P7_TA(2014)0212

Protection des personnes physiques à l'égard du traitement des données à caractère personnel ***I

Résolution législative du Parlement européen du 12 mars 2014 sur la proposition de règlement du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données) (COM(2012)0011 — C7-0025/2012 — 2012/0011(COD))

(Procédure législative ordinaire: première lecture)

(2017/C 378/55)

Le Parlement européen,

vu les avis motivés soumis par la Chambre des représentants belge, le Bundesrat allemand, le Sénat français, la Chambre des députés italienne et le Parlement suédois, dans le cadre du protocole no 2 sur l'application des principes de subsidiarité et de proportionnalité, déclarant que le projet d'acte législatif n'est pas conforme au principe de subsidiarité,

vu le rapport de la commission des libertés civiles, de la justice et des affaires intérieures et les avis de la commission de l'emploi et des affaires sociales, de la commission de l'industrie, de la recherche et de l'énergie, de la commission du marché intérieur et de la protection des consommateurs et de la commission des affaires juridiques (A7-0402/2013),

(1) JO C 229 du 31.7.2012, p. 90.

(2) JO C 192 du 30.6.2012, p. 7.

P7_TC1-COD(2012)0011

Position du Parlement européen arrêtée en première lecture le 12 mars 2014 en vue de l’adoption du règlement (UE) no …/2014 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données)

(Texte présentant de l'intérêt pour l'EEE)

LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16, paragraphe 2, et son article 114, paragraphe 1,

vu la proposition de la Commission européenne,

après transmission du projet d’acte législatif aux parlements nationaux,

vu l’avis du Comité économique et social européen (1),

après consultation du Comité des régions,

vu l’avis du Contrôleur européen de la protection des données (2),

statuant conformément à la procédure législative ordinaire (3),

considérant ce qui suit:

(1) La protection des personnes physiques à l'égard du traitement des données à caractère personnel est un droit fondamental. L’article 8, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne (ci-après dénommée «charte») et l’article 16, paragraphe 1, du traité sur le fonctionnement de l’Union européenne disposent que toute personne a droit à la protection des données à caractère personnel la concernant.

(2) Le traitement des données à caractère personnel est au service de l’homme; les principes et les règles régissant la protection des personnes physiques à l'égard du traitement des données les concernant devraient donc, quelle que soit la nationalité ou la résidence de ces personnes, respecter leurs libertés et leurs droits fondamentaux, notamment le droit à la protection des données à caractère personnel. Le traitement des données devrait contribuer à la réalisation d'un espace de liberté, de sécurité et de justice et d'une union économique, au progrès économique et social, à la consolidation et à la convergence des économies au sein du marché intérieur, ainsi qu'au bien-être des personnes.

(3) La directive 95/46/CE du Parlement européen et du Conseil (4) vise à harmoniser la protection des libertés et des droits fondamentaux des personnes physiques en ce qui concerne les activités de traitement de données et à garantir la libre circulation des données à caractère personnel entre les États membres.

(4) L'intégration économique et sociale résultant du fonctionnement du marché intérieur a conduit à une augmentation substantielle des flux transfrontières. Les échanges de données entre acteurs économiques et sociaux, publics et privés, se sont intensifiés dans l'ensemble de l'Union. Le droit de l'Union appelle les autorités nationales des États membres à coopérer et à échanger des données à caractère personnel, afin d'être en mesure de remplir leurs missions ou d'accomplir des tâches pour le compte d'une autorité d'un autre État membre.

(5) La rapide évolution des technologies et la mondialisation ont créé de nouveaux enjeux pour la protection des données à caractère personnel. La collecte et le partage de données ont connu une augmentation spectaculaire. Les nouvelles technologies permettent tant aux entreprises privées qu’aux pouvoirs publics d’utiliser les données à caractère personnel comme jamais auparavant dans le cadre de leurs activités. De plus en plus de personnes physiques rendent des informations les concernant accessibles à tout un chacun, où qu’il se trouve dans le monde. Les nouvelles technologies ont ainsi transformé l’économie et les rapports sociaux, et elles exigent de faciliter davantage la libre circulation des données au sein de l’Union et leur transfert vers des pays tiers et à des organisations internationales, tout en assurant un niveau élevé de protection des données à caractère personnel.

(6) Cette évolution oblige à mettre en place dans l’Union un cadre de protection des données plus solide et plus cohérent, assorti d'une application rigoureuse des règles, compte tenu de l'importance de susciter la confiance qui permettra à l’économie numérique de se développer dans l'ensemble du marché intérieur. Les personnes physiques devraient maîtriser l'utilisation qui est faite des données à caractère personnel les concernant, et la sécurité tant juridique que pratique devrait être renforcée pour les particuliers, les opérateurs économiques et les autorités publiques.

(7) Si elle demeure satisfaisante en ce qui concerne ses objectifs et ses principes, la directive 95/46/CE n'a pas permis d’éviter une fragmentation de la mise en œuvre de la protection des données à caractère personnel dans l'Union, une insécurité juridique et le sentiment, largement répandu dans le public, que des risques importants subsistent, notamment dans l’environnement en ligne. Si le niveau de protection des droits et libertés des personnes physiques — notamment du droit à la protection des données à caractère personnel — accordé dans les États membres à l’égard du traitement des données à caractère personnel n'est pas identique, cela risque d'entraver la libre circulation de ces données dans toute l'Union. Ces différences peuvent dès lors constituer un obstacle à l'exercice des activités économiques au niveau de l’Union, fausser la concurrence et empêcher les autorités de s'acquitter des obligations qui leur incombent en vertu du droit de l'Union. Ces écarts de niveau de protection résultent de l'existence de divergences dans la transposition et l’application de la directive 95/46/CE.

(8) Afin d'assurer la cohérence et un degré élevé de protection des personnes, et de lever les obstacles à la circulation des données à caractère personnel, le niveau de protection des droits et des libertés des personnes à l'égard du traitement de ces données devrait être équivalent dans tous les États membres. Il convient dès lors d'assurer une application cohérente et homogène des règles de protection des libertés et droits fondamentaux des personnes physiques à l'égard du traitement des données à caractère personnel dans l'ensemble de l'Union.

(9) Une protection effective des données à caractère personnel dans toute l'Union exige non seulement de renforcer et de préciser les droits des personnes concernées, ainsi que les obligations de ceux qui effectuent ou déterminent le traitement des données à caractère personnel, mais aussi de conférer, dans les États membres, des pouvoirs équivalents de surveillance et de contrôle de l'application des règles relatives à la protection des données à caractère personnel, et de prévoir des sanctions équivalentes pour les contrevenants.

(10) L’article 16, paragraphe 2, du traité donne mandat au Parlement européen et au Conseil pour fixer les règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel ainsi que les règles relatives à la libre circulation de ces données.

(11) Afin d'obtenir un niveau uniforme de protection des personnes physiques dans toute l'Union, et d'éviter que des divergences n'entravent la libre circulation des données au sein du marché intérieur, un règlement est nécessaire pour garantir la sécurité juridique et la transparence aux opérateurs économiques, notamment les micro, petites et moyennes entreprises, pour assurer aux personnes de tous les États membres un même niveau de droits opposables, et des obligations et responsabilités égales pour les responsables du traitement des données et les sous-traitants, de même que pour assurer une surveillance cohérente du traitement des données à caractère personnel, des sanctions équivalentes dans tous les États membres et une coopération efficace entre les autorités de contrôle des différents États membres. Pour tenir compte de la situation particulière des micro, petites et moyennes entreprises, le présent règlement comporte un certain nombre de dérogations. Les institutions et organes de l'Union, les États membres et leurs autorités de contrôle sont, en outre, encouragés à prendre en considération les besoins spécifiques des micro, petites et moyennes entreprises dans le cadre l'application du présent règlement. Pour définir la notion de micro, petites et moyennes entreprises, il convient de s'inspirer de la recommandation 2003/361/CE de la Commission (5).

(12) La protection conférée par le présent règlement concerne les personnes physiques, indépendamment de leur nationalité ou de leur lieu de résidence, dans le cadre du traitement des données à caractère personnel. En ce qui concerne le traitement de données relatives à des personnes morales, et en particulier des entreprises dotées de la personnalité juridique, notamment le nom, la forme juridique et les coordonnées de la personne morale, la protection conférée par le présent règlement ne devrait pas pouvoir être invoquée. Cela devrait être également le cas lorsque le nom de la personne morale contient le nom d’une ou plusieurs personnes physiques.

(13) La protection des personnes devrait être neutre sur le plan technologique et ne pas dépendre des techniques utilisées, sous peine de créer de graves risques de contournement. Elle devrait s'appliquer aux traitements de données à caractère personnel automatisés ainsi qu'aux traitements manuels si les données sont contenues ou destinées à être contenues dans un fichier. Les dossiers ou ensembles de dossiers, de même que leurs couvertures, qui ne sont pas structurés selon des critères déterminés, ne devraient pas relever du champ d'application du présent règlement.

(14) Le présent règlement ne traite pas des questions de protection des libertés et droits fondamentaux ou de libre circulation des données relatives à des activités n'entrant pas dans le champ d'application du droit de l'Union. ; il ne couvre pas non plus le traitement des données à caractère personnel par les institutions, organes et organismes de l'Union, qui relève du Le règlement (CE) no 45/2001 du Parlement européen et du Conseil (6) ni celui qui est fait par les États membres dans le contexte de leurs activités ayant trait à la politique étrangère et de sécurité commune de l'Union devrait être mis en conformité avec le présent règlement et appliqué conformément à celui-ci . [Am. 1]

(15) Le présent règlement ne devrait pas s'appliquer aux traitements de données à caractère personnel effectués par une personne physique, par exemple un échange de correspondance ou la tenue d'un carnet d'adresses ou une vente privée , qui sont exclusivement personnels , familiaux ou domestiques et sans but lucratif, donc sans lien aucun avec une activité professionnelle ou commerciale. Elle ne Toutefois, le présent règlement devrait pas valoir non plus pour les s'appliquer aux responsables du traitement de données ou et à leurs sous-traitants qui fournissent les moyens de traiter des données à caractère personnel pour de telles activités personnelles ou domestiques. [Am. 2]

(16) La protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et la libre circulation de ces données font l’objet d’un instrument juridique spécifique au niveau de l'Union. Le présent règlement ne devrait donc pas s'appliquer aux activités de traitement effectuées à ces fins. Toutefois, le traitement de données à ces fins par des autorités publiques devrait être régi par cet instrument juridique plus spécifique au niveau de l'Union (à savoir la directive 2014/…/UE du Parlement européen et du Conseil relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et la libre circulation de ces données).

