COM\IISSION DES C<ll\UUNAUTES EUROPEENNES 
COM(90)314 flnai-SYN 287 et 288 
Bruxelles, le 13 septembre 1990 
COMMUNICATION DE LA COMMISSION 
relative à la protection des personnes à l'égard du traitement des données à 
caractère personnel dans la Communauté 
et à la sécurité des sytèmes d'Information 
Proposition de SYN 287 
DIRECTIVE OU CONSEIL 
relative à la protection 
des personnes à l'égard du traitement des données à caractère personnel 
Projet de 
RESOLUTION DES REPRESENTANTS DES GOUVERNEMENTS DES ETATS MEMBRES 
DES COMMUNAUTES EUROPEENNES REUNIS AU SEIN OU CONSEIL 
DECLARATION DE LA COMMISSION 
relative à l'appt lcatlon aux Institutions et organismes des Communautés 
européennes des principes de la directive du Conseil relative à ta 
protection des personnes 
à t'égard du traitement des données à caractère personnel 
Proposition de SYN 288 
DIRECTIVE OU CONSEIL 
concernant la protection des données à caractère personnel 
et de la vie privée dans te contexte des réseaux de télécommunications 
numériques publ les, et en particulier du réseau 
numérique à Intégration de services (RNIS) et des 
réseaux numériques mobl les publ les 
Recommandation de 
DECISION OU CONSEIL 
concernant l'ouverture de négociations en vue de l'adhésion 
des Communautés européennes à la Convention du Consel 1 de l'Europe 
pour la protection des personnes à l'égard du traitement automatisé 
des données à carac~ère personnel 
Proposition de 
DECISION OU CONSEIL 
en matière de sécurité des systèmes d'Information 
-~ 
Communication de la Commission 
relative à la protection des personnes à 1•égard 
du traitement des données à caractère personnel dans la Communauté 
et à la sécurité des systèmes d•lnformatlon. 
1. INTRODUCTION 
1. Le recours de plus en plus fréquent au traitement de données à caractère 
personnel dans toutes les facettes des activités économiques et sociales 
ainsi que les besoins nouveaux d'échanges de données liés au renforcement 
de la construction communautaire rendent Indispensables la mise en place 
dans la Communauté de mesures visant à assurer la protection des personnes 
à l'égard des traitements de données à caractère personnel et à renforcer 
la sécurité des traitements de données dans le contexte, notamment, du 
développement des réseaux ouverts de télécommunications. 
2. En effet, à l'heure où les progrès des technologies de l'Information 
facl 1 ltent considérablement le traitement et l'échange de données de toute 
nature, l'état actuel de la protection des personne$ à l'égard de ces 
traitements dans la Communauté se caractérise par la diversité des 
approches nationales. Dans les années soixante dix, les préoccupations 
relatives à la protection des personnes à l'égard du traitement des données 
-3-
à caractère personnel ont animé un processus législatif dans plusieurs 
Etats membres visant à 1 Imiter et à encadrer l'utll lsatlon de ce type de 
données. Il n'y a toutefois, actuellement, Que sept Etats membres QUI ont 
une législation spécifiQue dans ce domaine. En outre, bien Que leurs 
objectifs soient les mêmes, ces législations adoptent parfois des solutions 
divergentes comme, par exemple, sur la Question du champ d'application 
(Inclusion ou non des fichiers manuels, protection ou non des personnes 
morales) ou sur cel le des conditions préalables aux traitements (étendue de 
1 'obi lgatlon de notification, Information lors de la collecte, traitement 
de données sensibles). 
3. Au-delà du cadre national et outre la recommandation du Conseil de 
l'OCDE concernant les lignes directrices régissant la protection de la vie 
privée et les flux transfrontlères de données de caractère personnel du 23 
septembre 1980, la Convention du Conseil de l'Europe du 28 janvier 1981 
pour la protection des personnes à l'égard du traitement automatisé des 
données à caractère personnel est le seul Instrument de droit International 
dans ce domaine. El le laisse cependant ouvert un grand nombre d'options 
pour la mise en oeuvre des principes cadres QU'el le a définis et elle n'a 
été ratifiée Que par sept Etats membres dont un QUI n'a toujours pas de 
législation Interne. 
4. Face à cette situation des préoccupations ont déjà été exprimées dans la 
Communauté. Le Parlement européen a été ainsi amené à adopter dès 1976 
plusieurs résolutlons<1> dans lesQuelles Il manifeste son InQuiétude à 
l'égard de cette Question et Invite la Commission à préparer une 
proposition de directive visant à harmoniser les législations en matière de 
protection des données à caractère personnel. 
5. La Commission, dans une recommandation du 29 juillet 1981, soulignait 
QUe cette protection a le caractère d'un droit fondamental et Qu'li est 
souhaitable Qu'un rapprochement dans ce domaine soit élaboré dans tous les 
Etats membres. El le recommandait également aux Etats membres de ratifier, 
avant la fln de l'année 1982, la Convention du Consel 1 de l'Europe du 28 
janvier 1981 relative à la protection des personnes à l'égard du traitement 
(1) JO n· C 100 du 3. 5. 1976, p. 27; JO n· C 140 du 5. 6. 1979, 
p. 34; JO n· C 87 du 5. 4. 1982, P. 39. 
-4-
automatisé des données à caractère personnel. Toutefois, 11 était précisé 
que 11SI dans un laps de temps raisonnable tous les Etats membres ne 
devalent pas signer et ratifier cette convention, la Commission se réserve 
le droit de proposer au Conseil d'arrêter un acte fondé sur le traité CEE ... 
6. La diversité des approches nationales et l'absence d'un système de 
protection à l'échelle de la Communauté constituent un obstacle à 
l'achèvement du marché Intérieur. En effet, si les droits fondamentaux des 
personnes concernées, notamment le droit à la vie privée, ne sont pas 
assurés au niveau communautaire, le flux transfrontal 1er de données 
pourrait être entravé alors qu'l 1 est devenu Indispensable aux activités 
des entreprises et des organismes de recherche ainsi qu'à la col laboratlon 
entre les administrations des Etats membres dans le cadre de l'espace sans 
frontières prévu à l'article 8 A du traité. Ainsi, récemment, le Consel 1 
Européen de Strasbourg des 8 et 9 décembre 1989, dans le contexte des 
mesures en faveur de la libre circulation des personnes et de l'Europe des 
citoyens, a souligné la nécessité .. de vel lier à ce que les modal ltés de la 
coopération entre administrations garantissent préalablement la protection 
des citoyens face à l'utll lsatlon des banques de données personnel les ... 
7. Une approche communautaire en matière de protection des personnes à 
l'égard du traitement des données à caractère personnel est également une 
exigence essentiel le pour le développement de l'Industrie de l'Informatique 
et des services télématiques à valeur ajoutée. L'Introduction rapide de 
dispositions harmonisées concernant la protection des données et de la vie 
privée dans le contexte des réseaux de télécommunications numériques est 
Indispensable pour la réal lsatlon du marché Intérieur des équipements et 
services de télécommunication. 
8. La pénétration de l'Informatique dans toutes les sphères des activités 
économiques et sociales et l'apparition de systèmes globaux de 
communication facl 1 ltant l'Intégration de diverses activités représentent 
également un nouvel enjeu qui nécessite la fourniture d'une .. protection .. 
adaptée aux risques que font courir d'éventuel les défal 1 lances techniques 
ou humaines de caractère accidentel ou volontaire. Une sécurité efficace 
des systèmes d'Information est un élément essentiel pour assurer une 
-5-
protection effective de la vie privée et pour préserver l'Intégrité des 
richesses que constituent aujourd'hui les données enregistrées et 
transmises sous forme electronique. Les politiques et les programmes 
communautaires pour le développement des Industries de l'Information et des 
télécommunications et la réal lsatlon du marché Intérieur risquent d'être 
gravement entravés si une politique active de création, de développement et 
de promotion de normes de sécurité pour les systèmes d'Information n'est 
pas adoptée. Les télécommunications permettant aujourd'hui les échanges de 
données à l'échelle de la planète, une telle politique doit prendre en 
compte cette dimension. 11 est, en outre, essentiel que les politiques 
nationales en matière de sécurité de l'Information ne deviennent pas un 
obstacle à la promotion du développement harmonieux de la Communauté et aux 
relations avec les pays tiers. 
Il. LA DEMARCHE PROPOSEE 
9. L'approche proposée a pour objectif d'assurer un haut niveau de 
protection par un système communautaire de protection reposant sur un train 
de mesures complémentaires les unes des autres. 
A Un haut nlyeau de Protection 
10. Les législations nationales ayant pour objet de garantir les droits 
fondamentaux des personnes, notamment le droit à la vie privée, et la 
Communauté ayant elle-même exprimé son attachement aux droits fondamentaux, 
en partlcul 1er dans le troisième paragraphe du préambule de l'Acte unique 
européen, l'action de la Communauté ne doit pas avoir pour effet 
d'abaisser la protection mals au contraire d'assurer un haut niveau de 
protection dans 1 'ensemble de la Communauté. Par une action communautaire 
11 est possible de garantir un haut niveau de protection équivalent dans 
tous les Etats membres de la Communauté et par là même de lever des 
obstacles à l'établ lssement du marché Intérieur conformément à l'article 
100 A. 
-~ 
11. En complément du rapprochement à un niveau élévé des droits reconnus 
aux personnes, le lancement d'une pol ltiQue active en matière de sécurité 
des systèmes d'Information est Indispensable. La sécurité des systèmes 
d'Information est capitale pour les personnes comme pour le commerce, 
l'Industrie et les administrations publiQues. L'enjeu essentiel est 
d'assurer une sécurité efficace et pratiQue de l'Information détenue sous 
forme électroniQue en évitant la formation de nouveaux obstacles techniQues 
entre Etats membres ou vis-à-vis des pays tiers. Cette exigence reQuiert 
l'examen au niveau communautaire des besoins et des options possibles en 
collaboration étroite avec les acteurs du secteur et les Etats membres. 
B Une aoprocbe globale 
12. Pour établir dans la Communauté un système de protection des personnes 
à l'égard du traitement des données à caractère personnel, 11 est 
nécessaire de prévoir plusieurs mesures permettant de couvrir les divers 
aspects de cette Question. 
13. Syr le olan Interne, au-delà d'une directive cadre visant au 
rapprochement de certaines dispositions législatives, réglementaires et 
administratives des Etats membres relatives à la protection des personnes à 
1 'égard du traitement des données à caractère personnel (directive 
générale), QUI est 1 'élément central du système de protection, un ensemble 
d'autres mesures complémentaires sont proposées pour assurer une protection 
aussi complète Que possible. Chacune des mesures proposées est adaptée à 
une situation spécifiQue mals toutes procèdent des mêmes principes de 
protection Qui se trouvent dans la directive générale. Ainsi, une 
résolution des représentants des gouvernements des Etats membres réunis au 
sein du Conseil et une déclaration de la Commission ont pour objet de 
rendre appl lcables les principes de la directive aux fichiers QUI ne sont 
pas couverts par cel le-cl. De même, une directive sectorielle est 
nécessaire dans le contexte des réseaux de télécommunication numériQues 
publics. Enfin, la sécurité des systèmes d'Information nécessite un plan 
d'action communautaire. 
-7-
14. Sur le plan externe, la Communauté européenne doit promouvoir auprès de 
ses partenaires la mise en place de dispositions de protection adéquates et 
soutenir les efforts entrepris par le Consel 1 de.I'Europe en la matière. 11 
est dans ce contexte souhaitable, notamment, Que la Communauté engage des 
négociations en vue de son adhésion à la convention 108 du Conseil de 
l'Europe. 
Ces propositions ne peuvent être dissociées les unes des autres sans porter 
atteinte à l'homogénéité et i 1a cohérence du système de protection 
proposé. 
C Présentation des Propositions 
15. La proposition de directive générale a pour objet d'établIr une 
protection équivalente de haut niveau dans tous les Etats membres de la 
Communauté afin d'él !miner les obstacles aux échanges des données 
nécessaires au fonctionnement du marché Intérieur. Pour cela, les principes 
énoncés dans le projet de proposition de directive doivent être garantis 
par les Etats membres. Ces principes sont relatifs notamment aux conditions 
dans lesquelles un traitement de données à caractère personnel est 
légitime, aux droits de la personne concernée (droit à l'Information, droit 
d'accès, droit de rectification, droit d'opposition, etc ... ), aux QUai !tés 
que doJvent avoir les données (el les doivent être exactes, collectées 
loyalement, enregistrées pour des finalités déterminées et légitimes, 
etc ... ), à la création d'un Groupe de protection des données à caractère 
personnel QUI conseil le la Commission sur les questtons de protection des 
données. Le projet de proposition de directive couvre le secteur privé 
ainsi que le secteur public dont les activités relèvent du champ 
d'application du droit communautaire. Puisque toute personne bénéficiera 
dans chaque Etat membre d'une protection équivalente de haut niveau à 
l'égard du traitement de données à caractère personnel, les Etats membres 
ne pourront plus opposer des restrictions à la circulation de ces dernières 
dans la Communauté fondées sur la protection de la personne concernée. 
16. Le prolet de résolution des représentants des Etats membres des 
Communautés européennes réunis au sein du Consel 1 a pour objet d'étendre la 
couverture des principes de la directive générale aux fichiers du secteur 
publ le qu'el le ne vise pas, c'est à dire ceux des administrations dont les 
-8-
activités ne relèvent pas du champ d'application du droit communautaire. En 
effet, par souel de cohérence, Il serait souhaitable que tous les fichiers 
des administrations, mêmes ceux qui ne sont pas couverts par la directive 
générale, soient soumis aux mêmes principes de protection . A cette fln, 
les Etats membres devraient s'engager à entamer les procédures législatives 
nationales nécessaires. 
17. La déclaration de la commission relative à l'appl lcatlon aux 
Institutions et organismes de la Communauté des dispositions de la 
directive générale manifeste le souhait de la Commission que les principes 
de la directive s'appliquent aux Institutions et organismes de la 
Communauté. Elle prévoit, à cet égard, que la Commission prendra et 
proposera les mesures nécessaires, et Indique que, en attendant, elle 
appl lquera les dispositions de la directive à ses propres fichiers. 
18. La proposition de directive dy Conseil concernant la protection des 
données à caractère personnel et de la vie privée dans le contexte des 
réseaux de télécommunications nymérlayes pybl les. et en particulier du 
réseau nymérlaue à Intégration de services <RNIS> et des réseaux nymérlaues 
mobiles pybl les, complète la directive générale en appliquant les principes 
généraux de la protection des données aux besoins spécifiques des nouveaux 
réseaux de télécommunications. La directive vise à garantir aux usagers des 
télécommunications dans tous les Etats membres un niveau de base de 
protection par des mesures qui doivent être Intégrées dans les services 
offerts par les nouveaux réseaux. Le Conseil et le Parlement européen ont 
souligné à plusieurs reprises l'Importance de mesures appropriées pour 
assurer la protection des données et de la vie privée au regard des futurs 
développements des télécommunications et notamment du RNis<1>. Cette 
préoccupation a été exprimée avec force par les Commissaires des Etats 
membres en charge de la protection des données lors de leur rencontre 
annuel le à Berlin en aoat 1989. 
(1) JO n· C 257 du 4.10.1988, p. 1; JO n· c 196 du 1.8.1989, p. 4; JO n· c 
7 du 12.1.1987, p. 334; JO n· C 12 du 16.1.1989, p. 66; JO n· C 12 du 
16.1.1989, p. 69. 
-9-
19. La recommandation de décision du Conseil concernant l'adhésion de la 
Communauté européenne à la Convention dy Conseil de l'Europe pour la 
protection des personnes à l'égard du traitement automatisé des données à 
caractère personnel constitue un des volets externes de l'approche de la 
Communauté en matière de protection des données à caractère personnel. 
L'adhésion à la Convention assurera, en effet, dans les relations entre la 
Communauté et les pays tiers QUI y seront parties, la protection des 
personnes concernées et la circulation transfrontlère des données à 
caractère personnel. 
20. La proposition de décision dy Conseil concernant l'adoption d'un plan 
d'action de deyx ans en matière de sécurité des systèmes d'Information 
complétera le dispositif visant à renforcer les droits des personnes à 
l'égard du traitement des données à caractère personnel. La sécurité de 
l'Information, c'est à dire la protection des données conservées, traitées 
et transmises sous forme électroniQue contre les menaces de toute nature 
(accidentel les ou volontaires) est essentielle pour l'exercice effectif des 
droits des personnes à l'égard des traitements de données à caractère 
personnel. C'est plus généralement une exigence primordiale pour la 
protection des biens et des personnes QUI, dans le contexte du déploiement 
des réseaux de télécommunications ouverts, nécessite le développement d'une 
stratégie globale, des actions concertées sur le plan communautaire dans le 
domaine des technologies, des normes et des procédures d'homologation et de 
test ainsi que des développements technologiques qui lmpl IQuent une 
collaboration au stade de la recherche et du développement précompétttlf. 
21. Le plan d'action proposé prévoit le développement d'un cadre 
stratégique pour la sécurité des systèmes d'Information, l'analyse des 
besoins en matière de sécurité, l'élaboration de solutions à certains 
besoins prioritaires, l'élaboration de specifications, normes et tests de 
validation, l'Intégration des développements technologiques et 
opérationnels en matière de sécurité des systèmes d'Information dans un 
cadre stratégiQue général et l'Intégration de certaines fonctions de 
sécurité dans les systèmes d'Information. 
-10-
PROPOSITION DE DIRECTIVE DU CONSEIL 
RELATIVE A LA PROTECTION DES PERSONNES 
A L'EGARD DU TRAITEMENT DES DONNEES 
A CARACTERE PERSONNEL SYN 287 
-11-
TABLE DES NAJIERES 
R6sum6 
EXPOSé des motifs 
1. Introduction 
11. La nécessité d'une protection dans la Communauté 
-La disparité des législations nationales 
et l'absence de protection équivalente 
-Conséquences de cette situation pour la Communauté 
Il 1. L'approche adoptée 
-Une protection équivalente dans la Communauté 
-Un haut niveau de protection 
IV. Examen des dispositions 
ProPosition de directive 
-12-
Résumé 
Cette proposition de directive a pour objet d'établir une protection 
équivalente de haut niveau dans tous les Etats membres de la Communauté 
afin d'él lmlner les obstacles aux échanges des données nécessaires au 
fonctionnement du marché Intérieur. Pour cela, les principes énoncés dans 
le projet de proposition de directive doivent être garantis par les Etats 
membres. Ces principes sont relatifs notamment aux conditions dans 
lesquelles un traitement de données à caractère personnel est légitime, aux 
droits de la personne concernée (droit à 1 'Information, droit d'accès, 
droit de rectification, droit d'opposition, etc ... ), aux quai ltés que 
doivent avoir les données (elles doivent être exactes, col lactées 
loyalement, enregistrées pour des final ltés déterminées et légitimes, 
etc ... ), à la création d'un Groupe de protection des données à caractère 
personnel qui consel 1 le la Commission sur les questions de protection des 
données. Le projet de proposition de directive couvre le secteur privé 
ainsi que le secteur publ le dont les activités relèvent du champ 
d'application du droit communautaire. Puisque toute personne bénéficiera 
dans chaque Etat membre d'une protection équivalente de haut niveau à 
l'égard du traitement de données à caractère personnel, les Etats membres 
ne pourront plus opposer des restrictions à la circulation de ces dernières 
dans la Communauté fondées sur la protection de la personne concernée. 
