COMMISSION EUROPÉENNE Bruxelles, le 10.1.2017 COM(2017) 8 final 2017/0002(COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n° 45/2001 et la décision n° 1247/2002/CE



EXPOSÉ DES MOTIFS 1.CONTEXTE DE LA PROPOSITION •Justification et objectifs de la proposition L'article 16, paragraphe 1, du traité sur le fonctionnement de l’Union européenne (TFUE), introduit par le traité de Lisbonne, établit le principe selon lequel toute personne a droit à la protection des données à caractère personnel la concernant. En outre, avec l’article 16, paragraphe 2, du TFUE, le traité de Lisbonne a créé une base juridique spécifique pour l’adoption de règles en matière de protection des données à caractère personnel. L’article 8 de la charte des droits fondamentaux de l’Union européenne consacre la protection des données à caractère personnel en tant que droit fondamental. Le droit à la protection des données à caractère personnel s’applique également au traitement des données à caractère personnel par les institutions, organes et organismes de l’Union. Le règlement (CE) n° 45/2001, principal instrument législatif de l’UE en matière de protection des données à caractère personnel dans les institutions de l’Union, avait été adopté en 2001 avec deux objectifs à l’esprit: protéger le droit fondamental à la protection des données et garantir la libre circulation des données à caractère personnel au sein de l’Union. Il a été complété par la décision n° 1247/2002/CE. Le 27 avril 2016, le Parlement européen et le Conseil ont adopté le règlement général sur la protection des données [règlement (UE) 2016/679], qui sera applicable à partir du 25 mai 2018. Ce règlement demande une adaptation du règlement (CE) n° 45/2001 aux principes et aux règles fixés dans le règlement (UE) 2016/679 afin de mettre en place un cadre de protection des données solide et cohérent dans l’Union et de permettre aux deux instruments d’être appliqués en même temps. Il s’inscrit dans le cadre de l’approche cohérente de la protection des données à caractère personnel dans l’ensemble de l’Union visant à aligner, autant que possible, les règles en matière de protection des données pour les institutions, organes et organismes de l'Union sur les règles relatives à la protection des données adoptées pour les États membres. Chaque fois que les dispositions de la proposition se fondent sur le même concept que les dispositions du règlement (UE) 2016/679, ces deux dispositions devraient être interprétées de manière homogène, notamment en raison du fait que l'économie de la proposition devrait être comprise comme le pendant de l’économie du règlement (UE) 2016/679. Le réexamen du règlement (CE) n° 45/2001 tient également compte des résultats des enquêtes et des consultations des parties prenantes, et de l’étude d’évaluation sur son application au cours des 15 dernières années. Cette initiative ne relève pas du programme pour une réglementation affûtée et performante (REFIT). •Cohérence par rapport aux dispositions existantes dans le domaine d’action La proposition vise à aligner les dispositions du règlement (CE) n° 45/2001 sur les principes et règles prévus par le règlement (UE) 2016/679 afin de mettre en place un cadre de protection des données solide et cohérent dans l’Union. La proposition intègre également les règles pertinentes établies dans le règlement (CE) XXXX/XX [règlement «vie privée et communications électroniques»] en ce qui concerne la protection des équipements terminaux des utilisateurs finals. •Cohérence par rapport aux autres politiques de l’Union Sans objet 2.BASE JURIDIQUE, SUBSIDIARITÉ ET PROPORTIONNALITÉ •Base juridique La protection des personnes physiques à l’égard du traitement des données à caractère personnel les concernant est un droit fondamental consacré par l’article 8, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne. La présente proposition est fondée sur l'article 16 du TFUE, qui est la base juridique pour l’adoption de règles en matière de protection des données. Cet article permet d'adopter des règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union dans l’exercice d’activités qui relèvent du champ d’application du droit de l’Union. Il permet également l’adoption de règles relatives à la libre circulation de ces données, y compris les données à caractère personnel traitées par ces institutions, organes et organismes. •Subsidiarité (en cas de compétence non exclusive) L’objet du présent règlement relève de la compétence exclusive de l’Union, étant donné que seule l’Union peut adopter une réglementation régissant le traitement des données à caractère personnel par les institutions de l’Union.

•Proportionnalité Conformément au principe de proportionnalité, en vue d’atteindre les objectifs fondamentaux consistant à assurer un niveau équivalent de protection des personnes physiques à l’égard du traitement des données à caractère personnel et la libre circulation de ces données dans l’ensemble de l’Union, il est nécessaire et approprié de fixer des règles en ce qui concerne le traitement des données à caractère personnel par les institutions, organes, et organismes de l’Union. Le présent règlement ne va pas au-delà de ce qui est nécessaire pour atteindre les objectifs poursuivis, conformément à l'article 5, paragraphe 4, du traité sur l'Union européenne. •Choix de l’instrument Le règlement est considéré comme l’instrument juridique approprié pour définir le cadre relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données. Il assure aux personnes physiques des droits opposables, précise les obligations de traitement des données qui incombent aux responsables de ce traitement au sein des institutions, organes et organismes de l’Union. Il crée aussi une autorité de contrôle indépendante, le Contrôleur européen de la protection des données, responsable de la surveillance des traitements de données à caractère personnel effectués par les institutions, organes et organismes de l’Union. 3.RÉSULTATS DES ÉVALUATIONS EX POST, DES CONSULTATIONS DES PARTIES INTÉRESSÉES ET DES ANALYSES D'IMPACT La Commission a procédé à des consultations des parties intéressées en 2010 et en 2011 et à une analyse d’impact dans le cadre de la préparation du train de mesures réformant la protection des données, fournissant des informations sur les modifications qu’il est proposé d’apporter au règlement (CE) n° 45/2001. Dans ce contexte, la Commission a également mené une enquête auprès des coordinateurs de la protection des données (CPD). En ce qui concerne l’application pratique du règlement (CE) n° 45/2001 par les institutions, organes et organismes de l’Union, des informations ont été collectées auprès du Contrôleur européen de la protection des données (CEPD), d’autres institutions, organes et organismes de l’Union, d’autres DG de la Commission et d’un sous-traitant externe. Un questionnaire a été envoyé au réseau des délégués à la protection des données (DPD). Les délégués à la protection des données provenant d’un certain nombre d’institutions, organes et organismes de l’Union ont organisé des ateliers sur la réforme du règlement n° 45/2001 le 9 juillet 2015, le 22 octobre 2015, le 19 janvier 2016 et le 15 mars 2016. La Commission a décidé, en 2013, de réaliser une étude d’évaluation sur l’application, à ce jour, du règlement (CE) n° 45/2001, qui a été confiée à un sous-traitant externe. Les résultats finaux de l’étude d’évaluation (rapport final, cinq études de cas et analyse article par article) ont été présentés à la Commission le 8 juin 2015. L’évaluation a montré que le système de gouvernance structuré autour des DPD et du CEPD est efficace. Elle a démontré que le partage des compétences entre les DPD et le CEPD est clair et équilibré, et qu’ils disposent dans chaque cas d’un éventail approprié de compétences. Toutefois, des difficultés pourraient résulter d’un manque de pouvoir imputable à un soutien insuffisant des DPD de la part de leur hiérarchie. L’étude d’évaluation a indiqué que la mise en application du règlement (CE) n° 45/2001 pourrait être améliorée par le recours à des sanctions de la part du CEPD. Une utilisation accrue de ses pouvoirs de contrôle pourrait conduire à une meilleure application des règles en matière de protection des données. Cette étude a également conclu que les responsables du traitement des données devraient adopter une approche de gestion des risques et procéder à des évaluations de risques avant d’effectuer des opérations de traitement, afin de mieux mettre en œuvre les exigences en matière de sécurité et de conservation des données. L’étude a également montré que les règles existantes figurant au chapitre IV du règlement (CE) n° 45/2001 sur le secteur des télécommunications sont obsolètes et qu’il est nécessaire d’aligner ce chapitre sur la directive «vie privée et communications électroniques». D’après l’étude d’évaluation, il convient également d’éclaircir certaines définitions clés du règlement (CE) n° 45/2001. Il s’agit notamment de l’identification des responsables du traitement des données dans les institutions, organes et organismes de l’Union, de la définition des destinataires et de l’extension de l’obligation de confidentialité à des sous-traitants externes. L’étude d’évaluation a également souligné la nécessité de simplifier le régime des notifications et contrôles préalables afin d’accroître l’efficacité et de réduire la charge administrative. L’évaluateur a effectué une enquête en ligne auprès de 64 institutions, organes et organismes de l’UE. 422 responsables du traitement des données, 73 délégués à la protection des données (DPD), 118 coordinateurs de la protection des données (CPD) et 109 correspondants informatiques ont répondu aux questions posées dans l’enquête. L’évaluateur a également mené une série d’entretiens avec les parties intéressées. Le 26 mars 2015, l’évaluateur et la Commission ont organisé un atelier final, auquel ont participé de nombreux responsables du traitement des données, DPD, CPD, correspondants informatiques et représentants du CEPD. •Obtention et utilisation d'expertise Voir la référence à l’étude d’évaluation dans le cadre du point précédent. •Analyse d'impact La présente proposition aura une incidence essentiellement sur les institutions, organes, et organismes de l’Union. Cela a été confirmé par les informations collectées auprès du CEPD, d’autres institutions, organes et organismes de l’Union, des DG de la Commission et du sous-traitant externe. Par ailleurs, l’impact des nouvelles obligations découlant du règlement (UE) 2016/679, sur lequel il convient d’aligner le présent règlement, a été évalué dans le contexte des travaux préparatoires pour ce dernier. Cela rend superflue toute analyse d’impact spécifique pour le présent règlement. •Réglementation affûtée et simplification Sans objet