(17) Le présent règlement devrait s'appliquer sans préjudice de la directive 2000/31/CE du Parlement européen et du Conseil (7), et notamment de ses articles 12 et 15 relatifs à la responsabilité des prestataires intermédiaires.

(18) Le présent règlement permet de prendre en compte, dans la mise en œuvre de ses dispositions, le principe du droit d'accès du public aux documents officiels. Des données à caractère personnel contenues dans des documents en possession d'une autorité publique ou d'un organisme public peuvent être communiquées par ladite autorité ou ledit organisme conformément au droit de l’Union ou au droit de l'État membre en matière d'accès du public aux documents officiels, lequel concilie le droit à la protection des données et le droit d'accès du public aux documents officiels, et atteint un juste équilibre entre les différents intérêts en jeu. [Am. 3]

(19) Tout traitement de données à caractère personnel intervenant dans le cadre des activités d'un établissement d'un responsable du traitement ou sous-traitant situé sur le territoire de l'Union devrait être effectué conformément au présent règlement, que le traitement lui-même se déroule à l'intérieur de l'Union ou non. L'établissement suppose l'exercice effectif et réel d'une activité au moyen d'une installation stable. La forme juridique retenue pour un tel établissement, qu'il s'agisse d'une succursale ou d'une filiale ayant la personnalité juridique, n'est pas déterminante à cet égard.

(20) Afin d'éviter qu'une personne soit exclue de la protection qui lui est garantie en vertu du présent règlement, le traitement de données à caractère personnel concernant des personnes résidant dans l'Union, par un responsable du traitement qui n'est pas établi dans l'Union, devrait être soumis au présent règlement lorsque les activités de traitement sont liées à l'offre de biens ou de services , qu'un paiement soit exigé ou non, à ces personnes concernées, ou à l' au suivi de ces personnes de leur comportement. Afin de déterminer si un tel responsable du traitement offre des biens ou des services à des personnes concernées dans l'Union, il y aurait lieu d'examiner s'il apparaît que le responsable du traitement envisage d'offrir des services à des personnes concernées dans un ou plusieurs États membres de l'Union. [Am. 4]

(21) Afin de déterminer si une activité de traitement peut être considérée comme «observant le comportement» les personnes concernées, il y a lieu d'établir si les personnes physiques sont suivies sur l'internet au moyen de , quelles que soient les origines des données, ou si d'autres données les concernant sont recueillies, y compris à partir de registres et d'annonces publics dans l' Union qui sont accessibles en dehors de l'Union, notamment dans l'intention d'utiliser ou en vue du recours ultérieur éventuel à des techniques de traitement de données consistant à appliquer un «profil»à un individu, afin notamment de prendre des décisions le concernant ou d'analyser ou de prévoir ses préférences, son comportement et sa disposition d'esprit. [Am. 5]

(22) Lorsque le droit national d’un État membre s’applique en vertu du droit international public, le présent règlement devrait s'appliquer également à un responsable du traitement de données qui n’est pas établi dans l’Union mais, par exemple, dans une mission diplomatique ou un poste consulaire d'un État membre.

(23) Il y a lieu d'appliquer les principes de protection des données à toute information concernant une personne physique identifiée ou identifiable. Pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens raisonnablement susceptibles d'être raisonnablement mis en œuvre, soit par le responsable du traitement, soit par une autre personne, pour identifier ou isoler directement ou indirectement ladite personne. Il n'y a pas lieu Pour établir si des moyens sont raisonnablement susceptibles d'appliquer être mis en œuvre afin d'identifier une personne physique, il convient de considérer l'ensemble des facteurs objectifs, tels que le coût de l'identification et le temps nécessaire à celle-ci, en tenant compte à la fois des technologies disponibles au moment du traitement et de l'évolution de celles-ci. Les principes de la protection des données ne devraient donc pas s'appliquer aux données anonymes, qui ont été rendues suffisamment anonymes pour que la sont des informations qui ne concernent pas une personne physique concernée ne soit plus identifiée ou identifiable. Le présent règlement ne s'applique par conséquent pas au traitement de ces données anonymes, y compris à des fins statistiques et de recherche. [Am. 6]

(24) Lorsqu'elles utilisent des services en ligne, les personnes physiques se voient associer Le présent règlement devrait être applicable aux traitements impliquant des identifiants fournis en ligne tels que des adresses IP ou des témoins de connexion («cookies») par des appareils, applications, outils et protocoles utilisés. Ces , tels que des adresses IP, des témoins de connexion («cookies») et des étiquettes d'identification par radiofréquence, à moins que ces identifiants peuvent laisser des traces qui, combinées aux identifiants uniques et à d’autres informations reçues par les serveurs, peuvent servir à créer des profils et à identifier les personnes. Il en découle que des numéros d’identification, des données de localisation, des identifiants en ligne ou d’autres éléments spécifiques ne doivent pas nécessairement être considérés, en soi, comme des données à caractère personnel dans tous les cas de figure. ne concernent pas une personne physique identifiée ou identifiable. [Am. 7]

(25) Le consentement devrait être donné de manière explicite, selon toute modalité appropriée permettant une manifestation de volonté libre, spécifique et informée, consistant soit en une déclaration soit en un acte non équivoque qui résulte du choix de la personne concernée, garantissant qu'elle consent bien en toute connaissance de cause au traitement des données à caractère personnel, par exemple en cochant. Un acte non équivoque de la personne concernée pourrait consister à cocher une case lorsqu'elle consulte un site internet ou par le biais de en toute déclaration ou tout comportement indiquant clairement dans ce contexte qu'elle accepte le traitement proposé de ses données à caractère personnel. Il ne saurait dès lors y avoir de consentement tacite , donné par la simple utilisation d'un service, ou passif. Le consentement donné devrait valoir pour toutes les activités de traitement effectuées ayant la ou les mêmes finalités. Si le consentement de la personne concernée est donné à la suite d'une demande par voie électronique, cette demande doit être claire, concise et ne doit pas inutilement perturber l'utilisation du service pour lequel il est accordé. [Am. 8]

(26) Les données à caractère personnel concernant la santé devraient comprendre, en particulier, l'ensemble des données se rapportant à l'état de santé d'une personne concernée; les informations relatives à l'enregistrement du patient pour la prestation de services de santé; les informations relatives aux paiements ou à l'éligibilité du patient à des soins de santé; un numéro ou un symbole attribué à un patient, ou des informations détaillées le concernant, destinés à l'identifier de manière univoque à des fins médicales; toute information relative au patient recueillie dans le cadre de la prestation de services de santé audit patient; des informations obtenues lors d'un contrôle ou de l'examen d'un organe ou d'une substance corporelle, y compris des échantillons biologiques; l'identification d'une personne en tant que prestataire de soins de santé au patient; ou toute information concernant, par exemple, une maladie, un handicap, un risque de maladie, un dossier médical, un traitement clinique ou l'état physiologique ou biomédical de la personne concernée, indépendamment de sa source, qu'elle provienne par exemple d'un médecin ou d'un autre professionnel de la santé, d'un hôpital, d'un dispositif médical ou d'une épreuve diagnostique in vitro.

(27) Le principal établissement d'un responsable du traitement devrait être déterminé en fonction de critères objectifs et devrait supposer l’exercice effectif et réel d’activités de gestion déterminant les décisions principales quant aux finalités, aux conditions et aux modalités du traitement dans le cadre d'une installation stable. Ce critère ne devrait pas dépendre du fait que le traitement ait effectivement lieu à cet endroit; la présence et l'utilisation de moyens techniques et de technologies permettant le traitement de données à caractère personnel ou la réalisation d'activités de ce type ne constituent pas en soi l'établissement principal ni, dès lors, un critère déterminant à cet égard. On entend par «établissement principal du sous-traitant» le lieu de son administration centrale dans l'Union.

(28) Un groupe d’entreprises devrait consister en une entreprise qui exerce le contrôle et des entreprises contrôlées, la première devant être celle qui peut exercer une influence dominante sur les autres du fait, par exemple, de la détention du capital, d'une participation financière ou des règles qui la régissent, ou du pouvoir de faire appliquer les règles relatives à la protection des données à caractère personnel.

(29) Les données à caractère personnel relatives aux enfants nécessitent une protection spécifique parce que ceux-ci peuvent être moins conscients des risques, des conséquences, des garanties et de leurs droits en matière de traitement des données à caractère personnel. Afin de déterminer jusqu'à quel âge une personne est un enfant, le règlement devrait reprendre la définition retenue par la convention des Nations unies relative aux droits de l'enfant. Lorsque le traitement des données repose sur le consentement de la personne concernée s'agissant de l'offre directe de biens ou de services aux enfants, le consentement devrait être donné ou autorisé par un parent de l'enfant ou par un représentant légal lorsque l'enfant a moins de 13 ans. Lorsque le public visé est constitué d'enfants, il convient d'utiliser des termes adaptés à leur âge. D'autres fondements donnant lieu à un traitement licite, tels que l'intérêt public, devraient demeurer applicables, par exemple pour le traitement dans le contexte de services de prévention ou de conseil fournis directement à un enfant. [Am. 9]

(30) Tout traitement de données à caractère personnel devrait être licite, loyal et transparent à l'égard des personnes concernées. En particulier, les finalités spécifiques du traitement devraient être explicites et légitimes, et déterminées lors de la collecte des données. Les données devraient être adéquates, pertinentes et limitées au minimum nécessaire aux finalités pour lesquelles elles sont traitées, ce qui exige notamment de veiller à ce que les données collectées ne soient pas excessives et à ce que leur durée de conservation soit limitée au strict minimum. Les données à caractère personnel ne devraient être traitées que si la finalité du traitement ne peut être atteinte par d'autres moyens. Il y a lieu de prendre toutes les mesures raisonnables afin que les données à caractère personnel qui sont inexactes soient rectifiées ou effacées. Afin de garantir que les données ne sont pas conservées plus longtemps que nécessaire, des délais devraient être fixés par le responsable du traitement en vue de leur effacement ou d'une révision périodique.

