci ni soumis à son application. La présente décision développant l’acquis de Schengen, le Danemark décide, conformément à l’article 4 dudit protocole, dans un délai de six mois après que le Conseil a statué sur la présente décision s’il la transpose dans son droit national.

| (9) | La présente décision constitue un développement de dispositions de l’acquis de Schengen auxquelles l’Irlande ne participe pas, conformément à la décision 2002/192/CE du Conseil (4); l’Irlande ne participe donc pas à l’adoption de la présente décision et n’est pas liée par celle-ci ni soumise à son application. |
| --- | --- |

(9)

La présente décision constitue un développement de dispositions de l’acquis de Schengen auxquelles l’Irlande ne participe pas, conformément à la décision 2002/192/CE du Conseil (4); l’Irlande ne participe donc pas à l’adoption de la présente décision et n’est pas liée par celle-ci ni soumise à son application.

| (10) | En ce qui concerne l’Islande et la Norvège, la présente décision constitue un développement des dispositions de l’acquis de Schengen au sens de l’accord conclu par le Conseil de l’Union européenne, la République d’Islande et le Royaume de Norvège sur l’association de ces deux États à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (5), qui relèvent du domaine visé à l’article 1er, point B, de la décision 1999/437/CE du Conseil (6). |
| --- | --- |

(10)

En ce qui concerne l’Islande et la Norvège, la présente décision constitue un développement des dispositions de l’acquis de Schengen au sens de l’accord conclu par le Conseil de l’Union européenne, la République d’Islande et le Royaume de Norvège sur l’association de ces deux États à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (5), qui relèvent du domaine visé à l’article 1er, point B, de la décision 1999/437/CE du Conseil (6).

| (11) | En ce qui concerne la Suisse, la présente décision constitue un développement des dispositions de l’acquis de Schengen au sens de l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (7), qui relèvent du domaine visé à l’article 1er, point B, de la décision 1999/437/CE, lue en liaison avec l’article 3 de la décision 2008/146/CE du Conseil (8). |
| --- | --- |

(11)

En ce qui concerne la Suisse, la présente décision constitue un développement des dispositions de l’acquis de Schengen au sens de l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (7), qui relèvent du domaine visé à l’article 1er, point B, de la décision 1999/437/CE, lue en liaison avec l’article 3 de la décision 2008/146/CE du Conseil (8).

| (12) | En ce qui concerne le Liechtenstein, la présente décision constitue un développement des dispositions de l’acquis de Schengen au sens du protocole entre l’Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l’adhésion de la Principauté de Liechtenstein à l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (9), qui relèvent du domaine visé à l’article 1er, point B, de la décision 1999/437/CE, lue en liaison avec l’article 3 de la décision 2011/350/UE du Conseil (10). |
| --- | --- |

(12)

En ce qui concerne le Liechtenstein, la présente décision constitue un développement des dispositions de l’acquis de Schengen au sens du protocole entre l’Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l’adhésion de la Principauté de Liechtenstein à l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (9), qui relèvent du domaine visé à l’article 1er, point B, de la décision 1999/437/CE, lue en liaison avec l’article 3 de la décision 2011/350/UE du Conseil (10).

| (13) | La présente décision constitue un acte fondé sur l’acquis de Schengen ou qui s’y rapporte, au sens, respectivement, de l’article 3, paragraphe 2, de l’acte d’adhésion de 2003, de l’article 4, paragraphe 2, de l’acte d’adhésion de 2005 et de l’article 4, paragraphe 2, de l’acte d’adhésion de 2011, |
| --- | --- |

(13)

La présente décision constitue un acte fondé sur l’acquis de Schengen ou qui s’y rapporte, au sens, respectivement, de l’article 3, paragraphe 2, de l’acte d’adhésion de 2003, de l’article 4, paragraphe 2, de l’acte d’adhésion de 2005 et de l’article 4, paragraphe 2, de l’acte d’adhésion de 2011,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

Champ d’application

1.   La présente décision s’applique aux ressortissants gambiens qui sont soumis à l’obligation de visa au titre du règlement (UE) 2018/1806.