-13-
Exoosé des motifs 
1. INTRODUCTION 
Les préoccupations relatives à la protection des personnes à l'égard du 
traitement des données à caractère personnel, exprimées depuis ces quinze 
dernières années, sont suscitées à la fols par les posslbl lités offertes 
par les progrès techniques dans le domaine du traitement de 1' lnfo.rmat lon 
et par le recours de plus en plus fréquent au traitement de données à 
caractère personnel dans une multitude de domaines. Ces préoccupattons se 
sont manifestées dans différents cadres et ont animé un processus 
législatif dans plusieurs Etats membres. Au-delà du cadre national, la 
convention du Consel 1 de l'Europe du 28 janvier 1981 pour la protection des 
personnes à l'égard du traitement automatisé des données à caractère 
personnel est, actuel tement, le seul Instrument de droit International dans 
ce domaine. L'OCDE a établi des lignes directrices régissant la protection 
de Javie prlvée et les flux transfrontlères de données de caractère 
personnel dans une recommandation du 23 septembre 1980 et les Nations Unies 
sont également en train de le faire. 
Ces préoccupattons ont été aussi exprimées dans le cadre de la Communauté. 
Le Parlement européen a été ainsi amené à adopter dès 1976 plusieurs 
résolut lons<1 > dans lesquelles Il manifeste son Inquiétude à 1 'égard de 
cette question et Invite la Commission à préparer une proposition de 
directive visant à harmoniser les législations en matlère de protectt.on des 
données à caractère personnel. 
(1) JO n· c 100 du 3. 5. 1976. p. 27; JO n· c 140 du 5. 6. 1979, 
p. 34; JO n· c 87 du 5. 4. 1982, P. 39. 
-14-
La Commission, dans une recommandation du 29 jul 1 let 1981, soul lgnalt que 
cette protection a le caractère d'un droit fondamental et qu'l 1 est 
souhaitable qu'un rapprochement dans ce domaine soit élaboré dans tous les 
Etats membres. El le recommandait également aux Etats membres de ratifier, 
avant la fln de l'année 1982, la Convention du Conseil de 1 'Europe du 28 
Janvier 1981 relative à la protection des personnes à l'égard du traitement 
automatisé des données à caractère personnel. Toutefois, 11 était précisé 
que ••si dans un laps de temps raisonnable tous les Etats membres ne 
devalent pas signer et ratifier cette convention, la Commission se réserve 
le droit de proposer au Conseil d'arrêter un acte fondé sur le traité CEE". 
Le Consel 1 Européen de Strasbourg des 8 et 9 décembre 1989, dans le 
contexte des mesures en faveur de la 1 lbre circulation des personnes et de 
l'Europe des citoyens, a soulIgné la nécessité "de vel 11er à ce que les 
modal ltés de la coopération entreadmlnlstratlons garantissent préalablement 
la protection des citoyens face à l'utl 1 lsatlon des banques de données 
personnelles ... 
En dehors de ces prises de positions sur la nécessité d'une protection 
générale, 11 faut noter que cette préoccupation s'est aussi manifestée dans 
le cadre d'actions spécifiques ou sectoriel les de la Communauté, en 
partlcul 1er dans le domaine des nouvel les technologies de l'Information. 
Au regard de la situation actuel le dans le domaine du traitement des 
données à caractère personnel et des exigences de la construction 
communautaire, une directive visant à assurer une protection des personnes 
à J'égard de ce type de traitements devient Indispensable. 
Il. LA NECESSITE D'UNE PROTECTION DANS LA COMMUNAUTE 
La disparité des législations nationales et t'absen~~__p[Qtectlon 
éaulvalente dans la Communauté 
La protection des personnes à 1 'égard des données à caractère personnel 
fait l'objet d'une diversité d'approches dans les Etats membres. Cette 
-15-
diversité résulte, à la fols, du fait que certains Etats membres n'ont pas 
de législation spécifique dans ce domaine et, lorsqu'lis en ont, de leur 
contenu différent. 
Actuel lament, sept Etats membres disposent de législations spécifiques 
(Al Jamagne, Danemark, France, Irlande, Luxembourg, Pays-Bas, Royaume-Uni). 
Des travaux sont en cours dans certains autres Etats membres. 
SI l'objectif de ces législations nationales est le même, assurer la 
protection de la personne concernée, elles adoptent, toutefois, des 
solutions différentes en raison de la multiplicité des options possibles 
pour garantir une telle protection. Ainsi, par exemple, la couverture des 
fichiers manuels, la protection des personnes morales, les procédures 
préalables à la création de fichiers, l'étendue de l'obligation de 
notification, l'Information lors de la collecte des données, le traitement 
de données sensibles, le transfert vers d'autres pays, sont autant de 
questions qui peuvent faire l'objet d'une approche différente. En outre, 
les développements de la technologie peuvent conduire les Etats à réagir 
différemment et à accentuer ainsi cette disparité. 
La Convention du 28 Janvier 1981 du Conseil de l'Europe pour la protection 
des personnes à l'égard du traitement automatisé des données à caractère 
personnel n'a pas permis de limiter cette disparité dans la mesure où, 
d'une part, el le laisse ouvert un grand nombre d'options pour la mise en 
oeuvre des principes de base qu'elle définie et, d'autre part, elle n'a été 
ratifiée que par sept Etats membres (Allemagne, Danemark, Espagne, France, 
Irlande, Luxembourg, Royaume-Uni) dont un (Espagne) qui n'a toujours pas de 
législation Interne. La recommandation de la Commission du 29 Juillet 1981 
Invitant les Etats membres de la Communauté à ratifier la convention du 
Consel 1 de l'Europe n'a pas modJflé cette situation. 
En raison de la disparité des approches nationales, la protection des 
personnes à l'égard des traitements de données à caractère personnel n'est 
pas équivalente dans tous les Etats membres, le niveau de protection 
pouvant en effet varier d'un Etat à un autre. 
-16-
Conségyences de cette sltyatlon poyr la Communauté 
Dans la Communauté, une tel le situation soulève trots types de difficultés: 
-L'absence de législations nationales spécifiQues ou leurs lacunes ne 
correspondent pas à l'attachement de la Communauté au respect des droits 
fondamentaux tel QU'I 1 a été souligné dans la Déclaration commune du 
Parlement européen, du Conseil et de la Commission sur les droits 
fondamentaux du 5 avril 1977 et dans le troisième paragraphe du préambule 
de l'Acte uniQue européen. Au delà de ces textes, en droit communautaire, 
le respect des droits fondamentaux fait partie Intégrante des principes 
généraux du droit dont la Cour de justice des Communautés européennes 
assure le respect. 
-La circulation des données à caractère personnel, lorsQu'el le se fait 
dans le respect des droits de la personne concernée, apparatt comme une 
nécessité dans le cadre de l'établ lssement et du fonctionnement du marché 
Intérieur. En effet, compte tenu des développements techniQues dans le 
domaine du traitement de l'Information, notamment de la mise en place des 
réseaux de télécommunication numériques dans la Comunauté, la dimension 
transfrontlère des flux de données apparatt à trois niveaux: 
. L'utl 1 lsatlon des données à caractère personnel Intervient à de 
nombreux stades des activités économiQues. L'exercice de la libre 
circulation des marchandises, des personnes, des services et des 
capitaux nécessite Que des données à caractère personnel puissent être 
transmises entre les opérateurs ayant des activités transfrontlères . 
. Dans le processus d'Intégration communautaire, en partlcul ter dans le 
contexte de l'aboi ltlon des frontières, la coopération et la 
collaboration entre les administrations nationales sont amenées à 
s'Intensifier. Les administrations nationales sont appelées ainsi à 
remplir des tâches QUI relèvent d'une administration d'un autre Etat 
membre. Dans ce contexte la circulation des données devient une 
condition Indispensable du processus de coopération. Ainsi, les devoirs 
de collaboration ou d'Information QUI seront Imposés aux 
administrations par le droit communautaire nécessitent que, 
parallélement, la protection des personnes à l'égard des personnes 
concernées soit pleinement assurée. 
-17-
. Les échanges de données sont également nécessaires à la coopération 
scientifique. 
Ce besoin de permettre la circulation des données entre Etats membres se 
heurte actuellement à la disparité des approches nationales en matière de 
protection des personnes à l'égard des traitements de données à caractère 
personnel. Cette disparité peut, en effet, conduire un Etat membre à 
opposer des entraves à la circulation des données en Invoquant l'absence 
ou l'Insuffisance de la protection dans l'Etat de provenance ou de 
destination. 
-Cette disparité pourrait, également, dans certains cas, fausser Je jeu de 
la concurrence entre les opérateurs privés selon le degré de contraintes 
auxquelles Ils sont soumis dans leur pays. 
1 1 1 • L • APPROCHE ADOPTEE 
Une orotectlon éaujvalente dans la Communauté 
Af ln d'assurer à toute personne résidant dans la Communauté une .protect lon 
à l'égard des traitements de données à caractère personnel et de permettre 
la circulation de ce type de données entre les Etats membres, Il est 
nécessaire d'établir un niveau de protection équlvatent dans l'ensemble de 
la Communauté. Pour cela un rapprochement des législations s'avère 
Indispensable. Le programme de travail de la Commission pour 1990 mentionne 
d'al 1 leurs la protection des données comme dossier prioritaire dans le 
cadre de l'achèvement du marché lntérleurC1>. 
A cet égard, l'article 100 A du Traité fournit la base juridique appropriée 
dans la mesure où une protection équivalente de haut niveau est 
Indispensable à la réal lsatlon du marché Intérieur. L'achèvement et te 
fonctionnement du marché Intérieur, définis dans l'article 8 A comme "un 
espace sans frontières Intérieures dans lequel la 11bre circulation des 
marchandises, des personnes, des servlces,et des capitaux est assurée selon 
les dlsposlttons du présent Traité .. , nécessitent, pour les raisons déJà 
soulignées, un rapprochement des législations dans ce domaine. 
(1) Bull. CE Suppl. 1/90, page 18, 26 et 28. 
-18-
En élaborant la présente proposition, la Commission a tenu compte des 
exigences de l'article sc du traité CEE et a conclu que des dispositions 
spéciales ou des dérogations ne paraissent pas utl les ou justifiées au 
stade actuel. De même, la Commission a étudié le problème du niveau élevé 
de protection de la santé, de la sécurité, de l'environnement et des 
consommateurs requis par l'article 100A paragraphe 3 du traité CEE. 
Un haut nlyeau de protection 
L'objet des législations nationales dans ce domaine étant d'assurer une 
protection des droits fondamentaux, notamment le droit à la vie privée, un 
rapprochement de ces législations doit avoir pour objectif de garantir un 
haut niveau de protection. En dehors des adaptations Inhérentes à tout 
rapprochement de législations, celui-cl ne doit pas avoir pour conséquence 
de diminuer le niveau de protection déjà assuré dans les Etats membres. 
Les principes généraux énoncés dans la Convention du Consel 1 de 1 'Europe 
sont une référence à prendre en compte car Ils constituent déjà une base 
commune pour les pays l'ayant ratifiée. Ainsi tout en adoptant des 
solutions compatibles avec cel les de la Convention, la directive complète 
ces principes généraux afin d'établIr une protection équivalente de haut 
niveau. 
Un haut niveau de protection nécessite que la protection garantie par la 
directive ait une très large couverture et que soient visées toutes les 
situations dans lesquelles le traitement de données à caractère personnel 
comporte un risque pour les personnes concernées. Ceci expl lque que la 
directive vise aussi bien les fichiers manuels que automatisés, ainsi que 
les fichiers du secteur publ le et ceux du secteur privé. 
Les principes de la directive, notamment ceux relatifs à la légitimité des 
traitements, à la communication des données à des tiers, aux procédures de 
notifications, aux droits de la personne concernée, aux quai ltés des 
données, visent à assurer un haut niveau de protection en prenant comme 
référence les diverses solutions adoptées dans les législations nationales. 
-19-
De même, les moyens d'assurer, au-delà des mécanismes habituels de contrôle 
de l'appl lcatlon du droit communautaire, une appl lcatlon effective des 
dispositions de la directive ont fait l'objet d'une attention partlcul Ière. 
Ainsi, les dispositions relatives à la responsabilité et à l'établissement 
d'un Groupe de protection des données à caractère personnel procèdent de ce 
soue 1. 
Les principes de la directive pourront, le cas échéant, être complétés. La 
directive prévoit à cet effet dans plusieurs dispositions Que les Etats 
membres peuvent apporter des précisions pour les fichiers QUI sont soumis à 
leur législation. Des mesures complémentaires pourront être également 
nécessaires pour l'appt lcatlon de certains principes généraux à des 
secteurs présentant des spécificités Importantes. 
IV. EXAMEN DES DISPOSITIONS 
CHAPITRE 1 
Dispositions générales 
Article premier 
Objet de la directive 
Cet article prévoit Que les Etats membres ont l'obi lgatlon d'assurer la 
protection des personnes à l'égard des traitements de données à caractère 
personnel en appliQuant les dispositions de la directive. Etant donné Que, 
en vertu de la présente directive, la protection est assurée selon les 
mêmes principes dans tous les Etats membres et est donc éQuivalente, ceux­
cl ne peuvent plus restreindre, pour les domaines couverts par la 
directive, la circulation des données pour des motifs relatifs à la 
protection de la personne concernée. La protection des personnes et la 
circulation des données ne sont toutefois garanties en vertu de la 
-20-
directive Que pour les domaines couverts par cel le-cl. Ainsi, les fichiers 
détenus à des fins privées ou ceux des associations sans but lucratif ne 
peuvent pas donner 1 leu à l'appl lcatlon des dispositions du présent article 
dans la mesure où l'article 3 paragraphe 2 les exclut du champ 
d'appl lcatlon de la directive. 
Article 2 
Définitions 
Cet article a pour objet de définir les principales notions ut li lsées dans 
la directive. Les définitions reprennent cel les de la convention 108 du 
Consel 1 de l'Europe en y apportant toutefois les adaptations et les 
précisions nécessaires pour garantir une protection éQuivalente de haut 
niveau dans la Communauté. 
a) "Donnée à caract~re personnel". Comme dans la convention 108, une 
définition large est adoptée afin de couvrir toutes les Informations 
QUI peuvent être rel lées à une personne. En effet, selon la final lté de 
son utl 1 lsatlon toute donnée relative à une personne, même apparemment 
Inoffensive, peut avoir un caractère sensible (comme une simple adresse 
postale par exemple). Afin d'éviter Que des moyens d'Identification 
Indirecte permettent de contourner cette définition, 11 est précisé 
QU'est considérée comme Identifiable une personne QUI peut etre 
Identifiée par référence à un numéro ou une Information de ce type. 
b) "Rendre anonyme". Cette notion a pour objet de permettre l'exclusion 
des données QUI ne sont plus Identifiables de l'appl lcatlon de 
certaines dispositions de la directive. Une donnée peut être considérée 
comme rendue anonyme même si théoriQuement el le pourrait être de 
nouveau personnal lsée par des moyens techniQues et financiers 
disproportionnés. 
-21-
c) "Fichier de données à caract~re personnel". La définition est fondée 
sur le crlt~re de la posslbl lité d'acc~s aux données à caract~re 
personnel, soit au moyen d'un traitement manuel consistant en une 
col lect lon de données structurées, soit au moyen d'un traitement 
automatisé qui peut permettre le regroupement de données disséminées ou 
d'extraire des données d'un texte Intégral selon un mode de 
consultation qui correspond à celui d'un fichier. 
La définition couvre ainsi les fichiers mécanographiques et manuels 
structurés. Les dossiers Individuels, en particulier les dossiers 
administratifs, qui ne contiennent pas une collection structurée de 
données à caract~re personnel ne sont pas visés en raison des 
législations spécifiques et diverses les concernant dans les Etats 
membres. 
d) "Traitement". En énumérant les principales actions de traitement, cette 
définition adapte cel le de la convention au champ d'appl lcatlon plus 
large de la notion de fichier. Les opérations d'Interconnexion des 
données sont visées car el les permettent d'élaborer de nouvelles 
données (profl 1 électronique par exemple). La référence au verroul 1 lage 
concerne le cas des données dont l'acc~s est bloqué au delà des mesures 
de sécurité normales sans toutefois que cela équlval 1 le à leur 
effacement. 
e) "Responsable du fichier". La notion de "mattre du fichier" de la 
convention est adaptée de deux manl~res : d'une part, en faisant 
référence au droit communautaire afin de viser le cas où des directives 
spécifiques contiennent des dispositions matériel les relatives à la 
protection des données à caract~re personnel; d'autre part, en 
précisant que celui qui autorise la consultation, notamment en cas 
d'Interrogation directe, est le responsable du fichier. 
f) "Autorité de contrôle". Cette définition souligne que 1 'autorité doit 
être Indépendante et renvoie â l'article 26 qui précise les fonctions 
de l'autorité de contrôle. 
-22-
g) et h) 
"Secteur public" et "secteur prlvâ". Les dâflnltlons du secteur public 
et du secteur prlvâ se Justifient dans la directive car certaines de 
ses dispositions sont spécifiques à l'un ou l'autre des secteurs 
(chapitre 11 et 1 Il relatifs à la légitimité des traitements de données 
à caractère personnel dans le secteur publ le et dans le secteur privé). 
Ces définitions se fondent sur la nature du service fourni par 
l'organisme concerné, quel que soit le statut privé ou publ le de celui­
cl. Selon qu'il exerce des activités commerciales ou des missions de 
service publ le, l'organisme devra appliquer les règles spécifiques au 
secteur privé ou au secteur publ le. 
Article 3 
Champ d'application 
La directive s'appl lque à tous les fichiers dont les responsables relèvent 
du secteur privé ou du secteur public. En effet, pour ce dernier, 
l'accomplissement de nombreuses activités administratives nécessite, en 
vertu du droit communautaire, une coopération entre les administrations des 
Etats membres. Toutefois ne sont pas visés les fichiers du secteur publ le 
dont les activités ne relèvent pas du champ d'appl lcatlon du droit 
communautaire. Ceci concerne le cas des fichiers ut li lsés exclusivement 
pour des activités ne pouvant être rattachées au champ d'appl lcatlon du 
droit communautaire (comme les services secrets). 
