5. 11. 90 Journal officiel des Communautés européennes N° C 277/3 
Proposition de directive du Conseil relative à la protection des personnes à l'égard du traitement des 
données à caractère personnel 
COM(90) 314 final — SYN 287 
(Présentée par la Commission le 27 juillet 1990) 
(90/C 277/03) 
LE CONSEIL DES COMMUNAUTÉS EUROPÉENNES, 
vu le traité instituant la Communauté économique 
européenne, et notamment son article 100 A et son 
article 113, (4) considérant que le renforcement de la coopération 
scientifique et technique, ainsi que la mise en place 
coordonnée de nouveaux réseaux de télécommunica­
tions dans la Communauté, nécessitent et facilitent la 
circulation transfrontière de données à caractère 
personnel ; 
vu la proposition de la Commission, 
en coopération avec le Parlement européen, 
vu l'avis du Comité économique et social, 
(1) considérant que les objectifs de la Communauté, 
énoncés dans le traité tel que modifié par l'acte unique 
européen, consistent à réaliser une union sans cesse 
plus étroite entre les peuples européens, à établir des 
relations plus étroites entre les États que la Commu­
nauté réunit, à assurer par une action commune le 
progrès économique et social en éliminant les barrières 
qui divisent l'Europe, à promouvoir l'amélioration 
constante des conditions de vie de ces peuples, à 
affermir les sauvegardes de la paix et de la liberté et à 
promouvoir la démocratie en se fondant sur les droits 
fondamentaux reconnus dans les constitutions et lois 
des États membres, ainsi que dans la convention 
européenne de sauvegarde des droits de l'homme et 
des libertés fondamentales; 
(2) considérant que l'établissement et le fonctionnement 
du marché intérieur dans lequel, conformément à 
l'article 8 A du traité, la libre circulation des marchan­
dises, des personnes, des services et des capitaux est 
assurée, nécessitent que non seulement des données à 
caractère personnel puissent circuler, quels que soient 
les États membres dans lesquels elles sont traitées ou 
demandées, mais, également, que les droits fondamen­
taux soient sauvegardés compte tenu du recours de 
plus en plus fréquent dans la Communauté aux 
traitements de données à caractère personnel dans les 
divers domaines des activités économiques et sociales ; 
(3) considérant que le marché intérieur comporte un 
espace sans frontières; que, pour cette raison, les 
administrations nationales des différents États mem­
bres, en vertu de l'application du droit communautai­
re, sont appelées de plus en plus souvent à collaborer et 
à échanger entre elles des données à caractère 
personnel afin de pouvoir exécuter leur mission ou 
exercer des tâches pour le compte d'une administra­
tion d'un autre État membre; (5) considérant que la différence de niveaux de protection 
de la vie privée à l'égard des traitements de données à 
caractère personnel assurés dans les États membres 
peut empêcher la transmission de ces données du 
territoire d'un État membre à celui d'un autre État 
membre ; que cette différence peut, dès lors, constituer 
un obstacle à l'exercice d'une série d'activités 
économiques à l'échelle communautaire, fausser la 
concurrence et entraver la mission des administrations 
intervenant dans le champ d'application du droit 
communautaire; que cette différence de niveaux de 
protection résulte de la disparité des dispositions 
nationales législatives, réglementaires et administra­
tives ; 
(6) considérant que, pour éliminer les obstacles à la 
circulation des données à caractère personnel, le 
niveau de protection de la vie privée à l'égard des 
traitements de ces données doit être équivalent dans 
tous les États membres ; qu'il est, pour cela, nécessaire 
de rapprocher les législations applicables en la 
matière ; 
(7) considérant que l'objet des législations nationales 
relatives au traitement des données à caractère 
personnel est d'assurer le respect des droits fondamen­
taux, notamment le droit à la vie privée reconnu 
également dans l'article 8 de la convention de 
sauvegarde des droits de l'homme et des libertés 
fondamentales et dans les principes généraux du droit 
communautaire ; que, pour cette raison, le rapproche­
ment de ces législations ne doit pas conduire à affaiblir 
la protection qu'elles assurent mais doit, au contraire, 
avoir pour objectif de garantir un haut niveau de 
protection dans la Communauté; 
(8) considérant que les principes de la protection de la vie 
privée à l'égard du traitement des données à caractère 
personnel faisant l'objet de la présente directive 
pourront être complétés ou précisés, notamment pour 
certains secteurs, par des règles spécifiques conformes 
à ces principes ; 
(9) considérant que les principes de la protection doivent 
s'appliquer à tous les fichiers dès lors que les activités 
du responsable du fichier relèvent du champ d'applica­
tion du droit communautaire; que les fichiers du 
N° C 277/4 Journal officiel des Communautés européennes 5. 11. 90 
secteur public qui ne relèvent pas du champ d'applica­
tion du droit communautaire devraient être soumis 
aux mêmes principes de la protection repris dans les 
législations nationales, comme le prévoit la résolution 
des représentants des gouvernements des États 
membres des Communautés européennes réunis au 
sein du Conseil du...; que, toutefois, doivent être 
exclus les fichiers relevant exclusivement de l'exercice 
du droit à la vie privée d'une personne physique, 
comme les fichiers personnels d'adresses; 
(10) considérant qu'il est nécessaire que tout traitement de 
données à caractère personnel dans la Communauté 
respecte la législation de l'État membre dans lequel le 
fichier est localisé, afin d'éviter qu'une personne 
échappe à la protection qui doit lui être garantie en 
