Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données) /* COM/2012/011 final - 2012/0011 (COD) */





EXPOSÉ DES MOTIFS 1. CONTEXTE DE LA PROPOSITION Le présent exposé des motifs précise le nouveau cadre juridique envisagé pour la protection des données à caractère personnel dans l'Union européenne, qui est décrit dans la communication COM(2012) 9 final[1]. Ce nouveau cadre juridique se compose de deux propositions législatives: – une proposition de règlement du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données), et – une proposition de directive du Parlement européen et du Conseil relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière, ou d'exécution de sanctions pénales, et à la libre circulation de ces données[2]. Le présent exposé des motifs porte sur la proposition de règlement général sur la protection des données. La pièce maîtresse de la législation de l’UE en matière de protection des données à caractère personnel, à savoir la directive 95/46/CE[3], avait été adoptée en 1995 avec deux objectifs à l'esprit: protéger le droit fondamental à la protection des données et garantir la libre circulation des données à caractère personnel entre les États membres. Elle a été complétée par la décision-cadre 2008/977/JAI destinée, à titre d'instrument général, au niveau de l'Union, à protéger les données à caractère personnel dans les domaines de la coopération policière et de la coopération judiciaire en matière pénale[4]. La rapide évolution des technologies a créé de nouveaux enjeux pour la protection des données à caractère personnel. Le partage et la collecte de données ont connu une augmentation spectaculaire. Les nouvelles technologies permettent tant aux entreprises privées qu’aux pouvoirs publics d’utiliser les données à caractère personnel comme jamais auparavant dans le cadre de leurs activités. De plus en plus de personnes physiques rendent des informations les concernant accessibles à tout un chacun, où qu’il se trouve dans le monde. Les nouvelles technologies ont ainsi transformé l’économie et les rapports sociaux. Or l’instauration d’un climat de confiance dans l’environnement en ligne est essentielle au développement économique. S’ils n’ont pas totalement confiance, les consommateurs hésiteront à faire des achats en ligne et à recourir à de nouveaux services. Cela risque de ralentir l’innovation dans l’utilisation des nouvelles technologies. La protection des données à caractère personnel joue donc un rôle crucial dans la stratégie numérique pour l'Europe[5] et, plus généralement, dans la stratégie Europe 2020[6]. L'article 16, paragraphe 1, du traité sur le fonctionnement de l’Union européenne (TFUE), introduit par le traité de Lisbonne, établit le principe selon lequel toute personne a droit à la protection des données à caractère personnel la concernant. En outre, avec l’article 16, paragraphe 2, du TFUE, le traité de Lisbonne a créé une base juridique spécifique pour l’adoption de règles en matière de protection des données à caractère personnel. L’article 8 de la charte des droits fondamentaux de l’Union européenne consacre la protection des données à caractère personnel en tant que droit fondamental. Le Conseil européen a invité la Commission à évaluer le fonctionnement des instruments de l'UE relatifs à la protection des données et à présenter, si besoin est, de nouvelles initiatives législatives et non législatives[7]. Dans sa résolution sur le programme de Stockholm, le Parlement européen[8] s’est félicité de la proposition d’un régime complet de protection des données à l’intérieur de l’Union et a, entre autres, plaidé pour une révision de la décision‑cadre. Dans son plan d'action mettant en œuvre le programme de Stockholm[9], la Commission insistait sur la nécessité de veiller à ce que le droit fondamental à la protection des données à caractère personnel soit appliqué systématiquement dans le cadre de toutes les politiques européennes. Dans sa communication intitulée «Une approche globale de la protection des données à caractère personnel dans l’Union européenne»[10], la Commission a conclu que l’UE avait besoin d’une politique plus globale et plus cohérente à l’égard du droit fondamental à la protection des données à caractère personnel. S’il demeure satisfaisant en ce qui concerne ses objectifs et ses principes, le cadre juridique actuel n'a cependant pas permis d’éviter une fragmentation de la mise en œuvre de la protection des données à caractère personnel dans l'Union, une insécurité juridique et le sentiment, largement répandu dans le public, que des risques importants subsistent, notamment dans l’environnement en ligne[11]. C'est pourquoi il est temps de doter l’Union d’un cadre juridique plus solide et plus cohérent en matière de protection des données, assorti d’une application rigoureuse des règles, afin de permettre à l'économie numérique de se développer sur tout le marché intérieur et aux personnes physiques de maîtriser l’utilisation qui est faite des données les concernant, et de renforcer la sécurité juridique et pratique pour les opérateurs économiques et les pouvoirs publics. 2. RÉSULTATS DE LA CONSULTATION DES PARTIES INTÉRESSÉES ET DE L'ANALYSE D’IMPACT La présente initiative fait suite à une vaste consultation des principales parties prenantes sur l’opportunité de réviser le cadre juridique actuel de la protection des données à caractère personnel, qui a duré plus de deux ans et a notamment pris la forme d’une conférence à haut niveau en mai 2009[12] et de deux phases de consultation publique: – du 9 juillet au 31 décembre 2009, la consultation sur le cadre juridique applicable au droit fondamental à la protection des données à caractère personnel. La Commission a reçu 168 réponses, dont 127 provenaient de particuliers, d’organisations et d’associations professionnelles, et 12 de pouvoirs publics[13]; – du 4 novembre 2010 au 15 janvier 2011, la consultation sur l’approche globale de la Commission en matière de protection des données à caractère personnel dans l'Union européenne. La Commission a reçu 305 réponses, dont 54 émanaient de citoyens, 31 de pouvoirs publics et 220 d’organismes privés, notamment des associations professionnelles et des organisations non gouvernementales[14]. Des consultations ciblées ont également été menées auprès des principales parties prenantes; des manifestations spécifiques, associant les autorités des États membres et les parties prenantes du secteur privé, ainsi que des organisations de protection des données et de la vie privée, et des associations de consommateurs, ont été organisées en juin et en juillet 2010[15].. En novembre 2010, Mme Viviane Reding, vice-présidente de la Commission européenne, a tenu une table ronde sur la réforme de la protection des données. Le 28 janvier 2011, lors de la Journée de la protection des données, la Commission européenne et le Conseil de l'Europe ont organisé conjointement une conférence à haut niveau afin d’examiner des questions liées à la réforme du cadre juridique de l'UE ainsi que la nécessité d’instaurer des normes communes de protection des données au niveau mondial[16]. Deux conférences sur la protection des données se sont tenues dans le cadre des présidences hongroise et polonaise du Conseil, les 16 et 17 juin 2011 et le 21 septembre 2011 respectivement. Des ateliers et séminaires spécialisés, portant sur des questions spécifiques, se sont déroulés tout au long de l'année 2011. En janvier, l'ENISA[17] a organisé un atelier sur la notification des violations de données en Europe[18]. En février, la Commission a convoqué un atelier avec les autorités des États membres afin d’examiner des questions liées à la protection des données dans le domaine de la coopération policière et judiciaire en matière pénale, notamment la mise en œuvre de la décision-cadre, et l'Agence des droits fondamentaux a tenu une réunion de consultation des parties prenantes sur «la protection des données et le respect de la vie privée». Une discussion sur des aspects essentiels de la réforme a eu lieu le 13 juillet 2011 avec les autorités nationales chargées de la protection des données. Les citoyens de l’Union ont été consultés dans le cadre d’une enquête Eurobaromètre qui s’est déroulée aux mois de novembre et décembre 2010[19]. Plusieurs études ont également été entreprises[20]. Le groupe de travail «Article 29»[21] a rendu plusieurs avis et apporté une contribution utile à la Commission[22]. Le contrôleur européen de la protection des données a également rendu un avis exhaustif sur les questions soulevées dans la communication de la Commission de novembre 2010[23]. Par résolution du 6 juillet 2011, le Parlement européen a approuvé un rapport qui appuyait l'approche de la Commission quant à la réforme du cadre législatif régissant la protection des données[24]. Le Conseil de l'Union européenne a adopté, le 24 février 2011, des conclusions dans lesquelles il soutient largement l'intention de la Commission de réformer le cadre de la protection des données et approuve de nombreux éléments de son approche. Le Comité économique et social européen s’est également déclaré favorable à une révision appropriée de la directive 95/46/CE, soutenant l’objectif général de la Commission d’assurer une application plus cohérente des règles européennes en matière de protection des données[25] dans tous les États membres[26]. Au cours des consultations sur l’approche globale, la grande majorité des parties prenantes a reconnu que les principes généraux restaient valables, mais qu’il y avait lieu d’adapter le cadre juridique actuel afin de mieux répondre aux défis posés par la rapide évolution des nouvelles technologies (notamment en ligne) et la mondialisation croissante, tout en préservant la neutralité technologique dudit cadre. La fragmentation de la protection des données à caractère personnel à laquelle nous assistons actuellement dans l’Union a fait l’objet de vives critiques, en particulier de la part des opérateurs économiques, qui réclament une plus grande sécurité juridique et une harmonisation plus poussée des règles en matière de protection des données à caractère personnel. Ils considèrent que la complexité des règles relatives aux transferts internationaux de données à caractère personnel constitue un obstacle important à leur activité, puisqu’ils ont régulièrement besoin de transférer ce type de données de l'UE vers d'autres parties du monde. Conformément à sa politique tendant à «mieux légiférer», la Commission a réalisé une analyse d’impact des différentes options possibles. Cette analyse reposait sur trois objectifs, à savoir: renforcer la dimension «marché intérieur» de la protection des données, rendre l’exercice du droit à la protection des données par les personnes physiques plus effectif et instaurer un cadre global et cohérent couvrant tous les domaines de compétence de l’Union, y compris la coopération policière et la coopération judiciaire en matière pénale. Trois options, prévoyant un degré d’intervention variable, ont été évaluées: la première consistait à apporter un minimum de modifications législatives et à recourir à des communications interprétatives et à des mesures de soutien telles que des programmes de financement et des instruments techniques; la deuxième comprenait un ensemble de dispositions législatives répondant à chacun des problèmes mis en évidence dans l'analyse, et la troisième prévoyait la centralisation de la protection des données au niveau de l’UE grâce à l’adoption de règles précises et détaillées pour tous les secteurs et à la création d'une agence européenne chargée de surveiller et de contrôler l'application des dispositions. Conformément à la méthode établie par la Commission, chaque option a été évaluée, avec l’aide d’un groupe de pilotage interservices, au regard de son efficacité pour atteindre les objectifs fixés, de son impact économique sur les parties prenantes (y compris sur le budget des institutions de l’UE), de son impact social et de son incidence sur les droits fondamentaux. L’impact environnemental n’a pas été examiné. Cette analyse de l’incidence globale des différentes options a permis de dégager l’option privilégiée qui est fondée sur la deuxième option, en y associant quelques éléments