Le paragraphe 2 prévoit deux exclusions qui se justifient par le fait que 
des atteintes à la vie privée sont peu susceptibles de se produire soit 
parce qu'l 1 s'agit d'une ut li lsatlon de données à des fins totalement 
privées, comme l'agenda électronique personnel par exemple, soit parce 
qu'li s'agit des registres de membres d'une association dont leur 
consentement à y figurer peut être présumé de leur simple adhésion et parce 
que les Informations contenues dans ce registre ne sont pas transmises à 
des tiers. 
-23-
Article 4 
Droit applicable 
Cet article fixe les critères de rattachement qui déterminent l'application 
dans chaque Etat membre des dlsposltons de la présente directive. 
Le choix des critères, dans le paragraphe 1, est animé par le souel 
d'éviter que la personne concernée ne soit soustraite de toute protection, 
en partlcul 1er du fait d'un contournement de législation. Ainsi le critère 
factuel du lieu de local lsatlon du fichier a été adopté. A cet égard, 
chaque partie d'un fichier multl localisé ou réparti dans plusieurs Etats 
membres doit être considérée comme un fichier à part entière. 
Le même souel de protection de la personne concernée en cas de 
délocal lsatlon est à l'origine d'une disposition qui Impose à l'utll lsateur 
qui consulte un fichier local lsé dans un pays tiers à partir d'un terminal 
localisé dans un Etat membre de respecter les dispositions de la directive 
relatives à la légitimité des traitements, à l'Information de la personne 
concernée en cas de communication des données, aux données sensibles, à la 
sécurité des données et à la responsabll lté. Cette obi lgatlon s'appt lque en 
dehors des cas où une tel le utl 1 lsatlon n'est que sporadique. 
Compte tenu de la facl 1 lté de déplacement des fichiers, le déplacement 
temporaire d'un fichier ne constitue pas un changement de local lsatlon. Le 
déplacement de supports dans lesquels sont enregistrées les données ne doit 
pas provoquer de nouvel les formalités par rapport à celles qui ont été 
satisfaites dans l'Etat de local lsatlon permanente. 
Cet article a également pour objectif d'éviter les cas de cumul des lois 
a pp 1 1 cab 1 es. 
-24-. 
CHAPITRE Il 
Légitimité du traitement dans le secteur public 
Les données à caractère personnel ne peuvent faire l'objet d'un traitement 
que si celui-cl est légitime. Ce chapitre, comme le chapitre Il 1, précise 
les conditions dans lesquelles un traitement est légitime. La source de la 
légitimité se trouve, selon les cas, dans le consentement de la personne 
concernée, dans une disposition de la directive ou de droit communautaire, 
dans un acte légal national. 
Article 5 
Principes 
Cet article prévoit que l'établissement d'un fichier du secteur publ le et 
tout autre traitement de donnée ne sont légitimes que si cela est 
nécessaire pour l'exécution des missions de l'autorité publique responsable 
du fichier. 
Quatre cas sont prévus où le traitement de donnée peut être effectué pour 
une autre final lté que cel le pour laquelle le fichier a été établ 1: s'l 1 y 
a consentement de la personne concernée, si le traitement est fondé sur une 
base légale, si, après avoir fait une balance des Intérêts en présence, 11 
apparatt qu'un Intérêt légitime de la personne concernée ne s'y oppose pas, 
et, enfin, en cas de menace Imminente pour l'ordre publ le ou une atteinte 
sérieuse au droit d'autrui. 
Ces principes ne concernent pas le cas spécifique de la communication des 
données à des tiers qui fait l'objet des dispositions de l'article 6. 
Article 6 
Traitement dans le secteur public ayant pour objet la communication de 
données à caractère personnel 
-25-
Une disposition spécifiQue pour la communication des données à des tiers 
est nécessaire dans la mesure où ce type de traitement fait courir le plus 
grand risQue pour la personne concernée. Le paragraphe prévoit deux cas 
dans lesQuels les données peuvent être communiQuées à des tiers selon Que 
le destinataire relève du secteur publ le ou du secteur privé. Dans le 
premier cas la communication doit être nécessaire à 1 'exercice des 
fonctions de l'administration QUI demande ou QUI communiQue ces données, 
dans le second, une balance des Intérêts doit être faite afin de déterminer 
si le demandeur Justifie d'un Intérêt légitime et si l'Intérêt de la 
personne concernée ne prévaut pas. 
Les Etats membres ont la posslbl 1 lté de préciser dans leur législation les 
conditions de légitimité de la communication dans les 1 Imites des deux 
principes énoncés cl-dessus. Les précisions pourront consister, par 
exemple, à définir dans certains domaines dans Quel cas l'Intérêt de la 
personne concernée prévaut. 
Afin de s'assurer Que la posslbl lité de communication au secteur privé ne 
se fasse pas au détriment des Intérêts de la personne concernée, une 
procédure d'Information de cel le-cl est prévue. Toutefois, une dérogation à 
cette obi lgatlon est possible si el le est autorisée par l'autorité de 
contrôle. Cel le-cl peut l'assortir de conditions ou décider d'Informer 
el le-même la personne concernée. 
Article 7 
Obi lgatlon de notification à l'autorité de contrôle 
L'obligation, prévue dans cet article, de notification dans un registre 
tenu par l'autorité de contrôle se 1 Imite aux fichiers du secteur publ le 
dont les données sont susceptibles d'être communiQuées. Cette solution vise 
à permettre le minimum de transparence nécessaire à 1 'exercice des droits 
de la personne concernée tout en allégeant les formai ltés préalables QUI 
-26~ 
pourraient constituer une charge très lourde pour l'autorité de contr61e, 
notamment en raison de la notion large de fichier. Les Etats membres ont la 
posslbll lté, toutefois, d'étendre l'obligation de notification à d'autres 
fichiers du secteur public. 
CHAPITRE 111 
Légitimité du traitement dans le secteur privé 
Article 8 
Principes 
La légitimité du traitement de données à caractère personnel dans le 
secteur privé peut être fondée sur le consentement de la personne 
concernée. Ce consentement doit être exprimé en conformité avec les 
dispositions des articles 12 relatif au consentement Informé et 13 relatif 
à l'Information lors de la collecte. 
En l'absence de consentement de la personne concernée, la légitimité du 
traitement peut être fondée sur l'existence d'une relation de type 
contractuel entre le responsable du fichier et la personne concernée dans 
la mesure où le traitement est nécessaire à la réal lsatlon du contrat (par 
exemple, traitement des commandes ou facturation). 
La légitimité du traitement peut être fondée également sur le fait que les 
données proviennent de sources généralement accessibles au publ le 
(annuaires accessibles au publ le) dans la mesure où le traitement est 
uniquement destiné à la correspondance. 
Enfin, la légitimité du traitement peut être fondée sur une balance 
d'Intérêts qui révèle que le responsable du fichier a un Intérêt légitime 
et que la personne concernée n'a pas un Intérêt qui prévaut. 
) 
~ 
1 
~ 
\ 
~27-
La communication de données n'est légitime que si el le est compatible avec 
la final lté du fichier tel le qu'el le doit être notifiée (article 11 § 2), 
et respectée lors de 1 'enregistrement des données (article 16 § 1 b). En 
cas de communication le responsable du fichier est soumis en outre à une 
obi lgatlon d'Informer la personne concernée décrite dans les articles 9 et 
10. Les Etats membres ont la posslbll lté de préciser dans leur législation 
les conditions de légitimité dans les 1 Imites des principes énoncés cl­
dessus. Les précisions pourront consister, par exemple, à définir dans 
certains domaines dans quel cas l'Intérêt de la personne concernée prévaut. 
Article 9 
Obi lgatlon d'Information de la personne concernée 
Afin de permettre à la personne concernée d'exercer ses droits, le 
paragraphe premier obi Ige le responsable du fichier d'Informer la personne 
concernée que des données la concernant ont été communiquées. La personne 
concernée peut ainsi exercer son droit d'accès et s'opposer à la poursuite 
du traitement en cause. L'obi lgatlon d'Informer la personne concernée ne 
s'appt lque pas dans le cas où les données proviennent de sources 
généralement accésslbles au publ le et leur traitement est uniquement 
destiné à la correspondance. 
Article 10 
Exceptions partlcul lêres à l'obi lgatlon d'Informer la personne concernée 
Cet article donne la posslbl lté aux Etats membres de prévoir dans leur 
législation que dans les cas où l'information de la personne concernée se 
heurte à des difficultés pratiques majeures ou à des Intérêts légitimes 
prédominant du responsable du fichier ou à un Intérêt slml laire d'un tiers, 
1 'autorité de contrôle peut, dans les 1 Imites de la législation qui J'y 
autorise, autoriser sur demande du responsable du fichier une dérogation à 
l'obi lgatlon d'Informer la personne concernée. L'autorité de contrôle peut 
préciser, dans les 1 Imites de la législation qui 1 'y autorise, les 
conditions de la dérogation et décider d'Informer el le-même la personne 
concernée. 
-28-
Le cas de difficultés pratiques majeures vise par exemple les données 
relatives à des personnes dont 1 'adresse personnelle n'est pas connue. 
Article 11 
Obi lgatlon de notification à l'autorité de contrôle 
Pour les mêmes raisons que celles qui ont motivé l'obligation de 
notification dans le secteur publ le (article 7), l'obi lgatlon de 
notification dans le secteur privé ne s'appl lque pas aux fichiers dont les 
données ne sont pas destinées à être communiquées ou qui proviennent de 
sources généralement accessibles au public. La notification doit être mise 
à jour si le fichier change de final lté. 
Les Informations à notifier doivent donner les éléments nécessaires au 
contrôle du respect des dispositions de la présente directive (au moins le 
nom et l'adresse du responsable du fichier, la final lté du fichier, une 
description des types de données qu'l 1 contient, les tiers auxquels les 
données sont susceptibles d'être communiquées et une description des 
mesures de sécurité). Les Etats membres peuvent étendre le champ 
d'appl lcatlon de l'obi lgatlon de notification. 
CHAPITRE IV 
Droits de la personne concernée 
Article 12 
Le consentement Informé 
Cet article énonce les règles à respecter pour que le consentement de la 
personne concernée pour un traitement de données la concernant, aussi bien 
dans le secteur public que privé, soit légalement valable. 
-29-
Le consentement de la personne concernée pour le traitement des données la 
concernant est un élément Important de la llcélté du traitement de données 
à caractère personnel par le responsable du fichier. Le terme 
"consentement" utl 1 lsé à l'article 12 désigne un "consentement Informé". 
Pour permettre à la personne concernée d'apprécier les risques et les 
avantages du traitement des données la concernant et d'exercer ses droits 
en vertu de l'article 14 du projet de directive (rectification effacement 
verroull lage), le responsable du fichier doit communiquer à la personne 
concernée les Informations dont cel le-cl a besoin pour prendre une 
décision, par exemple le nom et l'adresse du responsable, l'objet du 
fichier, les données enregistrées, etc. 
En ce qui concerne la forme du consentement, le projet de directive ne 
prévoit pas que le consentement de la personne concernée doit être donné 
par écrit. Cependant, l'accord doit être exprès. 
Le consentement de la personne concernée doit être spécifique, c'est-à-dire 
qu'li doit avoir trait au traitement des données relatives à la personne 
concernée par un responsable déterminé d'un fichier et pour des final ltés 
déterminées. En outre, l'accord doit préciser les types de données 
traitées, les formes de traitement et les destinataires éventuels en cas de 
transfert de données à des tiers. 
En vertu de l'article 12 al lnéa c), la personne concernée a le droit de 
retirer son consentement à tout moment. La révocation n'a toutefois pas 
d'effets rétroactifs, car sinon un traitement de données à caractère 
personnel précédemment licite deviendrait Il légal rétroactivement. 
Article 13 
L'Information de la personne concernée lors de la collecte 
Une bonne protection des données passe par l'Information complète de la 
personne concernée sur le traitement des données à caractère personnel la 
-30-
concernant, non seulement lorsQue ces données sont déJà enregistrées et 
traitées dans un fichier, mals à un stade antérieur au traitement des 
données, c'est-à-dire lors de la collecte des Informations à caractère 
personne 1. 
En vertu de l'article 16 paragraphe 1 alinéa a), les données doivent être 
rassemblées loyalement et licitement. Cette règle est précisée à l'article 
13 dans le cas où les données sont obtenues auprès de la personne concernée 
elle-même. 
Pour QUe la collecte des données soit loyale et 1 lclte, Il faut Que la 
personne concernée puisse décider de communiQuer ou de ne pas communiQuer 
les données la concernant en s'appuyant sur des Informations fiables en ce 
QUI concerne les finalités du traitement, 1 'Identité du responsable du 
fichier et le caractère légalement obi lgatolre ou simplement facultatif de 
la communication des données. Pour QUe la personne concernée puisse faire 
valoir ses droits en vertu de l'article 14 du projet de directive et 
contrôler effectivement l'utll lsation des données la concernant, elle doit 
également être Informée au sujet de son droit d'accès et de rectification 
et des destinataires des données. 
L'article 13 paragraphe 1 fait obi lgatlon aux Etats membres de prévoir, 
dans leur législation nationale relative à la protection des données, Que 
la personne concernée a le droit d'obtenir ces Informations. 
FréQuemment, les personnes QUI assurent la collecte de données ne sont pas 
les responsables du fichier dans leQuel les données seront ultérieurement 
enregistrées et traitées. Pour Que la personne concernée puisse faire 
valoir ses droits auprès de ce responsable, 11 Importe Qu'el le soit 
Informée de son nom et de son adresse dès le moment de la collecte des 
données. 
L'article 13 paragraphe 2 donne aux Etats membres le pouvoir d'apporter des 
restrictions à 1 'obi lgatlon d'Informer la personne concernée lors de la 
collecte de données pour des considérations supérieures 1 lées à 1 'Intérêt 
-31-
g~n~ral. En vertu de cette disposition, 11 n'est pas obi lgatolre de 
communiQuer à la personne concern~e les Informations IndiQuées à l'article 
13 paragraphe 1 si cette communication empêche l'exercice des fonctions des 
autorités publIQues chargées de tâches de contrôle et de vérification, ou 
du maintien de 1 'ordre publ le. 
Article 14 
Droits complémentaires de la personne concernée 
L'article 14 porte sur les droits de la personne concernée vis-à-vis du 
responsable du fichier. La protection des données ayant pour objet de 
sauvegarder le droit à l'Intimité de la vie privée, les droits de la partie 
concernée à l'égard du responsable du fichier constituent un élément 
fondamental de la protection des données. 
Aux termes de 1 'article 14 paragraphe 1, la personne concernée a le droit 
de s'opposer, pour des raisons légitimes, à ce Que des données la 
concernant fassent 1 'objet d'un traitement. Les raisons légitimes visées 
dans cette disposition sont l'absence d'une justification légale d'un 
certain traitement des données à caractère personnel, par exemple parce Que 
les conditions prévues aux chapitres 11 et 111 du projet de directive 
concernant la légitimité de ce traitement ne sont pas rempl les pour un 
traitement de données déterminé. 
L'article 14 paragraphe 2 donne le droit à la personne concernée de ne pas 
être soumise à des décisions la concernant prises par les Institutions 
publIQues ou privées QUI lmpl IQuent une appréciation de son comportement 
QUI ait pour seul fondement un traitement automatisé de données à caractère 
personnel QUI donne une définition du profil ou de la personnal lté de 
l'Intéressé. Cette décision vise à protéger le droit de la personne 
concernée à participer au processus de prise de décisions QUI ont de 
1 'Importance pour el le. L'util lsatlon de prof! ls de données détaillées sur 
les partlcul lers par de puissantes Institutions publIQues et privées enlève 
aux partlcul lers la capacité d'Influencer les processus décisionnels dans 
ces Institutions, si les décisions sont prises sur le seul fondement de 
leur profl 1 de données. 
-32-
Pour que la personne concernée puisse faire valoir efficacement ses droits 
à rectification, effacement ou verroull lage de données vis-à-vis du 
responsable du fichier, Il est essentiel qu'el le ait accès aux données 
contenues dans le fichier, droit qui lui est reconnu par l'article 14 
paragraphes 3 et 4. L'article 14 paragraphe 3 accorde à la personne 
concernée le droit d'être Informée des faits pertinents concernant le 
traitement de ses données personnelles par le responsable du fichier, de 
façon à pouvoir faire valoir son droit de rectification, d'effacement et de 
verrouillage et exercer un contrôle effectif sur le traitement des données 
à caractère personnel la concernant. L'article 14 paragraphe 4 donne à la 
personne concernée le droit d'obtenir, à des lnterval les raisonnables, sans 
délais ou frais excessifs, la confirmation de l'existence ou non dans le 
fichier de données la concernant et, si de tel les données figurent dans le 
dossier, la communication de ces données sous une forme lntell lglble. 
Les dispositions de l'article 14 paragraphes 3 et 4 laissent aux Etats 
membres le soin de décider de la façon dont ces Informations sont 
transmises à la personne concernée. 
En outre, la déflnlton de l'expression "Intervalles raisonnables" est 
laissée au droit national des Etats membres. Compte tenu des Intérêts de la 
personne concernée et du responsable du dossier, le droit national des 
Etats membres peut prévoir que le responsable du dossier ne réclame à la 
personne concernée qui fait valoir son droit d'accès que le paiement des 
coQts qui en résultent et qui ne doivent pas être excessifs. 
L'article 14 paragraphe 4 autorise les Etats membres à prévoir une règle 
partlcul Ière pour 1 'exercice du droit d'accès de la personne concernée dans 
le cas des données à caractère médical. Pour protéger la personne 
concernée contre des chocs psychologiques; qui peuvent entratner dans des 
cas extrêmes des actes suicidaires, ces Informations peuvent lui être 
communiquées par un médecin. 
L'article 14 paragraphe 5 du projet de directive accorde à la personne 
concernée le droit de rectification, effacement ou de verrou! 1 lage des 
données si te traitement de ces données est Incompatible avec les 
dispositions du projet de directive. 
-33-
Les personnes concernées peuvent demander la rectification si les données 
les concernant sont Incorrectes, Incomplètes, Inexactes, trompeuses ou 
dépassées. Le droit de la personne concernée d'obtenir l'effacement ou le 
verroul liage des données présuppose Que ces données aient été traitées en 
violation des dispositions du projet de directive. A cet égard, l'article 
14 paragraphe 5 vise toutes les dispositions du projet de directive QUI 
réglementent la collecte, l'enregistrement, le traitement et l'utl llsatlon 
de données à caractère personnel. 
