P7_TA(2014)0219

Traitement des données à caractère personnel à des fins de prévention de la criminalité ***I

Résolution législative du Parlement européen du 12 mars 2014 sur la proposition de directive du Parlement européen et du Conseil relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données (COM(2012)0010 — C7-0024/2012 — 2012/0010(COD))

(Procédure législative ordinaire: première lecture)

(2017/C 378/59)

Le Parlement européen,

vu les avis motivés soumis par le Bundesrat allemand et le Parlement suédois, dans le cadre du protocole no 2 sur l'application des principes de subsidiarité et de proportionnalité, déclarant que le projet d'acte législatif n'est pas conforme au principe de subsidiarité,

vu le rapport de la commission des libertés civiles, de la justice et des affaires intérieures et l'avis de la commission des affaires juridiques (A7-0403/2013),

(1) JO C 192 du 30.6.2012, p. 7.

P7_TC1-COD(2012)0010

Position du Parlement européen arrêtée en première lecture le 12 mars 2014 en vue de l’adoption de la directive 2014/…/UE du Parlement européen et du Conseil relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données

LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L’UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16, paragraphe 2,

vu la proposition de la Commission européenne,

après transmission du projet d’acte législatif aux parlements nationaux,

vu l’avis du Contrôleur européen de la protection des données (1),

statuant conformément à la procédure législative ordinaire (2),

considérant ce qui suit:

(1) La protection des personnes physiques à l'égard du traitement des données à caractère personnel est un droit fondamental. L’article 8, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne (ci-après dénommée «charte») et l’article 16, paragraphe 1, du traité sur le fonctionnement de l’Union européenne disposent que toute personne a droit à la protection des données à caractère personnel la concernant. L'article 8, paragraphe 2, de la charte dispose que ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d'un autre fondement légitime prévu par la loi. [Am. 1]

(2) Le traitement des données à caractère personnel est au service de l’homme; les principes et les règles régissant la protection des personnes physiques à l'égard du traitement des données les concernant devraient, quelle que soit la nationalité ou la résidence de ces personnes, respecter leurs libertés et leurs droits fondamentaux, notamment le droit à la protection des données à caractère personnel. Le traitement des données devrait contribuer à la réalisation d'un espace de liberté, de sécurité et de justice.

(3) La rapide évolution des technologies et la mondialisation ont créé de nouveaux enjeux pour la protection des données à caractère personnel. La collecte et le partage de données ont connu une augmentation spectaculaire. Les nouvelles technologies permettent aux autorités compétentes d’utiliser les données à caractère personnel comme jamais auparavant dans le cadre de leurs activités.

(4) Cette évolution exige de faciliter la libre circulation des données , lorsque celle-ci est nécessaire et proportionnée, entre les autorités compétentes au sein de l’Union et leur transfert vers des pays tiers et à des organisations internationales, tout en assurant un niveau élevé de protection des données à caractère personnel. Ces évolutions obligent à mettre en place dans l’Union un cadre de protection des données solide et plus cohérent, assorti d'une application rigoureuse des règles. [Am. 2]

(5) La directive 95/46/CE du Parlement européen et du Conseil (3) s'applique à l'ensemble des activités de traitement des données à caractère personnel dans les États membres, à la fois dans les secteurs public et privé. Elle ne s'applique cependant pas au traitement de données à caractère personnel mis en œuvre pour l'exercice d'activités qui ne relèvent pas du champ d'application du droit communautaire, telles que les activités dans les domaines de la coopération judiciaire en matière pénale et de la coopération policière.

(6) La décision-cadre 2008/977/JAI du Conseil (4) s'applique dans les domaines de la coopération judiciaire en matière pénale et de la coopération policière. Son champ d'application se borne au traitement des données à caractère personnel qui sont transmises ou mises à disposition entre les États membres.

(7) Il est crucial d'assurer un niveau élevé et homogène de protection des données à caractère personnel des personnes physiques et de faciliter l’échange de données à caractère personnel entre les autorités compétentes des États membres, afin de garantir l’efficacité de la coopération judiciaire en matière pénale et de la coopération policière. À cette fin, le niveau de protection des droits et libertés des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière, ou d'exécution de sanctions pénales, doit être équivalent dans tous les États membres. Il convient d'assurer une application cohérente et homogène des règles de protection des libertés et droits fondamentaux des personnes physiques à l'égard du traitement des données à caractère personnel dans l'ensemble de l'Union. Une protection effective des données à caractère personnel dans toute l'Union exige non seulement de renforcer les droits des personnes concernées et les obligations de ceux qui traitent ces données, mais aussi de conférer, dans les États membres, des pouvoirs équivalents de surveillance et de contrôle de l'application des règles relatives à la protection des données à caractère personnel. [Am. 3]

(8) L’article 16, paragraphe 2, du traité sur le fonctionnement de l’Union européenne prévoit que le Parlement européen et le Conseil fixent les règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, ainsi que les règles relatives à la libre circulation de leurs ces données à caractère personnel . [Am. 4]

(9) Sur cette base, le règlement (UE) no …../2014 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données) définit des règles générales visant à protéger les personnes physiques à l'égard du traitement des données à caractère personnel et à garantir la libre circulation de ces données dans l'Union.

(10) Dans la déclaration 21 sur la protection des données à caractère personnel dans le domaine de la coopération judiciaire en matière pénale et de la coopération policière, annexée à l'acte final de la Conférence intergouvernementale qui a adopté le traité de Lisbonne, la Conférence a reconnu que des règles spécifiques sur la protection des données à caractère personnel et sur la libre circulation de ces données dans les domaines de la coopération judiciaire en matière pénale et de la coopération policière se basant sur l'article 16 du traité sur le fonctionnement de l'Union européenne pourraient s'avérer nécessaires en raison de la nature spécifique de ces domaines.

(11) Par conséquent, une directive distincte spécifique devrait permettre de répondre à la nature spécifique de ces domaines et de fixer les règles relatives à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales. [Am. 5]

(12) Afin d'assurer le même niveau de protection pour les personnes physiques au moyen de droits juridiquement protégés à travers l'Union et d'éviter que des différences n'entravent les échanges de données à caractère personnel entre les autorités compétentes, la présente directive devrait prévoir des règles harmonisées pour la protection et la libre circulation des données à caractère personnel dans les domaines de la coopération judiciaire en matière pénale et de la coopération policière.

(13) La présente directive permet de prendre en compte, dans la mise en œuvre de ses dispositions, le principe du droit d'accès du public aux documents officiels.

(14) La protection conférée par la présente directive devrait concerner les personnes physiques, indépendamment de leur nationalité ou de leur lieu de résidence, dans le cadre du traitement des données à caractère personnel.

(15) La protection des personnes devrait être neutre sur le plan technologique et ne pas dépendre des techniques utilisées, sous peine de créer de graves risques de contournement. Elle devrait s'appliquer aux traitements de données à caractère personnel automatisés ainsi qu'aux traitements manuels si les données sont contenues ou destinées à être contenues dans un fichier. Les dossiers ou ensembles de dossiers, de même que leurs couvertures, qui ne sont pas structurés selon des critères déterminés, ne devraient pas relever du champ d'application de la présente directive. La présente directive ne devrait pas s'appliquer au traitement de données à caractère personnel s’inscrivant dans le cadre d’activités ne relevant pas du champ d'application du droit de l'Union, notamment celles relatives à la sûreté de l’État, ni à celui effectué par les institutions, organes, et organismes de l'Union, tels qu’Europol ou Eurojust. Le règlement (CE) no 45/2001 du Parlement européen et du Conseil (5) ainsi que les instruments juridiques spécifiques applicables aux agences , organes ou bureaux de l'Union devraient être alignés sur la présente directive et appliqués conformément à celle-ci . [Am. 6]

(16) Il y a lieu d'appliquer les principes de protection à toute information concernant une personne physique identifiée ou identifiable. Pour déterminer si une personne physique est identifiable, il convient de considérer l'ensemble des moyens susceptibles d'être raisonnablement mis en œuvre, soit par le responsable du traitement, soit par une autre personne, pour identifier ou distinguer ladite personne. Il n'y a pas lieu d'appliquer les principes de protection aux données qui ont été rendues suffisamment anonymes pour que la personne concernée ne soit plus identifiable. La présente directive ne devrait pas s'appliquer aux données anonymes, à savoir toute donnée qui ne peut être reliée, directement ou indirectement, seule ou en association avec des données connexes, à une personne physique. Compte tenu de l'importance des évolutions en cours dans le cadre de la société de l'information, des techniques pour capter, transmettre, manipuler, enregistrer, conserver ou communiquer les données de localisation concernant des personnes physiques, qui peuvent être utilisées pour différentes finalités dont la surveillance ou la création de profils, la présente directive devrait s'appliquer aux traitements portant sur de telles données à caractère personnel. [Am. 7]

(16 bis) Tout traitement de données à caractère personnel doit être licite, loyal et transparent à l'égard des personnes concernées. En particulier, les finalités précises du traitement des données devraient être explicites et légitimes, et déterminées lors de la collecte des données à caractère personnel. Les données à caractère personnel devraient être adéquates, pertinentes et limitées au minimum nécessaire aux finalités pour lesquelles elles sont traitées. Cela exige notamment de limiter les données collectées et leur durée de conservation au strict minimum. Les données à caractère personnel ne devraient être traitées que si la finalité du traitement ne peut être atteinte par d'autres moyens. Il y a lieu de prendre toutes les mesures raisonnables afin de s’assurer que les données à caractère personnel qui sont inexactes sont rectifiées ou supprimées. Afin de garantir que les données ne sont pas conservées plus longtemps que nécessaire, des délais devraient être fixés par le responsable du traitement en vue de leur effacement ou d'une révision périodique. [Am. 8]

(17) Les données à caractère personnel concernant la santé devraient comprendre, en particulier, l'ensemble des données se rapportant à l'état de santé d'une personne concernée; les informations relatives à l'enregistrement du patient pour la prestation de services de santé; les informations relatives aux paiements ou à l'éligibilité du patient à des soins de santé; un numéro ou un symbole attribué à un patient, ou des informations détaillées le concernant, destinés à l'identifier de manière univoque à des fins médicales; toute information relative au patient recueillie dans le cadre de la prestation de services de santé audit patient; des informations obtenues lors d'un contrôle ou de l'examen d'un organe ou d'une substance corporelle y compris des échantillons biologiques; l'identification d'une personne en tant que prestataire de soins de santé au patient; ou toute information concernant, par exemple, une maladie, un handicap, un risque de maladie, un dossier médical, un traitement clinique ou l'état physiologique ou biomédical de la personne concernée, indépendamment de la source, provenant par exemple d'un médecin ou d'un autre professionnel de la santé, d'un hôpital, d'un dispositif médical ou d'une épreuve diagnostique in vitro.

