FR Journal officiel de l'Union européenne C 159/83

Exposé des motifs du Conseil: position (UE) no 6/2016 du Conseil en première lecture en vue de l'adoption d'un règlement du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données)

(2016/C 159/02)

I. INTRODUCTION

La Commission a présenté le 25 janvier 2012 un train de mesures complet pour une réforme de la protection des données, comprenant:

— la proposition de règlement général sur la protection des données, visée en objet, qui est destinée à remplacer la directive de 1995 sur la protection des données (ex-premier pilier);

— une proposition de directive relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, qui est destinée à remplacer la décision-cadre de 2008 sur la protection des données (ex-troisième pilier).

Le Parlement européen a adopté sa position en première lecture sur la proposition de règlement général sur la protection des données le 12 mars 2014 (doc. 7427/14).

Le Conseil s'est accordé sur une orientation générale le 15 juin 2015, donnant ainsi à la présidence un mandat de négociation pour engager les trilogues avec le Parlement européen (doc. 9565/15).

Les 17 et 18 décembre 2015 respectivement, le Parlement européen, au niveau de la commission des libertés civiles, de la justice et des affaires intérieures, et le Conseil, au niveau du Comité des représentants permanents, ont confirmé l'accord intervenu sur le texte de compromis issu des négociations menées lors des trilogues.

Lors de sa session du 12 février 2016, le Conseil est parvenu à un accord politique sur le projet de règlement (doc. 5455/16). Le 8 avril 2016, il a adopté sa position en première lecture, qui correspond totalement au texte de compromis sur le règlement qui a été approuvé au cours des négociations informelles entre le Conseil et le Parlement européen.

Le Comité économique et social a rendu un avis sur le règlement en 2012 (JO C 229 du 31.7.2012, p. 90).

Le Comité des régions a rendu un avis sur le règlement (JO C 391 du 18.12.2012, p. 127).

Le contrôleur européen de la protection des données a été consulté et a rendu un premier avis en 2012 (JO C 192 du 30.6.2012, p. 7) et un deuxième avis en 2015 (JO C 301 du 12.9.2015, p. 1).

L'Agence des droits fondamentaux a rendu un avis le 1er octobre 2012.

II. OBJECTIF

Le règlement général sur la protection des données harmonise les règles en vigueur dans l'Union européenne en matière de protection des données. Il a pour objectifs de renforcer les droits des personnes physiques en matière de protection des données, de faciliter le libre flux des données à caractère personnel dans le marché unique et de réduire la charge administrative.

III. ANALYSE DE LA POSITION DU CONSEIL EN PREMIÈRE LECTURE

A. Observations générales

Sachant que le Conseil européen avait fixé pour objectif l'obtention d'un accord sur la réforme de la protection des données pour la fin 2015 au plus tard, le Parlement européen et le Conseil ont mené des négociations informelles en vue de rapprocher leurs positions. Le texte de la position du Conseil en première lecture sur le règlement général sur la protection des données reflète tout à fait le compromis intervenu entre les deux colégislateurs avec l'aide de la Commission européenne.

La position du Conseil en première lecture conserve les objectifs de la directive 95/46/CE, à savoir: la préservation des droits en matière de protection des données et le libre flux des données. Parallèlement, elle s'efforce d'adapter les règles actuellement en vigueur dans le domaine de la protection des données pour tenir compte du volume sans cesse croissant de données à caractère personnel qui font l'objet d'un traitement en raison des évolutions technologiques et de la mondialisation. Pour que le règlement puisse résister à l'épreuve du temps, les règles de protection des données figurant dans la position du Conseil en première lecture sont neutres d'un point de vue technologique.

Afin d'assurer un niveau cohérent de protection des personnes physiques dans l'ensemble de l'Union et d'éviter que des divergences n'entravent la libre circulation des données à caractère personnel au sein du marché intérieur, la position du Conseil en première lecture constitue pour l'essentiel un ensemble de règles directement applicable dans toute l'Union. Cette harmonisation permettra de mettre fin à la fragmentation découlant des différences entre les législations des États membres mettant en application la directive 95/46/CE. Néanmoins, en vue de prendre en compte les exigences liées à des situations particulières de traitement de données, notamment en ce qui concerne le secteur public, la position du Conseil en première lecture permet aux États membres de préciser davantage dans leur législation nationale l'application des règles de protection des données fixées dans le règlement.

La protection des données à caractère personnel est un droit fondamental consacré par l'article 8, paragraphe 1, de la Charte des droits fondamentaux de l'Union européenne. En outre, l'article 16 du traité sur le fonctionnement de l'Union européenne prévoit que toute personne a droit à la protection des données à caractère personnel la concernant, indépendamment de sa nationalité ou de son lieu de résidence, et que des règles doivent être fixées à cet effet et aux fins de la libre circulation des données à caractère personnel. Compte tenu de ce qui précède, la position du Conseil en première lecture fixe les principes et les règles régissant la protection des personnes physiques à l'égard du traitement des données à caractère personnel les concernant.

Pour que les objectifs du règlement puissent être atteints, la position du Conseil en première lecture renforce la responsabilité des responsables du traitement (chargés de déterminer les finalités et les moyens du traitement de données à caractère personnel) et des sous-traitants (chargés de traiter des données à caractère personnel pour le compte du responsable du traitement), en vue de donner lieu à une véritable culture de la protection des données. En conséquence, une approche fondée sur le risque est introduite dans le règlement tout entier, ce qui permet de moduler les obligations incombant au responsable du traitement et au sous-traitant en fonction du risque présenté par le traitement de données qu'ils effectuent. S'ajoutent à cela des codes de conduite et des mécanismes de certification, qui concourent au respect des règles en matière de protection des données. Cette approche permet d'éviter les règles exagérément contraignantes et de réduire la charge administrative sans pour autant affaiblir le respect de la réglementation. De plus, le caractère dissuasif des sanctions éventuellement encourues incite les responsables du traitement à respecter le règlement.

Les nouvelles règles de protection des données établies dans la position du Conseil en première lecture confèrent aussi aux citoyens des droits renforcés et opposables. Les personnes physiques peuvent alors exercer un meilleur contrôle sur les données à caractère personnel les concernant, ce qui se traduira par une confiance accrue dans les services en ligne transfrontières, dynamisant ainsi le marché unique numérique. Les enfants méritent une protection spécifique parce qu'ils peuvent être moins conscients des risques liés au traitement de données à caractère personnel et qu'ils peuvent moins bien connaître leurs droits.

De plus, la position du Conseil en première lecture renforce l'indépendance des autorités de contrôle tout en harmonisant leurs missions et pouvoirs. Les règles régissant la coopération entre les autorités de contrôle et, le cas échéant, avec la Commission dans les cas présentant une dimension transfrontalière, qui forment le mécanisme de contrôle de la cohérence, contribueront à l'application cohérente du règlement dans l'ensemble de l'Union européenne. Ces règles permettront d'accroître la sécurité juridique et de réduire la charge administrative. De plus, le mécanisme de guichet unique permettra aux responsables du traitement et sous-traitants d'avoir un réel interlocuteur pour un traitement transfrontalier, y compris en ce qui concerne les décisions contraignantes rendues en cas de litige par le comité européen de la protection des données nouvellement institué. Ce mécanisme permettra une application plus cohérente du règlement. En outre, il assurera une plus grande sécurité juridique et réduira la charge administrative.

Enfin, la position du Conseil en première lecture établit un cadre global régissant les transferts de données à caractère personnel de l'Union européenne à des destinataires dans des pays tiers ou à des organisations internationales, fournissant de nouveaux instruments par rapport à la directive 95/46/CE.

B. Éléments clés

Le Conseil et le Parlement européen, assistés par la Commission européenne, ont, au cours de négociations informelles, rapproché leurs positions, énoncées respectivement dans l'orientation générale du Conseil et la position du Parlement en première lecture. La position du Conseil en première lecture sur le règlement général sur la protection des données reflète totalement les compromis intervenus. Les éléments clés de la position du Conseil en première lecture sont détaillés ci-dessous.