La notion de verroul 1 lage tire son origine de la loi fédérale allemande 
concernant la protection des données (articles 14, 27 et 35: Sperrung). SI 
les données sont verroull lées parce qu'el les ont été col lactées, 
enregistrées, traitées ou utl llsées en violation des dispositions du projet 
de directive, le responsable du fichier peut les y conserver, mals 11 lui 
est Interdit de les traiter ou de les utl liser et en particulier de les 
communiquer à des tiers. Les données verroul 1 lées doivent être signalées 
comme tel les dans le fichier, pour que 1 'utl 1 lsateur de celui-cl soit 
Informé du verroul 1 lage. 
La rédaction du proJet de directive ("le cas échéant") laisse au 
législations des Etats membres relatives à la protection des données le 
soin de définir précisément les droits de la personne concernée d'obtenir 
l'effacement, le verroul 1 lage ou la rectification en fonction des 
différentes situations dans lesquelles des données à caractère personnel 
sont traitées et utl 1 lsées en violation des dispositions du projet de 
directive. 
11 arrive fréquemment que des données soient non seulement traitées par le 
responsable du fichier mals également communiquées à des tiers. SI le 
responsable du fichier doit corriger, effacer ou verroul 11er des données 
parce qu'el les sont Incorrectes ou traitées ou utl llsées de façon 
11 légitime, 11 est dans l'Intérêt de la personne concernée que les tiers 
auxquel ces données ont été transmises soient avisés de la rectification, 
de 1 'effacement ou du blocage, de façon à ce qu'l ls puissent également 
rectifier, effacer ou verroul 11er les données. Cet Intérêt de la personne 
concernée trouve son expression dans l'article 14 paragraphe 7. 
-34-
L'article 14 paragraphe 6 accorde à la personne concernée le droit 
d'obtenir l'effacement des données la concernant enregistrées dans des 
fichiers constitués à des fins de prospection commerciale ou de publicité 
directe. La personne concernée peut donc se protéger contre des 
correspondances publicitaires non soli lcltées. 
Enfin, en vertu de l'article 14 paragraphe 8, les Etats membres sont tenus 
de prévoir pour la personne concernée un recours juridictionnel efficace au 
cas où le responsable du fichier ou une autre personne passe outre aux 
droits de la personne concernée qui sont énoncés à l'article 14 du projet 
de directive. 
Article 15 
Exceptions au droit d'accès de la personne concernée aux fichiers du 
secteur public 
L'article 15 autorise les Etats membres à limiter le droit de la personne 
concernée à avoir accès au fichier, lorsqu'l 1 s'agit de sauvegarder 
l'Intérêt général supérieur ou des Intérêts de partlcul lers équivalant au 
droit à la vie privée de la personne concernée, dans la mesure où les 
données sont conservées dans des fichiers du secteur publ le. Le projet 
laisse aux Etats membres le soin de décider de la mesure dans laquelle 1 ls 
Incorporent dans la législation nationale concernant la protection des 
données des exceptions reposant sur l'article 15. Cependant, les exceptions 
prévues dans cette disposition se 1 Imitent à cel les qui sont nécessaires à 
la protection de valeurs Importantes dans une société démocratique et 
doivent être prévues par une loi. L'énumération des Intérêts qui justifient 
une 1 Imitation du droit d'accès en vertu de l'article 15 du projet de 
directive a un caractère exhaustif. 
L'expression "sQreté de l'Etat" vise la protection de la souveraineté 
nationale contre les menaces Internes et externes. 
-35~ 
Les mots "poursuites p~nales" se rapportent aux poursuites relatives aux 
crimes et d~l lts QUI ont d~jà ét~ commis, tandis QUe la notion de "sécurité 
publiQue" englobe toutes les fonctions de pol lee des organes de l'Etat, y 
compris la prévention de la crlmlnal lt~. L'expression "lnt~rêt économiQue 
et financier s~rleux d'un Etat membre ou de la Communauté" d~slgne tous les 
moyens de pol ltiQue ~conomiQue et de financement des pol ltiQues d'un Etat 
membre ou de la Communauté, par exemple les contrôles de change, les 
contrôles relatifs au commerce extérieur ou la perception des Impôts. 
Toutefois, seul un lnt~rêt sérieux de ce type justifie la 1 Imitation du 
droit d'accès. 
Enfin, l'Intérêt d'un tiers éQuivalant au droit d'accès de la personne 
concernée et les droits et 1 lbertés d'autrui sont consld~rés comme des 
justifications de la 1 Imitation du droit d'accès. 11 s'agit Ici d'Intérêts 
tels QUe des secrets commerciaux d'autres parties ou de la 1 lberté de la 
presse. 
SI la personne concernée se volt refuser 1 'accès aux données la concernant 
conservées dans un fichier parce Qu'un Intérêt vis~ à l'article 15 
paragraphe 1 est en cause, l'autorité responsable de la protection des 
données est tenue, à la demande de 1 'Intéressé, de procéder à l'Inspection 
et au contrôle nécessaires en ce QUI concerne le fichier dans leQuel les 
données en cause sont conservées. 
L'article 15 paragraphe 3 autorise les Etats membres à 1 Imiter le droit 
d'accès pour les données compl lées temporairement afin d'y extraire des 
Informations statistiQues, dans la mesure où ces activités ne représentent 
Qu'un risQue mineur pour la personne concernée. 
-36-_ 
CHAPITRE V 
Qualité des données 
Les principes de protection des données énoncés dans ce chapitre vont plus 
loin que ce qu'Indique son titre: 1 ls ont trait non seulement à la qualité 
des données (article 16) mals également au traitement de certaines 
catégories de données, qui sont jugées particulièrement sensibles pour la 
personne concernée (article 17), et aux mesures appropriées en matière de 
sécurité des données (article 18). 
Article 16 
Principes 
En vertu de l'article 16 du projet de directive, les Etats membres sont 
tenus de faire figurer les principes de base relatifs à la quai lté des 
données à caractère personnel dans leur législation concernant la 
protection des données. Ces principes doivent assurer le respect du droit à 
la vie privée de la personne concernée, en Imposant certaines restrictions 
à la collecte et au traitement de données à caractère personnel, ainsi 
qu'au contenu des fichiers de données à caractère personnel. 
L'article 16 paragraphe 1 alinéa a) prévoit que la collecte et le 
traitement de données à caractère personnel doivent être effectués 
loyalement et 1 lcltement. 
Cette disposition vise le traitement de données à caractère personnel, 
telle que cette notion est définie à l'article 2 al lnéa d), ainsi que sa 
collecte. 
La règle énoncée à l'article 16 paragraphe 1 al lnéa a) exclut notamment 
l'utl 1 lsatlon d'apparel ls cachés permettant d'obtenir des données 
subrepticement et à 1 'Insu de la personne concernée, notamment par des 
écoutes téléphoniques et autres, etc. Cette disposition Interdit également 
aux responsables de fichiers de mettre en place et d'utl 1 lser des fichiers 
clandestins contenant des données à caractère personnel. 
-37-
L'article 16 paragraphe 1 alinéa b) énonce le principe de la détermination 
de la final lté de l'enregistrement des données. Selon ce principe, des 
données à caractère personnel ne peuvent être conservées Que pour des 
final ltés déterminées, expl Jettes et légitimes. 
L'objet de l'enregistrement de données à caractère personnel doit être 
déterminé, c'est-à-dire Que le but de l'enregistrement et de l'utl 1 lsatlon 
des données doit être défini et spécifié de façon aussi précise Que 
possible. Une définition ou description générale ou vague de l'objet d'un 
fichier ("à des fins commerciales", par exemple) n'est pas conforme au 
principe de la définition de la final lté énoncée à 1 'article 16 paragraphe 
1 al lnéa b). 
11 y a 1 leu de spécifier la final lté avant l'enregistrement des données. 
Dans le cas où les données sont col lactées auprès de la personne concernée, 
l'article 13 prévoit Que la finalité doit déjà être déterminée au moment où 
la collecte des données a 1 leu. 
Une modification ultérieure de la final lté d'un traitement n'est légitime 
QUe dans la mesure où el le n'est pas Incompatible avec la final lté 
Initiale. 
L'article 16 paragraphe 1 al lnéa b) oblige également le responsable du 
fichier à IndiQuer la final lté de la conservation et de l'enregistrement 
des données. Cette obi lgatlon de divulgation vise à empêcher 
l'enregistrement et l'utl llsatlon de données à caractère personnel dans des 
buts cachés. 
Dans la mesure où la final lté de la conservation et de l'utl 1 lsatlon de 
données à caractère personnel doit être légitime, les final ltés 
potentiel les d'un fichier sont 1 Imitées. Un tel fichier ne peut être créé 
et utl llsé Que dans des buts compatibles avec les dispositions du projet de 
directive et des législations nationales des Etats membres. En outre, sont 
seules légitimes les final ltés QUI correspondent aux fonctions 
administratives des responsables du fichier dans le secteur public et au 
-38-
domaine d'activités commerciales des responsables de fichiers dans le 
secteur privé. L'article 16 paragraphe 1 al lnéa b) IndiQue clairement Que 
le principe de la détermination de la final lté ne s'applIQue pas uniQuement 
au traitement des données à caractère personnel: 11 faut en outre Que ces 
données soient compatibles avec la finalité du fichier. 
L'article 16 paragraphe 1 al lnéa c) stipule Que les données figurant dans 
un fichier doivent être adéQuates, pertinentes et non excessives par 
rapport aux final ltés pour lesQuelles elles sont enregistrées. Ce principe 
vise à faire en sorte Que le contenu d'un fichier soit conforme à sa 
finalité. 
Les dispositions de l'article 16 paragraphe 1 al lnéa d) sont étroitement 
1 lées à cel les de l'article 16 paragraphe 1 al lnéas b) etc). Les données 
enregistrées dans un dossier doivent être exactes et, si nécessaire, mises 
à Jour. Au cas où des données sont Inexactes ou Incomplètes eu égard à la 
final lté du fichier, l'article 16 paragraphe 1 al lnéa d) prévoit Qu'el les 
doivent être effacées ou rectifiées. 
L'article 16 paragraphe 1 al lnéa e) a trait à la durée maximale de 
conservation de données à caractère personnel. Selon cette disposition, la 
conservation de données sous une forme permettant l'Identification des 
personnes concernées n'est autorisée Que pendant la période QUI semble 
nécessaire pour atteindre le but dans lequel les données ont été 
enregistrées. 
Dans certains cas, cependant, 11 est nécessaire, à des fins statistiques 
par exemple, que les données soient conservées plus longtemps. Dans cette 
hypothèse, 11 est essentiel pour la protection de la personne concernée 
d'él lmlner tout 1 len entre son nom et les autres données. 
L'article 16 paragraphe 2 fait obi lgatlon au responsable du fichier 
d'assurer le respect des dispositions relatives à la quai lté des données 
énoncées à 1 'article 16 paragraphe 1. 
-39-
Article 17 
Catégories particulières de données 
11 est communément admis que le droit à la vie privée n'est pas mis en 
péri 1 par les données à caractère personnel elles-mêmes, mals que des 
dangers peuvent résulter du contexte dans lequel le traitement da données à 
caractère personnel a 1 leu. Cependant, les Etats membres sont d'accord pour 
estimer que certaines catégories de données présentent- en raison de leur 
nature même, Indépendamment du contexte dans lequel el les sont traitées -
des risques d'atteinte à la vie privée. C'est pourquoi l'article 17 du 
projet de directive 1 Imite strictement le traitement électronique et 
l'utll lsatlon d'Informations sensibles dans les fichiers contenant des 
données à caractère personnel. 
L'article 17 énumère les catégories de données sensibles suivantes: origine 
raciale (y compris Information sur la couleur de la peau); opinion 
pol ltlque; convictions rel lgleuses ou phi losophlques (y compris l'absence 
de convictions rel lgleuses); (ces catégories comprennent les Informations 
sur les activités de la personne concernée 1 lées aux convictions 
pol ltlques, rel lgleuses ou phi losophlques); Information sur les 
appartenances syndicales, la santé de la personne concernée (y compris des 
Informations sur 1 'état de santé physique et mentale passé, présent et 
futur et des Informations en matière de toxicomanie ou d'alcool lsme); 
Information concernant la vie sexuel le. 
D'une manière générale, l'article 17 paragraphe 1 Interdit le traitement 
Informatisé de données sensibles. Les exceptions à cette règle sont les cas 
où 1 'Intéressé a donné son accord, qui doit être 1 lbre, exprès et écrit, et 
l'exception énoncée à l'article 17 paragraphe 2. 
Selon cette dernière disposition, les Etats membres peuvent autoriser le 
traitement électronique de données sensibles pour des motifs d'Intérêt 
publ le Important. Néamolns, cette exception lmpl lque l'adoption d'une loi 
précisant les types de données sensibles pouvant être traitées 
électroniquement, les personnes ayant accès aux données et les garanties 
appropriées contre tes utl 1 lsatlons abusives et les accès autorisés. 
-40-
L'article 17 paragraphe 3 énonce une règle partlcul Ière pour la 
conservation d'Informations sur les condamnations pénales. La conservation 
de telles Informations dans des fichiers Informatisés n'est permise que 
dans des fichiers relevant du secteur publ le. 
Le champ d'appl lcatlon de l'article 17 est limité: Il ne s'étend qu'aux 
données qui sont traitées de façon Informatisée. 
D'autre part, l'article 17 n'est pas appl lcable à l'enregistrement et au 
traitement électroniques de données concernant les opinions pol ltlques, les 
convictions rel lgleuses et phi losophlques et l'appartenance syndicale, dans 
la mesure oû ces données sont traitées par des associations sans but 
lucratif dans le respect des conditions énoncées à l'article 3 paragraphe 2 
al lnéa b). 
Article 18 
Sécurité des données 
La vie privée de la personne concernée est uniquement menacée par le 
responsable du fichier, qui rassemble enregistre, traite et communique les 
données relatives à 1 'Intéressé dans les buts qui lui sont propres. 
Son droit à la vie privée est également mis en péri 1 si les données la 
concernant sont utl 1 lsées abusivement par des tiers qui, sans autorisation, 
accèdent aux données et les ut li lsent. 
En vertu de la première phrase de l'article 18 paragraphe 1, les Etats 
membres doivent obi Iger le responsable du fichier à prendre les mesures 
techniques et d'organisation appropriées nécessaires à la protection des 
données contenues dans le fichier contre les menaces représentées par 
1 'Intrusion de tiers dans le fichier ou la perte accidentel le de données: 
destruction accidentel le ou non autorisée, perte accidentel le, altération, 
accès et tout autre traitement non autorisé de données. 
-4l-
Les mesures techniques de sécurité des données comprennent les mesures de 
sécurité relatives à l'accès aux locaux de traitement et de conservation 
des données, des codes d'Identification pour les personnes autorisées à se 
rendre dans ces locaux, des garanties tel les que l'utll lsatlon de mots de 
passe pour l'accès à des fichiers Informatisés, le cryptage de données, et 
la survell lance du piratage et d'autres activités Inhabituel les. En ce qui 
concerne les mesures d'organisation, le responsable du fichier doit adopter 
certaines procédures au sein de la hiérarchie de son administration ou de 
son entreprise, par exemple en établissant des niveaux d'autorité pour 
l'accès aux données. 
La deuxième phrase de l'article 18 paragraphe 1 prévoit un niveau approprié 
de sécurité des données pour les fichiers Informatisés. Pour ces fichiers, 
les mesures à prendre doivent assurer un niveau de sécurité approprié 
compte tenu, d'une part, de l'état de la technique dans le domaine de la 
sécurité des données et du coat de la mise en oeuvre de ces mesures et, 
d'autre part, de la nature des données conservées dans le fichier et de 
l'évaluation des risques potentiels. Pour déterminer le niveau approprié 
des mesures de sécurité des données, le responsable du fichier doit prendre 
en considération les recommandations en matière de sécurité Informatique et 
d'lnteropérabl 1 lté des réseaux qui pourront être adoptés par la Communauté 
selon les modal ltés prévues à l'article 29 du projet de directive. 
L'obi lgatlon de prendre des mesures de sécurité appropriées ne se 1 Imite 
pas à la local lsatlon du traitement des données ou au matériel et au 
logiciel utl 1 lsés pour le traitement. SI des transmissions de données ont 
lieu entre ordinateurs ou entre un ordinateur et des terminaux via un 
réseau de télécommunications, en vertu de 1 'article 18 paragraphe 2 des 
mesures de sécurité doivent également être prises en ce qui concerne le 
réseau afin d'assurer un transfert de données sar et Ininterrompu. 
L'article 18 paragraphe 3 concerne l'accès direct d'un ut li lsateur 
extérieur à un fichier lors d'une consultation en 1 Igne. L'autorisation en 
vertu de laquelle l'utl llsateur peut obtenir des données du fichier doit 
être spécifiée et 1 Imitée par le contrat passé avec le responsable du 
fichier. Le projet de directive fait obi lgatlon au responsable du fichier 
de concevoir le matériel et le logiciel ut li lsés pour la consultation en 
1 Igne de telle façon que l'accès de l'utl 1 lsateur reste dans les 1 Imites 
fixées par l'autorisation que le responsable du fichier lui a accordée. 
L'article 18 paragraphe 4 désigne les personnes à qui 11 Incombe de vel 11er 
au respect des obi lgatlons établ les par l'article 18 paragraphes 1 à 3. Les 
personnes qui, de fait ou par contrat, ont le contrôle sur les opérations 
relatives à un fichier sont également responsables du respect des règles 
relatives à la sécurité des données. Les personnes visées par cette règle 
sont selon le cas, le responsable du fichier, l'utilisateur pouvant 
consulter des données en ligne et les entreprises effectuant des 
traitements de données pour le compte du responsable du fichier. 
Enfin, l'article 18 paragraphe 5 établ lt une obligation de secret 
professionnel pour les salariés du responsable du fichier et les autres 
personnes qui, dans le cadre de leurs activités professionnel les, ont accès 
aux Informations à caractère personnel contenues dans un fichier. Il est 
Interdit à ces personnes de communiquer à des tiers les Informations 
auxquelles el les ont accès, sans l'accord du responsable du fichier. 
CHAPITRE VI 
Dispositions spécifiques pour certains secteurs 
Article 19 
Les Etats membres peuvent prévoir des dérogations aux dispositions de la 
présente directive pour les organismes de presse et de 1 'audiovisuel dans 
la mesure où el les sont nécessaires pour concl lier les droits fondamentaux 
des personnes, notamment le droit à la vie privée, avec la 1 lberté 
d'Information et la 1 lberté de la presse. 11 existe, en effet, des risques 
de conflit entre les deux catégories de droits fondamentaux. La solution 
adoptée met 1 'accent sur 1 'obi lgatlon de faire une balance des Intérêts en 
-43-
présence en cas de dérogation. Cette balance pourra prendre en compte 
notamment l'existence des recours possibles pour la personne concernée ou 
d'un éventuel droit de réponse, l'existence de code de déontologie 
professionnel le, les limites fixées par la Convention européenne des droits 
de l'homme, les principes généraux du droit . 