des deux autres, et est intégrée dans la présente proposition. D’après l’analyse d’impact, l’option privilégiée devrait permettre, entre autres, de considérablement accroître la sécurité juridique pour les responsables du traitement des données et les citoyens, réduire la charge administrative, harmoniser l’application des règles en matière de protection des données dans l’Union, renforcer l’exercice effectif par les personnes physiques de leur droit à la protection des données les concernant au sein de l’UE et améliorer l’efficacité de la surveillance et du contrôle de l’application des règles en la matière. La mise en œuvre de l’option privilégiée devrait également contribuer à la réalisation de l'objectif de simplification et de réduction de la charge administrative poursuivi par la Commission et des objectifs de la stratégie numérique pour l'Europe, du plan d'action mettant en œuvre le programme de Stockholm et de la stratégie Europe 2020. Le comité des analyses d'impact a rendu un avis sur le projet d'analyse d'impact le 9 septembre 2011, à la suite de quoi ce dernier a été modifié comme suit: – les objectifs du cadre juridique actuel (la mesure dans laquelle ils ont été atteints ou ne l’ont pas été) ainsi que ceux de la réforme envisagée ont été précisés; – des éléments de fait et des explications/précisions ont été ajoutés dans la section relative à la définition des problèmes; – une section concernant la proportionnalité a été ajoutée; – tous les calculs et toutes les estimations relatifs à la charge administrative dans le scénario de départ et dans l’option privilégiée ont été entièrement révisés, et le rapport entre le coût des notifications et le coût total de la fragmentation a été clarifié (y compris l'annexe 10); – les incidences sur les micro, petites et moyennes entreprises, notamment celles de l’obligation de désigner un délégué à la protection des données et de réaliser des analyses d’impact relatives à cette protection ont été précisées. L'analyse d'impact et son résumé sont publiés avec les propositions. 3. ÉLÉMENTS JURIDIQUES DE LA PROPOSITION 3.1. Base juridique La présente proposition est fondée sur l'article 16 du TFUE, qui est la nouvelle base juridique, introduite par le traité de Lisbonne, pour l’adoption de règles en matière de protection des données. Cette disposition permet d'adopter des règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les États membres dans l’exercice d’activités qui relèvent du champ d’application du droit de l’Union. Elle permet également l’adoption de règles relatives à la libre circulation de ces données, y compris les données à caractère personnel traitées par les États membres ou des personnes privées. Un règlement est considéré comme l’instrument juridique le plus indiqué pour définir le cadre de la protection des données à caractère personnel dans l'Union. Son applicabilité directe, prévue à l’article 288 du TFUE, permettra de réduire la fragmentation juridique et d’apporter une plus grande sécurité juridique, en instaurant un corps harmonisé de règles de base, en améliorant la protection des droits fondamentaux des personnes physiques et en contribuant au bon fonctionnement du marché intérieur. La référence à l’article 114, paragraphe 1, du TFUE n’est nécessaire qu’aux fins de modification de la directive 2002/58/CE dans la mesure où ladite directive prévoit également la protection des intérêts légitimes des abonnés qui sont des personnes morales. 3.2. Subsidiarité et proportionnalité Selon le principe de subsidiarité (article 5, paragraphe 3, du TUE), une action au niveau de l’Union est entreprise seulement si, et dans la mesure où, les objectifs envisagés ne peuvent pas être atteints de manière suffisante par les États membres, mais peuvent l’être mieux, en raison des dimensions ou des effets de l’action envisagée, au niveau de l’Union. À la lumière des problèmes décrits ci-dessus, l’analyse de subsidiarité indique la nécessité d'une action au niveau de l'UE pour les raisons suivantes: – le droit à la protection des données à caractère personnel, consacré à l'article 8 de la charte des droits fondamentaux, exige un niveau de protection des données identique dans l'ensemble de l'Union. L'absence de règles communes dans l’UE risquerait d’entraîner des niveaux de protection différents dans les États membres et, partant, des restrictions sur les flux transfrontières de données à caractère personnel entre les États membres n’appliquant pas les mêmes normes; – les données à caractère personnel sont transférées de plus en plus rapidement au-delà des frontières nationales, qu'il s’agisse de frontières intérieures ou extérieures. En outre, le contrôle de la bonne application de la législation sur la protection des données pose des problèmes pratiques et il conviendrait d'instaurer une coopération entre les États membres et leurs autorités, organisée au niveau de l'UE, afin d'assurer une application uniforme du droit de l’Union. L'Union européenne est aussi la mieux placée pour garantir d’une manière efficace et cohérente le même niveau de protection aux personnes physiques, lorsque des données à caractère personnel les concernant sont transférées vers des pays tiers; – les États membres ne sont pas en mesure de résoudre seuls les problèmes posés par la situation actuelle, en particulier ceux dus à la fragmentation des législations nationales. Aussi y a-t-il précisément lieu de définir un cadre harmonisé et cohérent permettant un transfert aisé des données à caractère personnel au‑delà des frontières nationales au sein de l’UE, tout en assurant une protection effective de toutes les personnes physiques dans l’ensemble de l’UE; – les actions législatives envisagées au niveau de l’UE seront plus efficaces que des actions comparables entreprises au niveau des États membres, compte tenu de la nature et de l’ampleur des problèmes, qui ne se limitent pas à un seul ou à plusieurs États membres. Le principe de proportionnalité veut que toute intervention soit ciblée et n'excède pas ce qui est nécessaire pour atteindre les objectifs visés. Ce principe a guidé toute l’élaboration de la présente proposition législative, de la détermination et l’évaluation des différentes options jusqu’à sa rédaction. 3.3. Résumé des aspects relatifs aux droits fondamentaux Le droit à la protection des données à caractère personnel est établi à l'article 8 de la charte et à l’article 16 du TFUE, ainsi qu’à l’article 8 de la CEDH. Ainsi que l'a souligné la Cour de justice de l’Union européenne[27], le droit à la protection des données à caractère personnel n’apparaît pas comme une prérogative absolue, mais doit être pris en considération par rapport à sa fonction dans la société[28]. La protection des données est étroitement liée au respect de la vie privée et familiale, protégé par l'article 7 de la charte. Cela trouve son expression à l’article 1er, paragraphe 1, de la directive 95/46/CE qui dispose que les États membres assurent la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l'égard du traitement des données à caractère personnel. Les autres droits fondamentaux consacrés dans la charte et susceptibles d'être affectés sont les suivants: la liberté d'expression (article 11 de la charte); la liberté d'entreprise (article 16); le droit de propriété, et notamment la protection de la propriété intellectuelle (article 17, paragraphe 2); l’interdiction de toute discrimination fondée notamment sur la race, les origines ethniques, les caractéristiques génétiques, la religion ou les convictions, les opinions politiques ou toute autre opinion, un handicap ou l'orientation sexuelle (article 21); les droits de l’enfant (article 24); le droit à un niveau élevé de protection de la santé humaine (article 35); le droit d’accès aux documents (article 42); le droit à un recours effectif et à accéder à un tribunal impartial (article 47). 3.4. Explication détaillée de la proposition 3.4.1. CHAPITRE I - DISPOSITIONS GÉNÉRALES L’article 1er définit l’objet du règlement et, comme l'article 1er de la directive 95/46/CE, les deux objectifs poursuivis. L'article 2 délimite le champ d'application matériel du règlement. L'article 3 délimite le champ d'application territorial du règlement. L'article 4 définit des termes employés dans le règlement. Certaines définitions sont reprises de la directive 95/46/CE, tandis que d'autres sont modifiées ou complétées par des éléments supplémentaires, ou sont nouvelles (la «violation de données à caractère personnel» dont la définition est fondée sur l'article 2, point h), de la directive 2002/58/CE[29] («vie privée et communications électroniques») telle que modifiée par la directive 2009/136/CE[30], les «données génétiques», les «données biométriques», les «données concernant la santé», l’«établissement principal», le «représentant», l’«entreprise», le «groupe d'entreprises», les «règles d'entreprise contraignantes», l’«enfant» dont la définition est fondée sur la convention des Nations unies relative aux droits de l'enfant[31], et l’«autorité de contrôle»). Dans la définition du consentement, le qualificatif «explicite» est ajouté à la liste des critères afin d’éviter tout parallélisme prêtant à confusion avec le consentement «indubitable» et de disposer d’une définition unique et cohérente du consentement, garantissant que la personne concernée donne son consentement en toute connaissance de cause. 3.4.2. CHAPITRE II - PRINCIPES L'article 5 énonce les principes relatifs au traitement des données à caractère personnel, qui correspondent à ceux de l'article 6 de la directive 95/46/CE. Des éléments nouveaux ont été ajoutés, tels que le principe de transparence, des éclaircissements concernant le principe de minimisation des données et l’instauration d'une responsabilité globale du responsable du traitement. L'article 6 définit, sur la base de l'article 7 de la directive 95/46/CE, les critères de licéité du traitement, qui sont précisés en ce qui concerne la mise en balance des intérêts, et le respect des obligations légales et de l'intérêt général. L’article 7 précise les conditions auxquelles le consentement peut valablement fonder un traitement licite. L'article 8 fixe d’autres conditions de licéité pour le traitement des données à caractère personnel relatives aux enfants, en ce qui concerne les services de la société de l’information qui sont directement proposés à ces derniers. L'article 9, qui s’inspire de l’article 8 de la directive 95/46/CE, prévoit une interdiction générale des traitements portant sur des catégories particulières de données à caractère personnel, et les exceptions à cette règle générale. L’article 10 précise que le responsable du traitement n’est pas tenu d’obtenir des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter une disposition du présent règlement. 3.4.3. CHAPITRE III - DROITS DE LA PERSONNE CONCERNÉE 3.4.3.1. Section 1 – Transparence et modalités L'article 11 introduit l'obligation, pour les responsables du traitement, de fournir des informations transparentes, facilement accessibles et intelligibles, qui s’inspire notamment de la résolution de Madrid relative à des normes internationales en matière de protection des données à caractère personnel et de la vie privée[32]. L'article 12 oblige le responsable du traitement à prévoir des procédures et des mécanismes permettant à la personne concernée d’exercer ses droits, notamment les moyens d’effectuer une demande par voie électronique, la fixation d’un délai de réponse à la demande de la personne concernée et la motivation des refus. L’article 13 prévoit des droits en faveur des destinataires inspirés de l'article 12, point c), de la directive 95/46/CE et étendus à tous les destinataires, y compris les responsables conjoints du traitement et les sous‑traitants. 