vertu de la présente directive ; que, à cet égard, chaque 
partie d'un fichier réparti dans plusieurs États 
membres doit être considérée comme un fichier à part 
entière et la délocalisation dans un pays tiers ne doit 
pas empêcher cette protection; 
(11) considérant que tout traitement de données à caractè­
re personnel doit être légitime ; que cette légitimité doit 
être fondée sur le consentement de la personne 
concernée ou sur le droit communautaire ou sur les 
législations nationales ; 
(12) considérant que les législations nationales peuvent 
préciser, dans les conditions prévues par la présente 
directive, les règles relatives à la légitimité du 
traitement ; que, toutefois, une telle possibilité ne peut 
servir de fondement pour un contrôle d'un État 
membre autre que l'État de localisation du fichier, 
étant donné que l'obligation de ce dernier d'assurer, 
conformément à la présente directive, la protection de 
la vie privée à l'égard du traitement des données à 
caractère personnel est suffisante, au regard du droit 
communautaire, pour permettre la libre circulation 
des données; 
(13) considérant que les procédures de notification, pour 
les fichiers du secteur public ou privé, et d'information 
lors de la première communication, pour les fichiers 
du secteur privé, ont pour objet d'assurer la transpa­
rence indispensable à l'exercice du droit d'accès de la 
personne concernée aux données la concernant; 
(14) considérant que la personne concernée doit bénéficier 
d'une information effective et complète pour que son 
consentement soit valide ainsi que lorsque des données 
la concernant sont récoltées auprès d'elle ; 
(15) considérant que la personne concernée doit pouvoir 
bénéficier du droit d'accès afin de pouvoir s'assurer de 
la légitimité du traitement des données la concernant 
et de leur qualité; (16) considérant que, pour faire l'objet d'un traitement, les 
données doivent répondre à certaines exigences ; que le 
traitement des données qui sont susceptibles par leur 
nature même de porter atteinte au droit à la vie privée 
doit être interdit sauf consentement explicite de la 
personne concernée; que, toutefois, pour des motifs 
d'intérêt public important, notamment pour les 
professions médicales, des dérogations peuvent être 
prévues sur la base d'une loi qui fixe précisément et 
strictement les conditions et limites du traitement de 
ce type de données; 
(17) considérant que la protection de la vie privée à l'égard 
des données à caractère personnel exige que des 
mesures de sécurité appropriées soient prises, au 
niveau tant de la conception que de la technologie du 
traitement, afin d'empêcher tout traitement non 
autorisé ; 
(18) considérant que, dans le domaine des médias, les États 
membres peuvent prévoir des dérogations aux disposi­
tions de la présente directive dans la mesure où elles 
visent à concilier le droit à la vie privée avec la liberté 
de l'information et le droit de recevoir ou de 
communiquer des informations, tel que garanti 
notamment dans l'article 10 de la convention de 
sauvegarde des droits de l'homme et des libertés 
fondamentales ; 
( 19) considérant que les États membres doivent encourager 
l'élaboration, par les milieux profes'sionnels, de codes 
de déontologie ou de bonne conduite européens 
concernant certains secteurs particuliers; que la 
Commission soutiendra de telles initiatives et en 
tiendra compte lorsqu'elle examinera l'opportunité de 
nouvelles mesures spécifiques pour certains secteurs ; 
(20) considérant que, en cas de non-respect des disposi­
tions prévues dans la présente directive, le responsable 
du fichier doit être considéré, dans une action en 
dommages et intérêts, comme responsable; que des 
sanctions dissuasives doivent être appliquées afin 
d'assurer une protection effective ; 
(21) considérant qu'il est également nécessaire que le 
transfert de données à caractère personnel puisse avoir 
lieu avec les pays tiers ayant un niveau de protection 
adéquat ; que, en l'absence d'une telle protection dans 
des pays tiers, la présente directive prévoit, en 
particulier, des procédures de négociation avec ceux-
ci; 
(22) considérant que les principes contenus dans la 
présente directive concrétisent et amplifient ceux 
contenus dans la convention du 28 janvier 1981 du 
Conseil de l'Europe pour la protection des personnes à 
l'égard du traitement automatisé des données à 
caractère personnel ; 
(23) considérant que l'existence, dans chaque État mem­
bre, d'une autorité de contrôle indépendante est un 
élément essentiel de la protection des personnes à 
5. 11. 90 Journal officiel des Communautés européennes N° C 277/5 
l'égard du traitement des données à caractère 
personnel; que, au niveau communautaire, un groupe 
de protection des données à caractère personnel doit 
être instauré et exercer ses fonctions en toute 
indépendance; que, compte tenu de ce caractère 
spécifique, il doit conseiller la Commission et 
contribuer à l'application homogène des règles 
nationales prises en application de la présente 
directive ; 
(24) considérant que l'adoption des mesures complémen­
taires pour l'application des principes de la présente 
directive nécessite l'attribution d'un pouvoir régle­
mentaire à la Commission et l'établissement d'un 
comité consultatif selon les modalités fixées dans la 
décision 87/373/CEE du Conseil (*) ; 
A ARRÊTÉ LA PRÉSENTE DIRECTIVE : 
CHAPITRE PREMIER 
DISPOSITIONS GÉNÉRALES 
Article premier 
Objet de la directive 
1. Les États membres assurent, conformément aux 
dispositions de la présente directive, la protection de la vie 
privée des personnes à l'égard du traitement des données à 
caractère personnel contenues dans des fichiers. 