2.   Elle ne s’applique pas aux ressortissants gambiens exemptés de l’obligation de visa au titre de l’article 4 ou 6 du règlement (UE) 2018/1806.

3.   La présente décision ne s’applique pas aux ressortissants gambiens demandant un visa et qui sont des membres de la famille d’un citoyen de l’Union auxquels s’applique la directive 2004/38/CE ni aux membres de la famille d’un ressortissant de pays tiers jouissant d’un droit à la libre circulation équivalent à celui des citoyens de l’Union en vertu d’un accord entre l’Union et ses États membres, d’une part, et un pays tiers, d’autre part.

4.   La présente décision est sans préjudice des cas où un État membre est lié par une obligation de droit international, à savoir:

| a) | en tant que pays hôte d’une organisation intergouvernementale internationale; |
| --- | --- |

a)

en tant que pays hôte d’une organisation intergouvernementale internationale;

| b) | en tant que pays hôte d’une conférence internationale convoquée par les Nations unies ou tenue sous leurs auspices, ou par d’autres organisations intergouvernementales internationales établies dans un État membre; |
| --- | --- |

b)

en tant que pays hôte d’une conférence internationale convoquée par les Nations unies ou tenue sous leurs auspices, ou par d’autres organisations intergouvernementales internationales établies dans un État membre;

| c) | en vertu d’un accord multilatéral conférant des privilèges et immunités; ou |
| --- | --- |

c)

en vertu d’un accord multilatéral conférant des privilèges et immunités; ou

| d) | en vertu du traité de réconciliation (accords du Latran) conclu en 1929 par le Saint-Siège (État de la Cité du Vatican) et l’Italie, tel qu’il a été modifié. |
| --- | --- |

d)

en vertu du traité de réconciliation (accords du Latran) conclu en 1929 par le Saint-Siège (État de la Cité du Vatican) et l’Italie, tel qu’il a été modifié.

Article 2

Suspension temporaire de l’application de certaines dispositions du règlement (CE) no 810/2009

L’application des dispositions ci-après du règlement (CE) no 810/2009 est temporairement suspendue:

o

| a) | article 14, paragraphe 6; |
| --- | --- |

a)

article 14, paragraphe 6;

| b) | article 16, paragraphe 5, point b); |
| --- | --- |

b)

article 16, paragraphe 5, point b);

| c) | article 23, paragraphe 1; |
| --- | --- |

c)

article 23, paragraphe 1;

| d) | article 24, paragraphes 2 et 2 quater. |
| --- | --- |

d)

article 24, paragraphes 2 et 2 quater.

quater

Article 3

Destinataires

Le Royaume de Belgique, la République de Bulgarie, la République tchèque, la République fédérale d’Allemagne, la République d’Estonie, la République hellénique, le Royaume d’Espagne, la République française, la République de Croatie, la République italienne, la République de Chypre, la République de Lettonie, la République de Lituanie, le Grand-Duché de Luxembourg, la Hongrie, la République de Malte, le Royaume des Pays-Bas, la République d’Autriche, la République de Pologne, la République portugaise, la Roumanie, la République de Slovénie, la République slovaque, la République de Finlande et le Royaume de Suède sont destinataires de la présente décision.

Fait à Luxembourg, le 7 octobre 2021.

Par le Conseil

Le président

M. DIKAUČIČ

---

(1)  
  JO L 243 du 15.9.2009, p. 1.

1

(2)  Règlement (UE) 2018/1806 du Parlement européen et du Conseil du 14 novembre 2018 fixant la liste des pays tiers dont les ressortissants sont soumis à l’obligation de visa pour franchir les frontières extérieures des États membres et la liste de ceux dont les ressortissants sont exemptés de cette obligation (JO L 303 du 28.11.2018, p. 39).