3.4.3.2. Section 2 - Information et accès aux données L’article 14 précise les informations que le responsable du traitement est tenu de fournir à la personne concernée et en ajoute par rapport aux articles 10 et 11 de la directive 95/46/CE, notamment la durée de conservation, le droit d’introduire une réclamation, les transferts internationaux et la source des données. Il reprend également les dérogations prévues dans la directive 95/46/CE, par exemple l’absence d’obligation d’information si la législation prévoit expressément l’enregistrement ou la communication des données. Cela pourrait, par exemple, s’appliquer aux procédures engagées par une autorité de concurrence, une administration fiscale ou douanière, ou un service chargé des questions de sécurité sociale. L’article 15 confère à la personne concernée un droit d'accès aux données à caractère personnel la concernant, tout comme le faisait l’article 12, point a), de la directive 95/46/CE, en y ajoutant de nouveaux éléments tels que l’obligation d’informer les personnes concernées de la durée de conservation, de leur droit à rectification et à l'effacement et de leur droit de réclamation. 3.4.3.3. Section 3 – Rectification et effacement L'article 16 confère à la personne concernée un droit à rectification, sur la base de l’article 12, point b), de la directive 95/46/CE. L’article 17 lui confère, quant à lui, un droit à l’oubli numérique et à l'effacement. Il développe et précise le droit d’effacement prévu à l’article 12, point b), de la directive 95/46/CE et fixe les conditions du droit à l’oubli numérique, notamment l’obligation qui est faite au responsable du traitement ayant rendu publiques des données à caractère personnel d’informer les tiers de la demande de la personne concernée d'effacer tout lien vers ces données ou les copies ou reproductions qui en ont été faites. Il intègre aussi le droit de limiter le traitement dans certains cas, en évitant le terme équivoque de «verrouillage». L'article 18 confère à la personne concernée un nouveau droit, le droit à la portabilité des données, c’est-à-dire celui de transmettre des données d’un système de traitement automatisé à un autre, sans que le responsable du traitement ne puisse y faire obstacle. À titre de condition préalable et pour améliorer l’accès des personnes physiques aux données à caractère personnel les concernant, il prévoit le droit d’obtenir ces données du responsable du traitement dans un format électronique structuré et couramment utilisé. 3.4.3.4. Section 4 — Droit d'opposition et profilage L’article 19 confère à la personne concernée un droit d’opposition. Il est fondé sur l’article 14 de la directive 95/46/CE, auquel il apporte quelques modifications, notamment en ce qui concerne la charge de la preuve et son application au marketing direct. L'article 20 porte sur le droit de la personne concernée de ne pas être soumise à une mesure fondée sur le profilage. Il est inspiré de l’article 15, paragraphe 1, de la directive 95/46 relatif aux décisions individuelles automatisées, qu'il complète et assortit de garanties supplémentaires, et tient compte de la recommandation du Conseil de l’Europe concernant le profilage[33]. 3.4.3.5. Section 5 – Limitations L’article 21 précise dans quelle mesure l’Union ou les États membres peuvent maintenir ou introduire des limitations aux principes énoncés à l’article 5 et aux droits de la personne concernée prévus aux articles 11 à 20 et à l’article 32. Cette disposition repose sur l’article 13 de la directive 95/46/CE et sur les exigences découlant de la charte des droits fondamentaux et de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales, telles qu’elles ont été interprétées par la Cour de justice de l'Union européenne et par la Cour européenne des droits de l’homme. 3.4.4. CHAPITRE IV - RESPONSABLE DU TRAITEMENT ET SOUS‑TRAITANT 3.4.4.1. Section 1 — Obligations générales L’article 22 tient compte du débat sur un «principe de responsabilité» et décrit en détail les obligations incombant au responsable du traitement pour se conformer au présent règlement et en apporter la preuve, notamment par l'adoption de règles internes et de mécanismes à cet effet. L'article 23 définit les obligations du responsable du traitement qui découlent des principes de protection des données dès la conception et de protection des données par défaut. L’article 24 relatif aux responsables conjoints du traitement précise les responsabilités de ces derniers en ce qui concerne leurs relations internes et à l’égard de la personne concernée. L'article 25 oblige, dans certaines circonstances, les responsables du traitement qui ne sont pas établis dans l’Union à y désigner un représentant, lorsque le règlement s’applique à leurs activités de traitement. L'article 26 précise la fonction de sous‑traitant et les obligations qui y sont attachées. Il est en partie fondé sur l’article 17, paragraphe 2, de la directive 95/46/CE, auquel il ajoute de nouveaux éléments, notamment le fait qu’un sous‑traitant qui traite des données d'une autre manière que celle prévue dans les instructions du responsable du traitement doit être considéré comme responsable conjoint du traitement. L'article 27 relatif au traitement effectué sous l'autorité du responsable du traitement et du sous‑traitant est fondé sur l'article 16 de la directive 95/46/CE. L’article 28 introduit l’obligation, pour les responsables du traitement et les sous‑traitants, de conserver une trace documentaire des opérations de traitement sous leur responsabilité, au lieu de la notification générale à l'autorité de contrôle exigée par l’article 18, paragraphe 1, et l'article 19 de la directive 95/46/CE. L’article 29 précise les obligations qui incombent au responsable du traitement et au sous‑traitant dans le cadre de leur coopération avec l’autorité de contrôle. 3.4.4.2. Section 2 – Sécurité des données L'article 30 oblige le responsable du traitement et le sous‑traitant à mettre en œuvre les mesures appropriées pour assurer la sécurité du traitement. Fondé sur l'article 17, paragraphe 1, de la directive 95/46/CE, il étend cette obligation aux sous‑traitants, indépendamment du contrat conclu avec le responsable du traitement. Les articles 31 et 32 introduisent une obligation de notification des violations de données à caractère personnel, inspirée de la notification des violations de données à caractère personnel prévue à l’article 4, paragraphe 3, de la directive 2002/58/CE («vie privée et communications électroniques»). 3.4.4.3. Section 3 – Évaluation de la protection des données et autorisation préalable L’article 33 introduit l’obligation, pour les responsables du traitement et les sous‑traitants, d’effectuer une analyse d’impact relative à la protection des données préalablement aux traitements présentant des risques. L'article 34, qui développe la notion de contrôles préalables définie à l’article 20 de la directive 95/46/CE, concerne les cas dans lesquels l'autorisation et la consultation de l’autorité de contrôle sont obligatoires avant le traitement. 3.4.4.4. Section 4 – Délégué à la protection des données L'article 35 introduit l’obligation de désigner un délégué à la protection des données pour le secteur public et, dans le secteur privé, pour les grandes entreprises, ou lorsque les activités de base du responsable du traitement ou du sous-traitant consistent en des traitements qui exigent un suivi régulier et systématique. Cette disposition s’inscrit dans la continuité de l’article 18, paragraphe 2, de la directive 95/46/CE, qui prévoyait la possibilité pour les États membres d'introduire une telle obligation à la place de l’obligation de notification générale. L'article 36 définit la fonction du délégué à la protection des données. L’article 37 prévoit les principales tâches du délégué à la protection des données. 3.4.4.5. Section 5 – Codes de conduite et certification L’article 38 porte sur les codes de conduite. Il développe la notion figurant à l’article 27, paragraphe 1, de la directive 95/46/CE, précise le contenu des codes et des procédures, et habilite la Commission à se prononcer sur l’applicabilité générale des codes de conduite. L’article 39 introduit la possibilité de mettre en place des mécanismes de certification ainsi que des marques et labels en matière de protection des données. 3.4.5. CHAPITRE V - TRANSFERT DE DONNÉES À CARACTÈRE PERSONNEL VERS DES PAYS TIERS OU À DES ORGANISATIONS INTERNATIONALES L’article 40 pose le principe général selon lequel le respect des obligations énoncées dans ce chapitre est obligatoire pour tout transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris les transferts ultérieurs. L'article 41 définit, sur la base de l'article 25 de la directive 95/46/CE, les critères, conditions et procédures d'adoption d'une décision de la Commission constatant un niveau de protection adéquat. Les critères devant être pris en compte par la Commission aux fins de l’appréciation d’un niveau de protection adéquat ou non incluent expressément l’État de droit, l'existence d'un droit de recours judiciaire et un contrôle indépendant. Cet article confirme désormais explicitement la faculté de la Commission d’apprécier le niveau de protection assuré par un territoire ou un secteur de traitement des données à l’intérieur d’un pays tiers. L’article 42 subordonne les transferts vers des pays tiers pour lesquels la Commission n’a pas adopté de décision constatant un niveau de protection adéquat, à la présentation de garanties appropriées, notamment des clauses types de protection des données, des règles d'entreprise contraignantes et des clauses contractuelles. La possibilité d'utiliser des clauses types de protection des données de la Commission est tirée de l’article 26, paragraphe 4, de la directive 95/46/CE. Une nouveauté réside dans le fait que ces clauses types de protection des données peuvent désormais être également adoptées par une autorité de contrôle et être déclarées, par la Commission, généralement applicables. Les règles d'entreprise contraignantes sont à présent expressément mentionnées dans le texte juridique. L’option des clauses contractuelles offre une certaine souplesse au responsable du traitement ou au sous‑traitant, mais est subordonnée à l’autorisation préalable d’une autorité de contrôle. L’article 43 décrit plus en détail les conditions applicables aux transferts encadrés par des règles d'entreprise contraignantes, sur la base des pratiques et des exigences actuelles des autorités de contrôle. L’article 44 définit et précise les dérogations autorisées pour les transferts de données, sur la base des dispositions existantes de l’article 26 de la directive 95/46/CE. Cette disposition s'applique en particulier aux transferts de données qui sont nécessaires pour des motifs importants d'intérêt général, par exemple en cas de transfert international de données entre autorités de la concurrence, administrations fiscales ou douanières, ou entre services chargés des questions de sécurité sociale ou de la gestion des activités de pêche. En outre, un transfert de données peut, dans certaines circonstances, être justifié par un intérêt légitime du responsable du traitement ou du sous‑traitant, mais seulement après évaluation et justification des circonstances de cette opération de transfert. L'article 45 prévoit expressément l’élaboration de mécanismes de coopération internationaux dans le domaine de la protection des données à caractère personnel, entre la Commission et les autorités de contrôle de pays tiers, notamment ceux qui sont réputés assurer un niveau de protection adéquat, compte tenu de la recommandation de l’Organisation de coopération et de développement économiques (OCDE) du 12 juin 2007 relative à la coopération transfrontière dans l’application des législations protégeant la vie privée. 3.4.6. CHAPITRE VI – AUTORITÉS DE CONTRÔLE INDÉPENDANTES 3.4.6.1. Section 1 – Statut d’indépendance L'article 46 fait obligation aux États membres de mettre en place une ou plusieurs autorités de contrôle, ainsi que le requérait l'article 28, paragraphe 1, de la directive 95/46/CE, et d'élargir la mission de celles‑ci à la coopération entre elles et avec la Commission. L'article 47 clarifie les conditions garantissant l'indépendance des autorités de contrôle, en application de la jurisprudence de la Cour de justice de l'Union européenne[34], et en s'inspirant également de l'article 44 du règlement (CE) n° 45/2001[35]. L'article 48 énonce les conditions générales applicables aux membres de l’autorité de contrôle, en application de la jurisprudence en la matière[36], et en s'inspirant également de l'article 42, paragraphes 2 à 6, du règlement (CE) n° 45/2001. L'article 49 définit les règles encadrant la mise en place de l'autorité de contrôle, que les États membres devront fixer par voie législative. Fondé sur l'article 28, paragraphe 7, de la directive 95/46/CE, l’article 50 impose le secret professionnel aux membres et au personnel de l'autorité de contrôle. 