2. Les États membres ne peuvent restreindre ou interdire 
la libre circulation des données à caractère personnel entre 
États membres pour des raisons relatives à la protection 
assurée en vertu du paragraphe 1. 
Article 2 
Définitions 
Aux fins de la présente directive, on entend par: 
a) «données à caractère personnel», toute information 
concernant une personne physique identifiée ou identi­
fiable («personne concernée») ; est notamment réputée 
identifiable une personne qui peut être identifiée par 
référence à un numéro d'identification ou à une 
information similaire; 
b) «rendre anonyme», une modification des données à 
caractère personnel de sorte que les informations qui y 
sont contenues ne peuvent plus être associées à une 
personne physique déterminée ou déterminable, ou 
moyennant seulement un effort excessif en personnel, en 
frais et en temps; 
c) «fichier de données à caractère personnel» (fichier), 
tout ensemble de données à caractère personnel, 
(!) JO n° L 197 du 18. 7. 1987, p. 33. centralisées ou réparties sur plusieurs sites, faisant 
l'objet d'un traitement automatisé ou qui, bien que ne le 
faisant pas, sont structurées et accessibles dans une 
collection organisée selon des critères déterminés de 
manière à faciliter l'utilisation ou l'interconnexion des 
données ; 
d) « traitement », les opérations, effectuées ou non à l'aide 
de procédés automatisés : enregistrement, conservation, 
interconnexion de données, leur modification, leur 
utilisation et leur communication, notamment la 
transmission, la diffusion, l'extraction, ainsi que le 
verrouillage, l'effacement et la destruction; 
e) «responsable du fichier», la personne physique ou 
morale, l'autorité publique, le service ou tout autre 
organisme qui est compétent selon le droit communau­
taire ou la loi nationale d'un État membre, pour décider 
quelle sera la finalité du fichier, quelles catégories de 
données à caractère personnel doivent être enregistrées, 
quelles opérations leur seront appliquées et quels sont 
les tiers qui peuvent y avoir accès; 
f) « autorité de contrôle », l'autorité publique indépendan­
te, ou toute autre instance indépendante, désignée par 
chaque État membre en conformité avec l'article 26; 
g) «secteur public», l'ensemble des administrations, 
organisations et entités d'un État membre relevant du 
droit public, à l'exception de celles qui participent à une 
activité industrielle ou commerciale, ainsi que les 
organismes et entités de droit privé lorsqu'ils participent 
à l'exercice de l'autorité publique; 
h) « secteur privé », toute personne physique ou morale, ou 
association, y inclus les administrations, organisations 
et entités du secteur public, dans la mesure où elles 
exercent une activité industrielle ou commerciale. 
Article 3 
Champ d'application 
1. Les États membres appliquent les dispositions de la 
présente directive aux fichiers du secteur privé et du secteur 
public à l'exclusion des fichiers du secteur public dont les 
activités ne relèvent pas du champ d'application du droit 
communautaire. 
2. Les dispositions de la présente directive ne s'appliquent 
pas aux fichiers : 
a) détenus par une personne physique exclusivement à des 
fins privées et personnelles 
ou 
b) détenus par des associations sans but lucratif notam­
ment à caractère politique, philosophique, religieux, 
culturel, syndical, sportif ou de loisir, dans le cadre de 
leur but légitime et à condition qu'ils ne se rapportent 
qu'aux seuls membres et correspondants de l'associa-
N° C 277/6 Journal officiel des Communautés européennes 5. 11. 90 
tion ayant consenti à y figurer et qu'ils ne soient pas 
communiqués à des tiers. 
Article 4 
Droit applicable 
1. Chaque État membre applique les dispositions de la 
présente directive : 
a) à tous les fichiers localisés sur son territoire; 
b) au responsable du fichier qui réside sur son territoire et 
utilise depuis celui-ci un fichier localisé dans un pays 
tiers dont la législation n'a pas un niveau de protection 
adéquat, à moins que cette utilisation ne soit que 
sporadique. 
2. Chaque État membre applique les dispositions des 
articles 5, 6, 8, 9,10,17,18 et 21 à l'utilisateur qui consulte 
un fichier localisé dans un pays tiers à partir d'un terminal 
localisé sur le territoire d'un État membre, à moins que 
cette utilisation ne soit que sporadique. 
3. Lorsqu'un fichier est déplacé temporairement d'un 
État membre vers un autre État membre, ce dernier 
n'oppose aucun obstacle et n'exige aucune formalité 
additionnelle aux règles applicables dans l'État membre de 
localisation permanent du fichier. 
CHAPITRE II 
LÉGITIMITÉ DU TRAITEMENT 
DANS LE SECTEUR PUBLIC 
Article 5 
Principes 
1. Sous réserve des dispositions de l'article 6, les États 
membres prévoient dans leur législation pour les fichiers 
relevant du secteur public que : 
a) l'établissement d'un fichier et tout autre traitement de 
données à caractère personnel sont légitimes dans la 
mesure où ils sont nécessaires pour l'exécution des 
missions de l'autorité publique responsable de ce 
fichier ; 
b) le traitement de données pour une finalité autre que celle 
pour laquelle le fichier a été établi est légitime si : 
— la personne concernée y consent 
ou 
— il est effectué sur la base du droit communautaire ou 
d'une loi, ou d'un acte pris en application d'une loi 
d'un État membre conforme à la présente directive 
qui l'autorise et en fixe les limites 
ou 
— un intérêt légitime de la personne concernée ne 
s'oppose pas à ce changement de finalité ou 
— il est nécessaire afin de prévenir une menace 
imminente pour l'ordre public ou une atteinte 
sérieuse au droit d'autrui. 