1. Champ d'application

1.1. Champ d'application matériel du règlement et démarcation entre le règlement et la directive en matière de protection des données

La position du Conseil en première lecture prévoit que le règlement général sur la protection des données s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés. Le champ d'application matériel du règlement général sur la protection des données et le champ d'application de la directive en matière de protection des données dans le domaine répressif s'excluent mutuellement. Il est précisé que le règlement ne s'applique pas au traitement de données à caractère personnel effectué par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces. Cette démarcation permet aux autorités répressives, en particulier la police, d'appliquer, en règle générale, le régime de protection des données établi par la directive tout en assurant un niveau élevé et homogène de protection des données à caractère personnel pour les personnes physiques visées par des opérations répressives.

1.2. Institutions et organes de l'UE

Afin d'assurer une protection uniforme et cohérente des personnes concernées à l'égard du traitement de données à caractère personnel les concernant, la position du Conseil en première lecture indique que le règlement (CE) no 45/2001, qui s'applique aux institutions, organes et organismes de l'UE, devrait être adapté dans la mesure nécessaire après l'adoption du règlement général sur la protection des données pour que les deux règlements puissent s'appliquer en même temps.

1.3. Exemption dans le cadre d'une activité domestique

Pour éviter de fixer des règles qui feraient peser une charge inutile sur les personnes physiques, la position du Conseil en première lecture prévoit que le règlement ne s'applique pas au traitement de données à caractère personnel effectué par une personne physique dans le cadre d'une activité strictement personnelle ou domestique, et donc sans lien avec une activité professionnelle ou commerciale.

1.4. Champ d'application territorial

La position du Conseil en première lecture met les responsables du traitement et les sous-traitants sur un pied d'égalité en prévoyant un champ d'application territorial couvrant tous les responsables de traitement et tous les sous-traitants, qu'ils soient ou non établis dans l'Union.

En tout premier lieu, le règlement précise que les règles de protection des données s'appliquent au traitement des données à caractère personnel effectué dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire de l'Union, que le traitement ait lieu ou non dans l'Union. En deuxième lieu, afin d'éviter qu'une personne physique soit exclue de la protection qui lui est garantie à l'égard des données la concernant, le règlement s'applique au traitement de données à caractère personnel relatives à des personnes concernées qui se trouvent dans l'Union, même par un responsable du traitement ou un sous-traitant qui n'est pas établi dans l'Union, lorsque les activités de traitement menées par ce responsable ou sous-traitant sont liées à l'offre de biens ou de services à ces personnes concernées dans l'Union, ainsi qu'au suivi du comportement de ces personnes, dans la mesure où il s'agit d'un comportement qui a lieu au sein de l'Union. En outre, cette définition du champ d'application offre une plus grande sécurité juridique aux responsables du traitement et aux personnes concernées (personnes physiques dont les données à caractère personnel font l'objet d'un traitement).

La position du Conseil en première lecture permet également aux personnes concernées et aux autorités de contrôle de disposer d'un point de contact dans l'UE lorsque les responsables du traitement ou les sous-traitants ne sont pas établis dans l'Union mais relèvent du champ d'application du règlement: ils doivent désigner, par écrit, un représentant dans l'Union. Afin d'éviter une charge administrative inutile, cette obligation ne s'applique pas à un traitement qui n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques ni à un traitement effectué par une autorité publique ou un organisme public du pays tiers.

2. Principes relatifs au traitement des données à caractère personnel

Les principes de la protection des données s'appliquent à toute information concernant une personne physique identifiée ou identifiable, y compris les informations ne pouvant plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir cette nonattribution à une personne physique identifiée ou identifiable ("pseudonymisation"). Par rapport à la directive 95/46/CE, le règlement assure, pour l'essentiel, une continuité au regard des principes sous-tendant le traitement de données à caractère personnel. Parallèlement, le principe de "minimisation des données" a été ajusté afin de prendre en compte la réalité numérique et d'établir un équilibre entre, d'une part, la protection des données à caractère personnel et, d'autre part, les possibilités dont disposent les responsables de traitement en matière du traitement des données.

3. Licéité du traitement

3.1. Conditions de la licéité

En vue de garantir la sécurité juridique, la position du Conseil en première lecture s'appuie sur la directive 95/46/CE pour préciser que le traitement de données à caractère personnel n'est licite que si au moins une des conditions suivantes est remplie:

— la personne concernée a consenti au traitement pour une ou plusieurs finalités spécifiques;

— le traitement est nécessaire à l'exécution d'un contrat;

— le traitement est nécessaire au respect d'une obligation légale;

— le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique;

— le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement;

— le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers.

Deux conditions méritent d'être développées: le consentement et les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers.

3.1.1. Consentement

Pour autoriser le traitement de données à caractère personnel la concernant, une personne concernée peut donner son consentement au traitement par un acte positif clair par lequel elle manifeste de façon libre, spécifique, éclaire et univoque son accord au traitement de données à caractère personnel la concernant. Le consentement donné vaut pour toutes les activités de traitement ayant la ou les mêmes finalités. Lorsque le traitement a plusieurs finalités, le consentement doit être donné pour l'ensemble des finalités du traitement. De plus, le responsable du traitement doit être en mesure de démontrer que la personne concernée a donné son consentement à l'opération de traitement. Il n'y a donc pas de consentement en cas de silence, de cases cochées par défaut ou d'inactivité. La notion de consentement telle qu'elle a été élaborée garantit la continuité de l'acquis développé dans le cadre de la directive 95/46/CE, tout en contribuant à une compréhension et une application communes de la notion de consentement sur tout le territoire de l'Union européenne.

Par ailleurs, afin de préserver les droits des personnes concernées en matière de protection des données, il est précisé que, si le consentement de la personne concernée est donné dans le cadre d'une déclaration écrite qui concerne également d'autres questions, aucune partie de cette déclaration qui constitue une violation du règlement n'est contraignante. En outre, au moment de déterminer si le consentement est donné librement, il faut tenir le plus grand compte de la question de savoir, entre autres, si l'exécution d'un contrat est subordonnée au consentement au traitement de données qui n'est pas nécessaire à l'exécution dudit contrat.

Enfin, afin qu'il puisse y avoir des dérogations à l'interdiction générale de traitement portant sur des catégories particulières de données à caractère personnel, la position du Conseil en première lecture prévoit un seuil plus élevé que pour d'autres traitements car la personne concernée doit donner son consentement explicite au traitement de ces données à caractère personnel sensibles.

En ce qui concerne les enfants, la position du Conseil en première lecture prévoit un régime de protection particulier lorsque des enfants donnent leur consentement dans le cadre d'une offre de services de la société de l'information. Le traitement de données à caractère personnel concernant un enfant âgé de moins de 16 ans n'est licite que si l'on peut raisonnablement vérifier, compte tenu des moyens technologiques disponibles, que le consentement est donné ou autorisé par le titulaire de la responsabilité parentale à l'égard de l'enfant. Les États membres qui estiment qu'une limite d'âge inférieure est plus adaptée peuvent fixer cette limite d'âge à un niveau inférieur, à condition que ce ne soit pas en-dessous de 13 ans.

3.1.2. Intérêt légitime du responsable du traitement

Le traitement de données à caractère personnel peut être licite s'il est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers. Toutefois, ces intérêts légitimes ne suffisent pas à rendre licite un traitement lorsque prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.

