Décision de la Commission

du 26 juillet 2000

conformément à la directive 95/46/CE du Parlement européen et du Conseil relative à la pertinence de la protection assurée par les principes de la "sphère de sécurité" et par les questions souvent posées y afférentes, publiés par le ministère du commerce des États-Unis d'Amérique

[notifiée sous le numéro C(2000) 2441]

(Texte présentant de l'intérêt pour l'EEE)

(2000/520/CE)

LA COMMISSION DES COMMUNAUTÉS EUROPÉENNES,

vu le traité instituant la Communauté européenne,

vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données(1), et notamment son article 25, paragraphe 6,

considérant ce qui suit:

(1) Conformément à la directive 95/46/CE, les États membres sont tenus de veiller à ce que les transferts de données à caractère personnel vers un pays tiers n'aient lieu que si le pays en question assure un niveau de protection adéquat et si les lois des États membres qui mettent en oeuvre d'autres dispositions de la directive sont respectées avant le transfert.

(2) La Commission peut constater qu'un pays tiers assure un niveau de protection adéquat. Dans ce cas, des données à caractère personnel peuvent être transférées sans que des garanties supplémentaires soient nécessaires.

(3) Conformément à la directive 95/46/CE, le niveau de protection des données doit s'apprécier au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transferts de données et compte tenu de conditions données. Le groupe de protection des personnes à l'égard du traitement des données à caractère personnel institué par ladite directive(2) a formulé des indications concernant la réalisation de cette évaluation(3).

(4) Compte tenu des conceptions différentes de la protection des données dans les pays tiers, l'application du caractère adéquat de cette protection et l'application de toute décision au titre de l'article 25, paragraphe 6, de la directive 95/46/CE doivent se faire d'une façon ne désavantageant de façon arbitraire ou injustifiée aucun des pays tiers où des conditions similaires existent et ne constituent pas un obstacle déguisé aux échanges, eu égard aux engagements internationaux actuels de la Communauté.

(5) Le niveau de protection adéquat pour le transfert de données de la Communauté vers les États-Unis d'Amérique, reconnu conformément à la présente décision, devrait être obtenu si les organisations respectent les "principes de la 'sphère de sécurité' relatifs à la protection de la vie privée" (ci-après dénommés "les principes") et les "questions souvent posées" "frequently asked questions" (FAQ) qui fournissent des orientations pour la mise en oeuvre des principes publiés par le gouvernement des États-Unis le 21 juillet 2000. En outre, les organisations devraient divulguer leurs règles de confidentialité et relever de la compétence de la Commission fédérale du commerce [Federal Trade Commission (FTC)] au titre de la section 5 du Federal Trade Commission Act qui interdit les manoeuvres et les pratiques déloyales ou frauduleuses dans le domaine du commerce, ou de tout autre organisme officiel assurant efficacement la mise en oeuvre des principes conformément aux FAQ.

(6) Les secteurs et/ou les traitements de données qui ne relèvent pas aux États-Unis de la compétence des organes administratifs américains énumérés à l'annexe VII de la présente décision n'entrent pas dans le champ d'application de ladite décision.

(7) Pour que la présente décision soit valablement appliquée, il est nécessaire que les organisations qui souscrivent aux principes et aux FAQ puissent être identifiées par les parties intéressées, telles que les personnes concernées, les exportateurs de données ou les autorités chargées de la protection des données. À cet effet, le ministère américain du commerce, ou son représentant, devrait s'engager à tenir et à rendre publique la liste des organisations qui déclarent leur adhésion aux principes mis en oeuvre conformément aux FAQ et qui relèvent de la compétence d'au moins un des organes administratifs énumérés à l'annexe VII de la présente décision.

(8) Dans un souci de transparence et en vue de permettre aux autorités compétentes des États membres d'assurer la protection des individus en ce qui concerne le traitement des données à caractère personnel, il est nécessaire d'indiquer dans la décision dans quelles circonstances exceptionnelles la suspension de certains flux de données peut être justifiée, même si le niveau de protection fourni a été jugé adéquat.

(9) La "sphère de sécurité" créée par les principes et les FAQ peut devoir être revue à la lumière de l'évolution de la protection de la vie privée, dans des circonstances où la technologie rend de plus en plus faciles le transfert et le traitement de données à caractère personnel, ainsi qu'à la lumière de rapports de mise en oeuvre élaborés par les autorités compétentes.

(10) Le groupe de protection des personnes à l'égard du traitement des données à caractère personnel, institué en vertu de l'article 29 de la directive 95/46/CE, a formulé des avis sur le niveau de protection assuré par les mesures relatives à la "sphère de sécurité" aux États-Unis, dont il a été tenu compte lors de l'élaboration de la présente décision(4).

(11) Les mesures arrêtées dans la présente décision sont conformes à l'avis du comité institué en vertu de l'article 31 de la directive 95/46/CE,

A ARRÊTÉ LA PRÉSENTE DÉCISION:

Article premier

1. Aux fins de l'article 25 de la directive 95/46/CE, pour toutes les activités rentrant dans le domaine d'application de ladite directive, il est considéré que les "principes de la 'sphère de sécurité' relatifs à la protection de la vie privée" (ci-après dénommés "les principes visés à l'annexe I de la présente décision"), appliqués conformément aux orientations fournies par les "questions souvent posées" ["frequently asked questions" (FAQ)] publiées le 21 juillet 2000 par le ministère du commerce des États-Unis d'Amérique, visées à l'annexe II de la présente décision, assurent un niveau adéquat de protection des données à caractère personnel transférées depuis la Communauté vers des organisations établies aux États-Unis compte tenu des documents suivants émis par le ministère du commerce des États-Unis:

a) une étude relative à la mise en oeuvre des principes de la sphère de sécurité, visée à l'annexe III;

b) un aide-mémoire sur la réparation des préjudices subis par suite d'atteintes à la vie privée et sur les autorisations explicites prévues par le droit américain, visé à l'annexe IV;

c) une lettre de la Commission fédérale du commerce, visée à l'annexe V;

d) une lettre du ministère des transports des États-Unis, visée à l'annexe VI.

2. En ce qui concerne chaque transfert de données, les conditions suivantes doivent être remplies:

a) l'organisation destinataire des données s'est clairement et publiquement engagée à observer les principes mis en oeuvre conformément aux FAQ et

b) l'organisation est soumise aux pouvoirs légaux d'un organe administratif américain énuméré à l'annexe VII de la présente décision, habilité à instruire des plaintes et à obtenir des mesures de redressement contre les pratiques déloyales ou frauduleuses ainsi que la réparation des préjudices subis par les personnes concernées, quel que soit leur pays de résidence ou leur nationalité, en cas de non-respect des principes mis en oeuvre conformément aux FAQ.

3. Les conditions indiquées au paragraphe 2 sont considérées comme remplies par chaque organisation qui a déclaré son adhésion aux principes mis en oeuvre conformément aux FAQ à compter de la date à laquelle elle avise le ministère américain du commerce (ou son représentant) de la divulgation de l'engagement visé au paragraphe 2, point a), et de l'identité de l'organe administratif visé au paragraphe 2, point b).

Article 2

La présente décision concerne uniquement le caractère adéquat de la protection fournie aux États-Unis par les principes mis en oeuvre conformément aux FAQ en vue de répondre aux exigences de l'article 25, paragraphe 1, de la directive 95/46/CE et n'affecte pas l'application d'autres dispositions de ladite directive qui se rapportent au traitement de données à caractère personnel dans les États membres, et notamment de son article 4.

Article 3

1. Sans préjudice de leurs pouvoirs de prendre des mesures visant à assurer le respect des dispositions nationales adoptées en application de dispositions autres que celles de l'article 25 de la directive 95/46/CE, les autorités compétentes des États membres peuvent exercer les pouvoirs dont elles disposent pour suspendre les flux de données vers une organisation adhérant aux principes mis en oeuvre conformément aux FAQ afin de protéger les individus en ce qui concerne le traitement de leurs données personnelles, et ce dans les cas:

a) où l'organe administratif américain visé à l'annexe VII de la présente décision, ou une instance indépendante de recours au sens du point a) du principe d'application visé à l'annexe I de la présente décision, a constaté que l'organisation viole les principes mis en oeuvre conformément aux FAQ ou

b) où il est fort probable que les principes sont violés; où il y a tout lieu de croire que l'instance d'application concernée ne prend pas ou ne prendra pas en temps voulu les mesures qui s'imposent en vue de régler l'affaire en question; où la poursuite du transfert ferait courir aux personnes concernées un risque imminent de subir des dommages graves; et où les autorités compétentes des États membres se sont raisonnablement efforcées, compte tenu des circonstances, d'avertir l'organisation et de lui donner la possibilité de répondre.

La suspension cesse dès que le respect des principes mis en oeuvre conformément aux FAQ est assuré et que les autorités compétentes de la Communauté en sont avisées.

2. Les États membres informent sans tarder la Commission de l'adoption de mesures fondées sur le paragraphe 1.

3. Les États membres et la Commission s'informent aussi mutuellement des cas dans lesquels les organismes chargés de faire respecter les principes mis en oeuvre conformément aux FAQ aux États-Unis ne parviennent pas à s'acquitter de leur tâche.

4. Si les informations recueillies en application des paragraphes 1, 2 et 3 montrent qu'un quelconque organisme chargé de faire respecter les principes mis en oeuvre conformément aux FAQ aux États-Unis ne remplit pas efficacement sa mission, la Commission informe le ministère américain du commerce et, si nécessaire, propose un projet des mesures à prendre, conformément à la procédure visée à l'article 31 de la directive 95/46/CE, en vue d'abroger ou de suspendre la présente décision ou d'en limiter la portée.

Article 4

1. La présente décision peut être adaptée à tout moment à la lumière de l'expérience acquise durant sa mise en oeuvre et/ou si le niveau de protection assuré par les principes et les FAQ est dépassé par les exigences du droit américain. La Commission évalue, en tout état de cause, l'application de la présente décision, sur la base des informations disponibles, trois ans après sa notification aux États membres et communique au comité institué au titre de l'article 31 de la directive 95/46/CE toute constatation pertinente, y compris tout élément susceptible d'influer sur l'évaluation selon laquelle les dispositions de l'article 1er de la présente décision assurent un niveau de protection adéquat au sens de l'article 25 de la directive 95/46/CE et toute information montrant que la présente décision est appliquée de manière discriminatoire.

2. La Commission présente, si nécessaire, un projet des mesures à prendre conformément à la procédure visée à l'article 31 de la directive 95/46/CE.

Article 5

Les États membres prennent toutes les mesures nécessaires pour se conformer à la présente décision au plus tard quatre-vingt-dix jours après la date de sa notification aux États membres.

Article 6

Les États membres sont destinataires de la présente décision.

Fait à Bruxelles, le 26 juillet 2000.

Par la Commission

Frederik Bolkestein

Membre de la Commission

(1) JO L 281 du 23.11.1995, p. 31.

(2) Voir adresse: http://www.europa.eu.int/comm/internal_market/en/media/dataprot/wpdocs/index.htm

(3) WP 12: "Transferts de données personnelles vers des pays tiers: application des articles 25 et 26 de la directive communautaire sur la protection des données", document adopté le 24 juillet 1998 par le groupe de travail.