3.4.6.2. Section 2 – Fonctions et pouvoirs L'article 51 définit la compétence des autorités de contrôle. La règle générale, reposant sur l'article 28, paragraphe 6, de la directive 95/46/CE (compétence sur le territoire l'État membre dont l'autorité relève) est complétée par une nouvelle compétence, celle d'autorité chef de file lorsque le responsable du traitement ou le sous-traitant est établi dans plusieurs États membres, afin d’assurer une application uniforme («guichet unique»). Lorsqu'elles agissent dans le cadre de leur fonction juridictionnelle, les juridictions sont dispensées de se soumettre à la surveillance de l’autorité de contrôle, mais pas d’appliquer les règles matérielles relatives à la protection de données. L'article 52 définit les fonctions de l'autorité de contrôle, consistant notamment à recevoir et à examiner les réclamations, et à sensibiliser le public aux risques, règles, garanties et droits existants. L'article 53 énonce les pouvoirs de l’autorité de contrôle, en s'appuyant en partie sur l'article 28, paragraphe 3, de la directive 95/46/CE et sur l'article 47 du règlement (CE) n° 45/2001, et en y ajoutant quelques éléments nouveaux, dont le pouvoir de sanctionner les infractions administratives. L'article 54 fait obligation aux autorités de contrôle d'établir des rapports d'activité annuels, ainsi que le requérait l'article 28, paragraphe 5, de la directive 95/46/CE. 3.4.7. CHAPITRE VII ‑ COOPÉRATION ET COHÉRENCE 3.4.7.1. Section 1 – Coopération L'article 55 instaure des règles explicites en matière d'assistance mutuelle obligatoire et prévoit notamment les conséquences en cas de refus de se conformer à la demande d’une autre autorité de contrôle, sur la base de l'article 28, paragraphe 6, deuxième alinéa, de la directive 95/46/CE. L'article 56 établit des règles applicables aux opérations conjointes, s'inspirant de l'article 17 de la décision 2008/615/JAI du Conseil[37], y compris le droit conféré aux autorités de contrôle de participer à ces opérations. 3.4.7.2. Section 2 – Cohérence L'article 57 met en place un mécanisme de contrôle de la cohérence, en vue d'assurer une application uniforme des règles lorsqu'il s'agit de traitements qui peuvent viser des personnes concernées dans plusieurs États membres. L'article 58 définit les procédures et conditions à respecter pour demander l'avis du comité européen de la protection des données. L'article 59 concerne les avis de la Commission relatifs aux questions examinées dans le cadre du mécanisme de contrôle de la cohérence, qui peuvent soit confirmer l’avis du comité européen de la protection des données soit diverger de cet avis, et ceux relatifs aux projets de mesure transmis par l’autorité de contrôle. Lorsque la question a été soulevée par le comité européen de la protection des données en vertu de l’article 58, paragraphe 3, la Commission est susceptible d’exercer son pouvoir discrétionnaire et, au besoin, de rendre un avis. L'article 60 concerne la décision que la Commission peut prendre pour contraindre une autorité compétente à suspendre son projet de mesure lorsque cela est nécessaire pour garantir l'application correcte du présent règlement. L'article 61 prévoit la possibilité d'adopter des mesures provisoires, selon une procédure d'urgence. L'article 62 définit les conditions relatives à l'adoption d'actes d’exécution de la Commission dans le cadre du mécanisme de contrôle de la cohérence. L'article 63 prévoit l’obligation d’exécuter la mesure prévue par une autorité de contrôle dans tous les États membres concernés, et précise que l'application du mécanisme de contrôle de la cohérence est une condition préalable à la validité juridique et à l'exécution de la mesure concernée. 3.4.7.3. Section 3 – Comité européen de la protection des données L'article 64 institue le comité européen de la protection des données, composé des directeurs des autorités de contrôle de tous les États membres et du contrôleur européen à la protection des données. Le comité européen de la protection des données remplace le groupe de protection des personnes à l'égard du traitement des données à caractère personnel créé par l'article 29 de la directive 95/46/CE. L'article 65 précise que la Commission n'est pas membre de ce comité, mais a le droit de participer à ses activités et de s'y faire représenter. L'article 65 souligne et explicite l'indépendance du comité européen de la protection des données. L'article 66 décrit les missions du comité européen de la protection des données, sur la base de l'article 30, paragraphe 1, de la directive 95/46/CE, et prévoit des éléments supplémentaires, pour tenir compte de l'élargissement du domaine d'activités de ce comité, tant au sein qu'à l'extérieur de l'Union. Pour être en mesure de réagir à des situations d’urgence, la Commission a la possibilité de demander audit comité de formuler un avis dans un délai donné. L'article 67 fait obligation au comité européen de la protection des données de présenter un rapport annuel sur ses activités, sur la base de l’article 30, paragraphe 6, de la directive 95/46/CE. L'article 68 définit les procédures décisionnelles du comité européen de la protection des données, y compris l’obligation d’adopter un règlement intérieur devant également déterminer ses modalités de fonctionnement. L'article 69 contient des dispositions relatives au président et aux vice-présidents du comité européen de la protection des données. L’article 70 définit les missions du président. L'article 71 prévoit que le secrétariat du comité européen de la protection des données est assuré par le contrôleur européen de la protection des données et il précise les missions de ce secrétariat. L'article 72 définit les règles de confidentialité. 3.4.8. CHAPITRE III – VOIES DE RECOURS, RESPONSABILITÉ ET SANCTIONS L'article 73 prévoit le droit de toute personne concernée de déposer une réclamation auprès d'une autorité de contrôle, sur la base de l'article 28, paragraphe 4, de la directive 95/46/CE. Il précise également les organismes, organisations ou associations habilités à déposer une réclamation au nom de la personne concernée ou, en cas de violation de données à caractère personnel, indépendamment de toute réclamation introduite par une personne concernée. L'article 74 concerne le droit de former un recours juridictionnel contre une autorité de contrôle. Il s'appuie sur la disposition générale figurant à l'article 28, paragraphe 3 de la directive 95/46/CE et prévoit, en particulier, un recours juridictionnel pour contraindre une autorité de contrôle à donner suite à une réclamation, tout en clarifiant la compétence des juridictions de l'État membre où l'autorité de contrôle est établie. Il prévoit également la possibilité que l'autorité de contrôle de l'État membre de résidence de la personne concernée intente, au nom de cette dernière, une action devant les juridictions d'un autre État membre dans lequel l'autorité de contrôle compétente est établie. L'article 75 concerne le droit de former un recours juridictionnel contre un responsable du traitement ou un sous-traitant, s'appuyant sur l'article 22 de la directive 95/46/CE, et offre le choix de saisir une juridiction dans l’État membre où le défendeur est établi ou dans l'État membre de résidence de la personne concernée. Lorsqu'une procédure portant sur la même question est pendante dans le cadre du mécanisme de contrôle de la cohérence, la juridiction peut suspendre sa procédure/surseoir à statuer, sauf en cas d'urgence. L'article 76 fixe des règles communes pour les procédures juridictionnelles, y compris le droit conféré à des organismes, organisations ou associations de représenter les personnes concernées devant les tribunaux, le droit des autorités de contrôle d'ester en justice et l'obligation d'informer les juridictions de l’existence d'une procédure parallèle dans un autre État membre, et la possibilité offerte aux juridictions nationales de suspendre la procédure en pareil cas[38]. Les États membres sont tenus de veiller à ce que les actions en justice aboutissent rapidement[39]. L'article 77 traite du droit à réparation et de la responsabilité. Il s’appuie sur l’article 23 de la directive 95/46/CE, étend ce droit aux dommages causés par les sous-traitants et clarifie la responsabilité des responsables conjoints du traitement et des sous-traitants. L'article 78 oblige les États membres à définir les sanctions pénales applicables aux infractions aux dispositions du règlement et à veiller à leur application. L'article 79 impose à chaque autorité de contrôle de sanctionner les infractions administratives énumérées dans cette disposition, par des amendes plafonnées à un certain montant, en fonction des circonstances propres à chaque cas. 3.4.9. CHAPITRE IX ‑ DISPOSITIONS RELATIVES À DES SITUATIONS PARTICULIÈRES DE TRAITEMENT DES DONNÉES L'article 80 fait obligation aux États membres de prévoir des exemptions et des dérogations à certaines dispositions du règlement lorsqu'elles sont nécessaires pour concilier le droit à la protection des données à caractère personnel avec le droit à la liberté d'expression. Il se fonde sur l’article 9 de la directive 95/46/CE tel qu’il a été interprété par la Cour de justice de l’UE[40]. L'article 81 oblige les États membres à prévoir, outre les conditions applicables à des catégories particulières de données, des garanties spécifiques en cas de traitement de données concernant la santé. L'article 82 habilite les États membres à adopter, par voie législative, des règles spécifiques pour le traitement des données à caractère personnel dans le secteur de l’emploi. L'article 83 définit des conditions spécifiques pour le traitement de données à caractère personnel à des fins historiques, statistiques et de recherche scientifique. L'article 84 habilite les États membres à adopter des règles spécifiques régissant l'accès des autorités de contrôle aux données à caractère personnel et aux locaux, lorsque les responsables du traitement sont soumis à des obligations de confidentialité. L'article 85 autorise les églises, en vertu de l'article 17 du traité sur le fonctionnement de l'Union européenne, à continuer à appliquer un ensemble complet de règles de protection des données, à condition de les mettre en conformité avec le présent règlement. 3.4.10. CHAPITRE X ‑ ACTES DÉLÉGUÉS ET ACTES D'EXÉCUTION L’article 86 contient les dispositions types applicables à l’exercice de la délégation, conformément à l'article 290 du TFUE. Ce dernier autorise le législateur à déléguer à la Commission le pouvoir d'adopter des actes non législatifs de portée générale qui complètent ou modifient certains éléments non essentiels d’un acte législatif (actes quasi législatifs). L'article 87 contient la disposition relative à la procédure de comité nécessaire pour conférer des compétences d’exécution à la Commission, dans les cas où, conformément à l'article 291 du TFUE, des conditions uniformes d'exécution d'actes juridiquement contraignants de l'Union sont nécessaires. La procédure d’examen s’applique. 3.4.11. CHAPITRE XI ‑ DISPOSITIONS FINALES L'article 88 abroge la directive 95/46/CE. L'article 89 clarifie la relation avec la directive 2002/58/CE («vie privée et communications électroniques») et modifie celle-ci. L'article 90 fait obligation à la Commission d'évaluer le règlement et de présenter des rapports à ce sujet. L'article 91 fixe la date d'entrée en vigueur du règlement et définit une période transitoire en ce qui concerne la date de son application. 4. INCIDENCE BUDGÉTAIRE Les incidences budgétaires spécifiques de la proposition concernent les missions dévolues au contrôleur européen de la protection des données, comme il est indiqué dans la fiche financière législative jointe à la présente proposition. Ces incidences nécessitent une reprogrammation de la rubrique 5 du cadre financier. La proposition n'a pas d'incidence sur les dépenses de fonctionnement. La fiche financière législative accompagnant la présente proposition de règlement couvre les incidences budgétaires du règlement lui-même et celles de la directive sur la protection des données dans le domaine de la police et de la justice. 