(18) Tout traitement de données à caractère personnel devrait être loyal et licite à l'égard des personnes concernées. En particulier, les finalités spécifiques du traitement devraient être explicites. [Am. 9]

(19) Aux fins de la prévention des infractions pénales, et des enquêtes et poursuites en la matière, les autorités compétentes ont besoin de conserver et de traiter des données à caractère personnel, collectées dans le contexte de la prévention et de la détection d’infractions pénales spécifiques, et des enquêtes et poursuites en la matière et, au-delà de ce contexte, pour acquérir une meilleure compréhension des phénomènes criminels et des tendances qui les caractérisent, recueillir des renseignements sur les réseaux criminels organisés et établir des liens entre les différentes infractions mises au jour. [Am. 10]

(20) Des données à caractère personnel ne devraient pas être traitées à des fins incompatibles avec la finalité pour laquelle elles ont été collectées. Les données à caractère personnel traitées devraient être adéquates, pertinentes et non excessives au regard des finalités du traitement. Il y a lieu de prendre toutes les mesures raisonnables afin que les données à caractère personnel qui sont inexactes soient rectifiées ou effacées. [Am. 11]

(20 bis) Le simple fait que deux finalités se rapportent toutes deux à la prévention et à la détection des infractions pénales, ou aux enquêtes et aux poursuites en la matière, ou à l'exécution de sanctions pénales, ne signifie pas nécessairement que ces finalités sont compatibles. Cependant, dans certains cas, un traitement ultérieur servant des finalités incompatibles devrait être possible si cela s'avère nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis, à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne, ou à la prévention d'une menace grave et immédiate pour la sécurité publique. Les États membres devraient dès lors pouvoir adopter une législation nationale prévoyant de telles dérogations, dans la mesure strictement nécessaire. Cette législation nationale devrait contenir des garanties adéquates. [Am. 12]

(21) Il conviendrait d'appliquer le principe d'exactitude des données en tenant compte de la nature et de la finalité du traitement concerné. Dans le cadre des procédures judiciaires, notamment, les déclarations contenant des données à caractère personnel sont fondées sur des perceptions personnelles subjectives et, dans certains cas, ne sont pas toujours vérifiables. En conséquence, l’exigence d’exactitude ne devrait pas porter sur l'exactitude de la déclaration elle-même mais simplement sur le fait qu'une déclaration spécifique a été faite.

(22) Dans l'interprétation et l'application des principes généraux relatifs au traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière, ou d'exécution de sanctions pénales, il convient de tenir compte des particularités du domaine, y compris des objectifs spécifiques poursuivis. [Am. 13]

(23) Le traitement des données à caractère personnel dans les domaines de la coopération judiciaire en matière pénale et de la coopération policière implique nécessairement le traitement de données à caractère personnel concernant différentes catégories de personnes. Il importe donc d’établir une distinction aussi claire que possible entre les données à caractère personnel concernant différentes catégories de personnes, telles que les suspects, les personnes reconnues coupables d'une infraction pénale, les victimes et les tiers, tels que les témoins, les personnes détenant des informations ou des contacts utiles, et les complices de personnes soupçonnées ou condamnées. Des règles spécifiques sur les conséquences de cette catégorisation devraient être prévues par les États membres, en tenant compte des différentes finalités pour lesquelles les données sont collectées et en prévoyant des garanties spécifiques pour les personnes qui ne sont pas soupçonnées d'avoir commis ou qui n'ont pas été reconnues coupables d'avoir commis une infraction pénale. [Am. 14]

(24) Il convient, dans la mesure du possible, de différencier les données à caractère personnel en fonction de leur degré d'exactitude et de fiabilité. Il y a lieu de distinguer les faits des appréciations personnelles, afin de garantir à la fois la protection des personnes physiques et la qualité et la fiabilité des informations traitées par les autorités compétentes.

(25) Pour être licite, le traitement des données à caractère personnel devrait seulement être autorisé lorsqu'il est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis, à l'exécution d'une mission d'intérêt général par une autorité compétente, fondée sur le droit , à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne, ou à la prévention d'une menace grave et immédiate pour la sécurité publique de l'Union ou d’un État membre qui devrait contenir des dispositions explicites et détaillées du moins en ce qui concerne les objectifs, les données à caractère personnel, les finalités et moyens précis, désigner le responsable du traitement ou en autoriser la désignation, préciser les procédures à suivre, l'utilisation et les limitations applicables à l’étendue de tout pouvoir discrétionnaire accordé aux autorités compétentes en ce qui concerne les activités de traitement . [Am. 15]

(25 bis) Des données à caractère personnel ne devraient pas être traitées à des fins incompatibles avec la finalité pour laquelle elles ont été collectées. Le traitement ultérieur par des autorités compétentes à des fins relevant du champ d'application de la présente directive qui ne sont pas compatibles avec la finalité initiale ne devrait être autorisé que dans des cas spécifiques dans lesquels ce traitement est nécessaire au respect d'une obligation légale prévue par le droit de l'Union ou d'un État membre auquel le responsable du traitement est soumis, ou pour protéger les intérêts vitaux de la personne concernée ou d'une autre personne, ou pour prévenir une menace grave et immédiate pour la sécurité publique. Le fait que des données soient traitées à des fins répressives n'implique pas nécessairement que cette finalité est compatible avec la finalité initiale. La notion de compatibilité d'utilisation doit être interprétée de manière restrictive. [Am. 16]

(25 ter) Il convient de mettre un terme à tout traitement de données à caractère personnel contraire aux dispositions nationales adoptées en vertu de la présente directive. [Am. 17]

(26) Les données à caractère personnel qui sont, par nature, particulièrement sensibles et vulnérables du point de vue des droits fondamentaux et de la vie privée, notamment les données génétiques, méritent une protection spécifique. Ces données ne devraient pas faire l’objet d’un traitement, à moins que celui celui-ci ne soit spécifiquement autorisé par une loi nécessaire à l'exécution d'une mission effectuée dans l'intérêt général, fondée sur le droit de l'Union ou d'un État membre prévoyant des mesures appropriées de sauvegarde des droits fondamentaux et intérêts légitimes de la personne concernée; qu’il ne soit nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne; ou qu'il ne porte sur des données manifestement rendues publiques par la personne concernée. Les données à caractère personnel sensibles ne devraient faire l'objet d'un traitement que si elles complètent d'autres données à caractère personnel déjà traitées à des fins répressives. Toute dérogation à l'interdiction du traitement de données sensibles devrait être interprétée de façon restrictive et ne pas entraîner de traitement fréquent, massif ou structurel de données à caractère personnel sensibles. [Am. 18]

(26 bis) Le traitement de données génétiques ne devrait être autorisé qu'en cas de lien génétique mis au jour dans le cadre d'une enquête criminelle ou d'une procédure judiciaire. Les données génétiques ne devraient être conservées que pendant la durée strictement nécessaire aux fins de telles enquêtes ou procédures, étant entendu que les États membres peuvent prévoir des durées de conservation plus longues selon les conditions énoncées par la présente directive. [Am. 19]

(27) Toute personne physique devrait avoir le droit de ne pas être soumise à une mesure fondée exclusivement sur un sur un profilage partiel ou total par traitement automatisé si cette dernière . Un tel traitement qui produit des effets juridiques défavorables pour la personne concernée, ou l'affecte de façon significative, devrait être interdit, à moins que la mesure qu'il ne soit autorisée autorisé par la loi et subordonnée subordonné à des mesures appropriées de sauvegarde des droits fondamentaux et des intérêts légitimes de la personne concernée , y compris le droit d'obtenir des informations pertinentes sur la logique sous-tendant le profilage . Ce traitement ne devrait en aucun cas contenir, produire ou discriminer des données sur la base de catégories particulières de données . [Am. 20]

(28) Afin de permettre aux personnes concernées d’exercer leurs droits, toute information leur étant destinée devrait être aisément accessible et facile à comprendre, et notamment formulée en termes simples et clairs. Ces informations devraient être adaptées aux besoins des personnes concernées, en particulier lorsqu'une information est adressée spécifiquement à un enfant. [Am. 21]

(29) Des modalités devraient être prévues pour faciliter l'exercice par la personne concernée des droits qui lui sont conférés par la présente directive, notamment les moyens de demander sans frais l'accès aux données, leur rectification ou leur effacement. Le responsable du traitement devrait être tenu de répondre aux demandes de la personne concernée sans retard indu et dans un délai d'un mois à compter de la réception de la demande . Lorsque des données à caractère personnel font l'objet d'un traitement automatisé, le responsable du traitement devrait fournir les moyens d'effectuer des demandes par voie électronique . [Am. 22]

(30) Le principe de traitement loyal et transparent exige que la personne concernée soit informée, en particulier, de l'existence du traitement et de ses finalités, de sa base juridique, de la durée pendant laquelle les données seront conservées, de l’existence d’un droit d’accès, de rectification ou d’effacement, ainsi que de son droit d'introduire une réclamation. La personne concernée devrait en outre être informée de l'éventuelle occurrence d'un profilage et de ses conséquences escomptées. Lorsque les données sont collectées auprès de la personne concernée, il importe que celle-ci sache également si elle est obligée de fournir ces informations et à quelles conséquences elle s'expose si elle ne les fournit pas. [Am. 23]

(31) L'information sur le traitement des données à caractère personnel devrait être donnée à la personne concernée au moment où ces données sont recueillies ou, si la collecte des données n'a pas lieu auprès de la personne concernée, au moment de leur enregistrement ou dans un délai raisonnable, après la collecte, eu égard aux circonstances particulières du traitement.