•Droits fondamentaux Le droit à la protection des données à caractère personnel est énoncé à l’article 8 de la charte des droits fondamentaux de l’Union européenne (ci-après dénommée la «charte»), à l’article 16 du TFUE et à l’article 8 de la Convention européenne des droits de l’homme. Ainsi que l'a souligné la Cour de justice de l’Union européenne, le droit à la protection des données à caractère personnel n’apparaît pas comme une prérogative absolue, mais doit être pris en considération par rapport à sa fonction dans la société. La protection des données est également étroitement liée au respect de la vie privée et familiale, protégé par l'article 7 de la charte. La présente proposition définit des règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données. D’autres droits fondamentaux consacrés par la charte et susceptibles d’être affectés sont les suivants: la liberté d'expression (article 11); le droit de propriété, et notamment la protection de la propriété intellectuelle (article 17, paragraphe 2); l’interdiction de toute discrimination fondée sur la race, les origines ethniques, les caractéristiques génétiques, la religion ou les convictions, les opinions politiques ou toute autre opinion, un handicap ou l'orientation sexuelle (article 21); les droits de l’enfant (article 24); le droit à un niveau élevé de protection de la santé humaine (article 35); le droit d’accès aux documents (article 42); et le droit à un recours effectif et à accéder à un tribunal impartial (article 47). 4.INCIDENCE BUDGÉTAIRE Voir la fiche financière jointe en annexe. 5.AUTRES ÉLÉMENTS •Plans de mise en œuvre et modalités de suivi, d'évaluation et d'information Sans objet •Documents explicatifs (pour les directives) Sans objet CHAPITRE I - DISPOSITIONS GÉNÉRALES L’article 1er définit l’objet du règlement et, comme l'article 1er du règlement (CE) n° 45/2001, précise les deux objectifs poursuivis: protéger le droit fondamental à la protection des données et garantir la libre circulation des données à caractère personnel au sein de l’Union. Il présente également les principales missions du Contrôleur européen de la protection des données. L'article 2 délimite le champ d'application du règlement: il s'applique au traitement de données à caractère personnel, effectué à l'aide de procédés automatisés ou d'une autre manière, par toutes les institutions et tous les organes de l’Union, dans la mesure où ce traitement est mis en œuvre pour l'exercice d'activités qui relèvent en tout ou en partie du champ d'application du droit de l’Union. Le champ d’application matériel de ce règlement est neutre sur le plan technologique. La protection des données à caractère personnel s'applique aux traitements de données à caractère personnel à l'aide de procédés automatisés ainsi qu'aux traitements manuels, si les données à caractère personnel sont contenues ou destinées à être contenues dans un fichier. L'article 3 définit des termes employés dans le règlement. Outre les définitions des «institutions et organes de l’Union», du «responsable du traitement», de l’«utilisateur» et du «répertoire», qui sont spécifiques au présent règlement, les termes utilisés dans le présent règlement sont définis dans le règlement (UE) 2016/679, le règlement (UE) 0000/00 [nouveau règlement «vie privée et communications électroniques»], la directive 00/0000/UE [directive établissant le code des communications électroniques européen] et la directive 2008/63/CE de la Commission. CHAPITRE II - PRINCIPES L'article 4 énonce les principes relatifs au traitement des données à caractère personnel, qui correspondent à ceux définis à l'article 5 du règlement (UE) 2016/679. Par rapport au règlement (CE) n° 45/2001, il ajoute les nouveaux principes de la transparence et de l’intégrité et la confidentialité. L’article 5 est fondé sur l’article 6 du règlement (UE) 2016/679 et fixe les critères de licéité du traitement, à la seule exception du critère des intérêts légitimes poursuivis par le responsable du traitement qui n’est pas applicable au secteur public et, dès lors, ne devrait pas s’appliquer aux institutions et organes de l’Union. L’article 5 maintient les critères déjà fixés au titre de l’article 5 du règlement (CE) n° 45/2001. L’article 6 précise les conditions de traitement à une autre fin compatible conformément à l’article 6, paragraphe 4, du règlement (UE) 2016/679. Par rapport à l’article 6 du règlement (CE) n° 45/2001, cette nouvelle disposition permet une plus grande flexibilité et une plus grande sécurité juridique en ce qui concerne le traitement ultérieur à des fins compatibles. L’article 7 précise, en accord avec l’article 7 du règlement (UE) 2016/679, les conditions dans lesquelles le consentement peut valablement fonder un traitement licite.

L'article 8 fixe, conformément à l’article 8 du règlement (UE) 2016/679, d’autres conditions de licéité pour le traitement des données à caractère personnel relatives aux enfants, en ce qui concerne l’offre directe de services de la société de l’information proposés à ces derniers. Il fixe à 13 ans l’âge minimum de l’enfant pour un consentement valable. L’article 9 définit, conformément à l’article 8 du règlement (CE) n° 45/2001, des règles prévoyant un niveau de protection spécifique relatif à la transmission de données à caractère personnel à des destinataires autres que les institutions et organes de l’Union, établis dans l’Union et soumis au règlement (UE) 2016/679 ou à la directive (UE) 2016/680. Il précise que, si le responsable du traitement est à l’origine de la transmission, il devrait démontrer la nécessité et la proportionnalité de celle-ci. L'article 10, qui s’inspire de l’article 9 du règlement (UE) 2016/679 et développe l’article 10 du règlement (CE) n° 45/2001, prévoit une interdiction générale des traitements portant sur des catégories particulières de données à caractère personnel, et les exceptions à cette règle générale. L’article 11 définit, conformément à l’article 10 du règlement (UE) 2016/679 et en accord avec l’article 10, paragraphe 5, du règlement (CE) n° 45/2001, les conditions de traitement des données à caractère personnel relatives à des condamnations et à des infractions pénales. L’article 12 précise les informations que le responsable du traitement est tenu de fournir à la personne concernée, conformément à l’article 11 du règlement (UE) 2016/679, indiquant que si les données à caractère personnel qu'il traite ne lui permettent pas d'identifier une personne physique, le responsable du traitement ne devrait pas être tenu d'obtenir des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter une disposition du présent règlement. Toutefois, le responsable du traitement ne devrait pas refuser des informations supplémentaires fournies par la personne concernée afin de faciliter l'exercice de ses droits. L’article 13 définit, sur la base de l’article 89, paragraphe 1, du règlement (UE) 2016/679, les règles concernant les garanties applicables au traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques. CHAPITRE III - DROITS DE LA PERSONNE CONCERNÉE Section 1 – Transparence et modalités L'article 14 introduit, sur la base de l’article 12 du règlement (UE) 2016/679, l’obligation pour les responsables du traitement de fournir des informations transparentes, aisément accessibles et compréhensibles, et de prévoir des procédures et des mécanismes permettant à la personne concernée d’exercer ses droits, y compris, le cas échéant, les moyens d’effectuer une demande par voie électronique, la fixation d’un délai de réponse à la demande de la personne concernée et la motivation des refus. Étant donné que les institutions et organes de l’Union ne devraient en aucun cas exiger le paiement de frais liés aux coûts administratifs supportés pour fournir les informations, cette possibilité n’a pas été reprise du règlement (UE) 2016/679. Section 2 - Information et accès aux données Sur la base de l’article 13 du règlement (UE) 2016/679 et précisant l’article 11 du règlement (CE) n° 45/2001, l’article 15 définit les obligations d’information du responsable du traitement à l’égard de la personne concernée lorsque des données à caractère personnel sont collectées auprès de cette dernière, à savoir communiquer des informations à la personne concernée, notamment en ce qui concerne la durée de conservation des données, le droit d’introduire une réclamation et les transmissions internationales. Se fondant sur l’article 14 du règlement (UE) 2016/679 et développant l’article 12 du règlement (CE) n° 45/2001, l’article 16 précise en outre que le responsable du traitement est tenu de fournir à la personne concernée, lorsque les données à caractère personnel n’ont pas été collectées auprès de cette dernière, des informations relatives à la source dont proviennent les données. Il reprend également les dérogations prévues dans le règlement (UE) 2016/679, à savoir que cette obligation d’information ne s’applique pas si la personne concernée dispose déjà de ces informations, si la fourniture de ces informations se révèle impossible ou exigerait des efforts disproportionnés pour le responsable du traitement, si les données à caractère personnel doivent rester confidentielles en vertu d’une obligation de secret professionnel réglementée par le droit de l’Union ou si l’enregistrement ou la communication des données à caractère personnel sont expressément prévus par la loi. Cela pourrait, par exemple, s’appliquer aux procédures engagées par des services compétents en matière de santé ou de sécurité sociale. L’article 17 prévoit, conformément à l’article 15 du règlement (UE) 2016/679 et développant l’article 13 du règlement (CE) n° 45/2001, des dispositions relatives au droit d’accès de la personne concernée aux données à caractère personnel la concernant, et ajoute de nouveaux éléments tels que l’obligation d’informer les personnes concernées de la durée de conservation, ainsi que de leurs droits à la rectification et à l’effacement des données et de leur droit d’introduire une réclamation. Section 3 – Rectification et effacement L’article 18 définit le droit de la personne concernée à la rectification, sur la base de l’article 16 du règlement (UE) 2016/679 et précisant l’article 14 du règlement (CE) n° 45/2001. L’article 19 définit, conformément à l’article 17 du règlement (UE) 2016/679 et développant l’article 16 du règlement (CE) n° 45/2001, le droit de la personne concernée à l’oubli et à l’effacement des données personnelles la concernant. Il fixe les conditions du droit à l’oubli numérique, notamment l’obligation qui est faite au responsable du traitement ayant rendu publiques des données à caractère personnel d’informer les tiers de la demande de la personne concernée d'effacer tout lien vers ces données ou toute copie ou reproduction de celles-ci. L’article 20 instaure le droit à la limitation du traitement dans certains cas, en évitant le terme équivoque de «verrouillage» utilisé dans le règlement (CE) n° 45/2001 et en assurant la cohérence avec la nouvelle terminologie introduite à l’article 18 du règlement (UE) 2016/679. L’article 21 prévoit, en conformité avec l’article 19 du règlement (UE) 2016/679 et développant l’article 17 du règlement (CE) n° 45/2001, l’obligation faite au responsable du traitement de notifier à chaque destinataire auquel les données à caractère personnel ont été communiquées toute rectification ou tout effacement de données à caractère personnel ou toute limitation du traitement effectués, à moins qu'une telle communication se révèle impossible ou exige des efforts disproportionnés. Le responsable du traitement fournit également à la personne concernée des informations sur ces destinataires si celle-ci en fait la demande. L’article 22 introduit, conformément à l’article 20 du règlement (UE) 2016/679, le droit des personnes concernées à la portabilité des données, c’est-à-dire le droit de recevoir les données à caractère personnel les concernant qu'elles ont fournies à un responsable du traitement ou d’obtenir que ces données soient transmises directement à un autre responsable du traitement, lorsque cela est techniquement possible. À titre de condition préalable et pour améliorer encore l’accès des personnes physiques aux données à caractère personnel les concernant, l’article prévoit le droit d’obtenir ces données du responsable du traitement dans un format structuré, couramment utilisé et lisible par machine. Ce droit s’applique uniquement lorsque le traitement est fondé sur le consentement de la personne concernée ou sur un contrat conclu par cette dernière. Section 4 - Droit d'opposition et prise de décision individuelle automatisée