Article 20 
Cet article prévoit que les Etats membres encouragent les milieux 
professionnels à élaborer des codes de déontologie ou de bonnes conduites 
européens qui pourraient facl 1 lter l'appl lcatlon des principes de la 
directive dans certains secteurs. 
la Commission soutiendra également de tel les Initiatives et en tiendra 
compte, le cas échéant, dans l'exercice de son pouvoir réglementaire ou 
pour faire de nouvel les propositions. 
CHAPITRE VIl 
Responsabll lté et sanction 
Article 21 
Responsabl 1 lté 
En cas de préjudice da au non respect des dispositions de la présente 
directive, cet article fait peser la responsabl lité sur le responsable du 
fichier à qui la personne concernée peut demander des dommages et Intérêts. 
la notion de préjudice couvre aussi bien le préjudice matériel Que moral. 
Une limite à la responsabl 1 lté du responsable du fichier est prévue en cas 
de perte, destruction, ou accès non autorisé, à condition Qu'li apporte la 
preuve que les mesures de sécurité ont été respectées. 
-44-
Article 22 
Traitement pour le compte du responsable du fichier 
L'objet de cet article est d'éviter qu'un traitement par un tiers pour le 
compte du responsable du fichier ait pour conséquence d'affalbl Ir la 
protection de la personne concernée. A cette fln, des obligations pèsent à 
la fols sur le responsable du fichier et sur le tiers effectuant le 
traitement. 
Article 23 
Sanctions 
Afin d'assurer le respect des dispositions prises en appl lcatlon de la 
présente directive, les Etats membres ont l'obligation de prévoir des 
sanctions réellement dissuasives, pénales par exemple, en tenant compte en 
partlcul 1er du fait que le non-respect des principes de la protection de la 
personne concernée constitue une atteinte à un droit fondamental. 
CHAPITRE VI Il 
Transfert de données à caractère personnel vers des pays tiers 
Article 24 
Principes 
Cet article pose le principe selon lequel le transfert de données à 
caractère personnel depuis un Etat membre vers un pays tiers ne peut avoir 
1 leu que si ce pays assure un niveau de protection adéquat. Il Incombe aux 
Etats membres, et le cas échéant à la Commission, de déterminer si un pays 
assure un niveau de protection adéquat. Les Etats membres doivent Informer 
la Commission des cas où un pays tiers Importateur n'assure pas ce niveau 
de protection. Dans ce cas un processus de négociation peut s'engager entre 
la Commission et le pays tiers concerné. 
-45-
la Commission peut décider dans le cadre des pouvoirs d'exécution qui lui 
sont conférés, à l'article 29, qu'un pays assure un niveau de protection 
adéquat en se fondant sur sa législation nationale et/ou sur les 
engagements Internationaux auxquels est partie ce pays. La convention du 
Consel 1 de l'Europe du 28 Janvier 1981 relative à la protection des 
personnes à l'égard du traitement des données à caractère personnel fait 
partie des engagements que la Commission prendra en compte. Elle pourra 
également avoir recours à l'expertise du Groupe de protection des données à 
caractère personnel dans ce domaine. 
Article 25 
Dérogation 
SI un pays n'assure pas un niveau de protection adéquat, une dérogation 
permettant le transfert de données est possible pour une exportation 
spécifique. l'Etat membre de localisation du fichier peut autoriser un tel 
transfert si le responsable du fichier peut garantir un niveau de 
protection adéquat pour cette exportation et si les autres Etats membres ou 
la Commission ne s'y opposent pas. Pour cela une procédure d'Information 
est prévue avec un délai de notification d'opposition de 10 jours. 
En cas de notification d'opposition la Commission peut prendre les mesures 
appropriées, notamment décider d'Interdire le transfert. 
CHAPITRE IX 
Autorité de contrôle et Groupe de protection des données à caractère 
personnel 
-46-
Article 26 
L'autorité de contrôle 
Cet article prévoit l'Institution d'une autorité de contrôle qui se 
caractérise par son Indépendance ainsi que par des moyens d'Investigation 
et d'Intervention adaptés à la mission de survel 1 lance qui lui est confiée. 
Les législations nationales doivent garantir ces deux caractéristiques. 
L'expression "autorité de contrôle" ne préjuge pas de l'adoption d'une 
structure Interne multiple en fonction du système constitutionnel des Etats 
membres. 
Article 27 
Groupe de protection des données à caractère personnel 
En raison des particularités du domaine de la protection des personnes à 
l'égard des données à caractère personnel, cet article établ lt un comité de 
type consultatif, le Groupe de protection des données à caractère 
personnel. Ce Groupe de protection des données à caractère personnel se 
caractérise par son Indépendance et est composé des représentants des 
autorités de contrôle nationales. Un représentant de la Commission préside 
ce Groupe. 
Article 28 
Missions du Groupe de protection des données à caractère personnel 
Cet article fixe les tâches du Groupe de protection des données à caractère 
personnel. le Groupe apporte à la Commission ses connaissances et son 
expertise dans le domaine de la protection des personnes à l'égard du 
traitement des données à caractère personnel. 11 contribue ainsi à 
1 'appt lcatlon homogène des règles nationales prises en appl lcation de la 
présente directive; 11 apprécie le niveau de protection dans la Communauté 
et dans les pays tiers et en Informe la Commission; 11 peut enfin 
consel 11er la Commission sur des projets de mesures additionnel les à 
prendre. 
-47-
Le Groupe de protection des données à caractère personnel peut émettre des 
recommandations QUI peuvent, s'li le souhaite. &tre transmises au comité 
consulatatlf QUI Intervient dans le cadre des pouvoirs d'exécution conférés 
à la Commission. 
Un rapport annuel sur l'état de la protection des données à caractère 
personnel dans la Communauté et dans les pays tiers est établit par le 
Groupe de protection des données à caractère personnel. Ce rapport est 
transmis à la Commission. 
CHAPITRE X 
Pouvoir réglementaire de la Commission 
Articles 29 et 30 
Exercice du pouvoir réglemententalre 
Comité consultatif 
L'article 29 confère à la Commission les compétences d'exécution relatives 
aux modal ltés techniques d'application qui sont nécessaires en raison de 
l'étendue et du caractère technique du domaine du traitement des données à 
caractère personnel. 
La directive ayant pour objet de contribuer à la réalisation du marché 
Intérieur, l'article 30 prévoit l'Intervention d'un comité de type 
consultatif pour assister la Commission dans l'exercice de ses compétences 
d'exécution et applique les procédures fixées dans la décision du Consel 1 
du 13 juillet 1987 fixant les modalités de l'exercice des compétences 
d'exécution conférées à la Commission. 
-48-
Proposition de DIRECTIVE DU CONSEIL SYN 287 
relative à la protection des personnes à l'égard du traitement des 
données à caractère personnel. 
LE CONSEIL DES COMMUNAUTES EUROPEENNES, 
vu le traité Instituant la Communauté économique européenne, et notamment 
son article 100 A et son article 113, 
vu la proposition de la Commission (1), 
en coopération avec le Parlement européen (2), 
vu l'avis du Comité économique et social (3), 
(1) considérant que les objectifs de la Communauté, énoncés dans le Traité 
tel Que modifié par l'Acte unique européen, consistent à réal lser une union 
sans cesse plus étroite entre les peuples européens, à établIr des 
relations plus étroites entre les Etats que la Communauté réunit, à assurer 
par une action commune le progrès économique et social en él lmlnant les 
barrières QUI divisent l'Europe, à promouvoir l'amél loratlon constante des 
conditions de vie de ces peuples, à affermir les sauvegardes de la paix et 
de la 1 lberté, et à promouvoir la démocratie en se fondant sur les droits 
fondamentaux reconnus dans les constitutions et lois des Etats membres 
ainsi que dans la Convention européenne de sauvegarde des droits de l'homme 
et des 1 lbertés fondamentales; 
(2) considérant Que l'établissement et le fonctionnement du marché 
intérieur dans lequel, conformément à l'article 8 A du Traité, la 1 lbre 
-49-
circulation des marchandises, des personnes, des services et des capitaux 
est assurée nécessitent que non seulement des données à caractère personnel 
puissent circuler, quels que soient les Etats membres dans lesquels elles 
sont traitées ou demandées, mals, également, que les droits fondamentaux 
soient sauvegardés compte tenu du recours de plus en plus fréquent dans la 
Communauté aux traitements de données à caractère personnel dans les divers 
domaines des activités économiques et sociales; 
(3) considérant que le marché Intérieur comporte un espace sans frontières; 
que, pour cette raison, les administrations nationales des différents Etats 
membres, en vertu de l'appt lcatlon du droit communautaire, sont appelées de 
plus en plus souvent à collaborer et à échanger entre elles des données à 
caractère personnel afin de pouvoir exécuter leur mission ou exercer des 
tâches pour le compte d'une administration d'un autre Etat membre; 
(4) considérant que le renforcement de la coopération scientifique et 
technique, ainsi que la mise en place coordonnée de nouveaux réseaux de 
télécommunications dans la Communauté nécessitent et facll ltent la 
circulation transfrontlère de données à caractère personnel; 
(5) considérant que la différence de niveaux de protection de la vie privée 
à l'égard des traitements de données à caractère personnel assurés dans les 
Etats membres peut empêcher la transmission de ces données du territoire 
d'un Etat membre à celui d'un autre Etat membre; que cette différence peut 
dès lors constituer un obstacle à l'exercice d'une série d'activités 
économiques à 1 'échelle communautaire, fausser la concurrence et entraver 
la mission des administrations Intervenant dans le champ d'application du 
droit communautaire; que cette différence de niveaux de protection résulte 
de la disparité des dispositions nationales législatives, réglementaires et 
administratives; 
(6) considérant que, pour él lmlner les obstacles à la circulation des 
données à caractère personnel, le niveau de protection de la vie privée à 
l'égard des traitements de ces données doit être équivalent dans tous les 
Etats membres; qu'l 1 est, pour cela, nécessaire de rapprocher les 
législations appl lcables en la matière; 
(7) considérant que l'obJet des législations nationales relatives au 
traitement des données à caractère personnel est d'assurer le respect des 
droits fondamentaux, notamment le droit à la vie privée reconnu également 
-50-
dans l'article 8 de la Convention de sauvegarde des droits de 1 'homme et 
des 1 lbertés fondamentales et dans les principes généraux du droit 
communautaire; que, pour cette raison, le rapprochement de ces législations 
ne doit pas conduire à affalbl Ir la protection Qu'el les assurent mals doit, 
au contraire, avoir pour objectif de garantir un haut niveau de protection 
dans la Communauté; 
(8) considérant Que les principes de la protection de la vie privée à 
l'égard du traitement des données à caractère personnel faisant l'objet de 
la directive pourront être complétés ou précisés, notamment pour certains 
secteurs, par des règles spécifiQues conformes à ces principes; 
(9) considérant que les principes de la protection doivent s'appliquer à 
tous les fichiers dès lors que les activités du responsable du fichier 
relèvent du champ d'appt lcatlon du droit communautaire; Que les fichiers du 
secteur publ le qui ne relèvent pas du champ d'application du droit 
communautaire devraient être soumis aux mêmes principes de la protection 
repris dans les législations nationales, comme le prévoit la résolution des 
représentants des gouvernements Etats membres des Communautés européennes 
réunis au sein du Consel 1 du ... ; que, toutefois, doivent être exclus les 
fichiers relevant exclusivement de 1 'exercice du droit à la vie privée 
d'une personne physiQue, comme les fichiers personnels d'adresses; 
(10) considérant qu' i 1 est nécessaire que tout traitement de données à 
caractère personnel dans la Communauté respecte la législation de 1 'Etat 
membre dans lequel le fichier est local lsé afin d'éviter Qu'une personne 
échappe à la protection qui doit lui être garantie en vertu de la présente 
directive; que, à cet égard, chaque partie d'un fichier réparti dans 
plusieurs Etats membres doit être considérée comme un fichier à part 
entière et la délocal lsatlon dans un pays tiers ne doit pas empêcher cette 
protection; 
(11) considérant que tout traitement de données à caractère personnel doit 
être légitime; que cette légitimité doit être fondée sur le consentement de 
la personne concernée ou sur le droit communautaire ou sur les législations 
nationales; 
(12) considérant que les législations nationales peuvent préciser, dans les 
conditions prévues par la directive, les règles relatives à la légitimité 
du traitement; que, toutefois, une tel le posslbl 1 lté ne peut servir de 
fondement pour un contrôle d'un Etat membre autre que l'Etat de 
-51-
local lsatlon du fichier étant donné que l'obi lgatlon de ce dernier 
d'assurer, conformément à la présente directive, la protection de la vie 
privée à 1 'égard du traitement des données à caractère personnel est 
suffisante, au regard du droit communautaire, pour permettre la 1 lbre 
circulation des données; 
(13) considérant que les procédures de notification, pour les fichiers du 
secteur publ le ou privé, et d'Information lors de la première 
communication, pour les fichiers du secteur privé, ont pour objet d'assurer 
la transparence Indispensable à 1 'exercice du droit d'accès de la personne 
concernée aux données la concernant; 
(14) considérant que la personne concernée doit bénéficier d'une 
Information effective et complète pour que son consentement soit val Ide 
ainsi que lorsque des données la concernant sont récoltées auprès d'el le; 
(15) considérant que la personne concernée doit pouvoir bénéficier du droit 
d'accès afin de pouvoir s'assurer de la légitimité du traitement des 
données la concernant et de leur quai lté; 
(16) considérant que pour faire l'objet d'un traitement, les données 
doivent répondre à certaines exigences; que le traitement des données qui 
sont susceptibles par leur nature même de porter atteinte au droit à la vie 
privée doit être Interdit sauf consentement expl lclte de la personne 
concernée; que, toutefois pour des motifs d'Intérêt publ le Important, 
notamment pour les professions médicales, des dérogations peuvent être 
prévues sur la base d'une loi qui fixe précisément et strictement les 
conditions et 1 Imites du traitement de ce type de données; 
(17) considérant que la protection de la vie privée à l'égard des données à 
caractère personnel exige que des mesures de sécurité appropriées soient 
1 prises, au niveau tant de la conception que de la technologie du 
traitement, afin d'empêcher tout traitement non autorisé; 
(18) considérant que dans le domaine des médias, les Etats membres peuvent 
prévoir des dérogations aux dispositions de la présente directive dans la 
mesure où elles visent à concll 1er le droit à la vie privée avec la 1 lberté 
de 1 'Information et le droit de recevoir ou de communiquer des 
Informations, tel que garanti notamment dans l'article 10 de la convention 
de sauvegarde des droits de 1 'homme et des 1 lbertés fondamentales; 
-52-
(19) considérant que les Etats membres doivent encourager l'élaboration, 
par les ml 1 leux professionnels, de codes de déontologie ou de bonne 
conduite européens concernant certains secteurs partlcul lers; que la 
Commission soutiendra de telles Initiatives et en tiendra compte 
lorsqu'elle examinera l'opportunité de nouvel les mesures specifiques pour 
certains secteurs; 
(20) considérant que, en cas de non respect des dispositions prévues dans 
la présente directive, le responsable du fichier doit être considéré, dans 
une action en dommages et Intérêts, comme responsable; que des sanctions 
dissuasives doivent être appl lquées afin d'assurer une protection 
effective; 
(21) considérant qu'l 1 est également nécessaire que le transfert de données 
à caractère personnel puisse avoir 1 leu avec les pays tiers ayant un niveau 
de protection adéquat; que, en 1 'absence d'une telle protection dans des 
pays tiers, la présente directive prévoit, en partlcul 1er, des procédures 
de négociation avec ceux-cl; 
(22) considérant que les principes contenus dans la présente directive 
concrétisent et ampl If lent ceux contenus dans la convention du 28 janvier 
1981 du Consel 1 de l'Europe pour la protection des personnes à l'égard du 
traitement automatisé des données à caractère personnel. 
(23) considérant que 1 'existence dans chaque Etat membre d'une autorité de 
contrôle Indépendante est un élément essentiel de la protection des 
personnes à l'égard du traitement des données à caractère personnel; que, 
au niveau communautaire, un Groupe de protection des données à caractère 
personnel doit être Instauré et exercer ses fonctions en toute 
Indépendance; que, compte tenu de ce caractère spécifique, 11 doit 
consel 11er la Commission et contribuer à l'appl lcatlon homogène des règles 
nationales prises en appl lcatlon de la présente directive; 
(24) considérant que l'adoption des mesures complémentaires pour 
l'appt lcatlon des principes de la présente directive nécessite 
l'attribution d'un pouvoir réglementaire à la Commission et l'établ lssement 
d'un comité consultatif selon les modal ltés fixées dans la décision 
87/373/CEE du Consel 1(1); 
-53-
A ARRETE LA PRESENTE DIRECTIVE 
CHAPITRE 1 
DISPOSITIONS GENERALES 
Article oremler 
Oblat do la dlroctlyo 
1. Les Etats membres assurent, conformément aux dispositions de la présente 
directive, la protection de la vie privée des personnes à l'égard du 
traitement des données à caractère personnel contenues dans des fichiers. 
2. Les Etats membres ne peuvent restreindre ou Interdire la 1 lbre 
circulation des données à caractère personnel entre Etats membres pour des 
raisons relatives à la protection assurée en vertu du paragraphe 1. 