(4) WP 15: Avis 1/99 concernant le niveau de protection des données à caractère personnel aux États-Unis et les discussions en cours entre la Commission européenne et le gouvernement américain.

WP 19: Avis 2/99 concernant la pertinence des "principes internationaux de la 'sphère de sécurité'" publiés par le ministère du commerce des États-Unis le 19 avril 1999.

WP 21: Avis 4/99 concernant les questions souvent posées, devant être publiées par le ministère américain du commerce dans le cadre des principes proposés pour la "sphère de sécurité".

WP 23: Working document on the current state of play of the ongoing discussions between the European Commission and the United States Government concerning the "International Safe Harbor Principles".

WP 27: Avis 7/99 concernant le niveau de protection des données assuré par les principes de la "sphère de sécurité" publiés avec les questions fréquemment posées (FAQ) et d'autres documents connexes les 15 et 16 novembre 1999 par le ministère américain du commerce.

WP 31: Avis 3/2000 concernant le dialogue entre l'Union européenne et les États-Unis sur l'accord relatif à la "sphère de sécurité".

WP 32: Avis 4/2000 concernant le niveau de protection assuré par les "principes de la sphère de sécurité".

ANNEXE I

PRINCIPES DE LA "SPHÈRE DE SÉCURITÉ" RELATIFS À LA PROTECTION DE LA VIE PRIVÉE

publiés par le ministère américain du commerce le 21 juillet 2000

La directive européenne sur la protection des données, qui constitue un cadre législatif détaillé en matière de protection de la vie privée, est entrée en vigueur le 25 obtobre 1998. Elle stipule que des données à caractère personnel ne peuvent être tranférées que vers des pays tiers assurant un niveau de protection adéquat. Même si les États-Unis et l'Union européenne ont comme objectif commun de protéger davantage la vie privée de leurs citoyens, les États-Unis préconisent dans ce domaine une approche différente de celle de l'Union européenne. Ils se basent, en effet, sur un système sectoriel qui fait appel à un ensemble disparate de dispositions législatives et réglementaires ainsi qu'à des codes d'autoréglementation. Compte tenu de ces différences, de nombreuses organisations américaines ont fait part de leur incertitude quant à l'incidence d'un "niveau de protection adéquat" sur les transferts de données à caractère personnel de l'Union européenne vers les États-Unis.

Pour réduire cette incertitude et pour fournir un cadre plus clair en vue de tels transferts, le ministère américain du commerce publie le présent document ("les principes") ainsi que les "questions souvent posées" (FAQ) en vertu de son autorité légale afin de stimuler, de promouvoir et de développer le commerce international. Les principes ont été élaborés en concertation avec les entreprises et le grand public dans le but de faciliter le commerce et les relations d'affaires entre les États-Unis et l'Union européenne. Ils sont exclusivement destinés aux organisations américaines recevant des données à caractère personnel en provenance de l'Union européenne et doivent permettre à ces organisations de remplir les conditions relatives à la "sphère de sécurité" de façon à bénéficier de la présomption de "niveau de protection adéquat" que prévoit celle-ci. Comme les principes n'ont été conçus que pour servir cet objectif spécifique, leur adoption à d'autres fins peut s'avérer inadéquate. Les principes ne peuvent pas se substituer aux dispositions nationales de mise en oeuvre de la directive qui sont applicables au traitement des données à caractère personnel dans les États membres.

Toute organisation est libre de remplir ou non les conditions relatives à la "sphère de sécurité" et dispose de plusieurs moyens pour s'y conformer. Les organisations qui décident d'adhérer aux principes doivent les respecter pour obtenir et conserver les avantages de la "sphère de sécurité" et doivent annoncer publiquement leur décision. Si, par exemple, une organisation participe à un programme sur la protection de la confidentialité géré par le secteur privé qui respecte ces principes, elle remplit lesdites conditions. Une organisation peut également intégrer la "sphère de sécurité" en mettant au point ses propres règles en matière de protection des données, pour autant que celles-ci soient conformes auxdits principes. Toute organisation qui a opté pour l'une de ces deux solutions et qui enfreint les principes doit être sanctionnée conformément à la section 5 du Federal Trade Commission Act, qui interdit les pratiques déloyales ou frauduleuses, ou à toute autre loi du même type (voir, en annexe, la liste des instances réglementaires américaines reconnues par l'Union européenne). En outre, lorsqu'une organisation est soumise à un ensemble de dispositions juridiques, réglementaires, administratives ou autres (ou encore à un ensemble de règles) qui assurent une protection efficace des données à caractère personnel, elle peut également bénéficier des avantages de la "sphère de sécurité". Dans tous les cas, l'organisation bénéficie desdits avantages à compter de la date à laquelle elle avise le ministère du commerce (ou la personne désignée par celui-ci) de son adhésion aux principes, conformément aux recommandations énoncées dans la FAQ relative à l'autocertification.

L'adhésion aux principes peut être limitée par: a) les exigences relatives à la sécurité nationale, l'intérêt public et le respect des lois des États-Unis; b) les textes législatifs, les règlements administratifs ou les décisions jurisprudentielles qui créent des obligations contradictoires ou prévoient des autorisations explicites, pour autant qu'une organisation qui a recours à une telle autorisation peut démontrer que le non-respect des principes est limité aux mesures nécessaires pour garantir les intérêts légitimes supérieurs que cette autorisation vise à servir; c) les exceptions ou les dérogations prévues par la directive ou par le droit national, à condition que ces exceptions ou dérogations soient appliquées dans des contextes comparables. Conformément à l'objectif d'un renforcement de la protection de la vie privée, les organisations doivent s'efforcer d'appliquer ces principes de manière complète et transparente, y compris en indiquant - dans leurs codes de protection de la vie privée - dans quels domaines les exceptions visées au point b) ci-dessus s'appliqueront de façon régulière. Pour la même raison, lorsque les principes et/ou les lois des États-Unis permettent aux organisations de faire un choix, celles-ci sont invitées à opter, dans la mesure du possible, pour le niveau de protection le plus élevé.

Pour des raisons d'ordre pratique ou autres, certaines organisations souhaiteront peut-être appliquer les principes à l'ensemble de leurs données, mais elles ne sont tenues de le faire que pour les données tranférées ultérieurement à leur adhésion à la "sphère de sécurité". Pour intégrer celle-ci, il n'est pas nécessaire d'appliquer les principes aux données traitées manuellement. Les organisations qui souhaitent bénéficier des avantages de la "sphère de sécurité" pour accéder à des données provenant de fichiers de l'Union européenne traités manuellement doivent appliquer les principes à toute information transférée après leur adhésion auxdits principes. Les organisations qui désirent étendre les avantages de la "sphère de sécurité" à des informations personnelles tirées de fichiers de type "ressources humaines" en provenance de l'Union européenne afin de les utiliser dans le cadre d'une relation de travail doivent mentionner cette intention lorsqu'elles autocertifient leur engagement auprès du ministère américain du commerce (ou auprès de la personne désignée par celui-ci) et doivent se conformer aux exigences exposées dans la FAQ sur l'autocertification. Les organisations pourront également mettre en place les garanties visées à l'article 26 de la directive si elles appliquent les principes - dans le cadre d'accords écrits avec des parties transférant des données depuis l'Union européenne - aux dispositions normatives concernant la protection de la vie privée, une fois que les autres dispositions relatives à ces contrats types auront été approuvées par la Commission et les États membres.

Le droit américain est applicable en ce qui concerne l'interprétation et le respect des principes de la "sphère de sécurité" (y compris les questions souvent posées) et des mesures de protection de la vie privée mise en oeuvre par les organisations adhérant à la "sphère de sécurité", à l'exception des cas dans lesquels des organisations se sont engagées à coopérer avec les autorités européennes chargées de la protection des données. Sauf indication contraire, toutes les dispositions de la "sphère de sécurité" et des questions souvent posées sont applicables.

Par "donnée ou information à caractère personnel", il faut entendre toute donnée ou information concernant une personne identifiée ou identifiable qui entre dans le champ d'application de la directive, qui est transférée de l'Union européenne vers une organisation américaine et qui est enregistrée sous quelque forme que ce soit.

NOTIFICATION

Toute organisation doit informer les personnes concernées des raisons de la collecte et de l'utilisation d'informations à caractère personnel, de la façon de la contacter pour toute demande ou plainte, des tiers auxquels les informations sont communiquées, des choix et des moyens qu'offre l'organisation aux personnes concernées pour limiter l'utilisation et la divulgation de ces données. La notification doit être établie dans un langage clair et bien lisible. Elle doit être communiquée aux personnes concernées lorsque celles-ci sont invitées pour la première fois à fournir des informations à caractère personnel ou dès que possible après cette invitation et, en tout état de cause, avant que les données ne soient utilisées dans un but différent de celui pour lequel elles ont été initialement collectées ou traitées par l'organisation ayant effectué le transfert ou avant qu'elles ne soient diffusées pour la première fois à un tiers(1).

CHOIX

Toute organisation doit offrir aux personnes concernées la possibilité de décider (opposition) si leurs informations à caractère prsonnel a) peuvent être divulguées à une tierce personne(2) ou b) peuvent être utilisées dans un but incompatible avec le ou les objectifs pour lesquels les données ont été initialement collectées ou dans un but approuvé ultérieurement par la personne concernée. Les personnes concernées doivent disposer de mécanismes clairs et visibles, d'accès facile et d'un coût raisonnable pour opérer leur choix.

En ce qui concerne les informations sensibles (par exemple, les données concernant le dossier médical ou l'état de santé d'une personne, son origine raciale ou ethnique, ses opinions politiques, ses croyances religieuses ou ses convictions philosophiques, son affiliation à un syndicat ou sa sexualité), toute personne doit avoir positivement ou explicitement la possibilité de décider (consentement) si les données peuvent être divulguées à un tiers ou utilisées dans un but qui diffère de l'objectif initial de la collecte ou dans un but approuvé ultérieurement par la personne concernée exerçant son droit de consentement. En tout état de cause, une organisation considérera comme sensible toute information reçue d'un tiers si le tiers indique que cette information est sensible et la traite en conséquence.

TRANSFERT ULTÉRIEUR

Pour divulguer des informations à un tiers, les organisations sont tenues d'appliquer les principes de notification et de choix. Les organisations qui le souhaitent peuvent transférer des informations à un tiers agissant en qualité de mandataire, conformément à la description fournie dans la note finale, si elles certifient auparavant que le tiers souscrit aux principes de la "sphère de sécurité" ou est soumis aux dispositions de la directive ou d'un autre mécanisme attestant le niveau adéquat de la protection ou encore si elle passe un accord écrit avec ce tiers dans lequel celui-ci s'engage à assurer au moins le même niveau de protection que les principes. Si l'organisation se conforme aux exigences susmentionnées, elle ne sera pas passible de poursuites (sauf accord contraire de sa part) dans les cas où un tiers auquel elle aura transféré de telles données traitera celles-ci d'une façon contraire aux dispositions ou aux restrictions convenues, sauf si l'organisation savait ou aurait dû savoir que le tiers traiterait les données de cette manière et que l'organisation n'a pas pris de mesures appropriées pour prévenir ce traitement ou y mettre fin.

SÉCURITÉ

Les organisations qui créent, gèrent, utilisent ou diffusent des données à caractère personnel doivent prendre les mesures nécessaires pour éviter la perte, l'utilisation abusive, la consultation illicite, la divulgation, la modification et la destruction de ces données.