L’article 23 confère à la personne concernée un droit d’opposition sur la base de l’article 21 du règlement (UE) 2016/679 et précisant l’article 18 du règlement (CE) n° 45/2001. L’article 24 porte sur le droit de la personne de ne pas faire l’objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, conformément à l’article 22 du règlement (UE) 2016/679 et précisant l’article 19 du règlement (CE) n° 45/2001. Section 5 – Limitations L’article 25 prévoit des limitations aux droits de la personne concernée visés aux articles 14 à 22 et aux articles 34 et 38 ainsi qu’aux principes fixés à l’article 4 (dans la mesure où les dispositions correspondent aux droits et obligations visés aux articles 14 à 22). De telles limitations devraient être fixées dans des actes juridiques adoptés sur la base des traités ou des règles internes des institutions et organes de l’Union. Si la possibilité d’une telle limitation n’est pas prévue dans les actes juridiques adoptés sur la base des traités ou des règles internes des institutions et organes de l’Union, ces derniers pourraient imposer une limitation ad hoc à condition qu’elle respecte l’essence des libertés et droits fondamentaux, dans le cadre d’un traitement spécifique, et constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir un ou plusieurs des objectifs autorisant des limitations applicables aux droits des personnes concernées. Cette approche est conforme à l’article 23 du règlement (UE) 2016/679. Cependant, contrairement à l’article 23 du règlement (UE) 2016/679 et conformément à l’article 20 du règlement (CE) n° 45/2001, cette disposition ne prévoit pas la possibilité de limiter le droit d’opposition de la personne concernée et le droit de la personne concernée de ne pas être soumise à une décision prise sur le seul fondement d'un traitement automatisé de données. Les exigences applicables aux limitations sont conformes à la charte des droits fondamentaux et à la Convention européenne des droits de l’homme, telles qu’interprétées par la Cour de justice de l’Union européenne et la Cour européenne des droits de l’homme, respectivement. CHAPITRE IV — RESPONSABLE DU TRAITEMENT ET SOUS-TRAITANT Section 1 — Obligations générales L’article 26 s’inspire de l’article 24 du règlement (UE) 2016/679 et introduit le «principe de responsabilité» en décrivant les obligations incombant au responsable du traitement pour se conformer au présent règlement et démontrer qu’il le respecte, notamment par l’adoption de mesures techniques et organisationnelles appropriées et, le cas échéant, de politiques internes et de mécanismes destinés à assurer ce respect. L’article 24, paragraphe 3, du règlement (UE) 2016/679 n’a pas été conservé dans cette disposition, étant donné que les institutions et organes de l’Union ne sont pas tenus de se conformer à des codes de conduite ou des mécanismes de certification. L'article 27 définit, conformément à l’article 25 du règlement (UE) 2016/679, les obligations du responsable du traitement qui découlent des principes de protection des données dès la conception et par défaut. L’article 28 relatif aux responsables conjoints du traitement se fonde sur l’article 26 du règlement (UE) 2016/679 afin de préciser les responsabilités des responsables conjoints du traitement, qu’il s’agisse d’institutions ou organes de l’Union ou non, en ce qui concerne leurs relations internes et à l’égard de la personne concernée. Cette disposition règle la situation où tous les responsables conjoints du traitement sont couverts par le même régime juridique (le présent règlement) et les situations dans lesquelles certains sont couverts par le présent règlement et d’autres par un autre instrument juridique [le règlement (UE) 2016/679, la directive (UE) 2016/680, la directive (UE) 2016/681 et d’autres régimes particuliers de protection des données concernant les institutions ou organes de l’Union]. L’article 29, qui s’inspire de l’article 28 du règlement (UE) 2016/679 et développe l’article 23 du règlement (CE) n° 45/2001, précise la fonction et les obligations des sous-traitants, et définit notamment que si, en violation du règlement, un sous-traitant détermine les finalités et les moyens du traitement, il est considéré comme un responsable du traitement pour ce qui concerne ce traitement. L’article 30 relatif au traitement effectué sous l’autorité du responsable du traitement ou du sous-traitant est fondé sur l’article 29 du règlement (UE) 2016/679 et prévoit une interdiction pour le sous-traitant ou toute personne agissant sous l’autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, de traiter ces données, excepté sur instruction du responsable du traitement, à moins d’y être obligé par le droit de l’Union ou d’un État membre. L’article 31 s’appuie sur l’article 30 du règlement (UE) 2016/679 et introduit l’obligation, pour les responsables du traitement et les sous-traitants, de conserver une trace documentaire des opérations de traitement sous leur responsabilité, au lieu de la notification préalable au CEPD exigée par l’article 25 du règlement (CE) n° 45/2001 et l’inscription au registre des DPD. Contrairement au règlement (UE) 2016/679, cette disposition ne fait pas référence à des représentants, étant donné que les institutions de l’Union n’auront pas de représentants et auront toujours des délégués à la protection des données. Les références faites à des transferts sur la base de dérogations pour des situations particulières, comme dans le règlement (UE) 2016/679, n’ont pas été conservées, étant donné que ces types de transferts ne sont pas prévus dans le présent règlement. L’obligation de tenir un registre des activités de traitement effectuées peut être centralisée au niveau d’une institution ou d’un organe de l’Union. Dans ce cas, les institutions et organes de l’Union ont la possibilité de maintenir leur système de registres pour les activités de traitement sous la forme d’un registre accessible au public. L’article 32 précise, sur la base de l’article 31 du règlement (UE) 2016/679, les obligations des institutions et organes de l’Union pour la coopération avec le CEPD. Section 2 – Sécurité des données à caractère personnel et confidentialité des communications électroniques L’article 33 oblige, dans le respect des dispositions de l’article 32 du règlement (UE) 2016/679 et développant celles de l’article 22 du règlement (CE) n° 45/2001, le responsable du traitement à mettre en œuvre les mesures appropriées pour garantir la sécurité du traitement. Il étend cette obligation aux sous-traitants, indépendamment du contrat conclu avec le responsable du traitement. L’article 34 s’inspire de l’article 36 du règlement (CE) n° 45/2001 et garantit la confidentialité des communications électroniques effectuées au sein des institutions et organes de l’Union. L’article 35 s’appuie sur la pratique actuelle des institutions et organes de l’Union et protège les informations relatives aux équipements terminaux des utilisateurs finals qui accèdent à leurs sites web et applications mobiles publics conformément au règlement (UE) XXXX/XX [nouveau règlement «vie privée et communications électroniques»], et notamment à son article 8. L’article 36 s’inspire de l’article 38 du règlement (CE) n° 45/2001 et protège les données à caractère personnel contenues dans les annuaires publics et privés des institutions et organes de l’Union. Les articles 37 et 38 introduisent une obligation de notification des violations de données à caractère personnel, conformément aux articles 33 et 34 du règlement (UE) 2016/679. Section 3 – Analyse d'impact relative à la protection des données et consultation préalable

L’article 39 s’inspire de l’article 35 du règlement (UE) 2016/679 et introduit l’obligation, pour les responsables du traitement et les sous-traitants, d’effectuer une analyse d’impact relative à la protection des données préalablement aux opérations de traitement susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques. Cette obligation s’applique en particulier dans le cas de l’évaluation systématique et approfondie d’aspects personnels concernant des personnes physiques, qui est fondée sur un traitement automatisé, y compris le profilage, le traitement à grande échelle de catégories particulières de données ou la surveillance systématique à grande échelle d’une zone accessible au public. L’article 40 est fondé sur l’article 36 du règlement (UE) 2016/679 et concerne les cas dans lesquels il est obligatoire d’obtenir l’autorisation du CEPD et de le consulter préalablement au traitement. Toutefois, le premier paragraphe de l’article 40 reprend le considérant 94 du règlement (UE) 2016/679 et vise à clarifier la portée de l’obligation de consultation. Section 4 - Information et consultation législative L’article 41 prévoit l’obligation pour les institutions et organes de l’Union d’informer le CEPD lorsqu’ils élaborent des mesures administratives et des règles internes relatives au traitement de données à caractère personnel. L’article 42 prévoit l’obligation pour la Commission de consulter le CEPD après l’adoption de propositions d’acte législatif et de recommandations ou de propositions au Conseil conformément à l’article 218 du TFUE et lors de l’élaboration d'actes délégués ou d'actes d’exécution ayant une incidence sur la protection des droits et libertés des personnes physiques à l'égard du traitement des données à caractère personnel. Lorsque ces actes revêtent une importance particulière pour la protection des droits et libertés des personnes physiques à l'égard du traitement de données à caractère personnel, la Commission peut aussi consulter le comité européen de la protection des