(32) Toute personne devrait avoir le droit d'accéder aux données qui ont été collectées à son sujet et d'exercer ce droit facilement, afin de s'informer du traitement qui en est fait et d'en vérifier la licéité. En conséquence, chaque personne concernée devrait avoir le droit de connaître et de se faire communiquer, en particulier, la finalité du traitement des données, la base juridique , la durée de la conservation des données, ainsi que l'identité des destinataires des données, y compris dans des pays tiers , des informations intelligibles relatives à la logique qui sous-tend tout traitement automatisé et l'importance et les conséquences envisagées de ce traitement, le cas échéant, et au droit d'introduire une réclamation auprès de l'autorité de contrôle ainsi que les coordonnées de cette dernière . Les personnes concernées devraient pouvoir obtenir une copie de leurs données à caractère personnelfaisant l’objet d’un traitement. [Am. 24]

(33) Les États membres devraient être autorisés à adopter des mesures législatives visant à retarder ou à limiter l'information des personnes concernées ou leur accès aux données à caractère personnel les concernant, ou à ne pas leur accorder cette information ou cet accès, dans la mesure où et aussi longtemps qu'une telle limitation partielle ou complète représente une mesure nécessaire et proportionnée dans une société démocratique, compte dûment tenu des droits fondamentaux et des intérêts légitimes de la personne concernée, afin d'éviter que des recherches, enquêtes ou procédures officielles ou légales ne soient entravées, d'éviter de nuire à la prévention et à la détection des infractions pénales, aux enquêtes et poursuites en la matière, ou à l'exécution de sanctions pénales, ou afin de protéger la sécurité publique ou la sûreté de l’État, ou de protéger la personne concernée ou les droits et libertés d'autrui. Le responsable du traitement devrait évaluer s’il convient d’appliquer une limitation partielle ou complète d’accès en procédant à un examen concret et individuel dans chaque cas. [Am. 25]

(34) Tout refus d'accès ou toute limitation de celui-ci devrait être présenté par écrit à la personne concernée, en indiquant les motifs factuels ou juridiques sur lesquels la décision est fondée.

(34 bis) Toute limitation des droits de la personne concernée doit être conforme à la charte et à la convention européenne des droits de l'homme, telles qu'elles ont été interprétées par la Cour de justice de l'Union européenne et par la Cour européenne des droits de l'homme dans leur jurisprudence, et notamment respecter le contenu essentiel des droits et libertés. [Am. 26]

(35) Lorsqu’un État membre a adopté des mesures législatives limitant entièrement ou partiellement le droit d'accès, la personne concernée devrait avoir le droit de demander à l'autorité de contrôle nationale compétente de vérifier la licéité du traitement. La personne concernée devrait être informée de ce droit. Lorsque le droit d'accès est exercé par l'autorité de contrôle au nom de la personne concernée, l’autorité de contrôle devrait au moins informer cette dernière que toutes les vérifications nécessaires ont été effectuées et de sa conclusion concernant la licéité du traitement en question. L'autorité de contrôle devrait également informer la personne concernée de son droit de former un recours juridictionnel. [Am. 27]

(36) Toute personne devrait avoir le droit de faire rectifier des données à caractère personnel inexactes ou ayant fait l'objet d'un traitement illicite la concernant, et disposer d'un droit d’effacement lorsque le traitement de ces données n'est pas conforme aux principes généraux énoncés dispositions de la présente directive. Cette rectification, ce complément ou cet effacement devraient être communiqués aux destinataires auxquels les données ont été communiquées et aux tiers à l'origine des données inexactes. Les responsables du traitement devraient également cesser de diffuser ces données. Lorsque les données à caractère personnel sont traitées dans le cadre d’une enquête judiciaire ou d’une procédure pénale, le droit à l'information, le droit d'accès, de rectification et d'effacement, et le droit de limitation du traitement peuvent être exercés conformément aux règles nationales de procédure pénale. [Am. 28]

(37) Il y a lieu d'instaurer une responsabilité globale du responsable du traitement pour tout traitement de données à caractère personnel qu'il effectue lui-même ou qui est réalisé pour son compte. En particulier, le responsable du traitement devrait veiller à la conformité des opérations de chaque opération de traitement avec les règles adoptées en vertu de la présente directive et être tenu de pouvoir en apporter la preuve . [Am. 29]

(38) La protection des droits et libertés des personnes concernées à l’égard du traitement des données à caractère personnel les concernant exige l’adoption de mesures techniques et organisationnelles appropriées, afin de satisfaire aux exigences prévues par la présente directive. Afin de garantir la conformité du traitement avec les dispositions adoptées en application de la présente directive, le responsable du traitement devrait adopter des règles internes et mettre en œuvre les mesures appropriées, respectant notamment les principes de protection des données dès la conception et de protection des données par défaut.

(39) La protection des droits et libertés des personnes concernées, de même que la responsabilité des responsables du traitement et de leurs sous-traitants, exige une répartition claire des responsabilités au titre de la présente directive, notamment dans le cas où le responsable du traitement détermine les finalités, les conditions et les moyens du traitement conjointement avec d'autres responsables du traitement, ou lorsqu'un traitement est effectué pour le compte d'un responsable du traitement. La personne concernée devrait avoir le droit d'exercer ses droits au titre de la présente directive à l'égard et à l'encontre de chacun des responsables conjoints du traitement. [Am. 30]

(40) Les activités de traitement devraient être documentées par le responsable du traitement ou le sous-traitant, afin de permettre un contrôle de la conformité du traitement avec la présente directive. Chaque responsable du traitement et sous-traitant devrait être tenu de coopérer avec l'autorité de contrôle et de mettre cette documentation à sa disposition sur demande pour qu'elles servent au contrôle des opérations de traitement.

(40 bis) Un relevé de chaque opération de traitement de données à caractère personnel devrait être établi afin de permettre la vérification de la licéité du traitement des données, l’autocontrôle et de garantir l'intégrité et la sécurité des données. Ces relevés devraient être mis à la disposition de l'autorité de contrôle sur demande pour servir au contrôle du respect des dispositions de la présente directive. [Am. 31]

(40 ter) Lorsqu'un traitement est, du fait de sa nature, de sa portée ou de ses finalités, susceptible de présenter des risques particuliers pour les droits et les libertés des personnes concernées, le responsable du traitement ou le sous-traitant devrait effectuer une analyse d'impact relative à la protection des données portant notamment sur les mesures envisagées, les garanties et les mécanismes visant à assurer la protection des données à caractère personnel et à apporter la preuve de la conformité avec la présente directive. Les analyses d'impact devraient porter sur les systèmes et processus pertinents des opérations de traitement de données à caractère personnel, et non sur des cas individuels. [Am. 32]

(41) Afin de garantir, au moyen d’actions préventives, une protection effective des droits et libertés des personnes concernées, le responsable du traitement ou le sous-traitant devrait, dans certains cas, consulter l’autorité de contrôle avant d’entamer le traitement. De plus, lorsqu'une analyse d'impact relative à la protection des données indique que des opérations de traitement sont susceptibles d'exposer les droits et libertés des personnes concernées à un degré élevé de risques particuliers, l'autorité de contrôle devrait être en mesure d'empêcher, avant le début de l'opération, un traitement risqué non conforme à la présente directive, et de formuler des propositions visant à remédier à une telle situation. Cette consultation peut également avoir lieu pendant l'élaboration d'une mesure législative du parlement national, ou d'une mesure fondée sur une telle mesure législative définissant la nature du traitement et instaurant les garanties appropriées. [Am. 33]

(41 bis) Afin de préserver la sécurité et de prévenir tout traitement contraire à la présente directive, il importe que le responsable du traitement ou le sous-traitant évalue les risques inhérents au traitement et mette en oeuvre des mesures pour les atténuer. Ces mesures devraient assurer un niveau de sécurité approprié compte tenu, d'une part, des techniques les plus récentes et de leur coût de mise en œuvre, et, d'autre part, des risques présentés par les traitements et de la nature des données à protéger. Il convient de promouvoir la neutralité technologique lors de l'établissement de normes techniques et de mesures organisationnelles destinées à garantir la sécurité du traitement. [Am. 34]

(42) Une violation de données à caractère personnel risque, si l'on n'intervient pas à temps et de manière appropriée, de causer un dommage une grave perte économique et des dommages sociaux importants , notamment une atteinte à la réputation de usurpation d'identité, à la personne physique concernée. En conséquence, dès que le responsable du traitement apprend qu’une telle violation s’est produite, il convient qu'il la notifie à l’autorité nationale compétente. Les personnes physiques dont les données à caractère personnel ou la vie privée pourraient être affectées par la violation devraient en être averties sans retard injustifié afin de leur permettre de prendre les précautions qui s’imposent. Il y a lieu de considérer qu'une violation affecte les données à caractère personnel ou la vie privée d'une personne physique lorsqu'il peut en résulter, par exemple, un vol ou une usurpation d'identité, un dommage physique, une humiliation grave ou une atteinte à la réputation, consécutifs au traitement des données à caractère personnel. La notification devrait comporter des informations sur les mesures prises par le fournisseur pour remédier à cette violation, ainsi que des recommandations à l'intention de l'abonné ou de la personne concernée. Il convient que les notifications aux personnes concernées soient effectuées aussi rapidement que possible, en coopération étroite avec l'autorité de contrôle, et dans le respect des orientations fournies par celle-ci. [Am. 35]

(43) Lors de la fixation des règles détaillées concernant la forme et les procédures applicables à la notification des violations de données à caractère personnel, il convient de tenir dûment compte des circonstances de la violation, notamment du fait que les données à caractère personnel étaient ou non protégées par des mesures de protection techniques appropriées limitant efficacement le risque d’abus. Par ailleurs, ces règles et procédures devraient tenir compte des intérêts légitimes des autorités compétentes dans les cas où une divulgation prématurée risquerait d’entraver inutilement l’enquête sur les circonstances de la violation.