INTÉGRITÉ DES DONNÉES

Compte tenu de ces principes, les informations à caractère personnel doivent être pertinentes pour les utilisations auxquelles elles sont destinées. Une organisation ne peut pas traiter des données à caractère personnel d'une manière qui est incompatible avec les objectifs pour lesquels elles ont été collectées ou avec les objectifs approuvés ultérieurement par la personne concernée. Toute organisation doit donc prendre les mesures qui s'imposent, dans la limite de ces objectifs, pour assurer la fiabilité des données par rapport à l'utilisation prévue ainsi que leur exactitude, leur exhaustivité et leur actualité.

ACCÈS

Lorsqu'une organisation détient des informations à caractère personnel sur une personne, celle-ci doit avoir accès à ces données et doit pouvoir les corriger, les modifier ou les supprimer lorsqu'elles sont inexactes. Font toutefois exception à cette règle les cas où la charge de travail ou la dépense qu'occasionnerait le droit d'accès sont disproportionnées par rapport aux risques pesant sur la vie privée de la personne concernée ainsi que les cas susceptibles d'entraîner une violation des droits d'autres personnes.

MISE EN OEUVRE

Pour protéger efficacement la vie privée, il convient notamment de mettre au point des mécanismes permettant d'assurer le respect des principes de la "sphère de sécurité", de ménager un droit de recours aux personnes concernées par le non-respect des principes et de sanctionner les organisations qui n'ont pas appliqué les principes alors qu'elles s'y sont engagées. Ces mécanismes doivent comprendre au minimum: a) des systèmes de recours indépendants, aisément accessibles et peu coûteux, permettant d'étudier et de résoudre toute plainte et tout litige en se référant aux principes et d'accorder des dédommagements lorsque la loi applicable ou les initiatives du secteur privé le prévoient; b) des procédures de suivi permettant de vérifier que les renseignements et les indications fournies par les entreprises sur leurs pratiques en matière de protection de la vie privée sont exactes et que ces pratiques sont mises en oeuvre conformément aux déclarations des entreprises; c) des déclarations faisant obligation aux organisations qui souscrivent aux principes de résoudre les problèmes résultant du non-respect de ceux-ci et prévoyant des sanctions pour les contrevenants. Ces sanctions doivent être suffisamment dissuasives pour garantir le respect des principes.

(1) Il n'est pas nécessaire de procéder à une notification ou à un choix quand des données sont communiquées à un tiers qui est chargé d'effectuer des travaux pour le compte et selon les instructions de l'organisation. En revanche, le principe du transfert ultérieur est applicable à de semblables communications.

(2) Il n'est pas nécessaire de procéder à une notification ou à un choix quand des données sont communiquées à un tiers qui est chargé d'effectuer des travaux pour le compte et selon les instructions de l'organisation. En revanche, le principe du transfert ultérieur est applicable à de semblables communications.

Annexe

Liste des organismes officiels des États-Unis reconnus par l'Union européenne

L'Union européenne reconnaît les organismes gouvernementaux des États-Unis suivants comme étant autorisés à examiner des plaintes et à bénéficier d'une assistance contre des pratiques déloyales, de même qu'en matière de réparation pour des personnes en cas de non-conformité aux principes en vigueur conformément aux FAQ:

- la Federal Trade Commission, sur la base des pouvoirs qui lui sont conférés en vertu de la section 5 du Federal Trade Commission Act,

- le Department of Transportation, sur la base des pouvoirs qui lui sont conférés en vertu du titre 49 du United States Code, section 41712.

ANNEXE II

QUESTIONS SOUVENT POSÉES (FAQ)

FAQ 1 - Données sensibles

Q: Une organisation doit-elle toujours fournir un choix explicite (opt in) en ce qui concerne les données sensibles?

R: Non, un tel choix n'est pas requis lorsque le traitement est: 1) dans l'intérêt vital de la personne concernée ou d'une autre personne; 2) nécessaire à la constatation d'un droit ou d'une défense en justice; 3) nécessaire pour dispenser des soins médicaux à des fins de diagnostic; 4) effectué au cours d'activités légitimes par une fondation, une association ou tout autre organisme à but non lucratif et à finalité politique, philosophique, religieuse ou syndicale, et à condition que le traitement se rapporte aux seuls membres de l'organisme ou aux personnes entretenant avec lui des contacts réguliers liés à sa finalité et que les données ne soient pas communiquées à des tiers sans le consentement des personnes concernées; 5) nécessaire aux fins de respecter les obligations de l'organisation en matière de droit du travail; 6) lié à des données manifestement rendues publiques par l'individu.

FAQ 2 - Exceptions journalistiques

Q: Compte tenu des garanties qu'offre la Constitution américaine en ce qui concerne la liberté de la presse et de l'exemption prévue dans la directive pour les informations utilisées par les journalistes, les principes de la "sphère de sécurité" s'appliquent-ils aux informations à caractère personnel recueillies pour les besoins de la presse?

R: Lorsque les droits de la presse visés dans le premier amendement à la Constitution des États-Unis ne sont pas compatibles avec la protection de la vie privée, le premier amendement doit primer pour les activités qui sont le fait de personnes ou d'organisations américaines. Les informations personnelles qui sont recueillies à des fins de publication, de diffusion ou d'autres formes de communication publique, qu'elles soient utilisées ou non, ainsi que les informations qui ont été publiées antérieurement, puis archivées ne sont pas soumises aux principes de la "sphère de sécurité"

FAQ 3 - Responsabilité secondaire

Q: Les fournisseurs d'accès Internet (FAI), les sociétés de télécommunications et d'autres organismes sont-ils soumis aux principes de la "sphère de sécurité" lorsqu'ils se limitent à transmettre, acheminer, remplacer ou masquer, pour le compte d'un autre organisme, des informations susceptibles de violer ces principes?

R: Non. Pas plus que la directive elle-même, la "sphère de sécurité" ne fait naître de responsabilité secondaire. Dans la mesure où un organisme sert uniquement de vecteur à des données transmises par des tiers et ne détermine ni les buts ni les moyens de traitement de ces données à caractère personnel, sa responsabilité ne peut être engagée.

FAQ 4 - Banques d'investissement et audits

Q: Les activités des commissaires aux comptes et des banques d'investissement peuvent impliquer le traitement de données à caractère personnel sans l'assentiment ou à l'insu de la personne concernée. Dans quelles circonstances les principes de notification, de choix et d'accès l'autorisent-ils?

R: Les banques d'investissement et les commissaires aux comptes peuvent traiter des informations à l'insu de la personne concernée, uniquement dans la mesure et pendant la durée nécessaires pour satisfaire à des dispositions réglementaires ou à des exigences liées à l'intérêt général ainsi que dans d'autres circonstances où l'application de ces principes porterait atteinte aux intérêts légitimes de l'organisme. Parmi ces intérêts légitimes figurent la surveillance du respect, par les entreprises, de leurs obligations légales et de leurs activités comptables légitimes ainsi que la confidentialité qui doit être observée dans le contexte d'éventuelles acquisitions, fusions, coentreprises ou d'autres transactions de nature comparable effectuées par les banques d'investissement ou les commissaires aux comptes.

FAQ 5(1) - Rôle des autorités chargées de la protection des données

Q: Par quels moyens les entreprises qui le souhaitent prendront-elles l'engagement de coopérer avec les autorités de l'Union européenne chargées de la protection des données (DPA) et comment ces engagements seront-ils appliqués?

R: Dans le cadre de la "sphère de sécurité", les organisations américaines recevant des données à caractère personnel en provenance de l'Union européenne doivent s'engager à utiliser des mécanismes efficaces assurant le respect des principes de la "sphère de sécurité". Plus précisément, comme le prévoit le principe d'application, ces mécanismes doivent prévoir: a) des voies de recours pour les personnes auxquelles les données se réfèrent, b) des procédures de suivi permettant de contrôler la véracité des affirmations et des déclarations faites par les organisations en ce qui concerne le respect de la vie privée et c) des dispositions aux termes desquelles les organisations sont tenues de résoudre les problèmes qui découlent du non-respect des principes et d'assumer les conséquences qui en résultent. Une organisation est tenue de satisfaire aux points a) et c) du principe d'application si elle souscrit à l'engagement de coopération avec les DPA visé à la présente FAQ.

Une organisation peut s'engager à coopérer avec les DPA en déclarant dans sa certification d'adhésion à la "sphère de sécurité" adressée au ministère du commerce (voir FAQ 6 relative à l'autocertification) que l'organisation:

1) décide de se conformer aux dispositions des points a) et c) du principe d'application de la "sphère de sécurité" en s'engageant à coopérer avec les DPA;

2) coopérera avec les DPA au niveau de l'instruction et du règlement des plaintes déposées au titre de la "sphère de sécurité";

3) suivra tout avis donné par les DPA selon lequel l'organisation devra prendre des mesures spécifiques pour respecter les principes de la "sphère de sécurité", y compris toute mesure de réparation ou d'indemnisation au bénéfice des particuliers qui ont subi un préjudice en raison du non-respect desdits principes, et informera par écrit les DPA des mesures prises à cet effet.

La coopération des DPA se traduira par des informations et des avis donnés selon les modalités suivantes:

- les DPA seront consultées par l'intermédiaire d'un panel informel des DPA établi au niveau européen qui, notamment, contribuera à définir une approche harmonisée et cohérente,

- le panel conseillera les organisations américaines concernées au sujet de plaintes non résolues de particuliers portant sur le traitement des informations personnelles qui ont été transférées au départ de l'Union européenne au titre de la "sphère de sécurité". Les conseils donnés viseront à assurer une application correcte des principes de la "sphère de sécurité" et porteront également sur les mécanismes de règlement des litiges que les DPA jugeront appropriés pour le ou les particuliers concernés,

- le panel donnera son avis en réponse aux recours formés par les organisations concernées et/ou aux plaintes introduites directement par des particuliers contre des organisations qui se sont engagées à coopérer avec les DPA aux fins du respect des principes de la "sphère de sécurité", tout en encourageant et, le cas échéant, en aidant ces particuliers à faire d'abord usage des mécanismes internes d'instruction des plaintes dont l'organisation dispose,

- l'avis ne sera donné qu'après avoir mis les deux parties en mesure de présenter leurs observations et, le cas échéant, de produire leurs moyens de preuve. Le panel veillera à donner son avis dans les meilleurs délais tout en respectant les principes du procès équitable. En principe, le panel se prononcera au plus tartd dans un délai de soixante jours à compter de la réception de la plainte ou du recours,

- s'il le juge approprié, le panel rendra publics les résultats de l'examen des plaintes dont il a été saisi,

- l'avis du panel n'engage ni le panel ni les DPA qui le composent.

Les organisations optant pour ce mode de règlement des litiges devront s'engager à se conformer aux avis émis par les DPA. Si une organisation ne s'exécute par dans un délai de vingt-cinq jours à compter de la notification de l'avis sans pouvoir fournir de motif valable, le panel pourra décider de soumettre l'affaire à la Federal Trade Commission ou à une autre instance réglementaire américaine visée à l'annexe des principes de la "sphère de sécurité" ou de conclure à un manquement grave à l'engagement de coopérer, lequel devra, en conséquence, être considéré comme nul et non avenu. Dans le dernier cas, le panel informera le ministère du commerce (ou son représentant) afin que celui-ci corrige la liste des adhérents à la "sphère de sécurité". Tout manquement à l'engagement de coopérer avec le panel ainsi que tout non-respect des principes de la "sphère de sécurité" seront considérés comme constitutifs d'un acte frauduleux au titre de la section 5 de la loi instituant la Federal Trade Commission ou de lois équivalentes.