L'existence d'un intérêt légitime doit faire l'objet d'une évaluation, notamment afin de déterminer si une personne concernée peut raisonnablement s'attendre, au moment et dans le cadre de la collecte des données à caractère personnel, à ce que celles-ci fassent l'objet d'un traitement à une fin donnée. Le traitement de données à caractère personnel à des fins de prospection commerciale peut être considéré comme étant réalisé pour répondre à un intérêt légitime. Étant donné qu'il appartient au législateur de prévoir la base juridique pour le traitement des données à caractère personnel par les autorités publiques, cela ne vaut pas pour les traitements effectués par ces autorités dans l'accomplissement de leur mission.

3.2. Règles spécifiques prises par les États membres aux fins d'adapter l'application du règlement

La position du Conseil en première lecture permet aux États membres de maintenir ou d'introduire des dispositions plus spécifiques pour adapter l'application des règles énoncées dans le règlement si les données à caractère personnel font l'objet d'un traitement pour respecter une obligation légale ou si ce traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Des dérogations, des exigences spécifiques et d'autres mesures sont également prévues pour situations particulières de traitement dans lesquelles les États membres concilient le droit à la protection des données à caractère personnel et la liberté d'expression et d'information, à l'accès du public aux documents publics, au traitement de numéros d'identification nationaux, au traitement de données en matière d'emploi et au traitement à des fins d'archivage dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques.

3.3. Traitement ultérieur

La position du Conseil en première lecture prévoit qu'un traitement pour une finalité autre que celle pour laquelle les données à caractère personnel ont été collectées initialement n'est licite que si ce traitement ultérieur est compatible avec les finalités pour lesquelles les données à caractère personnel ont été traitées initialement. Cependant, lorsque la personne concernée a donné son consentement ou que le traitement est fondé sur le droit de l'Union ou le droit d'un État membre qui constitue une mesure nécessaire et proportionnée dans une société démocratique pour sauvegarder, en particulier, d'importants objectifs d'intérêt public général, le responsable du traitement est autorisé à effectuer un traitement ultérieur des données à caractère personnel indépendamment de la compatibilité des finalités. Les droits des personnes concernées ont été renforcés en cas de traitement ultérieur, en particulier pour ce qui est du droit à l'information et du droit de s'opposer à ce traitement ultérieur lorsque celui-ci n'est pas nécessaire à l'exécution d'une mission d'intérêt public.

Afin d'établir si les finalités d'un traitement ultérieur sont compatibles avec celles pour lesquelles les données à caractère personnel ont été collectées initialement, le responsable du traitement doit tenir compte, entre autres, de tout lien entre les finalités initiales et les finalités du traitement ultérieur prévu, du contexte dans lequel les données à caractère personnel ont été collectées, en particulier les attentes raisonnables de la personne concernée en fonction de sa relation avec le responsable du traitement, quant à l'utilisation ultérieure desdites données, de la nature des données à caractère personnel, des conséquences pour la personne concernée du traitement ultérieur prévu et de l'existence de garanties appropriées à la fois dans le cadre du traitement initial et du traitement ultérieur prévu.

3.4. Traitement portant sur des catégories particulières de données à caractère personnel

Les données à caractère personnel qui sont, par nature, particulièrement sensibles méritent une protection spécifique, car le contexte dans lequel elles sont traitées peut engendrer des risques importants pour les libertés et droits fondamentaux des personnes physiques. C'est pourquoi, d'une manière générale, la position du Conseil en première lecture conserve l'approche qui avait été retenue pour la directive 95/46/CE en interdisant le traitement de catégories particulières de données à caractère personnel.

Par dérogation à cette règle, le traitement de données sensibles est autorisé dans certaines situations, qui ont été répertoriées de manière exhaustive, par exemple lorsque la personne concernée a donné son consentement explicite, lorsque le traitement est nécessaire pour des motifs d'intérêt public important, ou lorsque le traitement est nécessaire pour d'autres motifs, notamment dans le domaine de la santé.

Enfin, la position du Conseil en première lecture prévoit que les États membres peuvent introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques, des données biométriques ou des données concernant la santé. Ces conditions supplémentaires ne doivent cependant pas entraver le libre flux des données au sein de l'Union.

4. Renforcement des moyens d'action des personnes concernées

4.1. Introduction

La position du Conseil en première lecture octroie davantage de moyens d'action aux personnes concernées en leur accordant des droits renforcés en matière de protection des données et en soumettant les responsables du traitement à des obligations. Les droits des personnes concernées englobent le droit à l'information, le droit d'accès aux données à caractère personnel, le droit de rectification, le droit à l'effacement des données à caractère personnel, y compris le "droit à l'oubli", le droit à la limitation du traitement, le droit à la portabilité des données, le droit d'opposition et le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage. Les droits ayant fait l'objet d'importantes modifications par rapport à la directive 95/46/CE sont détaillés ci-après.

Les responsables du traitement sont tenus de faciliter l'exercice des droits conférés aux personnes concernées et de traiter les données à caractère personnel dans le respect du principe de transparence, en particulier en fournissant des informations sur le traitement de données à caractère personnel qu'ils réalisent.

Toutefois, si les données à caractère personnel qu'il traite ne lui permettent pas d'identifier une personne concernée, le responsable du traitement n'est pas tenu d'obtenir des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter une disposition du règlement.

Nonobstant les droits octroyés aux personnes concernées et les obligations faites aux responsables du traitement, la position du Conseil en première lecture maintient l'approche adoptée dans la directive 95/46/CE en autorisant des limitations en ce qui concerne les principes généraux et les droits des personnes physiques si cette limitation est fondée sur le droit de l'Union ou le droit d'un État membre. Ces limitations doivent respecter l'essence des libertés et droits fondamentaux et constituer une mesure nécessaire et proportionnée dans une société démocratique pour préserver certains intérêts publics.

4.2. Transparence

Conformément au principe de transparence, les responsables du traitement doivent fournir des informations et procéder à des communications en ce qui concerne le traitement de données à caractère personnel d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée à un enfant. Les informations doivent être fournies par écrit ou par d'autres moyens, par voie électronique lorsque c'est approprié.

La position du Conseil en première lecture fixe également des délais pour les demandes d'information, de communication ou concernant toute autre mesure à prendre par le responsable du traitement, auxquelles il doit en règle générale être donné suite gratuitement. Néanmoins, lorsque les demandes d'une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux communications ou prendre les mesures demandées, ou refuser de donner suite à ces demandes. Dans ces cas, il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande.

4.3. Information et communication par le responsable du traitement

Afin de trouver un équilibre entre, d'une part, la nécessité de fournir des informations suffisantes aux personnes concernées sur le traitement des données à caractère personnel les concernant et, d'autre part, la nécessité d'éviter d'imposer des obligations contraignantes aux responsables du traitement, la position du Conseil en première lecture prévoit une approche en deux temps pour que les personnes concernées soient correctement informées, tant dans les cas où les données à caractère personnel sont collectées auprès de la personne concernée que dans les cas où ces données n'ont pas été obtenues auprès de la personne concernée. Dans un premier temps, le responsable du traitement est tenu de fournir à la personne concernée, au moment où les données à caractère personnel sont obtenues, les informations énumérées dans le règlement. Dans un deuxième temps, le responsable du traitement doit fournir les informations complémentaires énumérées dans le règlement et nécessaires pour garantir un traitement équitable et efficace. Le responsable du traitement informe également la personne concernée lorsqu'il prévoit de procéder à un traitement ultérieur des données à caractère personnel en vue d'une finalité différente de celle pour laquelle elles ont été initialement collectées.

Le responsable du traitement n'est pas tenu de fournir les informations énumérées pour la première ou pour la deuxième étape lorsque la personne concernée dispose déjà de ces informations. Lorsque les données à caractère personnel n'ont pas été obtenues auprès de la personne concernée, le responsable du traitement ne fournit aucune information à cette personne si l'enregistrement ou la communication des données à caractère personnel à des tiers est expressément prévu par la loi, ou si l'information de la personne concernée se révèle impossible ou exigerait des efforts disproportionnés.