(44) Le responsable du traitement ou le sous-traitant devrait désigner une personne chargée de l'aider à contrôler et à démontrer la bonne application des dispositions adoptées en vertu de la présente directive. Un Lorsque plusieurs autorités compétentes agissent sous le contrôle d'une autorité centrale, il devrait incomber au moins à cette autorité centrale de désigner ce délégué à la protection des données peut être désigné conjointement par plusieurs entités de l'autorité compétente. Les délégués à la protection des données doivent être en mesure d'accomplir leurs missions et obligations de manière effective et en toute indépendance , en particulier en fixant des règles évitant les conflits d'intérêts avec d'autres missions que ces délégués accomplissent . [Am. 36]

(45) Les États membres devraient veiller à ce qu'un transfert vers un pays tiers n'ait lieu que s'il si ce transfert spécifique est nécessaire à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière, ou d'exécution de sanctions pénales, et si le responsable du traitement dans le pays tiers ou dans l'organisation internationale est une autorité publique compétente au sens de la présente directive. Un transfert peut avoir lieu lorsque la Commission a décidé que le pays tiers ou l'organisation internationale en question garantit un niveau adéquat de protection, ou lorsque des garanties appropriées ont été offertes , ou lorsque des garanties appropriées ont été offertes dans un instrument juridiquement contraignant . Les données transférées aux autorités publiques compétentes dans les pays tiers ne devraient pas faire l'objet d'un traitement ultérieur pour d'autres finalités que celle pour laquelle elles ont été transférées . [Am. 37]

(45 bis) Un transfert ultérieur par les autorités compétentes des pays tiers ou des organisations internationales auxquels des données à caractère personnel ont été transférées ne devrait être autorisé que si ce transfert ultérieur est nécessaire pour la même finalité spécifique que celle du transfert initial, et si le deuxième destinataire est également une autorité publique compétente. Les transferts ultérieurs à des fins d'application générale de la loi ne devraient pas être autorisés. L'autorité compétente qui a procédé au transfert initial devrait avoir donné son accord au transfert ultérieur. [Am. 38]

(46) La Commission peut décider, avec effet dans l'ensemble de l'Union, que certains pays tiers, un territoire ou un secteur de traitement de données dans un pays tiers, ou une organisation internationale offrent un niveau adéquat de protection des données, ce qui assurera une sécurité juridique et une uniformité dans toute l'Union en ce qui concerne les pays tiers ou les organisations internationales qui sont réputés assurer un tel niveau de protection. Dans ce cas, les transferts de données à caractère personnel vers ces pays peuvent avoir lieu sans qu'il soit nécessaire d'obtenir une autre autorisation.

(47) Eu égard aux valeurs fondamentales sur lesquelles est fondée l'Union, en particulier la protection des droits de l'homme, la Commission devrait prendre en considération la manière dont ce pays tiers respecte l'état de droit, garantit l’accès à la justice et observe les règles et normes internationales dans le domaine des droits de l'homme.

(48) La Commission devrait également pouvoir constater qu’un pays tiers, un territoire ou un secteur de traitement de données dans un pays tiers, ou une organisation internationale n'offre pas un niveau adéquat de protection des données. Si tel est le cas, le transfert de données à caractère personnel vers ce pays tiers devrait être interdit, sauf lorsqu'il est fondé sur une convention internationale, des garanties appropriées ou une dérogation. Il y aurait lieu de prévoir des procédures de consultation entre la Commission et le pays tiers ou l'organisation internationale. Cependant, une telle décision de la Commission s’entend sans préjudice de la possibilité d'effectuer des transferts sur le fondement de garanties appropriées au moyen d'instruments juridiquement contraignants ou d'une dérogation prévue par la directive. [Am. 39]

(49) Les transferts qui ne sont pas fondés sur une décision relative au caractère adéquat du niveau de protection ne devraient être autorisés que lorsque des garanties appropriées ont été offertes dans un instrument juridiquement contraignant, assurant la protection des données à caractère personnel, ou lorsque le responsable du traitement ou le sous-traitant a évalué toutes les circonstances entourant le transfert ou la série de transferts de données et estime, au vu de cette évaluation, qu'il existe des garanties appropriées au regard de la protection des données à caractère personnel. Lorsqu'il n'y a pas de motif d'autoriser le transfert, des dérogations devraient être permises si elles sont nécessaires à la sauvegarde des intérêt vitaux de la personne concernée ou d'une autre personne, à la préservation des intérêts légitimes de la personne concernée, si le droit de l'État membre qui transfère les données à caractère personnel le prévoit, ou si les dérogations sont indispensables à la prévention d'une menace grave et immédiate pour la sécurité publique d'un État membre ou d'un pays tiers, ou, dans certains cas, à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière, ou d'exécution des sanctions pénales, ou, dans des cas particuliers, à la constatation, l'exercice ou la défense d'un droit en justice. [Am. 40]

(49 bis) Lorsqu'il n'y a pas de motif d'autoriser le transfert, des dérogations devraient être permises si elles sont nécessaires à la protection des intérêts vitaux de la personne concernée ou d'une autre personne, à la préservation des intérêts légitimes de la personne concernée, si le droit de l'État membre qui transfère les données à caractère personnel le prévoit, ou si les dérogations sont indispensables à la prévention d'une menace grave et immédiate pour la sécurité publique d'un État membre ou d'un pays tiers, ou, dans des cas particuliers, à des fins de prévention et de détection des infractions pénales, d'enquête et de poursuites en la matière, ou d'exécution de sanctions pénales, ou, dans des cas particuliers, à la constatation, l'exercice ou la défense d'un droit en justice. Ces dérogations devraient être interprétées de manière restrictive et ne devraient pas permettre un transfert fréquent, massif et structurel de données à caractère personnel ni un transfert global de données qui devrait être limité aux données strictement nécessaires. De plus, la décision de transfert devrait être prise par une personne dûment autorisée et le transfert doit être documenté et devrait être mis à la disposition de l'autorité de contrôle sur demande à des fins de vérification de la licéité du transfert. [Am. 41]

(50) Lorsque des données à caractère personnel franchissent les frontières, elles accroissent le risque que les personnes physiques ne puissent exercer leur droit à la protection des données pour se protéger de l’utilisation ou la divulgation illicite de ces dernières. De même, les autorités de contrôle peuvent être confrontées à l'impossibilité d'examiner des réclamations ou de mener des enquêtes sur les activités exercées en dehors de leurs frontières. Leurs efforts pour collaborer dans le contexte transfrontière peuvent également être freinés par les pouvoirs de prévention ou de réparation insuffisants dont elles disposent ou par l'hétérogénéité des régimes juridiques. En conséquence, il est nécessaire de favoriser une coopération plus étroite entre les autorités de contrôle chargées de la protection des données, afin qu'elles puissent échanger des informations avec leurs homologues étrangers.

(51) L'institution d'autorités de contrôle dans les États membres, exerçant leurs fonctions en toute indépendance, est un élément essentiel de la protection des personnes physiques à l'égard du traitement des données à caractère personnel. Il appartiendrait aux autorités de contrôle de surveiller l'application des dispositions de la présente directive et de contribuer à ce que cette application soit uniforme dans l'ensemble de l'Union, pour protéger les personnes physiques à l'égard du traitement de leurs données à caractère personnel. À cet effet, il convient que les autorités de contrôle coopèrent entre elles et avec la Commission. [Am. 42]

(52) Les États membres peuvent confier à une autorité de contrôle déjà créée dans les États membres u titre du règlement (UE) no …./2014 la responsabilité des missions qui incombent aux autorités nationales de contrôle à instituer au titre de la présente directive.

(53) Les États membres devraient avoir la possibilité d'instituer plusieurs autorités de contrôle pour s'aligner sur leur structure constitutionnelle, organisationnelle et administrative. Il convient que chaque autorité de contrôle soit dotée de tous les moyens financiers et humains appropriés, ainsi que des locaux et des infrastructures, y compris des capacités techniques, de l'expérience et des qualifications, nécessaires à la bonne exécution de ses tâches, y compris celles qui sont liées à l'assistance mutuelle et à la coopération avec d'autres autorités de contrôle dans l'ensemble de l'Union. [Am. 43]

(54) Les conditions générales applicables aux membres de l’autorité de contrôle devraient être fixées par la loi dans chaque État membre, prévoir notamment que ces membres sont nommés par le parlement ou par le gouvernementde l’État membre, sur la base d'une consultation du parlement, et comprendre des dispositions régissant la qualification et la fonction de ces membres. [Am. 44]

(55) Bien que la présente directive s'applique également aux activités des juridictions nationales, la compétence des autorités de contrôle ne devrait pas s'étendre aux traitements de données à caractère personnel effectués par les juridictions dans le cadre de leur fonction juridictionnelle, afin de préserver l'indépendance des juges dans l'exercice de leurs fonctions judiciaires. Il convient toutefois que cette exception soit limitée aux activités purement judiciaires intervenant dans le cadre d'affaires portées devant les juridictions et qu'elle ne s'applique pas aux autres activités auxquelles les juges pourraient être associés en vertu du droit national.

(56) Afin d'assurer la cohérence du contrôle et de l'application de la présente directive dans l'ensemble de l'Union, les autorités de contrôle devraient avoir, dans chaque État membre, les mêmes missions et pouvoirs effectifs, dont des pouvoirs d'enquête, effectifs , le droit d'accéder à toutes les données à caractère personnel et à toutes les informations nécessaires à l'exercice de chaque fonction de surveillance, le droit d'accéder à tous les locaux des responsables du traitement ou des sous-traitants, y compris à toute installation de traitement des données, des pouvoirs d'intervention juridiquement contraignante, de décision et de sanction, en particulier en cas de réclamation introduite par des personnes physiques, et le pouvoir d'ester en justice. [Am. 45]

(57) Chaque autorité devrait recevoir les réclamations des personnes concernées et examiner les affaires en question. L’enquête faisant suite à une réclamation devrait être menée, sous contrôle juridictionnel, dans la mesure appropriée requise par l'affaire. L'autorité de contrôle devrait informer la personne concernée de l'état d'avancement et du résultat de la réclamation dans un délai raisonnable. Si l'affaire requiert un complément d'enquête ou une coordination avec une autre autorité de contrôle, des informations intermédiaires devraient être fournies à la personne concernée.