Les organisations optant pour cette formule devront verser une cotisation annuelle couvrant les frais de gestion du panel et seront, le cas échéant, invitées à participer aux frais de traduction résultant de l'examen, par le panel , des recours formés et des plaintes déposées contre elles. La cotisation annuelle n'excédera pas 500 dollars des États-Unis et sera réduite pour les petites entreprises.

La possibilité de coopérer avec les DPA sera ouverte aux organisations adhérant à la "sphère de sécurité" au cours d'une période de trois ans. Les DPA réviseront les dispositions avant la fin de cette période si le nombre d'organisations américaines optant pour cette formule était excessif.

FAQ 6 - Autocertification

Q: Comment une organisation autocertifie-t-elle qu'elle adhère aux principes de la "sphère de sécurité"?

R: Les avantages afférents à la "sphère de sécurité" sont acquis à partir de la date à laquelle une organisation autocertifie au ministère américain du commerce (ou à la personne désignée par celui-ci) qu'elle adhère aux principes conformément aux modalités ci-dessous.

Pour autocertifier son adhésion à la "sphère de sécurité", une organisation peut remettre au ministère américain du commerce (ou à la personne désignée par celui-ci) une lettre signée d'un cadre de ladite organisation contenant au moins les informations suivantes:

1) le nom de l'organisation, son adresse postale, son adresse électronique, ses numéros de téléphone et de télécopieur;

2) une description des activités de l'organisation relativement aux informations à caractère personnel en provenance de l'Union européenne;

3) une description des dispositions de protection de la vie privée appliquées par l'organisation auxdites informations, précisant: a) le lieu où le texte de ces dispositions peut être consulté par le public; b) la date de mise en oeuvre de ces dispositions; c) le service à contacter en cas de plainte, pour des demandes d'accès et pour toute autre question relevant de la "sphère de sécurité"; d) le nom de l'instance réglementaire spécifique qui est chargée de statuer sur les plaintes déposées, le cas échéant, contre l'organisation pour pratiques déloyales ou frauduleuses et pour infraction aux lois ou aux réglementations régissant la protection de la vie privée (et qui est mentionnée dans l'annexe aux principes); e) l'intitulé de tout programme relatif à la protection de la vie privée auquel participe l'organisation; f) la méthode de vérification (par exemple, en interne ou par des tiers)(2) et g) l'instance de recours indépendante qui pourra instruire les plaintes non résolues.

Une organisation peut étendre les avantages de la "sphère de sécurité" à des informations de type "ressources humaines" qui sont transférées depuis l'Union européenne afin d'être utilisées dans le cadre de relations de travail, lorsque l'une des instances réglementaires mentionnées dans l'annexe aux principes est compétente pour statuer sur les plaintes déposées, le cas échéant, contre ladite organisation dans le domaine des informations de type "ressources humaines". En outre, l'organisation doit indiquer dans sa lettre d'autocertification qu'elle désire couvrir de telles informations, qu'elle s'engage à coopérer avec les autorités compétentes de l'Union européenne conformément aux termes des FAQ 5 et 9 et qu'elle observera les conseils donnés par ces autorités.

Le ministère (ou la personne désignée par celui-ci) tiendra une liste de l'ensemble des organisations qui suivent cette procédure, garantissant ainsi les avantages de la "sphère de sécurité", et mettra à jour cette liste sur la base des lettres et notifications reçues chaque année en conformité avec la FAQ 11. Ces lettres d'autocertification seront envoyées au moins une fois par an, à défaut de quoi l'organisation sera rayée de la liste et les avantages de la "sphère de sécurité" ne lui seront plus acquis. La liste et les lettres d'autocertification présentées par les organisations seront rendues publiques. Toute organisation qui autocertifie son adhésion aux principes de la "sphère de sécurité" doit également mentionner, dans ses déclarations publiques relatives à sa politique en matière de protection de la vie privée, qu'elle adhère aux principes de la "sphère de sécurité".

L'engagement d'adhérer aux principes n'est pas limité dans le temps en ce qui concerne les données reçues au cours de la période durant laquelle l'organisation bénéficie des avantages de la "sphère de sécurité". Son engagement signifie qu'elle continuera à appliquer les principes à ces données aussi longtemps qu'elle stockera, utilisera ou divulguera celles-ci, même si elle quitte ultérieurement la "sphère de sécurité" pour quelque raison que ce soit.

Lorsqu'une organisation cesse d'exister en tant qu'entité juridique distincte en raison d'une opération de fusion ou d'absorption, elle doit le notifier à l'avance au ministère du commerce (ou à la personne désignée par celui-ci). La notification doit également indiquer si l'entité qui l'absorbe ou l'entité qui naît de la fusion 1) reste soumise aux principes de la "sphère de sécurité" en vertu des dispositions juridiques régissant la fusion ou l'absorption ou 2) si elle choisit d'autocertifier son adhésion aux principes de la "sphère de sécurité" ou de mettre en place d'autres garanties telles qu'un accord écrit certifiant l'adhésion à ces principes. Si aucune des solutions visées aux points 1) et 2) n'est mise en oeuvre, toute donnée acquise dans le cadre de la "sphère de sécurité" doit être effacée sans tarder.

Une organisation n'est pas tenue de soumettre toutes les informations personnelles aux principes de la "sphère de sécurité", mais elle doit y soumettre l'ensemble des données personnelles reçues en provenance de l'Union européenne après son adhésion à la "sphère de sécurité".

Toute fausse déclaration au grand public concernant l'adhésion d'une organisation aux principes de la "sphère de sécurité" peut donner lieu à des poursuites devant la Commission fédérale du commerce ou devant toute autre instance administrative compétente. Toute fausse déclaration au ministère du commerce (ou à la personne désignée par celui-ci) peut donner lieu à des poursuites au titre de la loi sur les fausses déclarations (18 USC, article 1001).

FAQ 7 - Vérification

Q: Quelles sont les pratiques de suivi utilisées par les organisations pour vérifier que les attestations et les déclarations des entreprises sur leurs pratiques en matière de protection de la vie privée en "sphère de sécurité" sont sincères et que ces pratiques ont été mises en oeuvre conformément à leurs déclarations et aux principes de la "sphère de sécurité"?

R: Pour répondre aux exigences de vérification du principe de mise en vigueur, une organisation peut vérifier de telles attestations et déclarations en organisant une autoévaluation ou un contrôle extérieur de la conformité.

Dans le cadre de l'autoévaluation, la vérification devrait établir que la politique en matière de protection de la vie privée, en ce qui concerne les informations personnelles reçues de l'Union européenne, qui est rendue publique par l'organisation, est appropriée, complète, affichée de façon bien visible, totalement mise en oeuvre et accessible. Elle devrait aussi montrer que cette politique est conforme aux principes de la "sphère de sécurité", que les personnes sont informées de l'existence de mécanismes internes de traitement des réclamations et des mécanismes indépendants par le truchement desquels ils peuvent diligenter leur plaintes, que l'organisation dispose de procédures de formation des salariés à cet effet et que des sanctions leur sont infligées s'ils ne les respectent pas, et qu'il existe des procédures internes visant à contrôler régulièrement et objectivement la conformité avec ce qui précède. Une déclaration vérifiant l'autoévaluation doit être signée au moins une fois par an par un responsable de la société ou tout autre représentant mandaté et transmise à la demande des personnes concernées ou dans le cadre d'une enquête ou d'une réclamation pour non-conformité.

Les organisations doivent conserver des archives sur la mise en oeuvre de leurs pratiques relatives à la protection de la vie privée en "sphère de sécurité" et remettre celles-ci sur demande, dans le cadre d'une enquête ou d'une réclamation pour non-conformité, à l'organisme indépendant responsable de l'examen des réclamations ou à l'agence compétente en matière de pratiques déloyales et frauduleuses.

Si l'organisation opte pour un contrôle extérieur de la conformité, ce dernier devra démontrer que la politique de l'organisation en matière de protection de la vie privée, en ce qui concerne les informations reçues de l'Union européenne, respecte les principes de la "sphère de sécurité", que cette politique est respectée et que les particuliers sont informés des mécanismes leur permettant d'introduire des réclamations. Les méthodes utilisées sont diverses. Il peut s'agir (liste non exhaustive) d'un audit, d'une vérification menée de façon aléatoire, de l'utilisation de "leurres" ou d'outils technologiques. Une déclaration confirmant qu'un contrôle extérieur de la conformité a été mené à bien doit être signée au moins une fois par an par le contrôleur, le responsable de la société ou tout autre représentant mandaté et transmise à la demande des personnes concernées ou dans le cadre d'une enquête ou d'une réclamation pour non-conformité.

FAQ 8 - Accès

Principe de l'accès

Toute personne doit pouvoir accéder aux informations qu'une organisation détient à son sujet et disposer du droit de corriger, de modifier ou de supprimer ces informations lorsqu'elles sont inexactes, pour autant que cet accès n'entraîne pas une charge ou des coûts disproportionnés par rapport aux risques pour la protection de la vie privée de la personne concernée et qu'il n'y ait pas violation des droits légitimes de tiers.

Q 1: Le droit d'accès est-il absolu?

R 1: Non. Conformément aux principes de la "sphère de sécurité", le droit d'accès est un élément fondamental de la protection de la vie privée. Il permet, notamment, à chaque personne de vérifier l'exactitude des informations la concernant. Néanmoins, l'obligation qui incombe à une organisation de donner l'accès aux informations personnelles qu'elle détient dépend du principe de la proportionnalité ou du caractère raisonnable de la demande de l'accès et, dans certains cas, elle doit être modulée. En effet, l'exposé des motifs des lignes directrices de l'Organisation de coopération et de développement économique (OCDE) sur la protection de la vie privée (1980) indique clairement que l'obligation pour une organisation de fournir un accès n'est pas absolue. Le droit d'accès n'exige pas des recherches aussi approfondies que pour une citation à comparaître, par exemple, pas plus que l'accès à toutes les formes de stockage de données par l'organisation.

L'expérience a plutôt montré que, lorsqu'elle répond aux demandes d'accès individuelles, l'organisation doit avant tout être guidée par la ou les motivations de leur auteur. Par exemple, si une demande d'accès est vague ou a une portée très large, l'organisation peut engager un dialogue avec le demandeur afin de mieux comprendre sa démarche et de trouver les informations appropriées. L'organisation peut chercher à déterminer avec quels services la personne concernée a eu des contacts et/ou quelle est la nature (ou l'utilisation) des informations qui font l'objet de la demande d'accès. Cependant, personne ne doit justifier une demande d'accès à ses propres données.

Les coûts et la charge constituent des facteurs importants qui sont à prendre en compte, mais qui ne sont pas décisifs lorsqu'il s'agit de déterminer le caractère raisonnable de l'accès. Ainsi, conformément aux autres dispositions des présentes FAQ, si les informations sont utilisées pour prendre des décisions qui auront des conséquences majeures pour la personne (par exemple, le refus ou l'octroi d'avantages importants, tels qu'une assurance, une hypothèque ou un emploi), l'organisation est tenue de les communiquer, même si cela s'avère relativement difficile ou coûteux.