(31) Pour être licite, le traitement devrait être fondé sur le consentement de la personne concernée ou sur tout autre fondement légitime prévu par la législation, soit dans le présent règlement soit dans un autre acte législatif de l'Union ou d'un État membre, ainsi que le prévoit le présent règlement. Dans le cas d'un enfant ou d'une personne n'ayant pas la capacité juridique, le droit pertinent de l'Union ou d'un État membre devrait déterminer les conditions dans lesquelles le consentement est donné ou autorisé par cette personne. [Am. 10]

(32) Lorsque le traitement est fondé sur le consentement de la personne concernée, c'est au responsable du traitement que devrait incomber la charge de prouver que ladite personne a bien consenti au traitement. En particulier, dans le contexte d’une déclaration écrite relative à une autre question, des garanties devraient faire en sorte que la personne concernée donne son consentement en toute connaissance de cause. Afin de respecter le principe de la réduction au minimum des données, la charge de la preuve ne devrait pas être entendue comme exigeant l'identification formelle des personnes concernées, sauf en cas de nécessité. À l'image des termes de droit civil (voir par exemple la directive 93/13/CEE du Conseil (8) ), les politiques en matière de protection des données devraient être aussi claires et transparentes que possible. Elles ne devraient pas comporter de clauses cachées ou désavantageuses. Le consentement ne peut être donné pour le traitement de données à caractère personnel concernant des tiers. [Am. 11]

(33) Pour garantir que le consentement soit libre, il y aurait lieu de préciser qu'il ne constitue pas un fondement juridique valable si la personne ne dispose pas d'une véritable liberté de choix et n'est, dès lors, pas en mesure de refuser ou de se rétracter sans subir de préjudice. Tel est particulièrement le cas lorsque le responsable du traitement est une autorité publique qui peut, en vertu de ses prérogatives de puissance publique, imposer une obligation et que le consentement ne peut être réputé librement consenti. L'utilisation d'options par défaut que la personne concernée doit modifier pour marquer son opposition au traitement, comme les cases pré-cochées, n'est pas l'expression d'un libre consentement. Le consentement au traitement de données à caractère personnel complémentaires qui ne sont pas nécessaires pour la fourniture d'un service ne devrait pas être requis pour l'utilisation de ce service. Le retrait du consentement peut permettre la cessation ou l'inexécution du service qui dépend des données. Lorsque la réalisation de la finalité prévue ne peut pas être clairement déterminée, le responsable du traitement devrait, à intervalles réguliers, fournir à la personne concernée des informations sur le traitement et lui demander de réaffirmer son consentement. [Am. 12]

(34) Le consentement ne devrait pas constituer un fondement juridique valable pour le traitement de données à caractère personnel lorsqu'il existe un déséquilibre manifeste entre la personne concernée et le responsable du traitement, surtout lorsque la première se trouve dans une situation de dépendance par rapport au second, notamment lorsque les données à caractère personnel concernent le salarié et sont traitées par son employeur dans le cadre de leur relation de travail. Lorsque le responsable du traitement est une autorité publique, il n’y a déséquilibre que dans le cas d’opérations de traitement spécifiques dans le cadre desquelles l’autorité publique peut, en vertu de ses prérogatives de puissance publique, imposer une obligation. Dans ce cas, le consentement ne saurait être réputé librement consenti, compte tenu de l’intérêt de la personne concernée. [Am. 13]

(35) Le traitement devrait être licite lorsqu'il est nécessaire dans le cadre d'un contrat ou de la conclusion envisagée d'un contrat.

(36) Lorsque le traitement est réalisé conformément à une obligation légale à laquelle est soumis le responsable du traitement, ou lorsque le traitement est nécessaire à l'exécution d'une mission d'intérêt général ou relevant de l'exercice de l'autorité publique, le traitement devrait avoir son fondement juridique dans le droit de l’Union ou dans le droit d’un État membre respectant les conditions imposées par la charte pour toute limitation des droits et des libertés. Cela devrait également inclure les conventions collectives qui pourraient être reconnues en droit national comme étant d'applicabilité générale. Il appartient également au droit de l'Union ou au droit national de déterminer si le responsable du traitement investi d'une mission d'intérêt général ou relevant de l'exercice de l'autorité publique doit être une administration publique ou une autre personne physique ou morale de droit public, ou de droit privé telle qu'une association professionnelle. [Am. 14]

(37) Le traitement de données à caractère personnel devrait être également considéré comme licite lorsqu'il est nécessaire pour protéger un intérêt essentiel à la vie de la personne concernée.

(38) Les intérêts légitimes du responsable du traitement ou, en cas de divulgation, du tiers à qui les données sont divulguées, peuvent constituer un fondement juridique au traitement, à moins à condition qu'ils répondent aux attentes raisonnables de la personne concernée fondées sur sa relation avec le responsable du traitement et que ne priment pas les intérêts ou les libertés et droits fondamentaux de la personne concernée. Ce point mérite un examen attentif, surtout lorsque la personne concernée est un enfant, cette catégorie de personnes nécessitant en effet une protection spécifique. La À moins que ne priment les intérêts ou les libertés et droits fondamentaux de la personne concernée , le traitement se limitant aux données pseudonymes est présumé répondre aux attentes raisonnables de la personne concernée fondées sur sa relation avec le responsable du traitement. La personne concernée devrait pouvoir s'opposer au traitement des données la concernant, pour des raisons tenant à sa situation personnelle, et gratuitement. Afin d'assurer la transparence, le responsable du traitement devrait être tenu d'informer expressément la personne concernée des intérêts légitimes poursuivis, et de justifier ces derniers, ainsi que du droit de la personne de s'opposer au traitement. Les intérêts et droits fondamentaux de la personne concernée pourraient en particulier l'emporter sur l'intérêt du responsable du traitement lorsque des données à caractère personnel sont traitées dans des circonstances où les personnes concernées ne peuvent raisonnablement s'attendre à un traitement ultérieur. Étant donné qu'il appartient au législateur de fournir la base juridique autorisant les autorités publiques à traiter des données, ce motif ne devrait pas valoir pour les traitements effectués par ces autorités dans l'accomplissement de leur mission. [Am. 15]

(39) Le traitement des données relatives au trafic, dans la mesure strictement nécessaire et proportionnée à la finalité de garantir la sécurité du réseau et des informations, c’est-à-dire la capacité d’un réseau ou d’un système d’information de résister, à un niveau de confiance donné, à des événements accidentels ou à des actions illégales ou malveillantes qui compromettent la disponibilité, l'authenticité, l’intégrité et la confidentialité de données stockées ou transmises, ainsi que la sécurité des services connexes offerts ou rendus accessibles via ces réseaux et systèmes, par les pouvoirs publics, des équipes d'intervention en cas d'urgence informatique (CERT), des équipes de réaction aux incidents touchant la sécurité informatique (CSIRT), des fournisseurs de réseaux ou de services de communications électroniques, par des fournisseurs de technologies et services de sécurité, constitue un intérêt légitime du responsable des données. Il pourrait s'agir, par exemple, d’empêcher l’accès non autorisé à des réseaux de communications électroniques et la distribution de codes malveillants, et de faire cesser des attaques par «déni de service» et des dommages touchant les systèmes de communications informatiques et électroniques. Ce principe s'applique également au traitement de données à caractère personnel en vue de restreindre l'accès et le recours abusifs à des réseaux ou à des systèmes d'information accessibles au public, comme l'inscription sur une liste noire d’identifiants électroniques. [Am. 16]

(39 bis) À moins que ne priment les intérêts ou les libertés et droits fondamentaux de la personne concernée, la prévention ou la limitation des préjudices pour le responsable du traitement devrait être présumée répondre à l'intérêt légitime du responsable du traitement ou, en cas de divulgation, du tiers à qui les données sont divulguées, et répondre aux attentes raisonnables de la personne concernée fondées sur sa relation avec le responsable du traitement. Le même principe s'applique à l'exercice des droits en justice contre une personne concernée, notamment en cas de recouvrement de dettes ou de dommages et intérêts et de mesures de réparation au civil. [Am. 17]

(39 ter) À moins que ne priment les intérêts ou les libertés et droits fondamentaux de la personne concernée, le traitement de données à caractère personnel à des fins de commercialisation directe pour ses propres produits et services ou des produits et services similaires ou à des fins de commercialisation directe par courrier devrait être présumé répondre à l'intérêt légitime du responsable du traitement ou, en cas de divulgation, du tiers à qui les données sont divulguées, et répondre aux attentes raisonnables de la personne concernée fondées sur sa relation avec le responsable du traitement, à condition que des informations très visibles aient été communiquées en ce qui concerne le droit d'opposition et la source des données à caractère personnel. Le traitement de coordonnées commerciales devrait de manière générale être présumé répondre à l'intérêt légitime du responsable du traitement ou, en cas de divulgation, du tiers à qui les données ont été divulguées, et répondre aux attentes raisonnables de la personne concernée fondées sur sa relation avec le responsable du traitement. Le même principe devrait s'appliquer au traitement de données à caractère personnel manifestement rendues publiques par la personne concernée. [Am. 18]

(40) Le traitement des données à caractère personnel à d’autres fins ne devrait être autorisé que s'il est compatible avec les finalités de la collecte initiale des données, notamment lorsque le traitement est nécessaire à des fins statistiques ou de recherche historique ou scientifique. Lorsque cette autre finalité n'est pas compatible avec la finalité initiale de la collecte des données, il convient que le responsable du traitement obtienne le consentement de la personne concernée à cette autre finalité ou qu'il fonde le traitement sur un autre motif légitime, en particulier lorsque le droit de l'Union ou la législation de l'État membre dont relève le responsable des données le prévoit. En tout état de cause, l'application des principes énoncés par le présent règlement et, en particulier, de respecter l'obligation d'informer la personne concernée au sujet de ces autres finalités devrait être assurée. [Am. 19]

(41) Les données à caractère personnel qui sont, par nature, particulièrement sensibles et vulnérables du point de vue des droits fondamentaux et de la vie privée méritent une protection spécifique. Ces données ne devraient pas faire l'objet d'un traitement, à moins que la personne concernée n'y consente expressément. Toutefois, des dérogations à cette interdiction devraient être expressément prévues pour tenir compte de besoins spécifiques, en particulier lorsque le traitement a lieu dans le cadre d'activités légitimes de certaines associations ou fondations ayant pour finalité de permettre l'exercice des libertés fondamentales. [Am. 20]

(42) Les exceptions à l'interdiction du traitement des catégories de données sensibles devraient également être autorisées si elles résultent d'une loi et, sous réserve de garanties appropriées, afin de protéger les données à caractère personnel et d'autres droits fondamentaux, dans le cas où des raisons d'intérêt général le justifient et, en particulier, à des fins de santé publique, en ce compris la protection de la santé, la protection sociale et la gestion des services de santé, notamment pour assurer la qualité et l'efficience des procédures de règlement des demandes de prestations et de services dans le régime d’assurance-maladie, ou à des fins de recherche historique, statistique etscientifique , ou pour des services d'archives . [Am. 21]

(43) En outre, le traitement de données à caractère personnel par des autorités publiques en vue de réaliser les objectifs, prévus par le droit constitutionnel ou le droit international public, d'associations à caractère religieux officiellement reconnues est effectué pour des raisons d'intérêt général.