Article 6 
Traitement dans le secteur public ayant pour objet la 
communication de données à caractère personnel 
1. Les États membres prévoient dans leur législation que 
la communication de données à caractère personnel 
contenues dans des fichiers d'une entité du secteur public 
n'est légitime que: 
a) si cela est nécessaire pour l'exercice des missions de 
l'entité du secteur public qui communique ou qui 
demande la communication de ces données 
ou 
b) sur demande d'une personne physique ou morale du 
secteur privé qui invoque un intérêt légitime, à 
condition que l'intérêt de la personne concernée ne 
prévale pas. 
2. Sans préjudice des dispositions visées au paragraphe 1, 
les États membres peuvent préciser les conditions dans 
lesquelles la communication de données à caractère 
personnel est légitime. 
3. Les États membres prévoient dans leur législation que, 
dans les cas visés au paragraphe 1 point b), le responsable 
du fichier informe les personnes concernées de la 
communication des données à caractère personnel. Les 
États membres peuvent prévoir que cette information est 
remplacée par une autorisation préalable de l'autorité de 
contrôle. 
Article 7 
Obligation de notification à l'autorité de contrôle 
1. Les États membres prévoient dans leur législation que 
l'établissement d'un fichier du secteur public dont les 
données à caractère personnel sont susceptibles d'être 
communiquées, doit être préalablement notifié à l'autorité 
de contrôle qui l'inscrit dans un registre. Le registre peut 
être consulté par toute personne. 
2. Les États membres définissent les informations qui 
doivent être notifiées à l'autorité de contrôle. Ces 
informations doivent comprendre au moins le nom et 
l'adresse du responsable du fichier, la finalité du fichier, 
une description des types de données qu'il contient, les tiers 
auxquels les données sont susceptibles d'être communi­
quées et une description des mesures prises en application 
de l'article 18. 
3. Les États membres peuvent prévoir que les dispositions 
des paragraphes 1 et 2 s'appliquent à d'autres fichiers du 
secteur public et que la consultation du registre peut être 
limitée pour les raisons mentionnées à l'article 15 para­
graphe 1. 
5. 11. 90 Journal officiel des Communautés européennes N° C 277/7 
CHAPITRE III 
LÉGITIMITÉ DU TRAITEMENT 
DANS LE SECTEUR PRIVÉ 
Article 8 
Principes 
1. Les États membres prévoient dans leur législation que, 
sans le consentement de la personne concernée, l'enregistre­
ment dans un fichier et tout autre traitement de données à 
caractère personnel ne sont légitimes qu'en accord avec les 
dispositions de cette directive et si : 
a) le traitement se situe dans le cadre d'un contrat, ou 
d'une relation de confiance quasi contractuelle, avec la 
personne concernée et est nécessaire à sa réalisation 
ou 
b) les données proviennent de sources généralement 
accessibles au public et leur traitement est uniquement 
destiné à la correspondance 
ou 
c) le responsable du fichier poursuit un intérêt légitime à 
condition que l'intérêt de la personne concernée ne 
prévale pas; 
2. Les États membres prévoient dans leur législation qu'il 
incombe au responsable du fichier de s'assurer que toute 
communication n'est pas incompatible avec la finalité du 
fichier et qu'elle ne porte pas atteinte à l'ordre public. En 
cas de consultation en ligne, les mêmes obligations 
incombent à l'utilisateur. 
3. Sans préjudice des dispositions visées au paragraphe 1, 
les États membres peuvent préciser les conditions dans 
lesquelles le traitement des données à caractère personnel 
est légitime. 
Article 9 
Obligation d'information de la personne concernée 
1. Les États membres, pour le secteur privé, prévoient 
dans leur législation que, lors de la première communica­
tion ou lors de l'ouverture d'une possibilité de consultation 
en ligne, le responsable en informe la personne concernée et 
indique également la finalité du fichier, les types de données 
qui y figurent et ses nom et adresse. 
2. L'information prévue au paragraphe 1 n'est pas 
obligatoire dans le cas visé à l'article 8 paragraphe 1 
point b). L'obligation d'informer n'existe pas dans les cas 
où la communication est imposée par une loi. 
3. Si la personne concernée oppose une objection à la 
communication ou à tout autre traitement, le responsable 
du fichier est tenu de cesser le traitement contesté, sauf si 
une disposition légale l'y autorise. Article 10 
Exceptions particulières à l'obligation d'informer la 
personne concernée 
Si l'information de la personne concernée visée à l'article 9 
paragraphe 1 se révèle impossible ou implique des efforts 
disproportionnés ou se heurte à des intérêts légitimes 
prédominants du responsable du fichier ou à un intérêt 
similaire d'un tiers, les États membres peuvent prévoir dans 
leur législation que l'autorité de contrôle peut autoriser une 
dérogation. 
Article 11 
Obligation de notification à l'autorité de contrôle 
1. Les États membres prévoient dans leur législation que 
le responsable du fichier notifie l'établissement d'un fichier 
de données à caractère personnel, dès lors que les données 
sont destinées à être communiquées et ne proviennent pas 
de sources généralement accessibles au public. La notifica­
tion doit se faire à l'autorité de contrôle de l'État membre 
où le fichier est localisé ou, en l'absence d'une localisation 
dans un État membre, à l'autorité de contrôle de l'État 
membre où le responsable du fichier réside. Le responsable 
du fichier notifie aux autorités nationales compétentes tout 
changement de finalité du fichier ou de son adresse. 