Enfin, les responsables du traitement sont tenus de notifier à chaque destinataire auquel les données à caractère personnel ont été communiquées toute rectification, tout effacement ou toute limitation du traitement, à moins que cela se révèle impossible ou exige des efforts disproportionnés. Par ailleurs, le responsable du traitement doit fournir à la personne concernée des informations sur ces destinataires si celle-ci en fait la demande.

4.4. Icônes

Le principe de traitement transparent exige que la personne concernée soit informée de l'existence du traitement et de ses finalités. À cet égard, la position du Conseil en première lecture prévoit que les informations communiquées à la personne concernée peuvent être accompagnées d'icônes normalisées. Les responsables du traitement peuvent décider, à titre volontaire, si le recours à de telles icônes normalisées serait utile aux fins du traitement des données à caractère personnel qu'ils effectuent. Les icônes devraient offrir une bonne vue d'ensemble, facilement visible, compréhensible et clairement lisible, du traitement prévu. Les icônes doivent être communiquées en même temps que les informations. Lorsque les icônes sont présentées par voie électronique, elles doivent être lisibles par machine. Afin de contribuer à une utilisation normalisée des icônes dans l'UE, le règlement habilite la Commission à adopter des actes délégués pour déterminer les informations qui devraient être présentées sous la forme d'icônes ainsi que les procédures régissant la fourniture d'icônes normalisées. Le comité européen de la protection des données doit rendre un avis sur les icônes proposées par la Commission. La possibilité d'adopter des actes délégués n'empêche pas le comité européen de la protection des données de rendre des avis et de publier des lignes directrices et des bonnes pratiques sur les icônes.

4.5. Droit d'accès

La personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès aux informations énumérées dans le règlement. À cet égard, le règlement précise que le responsable du traitement doit fournir, à titre gratuit, une copie des données à caractère personnel faisant l'objet d'un traitement. Le responsable du traitement peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par la personne concernée. Le droit d'obtenir une copie ne doit pas porter atteinte aux droits et libertés d'autrui.

4.6. Droit à l'effacement ("droit à l'oubli")

La position du Conseil en première lecture habilite les personnes concernées à faire effacer des données à caractère personnel les concernant lorsque le traitement de ces données n'est pas conforme au règlement ou au droit de l'Union ou au droit d'un État membre auquel le responsable du traitement est soumis.

La référence au "droit à l'oubli" vise à tenir compte de la nécessité d'adapter le droit à l'effacement, en particulier dans un environnement numérique. Les responsables de traitement qui ont rendu publiques les données à caractère personnel à propos desquelles la personne concernée souhaite exercer son droit à l'oubli doivent prendre des mesures raisonnables, y compris d'ordre technique, pour informer les responsables du traitement qui traitent ces données à caractère personnel que la personne concernée a demandé l'effacement par ces responsables du traitement de tout lien vers ces données à caractère personnel, ou toute copie ou reproduction de celles-ci, compte tenu des technologies disponibles et des coûts de mise en œuvre. Le comité européen de la protection des données peut publier des lignes directrices, des recommandations et des bonnes pratiques sur les procédures de suppression des liens vers des données à caractère personnel, des copies ou des reproductions de celles-ci existant dans les services de communication accessibles au public.

Le droit à l'effacement et l'obligation incombant à un responsable du traitement d'informer les autres responsables du traitement de la demande d'effacement ne s'appliquent pas dans la mesure où le traitement de données à caractère personnel est nécessaire à des fins dont la liste exhaustive figure dans le règlement, telles que le respect du droit à la liberté d'expression et d'information.

4.7. Droit à la portabilité des données

La position du Conseil en première lecture prévoit que, lorsque le traitement des données à caractère personnel est effectué à l'aide de procédés automatisés, les personnes concernées ont le droit de recevoir les données à caractère personnel les concernant qu'elles ont fournies à un responsable du traitement, dans un format structuré, couramment utilisé, lisible par machine et interopérable, et de transmettre ces données à un autre responsable du traitement. En outre, il est précisé que, lorsque c'est techniquement possible, les personnes concernées ont le droit de faire transmettre directement les données à caractère personnel d'un responsable du traitement à un autre. Cela permet aux personnes concernées de mieux maîtriser encore l'utilisation qui est faite des données les concernant. Cela favorise également la concurrence entre les responsables du traitement.

Néanmoins, ce droit à la portabilité des données ne s'applique pas au traitement nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Par ailleurs, lorsqu'un ensemble de données à caractère personnel concerne plusieurs personnes, le droit de la personne concernée de recevoir les données à caractère personnel s'entend sans préjudice des droits et libertés de tiers.

4.8. Droit d'opposition

Au cas où des données à caractère personnel pourraient faire l'objet d'un traitement licite parce que le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ou sur la base des intérêts légitimes du responsable du traitement ou d'un tiers, la personne concernée a le droit de s'opposer au traitement de toute donnée à caractère personnel pour des raisons tenant à sa situation particulière. Dans ce cas, le responsable du traitement n'est plus autorisé à traiter les données à caractère personnel, à moins qu'il ne prouve qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts, et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice.

À cet égard, il est précisé que, lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s'opposer à tout moment au traitement des données à caractère personnel la concernant. Cela comprend le profilage dans la mesure où il est lié à une telle prospection. Le profilage est défini comme toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données pour évaluer certains aspects personnels liés à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne. Lorsque la personne concernée s'oppose au traitement à des fins de prospection, les données à caractère personnel ne peuvent plus être traitées à ces fins. De plus, ce droit doit être explicitement et clairement porté à l'attention de la personne concernée au plus tard au moment de la première communication du responsable du traitement des données à caractère personnel avec ladite personne concernée.

Par ailleurs, la position du Conseil en première lecture fait référence à la fonction en ligne "do not track" ("ne pas pister") en précisant que, dans le cadre de l'utilisation de services de la société de l'information, la personne concernée peut exercer son droit d'opposition à l'aide de procédés automatisés utilisant des spécifications techniques.

4.9. Décision individuelle automatisée, y compris le profilage

La personne concernée a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, qui évalue certains aspects personnels la concernant et qui produit des effets juridiques la concernant ou, de façon similaire, l'affectant de manière sensible, comme par exemple le rejet automatique d'une demande de crédit en ligne ou des pratiques de recrutement en ligne sans aucune intervention humaine. Un tel traitement automatisé peut inclure le profilage. Toutefois, ce droit de ne pas faire l'objet d'une décision automatisée ne s'applique pas:

— lorsque cette décision est nécessaire à la conclusion ou à l'exécution d'un contrat entre la personne concernée et un responsable du traitement;

— lorsqu'elle est autorisée par le droit de l'Union ou le droit d'un État membre auquel le responsable du traitement est soumis et qui prévoit également des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée, telles que le contrôle des fraudes et de l'évasion fiscale; ou

— lorsqu'elle est fondée sur le consentement explicite de la personne concernée.

— Sauf dans le deuxième cas, relatif au traitement autorisé par le droit de l'Union ou le droit d'un État membre, le responsable du traitement qui effectue des traitements automatisés doit mettre en œuvre des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes des personnes concernées. Ces mesures de sauvegarde doivent en tout état de cause comprendre le droit d'obtenir une intervention humaine de la part du responsable du traitement et la possibilité pour la personne concernée d'exprimer son point de vue et de contester la décision. En outre, afin d'assurer un traitement équitable et transparent des données, les responsables du traitement devraient utiliser des procédures mathématiques et statistiques adéquates aux fins du profilage, ainsi qu'appliquer des mesures permettant de réduire au minimum les risques susceptibles de peser sur les intérêts des personnes concernées.

La personne concernée voit ses moyens d'action renforcés car le responsable du traitement est tenu de lui fournir, lorsque cela est nécessaire pour assurer un traitement équitable et transparent, des informations concernant l'existence d'une prise de décision automatisée, y compris un profilage, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée.