2012/0011 (COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données) (Texte présentant de l'intérêt pour l'EEE) LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE, vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16, paragraphe 2, et son article 114, paragraphe 1, vu la proposition de la Commission européenne, après transmission du projet d’acte législatif aux parlements nationaux, vu l’avis du Comité économique et social européen[41], après consultation du contrôleur européen de la protection des données[42], statuant conformément à la procédure législative ordinaire, considérant ce qui suit: (1) La protection des personnes physiques à l'égard du traitement des données à caractère personnel est un droit fondamental. L’article 8, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne et l’article 16, paragraphe 1, du traité sur le fonctionnement de l’Union européenne disposent que toute personne a droit à la protection des données à caractère personnel la concernant. (2) Le traitement des données à caractère personnel est au service de l’homme; les principes et les règles régissant la protection des personnes physiques à l'égard du traitement des données les concernant devraient donc, quelle que soit la nationalité ou la résidence de ces personnes, respecter leurs libertés et leurs droits fondamentaux, notamment le droit à la protection des données à caractère personnel. Le traitement des données devrait contribuer à la réalisation d'un espace de liberté, de sécurité et de justice et d'une union économique, au progrès économique et social, à la consolidation et à la convergence des économies au sein du marché intérieur, ainsi qu'au bien-être des personnes. (3) La directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données[43] vise à harmoniser la protection des libertés et des droits fondamentaux des personnes physiques en ce qui concerne les activités de traitement de données et à garantir la libre circulation des données à caractère personnel entre les États membres. (4) L'intégration économique et sociale résultant du fonctionnement du marché intérieur a conduit à une augmentation substantielle des flux transfrontières. Les échanges de données entre acteurs économiques et sociaux, publics et privés, se sont intensifiés dans l'ensemble de l'Union. Le droit de l'Union appelle les autorités nationales des États membres à coopérer et à échanger des données à caractère personnel, afin d'être en mesure de remplir leurs missions ou d'accomplir des tâches pour le compte d'une autorité d'un autre État membre. (5) La rapide évolution des technologies et la mondialisation ont créé de nouveaux enjeux pour la protection des données à caractère personnel. La collecte et le partage de données ont connu une augmentation spectaculaire. Les nouvelles technologies permettent tant aux entreprises privées qu’aux pouvoirs publics d’utiliser les données à caractère personnel comme jamais auparavant dans le cadre de leurs activités. De plus en plus de personnes physiques rendent des informations les concernant accessibles à tout un chacun, où qu’il se trouve dans le monde. Les nouvelles technologies ont ainsi transformé l’économie et les rapports sociaux, et elles exigent de faciliter davantage la libre circulation des données au sein de l’Union et leur transfert vers des pays tiers et à des organisations internationales, tout en assurant un niveau élevé de protection des données à caractère personnel. (6) Cette évolution oblige à mettre en place dans l’Union un cadre de protection des données plus solide et plus cohérent, assorti d'une application rigoureuse des règles, compte tenu de l'importance de susciter la confiance qui permettra à l’économie numérique de se développer dans l'ensemble du marché intérieur. Les personnes physiques devraient maîtriser l'utilisation qui est faite des données à caractère personnel les concernant, et la sécurité tant juridique que pratique devrait être renforcée pour les particuliers, les opérateurs économiques et les autorités publiques. (7) Si elle demeure satisfaisante en ce qui concerne ses objectifs et ses principes, la directive 95/46/CE n'a pas permis d’éviter une fragmentation de la mise en œuvre de la protection des données à caractère personnel dans l'Union, une insécurité juridique et le sentiment, largement répandu dans le public, que des risques importants subsistent, notamment dans l’environnement en ligne. Si le niveau de protection des droits et libertés des personnes physiques ‑ notamment du droit à la protection des données à caractère personnel ‑ accordé dans les États membres à l’égard du traitement des données à caractère personnel n'est pas identique, cela risque d'entraver la libre circulation de ces données dans toute l'Union. Ces différences peuvent dès lors constituer un obstacle à l'exercice des activités économiques au niveau de l’Union, fausser la concurrence et empêcher les autorités de s'acquitter des obligations qui leur incombent en vertu du droit de l'Union. Ces écarts de niveau de protection résultent de l'existence de divergences dans la transposition et l’application de la directive 95/46/CE. (8) Afin d'assurer la cohérence et un degré élevé de protection des personnes, et de lever les obstacles à la circulation des données à caractère personnel, le niveau de protection des droits et des libertés des personnes à l'égard du traitement de ces données devrait être équivalent dans tous les États membres. Il convient dès lors d'assurer une application cohérente et homogène des règles de protection des libertés et droits fondamentaux des personnes physiques à l'égard du traitement des données à caractère personnel dans l'ensemble de l'Union. (9) Une protection effective des données à caractère personnel dans toute l'Union exige non seulement de renforcer et de préciser les droits des personnes concernées, ainsi que les obligations de ceux qui effectuent ou déterminent le traitement des données à caractère personnel, mais aussi de conférer, dans les États membres, des pouvoirs équivalents de surveillance et de contrôle de l'application des règles relatives à la protection des données à caractère personnel, et de prévoir des sanctions équivalentes pour les contrevenants. (10) L’article 16, paragraphe 2, du traité donne mandat au Parlement européen et au Conseil pour fixer les règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel ainsi que les règles relatives à la libre circulation de ces données. (11) Afin d'obtenir un niveau uniforme de protection des personnes physiques dans toute l'Union, et d'éviter que des divergences n'entravent la libre circulation des données au sein du marché intérieur, un règlement est nécessaire pour garantir la sécurité juridique et la transparence aux opérateurs économiques, notamment les micro, petites et moyennes entreprises, pour assurer aux personnes de tous les États membres un même niveau de droits opposables, et des obligations et responsabilités égales pour les responsables du traitement des données et les sous‑traitants, de même que pour assurer une surveillance cohérente du traitement des données à caractère personnel, des sanctions équivalentes dans tous les États membres et une coopération efficace entre les autorités de contrôle des différents États membres. Pour tenir compte de la situation particulière des micro, petites et moyennes entreprises, le présent règlement comporte un certain nombre de dérogations. Les institutions et organes de l'Union, les États membres et leurs autorités de contrôle sont, en outre, encouragés à prendre en considération les besoins spécifiques des micro, petites et moyennes entreprises dans le cadre l'application du présent règlement. Pour définir la notion de micro, petites et moyennes entreprises, il convient de s'inspirer de la recommandation 2003/361/CE de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises. (12) La protection conférée par le présent règlement concerne les personnes physiques, indépendamment de leur nationalité ou de leur lieu de résidence, dans le cadre du traitement des données à caractère personnel. En ce qui concerne le traitement de données relatives à des personnes morales, et en particulier des entreprises dotées de la personnalité juridique, notamment le nom, la forme juridique et les coordonnées de la personne morale, la protection conférée par le présent règlement ne devrait pas pouvoir être invoquée. Cela devrait être également le cas lorsque le nom de la personne morale contient le nom d’une ou plusieurs personnes physiques. (13) La protection des personnes devrait être neutre sur le plan technologique et ne pas dépendre des techniques utilisées, sous peine de créer de graves risques de contournement. Elle devrait s'appliquer aux traitements de données à caractère personnel automatisés ainsi qu'aux traitements manuels si les données sont contenues ou destinées à être contenues dans un fichier. Les dossiers ou ensembles de dossiers, de même que leurs couvertures, qui ne sont pas structurés selon des critères déterminés, ne devraient pas relever du champ d'application du présent règlement. (14) Le présent règlement ne traite pas des questions de protection des libertés et droits fondamentaux ou de libre circulation des données relatives à des activités n'entrant pas dans le champ d'application du droit de l'Union; il ne couvre pas non plus le traitement des données à caractère personnel par les institutions, organes et organismes de l'Union, qui relève du règlement (CE) n° 45/2001[44], ni celui qui est fait par les États membres dans le contexte de leurs activités ayant trait à la politique étrangère et de sécurité commune de l'Union. (15) Le présent règlement ne devrait pas s'appliquer aux traitements de données à caractère personnel effectués par une personne physique, par exemple un échange de correspondance ou la tenue d'un carnet d'adresses, qui sont exclusivement personnels ou domestiques et sans but lucratif, donc sans lien aucun avec une activité professionnelle ou commerciale. Elle ne devrait pas valoir non plus pour les responsables du traitement de données ou leurs sous‑traitants qui fournissent les moyens de traiter des données à caractère personnel pour de telles activités personnelles ou domestiques. (16) La protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et la libre circulation de ces données font l’objet d’un instrument juridique spécifique au niveau de l'Union. Le présent règlement ne devrait donc pas s'appliquer aux activités de traitement effectuées à ces fins. Toutefois, le traitement de données à ces fins par des autorités publiques devrait être régi par cet instrument juridique plus spécifique au niveau de l'Union (à savoir la directive XX/YYY). (17) Le présent règlement devrait s'appliquer sans préjudice de la directive 2000/31/CE, et notamment de ses articles 12 et 15 relatifs à la responsabilité des prestataires intermédiaires. (18) Le présent règlement permet de prendre en compte, dans la mise en œuvre de ses dispositions, le principe du droit d'accès du public aux documents administratifs. (19) Tout traitement de données à caractère personnel intervenant dans le cadre des activités d'un établissement d'un responsable du traitement ou sous‑traitant situé sur le territoire de l'Union devrait être effectué conformément au présent règlement, que le traitement lui-même se déroule à l'intérieur de l'Union ou non. L'établissement suppose l'exercice effectif et réel d'une activité au moyen d'une installation stable. La forme juridique retenue pour un tel établissement, qu'il s'agisse d'une succursale ou d'une filiale ayant la personnalité juridique, n'est pas déterminante à cet égard. (20) Afin d'éviter qu'une personne soit exclue de la protection qui lui est garantie en vertu du présent règlement, le traitement de données à caractère personnel concernant des personnes résidant dans l'Union, par un responsable du traitement qui n'est pas établi dans l'Union, devrait être soumis au présent règlement lorsque les activités de traitement sont liées à l'offre de biens