(44) Si, dans le cadre d'activités liées à des élections, le fonctionnement du système démocratique suppose, dans un État membre, que les partis politiques collectent des données relatives aux opinions politiques des personnes, le traitement de telles données peut être autorisé pour des motifs d'intérêt général, à condition que des garanties appropriées soient prévues.

(45) Si les données qu’il traite ne lui permettent pas d'identifier une personne physique, le responsable du traitement ne devrait pas être tenu d'obtenir des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter une disposition du présent règlement. Dans le cas d’une demande d’accès, il devrait être autorisé à demander d'autres informations à la personne concernée, afin d'être en mesure de localiser les données personnelles que cette personne recherche. Si la personne concernée est en mesure de fournir ces données, les responsables du traitement ne devraient pas pouvoir invoquer un manque d'information pour rejeter une demande d'accès . [Am. 22]

(46) Le principe de transparence veut que toute information adressée au public ou à la personne concernée soit aisément accessible et facile à comprendre, et formulée en termes simples et clairs. Ceci vaut tout particulièrement lorsque, dans des domaines tels que la publicité en ligne, la multiplication des acteurs et la complexité des technologies utilisées empêchent la personne concernée de savoir exactement si des données à caractère personnel la concernant sont collectées, par qui et dans quel but. Les enfants nécessitant une protection spécifique, toute information et communication, lorsque le traitement des données les vise spécifiquement, devrait être rédigée en des termes simples et clairs que l’enfant peut aisément comprendre.

(47) Des modalités devraient être prévues pour faciliter l'exercice, par la personne concernée, des droits qui lui sont conférés par le présent règlement, notamment les moyens de demander d'obtenir , sans frais, l'accès aux données, leur rectification ou leur effacement, et d'exercer son droit d'opposition. Le responsable du traitement devrait être tenu de répondre à la personne concernée dans un délai donné raisonnable et de motiver tout refus. [Am. 23]

(48) Le principe de traitement loyal et transparent exige que la personne concernée soit informée, en particulier, de l'existence du traitement et de ses finalités, de la durée pendant laquelle les données seront probablement conservées pour chaque finalité, de la transmission éventuelle des données à des tiers ou à des pays tiers , de l’existence de mesures permettant l'opposition et d’un droit d’accès, de rectification ou d’effacement, ainsi que du droit d'introduire une réclamation. Lorsque les données sont collectées auprès de la personne concernée, il importe que celle-ci sache également si elle est obligée de fournir ces informations et à quelles conséquences elle s'expose si elle ne les fournit pas. Ces informations devraient être communiquées à la personne concernée, ce qui peut également signifier qu'elle doit pouvoir y accéder facilement, après que des informations simplifiées lui aient été fournies sous la forme d'icônes normalisées. Cela devrait également signifier que les données à caractère personnel sont traitées d'une manière qui permette à la personne concernée d'exercer effectivement ses droits. [Am. 24]

(49) L'information sur le traitement des données à caractère personnel devrait être donnée à la personne concernée au moment où ces données sont recueillies ou, si la collecte des données n'a pas lieu auprès de la personne concernée, dans un délai raisonnable en fonction des circonstances propres à chaque cas. Lorsque des données peuvent être légitimement divulguées à un autre destinataire, il convient que la personne concernée soit informée lorsque ces données sont divulguées pour la première fois audit destinataire.

(50) Toutefois, il n'est pas nécessaire d'imposer cette obligation si la personne concernée dispose connaît déjà de cette information, ou si l'enregistrement ou la divulgation des données sont expressément prévus par la loi, ou si l'information de la personne concernée se révèle impossible ou exigerait des efforts disproportionnés. Tel pourrait être le cas, en particulier, des traitements à des fins statistiques ou de recherche historique ou scientifique; à cet égard, peuvent être pris en considération le nombre de personnes concernées, l'ancienneté des données, ainsi que les mesures compensatrices éventuelles adoptées. [Am. 25]

(51) Toute personne devrait avoir le droit d'accéder aux données qui ont été recueillies à son sujet et d'exercer ce droit facilement, afin de s'informer du traitement qui en est fait et d'en vérifier la licéité. En conséquence, chaque personne concernée devrait avoir le droit de connaître et de se faire communiquer, en particulier, les finalités du traitement des données, la durée estimée de leur conservation, l'identité des destinataires, la logique générale qui sous-tend le traitement des données et les conséquences qu'il pourrait avoir, au moins en cas de profilage. Ce droit ne devrait pas porter atteinte aux droits et libertés d’autrui, notamment au secret des affaires, ni à la propriété intellectuelle, notamment au concernant par exemple le droit d'auteur protégeant le logiciel. Toutefois, ces considérations ne sauraient aboutir au refus de toute information de la personne concernée. [Am. 26]

(52) Le responsable du traitement devrait prendre toutes les mesures raisonnables afin de s’assurer de l’identité d’une personne concernée demandant l'accès aux données, en particulier dans le contexte des services et identifiants en ligne. Un responsable des données ne devrait pas conserver des données à caractère personnel à la seule fin d'être en mesure de réagir à d'éventuelles demandes.

(53) Toute personne devrait avoir le droit de faire rectifier des données à caractère personnel la concernant, et disposer d'un «droit à l’oubli numérique l'effacement » lorsque la conservation de ces données n'est pas conforme au présent règlement. En particulier, les personnes concernées devraient avoir le droit d'obtenir que leurs données soient effacées et ne soient plus traitées, lorsque ces données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été recueillies ou traitées, lorsque les personnes concernées ont retiré leur consentement au traitement ou lorsqu'elles s'opposent au traitement de données à caractère personnel les concernant ou encore, lorsque le traitement de leurs données à caractère personnel n'est pas conforme au présent règlement. Ce droit est particulièrement important lorsque la personne concernée a donné son consentement à l'époque où elle était enfant et donc mal informée des risques inhérents au traitement, et qu'elle souhaite par la suite supprimer ces données à caractère personnel, en particulier sur l'internet. Toutefois, la conservation des données devrait être autorisée lorsqu'elle est nécessaire à des fins de recherche historique, statistique et scientifique, pour des motifs d'intérêt général dans le domaine de la santé publique, ou à l'exercice du droit à la liberté d'expression, si elle est requise par la loi ou s'il existe une raison de limiter le traitement des données au lieu de les effacer. De la même manière, le droit à l'effacement ne devrait pas s'appliquer lorsque la conservation de données à caractère personnel est nécessaire pour l'exécution d'un contrat avec la personne concernée, ou lorsqu'il existe une obligation légale de conserver ces données. [Am. 27]

(54) Afin de renforcer le «droit à l'oubli numérique l'effacement » dans l’environnement en ligne, le droit à l'effacement des données devrait en outre être étendu de façon à ce que le responsable du traitement qui a rendu les données à caractère personnel publiques sans motif légal soit tenu d'informer les tiers qui traitent lesdites données qu'une personne concernée leur demande d'effacer tous liens vers ces données, ou toute copie ou reproduction de celles-ci. Afin d'assurer cette information, le responsable des données devrait de prendre toutes les mesures raisonnables nécessaires pour procéder à l'effacement de ces données , y compris les mesures techniques, à l'égard des données dont la publication lui est imputable. En ce qui concerne la responsabilité par des tiers, sans préjudice du droit de la publication de données à caractère personnel par un tiers, elle devrait être imputée au responsable du traitement lorsqu'il a lui-même autorisé le tiers à l'effectuer. personne concernée à demander réparation . [Am. 28]

(54 bis) Les données contestées par la personne concernée, dont on ne peut déterminer l'exactitude ou l'inexactitude, devraient être verrouillées jusqu'à ce que la question soit résolue. [Am. 29]

(55) Pour leur permettre de mieux maîtriser encore l'utilisation qui est faite des données les concernant et renforcer leur droit d’accès, les personnes concernées devraient avoir le droit, lorsque des données à caractère personnel font l'objet d'un traitement automatisé dans un format structuré et couramment utilisé, d'obtenir une copie des données les concernant, également dans un format électronique structuré et couramment utilisé. La personne concernée devrait en outre être autorisée à transférer ces données, qu'elle a fournies, d'une application automatisée, telle qu'un réseau social, à une autre. Il y a lieu d’encourager les responsables du traitement à mettre au point des formats interopérables permettant la portabilité des données. Ce droit devrait s'appliquer lorsque la personne concernée a fourni les données au système de traitement automatisé, en donnant son consentement ou dans le cadre de l’exécution d’un contrat. Les fournisseurs de services de la société de l'information ne devraient pas conditionner la fourniture de leurs services au transfert de ces données. [Am. 30]

(56) Dans les cas où des données à caractère personnel pourraient faire l'objet d'un traitement licite afin de protéger les intérêts vitaux de la personne concernée, ou pour un motif d'intérêt général, à l'exercice de l'autorité publique ou à la poursuite des intérêts légitimes du responsable du traitement, toute personne concernée devrait néanmoins avoir le droit de s’opposer au traitement de toute donnée la concernant sans frais et d'une manière simple et effective . Il devrait incomber au responsable du traitement de prouver que ses intérêts légitimes priment les intérêts ou les libertés et droits fondamentaux de la personne concernée. [Am. 31]

(57) Lorsque des données à caractère personnel sont traitées à des fins de marketing direct, la personne concernée devrait avoir a le droit de s’opposer à ce au traitement, sans frais et le responsable du traitement devrait le proposer explicitement à la personne concernée d’une manière simple et effective et sous une forme intelligible, en des termes clairs et simples, et devrait clairement distinguer ce droit des autres informations . [Am. 32]

(58) Sans préjudice de la licéité du traitement des données, toute personne physique devrait avoir le droit de ne pas être soumise à une mesure fondée sur s'opposer au profilage. Le profilage par traitement automatisé. Toutefois, de telles mesures devraient conduisant à des mesures produisant des effets juridiques pour la personne concernée ou affectant de manière significative ses intérêts, droits ou libertés ne devrait être permises permis que lorsqu'elles sont il est expressément autorisées autorisé par la loi, appliquées appliqué dans le cadre de la conclusion ou de l'exécution d'un contrat, ou si la personne concernée y a donné son consentement. En tout état de cause, un traitement de ce type devrait être assorti de garanties appropriées, y compris une information spécifique de la personne concernée et le droit d'obtenir une intervention appréciation humaine, et cette mesure ne devrait pas concerner les enfants. Ces mesures ne devraient pas entraîner de discrimination à l'encontre de personnes sur la base de leur origine raciale ou ethnique, de leurs opinions politiques, de leur religion ou croyances, de leur appartenance syndicale, de leur orientation sexuelle ou de leur identité de genre. [Am. 33]