Lorsque les informations demandées ne sont pas sensibles ou ne sont pas utilisées pour prendre des décisions qui auront des conséquences majeures pour la personne (par exemple, les données de marketing non sensibles qui sont utilisées pour l'envoi de catalogues), mais qu'elles sont aisément disponibles et que leur transmission est peu coûteuse, l'organisation est tenue de permettre à toute personne qui en fait la demande d'accéder aux informations factuelles qui la concernent. Ces informations peuvent comporter des éléments obtenus auprès de la personne elle-même, recueillis lors d'une transaction ou transmis par des tiers qui ont un lien avec la personne concernée.

Le droit d'accès étant par nature un élément fondamental de la protection de la vie privée, les organisations doivent, toujours et en toute bonne foi, faire des efforts pour fournir l'accès. Par exemple, s'il convient de protéger certaines informations et que celles-ci peuvent être aisément séparées des informations qui font l'objet d'une demande d'accès, l'organisation doit procéder à la séparation des données confidentielles et répondre à la demande en rendant les autres informations disponibles. Si l'organisation décide de refuser l'accès dans un cas précis, elle doit motiver sa décision et communiquer les coordonnées d'une personne à contacter pour plus d'informations.

Q 2: Qu'est-ce qu'une information commerciale confidentielle et les organisations sont-elles autorisées à en refuser l'accès pour des raisons de sauvegarde?

R 2: Les informations commerciales confidentielles (telles qu'elles sont désignées dans le code de procédure fédéral sur la communication de données) sont des informations qu'une organisation veille à ne pas divulguer car elles favoriseraient ses concurrents. Il peut s'agir d'un programme informatique particulier (par exemple un programme de modélisation) ou de détails de ce programme. Si les informations commerciales confidentielles peuvent être aisément séparées des informations qui font l'objet d'une demande d'accès, l'organisation doit procéder à la séparation des données confidentielles et répondre à la demande. Les organisations peuvent refuser ou limiter l'accès si elles risquent de voir divulguées leur informations commerciales confidentielles telles qu'elles sont définies ci-dessus - notamment les inférences ou les classifications commerciales établies par l'organisation - ou des informations commerciales confidentielles appartenant à d'autres organisations, si ces informations sont soumises à une obligation contractuelle de confidentialité dans les cas où une telle obligation serait normalement mise en oeuvre ou imposée.

Q 3: Lorsqu'elle fournit un accès, l'organisation peut-elle communiquer aux personnes concernées des informations à caractère personnel tirées de ses bases de données ou doit-elle permettre l'accès à cette base de données?

R 3: L'accès peut être fourni sous la forme d'un transfert d'informations à la personne concernée et n'implique pas obligatoirement que cette dernière consulte la base de données de l'organisation.

Q 4: L'organisation doit-elle restructurer ses bases de données afin de permettre l'accès?

R 4: L'accès ne doit être fourni que dans la mesure où l'organisation stocke les informations. Le principe d'accès en soi ne crée aucune obligation de conservation, de gestion, de réorganisation ou de restructuration des fichiers d'informations personnelles.

Q 5: Ces réponses établissent clairement que l'accès peut parfois être refusé. Dans quelles autres circonstances l'organisation peut-elle refuser à une personne qui le souhaite d'accéder aux informations personnelles qu'elle détient à son sujet?

R 5: Ces circonstances sont limitées et les motifs justifiant le refus de l'accès doivent être spécifiques. L'organisation peut refuser l'accès à certaines informations pour autant que leur diffusion risque de porter atteinte à d'importants intérêts publics, tels que la sécurité nationale, la défense ou la sécurité publique. L'accès peut également être refusé lorsque les informations personnelles sont traitées uniquement à des fins statistiques ou de recherche. D'autres motifs justifient le refus ou la limitation de l'accès:

a) une entrave à l'exécution ou à l'application de la loi, notamment à la prévention de la criminalité, à la détection des infractions et délits et aux enquêtes y afférentes ou encore au droit à un procès équitable;

b) une entrave aux actions civiles en justice, notamment à la prévention et à la détection d'actions en justice et aux enquêtes y afférentes ou encore au droit à un procès équitable;

c) la diffusion d'informations faisant référence à une ou plusieurs autres personnes si ces références ne peuvent être traitées;

d) le non-respect d'une obligation ou d'un privilège légal ou professionnel;

e) le non-respect de la confidentialité indispensable dans le cadre de négociations futures ou en cours, telles que celles concernant l'acquisition de sociétés cotées en Bourse;

f) une entrave aux enquêtes sur la sécurité des employés et aux procédures d'arbitrage;

g) le fait de compromettre la confidentialité qui peut s'avérer nécessaire pendant de courtes périodes lors de l'organisation des remplacements et des restructurations;

h) le fait de porter atteinte à la confidentialité qui peut s'avérer nécessaire au contrôle, à l'inspection ou aux fonctions réglementaires en rapport avec une gestion économique ou financière saine;

i) d'autres circonstances où l'accès entraînerait une charge ou des coûts disproportionnés et qu'il y aurait violation des droits ou des intérêts légitimes de tiers.

Il incombe à l'organisation qui invoque l'exception d'en prouver le bien-fondé (ce qui est généralement le cas). Comme cela a déjà été précisé, les raisons du refus ou de la limitation de l'accès doivent être données aux personnes qui ont introduit la demande et il convient de leur communiquer les coordonnées d'une personne à contacter pour plus d'informations.

Q 6: Une organisation peut-elle rendre l'accès payant pour couvrir ses frais?

R 6: Oui. Les lignes directrices de l'OCDE reconnaissent que les organisations peuvent demander le paiement d'une redevance, pour autant qu'elle ne soit pas excessive. Les organisations peuvent donc fixer une participation équitable aux frais d'accès. Le fait de rendre l'accès payant peut contribuer à lutter contre les demandes répétitives et vexatoires.

Le organisations spécialisées dans la vente d'informations accessibles au public peuvent donc répondre à des demandes d'accès contre le paiement d'une participation correspondant au montant habituellement demandé par l'organisation. Chacun peut, par ailleurs, obtenir les informations qui le concernent en s'adressant directement à la première organisation qui a compilé les données.

L'accès ne peut pas être refusé pour des raisons de coût si la personne concernée propose de prendre en charge les frais occasionnés.

Q 7: Une organisation est-elle obligée de permettre l'accès aux informations à caractère personnel tirées des registres publics?

R 7: Précisons, tout d'abord, que les registres publics sont des registres conservés par les services des autorités gouvernementales ou d'autres administrations publiques à quelque niveau que ce soit qui peuvent être consultés par tous. Les principes d'accès ne doivent pas être appliqués à ces informations si ces dernières ne sont pas associées à d'autres données à caractère personnel, sauf si quelques informations non publiques sont utilisées pour indexer ou organiser les registres publics. Toutefois, les conditions de consultation fixées par les instances compétentes doivent être respectées. Lorsque des informations tirées de ces registres sont associées à d'autres données non publiques (exception faite du cas précisé ci-dessus), l'organisation est tenue d'en permettre l'accès, pour autant que ces informations ne font pas l'objet d'autres dérogations.

Q 8: Le principe de l'accès doit-il être appliqué aux informations personnelles accessibles au public?

R 8: Tout comme dans le cas des informations tirées des registres publics (voir Q 7), il n'est pas nécessaire d'accorder l'accès aux informations qui sont déjà à la disposition du public, pour autant que ces informations ne sont pas associées à d'autres données non publiques.

Q 9: Comment l'organisation peut-elle lutter contre les demandes d'accès répétitives ou vexatoires?

R 9: L'organisation n'est pas tenue de répondre à de telles demandes d'accès. C'est pour cette raison qu'elle peut demander le paiement d'une participation équitable aux frais et fixer une limite acceptable au nombre de demandes d'accès déposées au cours d'une période donnée. Lorsqu'elle fixe ces limites, l'organisation doit tenir compte de facteurs tels que la fréquence de mise à jour des informations, le but de l'utilisation des données et la nature des informations.

Q 10: Comment l'organisation peut-elle se protéger contre les demandes d'accès frauduleuses?

R 10: L'organisation n'est pas tenue de fournir l'accès si elle ne reçoit pas les informations nécessaires à l'identification du demandeur.

Q 11: La réponse à la demande d'accès doit-elle être fournie dans un délai précis?

R 11: Oui, les organisations doivent répondre dans un délai raisonnable. Cette condition peut être remplie de différentes manières, comme le précise l'exposé des motifs des lignes directrices de l'OCDE sur la protection de la vie privée (1980). Ainsi, un responsable de données qui fournit régulièrement des informations aux personnes concernées peut être exempté de l'obligation de répondre immédiatement aux demandes individuelles.

FAQ 9 - Ressources humaines

Q 1: Le transfert de l'Union européenne vers les États-Unis d'informations personnelles rassemblées dans le cadre d'une relation de travail est-il couvert par la "sphère de sécurité"?

R 1: Oui, si une société située dans l'Union européenne transfère des informations personnelles relatives à ses salariés (actuels ou anciens) et rassemblées dans le cadre d'une relation de travail à une société mère, affiliée ou non affiliée qui fournit des services aux États-Unis et qui adhère aux principes de la "sphère de sécurité", ce transfert bénéficie de la "sphère de sécurité". Dans ce cas, la collecte d'informations ainsi que son traitement avant le transfert sont soumis aux lois nationales du pays de l'Union européenne où la collecte est réalisée et toutes les conditions ou les restrictions fixées en la matière par celles-ci doivent être respectées.

Les principes de la "sphère de sécurité" ne sont pertinents qu'en cas de transfert ou d'accès à des dossiers individuels identifiés. La déclaration statistique fondée sur les données globales en matière d'emploi et/ou l'utilisation de données rendues anonymes ou de pseudonymes ne présentent pas de risques pour la vie privée.

Q 2: Comment les principes de notification et de choix s'appliquent-ils à ces données?

R 2: Une organisation américaine qui a reçu de l'Union européenne des informations sur les salariés dans le cadre de la "sphère de sécurité" peut les communiquer à des tiers et/ou les utiliser à d'autres fins uniquement si les principes qui régissent la notification et le choix sont respectés. Par exemple, si une organisation américaine veut utiliser les informations personnelles rassemblées dans le cadre d'une relation de travail dans un but qui n'est pas lié à cette relation de travail - par exemple l'envoi de messages de marketing -, elle doit laisser le choix aux personnes concernées au préalable, à moins que celles-ci n'aient déjà donné leur autorisation pour que les informations soient utilisées à de telles fins. En outre, l'employeur ne peut utiliser les choix exprimés pour entraver la carrière professionnelle de ses salariés ou prendre des sanctions à leur égard.

Il convient de signaler que certaines conditions applicables de manière générale au transfert à partir de quelques États membres peuvent exclure d'autres utilisations de ces informations, même après leur transfert en dehors du territoire de l'Union européenne, et que ces conditions doivent être respectées.