Enfin, la prise de décision et le profilage automatisés fondés sur des catégories particulières de données à caractère personnel ne sont autorisés que dans des conditions spécifiques: en particulier, la personne concernée a le droit de s'opposer à ce traitement lorsque des données à caractère personnel font l'objet d'un traitement ultérieur à des fins de recherche scientifique ou historique ou à des fins statistiques, à moins que le traitement ne soit nécessaire à l'exécution d'une mission d'intérêt public.

Le comité européen de la protection des données peut publier des lignes directrices, des recommandations et des bonnes pratiques en vue de préciser davantage les critères et conditions applicables aux décisions fondées sur le profilage.

5. Responsable du traitement et sous-traitant

5.1. Introduction

La position du Conseil en première lecture établit le cadre juridique régissant la responsabilité concernant tout traitement de données à caractère personnel effectué par un responsable du traitement ou, pour son compte, par un sous-traitant. Conformément au principe de responsabilité, le responsable du traitement est tenu de mettre en œuvre des mesures techniques et organisationnelles appropriées et d'être en mesure de démontrer la conformité de ses opérations de traitement avec le règlement. À cet égard, le règlement fixe des règles relatives aux responsabilités du responsable du traitement concernant les analyses d'impact, la tenue de registres des activités de traitement, les violations de données, la désignation d'un délégué à la protection des données et les codes de conduite et les mécanismes de certification.

5.2. Analyses d'impact

Le responsable du traitement est chargé d'effectuer une analyse d'impact relative à la protection des données lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques. La position du Conseil en première lecture définit les cas où une analyse d'impact spécifique relative à la protection des données est requise, comme dans le cas de certaines opérations particulières de traitement à grande échelle. Lorsqu'il ressort d'une telle analyse d'impact que les opérations de traitement des données comportent un risque élevé que le responsable du traitement ne peut atténuer en prenant des mesures appropriées compte tenu des techniques disponibles et des coûts liés à leur mise en œuvre, il convient que l'autorité de contrôle soit consultée avant que le traitement n'ait lieu. L'autorité de contrôle peut alors fournir un avis au responsable du traitement et peut faire usage de ses pouvoirs.

Le comité européen de la protection des données peut publier des lignes directrices relatives aux opérations de traitement susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques et indiquer les mesures qui peuvent suffire dans de tels cas pour faire face à un risque éventuel.

5.3. Registre des activités de traitement

Pour permettre la réalisation de contrôles a posteriori par l'autorité de contrôle, le responsable du traitement ou, le cas échéant, son représentant, ou le sous-traitant doit tenir des registres pour les activités de traitement effectué sous sa responsabilité, y compris concernant les violations de données. Afin de réduire la charge administrative, l'obligation de tenir un registre ne s'applique pas aux entreprises ni aux organisations comptant moins de 250 employés, sauf si le traitement qu'elles effectuent est susceptible de comporter un risque pour des droits et libertés des personnes concernées, s'il n'est pas occasionnel ou s'il porte notamment sur des données sensibles ou des données se rapportant à des condamnations pénales et à des infractions.

5.4. Violations de données

Une violation de données à caractère personnel risque de causer aux personnes physiques concernées des dommages physiques ou matériels ou un préjudice moral tels qu'une perte de maîtrise de leurs données à caractère personnel ou la limitation de leurs droits, une discrimination, un vol ou une usurpation d'identité, une perte financière, un renversement non autorisé du processus de pseudonymisation, une atteinte à la réputation, une perte de confidentialité de données protégées par le secret professionnel ou tout autre dommage économique ou social. La position du Conseil en première lecture prévoit que les responsables du traitement doivent notifier les violations de données aux les autorités de contrôle, à moins qu'il soit peu probable que la violation de données engendre un risque pour les droits et libertés des personnes physiques. Les responsables du traitement doivent également communiquer aux personnes concernées les violations susceptibles d'engendrer un risque élevé. La notification aux autorités de contrôle leur permettra d'intervenir, s'il y a lieu. De plus, la communication à la personne concernée lui permettra de prendre des mesures conservatoires.

En vue de réduire la charge administrative, la position du Conseil en première lecture applique différents seuils pour la notification à l'autorité de contrôle et la communication aux personnes concernées, un seuil plus élevé étant prévu pour la communication. Les responsables du traitement sont tenus, dès qu'ils apprennent qu'une violation de données à caractère personnel s'est produite, d'informer l'autorité de contrôle compétente dans les meilleurs délais et, lorsque c'est possible, 72 heures au plus tard après en avoir pris connaissance. Toutefois, les responsables du traitement peuvent s'abstenir de notifier la violation de données à caractère personnel s'ils peuvent démontrer qu'il est peu probable qu'elle engendre un risque pour les droits et libertés des personnes physiques. À quelques exceptions près, les responsables du traitement sont tenus de communiquer la violation de données à caractère personnel aux personnes concernées, dans les meilleurs délais, lorsque cette violation de données est susceptible d'engendrer un risque élevé pour les droits et libertés de ces personnes concernées.

Le comité européen de la protection des données peut publier des lignes directrices, des recommandations et des bonnes pratiques en vue d'établir les violations de données, de déterminer les meilleurs délais dans lesquels la notification et la communication doivent intervenir après que le responsable du traitement a pris connaissance de la violation des données et de préciser les circonstances particulières dans lesquelles un responsable du traitement est tenu de notifier la violation de données à caractère personnel ainsi que les circonstances dans lesquelles une violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques.

5.5. Délégué à la protection des données

La désignation d'un délégué à la protection des données vise à améliorer le respect du règlement. En conséquence, le délégué à la protection des données doit être une personne possédant des connaissances spécialisées du droit et des pratiques en matière de protection des données, qui doit aider le responsable du traitement ou le sous-traitant à vérifier le respect, au niveau interne, du règlement. Il ou elle peut être membre du personnel du responsable du traitement ou du sous-traitant, ou exercer ses missions sur la base d'un contrat de service. Un délégué à la protection des données unique peut également être désigné pour un groupe d'entreprises ou lorsque le responsable du traitement ou le sous-traitant est une autorité publique. La position du Conseil en première lecture prévoit la désignation obligatoire d'un délégué à la protection des données lorsque:

— le traitement est effectué par une autorité publique, à l'exception des juridictions ou des autorités judiciaires indépendantes agissant dans l'exercice de leur fonction juridictionnelle;

— les activités de base du responsable du traitement ou du sous-traitant consistent en opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées; ou

— les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de données sensibles et de données relatives à des condamnations pénales ou des infractions.

5.6. Codes de conduite et mécanismes de certification

La position du Conseil en première lecture encourage l'application de codes de conduite et un recours accru à des mécanismes de certification ainsi qu'à des labels et à des marques en matière de protection des données. Ces initiatives contribuent au respect des règles en matière de protection des données tout en évitant des règles exagérément contraignantes et en réduisant les coûts pour les autorités publiques chargées de leur application. En outre, des codes de conduite peuvent prendre en compte les spécificités des traitements effectués dans certains secteurs et les besoins des micro, petites et moyennes entreprises. Les mécanismes de certification et les labels et marques en matière de protection des données, quant à eux, contribuent au respect du règlement, étant donné que les personnes concernées peuvent évaluer facilement le niveau de protection des données offert par les produits et services en question.

La position du Conseil en première lecture contient un ensemble détaillé de règles concernant les codes de conduite, les mécanismes de certification et les labels et les marques en matière de protection des données, qui accordent une place à l'initiative privée tout en préservant les normes en matière de protection des données grâce à la participation des autorités de contrôle.

5.6.1. Codes de conduite

L'autorité de contrôle peut approuver des codes de conduite ou des modifications ou prorogations de tels codes de conduite. Lorsque le projet de code de conduite concerne des activités de traitement menées dans plusieurs États membres, l'autorité de contrôle compétente doit, avant approbation, soumettre un projet de code, de modification ou de prorogation au comité européen de la protection des données, afin qu'il rende un avis.