données. Dans ce cas, les deux entités devraient coordonner leurs travaux en vue de formuler un avis conjoint. Un délai de huit semaines pour la délivrance des avis dans les cas susmentionnés est établi, avec des dérogations possibles pour les cas d’urgence ou s’il y a autrement lieu, par exemple lorsque la Commission élabore des actes délégués et des actes d’exécution. Section 5 – Obligation de répondre aux allégations L’article 43 établit l’obligation, pour les responsables du traitement et le sous-traitant, de répondre aux allégations lorsque le CEPD a décidé de leur soumettre une question. Section 6 – Délégué à la protection des données L’article 44 s’appuie sur l’article 37, paragraphe 1, point a), du règlement (UE) 2016/679 et sur l’article 24 du règlement (CE) n° 45/2001 et prévoit la désignation d’un DPD obligatoire pour les institutions et organes de l’Union. L’article 45 s’appuie sur l’article 38 du règlement (UE) 2016/679 et sur l’article 24 du règlement (CE) n° 45/2001 pour définir la fonction du délégué à la protection des données. L’article 46 s’appuie sur l’article 39 du règlement (UE) 2016/679 ainsi que sur l’article 24 et les deuxième et troisième paragraphes de l’annexe au règlement (CE) n° 45/2001 pour définir les missions principales du délégué à la protection des données. CHAPITRE V - TRANSFERTS DE DONNÉES À CARACTÈRE PERSONNEL VERS DES PAYS TIERS OU À DES ORGANISATIONS INTERNATIONALES L’article 47 s’inspire de l’article 9 du règlement (CE) n° 45/2001 et énonce le principe général, conformément à l’article 44 du règlement (UE) 2016/679, selon lequel le respect d’autres dispositions du présent règlement et des conditions énoncées dans le chapitre V est obligatoire pour tout transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris pour les transferts ultérieurs de données à caractère personnel au départ du pays tiers ou de l’organisation internationale vers un autre pays tiers ou à une autre organisation internationale. L’article 48 prévoit qu’un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale peut avoir lieu lorsque la Commission a décidé, conformément à l’article 45, paragraphe 3, du règlement (UE) 2016/679, qu’un niveau de protection adéquat est assuré dans le pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou dans l’organisation internationale et que ce transfert vise exclusivement à permettre l’exécution des missions qui relèvent de la compétence du responsable du traitement. Les paragraphes 2 et 3 de cet article ont été repris de l’article 9 du règlement (CE) n° 45/2001, étant donné qu’ils sont des éléments utiles pour le suivi du niveau de protection dans les pays tiers et les organisations internationales. L’article 49 s’appuie sur l’article 46 du règlement (UE) 2016/679 et subordonne les transferts vers des pays tiers pour lesquels la Commission n’a pas adopté de décision d'adéquation à la présentation de garanties appropriées, notamment des clauses types de protection des données et des clauses contractuelles. Des règles d’entreprise contraignantes, des codes de conduite et des mécanismes de certification pourraient être utilisés, en conformité avec le règlement (UE) 2016/679, par les responsables du traitement autres que les institutions et organes de l’Union. Le quatrième paragraphe de cet article sur l’obligation pour les institutions et organes de l’Union d’informer le CEPD des catégories de cas dans lesquels ils ont appliqué cet article correspond à l’article 9, paragraphe 8, du règlement (CE) n° 45/2001 et est maintenu en raison de sa spécificité. Le cinquième paragraphe s’appuie sur le maintien des autorisations existantes prévues à l’article 46, paragraphe 5, du règlement (UE) 2016/679. L’article 50 précise, en accord avec l’article 48 du règlement (UE) 2016/679, que toute décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant le transfert ou la divulgation des données à caractère personnel ne peut être reconnue ou rendue exécutoire de quelque manière que ce soit qu'à la condition qu'elle soit fondée sur un accord international, tel qu'un traité d'entraide judiciaire, en vigueur entre le pays tiers demandeur et l'Union, sans préjudice d'autres motifs de transfert en vertu du présent chapitre. L’article 51 s’inspire de l’article 49 du règlement (UE) 2016/679 et définit et précise les dérogations pour un transfert de données. Cette disposition s'applique en particulier aux transferts de données qui sont nécessaires pour des motifs importants d'intérêt général, par exemple en cas de transfert international de données entre autorités de la concurrence, administrations fiscales ou douanières, ou entre services chargés des questions de sécurité sociale ou de la gestion des activités de pêche. Le cinquième paragraphe sur l’obligation d’informer le CEPD des catégories de cas dans lesquels des dérogations ont été invoquées pour un transfert correspond à l’actuel article 9, paragraphe 8, du règlement (CE) n° 45/2001. L’article 52 est fondé sur l’article 50 du règlement (UE) 2016/679 et prévoit explicitement des mécanismes de coopération internationale dans le domaine de la protection des données à caractère personnel entre le CEPD, en coopération avec la Commission et le comité européen de la protection des données, et les autorités de contrôle de pays tiers. CHAPITRE VI - LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES L’article 53 s’appuie sur l’article 41 du règlement (CE) n° 45/2001 et concerne la mise en place du CEPD.

L’article 54, qui s’inspire de l’article 42 du règlement (CE) n° 45/2001 et de l’article 3 de la décision 1247/2002/CE, établit les règles pour la nomination du CEPD par le Parlement européen et le Conseil. Il précise également la durée de son mandat: cinq ans. L’article 55, qui s’inspire de l’article 43 du règlement (CE) n° 45/2001 et de l’article 1er de la décision 1247/2002/CE, établit le statut et les conditions générales d’exercice des fonctions de CEPD et traite de ses ressources humaines et financières. L’article 56 s’inspire de l’article 52 du règlement (UE) 2016/679 et de l’article 44 du règlement (CE) n° 45/2001 et clarifie les conditions garantissant l’indépendance du CEPD, en tenant compte de la jurisprudence de la Cour de justice de l’Union européenne. L’article 57 définit, sur la base de l’article 45 du règlement (CE) n° 45/2001, les obligations de secret professionnel du CEPD pendant la durée de son mandat et après la cessation de celui-ci en ce qui concerne les informations confidentielles dont il a eu connaissance dans le cadre de l’exercice de ses fonctions. L’article 58 se fonde sur l’article 57 du règlement (UE) 2016/679 et sur l’article 46 du règlement (CE) n° 45/2001, et définit les missions du CEPD, consistant notamment à recevoir et à examiner les réclamations, et à sensibiliser le public aux risques, règles, garanties et droits existants. L’article 59 s’appuie sur l’article 58 du règlement (UE) 2016/679 et sur l’article 47 du règlement (CE) n° 45/2001 pour définir les pouvoirs du CEPD. L’article 60 s’appuie sur l’article 59 du règlement (UE) 2016/679 et sur l’article 48 du règlement (CE) n° 45/2001 pour définir l’obligation pour le CEPD d’établir un rapport annuel d’activité. CHAPITRE VII - COOPÉRATION ET COHÉRENCE L’article 61 s’appuie sur l’article 61 du règlement (UE) 2016/679 et sur l’article 46, point f), du règlement (CE) n° 45/2001 pour introduire des règles explicites relatives à la coopération du CEPD avec les autorités de contrôle nationales. L’article 62 énonce les obligations du CEPD dans les cas où d’autres actes de l’Union renvoient à cet article dans le cadre d’un contrôle coordonné avec les autorités de contrôle nationales. Il vise à mettre en œuvre un modèle unique de contrôle coordonné. Ce modèle pourrait être utilisé pour assurer un contrôle coordonné des systèmes d’information à grande échelle tels qu’Eurodac, le système d’information Schengen II, le système d’information sur les visas, le système d’information douanier ou le système d’information du marché intérieur, mais aussi pour le contrôle de certaines agences de l’Union lorsqu’un modèle spécifique de coopération entre le CEPD et les autorités nationales a été établi, comme Europol. Le comité européen de la protection des données devrait constituer une enceinte unique pour assurer l’efficacité du contrôle coordonné à tous les niveaux. CHAPITRE VIII – VOIES DE RECOURS, RESPONSABILITÉ ET SANCTIONS L’article 63 s’appuie sur l’article 77 du règlement (UE) 2016/679 et sur l’article 32 du règlement (CE) n° 45/2001 et prévoit le droit pour toute personne concernée d’introduire une réclamation auprès du CEPD. Il établit également l’obligation pour le CEPD de traiter la réclamation et d’informer la personne concernée de l’état d’avancement et de l’issue de ladite réclamation dans un délai de trois mois, après lequel la plainte est réputée rejetée. L’article 64 maintient l’article 32, paragraphe 1, du règlement (CE) n° 45/2001, précisant que la Cour de justice de l’Union européenne est compétente pour connaître de tout litige relatif aux dispositions du présent règlement, y compris les demandes de réparation. L’article 65 établit le droit d’obtenir réparation pour tout dommage matériel ou préjudice moral subi, sous réserve des conditions prévues dans les traités, y compris en matière de responsabilité. L’article 66 se fonde sur l’article 83 du règlement (UE) 2016/679 et prévoit la possibilité pour le CEPD d’infliger des amendes administratives aux institutions et organes de l’Union, en tant que sanction de dernier recours et uniquement lorsqu’une institution ou un organe de l’Union n’obtempère pas à un ordre du CEPD conformément aux points d) à h) et j) de l’article 59, paragraphe 2. L’article précise également les critères pour décider du montant de l’amende administrative, dans chaque cas d’espèce, et les plafonds annuels maximums s’inspirent des montants des amendes applicables dans certains États membres. L’article 67 autorise, conformément à l’article 80, paragraphe 1, du règlement (UE) 2016/679, certains organismes, organisations ou associations à introduire une réclamation au nom de la personne concernée. L’article 68 établit, conformément à l’article 33 du règlement (CE) n° 45/2001, des règles spécifiques visant à protéger le personnel de l’Union introduisant auprès du CEPD une réclamation pour une violation alléguée des dispositions du présent règlement, sans passer par les voies officielles. L’article 69 s’inspire de l’article 49 du règlement (CE) n° 45/2001 et prévoit les sanctions applicables en cas de manquement aux obligations énoncées dans le présent règlement commis par des fonctionnaires ou autres agents de l’Union européenne. CHAPITRE IX - ACTES D’EXÉCUTION L'article 70 contient la disposition relative à la procédure de comité nécessaire pour conférer des compétences d’exécution à la Commission, dans les cas où, conformément à l'article 291 du TFUE, des conditions uniformes d'exécution d'actes juridiquement contraignants de l'Union sont nécessaires. La procédure d'examen s'applique.