ou de services à ces personnes concernées, ou à l'observation de leur comportement. (21) Afin de déterminer si une activité de traitement peut être considérée comme «observant le comportement» des personnes concernées, il y a lieu d'établir si les personnes physiques sont suivies sur l'internet au moyen de techniques de traitement de données consistant à appliquer un «profil» à un individu, afin notamment de prendre des décisions le concernant ou d'analyser ou de prévoir ses préférences, son comportement et sa disposition d'esprit. (22) Lorsque le droit national d’un État membre s’applique en vertu du droit international public, le présent règlement devrait s'appliquer également à un responsable du traitement de données qui n’est pas établi dans l’Union mais, par exemple, dans une mission diplomatique ou un poste consulaire d'un État membre. (23) Il y a lieu d'appliquer les principes de protection à toute information concernant une personne identifiée ou identifiable. Pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens susceptibles d'être raisonnablement mis en œuvre, soit par le responsable du traitement, soit par une autre personne, pour identifier ladite personne. Il n'y a pas lieu d'appliquer les principes de protection aux données qui ont été rendues suffisamment anonymes pour que la personne concernée ne soit plus identifiable. (24) Lorsqu'elles utilisent des services en ligne, les personnes physiques se voient associer des identifiants en ligne tels que des adresses IP ou des témoins de connexion («cookies») par les appareils, applications, outils et protocoles utilisés. Ces identifiants peuvent laisser des traces qui, combinées aux identifiants uniques et à d’autres informations reçues par les serveurs, peuvent servir à créer des profils et à identifier les personnes. Il en découle que des numéros d’identification, des données de localisation, des identifiants en ligne ou d’autres éléments spécifiques ne doivent pas nécessairement être considérés, en soi, comme des données à caractère personnel dans tous les cas de figure. (25) Le consentement devrait être donné de manière explicite, selon toute modalité appropriée permettant une manifestation de volonté libre, spécifique et informée, consistant soit en une déclaration soit en un acte non équivoque de la personne concernée, garantissant qu'elle consent bien en toute connaissance de cause au traitement des données à caractère personnel, par exemple en cochant une case lorsqu'elle consulte un site internet ou par le biais de toute déclaration ou tout comportement indiquant clairement dans ce contexte qu'elle accepte le traitement proposé de ses données à caractère personnel. Il ne saurait dès lors y avoir de consentement tacite ou passif. Le consentement donné devrait valoir pour toutes les activités de traitement effectuées ayant la même finalité. Si le consentement de la personne concernée est donné à la suite d'une demande par voie électronique, cette demande doit être claire, concise et ne doit pas inutilement perturber l'utilisation du service pour lequel il est accordé. (26) Les données à caractère personnel concernant la santé devraient comprendre, en particulier, l'ensemble des données se rapportant à l'état de santé d'une personne concernée; les informations relatives à l'enregistrement du patient pour la prestation de services de santé; les informations relatives aux paiements ou à l'éligibilité du patient à des soins de santé; un numéro ou un symbole attribué à un patient, ou des informations détaillées le concernant, destinés à l'identifier de manière univoque à des fins médicales; toute information relative au patient recueillie dans le cadre de la prestation de services de santé audit patient; des informations obtenues lors d'un contrôle ou de l'examen d'un organe ou d'une substance corporelle, y compris des échantillons biologiques; l'identification d'une personne en tant que prestataire de soins de santé au patient; ou toute information concernant, par exemple, une maladie, un handicap, un risque de maladie, un dossier médical, un traitement clinique ou l'état physiologique ou biomédical de la personne concernée, indépendamment de sa source, qu'elle provienne par exemple d'un médecin ou d'un autre professionnel de la santé, d'un hôpital, d'un dispositif médical ou d'une épreuve diagnostique in vitro. (27) Le principal établissement d'un responsable du traitement ou d'un sous-traitant devrait être déterminé en fonction de critères objectifs et devrait supposer l’exercice effectif et réel d’activités de gestion déterminant les décisions principales quant aux finalités, aux conditions et aux modalités du traitement dans le cadre d'une installation stable. Ce critère ne devrait pas dépendre du fait que le traitement ait effectivement lieu à cet endroit; la présence et l'utilisation de moyens techniques et de technologies permettant le traitement de données à caractère personnel ou la réalisation d'activités de ce type ne constituent pas en soi l'établissement principal ni, dès lors, un critère déterminant à cet égard. On entend par «établissement principal du sous‑traitant» le lieu de son administration centrale dans l'Union. (28) Un groupe d’entreprises devrait consister en une entreprise qui exerce le contrôle et des entreprises contrôlées, la première devant être celle qui peut exercer une influence dominante sur les autres du fait, par exemple, de la détention du capital, d'une participation financière ou des règles qui la régissent, ou du pouvoir de faire appliquer les règles relatives à la protection des données à caractère personnel. (29) Les données à caractère personnel relatives aux enfants nécessitent une protection spécifique parce que ceux-ci peuvent être moins conscients des risques, des conséquences, des garanties et de leurs droits en matière de traitement des données. Afin de déterminer jusqu'à quel âge une personne est un enfant, le règlement devrait reprendre la définition retenue par la convention des Nations unies relative aux droits de l'enfant. (30) Tout traitement de données à caractère personnel devrait être licite, loyal et transparent à l'égard des personnes concernées. En particulier, les finalités précises du traitement devraient être explicites et légitimes, et déterminées lors de la collecte des données. Les données devraient être adéquates, pertinentes et limitées au minimum nécessaire aux finalités pour lesquelles elles sont traitées, ce qui exige notamment de veiller à ce que les données collectées ne soient pas excessives et à ce que leur durée de conservation soit limitée au strict minimum. Les données à caractère personnel ne devraient être traitées que si la finalité du traitement ne peut être atteinte par d'autres moyens. Il y a lieu de prendre toutes les mesures raisonnables afin que les données à caractère personnel qui sont inexactes soient rectifiées ou effacées. Afin de garantir que les données ne sont pas conservées plus longtemps que nécessaire, des délais devraient être fixés par le responsable du traitement en vue de leur effacement ou d'une révision périodique. (31) Pour être licite, le traitement devrait être fondé sur le consentement de la personne concernée ou sur tout autre fondement légitime prévu par la législation, soit dans le présent règlement soit dans un autre acte législatif de l'Union ou d'un État membre, ainsi que le prévoit le présent règlement. (32) Lorsque le traitement est fondé sur le consentement de la personne concernée, c'est au responsable du traitement que devrait incomber la charge de prouver que ladite personne a bien consenti au traitement. En particulier, dans le contexte d’une déclaration écrite relative à une autre question, des garanties devraient faire en sorte que la personne concernée donne son consentement en toute connaissance de cause. (33) Pour garantir que le consentement soit libre, il y aurait lieu de préciser qu'il ne constitue pas un fondement juridique valable si la personne ne dispose pas d'une véritable liberté de choix et n'est, dès lors, pas en mesure de refuser ou de se rétracter sans subir de préjudice. (34) Le consentement ne devrait pas constituer un fondement juridique valable pour le traitement de données à caractère personnel lorsqu'il existe un déséquilibre manifeste entre la personne concernée et le responsable du traitement, surtout lorsque la première se trouve dans une situation de dépendance par rapport au second, notamment lorsque les données à caractère personnel concernent le salarié et sont traitées par son employeur dans le cadre de leur relation de travail. Lorsque le responsable du traitement est une autorité publique, il n’y a déséquilibre que dans le cas d’opérations de traitement spécifiques dans le cadre desquelles l’autorité publique peut, en vertu de ses prérogatives de puissance publique, imposer une obligation. Dans ce cas, le consentement ne saurait être réputé librement consenti, compte tenu de l’intérêt de la personne concernée. (35) Le traitement devrait être licite lorsqu'il est nécessaire dans le cadre d'un contrat ou de la conclusion envisagée d'un contrat. (36) Lorsque le traitement est réalisé conformément à une obligation légale à laquelle est soumis le responsable du traitement, ou lorsque le traitement est nécessaire à l'exécution d'une mission d'intérêt général ou relevant de l'exercice de l'autorité publique, le traitement devrait avoir son fondement juridique dans le droit de l’Union ou dans une loi nationale respectant les conditions imposées par la charte des droits fondamentaux de l'Union européenne pour toute limitation des droits et des libertés. Il appartient également au droit de l'Union ou à la loi nationale de déterminer si le responsable du traitement investi d'une mission d'intérêt général ou relevant de l'exercice de l'autorité publique doit être une administration publique ou une autre personne physique ou morale de droit public, ou de droit privé telle qu'une association professionnelle. (37) Le traitement de données à caractère personnel devrait être également considéré comme licite lorsqu'il est nécessaire pour protéger un intérêt essentiel à la vie de la personne concernée. (38) Les intérêts légitimes du responsable du traitement peuvent constituer un fondement juridique au traitement, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée. Ce point mérite un examen attentif, surtout lorsque la personne concernée est un enfant, cette catégorie de personnes nécessitant en effet une protection spécifique. La personne concernée devrait pouvoir s'opposer au traitement des données la concernant, pour des raisons tenant à sa situation personnelle, et gratuitement. Afin d'assurer la transparence, le responsable du traitement devrait être tenu d'informer expressément la personne concernée des intérêts légitimes poursuivis, et de justifier ces derniers, ainsi que du droit de la personne de s'opposer au traitement. Étant donné qu'il appartient au législateur de fournir la base juridique autorisant les autorités publiques à traiter des données, ce motif ne devrait pas valoir pour les traitements effectués par ces autorités dans l'accomplissement de leur mission. (39) Le traitement des données relatives au trafic, dans la mesure strictement nécessaire à la finalité de garantir la sécurité du réseau et des informations, c’est-à-dire la capacité d’un réseau ou d’un système d’information de résister, à un niveau de confiance donné, à des événements accidentels ou à des actions illégales ou malveillantes qui compromettent la disponibilité, l'authenticité, l’intégrité et la confidentialité de données stockées ou transmises, ainsi que la sécurité des services connexes offerts ou rendus accessibles via ces réseaux et systèmes, par les pouvoirs publics, des équipes d'intervention en cas d'urgence informatique (CERT), des équipes de réaction aux incidents touchant la sécurité informatique (CSIRT), des fournisseurs de réseaux ou de services de communications électroniques, par des fournisseurs de technologies et services de sécurité, constitue un intérêt légitime du responsable des données. Il pourrait s'agir, par exemple, d’empêcher l’accès non autorisé à des réseaux de communications électroniques et la distribution de codes malveillants, et de