(58 bis) Le profilage fondé uniquement sur le traitement de données pseudonymes devrait être présumé ne pas affecter de manière significative les intérêts, droits ou libertés de la personne concernée. Lorsque le profilage, qu'il repose sur une source unique de donnée pseudonymes ou sur l'agrégation de données pseudonymes issues de différentes sources, permet au responsable du traitement d'attribuer des données pseudonymes à une personne concernée déterminée, les données traitées ne devraient plus être considérées comme pseudonymes. [Am. 34]

(59) Des limitations des principes spécifiques et du droit à l'information, du droit d'accès, de rectification et d'effacement, ou du droit à la portabilité d’accès à des données ou du droit d’obtenir des données, du droit d'opposition, des mesures fondées sur le du profilage, ainsi que de la communication d'une violation des données à caractère personnel à une personne concernée, et des limitations de certaines obligations connexes des responsables du traitement des données peuvent être imposées par le droit de l'Union ou d'un État membre, dans la mesure nécessaire et proportionnée dans une société démocratique, pour garantir la sécurité publique, notamment aux fins de la protection de la vie humaine en cas, plus particulièrement, de catastrophe d'origine naturelle ou humaine, aux fins de la prévention d’infractions pénales, des enquêtes et des poursuites en la matière, ou de manquements à la déontologie des professions réglementées, aux fins d'autres intérêts publics spécifiques et clairement définis , y compris d'un intérêt économique ou financier important de l'Union ou d'un État membre, ou aux fins de la protection de la personne concernée ou des droits ou libertés de tiers. Ces limitations doivent être conformes aux exigences énoncées par la charte et par la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales. [Am. 35]

(60) Il y a lieu d'instaurer une responsabilité globale du responsable du traitement pour tout traitement de données à caractère personnel qu'il effectue lui-même ou qui est réalisé pour son compte , en particulier en ce qui concerne la documentation, la sécurité des données, les analyses d'impact, le délégué à la protection des données et le contrôle par les autorités de protection des données . Il importe en particulier que le responsable du traitement veille à la conformité de chaque traitement au présent règlement et soit tenu en mesure d'en apporter la preuve. Cela devrait être vérifié par des auditeurs indépendants internes ou externes. [Am. 36]

(61) La protection des droits et libertés des personnes concernées à l'égard du traitement des données à caractère personnel nécessite de prendre les mesures techniques et organisationnelles appropriées, tant au moment de la conception que de l'exécution du traitement, de sorte que les exigences du présent règlement soient respectées. Afin d'assurer et de démontrer la conformité de ses activités au présent règlement, le responsable du traitement devrait adopter des règles internes et appliquer des mesures adaptées, qui répondent en particulier aux principes de la protection des données dès la conception et de la protection des données par défaut. Le principe de la protection des données dès la conception requiert que cette protection soit intégrée dans la totalité du cycle de vie d'une technologie, dès la toute première étape de conception jusqu'à son déploiement final, son utilisation et son élimination. Cela devrait également inclure la responsabilité pour les produits et services utilisés par le responsable du traitement ou le sous-traitant. Le principe de la protection des données par défaut requiert que les paramètres de respect de la vie privée dans les services et produits soient par défaut conformes aux principes généraux de la protection des données, tels que la réduction des données au minimum et la limitation de la finalité. [Am. 37]

(62) La protection des droits et libertés des personnes concernées, de même que la responsabilité des responsables du traitement et de leurs sous-traitants, y compris dans le cadre de la surveillance exercée par les autorités de contrôle et des mesures prises par elles, exige une répartition claire des responsabilités au titre du présent règlement, notamment dans le cas où le responsable du traitement détermine les finalités, les conditions et les moyens du traitement conjointement avec d'autres responsables, ou lorsqu'un traitement est effectué pour le compte d'un responsable du traitement. L'accord entre les responsables conjoints du traitement devrait refléter leurs rôles effectifs et leurs relations. Dans le cadre du traitement de données à caractère personnel au titre du présent règlement, un responsable du traitement devrait également être autorisé à communiquer les données à un responsable conjoint ou à un sous-traitant afin qu'ils traitent les données en son nom. [Am. 38]

(63) Lorsqu'un responsable du traitement qui n'est pas établi dans l'Union traite des données à caractère personnel concernant des personnes résidant dans l'Union, et que les activités de traitement sont liées à l'offre de biens ou de services à ces personnes, ou à l'observation de leur comportement, il convient que le responsable du traitement désigne un représentant, à moins que ledit responsable ne soit établi dans un pays tiers qui assure un niveau de protection adéquat, ou que le traitement vise moins de 5 000 personnes au cours de toute période de 12 mois consécutifs et ne concerne pas des catégories particulières de données à caractère personnel, ou que le responsable du traitement ne soit une petite ou moyenne entreprise ou une autorité ou un organisme public, ou qu'il ne propose qu'occasionnellement des biens ou des services à ces personnes concernées. Le représentant devrait agir pour le compte du responsable du traitement et devrait pouvoir être contacté par toute autorité de contrôle. [Am. 39]

(64) Afin de déterminer si un responsable du traitement n'offre qu'occasionnellement des biens et des services à des personnes concernées résidant dans l'Union, il y aurait lieu de vérifier s'il ressort de l'ensemble de ses activités que l'offre de biens et de services à ces personnes concernées est accessoire à ces activités principales. [Am. 40]

(65) Afin d’ de pouvoir apporter la preuve qu'il se conforme au présent règlement, le responsable du traitement ou le sous-traitant devrait consigner chaque opération de traitement tenir à jour la documentation nécessaire au respect des exigences établies dans le présent règlement . Chaque responsable du traitement et sous-traitant devrait être tenu de coopérer avec l'autorité de contrôle et de mettre ces informations à sa disposition sur demande pour qu'elles servent au contrôle des opérations en question à l'évaluation du respect du présent règlement . Néanmoins, il y a lieu d'accorder la même attention et la même importance aux bonnes pratiques et à la conformité, et pas seulement à la constitution de la documentation . [Am. 41]

(66) Afin de préserver la sécurité et de prévenir tout traitement contraire au présent règlement, il importe que le responsable du traitement ou le sous-traitant évalue les risques inhérents au traitement et prenne des mesures pour les atténuer. Ces mesures devraient assurer un niveau de sécurité approprié compte tenu, d'une part, des techniques les plus récentes et de leur coût de mise en œuvre, et, d'autre part, des risques présentés par les traitements et de la nature des données à protéger. Lors de l’adoption de normes techniques et de mesures organisationnelles destinées à garantir la sécurité du traitement, la Commission devrait il convient de promouvoir la neutralité technologique, l’interopérabilité et l’innovation, et au besoin, coopérer d'encourager la coopération avec les pays tiers. [Am. 42]

(67) Une violation de données à caractère personnel risque, si l'on n'intervient pas à temps et de manière appropriée, de causer une grave perte économique et des dommages sociaux importants, y compris une usurpation d’identité, à la personne physique concernée. En conséquence, dès que le responsable du traitement apprend qu’une telle violation s’est produite, il conviendrait qu'il en informe devrait notifier la violation à l’autorité de contrôle sans retard injustifié et, lorsque c'est possible, dans les 24 heures. Si ce délai ne peut être respecté ce qui devrait supposer un délai qui ne soit pas inférieur à 72 heures. Le cas échéant , la notification devrait être assortie d'une explication des raisons de ce retard. Les personnes physiques dont les données à caractère personnel pourraient être affectées par la violation devraient en être informées sans retard injustifié afin qu’elles puissent prendre les précautions qui s’imposent. Il y a lieu de considérer qu'une violation affecte les données à caractère personnel ou la vie privée d'une personne concernée lorsqu'il peut en résulter, par exemple, un vol ou une usurpation d'identité, un dommage physique, une humiliation grave ou une atteinte à la réputation. La notification devrait décrire la nature de la violation des données à caractère personnel et formuler des recommandations à la personne concernée afin d'atténuer les éventuels effets négatifs. Il convient que les notifications aux personnes concernées soient effectuées aussi rapidement que possible, en coopération étroite avec l'autorité de contrôle, et dans le respect des orientations fournies par celle-ci ou par d'autres autorités compétentes (telles que les autorités répressives). Par exemple, pour que les personnes concernées puissent atténuer un risque immédiat de préjudice, il faudrait leur adresser une notification le plus rapidement possible, mais la nécessité de mettre en œuvre des mesures appropriées empêchant la poursuite de la violation des données ou la survenance de violations similaires pourrait justifier un délai plus long. [Am. 43]

(68) Afin de déterminer si une violation des données à caractère personnel est notifiée sans retard injustifié à l'autorité de contrôle et à la personne concernée, il y a lieu de vérifier si le responsable du traitement a mis en place et appliqué une protection technologique et des mesures d'organisation appropriées pour établir immédiatement si une violation des données est intervenue et pour informer dans les meilleurs délais l'autorité de contrôle et la personne concernée, avant qu'une atteinte ne soit portée aux intérêts personnels et économiques de la personne, compte tenu notamment de la nature et de la gravité de la violation des données à caractère personnel et de ses conséquences et effets néfastes pour la personne concernée.

(69) Lors de la fixation des règles détaillées concernant la forme et les procédures applicables à la notification des violations de données à caractère personnel, il convient de tenir dûment compte des circonstances de la violation, notamment du fait que les données à caractère personnel étaient ou non protégées par des mesures de protection techniques appropriées limitant efficacement le risque d’usurpation d’identité ou d’autres formes d’abus. Par ailleurs, ces règles et procédures devraient tenir compte des intérêts légitimes des autorités répressives dans les cas où une divulgation prématurée risquerait d’entraver inutilement l’enquête sur les circonstances de la violation.

(70) La directive 95/46/CE prévoyait une obligation générale de notifier les traitements de données à caractère personnel aux autorités de contrôle. Or cette obligation génère une charge administrative et financière, sans pour autant avoir véritablement amélioré la protection des données à caractère personnel. En conséquence, l'obligation générale de notification devrait être supprimée et remplacée par des procédures et des mécanismes efficaces ciblant plutôt les traitements susceptibles de présenter des risques particuliers pour les droits et libertés des personnes concernées, du fait de leur nature, de leur portée ou de leur finalité. Dans de tels cas, une analyse d'impact relative à la protection des données devrait être réalisée par le responsable du traitement ou le sous-traitant, préalablement au traitement, et devrait examiner notamment les dispositions, garanties et mécanismes envisagés pour assurer la protection des données à caractère personnel et pour démontrer que le présent règlement est respecté.

(71) Ceci devrait s'appliquer en particulier aux systèmes d'archivage à grande échelle récemment créés, qui servent à traiter un volume considérable de données à caractère personnel au niveau régional, national ou supranational et pourraient affecter un nombre important de personnes concernées.