2

(3)  Directive 2004/38/CE du Parlement européen et du Conseil du 29 avril 2004 relative au droit des citoyens de l’Union et des membres de leurs familles de circuler et de séjourner librement sur le territoire des États membres, modifiant le règlement (CEE) no 1612/68 et abrogeant les directives 64/221/CEE, 68/360/CEE, 72/194/CEE, 73/148/CEE, 75/34/CEE, 75/35/CEE, 90/364/CEE, 90/365/CEE et 93/96/CEE (JO L 158 du 30.4.2004, p. 77).

3

o

(4)  Décision 2002/192/CE du Conseil du 28 février 2002 relative à la demande de l’Irlande de participer à certaines dispositions de l’acquis de Schengen (JO L 64 du 7.3.2002, p. 20).

4

(5)  
  JO L 176 du 10.7.1999, p. 36.

5

(6)  Décision 1999/437/CE du Conseil du 17 mai 1999 relative à certaines modalités d’application de l’accord conclu par le Conseil de l’Union européenne et la République d’Islande et le Royaume de Norvège sur l’association de ces États à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (JO L 176 du 10.7.1999, p. 31).

6

(7)  
  JO L 53 du 27.2.2008, p. 52.

7

(8)  Décision 2008/146/CE du Conseil du 28 janvier 2008 relative à la conclusion, au nom de la Communauté européenne, de l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (JO L 53 du 27.2.2008, p. 1).

8

(9)  
  JO L 160 du 18.6.2011, p. 21.

9

(10)  Décision 2011/350/UE du Conseil du 7 mars 2011 relative à la conclusion, au nom de l’Union européenne, du protocole entre l’Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l’adhésion de la Principauté de Liechtenstein à l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen en ce qui concerne la suppression des contrôles aux frontières intérieures et la circulation des personnes (JO L 160 du 18.6.2011, p. 19).

10

---

RECOMMANDATIONS

| 11.10.2021 | FR | Journal officiel de l’Union européenne | L 360/128 |
| --- | --- | --- | --- |

11.10.2021

FR

Journal officiel de l’Union européenne

L 360/128

---

RECOMMANDATION (UE) 2021/1782 DU CONSEIL

du 8 octobre 2021

modifiant la recommandation (UE) 2020/912 concernant la restriction temporaire des déplacements non essentiels vers l’UE et la possible levée de cette restriction

LE CONSEIL DE L’UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 77, paragraphe 2, points b) et e), et son article 292, première et deuxième phrases,

considérant ce qui suit:

| (1) | Le 30 juin 2020, le Conseil a adopté une recommandation concernant la restriction temporaire des déplacements non essentiels vers l’UE et la possible levée de cette restriction (1) (ci-après dénommée «recommandation du Conseil»). |
| --- | --- |

(1)

Le 30 juin 2020, le Conseil a adopté une recommandation concernant la restriction temporaire des déplacements non essentiels vers l’UE et la possible levée de cette restriction (1) (ci-après dénommée «recommandation du Conseil»).

| (2) | Depuis lors, le Conseil a adopté les recommandations (UE) 2020/1052 (2), (UE) 2020/1144 (3), (UE) 2020/1186 (4), (UE) 2020/1551 (5), (UE) 2020/2169 (6), (UE) 2021/89 (7), (UE) 2021/132 (8), (UE) 2021/767 (9), (UE) 2021/892 (10), (UE) 2021/992 (11), (UE) 2021/1085 (12), (UE) 2021/1170 (13), (UE) 2021/1346 (14), (UE) 2021/1459 (15) et (UE) 2021/1712 (16) modifiant la recommandation (UE) 2020/912 concernant la restriction temporaire des déplacements non essentiels vers l’UE et la possible levée de cette restriction. |
| --- | --- |

(2)

Depuis lors, le Conseil a adopté les recommandations (UE) 2020/1052 (2), (UE) 2020/1144 (3), (UE) 2020/1186 (4), (UE) 2020/1551 (5), (UE) 2020/2169 (6), (UE) 2021/89 (7), (UE) 2021/132 (8), (UE) 2021/767 (9), (UE) 2021/892 (10), (UE) 2021/992 (11), (UE) 2021/1085 (12), (UE) 2021/1170 (13), (UE) 2021/1346 (14), (UE) 2021/1459 (15) et (UE) 2021/1712 (16) modifiant la recommandation (UE) 2020/912 concernant la restriction temporaire des déplacements non essentiels vers l’UE et la possible levée de cette restriction.