(58) Les autorités de contrôle devraient se prêter mutuellement assistance dans l’exercice de leurs fonctions, afin d'assurer une application et une exécution cohérentes des dispositions adoptées en vertu de la présente directive. Chaque autorité de contrôle devrait être disposée à participer à des opérations conjointes. L'autorité de contrôle requise devrait être tenue de répondre à la demande dans un délai déterminé. [Am. 46]

(59) Le comité européen de la protection des données institué par le règlement (UE) …/2012 2014 devrait contribuer à l'application cohérente de la présente directive dans toute l'Union, notamment en conseillant la Commission et les institutions de l'Union, en favorisant la coopération des autorités de contrôle dans l'ensemble de l'Union , et donner son avis à la Commission dans le cadre de l'élaboration des actes délégués et des actes d'exécution fondés sur la présente directive . [Am. 47]

(60) Toute personne concernée devrait avoir le droit d'introduire une réclamation auprès d'une autorité de contrôle dans tout État membre et disposer d'un droit de recours si elle estime que les droits que lui confère la présente directive ne sont pas respectés, si l’autorité de contrôle ne donne pas suite à une réclamation ou si elle n’agit pas alors qu'une action est nécessaire pour protéger les droits de la personne concernée.

(61) Tout organisme, organisation ou association qui œuvre à la protection des droits et intérêts des personnes concernées dans le domaine de la protection des données les concernant et qui est qui agit dans l'intérêt général et qui est constitué conformément au droit d’un État membre devrait avoir le droit d'introduire une réclamation ou d'exercer le droit de recours pour le compte de personnes concernées l'ayant mandaté à cet effet, ou d'introduire une réclamation en son propre nom, indépendamment de celle d'une personne concernée, dans les cas où l'organisme, l'organisation ou l'association considère qu'une violation de données à caractère personnel a été commise. [Am. 48]

(62) Toute personne physique ou morale devrait disposer d'un droit de recours contre les décisions d'une autorité de contrôle qui la concernent. Les actions contre une autorité de contrôle devraient être intentées devant les juridictions de l’État membre sur le territoire duquel l'autorité de contrôle est établie.

(63) Les États membres devraient veiller à ce que les actions en justice, pour être efficaces, permettent l'adoption rapide de mesures visant à réparer ou à prévenir une violation de la présente directive.

(64) Tout dommage , y compris les dommages non pécuniaires, qu'une personne pourrait subir du fait d'un traitement illicite devrait être réparé par le responsable du traitement ou le sous-traitant, qui peut cependant s'exonérer de sa responsabilité s'il prouve que le dommage ne lui est pas imputable, notamment s'il établit l'existence d'une faute de la personne concernée, ou en cas de force majeure. [Am. 49]

(65) Toute personne physique ou morale, soumise au droit privé ou au droit public, qui ne respecte pas la présente directive devrait faire l'objet de sanctions pénales. Les États membres devraient veiller à ce que les sanctions soient effectives, proportionnées et dissuasives, et prendre toutes mesures nécessaires à leur application.

(65 bis) La transmission de données à caractère personnel à d'autres autorités ou à des tiers privés dans l'Union est interdite sauf si celle-ci est conforme à la législation et que le destinataire est établi dans un État membre et qu'aucun intérêt spécifique légitime de la personne concernée n'empêche la transmission, et que la transmission est nécessaire, dans un cas particulier, pour le responsable du traitement qui transmet les données à caractère personnel, soit pour exécuter une tâche qui lui a été légalement assignée, soit pour prévenir un danger grave et immédiat pour la sécurité publique, soit encore pour prévenir une atteinte grave aux droits des personnes. Le responsable du traitement devrait informer le destinataire de la finalité du traitement et l'autorité de contrôle de la transmission. Il convient également de veiller à ce que le destinataire soit informé des limitations du traitement et de garantir le respect de ces limitations. [Am. 50]

(66) Afin de réaliser les objectifs de la présente directive, à savoir la protection des libertés et droits fondamentaux des personnes physiques, et en particulier de leur droit à la protection des données à caractère personnel, et pour garantir le libre échange de ces dernières par les autorités compétentes au sein de l’Union, il convient de déléguer à la Commission le pouvoir d'adopter des actes conformément à l’article 290 du traité sur le fonctionnement de l'Union européenne. En particulier, des actes délégués devraient être adoptés en ce qui concerne la notification des violations de données à caractère personnel à l'autorité de contrôle pour préciser davantage les critères et conditions des opérations de traitement nécessitant une analyse d'impact relative à la protection des données; les critères et exigences en cas de violations de données et en ce qui concerne le niveau adéquat de protection atteint par un pays tiers, un territoire ou un secteur de traitement des données dans ce pays tiers, ou une organisation internationale . Il importe particulièrement que la Commission procède aux consultations appropriées durant son travail préparatoire, y compris au niveau des experts , en particulier avec le comité européen de la protection des données . Il convient que, lorsqu’elle prépare et élabore des actes délégués, la Commission veille à ce que les documents pertinents soient transmis simultanément, en temps utile et de façon appropriée, au Parlement européen et au Conseil. [Am. 51]

(67) Afin d’assurer des conditions uniformes d’exécution de la présente directive en ce qui concerne la documentation tenue par les responsables du traitement et les sous-traitants, la sécurité du traitement, notamment en matière de normes de cryptage, et la notification d'une violation des données à caractère personnel à l'autorité de contrôle, et le niveau adéquat de protection atteint par un pays tiers, un territoire ou un secteur de traitement des données dans ce pays tiers, ou une organisation internationale, il convient de conférer des compétences d'exécution à la Commission. Ces compétences devraient être exercées en conformité avec le règlement (UE) no 182/2011 du Parlement européen et du Conseil du 16 février 2011 établissant les règles et principes généraux relatifs aux modalités de contrôle par les États membres de l'exercice des compétences d'exécution par la Commission (6). [Am. 52]

(68) Il convient d’avoir recours à la procédure d'examen pour l'adoption de mesures relatives à la documentation tenue par les responsables du traitement et les sous-traitants, à la sécurité du traitement, et à la notification d'une violation des données à caractère personnel à l'autorité de contrôle, et au niveau adéquat de protection atteint par un pays tiers, un territoire ou un secteur de traitement des données dans ce pays tiers, ou une organisation internationale, puisque ces actes sont de portée générale. [Am. 53]

(69) La Commission devrait adopter des actes d’exécution immédiatement applicables lorsque, dans des cas dûment justifiés concernant un pays tiers, un territoire ou secteur de traitement des données dans ce pays tiers, ou une organisation internationale, qui n'assure pas un niveau de protection adéquat, des raisons d’urgence impérieuses l’exigent. [Am. 54]

(70) Étant donné que les objectifs de la présente directive, à savoir protéger les libertés et les droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données personnelles, et garantir le libre échange de ces dernières par les autorités compétentes au sein de l’Union, ne peuvent pas être atteints de manière suffisante par les États membres et mais peuvent, en raison des dimensions ou des effets de l'action, l’être mieux au niveau de l'Union, celle-ci peut prendre des mesures, conformément au principe de subsidiarité consacré à l'article 5 du traité sur l'Union européenne. Conformément au principe de proportionnalité tel qu’énoncé audit article, la présente directive n’excède pas ce qui est nécessaire pour atteindre cet objectif, ces objectifs. Les États membres peuvent prévoir des normes plus élevées que celles établies par la présente directive. [Am. 55]

(71) La décision-cadre 2008/977/JAI devrait être abrogée par la présente directive.

(72) Les dispositions spécifiques concernant le traitement des données à caractère personnel par les autorités compétentes aux fins de la prévention et de la détection des infractions pénales, d'enquêtes et de poursuites en la matière, ou de l'exécution de sanctions pénales, mentionnées dans des actes de l'Union adoptés avant la date d'adoption de la présente directive, qui régissent le traitement de données à caractère personnel entre États membres ou l'accès d'autorités désignées des États membres aux systèmes d'information créés en vertu des traités, devraient demeurent inchangées. La Étant donné que l'article 8 de la charte et l'article 16 du traité sur le fonctionnement de l'Union européenne impliquent que le droit fondamental à la protection des données à caractère personnel devrait être garanti de manière systématique et homogène dans l'ensemble de l'Union, la Commission devrait évaluer , dans les deux ans suivant la date d’entrée en vigueur de la présente directive, la situation en ce qui concerne la relation entre la présente directive et les actes adoptés avant la date de son adoption, qui régissent le traitement des données à caractère personnel entre États membres ou l'accès d'autorités désignées des États membres aux systèmes d'information créés en vertu des traités, afin d'apprécier la nécessité de mettre ces dispositions spécifiques en conformité avec et devrait présenter des propositions adéquates en vue d'assurer la cohérence et l'homogénéité des règles juridiques relatives au traitement des données à caractère personnel par les autorités compétentes ou à l'accès des autorités désignées des États membres aux systèmes d'information créés en vertu des traités ainsi qu'au traitement des données à caractère personnel par les institutions, organes et organismes de l'Union, à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière, ou d'exécution de sanctions pénales relevant du champ d’application de la présente directive. [Am. 56]

(73) Afin d'assurer une protection exhaustive et cohérente des données à caractère personnel dans l'Union, il convient de modifier les conventions et accords internationaux conclus par l'Union ou par les États membres avant l'entrée en vigueur de la présente directive, pour les harmoniser avec cette dernière. [Am. 57]

(74) La présente directive est sans préjudice des dispositions relatives à la lutte contre les abus sexuels et l’exploitation sexuelle des enfants, ainsi que la pédopornographie, prévues dans la directive 2011/93/UE du Parlement européen et du Conseil (7).

(75) Conformément à l'article 6 bis du protocole no 21 sur la position du Royaume-Uni et de l'Irlande à l'égard de l'espace de liberté, de sécurité et de justice, annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, le Royaume-Uni et l'Irlande ne sont pas liés par les règles fixées dans la présente directive lorsque le Royaume-Uni et l'Irlande ne sont pas liés par les règles qui régissent des formes de coopération judiciaire en matière pénale ou de coopération policière dans le cadre desquelles les dispositions fixées sur la base de l'article 16 du traité sur le fonctionnement de l'Union européenne doivent être respectées.

(76) Conformément aux articles 2 et 2 bis du protocole no 22 sur la position du Danemark, annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, le Danemark n'est pas lié par la présente directive ni soumis à son application. Étant donné que la présente directive développe l'acquis de Schengen, en vertu du titre V de la troisième partie du traité sur le fonctionnement de l'Union européenne, le Danemark décidera, conformément à l'article 4 dudit protocole, dans un délai de six mois après l'adoption de la présente directive, s'il transposera celle-ci dans son droit national. [Am. 58]

(77) En ce qui concerne l’Islande et la Norvège, la présente directive constitue un développement des dispositions de l'acquis de Schengen au sens de l'accord conclu par le Conseil de l'Union européenne, la République d'Islande et le Royaume de Norvège sur l'association de ces deux États à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (8).