2. Les États membres définissent les informations qui 
doivent être notifiées à l'autorité de contrôle. Ces 
informations doivent comprendre au moins le nom et 
l'adresse du responsable du fichier, la finalité du fichier, 
une description des types de données qu'il contient, les tiers 
auxquels les données sont susceptibles d'être communi­
quées et une description des mesures prises en application 
de l'article 18. 
3. Les États membres peuvent prévoir que les dispositions 
des paragraphes 1 et 2 s'appliquent à d'autres fichiers du 
secteur privé et que les informations visées au paragraphe 2 
sont accessibles au public. 
CHAPITRE IV 
DROIT DE LA PERSONNE CONCERNÉE 
Article 12 
Le consentement informé 
Tout consentement de la personne concernée à un 
traitement de données à caractère personnel la concernant 
au sens de la présente directive n'est valable que si : 
a) la personne dispose des informations suivantes : 
— les finalités du fichier et les types de données 
enregistrées, 
N° C 277/8 Journal officiel des Communautés européennes 5. 11. 90 
— le type d'utilisation et, le cas échéant, les destinatai­
res des données à caractère personnel contenues dans 
le fichier, 
— le nom et l'adresse du responsable du fichier; 
b) il est spécifique et exprès, et doit préciser les types de 
données, les formes de traitement et les destinataires 
éventuels qu'il couvre; 
c) il peut être retiré par la personne concernée à tout 
moment sans effets rétroactifs. 
Article 13 
L'information lors de la collecte 
1. Les États membres garantissent aux personnes auprès 
desquelles sont collectées des données à caractère personnel 
le droit à être informées au moins sur: 
a) les finalités du fichier auquel les informations sont 
destinées, 
b) le caractère obligatoire ou non de leur réponse aux 
questions qui font l'objet de la collecte, 
c) les conséquences à leur égard d'un défaut de réponse, 
d) les destinataires des informations, 
e) l'existence du droit d'accès et de rectification des 
données les concernant, 
et 
f) le nom et l'adresse du responsable du fichier. 
2. Les dispositions du paragraphe 1 ne s'appliquent pas à 
la collecte des informations dans le cas où l'information de 
la personne concernée empêcherait l'exercice des fonctions 
de contrôle et de vérification d'une autorité publique ou le 
maintien de l'ordre public. 
Article 14 
Droits complémentaires de la personne concernée 
Les États membres reconnaissent à la personne concernée 
les droits suivants: 
1) de s'opposer, pour des raisons légitimes, à ce que des 
données à caractère personnel la concernant fassent 
l'objet d'un traitement; 
2) de ne pas être soumise à une décision administrative ou 
privée impliquant une appréciation de son comporte­
ment qui ait pour seul fondement un traitement 
automatisé de données à caractère personnel donnant 
une définition du profil ou de la personnalité de 
l'intéressé; 3) de connaître l'existence d'un fichier, ses finalités 
principales, ainsi que l'identité et la résidence habituelle, 
le siège ou l'établissement du responsable du fichier; 
4) d'obtenir à des intervalles raisonnables et sans délais ou? 
frais excessifs la confirmation de l'existence ou non, " 
dans un fichier, de données à caractère personnel la 
concernant ainsi que la communication de ces données 
sous une forme intelligible. 
Les États membres peuvent prévoir que le droit d'accès 
aux données à caractère médical ne peut s'exercer que 
par l'intermédiaire d'un médecin ; 
5) d'obtenir, le cas échéant, la rectification de ces données 
ou leur effacement ou leur verrouillage lorsque leur 
traitement n'est pas conforme aux dispositions de la 
présente directive ; 
6) d'obtenir sur demande l'effacement sans frais des 
données la concernant enregistrées dans des fichiers de 
prospection commerciale ou publicitaire; 
7) d'obtenir, en cas d'application du paragraphe 5 du 
présent article, et si les données ont été communiquées à 
des tiers, la notification à ces derniers de la rectification, 
de l'effacement ou du verrouillage; 
8) de disposer d'un recours juridictionnel en cas de 
violation des droits garantis dans le présent article. 
Article 15 
Exceptions au droit d'accès de la personne concernée 
aux fichiers du secteur public 
1. Les États membres peuvent limiter par une loi les droits 
prévus aux points 3 et 4 de l'article 14 pour des motifs 
relatifs à: 
a) la sûreté de l'État; 
b) la défense; 
c) des poursuites pénales ; 
d) la sécurité publique ; 
e) un intérêt économique et financier impératif dûment 
justifié d'un État membre ou de la Communauté; 
f) la nécessité de l'exercice des fonctions de contrôle ou 
d'inspection de l'autorité publique 
ou 
g) un droit équivalent d'une autre personne et des droits et 
libertés d'autrui. 
2. Dans les cas visés au paragraphe 1, l'autorité de 
contrôle doit pouvoir procéder, sur demande de la 
personne concernée, aux vérifications nécessaires du 
fichier. 
5. 11. 90 Journal officiel des Communautés européennes N° C 277/9 
3. Les États membres peuvent limiter le droit d'accès de la 
personne concernée pour les données temporairement 
compilées afin d'en extraire des informations statistiques. 