La Commission peut décider, par voie d'actes d'exécution, que de nouveaux codes de conduite ainsi que les modifications ou prorogations de codes de conduite existants approuvés par l'autorité de contrôle compétente sont d'application générale au sein de l'Union.

Le comité européen de la protection des données devrait encourager l'élaboration de codes de conduite. Il doit également consigner dans un registre tous les codes de conduite approuvés ainsi que les modifications qui y ont été apportées et les mettre à la disposition du public par tout moyen approprié.

5.6.2. Mécanismes de certification, labels et marques en matière de protection des données

La position du Conseil en première lecture prévoit que chaque État membre doit déterminer si les organismes de certification sont agréés par l'autorité de contrôle ou par l'organisme national d'accréditation. Les organismes de certification agréés peuvent délivrer une certification aux responsables du traitement et aux sous-traitants sur la base des critères approuvés par l'autorité de contrôle compétente ou, conformément au mécanisme de contrôle de la cohérence, par le comité européen de la protection des données. Dans ce dernier cas, les critères approuvés par le comité européen de la protection des données peuvent donner lieu à une certification commune, le label européen de protection des données. La certification est délivrée à un responsable du traitement ou à un sous-traitant pour une période maximale de trois ans et peut être renouvelée. L'organisme de certification doit communiquer à l'autorité de contrôle les raisons de la délivrance ou du retrait de la certification demandée. L'autorité de contrôle peut ensuite rejeter la certification, ou l'invalider.

La Commission est compétente pour adopter des actes délégués aux fins de préciser les exigences à prendre en considération en ce qui concerne les mécanismes de certification en matière de protection des données. Le comité européen de la protection des données doit rendre un avis sur ces exigences. La Commission peut également adopter des actes d'exécution concernant des normes techniques pour les mécanismes de certification, les labels et les marques en matière de protection des données, ainsi que les mécanismes aux fins de la promotion et de la reconnaissance de ces mécanismes de certification, labels et marques.

Enfin, le comité européen de la protection des données devrait encourager la mise en place de mécanismes de certification ainsi que de labels et de marques en matière de protection des données.

6. Transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales

6.1. Introduction

Les flux transfrontières de données à caractère personnel à destination et en provenance de pays tiers et d'organisations internationales sont essentiels dans un contexte de commerce mondial et d'économie numérique transfrontière. Le niveau de protection garanti par l'Union ne doit pas être compromis lorsque des données à caractère personnel de citoyens de l'UE sont transférées vers des pays tiers.

En règle générale, tout transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale ne peut être effectué que si les responsables du traitement et les sous-traitants se conforment aux règles prévues par le règlement. La position du Conseil en première lecture tient pleinement compte de la jurisprudence de la Cour de justice de l'Union européenne, notamment de l'arrêt de la Cour du 6 octobre 2015 dans l'affaire C-362/14. La position du Conseil maintient les différentes modalités permettant de réaliser le transfert transfrontière de données à caractère personnel, tout en renforçant les garanties qui visent à assurer le respect des droits en matière de protection des données. Ces différentes modalités régissant le transfert de données à caractère personnel sont les décisions d'adéquation, les garanties appropriées et les dérogations.

La position du Conseil en première lecture précise que toute décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant d'un responsable du traitement ou d'un sous-traitant qu'il transfère ou divulgue des données à caractère personnel ne peut être reconnue ou rendue exécutoire de quelque manière que ce soit qu'à la condition qu'elle soit fondée sur un accord international en vigueur entre le pays tiers demandeur et l'Union ou un État membre. De plus, la position du Conseil en première lecture indique que ces accords internationaux s'appliquent sans préjudice d'autres motifs de transferts transfrontières prévus par le règlement.

6.2. Décisions constatant le caractère adéquat du niveau de protection

Des transferts internationaux peuvent avoir lieu en vertu d'une décision de la Commission constatant que le pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou l'organisation internationale en question assure un niveau de protection adéquat, essentiellement équivalent à celui qui est garanti dans l'Union. Ainsi la sécurité juridique et l'uniformité sont-elles assurées dans l'ensemble de l'Union.

La Commission peut décider, après en avoir informé le pays tiers ou l'organisation internationale et lui avoir fourni une justification complète, de révoquer une décision constatant le caractère adéquat du niveau de protection. La Commission adopte les décisions d'adéquation et les décisions les révoquant sous la forme d'actes d'exécution. Les actes d'exécution doivent prévoir un mécanisme d'examen périodique, au moins tous les quatre ans. La Commission doit suivre les évolutions dans les pays tiers et au sein des organisations internationales qui pourraient porter atteinte au fonctionnement des décisions d'adéquation. Aux fins du suivi et de la réalisation des examens périodiques, la Commission devrait prendre en considération les observations et les conclusions du Parlement européen et du Conseil, ainsi que des autres organes et sources pertinents. Dans le contexte de l'évaluation et du réexamen du règlement, la Commission doit également présenter, à intervalles réguliers, des rapports au Conseil et au Parlement européen. Enfin, le comité européen de la protection des données doit rendre à la Commission un avis en ce qui concerne l'évaluation du caractère adéquat du niveau de protection assuré par un pays tiers ou une organisation internationale, y compris concernant l'évaluation visant à déterminer si un niveau adéquat de protection n'est plus assuré.

Les décisions adoptées par la Commission sur la base de l'article 25, paragraphe 6, de la directive 95/46/CE demeurent en vigueur jusqu'à leur modification, leur remplacement ou leur abrogation par une décision de la Commission. Dans le même ordre d'idées, les autorisations accordées par un État membre ou une autorité de contrôle sur le fondement de l'article 26, paragraphe 2, de la directive 95/46/CE et les décisions adoptées par la Commission sur le fondement de l'article 26, paragraphe 4, de la directive 95/46/CE demeurent valables jusqu'à leur modification, leur remplacement ou leur abrogation, si nécessaire, respectivement par ladite autorité de contrôle ou par une décision de la Commission. En garantissant la continuité, la position du Conseil en première lecture apporte la sécurité juridique.

6.3. Garanties appropriées

Outre les transferts en vertu de décisions constatant le caractère adéquat de la protection, des transferts transfrontières peuvent également avoir lieu si le responsable du traitement ou le sous-traitant a prévu des garanties appropriées pour compenser l'insuffisance de la protection des données dans le pays tiers ou l'organisation internationale concernés. Ces garanties peuvent être des instruments juridiquement contraignants et exécutoires entre les autorités ou organismes publics, des règles d'entreprise contraignantes, des clauses types de protection des données adoptées par la Commission, des clauses types de protection des données adoptées par une autorité de contrôle ou des clauses contractuelles autorisées par une autorité de contrôle. Les responsables du traitement ou sous-traitants dans un pays tiers peuvent également prévoir des garanties appropriées pour les transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales. Ils peuvent le faire au moyen d'un code de conduite approuvé, assorti à de l'engagement contraignant et doté de force obligatoire d'appliquer les garanties appropriées au moyen d'instruments contractuels ou d'autres instruments juridiquement contraignants, y compris en ce qui concerne les droits des personnes concernées. Ils peuvent également le faire au moyen d'un mécanisme de certification approuvé par l'autorité de contrôle compétente, assorti de l'engagement contraignant et exécutoire dans le pays tiers d'appliquer les garanties appropriées, y compris en ce qui concerne les droits des personnes concernées.