faire cesser des attaques par «déni de service» et des dommages touchant les systèmes de communications informatiques et électroniques. (40) Le traitement des données à caractère personnel à d’autres fins ne devrait être autorisé que s'il est compatible avec les finalités de la collecte initiale des données, notamment lorsque le traitement est nécessaire à des fins statistiques ou de recherche historique ou scientifique. Lorsque cette autre finalité n'est pas compatible avec la finalité initiale de la collecte des données, il convient que le responsable du traitement obtienne le consentement de la personne concernée à cette autre finalité ou qu'il fonde le traitement sur un autre motif légitime, en particulier lorsque le droit de l'Union ou la législation de l'État membre dont relève le responsable des données le prévoit. En tout état de cause, l'application des principes énoncés par le présent règlement et, en particulier, de respecter l'obligation d'informer la personne concernée au sujet de ces autres finalités devrait être assurée. (41) Les données à caractère personnel qui sont, par nature, particulièrement sensibles et vulnérables du point de vue des droits fondamentaux et de la vie privée méritent une protection spécifique. Ces données ne devraient pas faire l'objet d'un traitement, à moins que la personne concernée n'y consente expressément. Toutefois, des dérogations à cette interdiction devraient être expressément prévues pour tenir compte de besoins spécifiques, en particulier lorsque le traitement a lieu dans le cadre d'activités légitimes de certaines associations ou fondations ayant pour finalité de permettre l'exercice des libertés fondamentales. (42) Les exceptions à l'interdiction du traitement des catégories de données sensibles devraient également être autorisées si elles résultent d'une loi et, sous réserve de garanties appropriées, afin de protéger les données à caractère personnel et d'autres droits fondamentaux, dans le cas où des raisons d'intérêt général le justifient et, en particulier, à des fins de santé publique, en ce compris la protection de la santé, la protection sociale et la gestion des services de santé, notamment pour assurer la qualité et l'efficience des procédures de règlement des demandes de remboursement et de services dans le régime d’assurance‑maladie, ou à des fins statistiques ou de recherche historique ou scientifique. (43) En outre, le traitement de données à caractère personnel par des autorités publiques en vue de réaliser les objectifs, prévus par le droit constitutionnel ou le droit international public, d'associations à caractère religieux officiellement reconnues est effectué pour des raisons d'intérêt général. (44) Si, dans le cadre d'activités liées à des élections, le fonctionnement du système démocratique suppose, dans un État membre, que les partis politiques collectent des données relatives aux opinions politiques des personnes, le traitement de telles données peut être autorisé pour des motifs d'intérêt général, à condition que des garanties appropriées soient prévues. (45) Si les données qu’il traite ne lui permettent pas d'identifier une personne physique, le responsable du traitement ne devrait pas être tenu d'obtenir des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter une disposition du présent règlement. Dans le cas d’une demande d’accès, il devrait être autorisé à demander d'autres informations à la personne concernée, afin d'être en mesure de localiser les données personnelles que cette personne recherche. (46) Le principe de transparence veut que toute information adressée au public ou à la personne concernée soit aisément accessible et facile à comprendre, et formulée en termes simples et clairs. Ceci vaut tout particulièrement lorsque, dans des domaines tels que la publicité en ligne, la multiplication des acteurs et la complexité des technologies utilisées empêchent la personne concernée de savoir exactement si des données à caractère personnel la concernant sont collectées, par qui et dans quel but. Les enfants nécessitant une protection spécifique, toute information et communication, lorsque le traitement des données les vise spécifiquement, devrait être rédigée en des termes simples et clairs que l’enfant peut aisément comprendre. (47) Des modalités devraient être prévues pour faciliter l'exercice, par la personne concernée, des droits qui lui sont conférés par le présent règlement, notamment les moyens de demander sans frais l'accès aux données, leur rectification ou leur effacement, et d'exercer son droit d'opposition. Le responsable du traitement devrait être tenu de répondre à la personne concernée dans un délai donné et de motiver tout refus. (48) Le principe de traitement loyal et transparent exige que la personne concernée soit informée, en particulier, de l'existence du traitement et de ses finalités, de la durée pendant laquelle les données seront conservées, de l’existence d’un droit d’accès, de rectification ou d’effacement, ainsi que de son droit d'introduire une réclamation. Lorsque les données sont collectées auprès de la personne concernée, il importe que celle‑ci sache également si elle est obligée de fournir ces informations et à quelles conséquences elle s'expose si elle ne les fournit pas. (49) L'information sur le traitement des données à caractère personnel devrait être donnée à la personne concernée au moment où ces données sont recueillies ou, si la collecte des données n'a pas lieu auprès de la personne concernée, dans un délai raisonnable en fonction des circonstances propres à chaque cas. Lorsque des données peuvent être légitimement divulguées à un autre destinataire, il convient que la personne concernée soit informée lorsque ces données sont divulguées pour la première fois audit destinataire. (50) Toutefois, il n'est pas nécessaire d'imposer cette obligation si la personne concernée dispose déjà de cette information, ou si l'enregistrement ou la divulgation des données sont expressément prévus par la loi, ou si l'information de la personne concernée se révèle impossible ou exige des efforts disproportionnés. Tel pourrait être le cas, en particulier, des traitements à des fins statistiques ou de recherche historique ou scientifique; à cet égard, peuvent être pris en considération le nombre de personnes concernées, l'ancienneté des données, ainsi que les mesures compensatrices éventuelles adoptées. (51) Toute personne devrait avoir le droit d'accéder aux données qui ont été collectées à son sujet et d'exercer ce droit facilement, afin de s'informer du traitement qui en est fait et d'en vérifier la licéité. En conséquence, chaque personne concernée devrait avoir le droit de connaître et de se faire communiquer, en particulier, la finalité du traitement des données, la durée de leur conservation, l'identité des destinataires, la logique qui sous‑tend le traitement des données et les conséquences qu'il pourrait avoir, au moins en cas de profilage. Ce droit ne devrait pas porter atteinte aux droits et libertés d’autrui, notamment au secret des affaires, ni à la propriété intellectuelle, notamment au droit d'auteur protégeant le logiciel. Toutefois, ces considérations ne sauraient aboutir au refus de toute information de la personne concernée. (52) Le responsable du traitement devrait prendre toutes les mesures raisonnables afin de s’assurer de l’identité d’une personne concernée demandant l'accès aux données, en particulier dans le contexte des services et identifiants en ligne. Un responsable des données ne devrait pas conserver des données à caractère personnel à la seule fin d'être en mesure de réagir à d'éventuelles demandes. (53) Toute personne devrait avoir le droit de faire rectifier des données à caractère personnel la concernant, et disposer d'un «droit à l’oubli numérique» lorsque la conservation de ces données n'est pas conforme au présent règlement. En particulier, les personnes concernées devraient avoir le droit d'obtenir que leurs données soient effacées et ne soient plus traitées, lorsque ces données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été recueillies ou traitées, lorsque les personnes concernées ont retiré leur consentement au traitement ou lorsqu'elles s'opposent au traitement de données à caractère personnel les concernant ou encore, lorsque le traitement de leurs données à caractère personnel n'est pas conforme au présent règlement. Ce droit est particulièrement important lorsque la personne concernée a donné son consentement à l'époque où elle était enfant et donc mal informée des risques inhérents au traitement, et qu'elle souhaite par la suite supprimer ces données à caractère personnel, en particulier sur l'internet. Toutefois, la conservation des données devrait être autorisée lorsqu'elle est nécessaire à des fins statistiques ou de recherche historique ou scientifique, pour des motifs d'intérêt général dans le domaine de la santé publique, ou à l'exercice du droit à la liberté d'expression, si elle est requise par la loi ou s'il existe une raison de limiter le traitement des données au lieu de les effacer. (54) Afin de renforcer le «droit à l'oubli numérique» dans l’environnement en ligne, le droit à l'effacement des données devrait en outre être étendu de façon à ce que le responsable du traitement qui a rendu les données à caractère personnel publiques soit tenu d'informer les tiers qui traitent lesdites données qu'une personne concernée leur demande d'effacer tous liens vers ces données, ou toute copie ou reproduction de celles‑ci. Afin d'assurer cette information, le responsable des données devrait prendre toutes les mesures raisonnables, y compris les mesures techniques, à l'égard des données dont la publication lui est imputable. En ce qui concerne la responsabilité de la publication de données à caractère personnel par un tiers, elle devrait être imputée au responsable du traitement lorsqu'il a lui-même autorisé le tiers à l'effectuer. (55) Pour leur permettre de mieux maîtriser encore l'utilisation qui est faite des données les concernant et renforcer leur droit d’accès, les personnes devraient avoir le droit, lorsque des données à caractère personnel font l'objet d'un traitement automatisé dans un format structuré et couramment utilisé, d'obtenir une copie des données les concernant, également dans un format électronique structuré et couramment utilisé. La personne concernée devrait en outre être autorisée à transférer ces données, qu'elle a fournies, d'une application automatisée, telle qu'un réseau social, à une autre. Ce droit devrait s'appliquer lorsque la personne concernée a fourni les données au système de traitement automatisé, en donnant son consentement ou dans le cadre de l’exécution d’un contrat. (56) Dans les cas où des données à caractère personnel pourraient faire l'objet d'un traitement licite afin de protéger les intérêts vitaux de la personne concernée, ou pour un motif d'intérêt général, à l'exercice de l'autorité publique ou à la poursuite des intérêts légitimes du responsable du traitement, toute personne concernée devrait néanmoins avoir le droit de s’opposer au traitement de toute donnée la concernant. Il devrait incomber au responsable du traitement de prouver que ses intérêts légitimes prévalent sur les intérêts ou les libertés et droits fondamentaux de la personne concernée. (57) Lorsque des données à caractère personnel sont traitées à des fins de marketing direct, la personne concernée devrait avoir le droit de s’opposer à ce traitement, sans frais et d’une manière simple et effective. (58) Toute personne physique devrait avoir le droit de ne pas être soumise à une mesure fondée sur le profilage par traitement automatisé. Toutefois, de telles mesures devraient être permises lorsqu'elles sont expressément autorisées par la loi, appliquées dans le cadre de la conclusion ou de l'exécution d'un contrat, ou si la personne concernée y a donné son consentement. En tout état de cause, un traitement de ce type devrait être assorti de garanties appropriées, y compris une information spécifique de la personne concernée et le droit d'obtenir une intervention humaine, et cette mesure ne devrait pas concerner les enfants. (59) Des limitations des principes spécifiques et du droit à