| (3) | Le 20 mai 2021, le Conseil a adopté la recommandation (UE) 2021/816 modifiant la recommandation (UE) 2020/912 concernant la restriction temporaire des déplacements non essentiels vers l’UE et la possible levée de cette restriction (17) afin d’actualiser les critères utilisés pour déterminer d’actualiser les critères utilisés pour déterminer si les déplacements non essentiels en provenance de pays tiers sont sûrs et s’il y a lieu de les autoriser. |
| --- | --- |

(3)

Le 20 mai 2021, le Conseil a adopté la recommandation (UE) 2021/816 modifiant la recommandation (UE) 2020/912 concernant la restriction temporaire des déplacements non essentiels vers l’UE et la possible levée de cette restriction (17) afin d’actualiser les critères utilisés pour déterminer d’actualiser les critères utilisés pour déterminer si les déplacements non essentiels en provenance de pays tiers sont sûrs et s’il y a lieu de les autoriser.

| (4) | La recommandation du Conseil prévoit que les États membres devraient lever progressivement la restriction temporaire des déplacements non essentiels vers l’UE à compter du 1er juillet 2020, de manière coordonnée et à l’égard des résidents des pays tiers dont la liste figure à son annexe I. Toutes les deux semaines, la liste des pays tiers figurant à l’annexe I devrait faire l’objet d’un réexamen et, selon le cas, d’une mise à jour par le Conseil, après d’étroites consultations menées avec la Commission et les agences et services de l’Union concernés à l’issue d’une évaluation globale effectuée sur la base de la méthodologie, des critères et des informations visés dans la recommandation du Conseil. |
| --- | --- |

(4)

La recommandation du Conseil prévoit que les États membres devraient lever progressivement la restriction temporaire des déplacements non essentiels vers l’UE à compter du 1er juillet 2020, de manière coordonnée et à l’égard des résidents des pays tiers dont la liste figure à son annexe I. Toutes les deux semaines, la liste des pays tiers figurant à l’annexe I devrait faire l’objet d’un réexamen et, selon le cas, d’une mise à jour par le Conseil, après d’étroites consultations menées avec la Commission et les agences et services de l’Union concernés à l’issue d’une évaluation globale effectuée sur la base de la méthodologie, des critères et des informations visés dans la recommandation du Conseil.

| (5) | Depuis lors, des discussions ont eu lieu au sein du Conseil sur le réexamen de la liste des pays tiers figurant à l’annexe I de la recommandation du Conseil, en concertation étroite avec la Commission et les agences et services de l’Union concernés et en application des critères et de la méthodologie définis dans ladite recommandation, telle que modifiée par la recommandation (UE) 2021/816. Il ressort de ces discussions qu’il convient de modifier la liste des pays tiers figurant à l’annexe I. En particulier, Bahreïn et les Émirats arabes unis devraient être ajoutés à la liste. |
| --- | --- |

(5)

Depuis lors, des discussions ont eu lieu au sein du Conseil sur le réexamen de la liste des pays tiers figurant à l’annexe I de la recommandation du Conseil, en concertation étroite avec la Commission et les agences et services de l’Union concernés et en application des critères et de la méthodologie définis dans ladite recommandation, telle que modifiée par la recommandation (UE) 2021/816. Il ressort de ces discussions qu’il convient de modifier la liste des pays tiers figurant à l’annexe I. En particulier, Bahreïn et les Émirats arabes unis devraient être ajoutés à la liste.