6.4. Dérogations

En l'absence de décision d'adéquation ou de garanties appropriées, un transfert ou un ensemble de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale peut avoir lieu en vertu des dérogations dont la liste exhaustive figure dans le règlement. L'une de ces dérogations porte sur les intérêts légitimes poursuivis par le responsable du traitement, sur lesquels ne prévalent pas les intérêts ou les droits et libertés de la personne concernée. Afin de fournir des garanties suffisantes pour les transferts transfrontières de données à caractère personnel, les intérêts légitimes du responsable du traitement sont strictement encadrés et ne peuvent être invoqués qu'en dernier recours. Afin d'assurer une application cohérente du règlement, le comité européen de la protection des données doit, de sa propre initiative ou à la demande de la Commission, établir et réviser des lignes directrices, des recommandations et des bonnes pratiques aux fins de préciser davantage les critères et exigences applicables aux transferts de données en l'absence de décision d'adéquation ou de garanties appropriées.

7. Autorités de contrôle

7.1. Indépendance

Afin de protéger les libertés et droits fondamentaux des personnes physiques à l'égard du traitement de leurs données à caractère personnel et de faciliter le libre flux des données à caractère personnel au sein de l'Union, chaque État membre doit prévoir qu'une ou plusieurs autorités publiques indépendantes sont chargées de surveiller l'application du règlement sur leur territoire. Les autorités de contrôle et leurs membres doivent exercer en toute indépendance et avec intégrité les missions et les pouvoirs dont ils sont investis.

Chaque autorité de contrôle doit contribuer à l'application cohérente du règlement dans l'ensemble de l'Union. À cette fin, les autorités de contrôle doivent coopérer entre elles, ainsi qu'avec le comité européen de la protection des données et la Commission. L'application cohérente du règlement est également assurée par les dispositions du règlement qui déterminent les compétences des autorités de contrôle et définissent les missions et les pouvoirs d'enquête, les pouvoirs en matière d'adoption de mesures correctrices, les pouvoirs d'autorisation et les pouvoirs consultatifs dont les autorités de contrôle doivent disposer au minimum.

7.2. Secret professionnel

La position du Conseil en première lecture établit les règles s'appliquant aux autorités de contrôle et à leurs membres en matière de secret professionnel. En premier lieu, les membres et les agents de chaque autorité de contrôle doivent être soumis, conformément au droit de l'Union ou au droit des États membres, au secret professionnel concernant toute information confidentielle dont ils ont eu connaissance dans l'exercice de leurs missions ou de leurs pouvoirs, y compris après la cessation de leurs activités. Il est également précisé que, pendant la durée de leur mandat, ce secret professionnel s'applique en particulier au signalement par des personnes physiques de violations du règlement. En outre, le comité européen de la protection des données est chargé de publier des lignes directrices, des recommandations et des bonnes pratiques en vue d'établir des procédures communes pour le signalement par des personnes physiques de violations du règlement.

8. Coopération et cohérence

8.1. Comité européen de la protection des données

La position du Conseil en première lecture institue le comité européen de la protection des données en tant qu'organe de l'Union possédant la personnalité juridique, en vue d'assurer l'application correcte et cohérente du règlement. Les interventions du comité consistent notamment à rendre des avis, à adopter des décisions contraignantes dans le contexte du règlement de litiges entre autorités de contrôles ou à publier des lignes directrices sur toute question portant sur l'application du présent règlement afin d'assurer la mise en œuvre cohérente du règlement.

Le comité européen de la protection des données se compose du chef d'une autorité de contrôle de chaque État membre et du contrôleur européen de la protection des données, ou de leurs représentants respectifs. La Commission a le droit de participer aux activités et réunions du comité européen de la protection des données sans droit de vote. Lorsque le comité européen de la protection des données le juge nécessaire, ses débats sont confidentiels, comme le prévoit son règlement intérieur.

Lorsque le comité européen de la protection des données adopte une décision contraignante dans le contexte du règlement de litiges, le contrôleur européen de la protection des données ne dispose de droits de vote qu'à l'égard des décisions concernant des principes et règles applicables aux institutions, organes et organismes de l'Union qui correspondent, en substance, à ceux énoncés dans le règlement.

8.2. Mécanisme de contrôle de la cohérence

Dans les cas de traitement transfrontière de données à caractère personnel faisant intervenir plus d'une autorité de contrôle, le mécanisme de contrôle de la cohérence garantit qu'une seule décision soit prise, qui sera applicable dans l'ensemble de l'Union européenne et tiendra compte de l'avis des diverses autorités de contrôle concernées. Le mécanisme de contrôle de la cohérence permet ainsi de renforcer la proximité entre les personnes concernées et l'autorité de contrôle décisionnaire en associant les autorités de contrôle "locales" au processus décisionnel. En outre, en cas de litiges entre les autorités de contrôle de plusieurs États membres, le comité européen de la protection des données nouvellement créé est compétent pour prendre des décisions contraignantes.

Les règles relatives au mécanisme de contrôle de la cohérence ne s'appliquent pas lorsque le traitement est effectué par des autorités publiques ou des organismes privés dans l'intérêt public. Dans ce cas, la seule autorité de contrôle compétente est l'autorité de contrôle de l'État membre dans lequel l'autorité publique ou l'organisme privé est établi.

La position du Conseil en première lecture prévoit que l'application du mécanisme de coopération et de contrôle de la cohérence fera l'objet d'un examen, dans le cadre de l'évaluation du règlement par la Commission.

9. Voies de recours, responsabilité et sanctions

La position du Conseil en première lecture prévoit un ensemble détaillé de règles qui permet aux personnes concernées de disposer de plusieurs voies de recours, notamment de réclamer réparation en cas de préjudice résultant d'une violation du règlement.

9.1. Droit d'introduire une réclamation et droit à un recours juridictionnel

La position du Conseil en première lecture prévoit que toute personne concernée a le droit d'introduire une réclamation auprès d'une autorité de contrôle, si elle considère que le traitement de données à caractère personnel la concernant n'est pas conforme au règlement. En outre, toute personne concernée a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d'une autorité de contrôle qui la concerne. La personne concernée a également le droit de former un recours juridictionnel effectif si l'autorité de contrôle ne traite pas la réclamation ou ne fournit pas d'information sur l'état d'avancement ou l'issue de la réclamation.

La personne concernée a également droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le règlement ont été violés du fait d'un traitement de ses données à caractère personnel effectué en violation du règlement.

La proximité entre la personne concernée et les juridictions nationales est garantie par le droit dont dispose la personne concernée de soumettre une décision de son autorité chargée de la protection des données au contrôle de sa juridiction nationale, quel que soit l'État membre dans lequel le responsable du traitement ou sous-traitant est établi. Toute action contre un responsable du traitement ou un sous-traitant doit être intentée devant les juridictions de l'État membre dans lequel le responsable du traitement ou le sous-traitant dispose d'un établissement. Une telle action peut aussi être intentée devant les juridictions de l'État membre dans lequel la personne concernée a sa résidence habituelle, sauf si le responsable du traitement ou le sous-traitant est une autorité publique d'un État membre agissant dans l'exercice de ses prérogatives de puissance publique.

Enfin, toute personne physique ou morale a le droit de former un recours en annulation des décisions du comité européen de la protection des données devant la Cour de justice de l'Union européenne dans les conditions prévues à l'article 263 du TFUE.

9.2. Représentation des personnes concernées

Toute personne concernée a le droit de mandater des organismes, des organisations ou des associations qui satisfont à des critères spécifiques, notamment ne pas poursuivre de but lucratif et être actifs dans le domaine de la protection des données, pour qu'ils introduisent une réclamation en son nom, exercent en son nom les droits à un recours juridictionnel et exercent en son nom le droit d'obtenir réparation si le droit de l'État membre le prévoit. Ces critères spécifiques ont pour but d'éviter la prolifération de recours à visée lucrative dans le domaine de la protection des données. En outre, les États membres peuvent prévoir que tout organisme, organisation ou association susmentionné, indépendamment de tout mandat confié par une personne concernée, a, dans l'État membre en question, le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente et d'exercer les droits relatifs au recours juridictionnel s'il considère que les droits d'une personne concernée n'ont pas été respectés parce que le traitement des données à caractère personnel n'a pas eu lieu en conformité avec le règlement.