(71 bis) Les analyses d'impact sont l'essence même de tout cadre viable de protection des données. Elles garantissent que les entreprises sont conscientes dès le départ de toutes les conséquences possibles de leurs opérations de traitement de données. Des analyses d'impact approfondies permettent de limiter de manière fondamentale le risque de violation des données ou de traitements portant atteinte à la vie privée. Les analyses d'impact relatives à la protection des données devraient, dès lors, porter sur la gestion des données à caractère personnel tout au long de leur cycle de vie, depuis la collecte jusqu'au traitement et à la suppression des données, en décrivant, en détail, les traitements envisagés, les risques pour les droits et les libertés des personnes concernées, les mesures envisagées pour réduire ces risques, ainsi que les clauses de sauvegarde, les mesures de sécurité et les mécanismes destinés à garantir le respect du présent règlement. [Am. 44]

(71 ter) Les responsables du traitement devraient s'attacher à la protection des données à caractère personnel pendant la totalité du cycle de vie des données, depuis leur collecte jusqu'à leur suppression, en passant par le traitement, en investissant dès le départ dans un cadre viable de gestion des données et en effectuant un suivi au moyen d'un mécanisme complet de contrôle de conformité. [Am. 45]

(72) Il existe des cas dans lesquels il pourrait être judicieux et économique d'élargir l'analyse d'impact relative à la protection des données au-delà d'un projet unique, par exemple lorsque des autorités ou organismes publics entendent mettre en place une application ou une plateforme de traitement commune, ou lorsque plusieurs responsables du traitement envisagent de créer une application ou un environnement de traitement communs à tout un secteur ou segment professionnel, ou pour une activité transversale largement utilisée.

(73) Une autorité ou un organisme publics ne devraient réaliser une analyse d'impact relative à la protection des données que si celle-ci n'a pas été faite au moment de l'adoption de la loi nationale régissant la mission de l'autorité ou de l'organisme publics concernés ainsi que l'opération ou l'ensemble d'opérations de traitement en question. [Am. 46]

(74) Lorsqu'une analyse d’impact relative à la protection des données indique que des opérations de traitement exposent les droits et libertés des personnes concernées à un degré élevé de risques particuliers, comme priver ces personnes d'un droit, ou de par l'utilisation de certaines technologies nouvelles, le délégué à la protection des données ou l'autorité de contrôle devrait devraient pouvoir être consultée consultés , avant le début de l'opération, sur un traitement risqué susceptible de ne pas être conforme au présent règlement, et formuler des propositions visant à y remédier. Cette Une consultation de l'autorité de contrôle devrait également avoir lieu pendant l'élaboration d'une mesure législative du parlement national, ou d'une mesure fondée sur cette dernière définissant la nature du traitement et instaurant les garanties appropriées. [Am. 47]

(74 bis) Les analyses d'impact ne peuvent être utiles que si les responsables du traitement s'assurent de respecter leurs engagements initialement fixés dans ces analyses. Les responsables du traitement devraient, dès lors, procéder, de manière périodique, à de conformité concernant la protection des données, attestant que les mécanismes de traitement des données en place sont conformes aux engagements pris dans l'analyse d'impact relative à la protection des données. Cet examen devrait également démontrer que le responsable du traitement est en mesure de respecter les choix autonomes des personnes concernées. Par ailleurs, si l'examen laisse apparaître des irrégularités, celles-ci doivent être soulignées, et il y a lieu de présenter des recommandations sur la manière d'assurer la pleine conformité. [Am. 48]

(75) Lorsque le traitement est réalisé dans le secteur public ou lorsque, dans le secteur privé, il concerne plus de 5000 personnes sur une période de 12 mois, ou lorsqu'il est effectué par une grande entreprise ou par une entreprise, quelle que soit sa taille, dont les activités de base impliquent des opérations de traitement sur des données sensibles, ou des opérations de traitement exigeant un suivi régulier et systématique, une personne devrait aider le responsable du traitement ou le sous-traitant à vérifier le respect, au niveau interne, du présent règlement. Au moment de décider si des données concernant un grand nombre de personnes seront traitées, les données archivées qui sont limitées de manière à ce qu'elles ne soient pas soumises aux opérations usuelles d'accès aux données et de traitement des données exécutées par le responsable du traitement et à ce qu'elles ne puissent plus être modifiées, ne devraient pas être prises en compte. Ces délégués à la protection des données, qu'ils soient ou non des employés du responsable du traitement et qu'ils exécutent ou non cette tâche à plein temps , devraient être en mesure d'exercer leurs fonctions et leurs tâches en toute indépendance et bénéficier d'une protection spéciale contre le licenciement . La responsabilité ultime devrait continuer d'incomber à la direction de l'organisme. Le délégué à la protection des données devrait, en particulier, être consulté préalablement à la conception, à la fourniture, au développement et à la mise en place de tout système de traitement automatisé des données à caractère personnel, afin de garantir le respect des principes de protection de la vie privée dès la conception et par défaut . [Am. 49]

(75 bis) Le délégué à la protection des données devrait posséder au moins les qualifications suivantes: une connaissance étendue du contenu et de l'application de la législation en matière de protection des données, y compris les mesures et procédures techniques et organisationnelles; la maîtrise des exigences techniques concernant la protection de la vie privée dès la conception, la protection de la vie privée par défaut et la sécurité des données; une connaissance spécifique du secteur d'activité, conformément à la taille du responsable du traitement ou du sous-traitant et au caractère sensible des données à traiter; la capacité de mener à bien des inspections, des consultations, à établir une documentation et à effectuer des analyses de fichiers; et la capacité à travailler avec des représentants des employés. Le responsable du traitement devrait permettre au délégué à la protection des données de participer à des programmes de formation avancée afin de tenir à jour les connaissances spécialisées requises dans le cadre de l'exécution de ses tâches. La désignation à la fonction de délégué à la protection des données ne nécessite pas obligatoirement un emploi à temps plein de la part de l’employé concerné. [Am. 50]

(76) Il y a lieu d'encourager les associations et autres instances représentatives des responsables de traitement de données à élaborer , après consultation des représentants des travailleurs, des codes de conduite, dans le respect du présent règlement, de manière à faciliter sa bonne application, en tenant compte des spécificités des traitements effectués dans certains secteurs. De tels codes devraient simplifier le respect du présent règlement par les entreprises. [Am. 51]

(77) Afin de favoriser la transparence et le respect du présent règlement, la création de mécanismes de certification, ainsi que de marques et de labels et de marques normalisées en matière de protection des données, devrait être encouragée pour permettre aux personnes concernées d'évaluer rapidement , de manière fiable et vérifiable, le niveau de protection des données offert par les produits et services en question. Un «label européen de protection des données» devrait être établi au niveau européen afin de générer un climat de confiance parmi les personnes concernées et une sécurité juridique pour les responsables du traitement et, dans le même temps, exporter les normes européennes de protection des données en permettant aux entreprises non européennes d'entrer plus facilement sur les marchés européens en obtenant cette certification. [Am. 52]

(78) La circulation transfrontière des données à caractère personnel est nécessaire au développement de la coopération internationale et du commerce mondial. L’augmentation de ces flux a créé de nouveaux enjeux et de nouvelles préoccupations en ce qui concerne la protection des données à caractère personnel. Or il importe que, lorsque ces données sont transférées de l’Union vers des pays tiers ou à des organisations internationales, le niveau de protection des personnes physiques garanti dans l’Union par le présent règlement ne soit pas amoindri. En tout état de cause, les transferts vers des pays tiers ne peuvent avoir lieu que dans le plein respect du présent règlement.

(79) Le présent règlement ne remet pas en cause les accords internationaux conclus entre l'Union et les pays tiers en vue de réglementer le transfert des données à caractère personnel, y compris les garanties appropriées au bénéfice des personnes concernées , qui garantissent un niveau de protection adéquat des droits fondamentaux des citoyens . [Am. 53]

(80) La Commission peut décider, avec effet dans l'ensemble de l'Union, que certains pays tiers, un territoire ou un secteur de traitement de données dans un pays tiers, ou une organisation internationale offrent un niveau de protection adéquat, ce qui assurera une sécurité juridique et une uniformité dans toute l'Union en ce qui concerne les pays tiers ou les organisations internationales qui sont réputés assurer un tel niveau de protection. Dans ce cas, les transferts de données à caractère personnel vers ces pays peuvent avoir lieu sans qu'il soit nécessaire d'obtenir une autre autorisation. La Commission peut également décider, après en avoir informé le pays tiers et lui avoir fourni une justification complète, de révoquer une telle décision. [Am. 54]

(81) Eu égard aux valeurs fondamentales sur lesquelles est fondée l'Union, en particulier la protection des droits de l'homme, la Commission devrait, dans son évaluation du pays tiers, prendre en considération la manière dont ce pays respecte l'état de droit, garantit l’accès à la justice et observe les règles et normes internationales dans le domaine des droits de l'homme.

(82) La Commission peut également constater qu’un pays tiers, un territoire ou un secteur de traitement de données dans un pays tiers, ou une organisation internationale n'offre pas un niveau adéquat de protection des données. Toute législation prévoyant un accès extraterritorial aux données à caractère personnel traitées dans l'Union sans autorisation conformément au droit de l'Union ou d'un État membre devrait être réputée ne pas offrir un niveau adéquat de protection. Si tel est le cas, le transfert de données à caractère personnel vers ce pays tiers devrait être interdit. Il y aurait alors lieu de prendre des dispositions en vue d'une consultation entre la Commission et le pays tiers ou l'organisation internationale concernés. [Am. 55]

(83) En l’absence d’une décision relative au caractère adéquat du niveau de protection, le responsable du traitement ou le sous-traitant devrait prendre des mesures pour compenser l'insuffisance de la protection des données dans le pays tiers par des garanties appropriées en faveur de la personne concernée. Ces garanties peuvent consister à recourir à des règles d'entreprise contraignantes, des clauses types de protection des données adoptées par la Commission, des clauses types de protection des données adoptées par une autorité de contrôle ou des clauses contractuelles autorisées par celle-ci, ou d'autres mesures adaptées et proportionnées qui se justifient au regard des circonstances qui entourent une opération ou une série d'opérations de transfert de données, et dans les cas autorisés par une autorité de contrôle. Ces garanties appropriées devraient garantir le respect adéquat des droits des personnes concernées dans le cadre du traitement à l'intérieur de l'Union, notamment en ce qui concerne la limitation de la finalité, le droit à l'accès, la rectification, l'effacement et la réparation. Ces garanties devraient en particulier assurer le respect des principes du traitement des données à caractère personnel, préserver les droits des personnes concernées et prévoir des mécanismes de recours effectifs, assurer le respect des principes de la protection des données dès la conception ainsi que par défaut et garantir l'existence d'une fonction de délégué à la protection des données. [Am. 56]