| (6) | Le contrôle aux frontières n’existe pas seulement dans l’intérêt de l’État membre aux frontières extérieures duquel il s’exerce, mais dans l’intérêt de l’ensemble des États membres ayant aboli le contrôle aux frontières à leurs frontières intérieures. Les États membres devraient donc veiller à ce que les mesures prises aux frontières extérieures soient coordonnées afin d’assurer le bon fonctionnement de l’espace Schengen. À cette fin, à compter du 8 octobre 2021, les États membres devraient continuer à lever la restriction temporaire des déplacements non essentiels vers l’UE de manière coordonnée et à l’égard des résidents des pays tiers, des régions administratives spéciales et des autres entités et autorités territoriales dont la liste figure à l’annexe I de la recommandation du Conseil modifiée par la présente recommandation. |
| --- | --- |

(6)

Le contrôle aux frontières n’existe pas seulement dans l’intérêt de l’État membre aux frontières extérieures duquel il s’exerce, mais dans l’intérêt de l’ensemble des États membres ayant aboli le contrôle aux frontières à leurs frontières intérieures. Les États membres devraient donc veiller à ce que les mesures prises aux frontières extérieures soient coordonnées afin d’assurer le bon fonctionnement de l’espace Schengen. À cette fin, à compter du 8 octobre 2021, les États membres devraient continuer à lever la restriction temporaire des déplacements non essentiels vers l’UE de manière coordonnée et à l’égard des résidents des pays tiers, des régions administratives spéciales et des autres entités et autorités territoriales dont la liste figure à l’annexe I de la recommandation du Conseil modifiée par la présente recommandation.

| (7) | Conformément aux articles 1er et 2 du protocole no 22 sur la position du Danemark annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, le Danemark ne participe pas à l’adoption de la présente recommandation et n’est pas lié par celle-ci ni soumis à son application. La présente recommandation développant l’acquis de Schengen, le Danemark décide, conformément à l’article 4 dudit protocole, dans un délai de six mois à partir de la décision du Conseil sur la présente recommandation, s’il la met en œuvre. |
| --- | --- |

(7)

Conformément aux articles 1er et 2 du protocole no 22 sur la position du Danemark annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, le Danemark ne participe pas à l’adoption de la présente recommandation et n’est pas lié par celle-ci ni soumis à son application. La présente recommandation développant l’acquis de Schengen, le Danemark décide, conformément à l’article 4 dudit protocole, dans un délai de six mois à partir de la décision du Conseil sur la présente recommandation, s’il la met en œuvre.

| (8) | La présente recommandation constitue un développement des dispositions de l’acquis de Schengen auxquelles l’Irlande ne participe pas, conformément à la décision 2002/192/CE du Conseil (18); l’Irlande ne participe donc pas à l’adoption de la présente recommandation et n’est pas liée par celle-ci ni soumise à son application. |
| --- | --- |

(8)

La présente recommandation constitue un développement des dispositions de l’acquis de Schengen auxquelles l’Irlande ne participe pas, conformément à la décision 2002/192/CE du Conseil (18); l’Irlande ne participe donc pas à l’adoption de la présente recommandation et n’est pas liée par celle-ci ni soumise à son application.

| (9) | En ce qui concerne l’Islande et la Norvège, la présente recommandation constitue un développement des dispositions de l’acquis de Schengen au sens de l’accord conclu par le Conseil de l’Union européenne, la République d’Islande et le Royaume de Norvège sur l’association de ces deux États à la mise en œuvre, à l’application et au développement de l’acquis de Schengen, qui relèvent du domaine visé à l’article 1er, point A, de la décision 1999/437/CE du Conseil (19). |
| --- | --- |

(9)

En ce qui concerne l’Islande et la Norvège, la présente recommandation constitue un développement des dispositions de l’acquis de Schengen au sens de l’accord conclu par le Conseil de l’Union européenne, la République d’Islande et le Royaume de Norvège sur l’association de ces deux États à la mise en œuvre, à l’application et au développement de l’acquis de Schengen, qui relèvent du domaine visé à l’article 1er, point A, de la décision 1999/437/CE du Conseil (19).

