2.1 La notion de données à caractère non personnel dans le règlement relatif au libre flux des données à caractère non personnel

2 L’interaction entre le règlement relatif au libre flux des données à caractère non personnel et le RGPD en ce qui concerne les ensembles de données mixtes.

Le présent document est publié par les services de la Commission européenne à des fins d’information uniquement. Il ne contient aucune interprétation faisant autorité du règlement (UE) 2018/1807 du Parlement européen et du Conseil du 14 novembre 2018 concernant un cadre applicable au libre flux des données à caractère non personnel dans l’Union européenne et ne constitue ni une décision ni une position de la Commission européenne. Il est sans préjudice de toute décision ou position de la Commission et de la compétence de la Cour de justice de l’Union s’agissant d’interpréter le règlement conformément aux traités de l’Union.



1 Introduction

Dans une économie où les données jouent un rôle toujours plus important, les flux de données sont au cœur des processus opérationnels des entreprises, toutes tailles et tous secteurs confondus. Les nouvelles technologies numériques ouvrent de nouvelles perspectives pour le grand public, les entreprises et les administrations publiques dans l’Union européenne (ci-après l’«UE»).

Pour accroître encore les échanges transfrontières de données et stimuler l’économie des données, le Parlement européen et le Conseil ont adopté en novembre 2018, sur la base d’une proposition de la Commission européenne (ci-après la «Commission») le règlement (UE) 2018/1807 concernant un cadre applicable au libre flux des données à caractère non personnel dans l’Union européenne (ci-après le «règlement relatif au libre flux des données à caractère non personnel)». Ce règlement est applicable à partir du 28 mai 2019. Le principe de la libre circulation des données à caractère personnel est déjà inscrit dans le règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE («règlement général sur la protection des données», ci-après le RGPD). En conséquence, il existe désormais un cadre global englobant un espace européen commun des données et la libre circulation de toutes les données au sein de l’Union européenne.

Le règlement relatif au libre flux des données à caractère non personnel donne aux entreprises la sécurité juridique nécessaire pour traiter leurs données à l’endroit de leur choix dans l’UE, renforce la confiance dans les services de traitement des données et contrecarre les pratiques menant à une dépendance à l’égard des fournisseurs. Cela permettra d’élargir le choix offert au client, d’améliorer l’efficacité et de stimuler l’adoption des technologies en nuage avec, à la clé, des économies non négligeables pour les entreprises de l’UE. Une étude montre que les entreprises de l’UE peuvent économiser 20 à 50 % de leurs coûts informatiques en migrant vers le nuage.

Ces deux règlements garantissent la libre circulation des données entre les États membres, ce qui permet aux utilisateurs de services de traitement de données de se servir des données recueillies sur différents marchés de l’UE pour améliorer leur productivité et leur compétitivité. Les utilisateurs peuvent donc tirer pleinement parti des économies d’échelle que permet de réaliser le vaste marché de l’UE, en améliorant leur compétitivité à l’échelle mondiale et en renforçant l’interconnectivité de l’économie européenne fondée sur les données.

Le règlement relatif au libre flux des données à caractère non personnel présente trois caractéristiques dignes d’intérêt:

·Il interdit en principe aux États membres d’imposer des exigences en matière de localisation des données. Il ne peut être dérogé à cette règle que pour des motifs de sécurité publique dans le respect du principe de proportionnalité.

·Il établit un mécanisme de coopération visant à garantir que les autorités compétentes continuent d’être en mesure d’exercer tout droit dont elles jouissent en matière d’accès aux données qui sont traitées dans un autre État membre.

·Il encourage les acteurs du secteur à élaborer, avec le soutien de la Commission, des codes de conduite fondés sur l’autorégulation concernant le changement de fournisseurs de services et le portage des données.

Objectif des présentes lignes directrices

Les présentes lignes directrices sont conformes à l’article 8, paragraphe 3, du règlement relatif au libre flux des données à caractère non personnel, qui impose à la Commission de publier des lignes directrices sur l’interaction entre ledit règlement et le RGPD, «en particulier en ce qui concerne les ensembles de données composés à la fois de données à caractère personnel et de données à caractère non personnel».

Ces lignes directrices visent à aider les utilisateurs — en particulier les petites et moyennes entreprises — à comprendre l’interaction entre le règlement relatif au libre flux des données à caractère non personnel et le RGPD. Elles portent donc, plus particulièrement, sur: i) les concepts de données à caractère non personnel et de données à caractère personnel; ii) les principes de libre circulation des données et d’interdiction des exigences de localisation des données en vertu des deux règlements; et iii) la notion de portabilité des données dans le cadre du règlement sur le libre flux des données à caractère non personnel. Elles couvrent également les exigences d’autorégulation établies dans les deux règlements.

Le règlement relatif au libre flux des données à caractère non personnel couvre uniquement les «données autres que les données à caractère personnel» telles que définies par le RGPD. Le RGPD régit le traitement des données à caractère personnel, qui constitue un élément essentiel du cadre de protection des données de l’UE. Il est entré en vigueur dans les États membres le 25 mai 2018. Le règlement établit des règles harmonisées pour protéger les personnes dans l’UE/l’EEE en ce qui concerne le traitement de leurs données à caractère personnel et la libre circulation de ces données. Le RGPD: (i) précise quelles informations constituent des données à caractère personnel; (ii) établit les fondements juridiques de leur traitement; et (iii) définit les droits et obligations à respecter lors du traitement de ces données, entre autres dispositions. En ce qui concerne le principe de libre circulation des données personnelles, l’article 1er, paragraphe 3 du RGPD dispose que «[l]a libre circulation des données à caractère personnel au sein de l'Union n'est ni limitée ni interdite pour des motifs liés à la protection des personnes physiques à l'égard du traitement des données à caractère personnel».

Dans la pratique, un ensemble de données est, dans la plupart des cas, composé à la fois de données à caractère personnel et de données à caractère non personnel. On parle souvent d’«ensembles de données mixtes». La section 2.2 ci-dessous fournit davantage de précisions sur l’interaction entre le règlement relatif au libre flux des données à caractère non personnel et le RGPD en ce qui concerne les ensembles de données mixtes.

Dans un souci de clarté, il n’y a pas d’obligations contradictoires au titre du RGPD et du règlement relatif à la libre circulation des données à caractère non personnel.

2 L’interaction entre le règlement relatif au libre flux des données à caractère non personnel et le RGPD en ce qui concerne les ensembles de données mixtes.

2.1 La notion de données à caractère non personnel dans le règlement relatif au libre flux des données à caractère non personnel