Par ailleurs, les employeurs doivent s'efforcer de tenir compte des préférences du salarié en ce qui concerne la protection de sa vie privée. Il peut s'agir, par exemple, de restreindre l'accès aux données, d'en rendre certaines anonymes ou de leur attribuer des codes ou pseudonymes lorsque l'objectif de gestion poursuivi ne requiert pas l'utilisation des vrais noms.

Dans la mesure nécessaire et pour aussi longtemps que nécessaire, pour éviter de léser les intérêts légitimes de l'organisation dans le cadre de promotions, d'engagements ou d'autres décisions similaires relatives à l'emploi, une organisation n'est pas tenue de respecter le principe de la notification et du choix.

Q 3: Comment le principe de l'accès s'applique-t-il?

R 3: Les FAQ concernant le principe d'accès fournissent des indications sur les raisons qui peuvent justifier le refus ou la restriction de l'accès demandé dans le contexte des ressources humaines. Dans l'Union européenne, les employeurs doivent naturellement respecter les réglementations locales et veiller à ce que les salariés de l'Union européenne aient accès à ces informations, conformément à la loi de leur pays d'origine, quel que soit le lieu de traitement et de conservation des données. Dans le contexte de la "sphère de sécurité", une organisation traitant de telles données aux États-Unis doit coopérer en fournissant cet accès, soit directement, soit par le biais de l'employeur de l'Union européenne.

Q 4: Comment la mise en oeuvre sera-t-elle assurée à l'égard des données des salariés dans le cadre de la "sphère de sécurité"?

R 4: Dans la mesure où les informations sont utilisées uniquement dans le cadre d'une relation de travail, la responsabilité principale des données vis-à-vis du salarié incombe toujours à la société située dans l'Union européenne. C'est la raison pour laquelle, si un salarié européen se plaint du non-respect de son droit à la protection des données et n'est pas satisfait des résultats des procédures internes d'évaluation, de réclamation et d'appel (ou de toute procédure d'arbitrage applicable en vertu d'un contrat conclu avec un syndicat), il convient de l'orienter vers les autorités nationales responsables des questions du travail ou de la protection des données dans la juridiction où il travaille. Cela comprend également les cas où le mauvais usage allégué de l'information personnelle a eu lieu aux États-Unis et relève de la responsabilité de l'organisation américaine qui a reçu l'information de l'employeur, et non de l'employeur, et entraîne donc une violation alléguée des principes de la "sphère de sécurité", plutôt que des dispositions législatives nationales transposant la directive. C'est le moyen le plus efficace de résoudre les chevauchements qui existent souvent entre les droits et obligations définis par la législation du travail et les conventions collectives locales ainsi que par la loi relative à la protection des données.

Une organisation américaine adhérant aux principes de la "sphère de sécurité" qui utilise des données de l'Union européenne concernant les ressources humaines transférées à partir de l'Union européenne dans le cadre d'une relation de travail et qui souhaite que ces transferts soient couverts par la "sphère de sécurité" doit s'engager à cet effet à coopérer aux enquêtes des autorités compétentes de l'Union européenne et à respecter l'avis de celles-ci. Les autorités chargées de la protection des données qui sont convenues de coopérer dans ce sens en informeront la Commission européenne et le ministère du commerce. Si une organisation américaine qui adhère aux principes de la "sphère de sécurité" souhaite transférer des données concernant les ressources humaines à partir d'un État membre où l'autorité chargée de la protection des données n'a pas convenu d'un tel accord, les dispositions prévues par la FAQ 5 seront applicables.

FAQ 10 - Contrats au titre de l'article 17

Q: Le transfert de l'Union européenne vers les États-Unis de données uniquement pour des besoins de sous-traitement nécessite-t-il un contrat indépendamment de la participation du responsable du sous-traitement à la "sphère de sécurité"?

R: Oui. Un contrat est toujours exigé de la part des responsables de traitement européens pour un transfert en vue d'un sous-traitement pur, que cette opération soit effectuée à l'intérieur ou à l'extérieur de l'Union européenne. Le but du contrat est de protéger les intérêts du responsable de traitement, c'est-à-dire la personne ou l'organisme qui détermine les finalités et les moyens du traitement et porte l'entière responsabilité des données vis-à-vis des personnes concernées. Le contrat spécifie donc le traitement à effectuer et toutes les mesures nécessaires pour garantir la sécurité des données.

Par conséquent, une organisation américaine couverte par la "sphère de sécurité" et recevant des informations personnelles de l'Union européenne pour sous-traitement n'a pas à appliquer les principes à ces informations puisque le responsable de traitement européen reste responsable vis-à-vis des personnes, conformément aux dispositions communautaires en la matière (qui peuvent être plus rigoureuses que les principes de "sphère de sécurité" équivalents).

Étant donné que les participants à la "sphère de sécurité" assurent une protection adéquate, les contrats de sous-traitement pur conclus avec ces derniers ne nécessitent pas d'autorisation préalable (ou alors cette autorisation est octroyée automatiquement par les États membres), contrairement aux contrats dont les bénéficiaires ne participent pas à la "sphère de sécurité" ou qui n'assurent pas de protection adéquate.

FAQ 11 - Résolution des litiges et application des décisions

Q: Comment les exigences en matière de résolution des litiges formulées dans le principe d'application doivent-elles être mises en oeuvre et comment le non-respect persistant des principes de la part d'une organisation sera-t-il traité?

R: Le principe d'application définit les exigences sur lesquelles repose la mise en oeuvre de la "sphère de sécurité". La FAQ sur la vérification (FAQ 7) explique la manière de satisfaire les exigences énoncées au point b) du principe. La présente FAQ 11 traite des points a) et c), qui nécessitent tous deux des instances de recours indépendantes. Ces instances peuvent prendre différentes formes, mais doivent répondre aux exigences du principe d'application. Les organisations participant à la "sphère de sécurité" peuvent les satisfaire: 1) en participant à des programmes du secteur privé en matière de protection de la vie privée intégrant dans leurs règles les principes de la "sphère de sécurité" et comportant des mécanismes de mise en oeuvre efficaces, de même nature que ceux qui sont décrits dans le principe d'application; 2) en se conformant aux instructions des organes légaux ou statutaires de surveillance qui assurent le traitement des plaintes de particuliers et la résolution des litiges; 3) en s'engageant à coopérer avec les autorités chargées de la protection des données au sein de la Communauté européenne ou avec leurs représentants autorisés. La présente liste a valeur indicative et n'est pas restrictive. Le secteur privé peut concevoir d'autres mécanismes de mise en application, pour autant que ceux-ci répondent aux exigences du principe d'application et des FAQ. Il convient de remarquer que les exigences du principe d'application s'ajoutent à l'exigence énoncée au paragraphe 3 de l'introduction aux principes, selon laquelle les initiatives d'autoréglementation doivent être exécutoires conformément à la section 5 du Federal Trade Commission Act ou à une loi similaire.

Instances de recours

Les consommateurs devraient être encouragés à soumettre toute plainte éventuelle à l'organisation concernée avant de faire appel à des instances de recours indépendantes. L'indépendance d'une instance de recours est à apprécier selon des critères objectifs, tels que la transparence de sa composition et de son financement ou un bilan positif dans son domaine d'activité. Comme le prévoit le principe d'application, le recours dont disposent les particuliers doit être facilement accessible et abordable économiquement. Les organismes d'instruction des litiges devraient étudier toutes les plaintes déposées par des particuliers, à moins qu'elles ne soient manifestement non fondées ou abusives. Cette condition n'empêche pas l'établissement, par l'instance de recours, de critères d'éligibilité, mais ceux-ci devraient être transparents et justifiés (ils pourraient viser, par exemple, à exclure les plaintes qui ne rentrent pas dans le champ d'application du programme ou qui relèvent des compétences d'une autre instance) et ne devraient pas avoir pour effet de compromettre l'engagement à examiner les plaintes légitimes. Les instances de recours devraient, en outre, fournir aux particuliers des informations complètes et facilement accessibles sur le fonctionnnement de la procédure lors du dépôt de la plainte. Ces informations devraient inclure une description des pratiques suivies en matière de protection de la vie privée, conformément aux principes de la sphère de sécurité(3). Les instances devraient, en outre, coopérer en vue de mettre au point des outils, tels que des formulaires standards de plainte, destinés à faciliter le fonctionnement de la procédure de résolution des litiges.

Recours et sanctions

Tout recours auprès de l'organisme d'instruction des litiges devrait aboutir à l'annulation ou à la correction, dans la mesure du possible, des effets du non-respect des principes par l'organisation, au respect des principes lors des traitements futurs par cette même organisation et, le cas échéant, à l'arrêt du traitement des données personnelles de la personne qui a déposé la plainte. Les sanctions doivent être suffisamment sévères pour garantir le respect des principes de la part de l'organisation. Une série de sanctions ayant des degrés de sévérité différents permettra aux instances de résolution des litiges de répondre de manière adéquate à des niveaux différents de non-respect. Les sanctions doivent inclure à la fois la publication des violations et l'obligation d'effacer les données dans certaines circonstances(4). D'autres sanctions pourraient être la suspension ou le retrait de l'agrément, l'indemnisation des pertes subies par les particuliers en raison du non-respect et des injonctions. Les organismes de résolution des litiges et d'autoréglementation du secteur privé doivent signaler aux tribunaux ou aux pouvoirs publics compétents, selon le cas, les organisations adhérant aux principes de la "sphère de sécurité" qui ne respectent pas leurs décisions et en informer le ministère du commerce (ou la personne désignée par celui-ci).

Action de la FTC

La FTC s'est engagée à examiner en priorité les cas soumis par les organisations d'autoréglementation, telles que BBBOnline et TRUSTe, ainsi que par les États membres de l'Union européenne en ce qui concerne le non-respect des principes de la "sphère de sécurité", afin de déterminer s'il y a eu une violation de la section 5 du Federal Trade Commission Act, qui interdit les actions ou pratiques déloyales ou frauduleuses dans le commerce. Si la FTC conclut qu'il y a lieu de croire que la section 5 a été violée, elle peut résoudre l'affaire en obtenant une injonction administrative de cessation interdisant les pratiques contestées ou en déposant une plainte auprès d'une cour de district fédérale qui, si la plainte aboutit, peut rendre un arrêt dans le même sens. La FTC peut requérir des sanctions civiles en cas de violation d'une injonction administrative de cessation et poursuivre le contrevenant pour outrage au tribunal de nature civile ou criminelle s'il viole l'arrêt d'une cour fédérale. La FTC informe le ministère du commerce de toute action de ce type qu'elle entreprend. Le ministère du commerce encourage les autres organismes publics à lui communiquer l'issue de toutes les affaires analogues ou d'autres décisions déterminant l'adhésion aux principes.

Non-respect persistant

Si une organisation ne respecte par les principes de manière persistante, elle n'est plus en droit de bénéficier des avantages de la "sphère de sécurité". Il y a non-respect persistant lorsqu'une organisation qui a déclaré son adhésion aux principes au ministère du commerce (ou à la personne désignée par celui-ci) refuse de se conformer à une décision définitive prise par un organisme d'autoréglementation ou un organisme public, ou qu'un tel organisme constate qu'elle viole fréquemment les principes, au point que sa déclaration d'adhésion n'est plus crédible. L'organisation doit alors en informer sans retard le ministère du commerce (ou la personne désignée par celui-ci). Dans le cas contraire, elle est passible de sanctions en vertu du False Statements Act.