Article 2 
Définitions 
Aux fins de la présente directive, on entend par 
a) "données à caractère personnel", toute Information concernant une 
personne physiQue Identifiée ou Identifiable ("personne concernée"); est 
notamment réputée Identifiable une personne QUI peut être Identifiée par 
référence à un numéro d'Identification ou une Information slml laire; 
b) "rendre anonyme", une modification des données à caractère personnel de 
sorte Que les Informations QUI y sont contenues ne peuvent plus être 
associées à une personne physiQue déterminée ou déterminable, ou 
moyennant seulement un effort excessif en personnel, en frais et en 
temps; 
-54-
c) "fichier de données à caract~re personnel" (fichier), tout ensemble de 
données à caractère personnel, centralisées ou réparties sur plusieurs 
sites, faisant l'objet d'un traitement automatisé ou qui, bien que ne le 
faisant pas, sont structurées et accessibles dans une collection 
organisée selon des critères déterminés de manière à facl 1 lter 
l'utl 1 lsatlon ou l'Interconnexion des données; 
d) "traitement", les opérations, effectuées ou non à l'alde de procédés 
automatisés : enregistrement, conservation, lnterconnectlon de données, 
leur modification, leur utl 1 lsatlon et leur communication, notamment la 
transmission, la diffusion, 1 'extraction, ainsi que le verroul 1 lage 
l'effacement et la destruction; 
e) "responsable du fichier", la personne physique ou morale, l'autorité 
publ lque, le service ou tout autre organisme qui est compétent selon le 
droit communautaire ou la loi nationale d'un Etat membre, pour décider 
quel le sera la final lté du fichier, quelles catégories de données à 
caractère personnel doivent être enregistrées, quel les opérations leurs 
seront appt lquées et quels sont les tiers qui peuvent y avoir accès; 
f) "autorité de contrôle", 1 'autorité publique Indépendante, ou toute autre 
Instance Indépendante, désignées par chaque Etat membre en conformité 
avec 1 'article 26; 
g) "secteur public", 1 'ensemble des administrations, organisations et 
entités d'un Etat membre relevant du droit publ le, à l'exception de 
cel les qui participent à une activité Industriel le ou commerciale, ainsi 
que les organismes et entités de droit privé lorsqu' 1 ls participent à 
l'exercice de l'autorité publique; 
h) "secteur privé", toute personne physique ou morale, ou association, y 
Inclus les administrations, organisations et entités du secteur publ le, 
dans la mesure où elles exercent une activité Industriel le ou 
commerciale. 
-55-
Artlclo 3 
Champ d•aopllcatlon 
1. Les Etats membres appliquent les dispositions de la présente directive 
aux fichiers du secteur privé et du secteur public à l'exclusion des 
fichiers du secteur publ le dont les activités ne relèvent pas du champ 
d'application du droit communautaire. 
2. Les dispositions de la présente directive ne s'appliquent pas aux 
fichiers : 
(a) détenus par une personne physique exclusivement à des fins privées 
et personnel les ou 
(b) détenus par des associations sans but lucratif notamment à 
caractère politique, phi losophlque, religieux, culturel, syndical, 
sportif ou de loisir, dans le cadre de leur but légitime et à 
condition qu'lis ne se rapportent qu'aux seuls membres et 
correspondants de l'association ayant consenti à y figurer et 
qu'lis ne soient pas communiqués à des tiers. 
Article 4 
Droit applicable 
1. Chaque Etat membre appl lque les dispositions de la présente directive 
(a)-à tous les fichiers local lsés sur son territoire; 
(b)-au responsable du fichier qui réside sur son territoire et utl 1 Ise 
depuis celui-cl un fichier localisé dans un pays tiers dont la 
législation n'a pas un niveau de protection adéquat, à moins que cette 
utilisation ne soit que sporadique. 
-56-
2. Chaque Etat membre applique les dispositions des articles 5, 6, 8, 9, 
10, 17, 18 et 21 à l'utilisateur QUI consulte un fichier localisé dans 
un pays tiers à partir d'un terminal local lsé sur le territoire d'un 
Etat membre, à moins que cette utl llsatlon ne soit que sporadique. 
3. Lorsqu'un fichier est déplacé temporairement d'un Etat membre vers un 
autre Etat membre, ce dernier n'oppose aucun obstacle et n'exige aucune 
formai lté additionnelle aux règles applicables dans l'Etat membre de 
local lsatlon permanent du fichier. 
CHAPITRE 11 
LEGITIMITE DU TRAITEMENT DANS LE SECTEUR PUBLIC 
Article 5 
PrinciPes 
1. Sous réserve des dispositions de l'article 6, les Etats membres 
prévoient dans leur législation pour les fichiers relevant du secteur 
public que : 
(a) l'établ lssement d'un fichier et tout autre traitement de données à 
caractère personnel sont légitimes dans la mesure où 1 ls sont 
nécessaires pour l'exécution des missions de l'autorité publ lque 
responsable de ce fichier; 
(b) le traitement de données pour une final lté autre que cel le pour 
laquelle le fichier a été établ 1 est légitime si: 
la personne concernée y consent ou 
-57-
11 est effectué sur la base du droit communautaire ou d'une loi, ou 
d'un acte pris en application d'une loi, d'un Etat membre conforme 
à la présente directive QUI l'autorise et en fixe les 1 Imites ou 
-un Intérêt légitime de la personne concernée ne s'oppose pas à ce 
changement de finalité ou 
Il est nécessaire afin de prévenir une menace Imminente pour 
l'ordre publ le ou une atteinte sérieuse au droit d'autrui. 
Article 6 
Traitement dans le secteur public avant pour obJet la communication de 
dQDn6es 6 caractère personnel 
1. Les Etats membres prévoient dans leur législation QUe la communication 
de données à caractère personnel contenues dans des fichiers d'une 
entité du secteur public n'est légitime Que : 
<a> si cela est nécessaire pour l'exercice des missions de 1 'entité du 
secteur publ le QUi communiQue ou QUI demande la communication de 
ces données ou, 
(b) sur demande d'une personne physiQue ou morale du secteur privé QUI 
InvoQue un Intérêt légitime, à condition QUe l'Intérêt de la 
personne concernée ne prévale pas. 
2. Sans préjudice des dispositions visées au paragraphe 1, les Etats 
membres peuvent préciser les conditions dans lesQuelles la communication 
de données à caractère personnel est légitime. 
3. Les Etats membres prévoient dans leur législation Que, dans les cas 
visés au paragraphe 1 lettre b, le responsable du fichier Informe les 
personnes concernées de la communication des données i caractère 
personnel. Les Etats membres peuvent prévoir QUe cette Information est 
remplacée par une autorisation préalable de l'autorité de contrble. 
-58-
Article 7 
Obligation de notification A 1•autorlté de contrOle 
1. Les Etats membres prévoient dans leur législation Que 1 'établ lssement 
d'un fichier du secteur publ le dont les données à caractère personnel 
sont susceptibles d'être communiQuées doit être préalablement notifié à 
l'autorité de contrôle QUI l'Inscrit dans un registre. Le registre peut 
être consulté par toute personne. 
2. Les Etats membres définissent les Informations QUI doivent être 
notifiées à l'autorité de contrôle . Ces Informations doivent comprendre 
au moins le nom et l'adresse du responsable du fichier, la final lté du 
fichier, une description des types de données QU'I 1 contient, les tiers 
auxQuels les données sont susceptibles d'être communiQuées et une 
description des mesures prises en application de l'article 18. 
3. Les Etats membres peuvent prévoir Que les dispositions des paragraphes 1 
et 2 s'applIQuent à d'autres fichiers du secteur publ le et QUe la 
consultation du registre peut être 1 Imitée pour les raisons mentionnées 
à l'article 15 paragraphe 1. 
CHAPITRE 111 
LEGITIMITE DU TRAITEMENT DANS LE SECTEUR PRIVE 
Article 8 
Prlncloes 
1. Les Etats membres prévoient dans leur législation Que sans le 
consentement de la personne concernée, l'enregistrement dans un fichier 
et tout autre traitement de données à caractère personnel ne sont 
légitimes QU'en accord avec les dispositions de cette directive et si 
~59-
a. le traitement se situe dans le cadre d'un contrat, ou d'une relation 
de confiance Quasi-contractuelle, avec la personne concernée et est 
nécessaire à sa réal lsatlon ou 
b. les données proviennent de sources généralement accessibles au publ le 
et leur traitement est uniQuement destiné à la correspondance ou 
c. le responsable du fichier poursuit un Intérêt légitime à condition 
Que l'Intérêt de la personne concernée ne prévale pas; 
2. Les Etats membres prévoient dans leur législation QU'I 1 Incombe au 
responsable du fichier de s'assurer QUe toute communication n'est pas 
Incompatible avec la final lté du fichier et Qu'el le ne porte pas 
atteinte à l'ordre public. En cas de consultation en 1 Igne, les mêmes 
obi lgatlons Incombent à l'utl 1 lsateur. 
3. Sans préjudice des dispositions visées au paragraphe 1, les Etats 
membres peuvent préciser les conditions dans lesQuelles le traitement 
des données à caractère personnel est légitime. 
Article 9 
Obligation d'Information de la oersonne concernée 
1. Les Etats membres, pour le secteur privé, prévoient dans leur 
législation Que lors de la première communication ou lors de l'ouverture 
d'une posslbl 1 lté de consultation en 1 Igne, le responsable en Informe la 
personne concernée et IndiQue également la final lté du fichier, les 
types de données QUI y figurent, et ses nom et adresse. 
2. L'Information prévue au paragraphe 1 n'est pas obi lgatolre dans le cas 
visé à l'article 8 paragraphe 1 lettre (b). L'obi lgatlon d'Informer 
n'existe pas dans les cas où la communication est Imposée par une loi. 
3. SI la personne concernée oppose une objection à la communication ou à 
tout autre traitement, le responsable du fichier est tenu de cesser le 
traitement contesté, sauf si une disposition légale l'y autorise. 
-60-
Article 10 
Exceptions particulières 6 l'obllgaliQo~J1:1nformo[ la personne concernée 
SI l'Information de la personne concernée visée à l'article 9 paragraphe 1, 
se révèle Impossible ou lmpl lque des efforts disproportionnés ou se heurte 
à des Intérêts légitimes prédominants du responsable du fichier ou à un 
Intérêt slml laire d'un tiers, les Etats membres peuvent prévoir dans leur 
législation que l'autorité de contrôle peut autoriser une dérogation. 
Article 11 
Obligation de notification 6 l'autorlt~ d~cgntrOI~ 
1. Les Etats membres prévoient dans leur législation que le responsable du 
fichier notifie l'établ lssement d'un fichier de données à caractère 
personnel dès lors que les données sont destinées à être communiquées et 
ne proviennent pas de sources généralement accessibles au publ le. La 
notification doit se faire à 1 'autorité de contrôle de l'Etat membre où 
le fichier est local lsé ou, en 1 'absence d'une local lsatlon dans un Etat 
membre, à 1 'autorité de contrôle de l'Etat membre où le responsable du 
fichier réside. Le responsable du fichier notifie aux autorités 
nationales compétentes tout changement de finalité du fichier ou de son 
adresse. 
2. Les Etats membres définissent les Informations QUI doivent être 
notifiées à 1 'autorité de contrôle . Ces Informations doivent comprendre 
au moins le nom et l'adresse du responsable du fichier, la final lté du 
fichier, une description des types de données QU'I 1 contient, les tiers 
auxquels les données sont susceptibles d'être communiquées et une 
description des mesures prises en appl lcatlon de l'article 18. 
3. Les Etats membres peuvent prévoir Que les dispositions des paragraphes 1 
et 2 s'applIQuent à d'autres fichiers du secteur privé et que les 
informations visées au paragraphe 2 sont accessibles au publ le. 
-61-
CHAPITRE IV 
DROIT DE LA PERSONNE CONCERNEE 
Article 12 
Le consentement lnform6 
Tout consentement de la personne concernée à un traitement de données à 
caractère personnel la concernant au sens de la présente directive n'est 
valable QUe si : 
(a) la personne dispose des Informations suivantes: 
les final ltés du fichier et les types de données enregistrées; 
le type d'utl 1 lsatlon et, le cas échéant, les destinataires des 
données à caractère personnel contenues dans le fichier 
-le nom et l'adresse du responsable du fichier 
(b) Il est spécifiQue et exprès, et doit préciser les types de données, 
les formes de traitement et les destinataires éventuels QU'li couvre; 
(c) 11 peut être retiré par la personne concernée à tout moment sans 
effets rétroactifs. 
Article 13 
L'Information lors de la collecte 
1. Les Etats membres garantissent aux personnes auprès desQuelles sont 
col lactées des données à caractère personnel le droit à être Informées 
au moins sur: 
-~2-
(a) les finalités du fichier auQuel les Informations sont destinées et 
(b) le caractère obi lgatolre ou non de leur réponse aux questions QUI 
font l'objet de la collecte et 
(c) les conséQuences à leur égard d'un défaut de 
réponse et 
(d) les destinataires des Informations et 
(e) 1 'existence du droit d'accès et de rectification des données le 
concernant et 
(f) le nom et l'adresse du responsable du fichier. 
2. Les dispositions du paragraphe 1 ne s'appt IQuent pas à la collecte des 
Informations dans le cas oû l' Information de la personne concernée 
empêcherait l'exercice des fonctions de contrôle et de vérification 
d'une autorité publiQue ou le maintien de l'ordre public. 
Article 14 
Droits complémentaires de la personne concernée 
Les Etats membres reconnaissent à la personne concernée les droits 
suivants: 
1. de s'opposer, pour des raisons légitimes, à ce que des données à 
caractère personnel la concernant fassent l'objet d'un traitement; 
2. de ne pas être soumise à une décision administrative ou privée 
ImpliQuant une appréciation de son comportement QUI ait pour seul 
fondement un traitement automatisé de données à caractère personnel 
donnant une définition du profl 1 ou de la personnalité de l'Intéressé; 
3. de connaftre 1 'existence d'un fichier, ses final ltés principales, ainsi 
que 1 'Identité et la résidence habituel le, le siège ou l'établissement 
du responsable du fichier; 
-63-
4. d'obtenir à des lnterval les raisonnables et sans délais ou frais 
excessifs la confirmation de l'existence ou non dans un fichier de 
données à caractère personnel la concernant ainsi que la communication 
de ces données sous une forme Intelligible. 
Les Etats membres peuvent prévoir que le droit d'accès aux données à 
caractère médical ne peut s'exercer que par l'Intermédiaire d'un 
medecin; 
5. d'obtenir, le cas échéant, la rectification de ces données ou leur 
effacement ou leur verrou! 1 lage lorsque leur traitement n'est pas 
conforme aux dispositions de la présente directive; 
6. d'obtenir sur demande l'effacement sans frais des données la concernant 
enregistrées dans des fichiers de prospection commerciale ou 
pub 1 1 c 1 ta 1re; 
1. d'obtenir, en cas d'application du paragraphe 5 du présent article et si 
les données ont été communiquées à des tiers, la notification à ces 
derniers de la rectification, de l'effacement ou du verrouillage; 
8. de disposer d'un recours Juridictionnel en cas de violation des droits 
garantis dans le présent article. 
Article 15 
Exceotlons au droit d'accès do la oersonno concernée aux flcblors du 
secteur public 
1. Les Etats membres peuvent limiter par une loi les droits prévus aux 
points 3 et 4 de l'article 14 pour des motifs relatifs à 
(a) la sQreté de l'Etat, ou 
(b) la défense, ou 
(c) des poursuites pénales, ou 
(d) la sécurité publique, ou 
(e) un Intérêt économique et financier Impératif dQment justifié d'un 
Etat membre, ou de la Communauté, ou 
-64-
(f) la nécessité de 1 'exercice des fonctions de contrôle ou 
d'Inspection de l'autorité publique, ou 
(g) un droit équivalent d'une autre personne et des droits et 1 lbertés 
d'autrui. 
2. Dans les cas visés au paragraphe 1, l'autorité de contrôle doit pouvoir 
procéder, sur demande de la personne concernée, aux vérifications 
nécessaires du fichier. 
3. Les Etats membres peuvent 1 Imiter le droit d'accès de la personne 
concernée pour les données temporairement compilées afin d'en extraire 
des Informations statistiques. 
CHAPITRE V 
QUALITE DES DONNEES 
Article 16 
PrinciPes 
1. Les Etats membres prévoient que 
a) la collecte et le traitement de données à caractère personnel 
doivent être effectués loyalement et 1 lcltement; 
b) les données doivent être enregistrées pour des final ltés déterminées, 
expl lcltes et légitimes et utl llsées de manière compatible avec ces 
finalités; 
c) les données doivent être adéquates, pertinentes et non excessives par 
rapport aux finalités pour lesquelles el les sont enregistrées; 
d) les données doivent être exactes et, si nécessaire, mises à jour; les 
données Inexactes ou Incomplètes doivent être effacées ou rectifiées; 
-65-
e) les données ne doivent être conservées sous une forme permettant 
l'Identification des personnes concernées Que pendant une durée 
n'excédant pas celle nécessaire aux finalités pour lesQuelles el les 
ont été enregistrées. 
2. Il Incombe au responsable du fichier d'assurer le respect des 
dispositions prévues au paragraphe 1. 
Article 17 
Catégories particulières de données 
1. Les Etats membres Interdisent le traitement automatisé, sauf accord 
1 lbre, exprès et écrit de la personne concernée, des données révélant 
l'origine raciale et ethniQue, 1 'opinion pol ltiQue, les convictions 
rel lgleuses ou phi losophlques, les appartenances syndicales ainsi Que 
les Informations relatives à la santé et à la vie sexuelle. 
2. Les Etats membres peuvent prévoir pour des motifs d'lnt~rêt public 
Importants des dérogations aux dispositions du paragraphe 1 sur la base 
d'une loi précisant les types de données enregistrables, les personnes 
ayant accès au fichier ainsi Que les garanties appropriées contre les 
utilisations abusives et les accès non autorisés. 
3. Les données concernant des condamnations pénales ne peuvent être 
conservées Que dans des fichiers relevant du secteur public. 
-66-
Article 18 
Sécurité des données 
1. Les Etats membres prévoient dans leur législation Que le responsable du 
fichier est obi lgé de prendre les mesures techniques et d'organisation 
appropriées, nécessaires à la protection du fichier contre la 
destruction, accidentel le ou non autorisée, la perte accidentelle, ainsi 
que contre 1 'altération ou 1 'accès et tout autre traitement non 
autorisés de données à caractère personnel. 
ces mesures doivent assurer pour les fichiers automatisés un niveau de 
sécurité approprié compte tenu, d'une part, de l'état de l'art en la 
matière et du coQt de leur mise en oeuvre, d'autre part, de la nature 
des données à protéger et de l'évaluation des risques potentiels. A 
cette fln, le responsable du fichier doit prendre en considération les 
recommandations en matière de sécurité Informatique et 
d'lnteropérabl 1 lté des réseaux élaborées par la Commission selon les 
modal ltés prévues à l'article 29. 
2. Des méthodes garantissant une sécurité adéquate doivent être choisies 
pour la transmission de données personnel les dans un réseau. 
3. En cas de consultation en 1 Igne, les lnstal lat lons techniques et le 
logiciel doivent être conçus de manière que la consultation se fasse 
dans les 1 Imites de l'autorisation accordée par le responsable du 
fichier. 
4. Les obi igations visées aux paragraphes 1 à 3 Incombent également aux 
personnes qui, de fait ou par contrat, ont le contr~le sur les 
opérations relatives à un fichier. 
-67-
5. Toute personne qui, dans le cadre de ses activités professionnelles, 
accède à des Informations contenues dans des fichiers ne doit pas les 
communiquer à des tiers sans l'accord du responsable du fichier. 