l'information, du droit d'accès, de rectification et d'effacement, ou du droit à la portabilité des données, du droit d'opposition, des mesures fondées sur le profilage, ainsi que de la communication d'une violation des données à caractère personnel à une personne concernée, et des limitations de certaines obligations connexes des responsables du traitement des données peuvent être imposées par le droit de l'Union ou d'un État membre, dans la mesure nécessaire et proportionnée dans une société démocratique, pour garantir la sécurité publique, notamment aux fins de la protection de la vie humaine en cas, plus particulièrement, de catastrophe d'origine naturelle ou humaine, aux fins de la prévention, de l'investigation et de la poursuite d'infractions pénales ou de manquements à la déontologie des professions réglementées, aux fins d'autres intérêts publics, y compris d'un intérêt économique ou financier important de l'Union ou d'un État membre, ou aux fins de la protection de la personne concernée ou des droits ou libertés de tiers. Ces limitations doivent être conformes aux exigences énoncées par la charte des droits fondamentaux de l'Union européenne et par la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales. (60) Il y a lieu d'instaurer une responsabilité globale du responsable du traitement pour tout traitement de données à caractère personnel qu'il effectue lui‑même ou qui est réalisé pour son compte. Il importe en particulier que le responsable du traitement veille à la conformité de chaque traitement au présent règlement et soit tenu d'en apporter la preuve. (61) La protection des droits et libertés des personnes concernées à l'égard du traitement des données à caractère personnel nécessite de prendre les mesures techniques et organisationnelles appropriées, tant au moment de la conception que de l'exécution du traitement, de sorte que les exigences du présent règlement soient respectées. Afin d'assurer et de démontrer la conformité de ses activités au présent règlement, le responsable du traitement devrait adopter des règles internes et appliquer des mesures adaptées, qui répondent en particulier aux principes de la protection des données dès la conception et de la protection des données par défaut. (62) La protection des droits et libertés des personnes concernées, de même que la responsabilité des responsables du traitement et de leurs sous-traitants, y compris dans le cadre de la surveillance exercée par les autorités de contrôle et des mesures prises par elles, exige une répartition claire des responsabilités au titre du présent règlement, notamment dans le cas où le responsable du traitement détermine les finalités, les conditions et les moyens du traitement conjointement avec d'autres responsables, ou lorsqu'un traitement est effectué pour le compte d'un responsable du traitement. (63) Lorsqu'un responsable du traitement qui n'est pas établi dans l'Union traite des données à caractère personnel concernant des personnes résidant dans l'Union, et que les activités de traitement sont liées à l'offre de biens ou de services à ces personnes, ou à l'observation de leur comportement, il conviendrait que le responsable du traitement désigne un représentant, à moins que ledit responsable ne soit établi dans un pays tiers qui assure un niveau de protection adéquat, ou que le responsable ne soit une petite ou moyenne entreprise ou une autorité ou un organisme public, ou qu'il ne propose qu'occasionnellement des biens ou des services à ces personnes concernées. Le représentant devrait agir pour le compte du responsable du traitement et devrait pouvoir être contacté par toute autorité de contrôle. (64) Afin de déterminer si un responsable des données n'offre qu'occasionnellement des biens et des services à des personnes concernées résidant dans l'Union, il y aurait lieu de vérifier s'il ressort de l'ensemble de ses activités que l'offre de biens et de services à ces personnes concernées est accessoire à ses activités principales. (65) Afin d’apporter la preuve qu'il se conforme au présent règlement, le responsable du traitement ou le sous‑traitant devrait consigner chaque opération de traitement. Chaque responsable du traitement et sous‑traitant devrait être tenu de coopérer avec l'autorité de contrôle et de mettre ces informations à sa disposition sur demande pour qu'elles servent au contrôle des opérations en question. (66) Afin de préserver la sécurité et de prévenir tout traitement contraire au présent règlement, il importe que le responsable du traitement ou le sous-traitant évalue les risques inhérents au traitement et prenne des mesures pour les atténuer. Ces mesures devraient assurer un niveau de sécurité approprié compte tenu, d'une part, de l'état de la technique et de leur coût de mise en œuvre, et, d'autre part, des risques présentés par les traitements et de la nature des données à protéger. Lors de l’adoption de normes techniques et de mesures organisationnelles destinées à garantir la sécurité du traitement, la Commission devrait promouvoir la neutralité technologique, l’interopérabilité et l’innovation, et au besoin, coopérer avec les pays tiers. (67) Une violation de données à caractère personnel risque, si l'on n'intervient pas à temps et de manière appropriée, de causer une grave perte économique et des dommages sociaux importants, y compris une usurpation d’identité, à la personne physique concernée. En conséquence, dès que le responsable du traitement apprend qu’une telle violation s’est produite, il conviendrait qu'il en informe l’autorité de contrôle sans retard injustifié et, lorsque c'est possible, dans les 24 heures. Si ce délai ne peut être respecté, la notification devrait être assortie d'une explication concernant ce retard. Les personnes physiques dont les données à caractère personnel pourraient être affectées par la violation devraient en être averties sans retard injustifié afin de pouvoir prendre les précautions qui s’imposent. Il y a lieu de considérer qu'une violation affecte les données à caractère personnel ou la vie privée d'une personne concernée lorsqu'il peut en résulter, par exemple, un vol ou une usurpation d'identité, un dommage physique, une humiliation grave ou une atteinte à la réputation. La notification devra décrire la nature de la violation des données à caractère personnel et formuler des recommandations à la personne concernée afin d'atténuer les éventuels effets négatifs. Il convient que les notifications aux personnes concernées soient effectuées aussi rapidement que possible, en coopération étroite avec l'autorité de contrôle, et dans le respect des directives fournies par celle-ci ou par d'autres autorités compétentes (telles que les autorités répressives). Par exemple, pour que les personnes concernées puissent atténuer un risque immédiat de préjudice, il faudrait leur adresser une notification le plus rapidement possible, mais la nécessité de mettre en œuvre des mesures appropriées empêchant la poursuite de la violation des données ou la survenance de violations similaires pourrait justifier un délai plus long. (68) Afin de déterminer si une violation des données à caractère personnel est notifiée sans retard injustifié à l'autorité de contrôle et à la personne concernée, il y a lieu de vérifier si le responsable du traitement a mis en place et appliqué une protection technologique et des mesures d'organisation appropriées pour établir immédiatement si une violation des données est intervenue et pour informer dans les meilleurs délais l'autorité de contrôle et la personne concernée, avant qu'une atteinte ne soit portée aux intérêts personnels ou économiques de la personne, compte tenu notamment de la nature et de la gravité de la violation des données et de ses conséquences et effets néfastes pour la personne concernée. (69) Lors de la fixation des règles détaillées concernant la forme et les procédures applicables à la notification des violations de données à caractère personnel, il convient de tenir dûment compte des circonstances de la violation, notamment du fait que les données à caractère personnel étaient ou non protégées par des mesures de protection techniques appropriées limitant efficacement le risque d’usurpation d’identité ou d’autres formes d’abus. Par ailleurs, ces règles et procédures devraient tenir compte des intérêts légitimes des autorités répressives dans les cas où une divulgation prématurée risquerait d’entraver inutilement l’enquête sur les circonstances de la violation. (70) La directive 95/46/CE prévoyait une obligation générale de notifier les traitements de données à caractère personnel aux autorités de contrôle. Or cette obligation génère une charge administrative et financière, sans pour autant avoir véritablement amélioré la protection des données. En conséquence, l'obligation générale de notification devrait être supprimée et remplacée par des procédures et des mécanismes efficaces ciblant plutôt les traitements susceptibles de présenter des risques particuliers pour les droits et libertés des personnes concernées, du fait de leur nature, de leur portée ou de leur finalité. Dans de tels cas, une analyse d'impact relative à la protection des données devrait être réalisée par le responsable du traitement ou le sous‑traitant, préalablement au traitement, et devrait examiner notamment les dispositions, garanties et mécanismes envisagés pour assurer la protection des données à caractère personnel et pour démontrer que le présent règlement est respecté. (71) Ceci devrait s'appliquer en particulier aux systèmes d'archivage à grande échelle récemment créés, qui servent à traiter un volume considérable de données à caractère personnel au niveau régional, national ou supranational et pourraient affecter un nombre important de personnes concernées. (72) Il existe des cas dans lesquels il pourrait être judicieux et économique d'élargir l'analyse d'impact relative à la protection des données au-delà d'un projet unique, par exemple lorsque des autorités ou organismes publics entendent mettre en place une application ou une plateforme de traitement commune, ou lorsque plusieurs responsables du traitement envisagent de créer une application ou un environnement de traitement communs à tout un secteur ou segment professionnel, ou pour une activité transversale largement utilisée. (73) Une autorité ou un organisme publics ne devraient réaliser une analyse d'impact relative à la protection des données que si celle-ci n'a pas été faite au moment de l'adoption de la loi nationale régissant la mission de l'autorité ou de l'organisme publics concernés ainsi que l'opération ou l'ensemble d'opérations de traitement en question. (74) Lorsqu'une analyse d’impact relative à la protection des données indique que des opérations de traitement exposent les droits et libertés des personnes concernées à un degré élevé de risques particuliers, comme priver ces personnes d'un droit, ou de par l'utilisation de certaines technologies nouvelles, l'autorité de contrôle devrait pouvoir être consultée, avant le début de l'opération, sur un traitement risqué susceptible de ne pas être conforme au présent règlement, et formuler des propositions visant à y remédier. Cette consultation devrait également avoir lieu pendant l'élaboration d'une mesure législative du parlement national, ou d'une mesure fondée sur cette dernière définissant la nature du traitement et instaurant les garanties appropriées. (75) Lorsque le traitement est réalisé dans le secteur public ou lorsque, dans le secteur privé, il est effectué par une grande entreprise ou par une entreprise, quelle que soit sa taille, dont les activités de base impliquent des opérations de traitement exigeant un suivi régulier et systématique, une personne devrait aider le responsable du traitement ou le sous‑traitant à vérifier le respect, au niveau interne, du présent règlement. Ces délégués à la protection des données, qu'ils soient ou non des employés du responsable du traitement, devraient être en mesure d'exercer leurs fonctions et leurs tâches en toute indépendance. (76) Il y a lieu d'encourager les associations et autres instances représentatives des responsables de traitement de données à élaborer des codes de conduite, dans le respect du présent r