Le ministère du commerce (ou la personne désignée par celui-ci) introduira dans la liste publique, tenue par lui, des organisations déclarant leur adhésion aux principes de la "sphère de sécurité" toute notification de non-respect persistant, qu'elle provienne de l'organisation elle-même, d'un organisme d'autoréglementation ou d'un organisme public, mais seulement après avoir accordé à l'organisation concernée un préavis de trente (30) jours et la possibilité de répondre. La liste publique tenue par le ministère du commerce (ou la personne désignée par celui-ci) précisera donc quelles organisations bénéficient des avantages de la "sphère de sécurité" et quelles organisations n'en bénéficient plus.

Toute organisation demandant à être soumise à l'autorité d'un organisme d'autoréglementation afin de pouvoir bénéficier à nouveau des avantages de la "sphère de sécurité" devra fournir à cet organisme des informations exhaustives sur son adhésion antérieure aux principes.

FAQ 12 - Choix (le droit d'opposition) - Quand peut-il être exercé?

Q: Le principe du choix permet-il à la personne concernée d'opérer un choix seulement au début des relations ou à tout moment?

R: D'une manière générale, le principe du choix a pour but de s'assurer que les informations à caractère personnel sont utilisées et communiquées conformément aux attentes et aux choix de la personne concernée. Par conséquent, lorsque des informations à caractère personnel sont utilisées dans le cadre d'une action de marketing direct, toute personne concernée devrait pouvoir exercer son droit de refus (ou de choix) à tout moment, dans certaines limites définies par l'organisation (par exemple, délai pour permettre à l'organisation d'appliquer le refus). L'organisation peut également requérir un certain nombre d'informations pour confirmer l'identité de la personne qui fait part de son opposition. Aux États-Unis,ce droit peut être exercé par le biais d'un programme central de refus, tel que le "mail preference service" de la Direct Marketing Association. Les organisations participant au "mail preference service" de la Direct Marketing Association devraient promouvoir la disponibilité de celui-ci auprès des consommateurs ne souhaitant pas recevoir d'informations commerciales. En tout état de cause, le recours à cette option doit être facile et peu coûteux.

De même, une organisation peut utiliser des informations à certaines fins de marketing direct lorsque les conditions ne permettent pas de laisser le choix avant l'utilisation des données, à condition qu'elle donne ensuite rapidement (et à tout moment sur demande) aux personnes concernées la possibilité de refuser, sans aucun frais, toute autre communication de marketing direct et qu'elle se conforme aux souhaits de ces dernières.

FAQ 13 - Information sur les voyages

Q: Quand peut-on communiquer aux organisations situées en dehors de l'Union européenne les informations concernant les passagers des transports aériens (fournies notamment lors des réservations), telles que celles concernant les clients réguliers ou les réservations d'hôtel ainsi que les demandes spéciales - par exemple la composition des repas conformément à certains principes religieux ou une assistance physique?

R: Ces informations peuvent être transférées dans différentes circonstances. Conformément à l'article 26 de la directive, les données à caractère personnel peuvent être transférées vers un pays tiers n'assurant pas un niveau de protection adéquat au sens de l'article 25, paragraphe 2, à condition 1) que le transfert soit nécessaire à la prestation des services demandés par le client ou à l'exécution d'un contrat, tel qu'un contrat "de fidélité", ou 2) que le passager ait indubitablement donné son consentement. Les organisations américaines adhérant aux principes de la "sphère de sécurité" assurent une protection adéquate des données à caractère personnel et peuvent donc recevoir ces données de l'Union européenne sans satisfaire à ces conditions ni aux autres conditions spécifiées par l'article 26 de la directive. Étant donné que les principes de la "sphère de sécurité" comportent des règles spécifiques concernant les informations sensibles, ce type d'information (pouvant concerner, par exemple, la nécessité, pour un client, de bénéficier d'une assistance physique) peut figurer parmi les données transférées aux organisations adhérant aux principes de la "sphère de sécurité". L'organisation transférant l'information doit cependant appliquer dans chaque cas la législation nationale de l'État membre de l'Union européenne où elle opère, laquelle législation peut entre autres imposer des conditions spéciales au traitement des données sensibles.

FAQ 14 - Produits pharmaceutiques et médicaux

Q 1: Si les données personnelles sont recueillies au sein de l'Union européenne et transférées aux États-Unis pour la recherche pharmaceutique et/ou à d'autres fins, applique-t-on les législations des États membres ou les principes relatifs à la "sphère de sécurité"?

R 1: La législation des États membres s'applique à la collecte des données personnelles et à tout traitement intervenant avant le transfert aux États-Unis. Les principes relatifs à la "sphère de sécurité" s'appliquent aux données une fois qu'elles ont été transférées aux États-Unis. Les données utilisées pour la recherche pharmaceutique et à d'autres fins devraient être rendues anonymes le cas échéant.

Q 2: Les données personnelles élaborées dans le cadre d'études médicales ou pharmaceutiques jouent souvent un rôle précieux dans la recherche scientifique. Lorsque les données personnelles recueillies pour une étude sont transférées à une organisation des États-Unis dans la "sphère de sécurité", cette organisation peut-elle utiliser les données pour une nouvelle activité de recherche scientifique?

R 2: Oui, s'il a été prévu au départ une notification et un choix approprié. Cette notification doit fournir des informations sur toute utilisation spécifique future des données, telles que le suivi périodique, les études associées ou la commercialisation. Toutes les utilisations futures des données ne peuvent être spécifiées, puisqu'un nouvel examen des données originales, des découvertes et progrès médicaux nouveaux et des évolutions en matière de santé publique et de réglementation peuvent engendrer de nouvelles utilisations de la recherche. La notification devrait donc inclure, le cas échéant, une indication que les données personnelles peuvent être utilisées pour des activités de recherche médicale et pharmaceutique futures non planifiées à l'avance. Si cette utilisation n'est pas cohérente avec les objectifs de recherche généraux pour lesquels les données ont été originalement recueillies ou auxquels la personne concernée a consenti par la suite, il convient d'obtenir un nouveau consentement.

Q 3: Que deviennent les données individuelles si un participant décide volontairement ou à la demande du commanditaire de se retirer de l'essai clinique?

R 3: Les participants peuvent à tout moment décider de se retirer d'un essai clinique ou être priés de le faire. Toutes les données recueillies avant le retrait peuvent encore être traitées avec les autres données recueillies dans le cadre de l'essai clinique, à condition que cela ait été précisé au participant dans la notification au moment où il a donné son accord.

Q 4: Les sociétés d'appareils pharmaceutiques et médicaux ont le droit de fournir des données personnelles extraites des essais cliniques réalisés dans l'Union européenne aux autorités des États-Unis à des fins de réglementation et de contrôle. Ce type de transfert est-il permis à d'autres parties telles qu'entreprises et autres chercheurs?

R 4: Oui, en conformité avec les principes de notification et de choix.

Q 5: Pour garantir l'objectivité de nombreux essais cliniques, l'accès aux informations relatives au traitement reçu par les participants est interdit à ceux-ci et, fréquemment, aussi aux chercheurs. Cela mettrait en question la validité de l'étude et des résultats de la recherche. Les participants à ces essais cliniques (qualifiés d'études "masquées" auront-ils accès aux données relatives à leur traitement pendant l'essai?

R 5: Non, l'accès ne doit pas être accordé au participant si cette restriction lui a été expliquée lorsqu'il a commencé l'essai et si la révélation de cette information était susceptible de nuire à l'intégrité de l'effort de recherche. L'accord à la participation à l'essai dans ces conditions implique de renoncer au droit d'accès. Après l'achèvement de l'essai et l'analyse des résultats, les participants devraient avoir accès à leurs données s'ils le demandent. Ils devraient le demander, en premier lieu, au médecin ou autre prestataire de soins de santé qui les a traités pendant l'essai clinique ou, en second lieu, auprès de la société commanditaire.

Q 6: Les sociétés d'appareils pharmaceutiques ou médicaux doivent-elles appliquer à leurs activités de contrôle de la sécurité et de l'efficacité du produit les principes de la "sphère de sécurité" en ce qui concerne la notification, le choix, le transfert et l'accès à celles-ci, y compris le compte rendu d'incidents et le suivi des malades ou sujets impliquant l'utilisation de certains médicaments ou appareils médicaux (par exemple, un stimulateur cardiaque)?

R 6: Non, dans la mesure où le respect de ces principes entre en conflit avec les exigences réglementaires. Cela est vrai pour ce qui concerne, par exemple, les rapports effectués tant par les prestataires de soins de santé aux sociétés d'appareils pharmaceutiques et médicaux que par les sociétés d'appareils pharmaceutiques et médicaux à des agences gouvernementales telles que la Food and Drug Administration (organisme de surveillance des aliments et des médicaments).

Q 7: Les données de la recherche sont habituellement codées à leur source uniquement par le chercheur principal, pour ne pas révéler l'identité des intéressés. Les sociétés pharmaceutiques qui commanditent ce type de recherche ne reçoivent pas la clé de ce code. Le code de la clé unique est détenu par le seul chercheur, pour qu'il puisse identifier la personne concernée dans des circonstances spéciales (par exemple, si un suivi médical est requis). Le transfert de l'Union européenne aux États-Unis de données personnelles ainsi codées représente-t-il un transfert de données soumis aux principes de la "sphère de sécurité"?

R 7: Non. Cela ne représenterait pas un transfert de données personnelles soumis à ces principes.

FAQ 15 - Informations des registres publics et informations accessibles au public

Q: Faut-il appliquer les principes de notification, de choix et de transfert ultérieur aux informations des registres publics ou aux informations accessibles au public?

R: Les principes de notification, de choix ou de transfert ultérieur ne doivent pas être appliqués aux informations des registres publics si ces dernières ne sont pas combinées à des informations non publiques et si les conditions de consultation établies par la juridiction compétente sont respectées.

Les informations accessibles au public ne requièrent pas davantage l'application des principes de notification, de choix ou de transfert ultérieur, à moins que l'auteur européen du transfert ne précise qu'elles font l'objet de restrictions qui exigent l'application de ces principes lors de leur utilisation par l'organisation. L'organisation ne sera pas tenue responsable de l'utilisation faite de ces informations par ceux qui les tirent de publications.

S'il s'avère qu'une organisation a volontairement publié des données à caractère personnel en violation des principes de manière qu'elle-même ou des tiers puissent bénéficier de ces exceptions, elle sera exclue de la "sphère de sécurité"

(1) L'inclusion de cette FAQ dans l'accord est subordonnée à l'assentiment des DPA. Celles-ci ont examiné le présent texte au sein du groupe de travail de l'article 29 et la plupart d'entre elles l'ont jugée acceptable, mais elles ne sont disposées à se prononcer définitivement que dans le contexte de l'avis global que le groupe de travail mettra au sujet de l'accord définitif.

(2) Voir la FAQ 7 sur la vérification.

(3) Les instances de résolution des litiges ne sont pas tenues de se conformer au principe d'application. Elles peuvent également déroger aux principes si elles sont confrontées à des obligations contradictoires ou reçoivent des autorisations explicites lors de la réalisation des tâches spécifiques relevant de leurs compétences.