CHAPITRE VI 
DISPOSITIONS SPECIFIQUES POUR CERTAINS SECTEURS 
Article 19 
Les Etats membres peuvent prévoir pour les organismes de presse et de 
1 'audiovisuel des dérogations aux dispositions de la présente directive 
dans la mesure où elles sont nécessaires pour concl lier le droit à la vie 
privée avec les règles régissant la liberté d'Information et de la presse. 
Article 20 
Les Etats membres encouragent les milieux professionnels à participer à 
l'élaboration de codes de déontologie ou de bonne conduite européen pour 
certains secteurs sur la base des principes contenus dans la présente 
directive. 
CHAPITRE V Il 
RESPONSABILITE ET SANCTIONS 
Article 21 
Resoonsab 1 1 1 t6 
1. Les Etats membres prévoient dans leur législation que toute personne, 
-~-
dont les données à caractère personnel sont enregistrées dans un fichier 
et qui subit un dommage du fait du traitement ou de toute action 
Incompatibles avec les dispositions de la présente directive, a le droit 
de demander au responsable du fichier des dommages et Intérêts. 
2. Les Etats membres peuvent prévoir que les dommages résultant d'une perte 
ou d'une destruction de données ou d'un accès non autorisé ne sont pas 
Imputables au responsable du fichier s'li prouve qu'l 1 a pris les 
mesures appropriées pour respecter les exigences énumérées aux articles 
18 et 22. 
Article 22 
Traitement ooyr le compte du responsable dy fichier 
1. Les Etats membres prévoient dans leur législation que le responsable du 
fichier doit, en cas de traitement pour son compte, s'assurer du respect 
des mesures nécessaires de sécurité et d'organisation, et choisir une 
personne ou une entreprise qui apporte des garanties suffisantes à cet 
égard. 
2. Toute personne qui collecte ou qui traite des données à caractère 
personnel pour le compte du responsable du fichier doit respecter les 
obligations prévues aux articles 16 et 18. 
3. Le contrat doit être écrit et spécifier, en partlcul 1er, que les données 
à caractère personnel ne peuvent être divulguées par le prestataire ou 
ses employés qu'avec l'accord du responsable du fichier. 
Article 23 
Sanctions 
Chaque Etat membre prévoit dans sa législation l'appl lcatlon de sanctions 
dissuasives afin d'assurer le respect des dispositions prises en 
appl lcatlon de la présente directive. 
-69-
CHAPITRE VI 11 
TRANSFERT DE DONNEES A CARACTERE PERSONNEL VERS DES PAYS TIERS 
Article 24 
princiPes 
1. Les Etats membres prévoient dans leur législation que le transfert 
temporaire ou définitif, vers un pays tiers, de données à caractère 
personnel faisant l'objet d'un traitement ou rassemblées dans le but de 
les soumettre à un tel traitement, ne peut avoir 1 leu que si ce pays 
assure un niveau de protection adéquat. 
2. Les Etats membres avisent la Commission des cas dans lesquels un pays 
tiers Importateur n'assure pas un niveau de protection adéquat. 
3. Lorsque la Commission constate, soit sur la base des Informations des 
Etats membres, soit sur la base d'autres Informations, qu'un pays tiers 
ne dispose pas d'un niveau de protection adéquat et que la situation en 
résultant est préjudiciable aux Intérêts de la Communauté ou d'un Etat 
membre, el le peut engager des négociations en vue de remédier à cette 
situation. 
4. La Commission peut décider, selon la procédure définie à l'article 30 
paragraphe 2, qu'un pays tiers assure un niveau de protection adéquat en 
raison des engagements Internationaux souscrits par celui-cl ou de sa 
législation Interne. 
5. Les mesures prises au titre du présent article sont conformes aux 
obi lgatlons qui incombent à la Communauté en vertu d'accords 
Internationaux tant bi latéraux que multl latéraux qui régissent la 
protection des personnes à l'égard du traitement automatisé des données 
à caractère personnel. 
-70-
Article 25 
Dérogation 
1. Un Etat membre peut déroger aux dispositions de l'article 24 paragraphe 
1, pour un tranfert vers un pays tiers donné, sur présentation par le 
responsable du fichier de Justifications suffisantes pour garantir le 
respect d'un niveau de protection adéQuat. L'Etat membre ne peut 
accorder une dérogation Qu'après en avoir Informé la Commission et les 
Etats membres et en l'absence de notification d'opposition exprimée par 
un Etat membre ou la Commission dans un délai de 10 Jours. 
2. En cas de notification d'opposition, la Commission arrête les mesures 
appropriées selon la procédure définie à l'article 30 paragraphe 2. 
CHAPITRE IX 
AUTORITES DE CONTROLE ET GROUPE DE PROTECTION DES DONNEES A CARACTERE 
PERSONNEL 
Article 26 
L'aytorlté de contrOle 
1. Les Etats membres assurent Qu'une autorité Indépendante compétente 
contrôle la protection des données à caractère personnel. Cette autorité 
est chargée de survel 11er l'appl lcatlon des dispositions nationales 
prises en appl icatlon de la présente directive et d'exercer toutes les 
fonctions QUI lui sont attribuées par la présente directive. 
-71-
2. Cette autorité dispose de moyens d'Investigation et de pouvoirs 
effectifs d'Intervention contre la constitution et l'exploitation de 
fichiers qui ne seraient pas conformes aux dispositions de la présente 
directive. A cette fln, elle dlsPt>se, notamment, du droit d'accès aux 
fichiers couverts par la présente directive et doit pouvoir recuelll Ir 
toutes les Informations nécessaires à l'accompl lssement de sa mission de 
contrôle. 
3. Cette autorité peut être saisie par toute personne de plainte ou de 
réclamation relatives à la protection des personnes à l'égard des 
données à caractère personnel. 
Article 27 
GrouPe de Protection des données A caractère Personnel 
1. 11 est Institué un Groupe de protection des données à caractère 
personnel. Ce groupe à caractère consultatif et Indépendant est composé 
de représentants de l'autorité de contrôle, prévue à l'article 26, de 
tous les Etats membres, et présidé par un représentant de la Commission. 
2. Le secrétariat du Groupe de protection des données à caractère personnel 
est assuré par les services de la Commission. 
3. Le Groupe de protection des données à caractère personnel établit son 
réglement Intérieur. 
4. Le Groupe de protection des données à caractère personnel examine les 
questions mises à l'ordre du jour par son président, soit à l'Initiative 
de celui-cl, soit à la demande motivée d'un représentant des autorités 
de contrôle, et portant sur l'application des dispositions de droit 
communautaire en matière de protection des données à caractère 
personne 1. 
-72-
Article 28 
Missions du Groype de Protection des dpnn6es 4 caractère personnel 
1. Le Groupe de protection des données à caractère personnel a pour 
mission: 
a) de contribuer à l'appt lcatlon homogène des règles nationales prises 
en application de la présente directive; 
b) de donner un avis sur le niveau de protection dans la Communauté et 
dans les pays tiers; 
c) de conseil 1er la Commission sur des projets de mesures additionnelles 
ou spécifiques à prendre pour sauvegarder la protection de la vie 
privée. 
2. SI le Groupe de protection des données à caractère personnel constate 
que de sérieuses divergences s'établissent entre la législation ou la 
pratique des Etats membres en matière de protection des données à caractère 
personnel, divergences qui risquent de porter atteinte à l'équivalence de 
la protection dans la Communauté, Il en Informe la Commission. 
3. Le Groupe de protection des données à caractère personnel peut émettre 
des recommandations sur toutes questions concernant la protection des 
personnes à l'égard des données à caractère personnel dans la Communauté. 
Les recommandations sont Inscrites au procès-verbal et peuvent être 
transmises au Comité consultatif visé à l'article 30. La Commission Informe 
le Groupe de protection des données à caractère personnel des suites 
qu'elle a données aux recommandations. 
4. Le Groupe de protection des données à caractère personnel établ lt un 
rapport annuel sur l'état de la protection des personnes à l'égard du 
traitement des données à caractère personnel dans la Communauté et dans les 
pays tiers qu'l 1 communique à la Commission. 
-73-
CHAPITRE X 
POUVOIR REGLEMENTAIRE DE'LA COMMISSION 
Artlçle 29 
Exerçlçe du POUVOir réglementaire 
La Commission arrête, selon la procédure prévue à l'article 30 paragraphe 
2, les modalités techniques nécessaires pour appl lquer la présente 
directive aux spécificités de certains secteurs compte tenu de l'état de 
l'art en la matière et des codes de bonne conduite. 
Artlçle 30 
Cgmlt6 00nsyltatlf 
1. La Commission est assistée par un Comité consultatif composé des 
représentants des Etats membres et présidé par le représentant de la 
Commission. 
2. Le représentant de la Commission soumet au Comité un projet de mesures 
prendre. Le comité émet son avis sur ce projet, dans un délai que le 
président peut fixer en fonction de 1 'urgence de la question en cause, 
le cas échéant en procédant à un vote. L'avis est 1 nscr 1 t au procès-
verbal; en outre, chaque Etat membre a le droit de demander que sa 
position figure à ce procès-verbal. La Commission tient le plus grand 
compte de l'avis émis par Je Comité. Elle Informe le Comité de la façon 
dont elle a tenu compte de cet avis. à 
-74-
DISPOSITIONS FINALES 
Article 31 
1. Les Etats membres mettent en vigueur les dispositions législatives, 
réglementaires et administratives nécessaires pour se conformer à la 
présente directive au plus tard le 1er Janvier 1993. 
Les dispositions adoptées en vertu du premier alinéa se réfèrent 
explicitement à la présente directive. 
2. Les Etats membres communiquent à la Commission le texte des dispositions 
de droit Interne QU'lis adoptent dans le domaine régi par la présente 
directive. 
Article 32 
La Commission fait périodiquement un rapport au Conseil et au Parlement 
européen sur l'appl lcatlon de la présente directive et l'assortit le cas 
échéant, des propositions de modification appropriées. 
Article 33 
Les Etats membres sont destinataires de la présente directive. 
Fait à Bruxelles, Le Par Le Conseil 
-75-
Fiche Flnancl•r• 
PROPOSITION DE DIRECTIVE DU CONSEIL 
VISANT AU RAPPAOChEWENT DE CEATAINES'DIS,OSITIONS 
LEGISLATIVES. REGLEMENTAIRES tT ADWINISTRATIVES 
DES ETATS UEWBRES 
RELATIVES A LA PROTECTION DES PfRSONNES 
A L•EGARD DU TAAITEWENT DES DONNEES 
• A CARACTERE PERSONNEL 
1. Ligne bud;,talre concern'e (éventuellement t cr6er) : 
A 2511: Frais de r6ur\lons de comlt6s Clont la c·onsultatlon n'eat paa un 
'''ment obligatoire de la oroc6dure de formation d'actes communautaires. 
2. Base ''gale <ou autre) 
Article 100 A 
3. Prooosltlon de classification en d'Dense obligatoire/non obtt;atolre 
Cavec Justification su:cfnete en v!rtu de !a d~elaratfon commune du 30 
:u1n 1982) : 
non-ob 1 1 ga to 1re 
~. Oescrlotlon et Justification de l'action 
~.1. ObJectifs ·-assurer 11 oroteetlen ~es oerso~nes i 1·~gard des 
donn~es 6 caract6re oersonnel. 
-per~ettre la clrculat:o~ tra~sfrenti~r• de donn,es' 
caraet6re oeraonnel dans la co~unaut6, 
-oer~ettre le bon fonctionnement du march6 lnt6rleur. 
4.2. Cr6atlon de 2 cOMit6s c~~o6tents en ~atl!~~ ~~ ;reteetlo~ del 
personnes 6 t•6gard des donn6es i caract•r• personnel (Art. 27.30) 
personnes coneern6es : 1. Peur le Comlt6 de protection dea doftn6ea i 
caracttre personnel CArt. 27) : 
r•orèaenta~t• de ,~autorlt6 de contr61e de 
toua ••• Etata ~ambres (grouoe 4) 
2. ?our •• Comlt• ~onsultatlf CArt.30) : 
repr6aentants des Eteta .. mbrea (f'OUDe 3) 
4.3. un reor6aentant .. Il Commlaston prè•lde •• eo.lt6 de Drotectlon 
des donn6es i earact•r• oeraonnel et le Comlt6 conaultatlf. 
Le aecr6tarlat du COmlt6 ~. ~rotectlon dea donn6es 6 caracttre 
personnel est assur6 par ••• aervtcea de 11 Commlaalon. 
. .. 
-76-
5. Nature de la d'Dense et MOde de calcul 
5.1. Nature : r~unlons 
(frais de participation des .. mbres des 2 Comlt,s) 
5.2. Calcul -Comlt~ de protection des donn~es : 
24 membres Cnon-gouvernementals) 1 3 ''unions 
a 2 jours 1 1180.ECU (~90 ECU/Jour) • 84.860 ECU• 
-Comlt6 consultatif : 
24 .. mbres Coouvern.-.ntal) 1 1 r6unlon a 1 Joura 1 
780 ECU (380 ECU/Jour) • 11.720 Ecu• 
6. Incidence ffnancl6re de t•aetlon •ur les cr,dlte d•tnterventlon z 
6.1. Eeh6aneler dea cr6dlta d"engag ... nt et ~e Dll.-ent 
1993 
1994 
1995 
1895 
1997 ~ 
103.680 ECU 
• 
• 
• 
6.2. Part du financeMent communautaire daftl le coOt total 1001 
7. Observations 
1. Le Comlt6 de protection des donn6ea 6 caracttre ~eraonnel (Art. 27) 
11 est Institué ce Comité i caracttre coneultatlf et lnd6pendant et 
est eomoosé de représentants de t•autorlt6 de contr61e de tout les 
Etats ~embres, présidé par un repr6aentant de la Comm~aslon • . 
' Ce Comlt6 établit son r6glement lnt6rleur. Le aecr6tarlat du Comlt6 
est assur6 par tes services de la ComNiaalon. t 
Ulsslons de ce Comité : voir Art.21. 
2. Le Comlt6 consultatif (Art.30) : 
11 est lnstltu6 un Comlt6 consultatif OOMDOI6 •e• repr6aentanta ••s 
Etats ~embres. pr6sld6 par le repr6eentant •e la ~•aslon. 
La tommlaalon est 11111t6e par ce CoMit6 afin de prendre lee 
6ventuellea .. ,ures compt6mentalrea ft6ceaaalree POUr adaDter ••• 
dlaposltlons ie la directive au1 aD6clflclt6a .. certalnea aecteura. 
• est lmat lon 
-76-bis 
FICHE D'IMPACT SUR LA COWPETITIVITE ET L'EMPLOI 
1. Quelle eat la Justification principale de la .. aure? 
-Assurer la protection dea personnes i 1'6gard dea donn6es i caractire 
personnel. 
-Permettre la circulation transfrontlire de donn6ea i caractire peraonnel 
dans la Communaut6. 
-Permettre le bon fonctionnement du march6 lnt6rleur. 
11. caract6rlatlquea des entreprlaes concern6es. 
La proposition concerne toutes les entreprises qui utlllaent dea fichiers 
de donn6es i caractire personnel quel que aolt leur taille ou leur secteur 
d'actlvlt6. 
111. Quelles aont les obligations l~a6es directement aux entreprises? 
se conformer aux dispositions applicables aux traitements de donn6ea i 
caract~re peraonnel, notamment celles relatives i la 16gltlmlt6 de ces 
traitement• dana le secteur prlv6. 
IV. Quellea aont ••• obligation• auaceptlblea d'&tre l~a6ea Indirectement 
aux entreprlaea via lea autorlt6s locales ? 
Aucune. 
v. Y a-t-11 ~· .. aurea ap6clalea pour ••• PUE' 
Non. 
• -76-ter 
VI. Quel est l'effet pr6vlalble? 
a) eur la co.p6tltlvlt6 dea entreprlaea ? 
Lea r6glea de protection t'appliQuent i toutea lea entreprlaea et 
611mlneront lea dlatoralona de concurrence dQea i l'actuelle --­
dlaparlt6 dea 16glalatlona nationales. En ce QUI concerne leur 
comp6tltlvlt6 Internationale. la directive pr6volt dea n6goclatlons 
avec lea paya tlera QUI n'aaaurent paa encore un niveau de .. 
protection ad6Quat. 
b) eur 1'.-plol ? 
La directive pr6volt la cr6atlon d'lnatancea de contr61e 
natlonalea. -
VIl. Lea p~rtenalree 80CIIUI ont-Ill 6t6 conault6a aur c~tte propoa,lt l~r'· .? 
Non. . . 
: .... 
\. 
· ...... 
. ... 
-77-
• ProJet de 
RESOLUTION DES REPRESENTANTS DES GOUVERNEMENTS DES ETATS YEWBRES 
DES COMMUNAUTES EUROPEENNES REUNIS AU SEIN DU CONSEIL 
Les représentants des gouvernements des Etats membres des Communautés 
européennes réunis au sein du Conseil 
considérant que la directive cil Conseil relative à la protection des persorres à l'égard cil 
traitement des données~ caractère personnel assure la protection de la vie 
~rivée des personnes~ ! 'égard du traitement des données à caractère 
personnel contenues dans des fichiers du secteur privé et du secteur publ le 
à 1 'exclusion des fichiers du secteur public dont les ectlvltés ne relèvent 
:as du champ d'appl lcatlon du droit communautaire; 
désireux de facl 1 lter la coopération entre les administrations des Etats 
membres dans les secteurs ne relevant pas du champ d'application du droit 
communautaire tout en assurant un haut niveau de protection de la vie 
privée des personnes affectées; 
considérant que les principes contenus dans la directive concrétisent et 
ampl If lent ceux contenus dans la convention du 29 Ja~·ler 1981 du Conseil 
de 1 'Europe pour la protection des personnes à l'égard du traitement 
automatisédes données à caractère personnel; 
-78-
- 2 -
sont convenus de la r6solutlon suivante 
Les gouvernements des Etats membres s'engagent l appliQuer les principes 
contenus dans la directive du Conseil relative à La protection des 
personnes à L'égard du traitement des données à caractère personnel au 
secteur public ~e relevant pas du champ d'application du droit 
communautaire et à entamer les procédures législatives nécessaires à cet· 
effet. 
-79-
D6claratlon de la Commission relative i l•applleltlon aux lnstltutlo~s et 
organismes des COmmunaut's europ,ennes des prlncl,es de la directive 
••• /CEE du Conseil relative à la protection: des personnes à l'égard 
du traitement des données à caractère personnel. 
1. La Commission consld6re que les pri~clpes de la directive ·~···/CEE 
relative à la protection des personnes à l'égard du traitement des 
données à caractère personnel c~La directive") doivent s'appliquer 
aux institutions et organismes des communautés européennes. 