CHAPITRE V 
QUALITÉ DES DONNÉES 
Article 16 
Principes 
1. Les États membres prévoient que: 
a) la collecte et le traitement de données à caractère 
personnel doivent être effectués loyalement et licite­
ment; 
b) les données doivent être enregistrées pour des finalités 
déterminées explicites et légitimes et utilisées de manière 
compatible avec ces finalités; 
c) les données doivent être adéquates, pertinentes et non 
excessives par rapport aux finalités pour lesquelles elles 
sont enregistrées; 
d) les données doivent être exactes et, si nécessaire, mises à 
jour ; les données inexactes ou incomplètes doivent être 
effacées ou rectifiées; 
e) les données ne doivent être conservées sous une forme 
permettant l'identification des personnes concernées 
que pendant une durée n'excédant pas celle nécessaire 
aux finalités pour lesquelles elles ont été enregistrées. 
2. Il incombe au responsable du fichier d'assurer le 
respect des dispositions prévues au paragraphe 1. 
Article 17 
Catégories particulières de données 
1. Les États membres interdisent le traitement automati­
sé, sauf accord libre, exprès et écrit de la personne 
concernée, des données révélant l'origine raciale et 
ethnique, l'opinion politique, les convictions religieuses ou 
philosophiques, les appartenances syndicales ainsi que les 
informations relatives à la santé et à la vie sexuelle. 
2. Les États membres peuvent prévoir, pour des motifs 
d'intérêt public importants, des dérogations aux disposi­
tions du paragraphe 1 sur la base d'une loi précisant les 
types de données enregistrables, les personnes ayant accès 
au fichier ainsi que les garanties appropriées contre les 
utilisations abusives et les accès non autorisés. 
3. Les données concernant des condamnations pénales ne 
peuvent être conservées que dans des fichiers relevant du 
secteur public. Article 18 
Sécurité des données 
1. Les États membres prévoient dans leur législation que 
le responsable du fichier est obligé de prendre les mesures 
techniques et d'organisation appropriées, nécessaires à la 
protection du fichier contre la destruction accidentelle ou 
non autorisée, la perte accidentelle, ainsi que contre 
l'altération ou l'accès et tout autre traitement non autorisé 
de données à caractère personnel. 
Ces mesures doivent assurer pour les fichiers automatisés 
un niveau de sécurité approprié compte tenu, d'une part, de 
l'état de l'art en la matière et du coût de leur mise en œuvre, 
et, d'autre part, de la nature des données à protéger et de 
l'évaluation des risques potentiels. À cette fin, le responsa­
ble du fichier doit prendre en considération les recomman­
dations en matière de sécurité informatique et d'interopéra­
bilité des réseaux élaborées par la Commission selon les 
modalités prévues à l'article 29. 
2. Des méthodes garantissant une sécurité adéquate 
doivent être choisies pour la transmission de données 
personnelles dans un réseau. 
3. En cas de consultation en ligne, les installations 
techniques et le logiciel doivent être conçus de manière que 
la consultation se fasse dans les limites de l'autorisation 
accordée par le responsable du fichier. 
4. Les obligations visées aux paragraphes 1 à 3 incom­
bent également aux personnes qui, de fait ou par contrat, 
ont le contrôle sur les opérations relatives à un fichier. 
5. Toute personne qui, dans le cadre de ses activités 
professionnelles, accède à des informations contenues dans 
des fichiers ne doit pas les communiquer à des tiers sans 
l'accord du responsable du fichier. 
CHAPITRE VI 
DISPOSITIONS SPÉCIFIQUES POUR CERTAINS SECTEURS 
Article 19 
Les États membres peuvent prévoir pour les organismes de 
presse et de l'audiovisuel des dérogations aux dispositions 
de la présente directive, dans la mesure où elles sont 
nécessaires pour concilier le droit à la vie privée avec les 
règles régissant la liberté d'information et de la presse. 
Article 20 
Les États membres encouragent les milieux professionnels à 
participer à l'élaboration de codes de déontologie ou de 
N° C 277/10 Journal officiel des Communautés européennes 5. 11. 90 
bonne conduite européens pour certains secteurs sur la base 
des principes contenus dans la présente directive. 
CHAPITRE VII 
RESPONSABILITÉ ET SANCTIONS 
Article 21 
Responsabilité 
1. Les États membres prévoient dans leur législation que 
toute personne dont les données à caractère personnel sont 
enregistrées dans un fichier et qui subit un dommage du fait 
du traitement ou de toute action incompatible avec les 
dispositions de la présente directive a le droit de demander 
au responsable du fichier des dommages et intérêts. 
2. Les États membres peuvent prévoir que les dommages 
résultant d'une perte ou d'une destruction de données ou 
d'un accès non autorisé ne sont pas imputables au 
responsable du fichier, s'il prouve qu'il a pris les mesures 
appropriées pour respecter les exigences énumérées aux 
articles 18 et 22. 
Article 22 
Traitement pour le compte du responsable du fichier 
1. Les États membres prévoient dans leur législation que 
le responsable du fichier doit, en cas de traitement pour son 
compte, s'assurer du respect des mesures nécessaires de 
sécurité et d'organisation et choisir une personne ou une 
entreprise qui apporte des garanties suffisantes à cet égard. 
2. Toute personne qui collecte ou qui traite des données à 
caractère personnel pour le compte du responsable du 
fichier doit respecter les obligations prévues aux articles 16 
et 18. 