| (10) | En ce qui concerne la Suisse, la présente recommandation constitue un développement des dispositions de l’acquis de Schengen au sens de l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen, qui relèvent du domaine visé à l’article 1er, point A, de la décision 1999/437/CE (20), lue en liaison avec l’article 3 de la décision 2008/146/CE (21) du Conseil. |
| --- | --- |

(10)

En ce qui concerne la Suisse, la présente recommandation constitue un développement des dispositions de l’acquis de Schengen au sens de l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen, qui relèvent du domaine visé à l’article 1er, point A, de la décision 1999/437/CE (20), lue en liaison avec l’article 3 de la décision 2008/146/CE (21) du Conseil.

| (11) | En ce qui concerne le Liechtenstein, la présente recommandation constitue un développement des dispositions de l’acquis de Schengen au sens du protocole entre l’Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l’adhésion de la Principauté de Liechtenstein à l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen, qui relèvent du domaine visé à l’article 1er, point A, de la décision 1999/437/CE (22), lue en liaison avec l’article 3 de la décision 2011/350/UE (23) du Conseil, |
| --- | --- |

(11)

En ce qui concerne le Liechtenstein, la présente recommandation constitue un développement des dispositions de l’acquis de Schengen au sens du protocole entre l’Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l’adhésion de la Principauté de Liechtenstein à l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen, qui relèvent du domaine visé à l’article 1er, point A, de la décision 1999/437/CE (22), lue en liaison avec l’article 3 de la décision 2011/350/UE (23) du Conseil,

A ADOPTÉ LA PRÉSENTE RECOMMANDATION:

La recommandation (UE) 2020/912 du Conseil, modifiée par les recommandations (UE) 2020/1052, (UE) 2020/1144, (UE) 2020/1186, (UE) 2020/1551, (UE) 2020/2169, (UE) 2021/89, (UE) 2021/132, (UE) 2021/767, (UE) 2021/816, (UE) 2021/892, (UE) 2021/992, (UE) 2021/1085, (UE) 2021/1170, (UE) 2021/1346, (UE) 2021/1459 et (UE) 2021/1712, concernant la restriction temporaire des déplacements non essentiels vers l’UE et la possible levée de cette restriction est modifiée comme suit:

| 1) | Le point 1, premier alinéa, de la recommandation du Conseil est remplacé par le texte suivant:






  «1. | À compter du 8 octobre 2021, les États membres devraient lever progressivement la restriction temporaire des déplacements non essentiels vers l’UE, de manière coordonnée et à l’égard des résidents des pays tiers dont la liste figure à l’annexe I.». |
| --- | --- | --- |

1)

Le point 1, premier alinéa, de la recommandation du Conseil est remplacé par le texte suivant:

«1.

| 2) | L’annexe I de la recommandation est remplacée par le texte suivant:


  «ANNEXE I
  Pays tiers, régions administratives spéciales et autres entités et autorités territoriales dont les résidents ne devraient pas être affectés par une restriction temporaire aux frontières extérieures des déplacements non essentiels vers l’UE:






  I. | ÉTATS






  1. | AUSTRALIE |
| --- | --- | --- | --- |

2)

L’annexe I de la recommandation est remplacée par le texte suivant:

«ANNEXE I

Pays tiers, régions administratives spéciales et autres entités et autorités territoriales dont les résidents ne devraient pas être affectés par une restriction temporaire aux frontières extérieures des déplacements non essentiels vers l’UE:

I.

ÉTATS

1.

AUSTRALIE

| 2. | BAHREÏN |
| --- | --- |

2.

BAHREÏN

| 3. | CANADA |
| --- | --- |

3.

CANADA

| 4. | CHILI |
| --- | --- |

4.

CHILI

| 5. | JORDANIE |
| --- | --- |

5.

JORDANIE

| 6. | KOWEÏT |
| --- | --- |

6.

KOWEÏT

| 7. | NOUVELLE-ZÉLANDE |
| --- | --- |

7.

NOUVELLE-ZÉLANDE

| 8. | QATAR |
| --- | --- |

8.

QATAR

| 9. | RWANDA |
| --- | --- |

9.