(84) La possibilité qu'ont les responsables du traitement et les sous-traitants de recourir aux clauses types de protection des données adoptées par la Commission ou par une autorité de contrôle ne devrait pas les empêcher d'inclure ces clauses dans un contrat plus large, ni d'y ajouter d’autres clauses ou des garanties supplémentaires , à condition que celles-ci ne contredisent pas, directement ou indirectement, les clauses contractuelles types adoptées par la Commission ou par une autorité de contrôle et qu'elles ne portent pas atteinte aux libertés et droits fondamentaux des personnes concernées. Les clauses types de protection des données adoptées par la Commission pourraient couvrir différentes situations, à savoir les transferts effectués par des responsables du traitement établis dans l'Union vers des responsables du traitement établis en dehors de l'Union et par des responsables du traitement établis dans l'Union vers des sous-traitants, y compris des sous-traitants ultérieurs, établis en dehors de l'Union. Les responsables du traitement et les sous-traitants devraient être encouragés à fournir des garanties encore plus solides par l'intermédiaire d'engagements contractuels supplémentaires qui viendraient compléter les clauses types de protection. [Am. 57]

(85) Un groupe d’entreprises devrait être autorisé à recourir à des règles d'entreprise contraignantes pour ses transferts internationaux de l’Union vers des entités du même groupe, à condition que ces règles d'entreprise incluent l'ensemble des principes essentiels et des droits opposables fournissant des garanties appropriées pour les transferts ou catégories de transferts de données à caractère personnel. [Am. 85]

(86) Le présent règlement devrait autoriser les transferts dans certains cas où la personne concernée a donné son consentement, lorsque le transfert est nécessaire dans le cadre d'un contrat ou d'une action en justice, lorsque des motifs importants d'intérêt général établis par le droit de l'Union ou d'un État membre l'exigent, ou lorsque le transfert est effectué à partir d'un registre établi par la loi et destiné à être consulté par le public ou par des personnes y ayant un intérêt légitime. Dans ce dernier cas de figure, le transfert ne devrait toutefois pas porter sur la totalité des données ni sur des catégories entières de données contenues dans le registre et, lorsque ce dernier est destiné à être consulté par des personnes qui y ont un intérêt légitime, le transfert ne devrait avoir lieu que si ces personnes le demandent ou si elles en sont les destinataires , en tenant pleinement compte des intérêts et des droits fondamentaux de la personne concernée . [Am. 59]

(87) Ces dérogations devraient s'appliquer en particulier aux transferts de données qui sont nécessaires à la protection pour des motifs importants d'intérêt général, par exemple en cas de transfert international de données entre autorités de la concurrence, administrations fiscales ou douanières, entre autorités de surveillance financière, entre services chargés des questions de sécurité sociale ou relatives à la santé publique , ou en cas de transfert aux autorités publiques compétentes chargées de la prévention et de la détection des infractions pénales, des enquêtes et des poursuites en la matière , y compris la prévention du blanchiment d'argent et la lutte contre le financement du terrorisme . Le transfert de données à caractère personnel devrait également être considéré comme licite lorsqu'il est nécessaire pour protéger un intérêt essentiel à la vie de la personne concernée ou d'une autre personne, si la personne concernée se trouve dans l'incapacité de donner son consentement. Le transfert de données à caractère personnel pour des motifs d'intérêt public aussi importants ne devrait être utilisé que de manière occasionnelle. Dans chaque cas, il convient de mener une évaluation minutieuse de toutes les circonstances du transfert . [Am. 60]

(88) Les transferts qui ne peuvent être qualifiés de fréquents ou massifs pourraient également être autorisés aux fins de la poursuite des intérêts légitimes du responsable du traitement ou du sous-traitant, après que ces derniers ont évalué toutes les circonstances entourant le transfert. Pour les traitements à des fins de recherche historique, statistique et scientifique, il y aurait lieu de prendre en considération les attentes légitimes de la société en matière de progrès des connaissances. [Am. 61]

(89) En tout état de cause, lorsque la Commission ne s'est pas prononcée sur le caractère adéquat de la protection des données dans un pays tiers, le responsable du traitement ou le sous-traitant devrait adopter des solutions qui garantissent de manière juridiquement contraignante aux personnes concernées qu'elles continueront de bénéficier des droits fondamentaux et des garanties qui leur sont accordés dans l'Union pour le traitement des données les concernant, une fois que ces données auront été transférées , dans la mesure où le traitement n'est pas massif, répétitif et structurel . Cette garantie devrait comprendre une indemnisation en cas de perte de données, d'accès aux données ou de traitement de données non autorisés, ainsi que l'obligation, indépendamment du droit national, de fournir tous les détails de tout accès aux données par les autorités publiques d'un pays tiers . [Am. 62]

(90) Certains pays tiers édictent des lois, des règlements et d'autres instruments législatifs qui visent à régir directement des activités de traitement des données effectuées par des personnes physiques et morales qui relèvent de la compétence des États membres. L’application extraterritoriale de ces lois, règlements et autres instruments législatifs peut être contraire au droit international et faire obstacle à la protection des personnes garantie dans l’Union par le présent règlement. Les transferts ne devraient donc être autorisés que lorsque les conditions fixées par le présent règlement pour les transferts vers les pays tiers sont remplies. Ce peut être le cas, notamment, lorsque la divulgation est nécessaire pour un motif important d'intérêt général reconnu par le droit de l'Union ou par le droit d'un État membre auquel le responsable des données est soumis. Les critères d'existence d'un motif important d'intérêt général devraient être précisés par la Commission dans un acte délégué. Lorsque les responsables du traitement ou les sous-traitants sont confrontés à des exigences de conformité contradictoires entre la juridiction de l'Union, d'une part, et celle d'un pays tiers, d'autre part, la Commission devrait toujours veiller à faire prévaloir la législation de l'Union. La Commission devrait fournir des orientations et une aide au responsable du traitement et au sous-traitant, et s'efforcer de résoudre le conflit de compétence avec le pays tiers en question. [Am. 63]

(91) Lorsque des données à caractère personnel franchissent les frontières, elles accroissent le risque que les personnes physiques ne puissent exercer leur droit à la protection des données, notamment pour se protéger de l’utilisation ou la divulgation illicite de ces informations. De même, les autorités de contrôle peuvent être confrontées à l'impossibilité d'examiner des réclamations ou de mener des enquêtes sur les activités exercées en dehors de leurs frontières. Leurs efforts pour collaborer dans le contexte transfrontière peuvent également être freinés par les pouvoirs de prévention ou de réparation insuffisants dont elles disposent, par l'hétérogénéité des régimes juridiques et par des obstacles pratiques tels que le manque de ressources. En conséquence, il est nécessaire de favoriser une coopération plus étroite entre les autorités de contrôle de la protection des données, afin qu'elles puissent échanger des informations et mener des enquêtes avec leurs homologues internationaux.

(92) L'institution d'autorités de contrôle dans les États membres, exerçant leurs fonctions en toute indépendance, est un élément essentiel de la protection des personnes physiques à l'égard du traitement de leurs données à caractère personnel. Les États membres ont la possibilité d'instituer plusieurs autorités de contrôle, pour s'aligner sur leur structure constitutionnelle, organisationnelle et administrative. Les autorités disposent des ressources financières et humaines adéquates afin de remplir pleinement leur mission, en tenant compte de la taille de la population et de la quantité de données à caractère personnel traitées. [Am. 64]

(93) Lorsqu'un État membre crée plusieurs autorités de contrôle, il devrait prévoir, dans sa législation, des dispositifs garantissant la participation effective de ces autorités au mécanisme de contrôle de la cohérence. Il devrait en particulier désigner l'autorité de contrôle qui servira de point de contact unique, permettant une participation efficace de ces autorités au mécanisme, afin d'assurer une coopération rapide et facile avec les autres autorités de contrôle, le comité européen de la protection des données et la Commission.

(94) Il convient que chaque autorité de contrôle soit dotée des moyens financiers et humains adéquats, en veillant tout particulièrement à ce que le personnel possède les qualifications techniques et juridiques adéquates, des locaux et des infrastructures nécessaires à la bonne exécution de leurs tâches, y compris celles qui sont liées à l'assistance mutuelle et à la coopération avec d'autres autorités de contrôle dans l'ensemble de l'Union. [Am. 65]

(95) Les conditions générales applicables aux membres de l’autorité de contrôle devraient être fixées par la loi dans chaque État membre, prévoir notamment que ces membres sont nommés par le parlement ou par le gouvernement national, en prenant bien soin de réduire au minimum toute possibilité d'ingérence politique, et comprendre des dispositions régissant la qualification et la fonction de ces membres , ainsi que la prévention des conflits d'intérêts . [Am. 66]

(96) Il appartiendrait aux autorités de contrôle de surveiller l'application des dispositions du présent règlement et de contribuer à ce que cette application soit uniforme dans l'ensemble de l'Union, pour protéger les personnes physiques à l'égard du traitement de leurs données à caractère personnel et faciliter la libre circulation de ces données au sein du marché intérieur. À cet effet, il conviendrait que les autorités de contrôle coopèrent entre elles et avec la Commission.

(97) Lorsque, dans l'Union, le traitement de données à caractère personnel intervenant dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant a lieu dans plusieurs États membres, il conviendrait qu’une seule autorité de contrôle soit compétente pour surveiller les activités agisse en tant que guichet unique et autorité chef de file responsable du contrôle du responsable du traitement ou du sous-traitant dans toute l'Union et pour prendre prenne les décisions y afférentes, afin de favoriser une application cohérente, de garantir la sécurité juridique et de réduire les charges administratives pour le responsable du traitement et ses sous-traitants. [Am. 67]

(98) L'autorité compétente chef de file, faisant ainsi office de guichet unique, devrait être l'autorité de contrôle de l'État membre dans lequel le responsable du traitement ou le sous-traitant a son principal établissement ou son représentant . Le comité européen de la protection des données peut, dans certains cas, désigner l'autorité chef de file par le biais du mécanisme de contrôle de la cohérence, à la demande d'une autorité compétente . [Am. 68]

(98 bis) Les personnes concernées dont les données à caractère personnel sont traitées par un responsable du traitement ou un sous-traitant dans un autre État membre devraient pouvoir introduire une réclamation auprès de l'autorité de contrôle de leur choix. L'autorité chef de file chargée de la protection des données devrait coordonner ses travaux avec ceux des autres autorités impliquées. [Am. 69]

(99) Bien que le présent règlement s'applique également aux activités des juridictions nationales, la compétence des autorités de contrôle ne devrait pas s'étendre aux traitements de données à caractère personnel effectués par les juridictions lorsqu'elles agissent dans le cadre de leur fonction juridictionnelle, afin de préserver l'indépendance des juges dans le cadre de l’exercice de leur fonction juridictionnelle. Il convient toutefois que cette exception soit strictement limitée aux activités purement judiciaires intervenant dans le cadre d'affaires portées devant les tribunaux et qu'elle ne s'applique pas aux autres activités auxquelles les juges pourraient être associés en vertu du droit national.