3. Le contrat doit être écrit et spécifier, en particulier, que 
les données à caractère personnel ne peuvent être 
divulguées par le prestataire ou ses employés qu'avec 
l'accord du responsable du fichier. 
Article 23 
Sanctions 
Chaque État membre prévoit dans sa législation l'applica­
tion de sanctions dissuasives afin d'assurer le respect des 
dispositions prises en application de la présente directive. CHAPITRE VIII 
TRANSFERT DE DONNÉES À CARACTÈRE PERSONNEL 
VERS DES PAYS TIERS 
Article 24 
Principes 
1. Les États membres prévoient dans leur législation que 
le transfert temporaire ou définitif, vers un pays tiers, de 
données à caractère personnel faisant l'objet d'un traite­
ment ou rassemblées dans le but de les soumettre à un tel 
traitement ne peut avoir lieu que si ce pays assure un niveau 
de protection adéquat. 
2. Les États membres avisent la Commission des cas dans 
lesquels un pays tiers importateur n'assure pas un niveau de 
protection adéquat. 
3. Lorsque la Commission constate soit sur la base des 
informations des États membres, soit sur la base d'autres 
informations, qu'un pays tiers ne dispose pas d'un niveau 
de protection adéquat et que la situation en résultant est 
préjudiciable aux intérêts de la Communauté ou d'un État 
membre, elle peut engager des négociations en vue de 
remédier à cette situation. 
4. La Commission peut décider, selon la procédure 
définie à l'article 30 paragraphe 2, qu'un pays tiers assure 
un niveau de protection adéquat en raison des engagements 
internationaux souscrits par celui-ci ou de sa législation 
interne. 
5. Les mesures prises au titre du présent article sont 
conformes aux obligations qui incombent à la Communau­
té en vertu d'accords internationaux tant bilatéraux que 
multilatéraux qui régissent la protection des personnes à 
l'égard du traitement automatisé des données à caractère 
personnel. 
Article 25 
Dérogation 
1. Un État membre peut déroger aux dispositions de 
l'article 24 paragraphe 1, pour un transfert vers un pays 
tiers donné, sur présentation par le responsable du fichier 
de justifications suffisantes pour garantir le respect d'un 
niveau de protection adéquat. L'État membre ne peut 
accorder une dérogation qu'après en avoir informé la 
Commission et les États membres et en l'absence de 
notification d'opposition exprimée par un État membre ou 
la Commission dans un délai de dix jours. 
2. En cas de notification d'opposition, la Commission 
arrête les mesures appropriées selon la procédure définie à 
l'article 30 paragraphe 2. 
5. 11. 90 Journal officiel des Communautés européennes N° C 277/11 
CHAPITRE IX 
AUTORITÉS DE CONTRÔLE ET GROUPE DE 
PROTECTION DES DONNÉES À CARACTÈRE 
PERSONNEL 
Article 26 
L'autorité de contrôle 
1. Les États membres assurent qu'une autorité indépen­
dante compétente contrôle la protection des données à 
caractère personnel. Cette autorité est chargée de surveiller 
l'application des dispositions nationales prises en applica­
tion de la présente directive et d'exercer toutes les fonctions 
qui lui sont attribuées par la présente directive. 
2. Cette autorité dispose de moyens d'investigation et de 
pouvoirs effectifs d'intervention contre la constitution et 
l'exploitation de fichiers que ne seraient pas conformes aux 
dispositions de la présente directive. À cette fin, elle 
dispose, notamment, du droit d'accès aux fichiers couverts 
par la présente directive et doit pouvoir recueillir toutes les 
informations nécessaires à l'accomplissement de sa mission 
de contrôle. 
3. Cette autorité peut être saisie par toute personne de 
plaintes ou de réclamations relatives à la protection des 
personnes à l'égard des données à caractère personnel. 
Article 27 
Groupe de protection des données à caractère personnel 
1. Il est institué un groupe de protection des données à 
caractère personnel. Ce groupe à caractère consultatif et 
indépendant est composé de représentants de l'autorité de 
contrôle, prévue à l'article 26, de tous les États membres et 
est présidé par un représentant de la Commission. 
2. Le secrétariat du groupe de protection des données à 
caractère personnel est assuré par les services de la 
Commission. 
3. Le groupe de protection des données à caractère 
personnel établit son règlement intérieur. 
4. Le groupe de protection des données à caractère 
personnel examine les questions mises à l'ordre du jour par 
son président soit à l'initiative de celui-ci, soit à la demande 
motivée d'un représentant des autorités de contrôle, et 
portant sur l'application des dispositions de droit commu­
nautaire en matière de protection des données à caractère 
personnel. 
Article 28 
Missions du groupe de protection des données à 
caractère personnel 
1. Le groupe de protection des données à caractère 
personnel a pour mission: a) de contribuer à l'application homogène des règles 
nationales prises en application de la présente directive ; 
b) de donner un avis sur le niveau de protection dans la 
Communauté et dans les pays tiers ; 
c) de conseiller la Commission sur des projets de mesures 
additionnelles ou spécifiques à prendre pour sauvegar­
der la protection de la vie privée. 
2. Si le groupe de protection des données à caractère 
personnel constate que de sérieuses divergences s'établis­
sent entre la législation ou la pratique des États membres en 
matière de protection des données à caractère personnel, 
divergences qui risquent de porter atteinte à l'équivalence 
de la protection dans la Communauté, il en informe la 
Commission. 