RWANDA

| 10. | ARABIE SAOUDITE |
| --- | --- |

10.

ARABIE SAOUDITE

| 11. | SINGAPOUR |
| --- | --- |

11.

SINGAPOUR

| 12. | CORÉE DU SUD |
| --- | --- |

12.

CORÉE DU SUD

| 13. | UKRAINE |
| --- | --- |

13.

UKRAINE

| 14. | ÉMIRATS ARABES UNIS |
| --- | --- |

14.

ÉMIRATS ARABES UNIS

| 15. | URUGUAY |
| --- | --- |

15.

URUGUAY

| 16. | CHINE (*1) |
| --- | --- |

16.

CHINE (*1)

| II. | RÉGIONS ADMINISTRATIVES SPÉCIALES DE LA RÉPUBLIQUE POPULAIRE DE CHINE





  RAS de Hong Kong |
| --- | --- |

II.

RÉGIONS ADMINISTRATIVES SPÉCIALES DE LA RÉPUBLIQUE POPULAIRE DE CHINE

RAS de Hong Kong

| RAS de Macao |
| --- |

RAS de Macao

| III. | ENTITÉS ET AUTORITÉS TERRITORIALES NON RECONNUES COMME ÉTATS PAR AU MOINS UN ÉTAT MEMBRE





  Taïwan |
| --- | --- |

III.

ENTITÉS ET AUTORITÉS TERRITORIALES NON RECONNUES COMME ÉTATS PAR AU MOINS UN ÉTAT MEMBRE

Taïwan

(*1)  Sous réserve de confirmation de la réciprocité."

*1

Fait à Luxembourg, le 8 octobre 2021.

Par le Conseil

Le président

M. DIKAUČIČ

---

(1)  
  JO L 208 I du 1.7.2020, p. 1.

1

(2)  
  JO L 230 du 17.7.2020, p. 26.

2

(3)  
  JO L 248 du 31.7.2020, p. 26.

3

(4)  
  JO L 261 du 11.8.2020, p. 83.

4

(5)  
  JO L 354 du 26.10.2020, p. 19.

5

(6)  
  JO L 431 du 21.12.2020, p. 75.

6

(7)  
  JO L 33 du 29.1.2021, p. 1.

7

(8)  
  JO L 41 du 4.2.2021, p. 1.

8

(9)  
  JO L 165 I du 11.5.2021, p. 66.

9

(10)  
  JO L 198 du 4.6.2021, p. 1.

10

(11)  
  JO L 221 du 21.6.2021, p. 12.

11

(12)  
  JO L 235 du 2.7.2021, p. 27.

12

(13)  
  JO L 255 du 16.7.2021, p. 3.

13

(14)  
  JO L 306 du 31.8.2021, p. 4.

14

(15)  
  JO L 320 du 10.9.2021, p. 1.

15

(16)  
  JO L 341 du 24.9.2021, p. 1.

16

(17)  
  JO L 182 du 21.5.2021, p. 1.

17

(18)  Décision 2002/192/CE du Conseil du 28 février 2002 relative à la demande de l’Irlande de participer à certaines dispositions de l’acquis de Schengen (JO L 64 du 7.3.2002, p. 20).

18

(19)  
  JO L 176 du 10.7.1999, p. 31.

19

(20)  
  JO L 53 du 27.2.2008, p. 52.

20

(21)  Décision 2008/146/CE du Conseil du 28 janvier 2008 relative à la conclusion, au nom de la Communauté européenne, de l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (JO L 53 du 27.2.2008, p. 1).

21

(22)  
  JO L 160 du 18.6.2011, p. 21.

22

(23)  Décision 2011/350/UE du Conseil du 7 mars 2011 relative à la conclusion, au nom de l’Union européenne, du protocole entre l’Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l’adhésion de la Principauté de Liechtenstein à l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen en ce qui concerne la suppression des contrôles aux frontières intérieures et la circulation des personnes (JO L 160 du 18.6.2011, p. 19).

23

---