CHAPITRE X - DISPOSITIONS FINALES L’article 71 abroge le règlement (CE) n° 45/2001 et la décision n° 1247/2002/CE, et prévoit que les références aux deux instruments abrogés s’entendent comme faites au présent règlement. L’article 72 précise que le présent règlement ne porte pas atteinte aux mandats actuels du Contrôleur européen de la protection des données et du contrôleur adjoint, et que l’article 54, paragraphes 4, 5 et 7, et les articles 56 et 57 du présent règlement s’appliquent à l’actuel contrôleur adjoint jusqu’à la fin de son mandat, le 5 décembre 2019. L’article 73 fixe au 25 mai 2018 la date d’entrée en vigueur du présent règlement afin d’assurer la cohérence par rapport à la date d’application du règlement (UE) 2016/679. 2017/0002 (COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n° 45/2001 et la décision n° 1247/2002/CE LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE, vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 16, paragraphe 2, vu la proposition de la Commission européenne, après transmission du projet d'acte législatif aux parlements nationaux, vu l’avis du Comité économique et social européen, statuant conformément à la procédure législative ordinaire, considérant ce qui suit: 1)La protection des personnes physiques à l'égard du traitement des données à caractère personnel est un droit fondamental. L'article 8, paragraphe 1, de la charte des droits fondamentaux de l'Union européenne (ci-après dénommée la «charte») et l'article 16, paragraphe 1, du traité sur le fonctionnement de l'Union européenne disposent que toute personne a droit à la protection des données à caractère personnel la concernant. 2)Le règlement (CE) n° 45/2001 du Parlement européen et du Conseil donne aux personnes physiques des droits juridiquement protégés, définit les obligations des responsables du traitement au sein des institutions et organes de l’Union en matière de traitement des données et crée une autorité de contrôle indépendante, le Contrôleur européen de la protection des données, responsable de la surveillance des traitements de données à caractère personnel effectués par les institutions et organes de l’Union. Il ne s'applique toutefois pas au traitement des données à caractère personnel dans le cadre des activités des institutions et organes de l’Union qui ne relèvent pas du droit de l’Union. 3)Le règlement (UE) 2016/679 du Parlement européen et du Conseil et la directive (UE) 2016/680 du Parlement européen et du Conseil ont été adoptés le 27 avril 2016. Alors que le règlement définit des règles générales visant à protéger les personnes physiques à l'égard du traitement des données à caractère personnel et à garantir la libre circulation de ces données dans l'Union, la directive définit les règles spécifiques visant à protéger les personnes physiques à l'égard du traitement des données à caractère personnel et à garantir la libre circulation de ces données dans l'Union dans le domaine de la coopération judiciaire en matière pénale et de la coopération policière. 4)Le règlement (UE) 2016/679 souligne que pour mettre en place un cadre de protection des données solide et cohérent dans l'Union, il convient d’apporter les adaptations nécessaires au règlement (CE) n° 45/2001 de manière à ce que celles-ci s'appliquent en même temps que le règlement (UE) 2016/679. 5)Il est dans l'intérêt d'une approche cohérente de la protection des données à caractère personnel dans l’ensemble de l’Union, et de la libre circulation des données à caractère personnel au sein de l’Union, d’aligner autant que possible les règles en matière de protection des données pour les institutions et organes de l'Union sur les règles en matière de protection des données adoptées pour le secteur public dans les États membres. Chaque fois que les dispositions du présent règlement se fondent sur la même notion que les dispositions du règlement (UE) 2016/679, les dispositions de ces deux instruments devraient être interprétées de manière homogène, notamment en raison du fait que le régime du présent règlement devrait être compris comme équivalent au régime du règlement (UE) 2016/679.

6)Les personnes dont les données à caractère personnel sont traitées par les institutions et organes de l’Union dans quelque contexte que ce soit, par exemple parce qu’elles sont employées par ces institutions et organes, sont susceptibles d’être protégées. Le présent règlement ne devrait pas s'appliquer au traitement des données à caractère personnel des personnes décédées. Le présent règlement ne couvre pas le traitement des données à caractère personnel qui concernent les personnes morales, et en particulier des entreprises dotées de la personnalité juridique, y compris le nom, la forme juridique et les coordonnées de la personne morale. 7)Afin d'éviter de créer un risque grave de contournement, la protection des personnes physiques devrait être neutre sur le plan technologique et ne devrait pas dépendre des techniques utilisées. Elle devrait s'appliquer aux traitements de données à caractère personnel à l'aide de procédés automatisés ainsi qu'aux traitements manuels, si les données à caractère personnel sont contenues ou destinées à être contenues dans un fichier. Les dossiers ou ensembles de dossiers, de même que leurs couvertures, qui ne sont pas structurés selon des critères déterminés ne devraient pas relever du champ d'application du présent règlement. 8)Dans la déclaration n° 21 sur la protection des données à caractère personnel dans le domaine de la coopération judiciaire en matière pénale et de la coopération policière, annexée à l'acte final de la conférence intergouvernementale qui a adopté le traité de Lisbonne, la conférence a reconnu que des règles spécifiques sur la protection des données à caractère personnel et sur la libre circulation des données à caractère personnel dans les domaines de la coopération judiciaire en matière pénale et de la coopération policière se basant sur l'article 16 du TFUE pourraient s'avérer nécessaires en raison de la nature spécifique de ces domaines. Le présent règlement devrait donc s'appliquer aux agences de l’Union menant des activités dans le domaine de la coopération judiciaire en matière pénale et de la coopération policière uniquement dans la mesure où la législation de l’Union applicable à de telles agences ne contient aucune règle spécifique relative au traitement des données à caractère personnel. 9)La directive (UE) 2016/680 devrait prévoir des règles harmonisées pour la protection et la libre circulation des données à caractère personnel traitées à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. Afin d'assurer le même niveau de protection pour les personnes physiques à l'aide de droits opposables dans l'ensemble de l'Union et d'éviter que des divergences n'entravent les échanges de données à caractère personnel entre les agences de l’Union menant des activités dans le domaine de la coopération judiciaire en matière pénale et de la coopération policière et les autorités compétentes des États membres, les règles pour la protection et la libre circulation des données opérationnelles à caractère personnel traitées par ces agences de l’Union devraient s’inspirer des principes sous-tendant le présent règlement et être cohérentes avec la directive (UE) 2016/680. 10)Lorsque l’acte fondateur d'une agence de l’Union menant des activités relevant des chapitres 4 et 5 du titre V du traité établit un régime autonome de protection des données pour le traitement des données opérationnelles à caractère personnel, il convient que ce régime ne soit pas affecté par le présent règlement. Toutefois, conformément à l’article 62 de la directive (UE) 2016/680, la Commission devrait, au plus tard le 6 mai 2019, réexaminer les actes juridiques adoptés par l'Union qui réglementent le traitement par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces et formuler, le cas échéant, les propositions nécessaires en vue de modifier ces actes pour assurer une approche cohérente de la protection des données à caractère personnel dans les domaines de la coopération judiciaire en matière pénale et de la coopération policière. 11)Il y a lieu d'appliquer les principes relatifs à la protection des données à toute information concernant une personne physique identifiée ou identifiable. Les données à caractère personnel qui ont fait l'objet d'une pseudonymisation et qui pourraient être attribuées à une personne physique par le recours à des informations supplémentaires devraient être considérées comme des informations concernant une personne physique identifiable. Pour déterminer si une personne physique est identifiable, il convient de prendre en considération l'ensemble des moyens raisonnablement susceptibles d'être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement, tels que le ciblage. Pour établir si des moyens sont raisonnablement susceptibles d'être utilisés pour identifier une personne physique, il convient de prendre en considération l'ensemble des facteurs objectifs, tels que le coût de l'identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de l'évolution de celles-ci. Il n'y a dès lors pas lieu d'appliquer les principes relatifs à la protection des données aux informations anonymes, à savoir aux informations ne concernant pas une personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable. Le présent règlement ne s'applique, par conséquent, pas au traitement de telles informations anonymes, y compris à des fins statistiques ou de recherche. 12)La pseudonymisation des données à caractère personnel peut réduire les risques pour les personnes concernées et aider les responsables du traitement et les sous-traitants à remplir leurs obligations en matière de protection des données. L'introduction explicite de la pseudonymisation dans le présent règlement ne vise pas à exclure toute autre mesure de protection des données. 13)Les personnes physiques peuvent se voir associer, par les appareils, applications, outils et protocoles qu'elles utilisent, des identifiants en ligne tels que des adresses IP et des témoins de connexion («cookies») ou d'autres identifiants, par exemple des étiquettes d'identification par radiofréquence. Ces identifiants peuvent laisser des traces qui, notamment lorsqu'elles sont combinées aux identifiants uniques et à d'autres informations reçues par les serveurs, peuvent servir à créer des profils de personnes physiques et à identifier ces personnes. 14)Le consentement devrait être donné par un acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des données à caractère personnel la concernant, par exemple au moyen d'une déclaration écrite, y compris par voie électronique, ou d'une déclaration orale. Cela pourrait se faire notamment en cochant une case lors de la consultation d'un site internet, en optant pour certains paramètres techniques pour des services de la société de l'information ou au moyen d'une autre déclaration ou d'un autre comportement indiquant clairement dans ce contexte que la personne concernée accepte le traitement proposé de ses données à caractère personnel. Il ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d'inactivité. Le consentement donné devrait valoir pour toutes les activités de traitement ayant la ou les mêmes finalités. Lorsque le traitement a plusieurs finalités, le consentement devrait être donné pour l'ensemble d'entre elles. Si le consentement de la personne concernée est donné à la suite d'une demande introduite par voie électronique, cette demande doit être claire et concise et ne doit pas inutilement perturber l'utilisation du service pour lequel le consentement est accordé. 