(78) En ce qui concerne la Suisse, la présente directive constitue un développement des dispositions de l'acquis de Schengen au sens de l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (9).

(79) En ce qui concerne le Liechtenstein, la présente directive constitue un développement des dispositions de l'acquis de Schengen au sens du protocole signé entre l'Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l'adhésion de la Principauté de Liechtenstein à l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (10).

(80) La présente directive respecte les droits fondamentaux et observe les principes reconnus par la charte, consacrés par le traité, et notamment le droit au respect de la vie privée et familiale, le droit à la protection des données à caractère personnel et le droit à un recours effectif et à un procès équitable. Les limitations apportées à ces droits sont conformes à l'article 52, paragraphe 1, de la charte car elles sont nécessaires pour répondre à des objectifs d'intérêt général reconnus par l'Union ou au besoin de protection des droits et libertés d'autrui.

(81) Conformément à la déclaration politique commune des États membres et de la Commission du 28 septembre 2011 sur les documents explicatifs (11), les États membres se sont engagés à joindre à la notification de leurs mesures de transposition, dans les cas où cela se justifie, un ou plusieurs documents expliquant le lien entre les éléments d'une directive et les parties correspondantes des instruments nationaux de transposition. En ce qui concerne la présente directive, le législateur estime que la transmission de ces documents est justifiée.

(82) La présente directive ne saurait empêcher les États membres de mettre en oeuvre l'exercice des droits des personnes concernées en matière d'information, d'accès, de rectification, d'effacement et de limitation du traitement de leurs données à caractère personnel dans le cadre de poursuites pénales, et les éventuelles limitations de ces droits, dans leurs dispositions nationales en matière de procédure pénale,

ONT ADOPTÉ LA PRÉSENTE DIRECTIVE:

CHAPITRE I

DISPOSITIONS GÉNÉRALES

Article premier

Objet et objectifs

1. La présente directive établit les règles relatives à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes aux fins de la prévention et de la détection des infractions pénales, d'enquêtes et de poursuites en la matière, ou et de l'exécution de sanctions pénales et des conditions de la libre circulation de ces données à caractère personnel .

2. Conformément à la présente directive, les États membres:

a) protègent les libertés et droits fondamentaux des personnes physiques, et notamment leur droit à la protection des de leurs données à caractère personnel et de leur vie privée ; et

b) veillent à ce que l'échange de données à caractère personnel par les autorités compétentes au sein de l'Union ne soit ni limité ni interdit pour des motifs liés à la protection des personnes physiques à l’égard du traitement des données à caractère personnel.

2 bis. La présente directive n'empêche pas les États membres de prévoir des garanties plus strictes que celles qu'elle établit. [Am. 59]

Article 2

Champ d’application

1. La présente directive s'applique au traitement de données à caractère personnel effectué par les autorités compétentes aux fins énoncées à l'article 1er, paragraphe 1.

2. La présente directive s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.

3. La présente directive ne s'applique pas au traitement de données à caractère personnel effectué:

a) dans le cadre d'une activité n'entrant pas dans le champ d'application du droit de l'Union, en ce qui concerne notamment la sécurité nationale;

b) par les institutions, organes et organismes de l'Union. [Am. 60]

Article 3

Définitions

Aux fins de la présente directive, on entend par:

(1) «personne concernée»: une personne physique identifiée ou une personne physique qui peut être identifiée, directement ou indirectement, par des moyens raisonnablement susceptibles d'être utilisés par le responsable du traitement ou par toute autre personne physique ou morale, notamment par référence à un numéro d’identification, à des données de localisation, à des identifiants en ligne ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale;

(2) «données à caractère personnel», toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée»); est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d'identification, des données de localisation, un identifiant unique ou un ou plusieurs éléments propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle, sociale ou de genre de cette personne ;

(2 bis) «données pseudonymes», des données à caractère personnel ne pouvant être attribuées à une personne concernée déterminée sans avoir recours à des informations supplémentaires, pour autant que de telles informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir cette non-attribution;

(3) «traitement de données à caractère personnel», toute opération ou ensemble d’opérations effectuée(s) ou non à l’aide de procédés automatisés, et appliquée(s) à des données à caractère personnel, telle(s) que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l'extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que la limitation du traitement, l'effacement ou la destruction;

(3 bis) «profilage», toute forme de traitement automatisé de données à caractère personnel destiné à évaluer certains aspects personnels propres à une personne physique ou à analyser ou prévoir en particulier le rendement professionnel de celle-ci, sa situation économique, sa localisation, son état de santé, ses préférences personnelles, sa fiabilité ou son comportement;

(4) «limitation du traitement», le marquage de données à caractère personnel mises en mémoire, en vue de limiter leur traitement futur;

(5) «fichier», tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique;

(6) «responsable du traitement», l'autorité publique compétente qui, seule ou conjointement avec d’autres, détermine les finalités, les conditions et les moyens du traitement de données à caractère personnel; lorsque les finalités, les conditions et les moyens du traitement sont déterminés par le droit de l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné, ou les critères spécifiques applicables pour le désigner peuvent être fixés, par le droit de l'Union ou par le droit d'un État membre;

(7) «sous-traitant», la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement;

(8) «destinataire», la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui reçoit communication des données à caractère personnel;

(9) «violation de données à caractère personnel», une violation de la sécurité entraînant de manière accidentelle ou illicite la destruction, la perte, l'altération, la divulgation ou la consultation non autorisées , de manière accidentelle ou illicite, de données à caractère personnel transmises, conservées ou traitées d'une autre manière;

(10) «données génétiques», toutes les données, de quelque nature que ce soit, concernant les caractéristiques d'une personne physique qui sont héréditaires ou acquises à un stade précoce de son développement prénatal;

(11) «données biométriques», toutes les données à caractère personnel relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique qui permettent son identification unique, telles que des images faciales ou des données dactyloscopiques;

(12) «données concernant la santé», toute information donnée à caractère personnel relative à la santé physique ou mentale d'une personne, ou à la prestation de services de santé à cette personne,

(13) «enfant», toute personne âgée de moins de dix-huit ans;

(14) «autorités compétentes», toute autorité publique compétente à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière, ou d'exécution de sanctions pénales.

(15) «autorité de contrôle», une autorité publique qui est instituée par un État membre conformément à l'article 39. [Am. 61]

CHAPITRE II

PRINCIPES

Article 4

Principes relatifs au traitement des données à caractère personnel

Les États membres prévoient que les données à caractère personnel doivent être:

a) traitées loyalement et licitement de manière licite, loyale, transparente et vérifiable au regard de la personne concernée ;

b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités;

c) adéquates, pertinentes et non excessives limitées au minimum nécessaire au regard des finalités pour lesquelles elles sont traitées; elles ne sont traitées que si et pour autant que les finalités du traitement ne peuvent pas être atteintes par le traitement d'informations ne contenant pas de données à caractère personnel;

d) exactes et, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être prises pour que les données inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans délai;

e) conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont traitées;

f) traitées sous la responsabilité du responsable du traitement, qui veille au garantit et est en mesure de démontrer le respect des dispositions adoptées en vertu de la présente directive;

f bis) traitées d'une manière qui permette effectivement à la personne concernée d'exercer ses droits, tels que visés aux articles 10 à 17;

f ter) traitées d'une manière qui protège contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées;

f quater) traitées uniquement par les membres du personnel dûment autorisés des autorités compétentes qui ont besoin de ces données pour l'exercice de leurs missions. [Am. 62]

Article 4 bis

Accès aux données initialement traitées à des fins autres que celles visées à l'article 1er, paragraphe 1

1. Les États membres prévoient que les autorités compétentes peuvent seulement avoir accès aux données à caractère personnel initialement traitées à des fins autres que celles visées à l'article 1er, paragraphe 1, dès lors que le droit de l'Union ou ou des États membres qui les y autorise spécifiquement satisfait aux exigences énoncées à l'article 7, paragraphe 1 bis, et dispose ce qui suit:

a) l'accès est limité aux seuls membres dûment autorisés des autorités compétentes dans l'exercice de leurs missions lorsque, dans un cas déterminé, il existe un motif raisonnable de croire que le traitement des données à caractère personnel contribuera sensiblement à la prévention ou la détection d’infractions pénales, aux enquêtes ou aux poursuites en la matière, ou à l'exécution de sanctions pénales;

b) toute demande d'accès doit être présentée par écrit et préciser le motif juridique de la demande;

c) la demande écrite doit être documentée; et

d) des garanties appropriées sont mises en œuvre afin d'assurer la protection des libertés et droits fondamentaux en relation avec le traitement des données à caractère personnel. Ces garanties sont sans préjudice des conditions spécifiques d'accès aux données à caractère personnel comme l'autorisation judiciaire conformément au droit des États membres, et viennent compléter ces conditions.

2. L'accès aux données à caractère personnel détenues par des tiers privés ou d'autres autorités publiques n'est possible qu'à des fins d'enquête ou de poursuites concernant des infractions pénales, dans le respect des exigences de nécessité et de proportionnalité devant être arrêtées par le droit de l'Union ou des États membres, en pleine conformité avec l'article 7 bis. [Am. 63]

Article 4 ter

Délais de conservation et d'examen

1. Les États membres prévoient que les données à caractère personnel traitées en vertu de la présente directive sont supprimées par les autorités compétentes lorsqu'elles ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été traitées.

2. Les États membres prévoient la mise en place, par les autorités compétentes, de mécanismes assurant la fixation de délais, en vertu de l'article 4, applicables à l'effacement des données à caractère personnel et à l’examen périodique de la nécessité de conserver ces données, y compris la fixation de délais de conservation pour les différentes catégories de données à caractère personnel. Des mesures procédurales sont établies afin de garantir le respect de ces délais ou de ces intervalles d'examen périodique. [Am. 64]

Article 5

Distinction entre Différentes catégories de personnes concernées

1. Les États membres prévoient que le responsable du traitement établit, dans la mesure du possible, une distinction claire entre les autorités compétentes, pour les finalités visées à l'article 1er, paragraphe 1, peuvent traiter les les données à caractère personnel de différentes des seules catégories de personnes concernées, telles que suivantes , entre lesquelles le responsable du traitement des donnés établit une distinction claire :

a) les personnes à l'égard desquelles il existe des motifs sérieux raisonnables de croire qu'elles ont commis ou sont sur le point de commettre une infraction pénale;

b) les personnes reconnues coupables d'une infraction pénale d’un crime ;

c) les victimes d'une infraction pénale ou les personnes à l'égard desquelles certains faits portent à croire qu'elles pourraient être victimes d'une infraction pénale; et

d) les tiers à l'infraction pénale, tels que les personnes pouvant être appelées à témoigner lors d'enquêtes en rapport avec des infractions pénales ou des procédures pénales ultérieures, ou une personne pouvant fournir des informations sur des infractions pénales, ou un contact ou un associé de l'une des personnes mentionnées aux points a) et b); et

e) les personnes qui n'appartiennent à aucune des catégories susmentionnées.