(4) Les circonstances dans lesquelles ces sanctions doivent être appliquées sont laissées à l'appréciation des organismes de résolution des litiges. Lorsque l'on décide s'il convient d'exiger l'effacement des données, il faut notamment prendre en compte le caractère sensible des informations concernées et déterminer si elles ont été collectées, employées ou dévoilées en violation manifeste des principes.

ANNEXE III

Étude relative à la mise en oeuvre des principes de la "sphère de sécurité"

Pouvoirs de l'État fédéral et des États fédérés en matière de pratiques déloyales et frauduleuses et protection de la vie privée

Le présent aide-mémoire donne un aperçu général des pouvoirs conférés à la Federal Trade Commission (FTC) par la section 5 du Federal Trade Commission Act (15 USC, §§ 41-58, sous sa forme modifiée) pour prendre des mesures contre les personnes dont les pratiques en matière de protection des informations à caractère personnel ne sont pas conformes à leurs déclarations et/ou engagements. Il aborde également les dérogations à ces pouvoirs et les possibilités d'intervention dont disposent d'autres organismes publics, au niveau tant fédéral que fédéré, lorsque la FTC n'est pas compétente(1).

Pouvoirs de la FTC en matière de pratiques déloyales ou frauduleuses

La section 5 du Federal Trade Commission Act déclare illégales les "manoeuvres et pratiques déloyales ou frauduleuses dans le domaine du commerce" [15 USC, § 45 a) 1)]. Elle confère à la FTC les pleins pouvoirs pour empêcher de tels agissements [15 USC, § 45 a) 2)]. Par voie de conséquence, la FTC peut, après avoir procédé à une audition officielle, émettre une "ordonnance de cessation" en vue de mettre fin au comportement infractionnel [15 USC, § 45 b)]. Si l'intérêt public l'exige, la FTC peut également demander à un tribunal de première instance des États-Unis (US district court) la délivrance d'une ordonnance de ne pas faire temporaire ou d'une injonction temporaire ou permanente [15 USC, § 53 b)]. Lorsque les manoeuvres et pratiques déloyales ou frauduleuses ont un caractère systématique ou que la FTC a déjà rendu des ordonnances de cessation y afférentes, cette dernière peut édicter des prescriptions administratives relatives aux manoeuvres ou pratiques concernées [15 USC, § 57 a)].

Quiconque ne se conforme pas à une ordonnance de la FTC peut être condamné, au civil, à une astreinte pouvant aller jusqu'à 11000 dollars des États-Unis, chaque jour d'une violation persistante constituant une violation distincte(2) [15 USC, § 45 1)]. De même, quiconque viole délibérément une prescription de la FTC est passible d'une astreinte de 11000 dollars pour chaque violation [15 USC, § 45 m)]. Les actions visant à assurer l'application de la législation peuvent être intentées soit par le ministère de la justice, soit, si celui-si s'abstient de faire usage de ses prérogatives, par la FTC (15 USC, § 56).

Pouvoirs de la FTC et protection de la vie privée

Dans l'exercice de ses pouvoirs au titre de la section 5, la FTC considère que toute fausse déclaration sur les motifs de la collecte d'informations auprès des consommateurs et sur la façon dont ces informations seront utilisées constitue une pratique frauduleuse(3). En 1998, la FTC a, par exemple, déposé une plainte contre la société GeoCities, qui, contrairement à ses déclarations et sans autorisation préalable, avait divulgué à des tiers, à des fins publicitaires, des informations collectées sur son site web(4). Les services de la FTC ont également indiqué que la collecte d'informations personnelles auprès d'enfants ainsi que la vente et la divulgation de ces informations sans le consentement des parents étaient susceptibles de constituer une pratique déloyale(5).

Dans une lettre adressée à M. John Mogg, directeur général à la Commission européenne, M. Pitofsky, président de la FTC, a fait observer que les pouvoirs de la FTC en matière de protection de la vie privée étaient limités en l'absence de fausse déclaration (ou de quelque déclaration que ce soit) sur l'utilisation ultérieure des informations [voir lettre de M. Pitofsky, président de la FTC, à M. John Mogg (23 septembre 1998)]. Toutefois, les entreprises souhaitant bénéficier de la "sphère de sécurité" envisagée devront certifier que les informations collectées par leurs soins seront protégées conformément aux lignes directrices prescrites. De ce fait, toute entreprise qui certifiera qu'elle garantira la confidentialité des informations et qui ne respectera pas cet engagement se rendra coupable de fausse déclaration et se livrera à une "pratique frauduleuse" au sens de la section 5.

La compétence de la FTC couvre les manoeuvres et pratiques déloyales ou frauduleuses "dans le domaine du commerce" et ne s'étend donc pas à la collecte et à l'utilisation d'informations personnelles à des fins non commerciales (collecte de fonds au profit d'oeuvres de bienfaisance, par exemple) (lettre de M. Pitofsky, p. 3). En revanche, l'utilisation d'informations personnelles dans tout type de transaction commerciale relève de la compétence de la FTC. Lorsqu'un employeur vend, par exemple, des informations à caractère personnel relatives à ses salariés à une société de marketing direct, la transaction tombe dans le champ d'application de la section 5.

Dérogations prévues par la section 5

La section 5 prévoit des dérogations à la compétence de la FTC en matière de manoeuvres et pratiques déloyales ou frauduleuses pour les secteurs d'activité suivants:

- les établissements financiers, y compris les banques, les entreprises financières d'épargne et de prêt et les coopératives de crédit,

- les sociétés de télécommunications et les entreprises publiques de transport inter-États,

- les transporteurs aériens,

- les conditionneurs et les exploitants de parcs à bestiaux.

Voir 15 USC, § 45 a) 2). Ces différentes dérogations et les organismes de réglementation se substituant à la FTC sont examinés ci-dessous.

Établissements financiers(6)

La première dérogation vise "les banques, les établissements d'épargne et de prêt au sens de la section 18 f) 3) [15 USC, § 57 a) f) 3)] " ainsi que les "coopératives fédérales de crédit au sens de la section 18 f) 4) [15 USC, § 57 a) f) 4)]"(7). Au lieu de relever de la FTC, ces établissements financiers sont soumis à des dispositions arrêtées respectivement par le Federal Reserve Board, l'Office of Thrift Supervision(8) et le National Credit Union Administration Board [15 USC, § 58 a) f)]. Ces organes de réglementation sont tenus d'adopter les dispositions nécessaires pour emplêcher les établissements financiers précités de se livrer à des pratiques déloyales ou frauduleuses(9) et doivent créer des services distincts chargés de traiter les plaintes des consommateurs [15 USC, § 57 a) f) 1)]. Enfin, les compétences d'exécution découlent de la section 8 du Federal Deposit Insurance Act (12 USC, § 1818) pour les banques et les établissements d'épargne et de prêt et des sections 120 et 206 du Federal Credit Union Act pour les coopératives fédérales de crédit [15 USC, §§ 57 a) f) 2)-4)].

Même si les compagnies d'assurances ne sont pas expressément citées dans la liste des dérogations figurant à la section 5, la loi McCarran-Ferguson (15 USC, § 1011 et suivantes) dispose, d'une manière générale, que la réglementation des activités d'assurance incombe aux différents États fédérés(10). En outre, aux termes de la section 2 b) de cette loi, aucune loi fédérale ne peut abroger ou altérer la réglementation d'un État fédéré ni s'y substituer, "à moins qu'une telle loi ne se rapporte expressément aux activités d'assurance" [15 USC, § 1012 b)]. Toutefois, les dispositions de la loi sur la FTC s'appliquent au secteur de l'assurance "dans la mesure où cette activité n'est pas réglementée par les États fédérés" (idem). Par ailleurs, il convient de noter que la loi McCarran-Ferguson n'attribue la compétence aux États fédérés que pour ce qui concerne les "activités d'assurance". De ce fait, la FTC reste compétente, à titre supplétif, pour les manoeuvres et pratiques déloyales ou frauduleuses auxquelles se livrent les compagnies d'assurances dans le cadre d'activités ne relevant pas du secteur de l'assurance. Tel pourrait, par exemple, être le cas lorsque des assureurs vendent des informations à caractère personnel sur leurs souscripteurs à des sociétés de vente directe de produits étrangers au secteur de l'assurance(11).

Transporteurs publics

La deuxième dérogation prévue à la section 5 concerne les transporteurs publics "soumis aux lois visant à réglementer le commerce" [15 USC, § 45 a) 2)]. Dans le cas présent, les "lois visant à réglementer le commerce" correspondent au sous-titre IV du titre 49 du United States Code et au Communications Act de 1934 (47 USC, § 151 et suivantes) [15 USC, § 44].

Le sous-titre IV du titre 49 du USC ("Transport inter-États") couvre les transporteurs par voie ferrée, par route et par voie navigable, les fréteurs, les commissionnaires de transport et les transporteurs par pipelines (49 USC, § 10101 et suivantes). Ces divers transporteurs publics sont soumis à la réglementation arrêtée par le Surface Transportation Board, un organisme indépendant relevant du ministère des transports (49 USC, §§ 10501, 13501 et 15301). Dans tous les cas, il est interdit au transporteur de divulguer des informations sur la nature, la destination et d'autres aspects du fret transporté qui pourraient être utilisées au détriment de l'expéditeur (49 USC, §§ 11904, 14908 et 16103). Il est à noter que ces dispositions se réfèrent aux informations concernant le fret de l'expéditeur et qu'elles ne semblent donc pas s'étendre aux données personnelles de l'expéditeur ne se rapportant pas aux marchandises expédiées.

Le Communications Act prévoit que le "commerce inter-États et international des communications par fil et par ondes radioélectriques" est réglementé par la Federal Communications Commission (FCC) (47 USC, §§ 151 et 152). Cette loi s'applique non seulement aux entreprises de télécommunications publiques, mais également à d'autres entreprises, telles que les télédiffuseurs, les radiodiffuseurs et les fournisseurs de services par câble, qui ne sont pas des transporteurs publics et qui ne remplissent donc pas les conditions requises pour bénéficier de la dérogation prévue à la section 5 de la loi sur la FTC. Par conséquent, la FTC est compétente pour examiner si ces dernières entreprises se livrent à des pratiques déloyales et frauduleuses, tandis que la FCC possède une compétence concurrente lui permettant d'exercer des pouvoirs indépendants dans ce domaine, ainsi qu'il est décrit ci-après.

Aux termes du Communications Act, "toute société de télécommunications", y compris les compagnies locales, est tenue de protéger la confidentialié de ses informations exclusives sur les clients(12) [47 USC, § 222 a)]. En plus de cette disposition générale en matière de protection de la vie privée, le Communications Act a été modifié par le Cable Communications Policy Act de 1984 (dit "Cable Act") (47 USC, § 521 et suivantes), afin de prescrire que les câblo-opérateurs protègent la confidentialité des "informations personnellement identifiables" sur les abonnés au câble (47 USC, § 551)(13). Le Cable Act restreint la collecte d'informations à caractère personnel par les câblo-opérateurs et fait obligation à ces derniers d'informer les abonnés de la nature et de l'utilisation ultérieure des informations collectées. Il accorde aux abonnés le droit d'accéder aux informations les concernant et impose aux câblo-opérateurs de détruire ces informations dès lors qu'elles ne leur sont plus nécessaires.

Le Communications Act donne compétence à la FCC pour mettre en oeuvre - de sa propre initiative ou en réponse à une plainte extérieure - ces deux dispositions relative