3. Le groupe de protection des données à caractère 
personnel peut émettre des recommandations sur toutes 
questions concernant la protection des personnes à l'égard 
des données à caractère personnel dans la Communauté. 
Les recommandations sont inscrites au procès-verbal et 
peuvent être transmises au comité consultatif visé à 
l'article 30. La Commission informe le groupe de protec­
tion des données à caractère personnel des suites qu'elle a 
données aux recommandations. 
4. Le groupe de protection des données à caractère 
personnel établit un rapport annuel sur l'état de la 
protection des personnes à l'égard du traitement des 
données à caractère personnel dans la Communauté et dans 
les pays tiers, qu'il communique à la Commission. 
CHAPITRE X 
POUVOIR RÉGLEMENTAIRE DE LA COMMISSION 
Article 29 
Exercice du pouvoir réglementaire 
La Commission arrête, selon la procédure prévue à 
l'article 30 paragraphe 2, les modalités techniques néces­
saires pour appliquer la présente directive aux spécificités 
de certains secteurs compte tenu de l'état de l'art en la 
matière et des codes de bonne conduite. 
Article 30 
Comité consultatif 
1. La Commission est assistée par un comité consultatif 
composé des représentants des États membres et présidé 
par le représentant de la Commission. 
2. Le représentant de la Commission soumet au comité 
un projet de mesures à prendre. Le comité émet son avis sur 
ce projet, dans un délai que le président peut fixer en 
N° C 277/12 Journal officiel des Communautés européennes 5. 11. 90 
fonction de l'urgence de la question en cause, le cas échéant 
en procédant à un vote. L'avis est inscrit au procès-verbal ; 
en outre, chaque État membre a le droit de demander que sa 
position figure à ce procès-verbal. La Commission tient le 
plus grand compte de l'avis émis par le comité. Elle informe 
le comité de la façon dont elle a tenu compte de cet avis. 
DISPOSITIONS FINALES 
Article 31 
1. Les États membres mettent en vigueur les dispositions 
législatives, réglementaires et administratives nécessaires 
pour se conformer à la présente directive au plus tard le 
1er janvier 1993. 
Les dispositions adoptées en vertu du premier alinéa se 
réfèrent explicitement à la présente directive. 
LE CONSEIL DES COMMUNAUTÉS EUROPÉENNES, 
vu le traité instituant la Communauté économique 
européenne, et en particulier son article 100 a, 
vu la proposition de la Commission, 
en coopération avec le Parlement européen, 
vu l'avis du Comité économique et social, 
(1) considérant que la directive ... du Conseil relative à la 
protection des personnes à l'égard du traitement des 
données à caractère personnel préconise que les États 
membres assurent la protection de la vie privée des 
personnes ; 
(2) considérant que, à l'heure actuelle, apparaissent dans 
la Communauté européenne de nouveaux réseaux 
téléphoniques numériques publics de technologie 
avancée qui provoquent l'émergence d'exigences 
spécifiques concernant la protection des données à 
caractère personnel et de la vie privée des usagers ; 
(3) considérant que cette évolution concerne en particu­
lier l'introduction des réseaux numériques à intégra­
tion de services (RNIS) et des réseaux mobiles 
numériques publics ; 
(4) considérant que le Conseil des ministres a, dans sa 
résolution du 30 juin 1988 sur le développement du 2. Les États membres communiquent à la Commission le 
texte des dispositions de droit interne qu'ils adoptent dans 
le domaine régi par la présente directive. 
Article 32 
La Commission fait périodiquement un rapport au Conseil 
et au Parlement européen sur l'application de la présente 
directive et l'assortit, le cas échéant, des propositions de 
modification appropriées. 
Article 33 
Les États membres sont destinataires de la présente 
directive. 
marché commun des services et équipements des 
télécommunications pour 1992 (*), préconisé que des 
mesures soient prises pour protéger les données à 
caractère personnel afin de créer un environnement 
adéquat pour le développement futur des télécommu­
nications dans la Communauté; que le Conseil a 
souligné à nouveau l'importance que revêt la protec­
tion des données à caractère personnel et de la vie 
privée dans sa résolution du 18 juillet 1989 concernant 
le renforcement de la coordination pour l'introduction 
des réseaux numériques à intégration de services 
(RNIS) dans la Communauté européenne (2) ; 
(5) considérant que le Parlement européen a souligné 
l'importance que revêt la protection des données à 
caractère personnel et de la vie privée dans les réseaux 
de télécommunication, eu égard en particulier à 
l'introduction des réseaux numériques à intégration de 
services (RNIS) (3) (4) (5) ; 
(6) considérant que la recommandation 81/679/CEE du 
Conseil préconise l'adoption et la ratification, par les 
(!) JO n° C 257 du 4. 10. 1988, p. 1. 
(2) JO n° C 196 du 1. 8. 1989, p. 4. 
(3) JO n° C 7 du 12. 1. 1987, p. 334. 
(4) JO n° C 12 du 16. 1. 1989, p. 69. 
(5) JO n° C 12 du 16. 1. 1989, p. 66. Proposition de directive du Conseil concernant la protection des données à caractère personnel et 
de la vie privée dans le cadre des réseaux numériques publics de télécommunications, en particulier 
des réseaux numériques à intégration de services (RNIS) et des réseaux mobiles numériques publics 
COM(90) 314 final — SYN 288 
(Présentée par la Commission le 27 juillet 1990) 
(90/C 277/04)