2. Les données à caractère personnel des personnes concernées autres que celles visées au paragraphe 1 ne peuvent être traitées:

a) qu'aussi longtemps que cela s'avère nécessaire à des fins d'enquêtes ou de poursuites concernant une infraction pénale spécifique, pour évaluer la pertinence des données au regard de l'une des catégories indiquées au paragraphe 1; ou

b) que si ce traitement est indispensable pour atteindre des objectifs ciblés et préventifs ou à des fins d'analyse criminelle, si, et pour autant que, cette finalité soit légitime, bien définie et spécifique, et que le traitement soit strictement limité à l'évaluation de la pertinence des données au regard de l'une des catégories indiquées au paragraphe 1. Ceci fait l'objet d'un réexamen régulier au moins tous les six mois. Tout autre usage est interdit.

3. Les États membres prévoient que les garanties et les limites complémentaires prévues par les dispositions du droit des État membres s'appliquent au traitement ultérieur des données à caractère personnel relatives aux personnes concernées visées au paragraphe 1, points c) et d). [Am. 65]

Article 6

Niveaux d’exactitude et de fiabilité des données à caractère personnel

1. Les États membres veillent à ce qu'une distinction soit établie, dans la mesure du possible, entre les différentes catégories de garantir l'exactitude et la fiabilité des données à caractère personnel soumises à un traitement, selon leur niveau de précision et de fiabilité.

2. Les États membres veillent à ce que les données à caractère personnel fondées sur des faits soient, dans la mesure du possible, distinguées de celles fondées sur des appréciations personnelles , conformément à leur degré d'exactitude et de fiabilité .

2 bis. Les États membres veillent à ce que les données à caractère personnel inexactes, incomplètes ou qui ne sont plus à jour ne soient pas transmises ou mises à disposition. À cette fin, les autorités compétentes évaluent la qualité des données à caractère personnel avant leur transmission ou mise à disposition. Dans la mesure du possible, lors de toute transmission de données, les informations disponibles sont jointes aux données, afin que l'État membre destinataire puisse juger de l'exactitude, de l'exhaustivité, de l'actualité et de la fiabilité desdites données. Les données à caractère personnel sont uniquement transmises sur demande d'une autorité compétente, en particulier les données détenues initialement par des tiers privés.

2 ter. S'il s'avère que des données inexactes ont été transmises ou que des données ont été transmises illicitement, le destinataire doit en être informé sans délai. Le destinataire est tenu de rectifier sans délai les données conformément au paragraphe 1 et à l'article 15 ou de les effacer conformément à l'article 16. [Am. 66]

Article 7

Licéité du traitement

1. Les États membres prévoient que le traitement des données à caractère personnel n'est licite que si, et dans la mesure où, il est fondé sur le droit de l'Union ou des États membres pour les finalités exposées à l'article 1er, paragraphe 1, et qu'il est nécessaire:

(a) à l'exécution d'une mission par une autorité compétente, en vertu de la législation, pour les finalités énoncées à l'article 1er, paragraphe 1; ou

(b) au respect d'une obligation légale à laquelle le responsable du traitement est soumis; ou

(c) à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne; ou

(d) pour prévenir une menace grave et immédiate pour la sécurité publique.

1 bis. Le droit des États membres régissant le traitement des données à caractère personnel qui relèvent du champ d’application de la présente directive contiennent des dispositions explicites et détaillées précisant à tout le moins:

a) les objectifs du traitement;

b) les données à caractère personnel à traiter;

c) les finalités et moyens spécifiques du traitement;

d) la désignation du responsable du traitement, ou les critères spécifiques présidant à cette désignation;

e) les catégories de membres du personnel des autorités compétentes dûment autorisées à traiter les données à caractère personnel;

f) la procédure à suivre pour le traitement;

g) l'utilisation pouvant être faite des données à caractère personnel recueillies;

h) les limitations applicables à l’étendue de tout pouvoir discrétionnaire accordé aux autorités compétentes en ce qui concerne les activités de traitement.[Am. 67]

Article 7 bis

Traitement ultérieur à des fins incompatibles

1. Les États membres prévoient que le traitement ultérieur des données à caractère personnel à des fins autres que celles énoncées à l'article 1er, paragraphe 1, qui n'est pas compatible avec la finalité de la collecte initiale, n'est autorisé que si, et dans la mesure où:

a) ce traitement ultérieur est strictement nécessaire et proportionné dans une société démocratique et requis par le droit de l’Union ou le droit des États membres pour une finalité légitime, bien définie et spécifique;

b) le traitement est strictement limité à une période n'excédant pas la durée nécessaire pour l'opération spécifique de traitement des données;

c) toute utilisation ultérieure pour d'autres finalités est interdite.

Avant de procéder à tout traitement, l'État membre consulte l’autorité de contrôle nationale compétente et procède à une analyse d'impact relative à la protection des données.

2. Outre les exigences énoncées à l'article 7, paragraphe 1 bis, le droit des États membres autorisant le traitement ultérieur visé au paragraphe 1 contient des dispositions explicites et détaillées précisant à tout le moins:

a) les finalités et moyens spécifiques de ce traitement particulier;

b) que l'accès est limité aux seuls membres du personnel dûment autorisés des autorités compétentes dans l'exercice de leurs missions lorsque, dans un cas particulier, il existe un motif raisonnable de croire que le traitement des données à caractère personnel contribuera sensiblement à la prévention ou la détection des infractions pénales, aux enquêtes ou aux poursuites en la matière, ou à l'exécution de sanctions pénales; et

c) que des garanties appropriées sont mises en place afin d'assurer la protection des libertés et droits fondamentaux en relation avec le traitement des données à caractère personnel.

Les États membres peuvent exiger que cet accès aux données à caractère personnel soit assorti de conditions supplémentaires telles qu'une autorisation judiciaire, conformément à leur droit national.

3. Les États membres peuvent également autoriser le traitement ultérieur de données à caractère personnel à des fins historiques, statistiques et scientifiques dès lors qu'ils mettent en place les garanties appropriées comme l'anonymisation des données. [Am. 68]

Article 8

Traitements portant sur des catégories particulières de données à caractère personnel

1. Les États membres interdisent le traitement des données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, la religion ou les croyances, philosophiques , l'orientation sexuelle ou l'identité de genre, l'appartenance syndicale et les activités syndicales , ainsi que le traitement des données génétiques biométriques ou des données concernant la santé ou la vie sexuelle.

2. Le paragraphe 1 ne s'applique pas lorsque:

a) le traitement est autorisé par une strictement nécessaire et proportionné à l'exécution d'une mission effectuée par les autorités compétentes aux fins énoncées à l'article 1er, paragraphe 1, sur la base du droit prévoyant de l'Union ou du droit des États membres qui prévoit des mesures appropriées et spécifiques pour la sauvegarde des intérêts légitimes de la personne concernée, y compris une autorisation spécifique d'une autorité judiciaire si le droit national l'exige ; ou

b) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne; ou

c) le traitement porte sur des données manifestement rendues publiques par la personne concernée à condition qu'elles soient pertinentes et strictement nécessaires à la finalité poursuivie dans un cas spécifique . [Am. 69]

Article 8 bis

Traitement de données génétiques aux fins d'une enquête criminelle ou d'une procédure judiciaire

1. Les États membres veillent à ce que les données génétiques ne puissent être utilisées qu'afin d'établir un lien génétique dans le cadre de la fourniture de preuves, de la prévention d'une menace pour la sécurité publique ou de la commission d'une infraction pénale spécifique. Les données génétiques ne peuvent être utilisées pour déterminer d'autres caractéristiques susceptibles d'être génétiquement liées.

2. Les États membres prévoient que les données génétiques ou les informations découlant de leur analyse ne peuvent être conservées au-delà de ce qui est nécessaire aux fins pour lesquelles les données sont traitées et lorsque la personne concernée a été reconnue coupable d'atteintes graves à la vie, l'intégrité ou la sécurité de personnes, sous réserve de durées de conservation strictes fixées par le droit des États membres.

3. Les États membres s'assurent que les données génétiques ou les informations découlant de leur analyse ne sont conservées pour des durées plus longues que si les données génétiques ne peuvent être attribuées à une personne, en particulier lorsqu'elles ont été trouvées sur une scène de crime. [Am. 70]

Article 9

Mesures fondées sur le profilage et sur le traitement automatisé

1. Les États membres prévoient que les mesures produisant des effets juridiques défavorables pour la personne concernée ou l'affectant de manière significative et qui sont prises partiellement ou entièrement sur le seul fondement d’un traitement automatisé de données à caractère personnel destiné à évaluer certains aspects personnels propres à cette personne sont interdites, à moins d'être autorisées par une loi qui prévoit également des mesures destinées à préserver les intérêts légitimes de la personne concernée.

2. Le traitement automatisé de données à caractère personnel destiné à évaluer certains aspects personnels propres à la personne concernée ne saurait être exclusivement fondé sur les catégories particulières de données à caractère personnel visées à l’article 8.

2 bis. Le traitement automatisé de données à caractère personnel destiné à distinguer une personne concernée en l'absence d'un soupçon initial portant à croire que cette personne concernée pourrait avoir commis, ou commettra à l'avenir, une infraction pénale n'est licite que si, et pour autant que, ce traitement est strictement nécessaire pour enquêter sur une infraction pénale grave ou pour prévenir un danger clair, imminent et établi sur la base d'indications factuelles, pour la sécurité publique, l'existence de l'État ou la vie de personnes.