(100) Afin d'assurer la cohérence du contrôle et de l'application du présent règlement dans l'ensemble de l'Union, les autorités de contrôle devraient avoir, dans chaque État membre, les mêmes missions et pouvoirs effectifs, dont des pouvoirs d'enquête, d'intervention juridiquement contraignante, de décision et de sanction, en particulier en cas de réclamation introduite par des personnes physiques, ainsi que le pouvoir d'ester en justice. Les pouvoirs d'investigation des autorités de contrôle en matière d'accès aux locaux devraient être exercés conformément au droit de l'Union et au droit national applicable. Cela concerne en particulier l'obligation d'obtenir préalablement une autorisation judiciaire.

(101) Chaque autorité de contrôle devrait recevoir les réclamations introduites par les personnes concernées ou par des associations agissant dans l'intérêt général et mener les enquêtes en la matière. L’enquête faisant suite à une réclamation devrait être menée, sous contrôle juridictionnel, dans la mesure appropriée requise par l'affaire. L'autorité de contrôle devrait informer la personne concernée ou l'association de l'état d'avancement et du résultat de la réclamation dans un délai raisonnable. Si l'affaire requiert un complément d'enquête ou une coordination avec une autre autorité de contrôle, des informations intermédiaires devraient être fournies à la personne concernée. [Am. 70]

(102) Les activités de sensibilisation organisées par les autorités de contrôle à l'intention du public devraient comprendre des mesures spécifiques destinées aux responsables du traitement et aux sous-traitants, y compris les micro, petites et moyennes entreprises, et aux personnes concernées.

(103) Les autorités de contrôle devraient se prêter mutuellement assistance dans l’exercice de leurs fonctions afin d'assurer une application cohérente du présent règlement dans le marché intérieur.

(104) Chaque autorité de contrôle devrait avoir le droit de participer à des opérations conjointes entre autorités de contrôle. L'autorité de contrôle requise devrait être tenue de répondre à la demande dans un délai déterminé.

(105) Afin de garantir l’application cohérente du présent règlement dans toute l'Union, il y a lieu d'instaurer un mécanisme de contrôle de la cohérence encadrant la coopération entre les autorités de contrôle elles-mêmes et avec la Commission. Ce mécanisme devrait notamment s'appliquer lorsqu'une autorité de contrôle a l'intention de prendre une mesure à l'égard d'opérations de traitement qui sont liées à l'offre de biens ou de services à des personnes concernées se trouvant dans plusieurs États membres, ou au suivi de ces personnes, ou qui pourraient affecter considérablement la libre circulation des données à caractère personnel. Il devrait également s'appliquer lorsqu'une autorité de contrôle ou la Commission demande qu'une question soit traitée dans le cadre du mécanisme de contrôle de la cohérence. En outre, les personnes concernées devraient avoir le droit d'exiger de la cohérence si elles estiment qu'une mesure mise en œuvre par l'autorité chargée de la protection des données d'un État membre ne répond pas à ce critère. Le mécanisme devrait s'appliquer sans préjudice des éventuelles mesures que la Commission pourrait prendre dans l'exercice des pouvoirs que lui confèrent les traités. [Am. 71]

(106) En application du mécanisme de contrôle de la cohérence, le comité européen de la protection des données devrait émettre un avis, dans un délai déterminé, si une majorité simple de ses membres le décide ou s'il est saisi d'une demande en ce sens par une autorité de contrôle ou par la Commission.

(106 bis) Afin de garantir l'application cohérente du présent règlement, le comité européen de la protection des données peut, dans des cas spécifiques, adopter une décision contraignante pour les autorités de contrôle compétentes. [Am. 72]

(107) Afin de garantir le respect du présent règlement, la Commission peut adopter un avis sur cette question, ou une décision ordonnant à l'autorité de contrôle de suspendre son projet de mesure. [Am. 73]

(108) Il peut être nécessaire d'agir de toute urgence pour protéger les intérêts des personnes concernées, en particulier lorsque l'exercice du droit d'une personne concernée risque d'être considérablement entravé. En conséquence, lorsqu'elle applique le mécanisme de contrôle de la cohérence, l'autorité de contrôle devrait pouvoir adopter des mesures provisoires d'une durée déterminée.

(109) L'application de ce mécanisme devrait conditionner la validité juridique et l'exécution de la décision par une autorité de contrôle. Dans d'autres cas présentant une dimension transfrontière, les autorités de contrôle concernées pourraient se prêter mutuellement assistance et mener des enquêtes conjointes sur une base bilatérale ou multilatérale, sans actionner le mécanisme de contrôle de la cohérence.

(110) Un comité européen de la protection des données devrait être créé au niveau de l'Union. Il devrait remplacer le groupe de protection des personnes à l'égard du traitement des données à caractère personnel institué par l'article 29 de la directive 95/46/CE. Il devrait se composer d'un directeur d'une autorité de contrôle de chaque État membre et du Contrôleur européen de la protection des données. La Commission devrait participer à ses activités. Le comité européen de la protection des données devrait contribuer à l'application cohérente du présent règlement dans toute l'Union, notamment en conseillant la Commission les institutions de l'Union et en favorisant la coopération des autorités de contrôle dans l'ensemble de l'Union , y compris la coordination des opérations conjointes . Il devrait exercer ses fonctions en toute indépendance. Le comité européen de la protection des données devrait renforcer le dialogue avec les parties intéressées telles que les associations de personnes concernées, les organisations de consommateurs, les responsables du traitement et les autres parties et experts concernés. [Am. 74]

(111) Toute personne concernée devrait Les personnes concernées devraient avoir le droit d'introduire une réclamation auprès d'une autorité de contrôle dans tout État membre et disposer d'un droit de recours effectif devant un tribunal conformément à l’article 47 de la charte si elle estime elles estiment que les droits que lui leur confère le présent règlement ne sont pas respectés, si l’autorité de contrôle ne réagit pas à une réclamation ou si elle n’agit pas alors qu'une action est nécessaire pour protéger les droits de la personne concernée des personnes concernées . [Am. 75]

(112) Tout organisme, organisation ou association qui œuvre à la protection des droits et intérêts des personnes concernées dans le domaine de la protection des données l'intérêt général et qui est constitué(e) conformément au droit d’un État membre devrait avoir le droit d'introduire une réclamation auprès d'une autorité de contrôle au nom des personnes concernés avec leur consentement, ou d'exercer le droit de recours devant un tribunal au nom de s'il ou elle est mandaté(e) par les personnes concernées, ou d'introduire une réclamation en son propre nom, indépendamment de celle d'une personne concernée, dans les cas où l'organisme, l'organisation ou l'association considère qu'une violation de données à caractère personnel du présent règlement a été commise. [Am. 76]

(113) Toute personne physique ou morale devrait disposer d'un droit de recours devant un tribunal contre les décisions d'une autorité de contrôle qui la concernent. Les actions contre une autorité de contrôle devraient être intentées devant les juridictions de l’État membre sur le territoire duquel l'autorité de contrôle est établie.

(114) Afin de renforcer la protection judiciaire de la personne concernée dans les cas où l'autorité de contrôle compétente est établie dans un autre État membre que celui dans lequel la personne concernée réside, cette dernière peut demander donner mandat à tout organisme, organisation ou association œuvrant à la protection des droits et intérêts des personnes concernées en vue de protéger leurs données à caractère personnel, d' dans l ' intérêt général pour intenter, pour son compte, un recours contre l'autorité de contrôle en question devant la juridiction compétente de l'autre État membre. [Am. 77]

(115) Dans le cas où l'autorité de contrôle compétente établie dans un autre État membre n'agit pas ou a pris des mesures insuffisantes au sujet d'une réclamation, la personne concernée peut demander à l'autorité de contrôle de l'État membre dans lequel elle réside habituellement d'intenter une action contre l'autorité de contrôle défaillante, devant la juridiction compétente de l'autre État membre. Cela ne s'applique pas aux personnes ne résidant pas dans l'Union . L'autorité de contrôle requise peut décider, sous contrôle juridictionnel, s'il y a lieu ou non de faire droit à la demande. [Am. 78]

(116) En ce qui concerne les recours à l'encontre d'un responsable du traitement ou d'un sous-traitant, le demandeur devrait pouvoir choisir d'intenter l'action devant les juridictions des États membres dans lesquels le responsable du traitement ou le sous-traitant a un établissement ou , lorsque la personne concernée réside dans l' Union, dans l' État membre dans lequel la personne concernée elle réside, sauf si le responsable du traitement est une autorité publique de l'Union ou d'un État membre agissant dans l’exercice de la puissance publique. [Am. 79]

(117) S'il existe des raisons de penser que des procédures parallèles sont pendantes devant les juridictions de différents États membres, ces juridictions devraient être tenues de prendre contact les unes avec les autres. Les juridictions devraient avoir la possibilité de surseoir à statuer lorsqu'une affaire parallèle est pendante dans un autre État membre. Les États membres devraient veiller à ce que les actions en justice, pour être efficaces, permettent l'adoption rapide de mesures visant à réparer ou à prévenir une violation du présent règlement.

(118) Tout dommage , de nature financière ou non, qu'une personne pourrait subir du fait d'un traitement illicite devrait être réparé par le responsable du traitement ou le sous-traitant, qui ne peut s'exonérer de sa responsabilité que s'il prouve que le dommage ne lui est pas imputable, notamment s'il établit l'existence d'une faute de la personne concernée, ou en cas de force majeure. [Am. 80]

(119) Toute personne de droit privé ou de droit public qui ne respecte pas le présent règlement devrait faire l'objet de sanctions pénales. Les États membres devraient veiller à ce que les sanctions soient effectives, proportionnées et dissuasives, et prendre toutes mesures nécessaires à leur application. Les règles relatives aux sanctions devraient être assorties de garanties procédurales adéquates en conformité avec les principes généraux du droit de l'Union et la charte, y compris le droit à un recours effectif devant un tribunal, le droit à un procès équitable et le principe non bis in idem. [Am. 81]

(119 bis) Lorsqu'ils appliquent des sanctions, les États membres devraient s'attacher à respecter pleinement les garanties procédurales adéquates, y compris le droit à un recours effectif devant un tribunal, le droit à un procès équitable et le principe non bis in idem. [Am. 82]

(120) Afin de renforcer et d'harmoniser les sanctions administratives applicables en cas de v