15)Tout traitement de données à caractère personnel devrait être licite et loyal. Le fait que des données à caractère personnel concernant des personnes physiques sont collectées, utilisées, consultées ou traitées d'une autre manière et la mesure dans laquelle ces données sont ou seront traitées devraient être transparents à l'égard des personnes physiques concernées. Le principe de transparence exige que toute information et toute communication relatives au traitement de ces données à caractère personnel soient aisément accessibles, faciles à comprendre, et formulées en des termes clairs et simples. Ce principe vaut, notamment, pour les informations communiquées aux personnes concernées sur l'identité du responsable du traitement et sur les finalités du traitement ainsi que pour les autres informations visant à assurer un traitement loyal et transparent à l'égard des personnes physiques concernées et leur droit d'obtenir la confirmation et la communication des données à caractère personnel les concernant qui font l'objet d'un traitement. Les personnes physiques devraient être informées des risques, des règles, des garanties et des droits liés au traitement des données à caractère personnel et des modalités d'exercice de leurs droits en ce qui concerne ce traitement. En particulier, les finalités spécifiques du traitement des données à caractère personnel devraient être explicites et légitimes, et déterminées lors de la collecte des données à caractère personnel. Les données à caractère personnel devraient être adéquates, pertinentes et limitées à ce qui est nécessaire pour les finalités pour lesquelles elles sont traitées. Cela exige, notamment, de garantir que la durée de conservation des données est limitée au strict minimum. Les données à caractère personnel ne devraient être traitées que si la finalité du traitement ne peut être raisonnablement atteinte par d'autres moyens. Afin de garantir que les données ne sont pas conservées plus longtemps que nécessaire, des délais devraient être fixés par le responsable du traitement pour leur effacement ou pour un examen périodique. Il y a lieu de prendre toutes les mesures raisonnables afin de garantir que les données à caractère personnel qui sont inexactes sont rectifiées ou supprimées. Les données à caractère personnel devraient être traitées de manière à garantir une sécurité et une confidentialité appropriées, y compris pour prévenir l'accès non autorisé à ces données et à l'équipement utilisé pour leur traitement ainsi que l'utilisation non autorisée de ces données et de cet équipement. 16)Conformément au principe de responsabilité, lorsque des institutions et organes de l’Union se transmettent des données à caractère personnel ou les transmettent en interne, ils devraient vérifier si ces données à caractère personnel sont nécessaires à l’exécution légitime de missions relevant de la compétence du destinataire si celui-ci n’est pas un responsable du traitement. En particulier, à la suite d’une demande de transmission de données à caractère personnel par le destinataire, le responsable du traitement devrait vérifier l’existence d’un motif valable justifiant le traitement licite des données à caractère personnel ainsi que la compétence du destinataire, et il devrait procéder à une évaluation provisoire de la nécessité du transfert des données. Si des doutes se font jour quant à la nécessité de cette transmission, le responsable du traitement devrait demander au destinataire un complément d'informations. Le destinataire devrait veiller à ce que la nécessité de la transmission des données puisse être vérifiée ultérieurement. 17)Pour être licite, le traitement de données à caractère personnel devrait être fondé sur la nécessité pour les institutions et organes de l’Union d’exécuter une mission d’intérêt public ou relevant de l’exercice de leur autorité publique, sur la nécessité de respecter l'obligation légale à laquelle le responsable du traitement est soumis ou sur tout autre fondement légitime prévu par le présent règlement, y compris le consentement de la personne concernée ou la nécessité d'exécuter un contrat auquel la personne concernée est partie ou pour prendre des mesures précontractuelles à la demande de la personne concernée. Le traitement de données à caractère personnel effectué pour l'exécution de missions d'intérêt public par les institutions et organes de l’Union comprend le traitement de données à caractère personnel nécessaires pour la gestion et le fonctionnement de ces institutions et organes. Le traitement de données à caractère personnel devrait être également considéré comme licite lorsqu'il est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique. Le traitement de données à caractère personnel fondé sur l'intérêt vital d'une autre personne physique ne devrait en principe avoir lieu que lorsque le traitement ne peut manifestement pas être fondé sur une autre base juridique. Certains types de traitement peuvent être justifiés à la fois par des motifs importants d'intérêt public et par les intérêts vitaux de la personne concernée, par exemple lorsque le traitement est nécessaire à des fins humanitaires, y compris pour suivre des épidémies et leur propagation, ou dans les cas d'urgence humanitaire, notamment les situations de catastrophe naturelle et d'origine humaine. 18)Le droit de l’Union incluant les règles internes visées dans le présent règlement devrait être clair et précis et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme. 19)Le traitement de données à caractère personnel pour d'autres finalités que celles pour lesquelles les données à caractère personnel ont été collectées initialement ne devrait être autorisé que s'il est compatible avec les finalités pour lesquelles les données à caractère personnel ont été collectées initialement. Dans ce cas, aucune base juridique distincte de celle qui a permis la collecte des données à caractère personnel n'est requise. Si le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement, le droit de l'Union peut déterminer et préciser les missions et les finalités pour lesquelles le traitement ultérieur devrait être considéré comme compatible et licite. Le traitement ultérieur à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques devrait être considéré comme une opération de traitement licite compatible. La base juridique prévue par le droit de l'Union en ce qui concerne le traitement de données à caractère personnel peut également constituer la base juridique pour un traitement ultérieur. Afin d'établir si les finalités d'un traitement ultérieur sont compatibles avec celles pour lesquelles les données à caractère personnel ont été collectées initialement, le responsable du traitement, après avoir respecté toutes les exigences liées à la licéité du traitement initial, devrait tenir compte, entre autres: de tout lien entre ces finalités et les finalités du traitement ultérieur prévu; du contexte dans lequel les données à caractère personnel ont été collectées, en particulier les attentes raisonnables des personnes concernées, en fonction de leur relation avec le responsable du traitement, quant à l'utilisation ultérieure desdites données; la nature des données à caractère personnel; les conséquences pour les personnes concernées du traitement ultérieur prévu; et l'existence de garanties appropriées à la fois dans le cadre du traitement initial et du traitement ultérieur prévu. 20)Lorsque le traitement est fondé sur le consentement de la personne concernée, le responsable du traitement devrait être en mesure de prouver que ladite personne a consenti à l'opération de traitement. En particulier, dans le cadre d'une déclaration écrite relative à une autre question, des garanties devraient exister afin de garantir que la personne concernée est consciente du consentement donné et de sa portée. Conformément à la directive 93/13/CEE du Conseil, une déclaration de consentement rédigée préalablement par le responsable du traitement devrait être fournie sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples, et elle ne devrait contenir aucune clause abusive. Pour que le consentement soit éclairé, la personne concernée devrait connaître au moins l'identité du responsable du traitement et les finalités du traitement auquel sont destinées les données à caractère personnel. Le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d'une véritable liberté de choix ou n'est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice. 21)Les enfants méritent une protection spécifique en ce qui concerne leurs données à caractère personnel parce qu'ils peuvent être moins conscients des risques, des conséquences et des garanties concernées et de leurs droits liés au traitement des données à caractère personnel. Cette protection spécifique devrait, notamment, s'appliquer à la création de profils de personnalité et à la collecte de données à caractère personnel relatives aux enfants lors de l'utilisation de services proposés directement à un enfant sur des sites web d’institutions et organes de l’Union, comme les services de communication interpersonnels ou la vente en ligne de tickets et lorsque le traitement des données à caractère personnel repose sur le consentement. 22)Lorsque des destinataires établis dans l’Union et soumis au règlement (UE) 2016/679 ou à la directive (UE) 2016/680 souhaiteraient que des données à caractère personnel leur soient transmises par des institutions et organes de l’Union, ces destinataires devraient démontrer que la transmission est nécessaire à la réalisation de leur objectif, qu’elle est proportionnée et qu’elle ne va pas au-delà de ce qui est nécessaire pour atteindre cet objectif. Les institutions et organes de l’Union devraient démontrer cette nécessité lorsqu’ils sont eux-mêmes à l’origine de la transmission, conformément au principe de transparence. 23)Les données à caractère personnel qui sont, par nature, particulièrement sensibles du point de vue des libertés et des droits fondamentaux méritent une protection spécifique, car le contexte dans lequel elles sont traitées pourrait engendrer des risques importants pour ces libertés et droits. Ces données à caractère personnel devraient comprendre les données à caractère personnel qui révèlent l'origine raciale ou ethnique, étant entendu que l'utilisation de l'expression «origine raciale» dans le présent règlement n'implique pas que l'Union adhère à des théories tendant à établir l'existence de races humaines distinctes. Le traitement des photographies ne devrait pas systématiquement être considéré comme constituant un traitement de catégories particulières de données à caractère personnel, étant donné que celles-ci ne relèvent de la définition de données biométriques que lorsqu'elles sont traitées selon un mode technique spécifique permettant l'identification ou l'authentification unique d'une personne physique. Outre les exigences spécifiques applicables au traitement des données sensibles, les principes généraux et les autres règles du présent règlement devraient s'appliquer, en particulier en ce qui concerne les conditions de licéité du traitement. Des dérogations à l'interdiction générale de traiter ces catégories particulières de données à caractère personnel devraient être explicitement prévues, entre autres lorsque la personne concernée donne son consentement explicite ou pour répondre à des besoins spécifiques, en particulier lorsque le traitement est effectué dans le cadre d'activités légitimes de certaines associations ou fondations ayant pour objet de permettre l'exercice des libertés fondamentales. 24)Le traitement des catégories particulières de données à caractère personnel peut être nécessaire pour des motifs d'intérêt public dans les domaines de la santé publique, sans le consentement de la personne concernée. Un tel traitement devrait faire l'objet de mesures appropriées et spécifiques de façon à protéger les droits et libertés des personnes physiques. Dans ce contexte, la notion de «santé publique» devrait s'interpréter selon la définition contenue dans le règlement (CE) n° 1338/2008 du Parlement européen et du Conseil, à savoir tous les éléments relatifs à la santé, c'est-à-dire l'état de santé, morbidité et handicap inclus, les déterminants ayant un effet sur cet état de santé, les besoins en matière de soins de santé, les ressources consacrées aux soins de santé, la fourniture de soins de santé, l'accès universel à ces soins, les dépenses de santé et leur financement, ainsi que les causes de mortalité. De tels traitements de données concernant la santé pour des motifs d'intérêt public ne devraient pas aboutir à ce que des données à caractère personnel soient traitées à d'autres fins par des tiers. 25)Si les données à caractère personnel qu'il traite ne lui permettent pas d'identifier une personne physique, le responsable du traitement ne devrait pas être tenu d'obtenir des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter une disposition du présent règlement. Toutefois, le responsable du traitement ne devrait pas refuser des informations supplémentaires fournies par la personne concernée afin de faciliter l'exercice de ses droits. L'identification devrait comprendre l'identification numérique d'une personne concernée, par exemple au moyen d'un mécanisme d'authentification tel que les mêmes identifiants utilisés par la personne concernée pour se connecter au service en ligne proposé par le responsable du traitement.