2 ter. Tout profilage qui, intentionnellement ou non, a pour effet d'instaurer une discrimination fondée sur la race ou l'origine ethnique, les opinions politiques, la religion ou les convictions, l'appartenance syndicale, le genre ou l'orientation sexuelle, ou qui, intentionnellement ou non, se traduit par des mesures produisant un tel effet, est interdit dans tous les cas. [Am. 71]

Article 9 bis

Principes généraux pour les droits de la personne concernée

1. Les États membres veillent à ce que le fondement de la protection des données soit clair et prévoie des droits univoques pour les personnes concernées, qui doivent être respectés par le responsable du traitement. Les dispositions de la présente directive visent à renforcer, à clarifier, à garantir et, le cas échéant, à codifier ces droits.

2. Les États membres veillent à ce que ces droits incluent, entre autres, la fourniture d'informations claires et facilement intelligibles sur le traitement des données à caractère personnel de la personne concernée, sur le droit d'accès, de rectification et d'effacement de ses données, le droit d'obtenir des données, le droit d'introduire une réclamation auprès de l'autorité chargée de la protection des données compétente et le droit d'ester en justice, ainsi que le droit à réparation et à des dommages-intérêts pour une opération de traitement illicite. Ces droits sont en général exercés gratuitement. Le responsable du traitement répond aux demandes des personnes concernées dans un délai raisonnable. [Am. 72]

CHAPITRE III

DROITS DE LA PERSONNE CONCERNÉE

Article 10

Modalités de l'exercice des droits de la personne concernée

1. Les États membres prévoient que le responsable du traitement prend toutes les mesures raisonnables afin d'appliquer dispose de règles internes concises, transparentes , claires et facilement accessibles en ce qui concerne le traitement des données à caractère personnel, et en vue de l’exercice de leurs droits par les personnes concernées.

2. Les États membres prévoient que le responsable du traitement procède à toute information et communication relatives au traitement des données à caractère personnel à la personne concernée, sous une forme intelligible et en des termes clairs et simples , en particulier lorsqu'une information est adressée spécifiquement à un enfant .

3. Les États membres prévoient que le responsable du traitement prend toutes établit les mesures nécessaires afin d'établir les procédures pour la communication des informations visées à l’article 11 et les procédures pour l'exercice des droits des personnes concernées visés aux articles 12 à 17. Lorsque des données à caractère personnel font l'objet d'un traitement automatisé, le responsable du traitement fournit les moyens d'effectuer des demandes par voie électronique.

4. Les États membres prévoient que le responsable du traitement informe, sans retard injustifié, tarder la personne concernée des suites données à sa demande et, au plus tard, dans un délai d'un mois à compter de la réception de la demande . Ces informations sont données par écrit. Lorsque la personne concernée en fait la demande sous forme électronique, les informations sont fournies sous forme électronique .

5. Les États membres prévoient que les informations et les éventuelles mesures prises par le responsable du traitement à la suite d'une demande visée aux paragraphes 3 et 4 sont gratuites. Lorsque les demandes sont abusives manifestement excessives , notamment en raison de leur caractère répétitif, ou de la longueur ou du volume de la demande, le responsable du traitement peut exiger le paiement de frais raisonnables, qui tiennent compte des coûts administratifs, pour fournir les informations ou pour prendre la mesure demandée, ou peut s'abstenir de prendre cette dernière les mesures demandées . Dans ce cas, il incombe au responsable du traitement de prouver le caractère abusif manifestement excessif de la demande.

5 bis. Les États membres peuvent prévoir que la personne concernée peut faire valoir ses droits directement à l'encontre du responsable du traitement ou par l'intermédiaire de l'autorité de contrôle nationale compétente. Lorsque l'autorité de contrôle a agi à la demande de la personne concernée, elle informe cette dernière des vérifications effectuées. [Am. 73]

Article 11

Informations à la personne concernée

1. Lorsque des données à caractère personnel relatives à une personne concernée sont collectées, les États membres veillent à ce que le responsable du traitement prenne les mesures appropriées pour fournir fournisse à cette personne au moins les informations suivantes:

a) l'identité et les coordonnées du responsable du traitement et du délégué à la protection des données;

b) la base juridique et les finalités du traitement auquel les données à caractère personnel sont destinées;

c) la durée pendant laquelle les données à caractère personnel seront conservées;

d) l’existence du droit de demander au responsable du traitement l'accès aux données à caractère personnel relatives à la personne concernée, leur rectification, leur effacement ou la limitation de leur traitement;

e) le droit d'introduire une réclamation auprès de l'autorité de contrôle prévue à l'article 39, et les coordonnées de ladite autorité;

f) les destinataires ou les catégories de destinataires des données à caractère personnel, y compris dans les pays tiers ou au sein d'organisations internationales , et qui sont autorisés à accéder à ces données au titre de la législation dudit pays tiers ou des dispositions de ladite organisation internationale, l'existence ou l'absence d'une décision relative au caractère adéquat du niveau de protection rendue par la Commission ou, en cas de transferts visés à l'article 35 ou 36, les moyens d'obtenir une copie des garanties appropriées utilisées pour le transfert ;

f bis) lorsque le responsable du traitement traite des données à caractère personnel décrites à l'article 9, paragraphe 1, les informations sur l'existence d'un traitement pour une mesure du type visé à l'article 9, paragraphe 1, et les effets voulus de ce traitement à l’égard de la personne concernée, des informations sur la logique sous-tendant le profilage et le droit d'obtenir une évaluation humaine;

f ter) les informations concernant des mesures de sécurité prises dans le but de protéger les données à caractère personnel;

g) toute autre information, dans la mesure où elle est nécessaire pour assurer un traitement loyal des données à l'égard de la personne concernée, compte tenu des circonstances particulières dans lesquelles les données à caractère personnel sont traitées.

2. Lorsque les données à caractère personnel sont collectées auprès de la personne concernée, le responsable du traitement fournit à cette dernière, outre les informations mentionnées au paragraphe 1, des informations sur le caractère obligatoire ou facultatif de la fourniture des données à caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de ces données.

3. Le responsable du traitement fournit les informations visées au paragraphe 1:

a) au moment où les données à caractère personnel sont recueillies auprès de la personne concernée, ou

b) lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, au moment de l’enregistrement ou dans un délai raisonnable après la collecte, eu égard aux circonstances particulières dans lesquelles les données sont traitées.

4. Les États membres peuvent adopter des mesures législatives prévoyant de retarder ou de limiter la fourniture des informations, ou leur non-fourniture, aux personnes concernées , dans un cas spécifique, dans la mesure où, et aussi longtemps que, cette limitation partielle ou complète constitue une mesure nécessaire et proportionnée dans une société démocratique, compte étant dûment tenu des droits fondamentaux et des intérêts légitimes de la personne concernée:

(a) pour éviter de gêner des des recherches, des enquêtes ou des procédures officielles ou judiciaires;

(b) pour éviter de nuire à la prévention ou à la détection d’infractions pénales, ou aux enquêtes ou auxpoursuites en la matière, ou pour exécuter des sanctions pénales;

(c) pour protéger la sécurité publique;

(d) pour protéger la sûreté de l’État;

(e) pour protéger les droits et libertés d'autrui.

5. Les États membres prévoient que le responsable du traitement évalue, dans chaque cas, si une limitation partielle ou complète s'applique pour l'une des raisons énoncées au paragraphe 4, en procédant à un examen concret et individuel. Les États membres peuvent également déterminer , par voie législative, des catégories de traitements de données susceptibles de faire l'objet, dans leur intégralité ou en partie, des dérogations prévues au aux points a), b), c) et d), du paragraphe 4. [Am. 74]

Article 12

Droit d'accès de la personne concernée

1. Les États membres prévoient le droit pour la personne concernée d'obtenir confirmation du responsable du traitement que les données à caractère personnel la concernant sont ou ne sont pas traitées. Lorsque ces données à caractère personnel sont traitées, le responsable du traitement fournit , si elles ne l'ont pas déjà été, les informations suivantes:

-a) l'indication des données à caractère personnel en cours de traitement, ainsi que toute information disponible sur l'origine de ces données et, le cas échéant, des informations intelligibles sur la logique associée à tout traitement automatisé;

-a bis) l'importance et les conséquences envisagées de ce traitement, au moins dans le cas des mesures prévues à l'article 9;

a) les finalités du traitement ainsi que son fondement juridique ;

b) les catégories de données à caractère personnel concernées;

c) les destinataires ou les catégories de destinataires auxquels les données à caractère personnel ont été communiquées, en particulier les destinataires établis dans des pays tiers;

d) la durée pendant laquelle les données à caractère personnel seront conservées;

e) l’existence du droit de demander au responsable du traitement la rectification ou l'effacement des données à caractère personnel relatives à la personne concernée, ou la limitation de leur traitement;

f) le droit d'introduire une réclamation auprès de l'autorité de contrôle et les coordonnées de ladite autorité;

g) la communication des données à caractère personnel en cours de traitement, ainsi que toute information disponible sur l’origine de ces données.

2. Les États membres prévoient le droit pour la personne concernée d'obtenir du responsable du traitement une copie des données à caractère personnel en cours de traitement. Lorsque la personne concernée en fait la demande sous forme électronique, les informations sont fournies sous forme électronique, à moins que la personne concernée ne demande qu'il en soit autrement. [Am. 75]

Article 13

Limitations du droit d’accès

1. Les États membres peuvent adopter des mesures législatives limitant, en fonction du cas spécifique , entièrement ou partiellement, le droit d'accès de la personne concernée, dans la mesure où et pour le temps pendant lequel une telle limitation partielle ou complète constitue une mesure strictement nécessaire et proportionnée dans une société démocratique, compte étant dûment tenu des droits fondamentaux et des intérêts légitimes de la personne concernée:

(a) pour éviter de gêner des des recherches, des enquêtes ou des procédures officielles ou judiciaires;

(b) pour éviter de nuire à la prévention ou à la détection d’infractions pénales, ou aux enquêtes ou aux poursuites en la matière, ou pour exécuter des sanctions pénales;

(c) pour protéger la sécurité publique;

(d) pour protéger la sûreté de l’État;

(e) pour protéger les droits et libertés d'autrui.

2. Les États membres prévoient que le responsable du traitement évalue, dans chaque cas, si une limitation partielle ou complète s'appliq