9.3. Suspension d'une action

Afin d'éviter qu'une action concernant le même objet soit intentée auprès de juridictions différentes à l'égard d'un traitement effectué par le même responsable du traitement ou le même sous-traitant, toute juridiction compétente autre que la juridiction saisie en premier lieu peut suspendre son action ou, à la demande de l'une des parties, se dessaisir.

9.4. Droit à réparation et responsabilité

La position du Conseil en première lecture prévoit que toute personne concernée ayant subi un dommage matériel ou moral du fait d'une violation du règlement a le droit d'obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Afin de donner aux personnes concernées la possibilité de réclamer une réparation en cas de dommage tout en offrant la sécurité juridique aux responsables du traitement et aux sous-traitants, le règlement énonce les responsabilités de ceux-ci. Tout responsable du traitement ayant participé au traitement est responsable du dommage causé par le traitement. Un sous-traitant n'est tenu responsable que lorsqu'il n'a pas respecté les obligations prévues par le règlement qui incombent spécifiquement aux sous-traitants ou qu'il a agi en-dehors des instructions licites du responsable du traitement ou contrairement à celles-ci. Toutefois, un responsable du traitement ou un sous-traitant est exonéré de responsabilité s'il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable.

Lorsque plusieurs responsables du traitement ou sous-traitants ou lorsqu'un responsable du traitement et un sous-traitant participent au même traitement et lorsqu'ils sont responsables d'un dommage causé par le traitement, chacun des responsables du traitement ou des sous-traitants est tenu responsable du dommage dans sa totalité afin de garantir à la personne concernée une réparation effective. Toutefois, lorsqu'un responsable du traitement ou un sous-traitant a réparé totalement le dommage subi, il est en droit de réclamer auprès des autres responsables du traitement ou sous-traitants ayant participé au même traitement la part de la réparation correspondant à leur part de responsabilité dans le dommage.

9.5. Sanctions

En vue de garantir le respect des dispositions du règlement, la position du Conseil en première lecture prévoit que les autorités de contrôle peuvent imposer des amendes administratives. Ces amendes doivent être effectives, proportionnées et dissuasives. Chaque État membre peut établir les règles déterminant si et dans quelle mesure des amendes administratives peuvent être imposées à des autorités publiques et à des organismes publics établis sur son territoire. En plus d'infliger des amendes administratives, les autorités de contrôle peuvent également exercer d'autres pouvoirs en matière d'adoption de mesures correctrices, telles que les avertissements ou les rappels à l'ordre. Afin d'améliorer l'harmonisation, le comité européen de la protection des données doit élaborer, à l'intention des autorités de contrôle, des lignes directrices concernant l'application des pouvoirs de l'autorité de contrôle en matière d'adoption de mesures correctrices et la fixation des amendes administratives.

La position du Conseil en première lecture contient une liste de critères dont les autorités de contrôle doivent tenir compte lorsqu'elles décident d'imposer ou non une amende administrative et, le cas échéant, qu'elles fixent le montant de l'amende. Ces critères ont notamment trait à la nature, à la gravité et à la durée de la violation du règlement ou au fait que la violation a été commise délibérément ou par négligence. Le règlement énumère tant les violations que le montant maximal des amendes administratives correspondantes. Dans la limite de ces amendes administratives maximales, l'autorité de contrôle doit déterminer le montant approprié selon les caractéristiques propres à chaque cas. Afin de garantir la sécurité juridique aux responsables du traitement et aux sous-traitants et de renforcer l'harmonisation des amendes administratives au sein de l'Union tout en préservant la marge d'appréciation des autorités de contrôle, ces infractions sont classées en trois catégories. Les infractions de la première catégorie, concernant les obligations incombant aux responsables du traitement et aux sous-traitants, font l'objet d'amendes administratives d'un montant pouvant s'élever jusqu'à 10 000 000 EUR ou, dans le cas d'une entreprise, jusqu'à 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Pour la deuxième catégorie d'infractions, portant sur les droits des personnes concernées et les principes de base, le montant des amendes est plafonné à 20 000 000 EUR ou 4 % du chiffre d'affaires. La troisième catégorie d'infractions concerne le non-respect d'une injonction émise par l'autorité de contrôle et fait également l'objet d'une amende maximale s'élevant à 20 000 000 EUR ou 4 % du chiffre d'affaires.

10. Situations particulières de traitement des données

10.1. Traitement des données à caractère personnel et liberté d'expression et d'information

Les États membres doivent concilier, par la loi, droit à la protection des données à caractère personnel et le droit à la liberté d'expression et d'information, y compris le traitement de données à caractère personnel à des fins journalistiques et à des fins d'expression universitaire, artistique ou littéraire. Afin de veiller à la transparence en ce qui concerne la conciliation de ces droits, chaque État membre est tenu de notifier à la Commission les dispositions pertinentes de sa législation et les modifications de ces dispositions, ainsi que les nouvelles dispositions pertinentes.

10.2. Traitement de données dans le cadre des relations de travail

Les États membres peuvent prévoir, par la loi ou au moyen de conventions collectives, des règles plus spécifiques pour assurer la protection des droits et libertés en ce qui concerne le traitement des données à caractère personnel des employés dans le cadre des relations de travail.

Ces règles doivent comprendre des mesures appropriées et spécifiques pour protéger la dignité humaine, les intérêts légitimes et les droits fondamentaux des personnes concernées. Chaque État membre doit notifier à la Commission les dispositions pertinentes de sa législation et les modifications de ces dispositions, ainsi que les nouvelles dispositions pertinentes.

10.3. Garanties et dérogations applicables au traitement de données à caractère personnel à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques

La position du Conseil en première lecture établit des règles spécifiques applicables au traitement de données à caractère personnel à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques. Ces règles visent à concilier, d'une part, l'intérêt que présente la disponibilité des données pour la tenue d'archives, pour l'élaboration de statistiques et pour la recherche et, d'autre part, les droits en matière de protection des données.

Le traitement des données à caractère personnel à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques doit être soumis à des garanties appropriées pour les droits et libertés de la personne concernée, conformément au règlement. Les États membres sont autorisés à prévoir, dans des conditions spécifiques et moyennant des garanties appropriées pour les personnes concernées, des dispositions particulières et des dérogations concernant les exigences en matière d'information et les droits à la rectification, à l'effacement, à l'oubli, à la limitation du traitement et à la portabilité des données ainsi que le droit d'opposition lorsque les données à caractère personnel sont traitées à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques.

La position du Conseil en première lecture autorise également à déroger à l'interdiction de traiter des données à caractère personnel sensibles en cas de traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques. Cette dérogation est accordée si le traitement en question est fondé sur le droit de l'Union ou le droit d'un État membre qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée.

11. Accords conclus antérieurement

La position du Conseil en première lecture précise que les accords internationaux impliquant le transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales qui ont été conclus par les États membres avant l'entrée en vigueur du règlement et qui sont conformes au droit de l'Union applicable avant l'entrée en vigueur du règlement restent en vigueur jusqu'à leur modification, leur remplacement ou leur révocation. Cette disposition garantit la sécurité juridique aux responsables du traitement et évite une charge administrative inutile pour les États membres. Elle tient également compte du fait que les États membres sont tributaires de la coopération du pays tiers ou de l'organisation internationale concerné pour modifier les accords existants.

IV. CONCLUSIONS

La position du Conseil en première lecture traduit le compromis intervenu lors des négociations informelles menées entre le Conseil et le Parlement européen, avec l'aide de la Commission. Le Conseil invite le Parlement européen à approuver formellement la position du Conseil en première lecture sans la modifier, de manière à pouvoir mettre en place le nouveau cadre législatif de l'UE pour la protection des données qui renforcera les droits en matière de protection des données tout en facilitant la circulation des données à caractère personnel dans le marché numérique.