26)Le traitement des données à caractère personnel à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques devrait être soumis à des garanties appropriées pour les droits et libertés de la personne concernée, en vertu du présent règlement. Ces garanties devraient permettre la mise en place de mesures techniques et organisationnelles pour assurer, en particulier, le respect du principe de minimisation des données. Le traitement ultérieur de données à caractère personnel à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques doit être effectué lorsque le responsable du traitement a évalué s'il est possible d'atteindre ces finalités grâce à un traitement de données qui ne permettent pas ou plus d'identifier les personnes concernées, pour autant que des garanties appropriées existent (comme la pseudonymisation des données). Les institutions et organes de l’Union devraient prévoir dans le droit de l’Union des garanties appropriées pour le traitement de données à caractère personnel à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, ce qui peut inclure des règles internes. 27)Des modalités devraient être prévues pour faciliter l'exercice par la personne concernée des droits qui lui sont conférés par le présent règlement, y compris les moyens de demander et, le cas échéant, d'obtenir sans frais, notamment, l'accès aux données à caractère personnel, et leur rectification ou leur effacement, et l'exercice d'un droit d'opposition. Le responsable du traitement devrait également fournir les moyens de présenter des demandes par voie électronique, en particulier lorsque les données à caractère personnel font l'objet d'un traitement électronique. Le responsable du traitement devrait être tenu de répondre aux demandes émanant de la personne concernée dans les meilleurs délais et au plus tard dans un délai d'un mois et de motiver sa réponse lorsqu'il a l'intention de ne pas donner suite à de telles demandes. 28)Le principe de traitement loyal et transparent exige que la personne concernée soit informée de l'existence de l'opération de traitement et de ses finalités. Le responsable du traitement devrait fournir à la personne concernée toute autre information nécessaire pour garantir un traitement équitable et transparent, compte tenu des circonstances particulières et du contexte dans lesquels les données à caractère personnel sont traitées. En outre, la personne concernée devrait être informée de l'existence d'un profilage et des conséquences de celui-ci. Lorsque les données à caractère personnel sont collectées auprès de la personne concernée, il importe que celle-ci sache également si elle est obligée de fournir ces données à caractère personnel et qu'elle soit informée des conséquences auxquelles elle s'expose si elle ne les fournit pas. Ces informations peuvent être fournies accompagnées d'icônes normalisées afin d'offrir une bonne vue d'ensemble, facilement visible, compréhensible et clairement lisible, du traitement prévu. Lorsque les icônes sont présentées par voie électronique, elles devraient être lisibles par machine. 29)Les informations sur le traitement des données à caractère personnel relatives à la personne concernée devraient lui être fournies au moment où ces données sont collectées auprès d'elle ou, si les données à caractère personnel sont obtenues d'une autre source, dans un délai raisonnable en fonction des circonstances propres à chaque cas. Lorsque des données à caractère personnel peuvent être légitimement communiquées à un autre destinataire, il convient que la personne concernée soit informée du moment auquel ces données à caractère personnel sont communiquées pour la première fois audit destinataire. Lorsqu'il a l'intention de traiter les données à caractère personnel à des fins autres que celles pour lesquelles elles ont été collectées, le responsable du traitement devrait, avant de procéder à ce traitement ultérieur, fournir à la personne concernée des informations au sujet de cette autre finalité et toute autre information nécessaire. Lorsque l'origine des données à caractère personnel n'a pas pu être communiquée à la personne concernée parce que plusieurs sources ont été utilisées, des informations générales devraient être fournies. 30)Une personne concernée devrait avoir le droit d'accéder aux données à caractère personnel qui ont été collectées à son sujet et d'exercer ce droit facilement et à des intervalles raisonnables, afin de prendre connaissance du traitement et d'en vérifier la licéité. Cela inclut le droit des personnes concernées d'accéder aux données concernant leur santé, par exemple les données de leurs dossiers médicaux contenant des informations telles que des diagnostics, des résultats d'examens, des avis de médecins traitants et tout traitement administré ou toute intervention pratiquée. En conséquence, toute personne concernée devrait avoir le droit de connaître et de se faire communiquer, en particulier, les finalités du traitement des données à caractère personnel, si possible la durée du traitement de ces données à caractère personnel, l'identité des destinataires de ces données à caractère personnel, la logique qui sous-tend leur éventuel traitement automatisé et les conséquences que ce traitement pourrait avoir, au moins en cas de profilage. Ce droit ne devrait pas porter atteinte aux droits ou libertés d'autrui, y compris au secret des affaires ou à la propriété intellectuelle, notamment au droit d'auteur protégeant le logiciel. Cependant, ces considérations ne devraient pas aboutir à refuser toute communication d'informations à la personne concernée. Lorsque le responsable du traitement traite une grande quantité de données relatives à la personne concernée, il devrait pouvoir demander à celle-ci de préciser, avant de lui fournir les informations, sur quelles données ou quelles opérations de traitement sa demande porte. 31)Les personnes concernées devraient avoir le droit de faire rectifier des données à caractère personnel les concernant, et disposer d'un «droit à l'oubli» lorsque la conservation de ces données constitue une violation du présent règlement ou du droit de l'Union auquel le responsable du traitement est soumis. Les personnes concernées devraient avoir le droit d'obtenir que leurs données à caractère personnel soient effacées et ne soient plus traitées, lorsque ces données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière, lorsque les personnes concernées ont retiré leur consentement au traitement ou lorsqu'elles s'opposent au traitement de données à caractère personnel les concernant, ou encore lorsque le traitement de leurs données à caractère personnel ne respecte pas d'une autre manière le présent règlement. Ce droit est important, en particulier, lorsque la personne concernée a donné son consentement à l'époque où elle était enfant et n'était pas pleinement consciente des risques inhérents au traitement, et qu'elle souhaite par la suite supprimer ces données à caractère personnel, en particulier sur l'internet. La personne concernée devrait pouvoir exercer ce droit nonobstant le fait qu'elle n'est plus un enfant. Toutefois, la conservation ultérieure des données à caractère personnel devrait être licite lorsqu'elle est nécessaire à l'exercice du droit à la liberté d'expression et d'information, au respect d'une obligation légale, à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement, pour des motifs d'intérêt public dans le domaine de la santé publique, à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, ou à la constatation, à l'exercice ou à la défense de droits en justice. 32)Afin de renforcer le «droit à l'oubli» numérique, le droit à l'effacement devrait également être étendu de façon à ce que le responsable du traitement qui a rendu les données à caractère personnel publiques soit tenu d'informer les responsables du traitement qui traitent ces données à caractère personnel qu'il convient d'effacer tout lien vers ces données, ou toute copie ou reproduction de celles-ci. Ce faisant, ce responsable du traitement devrait prendre des mesures raisonnables, compte tenu des technologies disponibles et des moyens dont il dispose, y compris des mesures techniques, afin d'informer les responsables du traitement qui traitent les données à caractère personnel de la demande formulée par la personne concernée. 33)Les méthodes visant à limiter le traitement de données à caractère personnel pourraient consister, entre autres, à déplacer temporairement les données sélectionnées vers un autre système de traitement, à rendre les données à caractère personnel sélectionnées inaccessibles aux utilisateurs, ou à retirer temporairement les données publiées d'un site internet. Dans les fichiers automatisés, la limitation du traitement devrait en principe être assurée par des moyens techniques de façon à ce que les données à caractère personnel ne fassent pas l'objet d'opérations de traitements ultérieures et ne puissent pas être modifiées. Le fait que le traitement des données à caractère personnel est limité devrait être indiqué de manière claire dans le fichier. 34)Pour renforcer encore le contrôle qu'elles exercent sur leurs propres données, il convient de conférer aussi aux personnes concernées le droit, lorsque des données à caractère personnel font l'objet d'un traitement automatisé, de recevoir les données à caractère personnel les concernant, qu'elles ont fournies à un responsable du traitement, dans un format structuré, couramment utilisé, lisible par machine et interopérable, et de les transmettre à un autre responsable du traitement. Il y a lieu d'encourager les responsables du traitement à mettre au point des formats interopérables permettant la portabilité des données. Ce droit devrait s'appliquer lorsque la personne concernée a fourni les données à caractère personnel sur la base de son consentement ou lorsque le traitement est nécessaire pour l'exécution d'un contrat. Il ne devrait dès lors pas s'appliquer lorsque le traitement des données à caractère personnel est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Le droit de la personne concernée de transmettre ou de recevoir des données à caractère personnel la concernant ne devrait pas créer, pour les responsables du traitement, une obligation d'adopter ou de maintenir des systèmes de traitement qui sont techniquement compatibles. Lorsque, dans un ensemble de données à caractère personnel, plusieurs personnes sont concernées, le droit de recevoir les données à caractère personnel devrait s'entendre sans préjudice des droits et libertés des autres personnes concernées conformément au présent règlement. De plus, ce droit ne devrait pas porter atteinte au droit de la personne concernée d'obtenir l'effacement de données à caractère personnel ni aux limitations de ce droit prévues par le présent règlement et il ne devrait pas, notamment, entraîner l'effacement de données à caractère personnel relatives à la personne concernée qui ont été fournies par celle-ci pour l'exécution d'un contrat, dans la mesure où et aussi longtemps que ces données à caractère personnel sont nécessaires à l'exécution de ce contrat. Lorsque c'est techniquement possible, la personne concernée devrait avoir le droit d'obtenir que les données soient transmises directement d'un responsable du traitement à un autre. 35)Lorsque des données à caractère personnel pourraient être traitées de manière licite parce que le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi un responsable du traitement, la personne concernée devrait néanmoins avoir le droit de s'opposer au traitement de toute donnée à caractère personnel en rapport avec sa situation particulière. Il devrait incomber au responsable du traitement de prouver que ses intérêts légitimes impérieux prévalent sur les intérêts ou les libertés et droits fondamentaux de la personne concernée. 36)La personne concernée devrait avoir le droit de ne pas faire l'objet d'une décision, qui peut comprendre une mesure, impliquant l'évaluation de certains aspects personnels la concernant, qui est prise sur le seul fondement d'un traitement automatisé et qui produit des effets juridiques la concernant ou qui, de façon similaire, l'affecte de manière significative, tels que des pratiques de recrutement en ligne sans aucune intervention humaine. Ce type de traitement inclut le «profilage» qui consiste en toute forme de traitement automatisé de données à caractère personnel visant à évaluer les aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des aspects concernant le rendement au travail de la personne concernée, sa situation économique, sa santé, ses préférences ou centres d'intérêt personnels, sa fiabilité ou son comportement, ou sa localisation et ses déplacements, dès lors qu'elle produit des effets juridiques concernant la personne en question ou qu'elle l'affecte de façon similaire de manière significative. Toutefois, la prise de décision fondée sur un tel traitement, y compris le profilage, devrait être permise lorsqu'elle est expressément autorisée par le droit de l'Union. En tout état de cause, un traitement de ce type devrait être assorti de garanties appropriées, qui devraient comprendre une information spécifique de la personne concernée ainsi que le droit d'obtenir une intervention humaine, d'exprimer son point de vue, d'obtenir une explication quant à la décision prise à l'issue de ce type d'évaluation et de contester la décision. Cette mesure ne devrait pas concerner un enfant. Afin d'assurer un traitement équitable et transparent à l'égard de la personne concernée, compte tenu des circonstances particulières et du contexte dans lesquels les données à caractère personnel sont traitées, le responsable du traitement devrait utiliser des procédures mathématiques ou statistiques adéquates aux fins du profilage, appliquer les mesures techniques et organisationnelles appropriées pour faire en sorte, en particulier, que les facteurs qui entraînent des erreurs dans les données à caractère personnel soient corrigés et que le risques d'erreur soit réduit au minimum, et sécuriser les données à caractère personnel d'une manière qui tienne compte des risques susceptibles de peser sur les intérêts et les droits de la personne concernée et qui prévienne, entre autres, les effets discriminatoires à l'égard des personnes physiques fondées sur la l'origine raciale ou ethnique, les opinions politiques, la religion ou les convictions, l'appartenance syndicale, le statut génétique ou l'état de santé, ou l'orientation sexuelle, ou qui se traduisent par des mesures produisant un tel effet. La prise de décision et le profilage automatisés fondés sur des catégories particulières de données à caractère personnel ne devraient être autorisés qu'à des conditions spécifiques. 37)Des limitations à certains principes spécifiques ainsi qu'au droit à l'information, au droit d'accès aux données à caractère personnel, au droit de rectification ou d'effacement de ces données, au droit à la portabilité des données, au droit à la confidentialité des communications électroniques ainsi qu'à la communication d'une violation de données à caractère personnel à une personne concernée et à certaines obligations connexes des responsables du traitement peuvent être imposées par les actes juridiques adoptés sur la base des traités ou des règles internes des institutions et organes de l'Union, dans la mesure nécessaire et proportionnée dans une société démocratique pour garantir la sécurité publique, la prévention des infractions pénales, les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, y compris la protection de la vie humaine, particulièrement en réponse à des catastrophes d'origine naturelle ou humaine, pour garantir la sécurité intérieure des institutions et organes de l’Union et d'autres objectifs d'intérêt public importants de l'Union ou d'un État membre, notamment un intérêt économique ou financier important de l'Union ou d'un État membre, la tenue de registres publics conservés pour des motifs d'intérêt public général ou la protection de la personne concernée ou des droits et libertés d'autrui, y compris la protection sociale, la santé publique et les finalités humanitaires. Si aucune limitation n’est prévue dans les actes juridiques adoptés sur la base des traités ou des règles internes des institutions et organes de l’Union, ces institutions et ces organes peuvent, dans un cas spécifique, imposer une limitation ad hoc à certains principes spécifiques ainsi qu’aux droits d’une personne concernée si cette limitation respecte l’essence des libertés et droits fondamentaux et, en ce qui concerne l’opération de traitement spécifique, si elle est nécessaire et proportionnée dans une société démocratique pour garantir un ou plusieurs des objectifs mentionnés au premier alinéa. La limitation devrait être notifiée au délégué à la protection des données. Il y a lieu que toutes les limitations respectent les exigences énoncées par la charte et par la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales. 38)Il y a lieu d'instaurer la responsabilité du responsable du traitement pour tout traitement de données à caractère personnel qu'il effectue lui-même ou qui est réalisé pour son compte. Il importe, en particulier, que le responsable du traitement soit tenu de mettre en œuvre des mesures appropriées et effectives et soit à même de démontrer la conformité des activités de traitement avec le présent règlement, y compris l'efficacité des mesures. Ces mesures devraient tenir compte de la nature, de l'étendue, du contexte et des finalités du traitement ainsi que du risque que celui-ci présente pour les droits et libertés des personnes physiques. Des risques pour les droits et libertés des personnes physiques, dont le degré de probabilité et de gravité varie, peuvent résulter du traitement de données à caractère personnel qui est susceptible d'entraîner des dommages physiques, matériels ou un préjudice moral, en particulier: lorsque le traitement peut donner lieu à une discrimination, à un vol ou une usurpation d'identité, à une perte financière, à une atteinte à la réputation, à une perte de confidentialité de données protégées par le secret professionnel, à un renversement non autorisé du processus de pseudonymisation ou à tout autre dommage économique ou social important; lorsque les personnes concernées pourraient être privées de leurs droits et libertés ou empêchées d'exercer le contrôle sur leurs données à caractère personnel; lorsque le traitement concerne des données à caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques, la religion ou les convictions philosophiques, l'appartenance syndicale, ainsi que des données génétiques, des données concernant la santé ou des données concernant la vie sexuelle ou des données relatives à des condamnations pénales et à des infractions, ou encore à des mesures de sûreté connexes; lorsque des aspects personnels sont évalués, notamment dans le cadre de l'analyse ou de la prédiction d'éléments concernant le rendement au travail, la situation économique, la santé, les préférences ou centres d'intérêt personnels, la fiabilité ou le comportement, ou la localisation ou les déplacements, en vue de créer ou d'utiliser des profils individuels; lorsque le traitement porte sur des données à caractère personnel relatives à des personnes physiques vulnérables, en particulier les enfants; ou lorsque le traitement porte sur un volume important de données à caractère personnel et touche un nombre important de personnes concernées. Il convient de déterminer la probabilité et la gravité du risque pour les droits et libertés de la personne concernée en fonction de la nature, de l'étendue, du contexte et des finalités du traitement. Le risque devrait faire l'objet d'une évaluation objective permettant de déterminer si les opérations de traitement des données comportent un risque ou un risque élevé. 39)La protection des droits et libertés des personnes physiques à l'égard du traitement des données à caractère personnel exige l'adoption de mesures techniques et organisationnelles appropriées pour garantir que les exigences du présent règlement sont respectées. Afin d'être en mesure de démontrer qu'il respecte le présent règlement, le responsable du traitement devrait adopter des règles internes et mettre en œuvre des mesures qui respectent, en particulier, les principes de protection des données dès la conception et de protection des données par défaut. Ces mesures pourraient consister, entre autres, à réduire à un minimum le traitement des données à caractère personnel, à pseudonymiser les données à caractère personnel dès que possible, à garantir la transparence en ce qui concerne les fonctions et le traitement des données à caractère personnel, à permettre à la personne concernée de contrôler le traitement des données, à permettre au responsable du traitement de mettre en place des dispositifs de sécurité ou de les améliorer. Les principes de protection des données dès la conception et de protection des données par défaut devraient également être pris en considération dans le cadre des marchés publics. 40)La protection des droits et libertés des personnes concernées, de même que la responsabilité des responsables du traitement et de leurs sous-traitants, exige une répartition claire des responsabilités dans le cadre du présent règlement, notamment dans le cas où le responsable du traitement détermine les finalités et les moyens du traitement conjointement avec d'autres responsables, ou lorsqu'un traitement est effectué pour le compte d'un responsable du traitement. 41)Afin que les exigences du présent règlement soient respectées dans les cas où le traitement est réalisé par un sous-traitant pour le compte du responsable du traitement, lorsque ce dernier confie des activités de traitement à un sous-traitant, le responsable du traitement ne devrait faire appel qu'à des sous-traitants présentant des garanties suffisantes, notamment en termes de connaissances spécialisées, de fiabilité et de ressources, pour la mise en œuvre de mesures techniques et organisationnelles qui satisfont aux exigences du présent règlement, y compris en matière de sécurité du traitement. L'application par des sous-traitants autre que les institutions et organes de l’Union d'un code de conduite approuvé ou d'un mécanisme de certification approuvé peut servir à démontrer le respect des obligations incombant au responsable du traitement. La réalisation d'un traitement par un sous-traitant devrait être régie par un contrat ou un autre acte juridique établi en vertu du droit de l'Union ou du droit d'un État membre, liant le sous-traitant au responsable du traitement, définissant l'objet et la durée du traitement, la nature et les finalités du traitement, le type de données à caractère personnel et les catégories de personnes concernées, en tenant compte des tâches et responsabilités spécifiques du sous-traitant dans le cadre du traitement à effectuer et du risque pour les droits et libertés de la personne concernée. Le responsable du traitement et le sous-traitant devraient pouvoir choisir de recourir à un contrat particulier ou à des clauses contractuelles types, qui sont adoptées soit directement par la Commission soit par le Contrôleur européen de la protection des données puis par la Commission. Après la réalisation du traitement pour le compte du responsable du traitement, le sous-traitant devrait, selon le choix du responsable du traitement, renvoyer ou supprimer les données à caractère personnel, à moins que le droit de l'Union ou le droit d'un État membre auquel le sous-traitant est soumis n'exige la conservation de ces données à caractère personnel. 42)Afin de démontrer qu'ils respectent le présent règlement, les responsables du traitement devraient tenir des registres pour les activités de traitement relevant de leur responsabilité et les sous-traitants devraient tenir des registres pour les catégories d’activités de traitement relevant de leur responsabilité. Les institutions et organes de l’Union devraient être tenus de coopérer avec le Contrôleur européen de la protection des données et de mettre ces registres à la disposition de celui-ci, sur demande, pour qu'ils servent au contrôle des opérations de traitement. Les institutions et organes de l’Union devraient pouvoir établir un registre centralisant les registres de leurs activités de traitement. Pour des raisons de transparence, ils devraient aussi pouvoir rendre ce registre public. 43)Afin de garantir la sécurité et de prévenir tout traitement effectué en violation du présent règlement, il importe que le responsable du traitement ou le sous-traitant évalue les risques inhérents au traitement et mette en œuvre des mesures pour les atténuer, telles que le chiffrement. Ces mesures devraient assurer un niveau de sécurité approprié, y compris la confidentialité, compte tenu de l'état des connaissances et des coûts de mise en œuvre par rapport aux risques et à la nature des données à caractère personnel à protéger. Dans le cadre de l'évaluation des risques pour la sécurité des données, il convient de prendre en compte les risques que présente le traitement de données à caractère personnel, tels que la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données, d'origine accidentelle ou illicite, qui sont susceptibles d'entraîner des dommages physiques, matériels, ou moraux. 44)Les institutions et organes de l’Union devraient garantir la confidentialité des communications électroniques comme le prévoit l’article 7 de la charte. Les institutions et organes de l’Union devraient en particulier garantir la sécurité de leurs réseaux de communications électroniques, protéger les informations liées à l’équipement terminal des utilisateurs finaux ayant accès à leurs sites web et applications mobiles accessibles au public conformément au règlement (UE) XXXX/XX [nouveau règlement «vie privée et communications électroniques»] et protéger leurs données à caractère personnel dans les annuaires d’utilisateurs.

45) Une violation de données à caractère personnel risquerait, si l'on n'intervient pas à temps et de manière appropriée, de causer aux personnes physiques concernées des dommages physiques, matériels ou moraux. En conséquence, dès que le responsable du traitement apprend qu'une violation de données à caractère personnel s'est produite, il convient qu'il la notifie au Contrôleur européen de la protection des données dans les meilleurs délais et, lorsque c'est possible, 72 heures au plus tard après en avoir pris connaissance, à moins qu'il ne puisse démontrer, conformément au principe de responsabilité, qu'il est peu probable que la violation en question engendre un risque pour les dro