2. A cette fln, la Comrn•sslon prendra et proposera dans !es mel 1 leurs 
délais les mesures nécessaires. 
3. En attendant aue ces ~esures soient prl~es. la Ce~m!sslon s'engage i 
appl lquer les principes contenus dans la d!rectlv~ aux traitements des 
données • caractère personnel out relèvent de sa co~p6tence. 
4. La Commission considère Que les autres Institutions des Communaut6s 
doivent s'engager 6galement 6 appliquer les prlnctpss contenus dans ta 
directive aux traitements de données à caractère ~ersonnel Qui relèvent de 
leur comp6tence. 
Proposition de 
DIRECI'IVE DU CONSEIL 
CONCERNANT LA PROTECTION DES DONNEES 
A CARACTERE PERSONNEL ET DE LA VIE PRIVEE 
DANS LE CONTEXTE DES 
RESEAUX DE TELECOMUNICATIONS NUMERIQUES 
PUBLIQUES, ET EN PARTICULIER SYN 288 
======= 
DU RESEAU NUMERIQUE A INTEGRATION DE SERVICES (RNIS) 
ET DES RESEAUX NUMERIQUES MOBILES PUBLICS. 
-81-
JABLE DES MATI~RES 
A RESUME 
B EXPOSE DES MOTIFS 
1 Introduction 
II Les nouvelles exigences relatives à la 
protection des données pêrsor.n~s e: Je la 
vie privée dans le se("teur des 
télécommunications 
Ill La démarcht: prnpo!\é~ ~ les dispGsi:ions :.fu 
projet de directive 
IV Conclusion" 
PROPOSITION DE DIRECTI'.'E D'U CO!'lSEIL CONCERNA~IT LA PROTECTJON 
DES DONNES A CARACTEP.E PERSONNEL ET DEL~ VIE PRIVEE DANS LE 
CONTEXTE DES RESEA~X DE TELè.Cût\tl\-H..Il'lCATi0NS ,'iUMERIQUES 
PUBLIQUES, ET EN PART!CU!..!ER DC P.ES!:AU }IU~AER!QUE A I~TTEGRA TION 
DE SERVICES (RNIS) ET DES RESEAUX NUMERIQUES MOBILES PUBLICS 
-82-
A. RESUME 
L'introduction des réseaux numériques publics de télécommunications a maintenant atteint 
sa phase de concrétisation dans toute la Communauté. Au cours des premières années de 
cette décennie, plus de 70% des transmissions à grande distance, de 50% des 
commutations à grande distance et de 30 % des commutations locales seront numérisées. 
L'introduction généralisée des réseaux numériques publics de télécommunications dans la 
Communauté permettra, notamment grâce à la mise en oeuvre du réseuu numéril)Ue à 
intégration de services (RNJS) et des nouveaux services numériques mobiles, d'offrir au 
grand public des fonctions de télécommunications très largement améliorées mais exigera 
dans un même temps une approche commune à l'échelle communautaire en matière de 
protection de la vie privée, des données à caractère personnel et de la sécurité des données, 
eu égard aux exigences spécifiques du nouvel environnement des télécommunications 
numériques. 
Le Conseil et le Parlement européen ont à diverses reprises souligné le rôle central que 
doivent jouer les mesures appropriées de protection des données et de la vie privée pour le 
développement futur des télécommuni.cations dans la Communauté européenne. Dans sa 
résolution du 14 décembre 1988 sur les télécommunications, le Parlement européen a en 
particulier préconisé des mesures spécifiques "visant à assurer la protection des données et 
à garantir la confidentalité" et rappelé à la Commission "qu'il relève de sa responsahilité 
politique, parallèlement à la présentation de textes législatifs visant à ouvrir les marchés 
des télécommunications, de veiller à ce que des initiatives soient prises, sous les formes 
juridiques appropriées, pour assurer la protection des données à caractère personnel" dans 
la Communauté. 
Dans la Communauté, on attache une attention de plus en plus importante à l'impact des 
réseaux numériques sur la protec_tion des données à caractère personnel et de la vie privée. 
Dans une résolution adoptée à Berlin en 1989, les responsables de la protection des 
données dans les Etats membres ont demandé qu'une attention particulière soit accordée à 
la protection des données à caractère personnel et de la vie privée dans le contexte du 
RNIS. 
-83-
L1 proposition jointe au présent document vise à rér,or.dre aux exigences spécifiques 
concernant la protection des données à caractère personne! e: ~e la vie privée dans le 
domaine des nouveaux réseaux i'lumériques a1uoHcs de t6.écommt.~i'I~CéitÎGns. Cette 
proposition est présentée dans le contexte des propositions de la Commission, et complète 
ces dernières, concernant l'établissement d'un cadre général pour la protection des données 
dans la Communauté. 
La protection effective des données à caractère personnel et de !a vie privée devient une 
condition préalable essentielle à l'acceptaticn sociale des nouveaux réseaux et services 
numériques. EUe doit l'Onstituer un élément fondamental de la politique communautaire 
dt!s télécommunications qui a peur hut d'offrir at~ cit~yen eurcpéen tous les avantages des 
services avancés de télécommunic~tions, à un morr.en~ !)Ù ia Communauté s'oriente vers un 
t!nvironnement qui sera sensiblement plus riche en informations que par le passé. 
La proposition de directive Jt; Cu::;t;i: .::~-jc:~k ;;; ~i~ é!..ibcrée ~~~;r.s. h }kr:;,pec!ive de cet 
()hjectif général. 
-84-• 
B. EXPOSE DES ~10TIFS 
1. Introduction 
La phase actuelle d'introduction généralisée des télécommunications numériques publiques 
dans la Communauté, et en particulier la mise en oeuvre du réseau numérique à 
intégration de services (RN1S)O) et des nouveaux services numériques mobiles<2> doit 
permettre d'offrir au grand public des fonctions de télécommunications très largement 
améliorées mais, dans un même temps, exigera une approche commune à l'échelle 
européenne en matière de protection de la vie privée, des données à caractère personnel et 
de la sécurité des données eu égard aux exigences spécifiques du nouvel environnement de 
télécommunications numériques. 
Dans sa résolution concernant l'introduction coordonnée du réseau numérique à 
intégration de services dans la Communauté européenne du 12 décembre 1986<3), le 
Parlement européen a précisé que "dans le cadre du développement du réseau 
téléphonique le futur réseau numérique à intégration de services (RNIS) offrira un grand 
nomhre de services supplémentaires aux usagers professionnels et privés ... " mais a invité la 
Commission "à présenter des propositions permettant d'assurer judicieusement, dans le 
cadre du réseau RNIS en voie de création, un niveau de protection des données uniforme 
et adapté aux possibilités techniques accrues du nouveau système". Le Parlement européen 
a ensuite repris et développé ce thème dans un contexte plus général, dans le cadre de sa 
résolution du 14 décembre 1988<4) où il préconise des mesures spécifiques concernant 
l'utilisation des réseaux de télécommunications "visant à assurer la protection des données 
et à garantir la vie privée" et rappelé à la Commission "qu'il relève de sa responsahilité 
politique, parallèlement à la présentation de textes législatifs visant à ouvrir les marchés 
des télécommunications, de veiller à ce que des initiatives soient prises, sous les formes 
juridiques appropriées, pour assurer la protection des données à caractère personnel" dans 
la Communauté. 
( 11 Recommandation du Con~ il du 22 dkrmbre 1986 concernant l'introduction coordon~ du râeau aumiriq~ 1 inlé-Jntlion ck 
aervicrs (RNIS) dana LI CommunautE cumphnoe (86/659/CEE). 
Le RNIS peut ~re considéli comme une ivolulion naturelle du mcau tiléphoniq~. JI pcrmt'Ura la lraDSmiMion. via un ac:dl 
uniq~ ella ~ipes d'abonMI cxillanta, de &ipawt voc::awt (tfléphoaie) de lcXlel, de donMel ct d'imap 10111 la forme de 
toute uae lfrie de tcMc:a plus crraaas ou noweawt (pour plus de dflalll voir la recommandation du CoMelii6/659/CEE ct 
le chapitre 11). 
Confo.nMmcnl i la recommandation du Coalcil. dewt rapporta sur l'flat d'avanœrnent de la mise CD oeuvre du RNIS ~nt ~f 
pmentfl jusqu'à pracnt par la Commiuion (COM(88)S89; COM(90)123). 
(2) Recommandation du Conseil du 2S juin 1987 conoenwnll'inlrodudion coordon• da communic:alionll MObiles trrftllres 
publiques œUulairel aumiriques pancurop6cDna clans la Communauti (87/371/CEE, JO l196 du 17 juillet 1987. p. 11) ct 
directive du Contcil du 2S juin 1917 relative aux benda de frf:qumœ l râerver pour l'ialroduction coordonnic dn 
communications mobila terrestres publiques cellulaire& a&UMriqua peneiii'Op6cnna clans la Commun.autl (87 /~72/CEE, JO l 
196du 17 juillet A917, p.l5). et propoaiUoaa ulllrieures de la Commil&ioD duale domaine del commUIÛCifioas numiriques 
mobiles publique5. 
(3) Rtlolulion &ur la recommandation du Contciiiii/659/CEE. JO C 7 du l2 jenvirr 1987, p. 3}4. 
(4) Résolution sur les poslts ct lélécommunicationa, JO C 12 du 16 janvier 1989, p. 69; raolution &ur la ~ité ~ ~ud~ le 
problème ck fraptenlalion dcllélkommunicalioftl. JO C l2 du 16 jenvier 1989. p. 66. 
• 
-85-
Le Conseil, dans sa résolution èu 30 juin l988CS) r.ar laquelle ~~ :1 :.dvpté les principes du 
Livre vert sur le développement du Marché commun des services.et équipements des 
télécommunications<6> et a accordé son soutien générai awc ct.jf;(.t;fs du programme 
d'action fixés dans la commun~cation dt: 9 fév:~er 19rR~7} ~ C[hE:J§:~ que l'un des chjectifs 
politique majeurs était "de protéger les données à caractère personnel et de donner à 
chaque personne accès, grâce aux moyens de communication, à un environ~ement 
sensiblement plus riche en informations". 
Dans sa résolution sur le renforcement de la coordination pour l'introdu.::ion du réseau 
numérique à intégration de services (RNIS) dans la Communauté européenne pour 1992•8) 
le Conseil a développé ce thème, dans la perspective du RNIS, en soulignant qu'il était 
nécessaire de poursuivre "la discussion au niveau européen ~Lif les exigences de la 
protection de la vie privée des utilisateurs et les exigences e::1 matière de s~curité des 
communications dans le contexte de la forunitures de nouveaux services, conformément à 
la résolution du Parlement européen du 12 décembre 1;,ô6 sur ~à 
recommandation 86/659 /CEE". 
Les représentants des autorités de contrôle re~poa1Sétbi<::~ Je !~ pi v~c:~~:.:>:: d.es J~,)pn~es dans 
les Etats membres ont adopté lors de la lle Conférence interna~i:male tenue à Berlin du 2~ 
au 31 août 1989 une résolution demandant qu'une attemicn part!~~iière so!t a~ordée à la 
protection des données et la vie privée dans le contexte du Ri.;:s. 
La Commission, par la proposition jointe au présent document, répond à ces exigences en 
matière de mesures communautaires spécifiques cor.cer11ant !a protection des données à 
caractère personnel et de la vie privée dar.s le contex!e de la ~ise en oeuvre des nouveaux 
réseaux numériques publics de télécommunications, et en particulier du réseau numérique 
tt intégration de services e! dts réseaux n~;T,ériques mco~es p;..biics. Ei~è tiè:-st compte du 
climat de préoccupation· r~!rfaitement fcodé-concer:-:a."!t !'!~;a:! 2mrr.édi:!t des réseaux 
numériques sur la protection des données à caractère personnel et de la vie privée. La 
Commission a également consiJéré què ia pro.:èt.tion dc:s dc,nnées et la pfoteuion de la vie 
privée constituent des exigenres esser.tieHes d3ns le ~ontexte du développ~ment futur d'un 
environnement de réseau ouvert dans la Communauté<9)_ 
(S) Résolution du Conseil du 30 juin 19!PI sur Il" ~w~mt'PI du Ma~chi' cc.:mn~!l ~ ~tvi~ et ~quipemt'nts <!ros 
t~~communications d'ici à 1992 (JO C 257, p 1). 
(6) COM(87)290. 
(7) Vrrs un marché rommunautai~ œi\CUrrentit'l ~ tl~""'""'"r:lca'io!':.s !09~ "!':~ ~!' ~ll'Y~ d'J li'· T" Y"rt '"!Ir 
~eloppemrnl du Marc~ commua des ~rviœs et ~OJipe&Ynl de ~~~~!'l".:.~u!li..::a >ons. 'S!at ja ~~l!S..\i..~ns et ~r-:p<l'ifi<lns de 
la Commillion (C0~(88)48). 
(8) JO C 196 du 1er août 1989. p. 4 
(9) Position oommune arrêtée par Ir Ccnaei.lle 5.2.1990 en vue dr i'adoplJOn ae la DlreaiVe rci;\I!Vr à i fublis.~mrnl du marché 
Ïftltrieur des ~rvices de tfk-comml.fticalions par la mise en tl>tL"H~ ~ , 1 :~ -: .. , .• r· .' w<, ;·r-.ol'll.' 00.'Yt't1 ,Jto tc:!.ecommunica!IOI\S. 
J.O ..... 
-86--
La proposition doit être envisélgée dans Je contexte des discussions et des principes 
généraux concernant la protection des données à caractère personnel établis en Europe par 
la Convention de 1981 du Conseil de J'Europe pour la protection des personnes à l'égard 
du traitement automatisé des données à caractère personneJ et qui a été ratifié à l'heure 
actuelle par sept Etats membres de la Communauté. La proposition esr présentée da:~s Je 
contexte des propositions de la Commission, et complète ces dernières, concernant 
l'établissement d'un cadre général pour la protection des données dans la Communauté qui 
sont soumises parallèlement, et en particulier du projet de proposition de directive du 
Conseil visant au rapprochement de certaines dispositions législatives, réglementaires et 
administratives des Etats membres relatives à la protection des personnes à J'égard du 
traitement des données à caractère personnel, le projet de recommendation d'une décision 
du Conseil concernant l'ouverture des négociations en vue de l'adhésion de la 
Communauté économique européenne, dans les domaines qui sont de sa compétence, à la 
Convention du Conseil de l'Europe pour la protection des personnes à l'égard du 
traitement automatisé des données à caractère personnel et la proposition de Décision du 
Conseil dans le domaine de la sécurité des systèmes de l'information ; en complément, la 
Commission développera des règles internes visant à garantir aux personnes concernées un 
niveau de protection équivalent aux principes de la Directive du Conseil mentionnée ci­
dessus. 
Dans ce contexte général, la directive ci-jointe a pour objectif de prévoir les dispositions 
requises pour le rapprochement des législations, réglements et dispositions administratives 
dans la Communauté dans le domaine de la protection des données à caractère personnel 
et de la vie privée, eu égard aux réseaux numériques mobiles et fixes de 
télécommunications publics et aux nouvelles fonctions "intelligentes" qu'ils offrent. 
-8.7~ 
l :. Les ncluvelles exi1:ences spécifiques concernctnt la pr<Jtectian des d<.,nn~es à caract~re 
personnel et de la vie pri\ée dans le secteur des télé\.:ommunications 
La "numérisation" des réseaux publics de télécommunications est maintenant en cours dans 
l'ensemble de la Communauté. AU cours des premières années de cette décennie, plus de 
· 70% des transmissions à grand~ distance, 50% des commutations à grande distance et 
30 des commutations locales seront numérisées. 
Le concept de numérisation porte sur l'introduction de centraux entièrement informatisés 
ct sur le traitement et la transmission de toutes les informations circulant via les réseaux de 
télécommunications -signaux vocaux, données et images -sous la forme de chiffres 
binaires<10>. Les "trains binaires" ainsi produits peuvent être traités directement grâce à 
l'intelligence des ordinateurs, tant à l'intérieur du réseau que dans le terminal de l'abonné. 
Cette technique débouche sur des services d'un niveau qualitatif accru qui ne peut être 
obtenu avec les techniques "analogiques" traditionnelles, ainsi que sur un nombre 
important de nouvelles fonctions "intelligentes" ouvrant une vaste gamme de nouvelles 
activités via les réseaux de télécommunications. Les communications entièrement 
numérique d'un point à l'autre (abonné à abonné) sont offertes par le réseau numérique à 
intégration de services en évolution et les nouveaux systèmes de communications mobiles 
pübliques numériques,n>. 
Pour ce qui concerne la protection de données, l'introduction des réseaux numériques 
rublics a deux conséquences essentielles. 
~·une part, les techniques entièrement informatisées qui peuvent aujourd'hui être utilisées 
permettent d'offrir un niveau nettement plus élevé de sécurité des données en fonction 
J'exigences individueHes spéc~f;G4,;es, grâce par exemple aux techniques perfectior,r.ée;) de 
';hiffrement. 
D'aut&e part, en raison du traitement n:JmériqJe des dcr.nées de fo~ctionneme:lt et 
J'appel, et du traitement par les centraux informatisés, il deviendrait possible -en l'absence 
Je mesures adéquates de protection des données· de stocker et de surveiller 
.~}'S~ématiquement les données spécifiques relatives aux ap~els, concernar . .: nolammer.t leur 
origine. De tels contrôles n'étaient possibles dans les réseaux traditionnels analogiques 
"non intelligents" que par la mise en oeuvre d'efforts techniques considériibles et ils 
n'é.:aient donc utilisé qt;e èans dës dr~0nstar.~es tcut à fr-it excep!icn:ïelles. 
Dans, un même temps, les nouvelles fonctions intelligents de télécommunications, telles 
~ju'dles sont définies par le~ '\ervi~!!S st!pplémentaires" ~u RNJSC!2) offrent à !'ahonné des 
t"onctions de services supplémentaires, du type facturation détaillée, non négligeahles <.tui 
amélioreront la qualité des services ainsi que la protection des consommateurs. Les 
nouvelles fonctions exigeront ~ependant des mesures et rég:ementations particulières, si 
l'on veut garantir dans le nouvel environnement la protection de la vie privée. 
i 10) Les ordinatrun traitent toulrs les information& sous la formr dr •chiffres binaires•. c'N·à·dire rn bgmcnlant louees les 
ii\Corma&ions en éjf~nls d'ir,f.lm,;.lion lo:adamuiAW. (bit.s) Je V!IÎttl.o'\ 'l~!:.J .... "A. 
( 111 
:12) Voir les recomma~dalions d.o C.;.r.s.eil86/659/CEF d 87 /171/C::E. r .. ">Cn ~:~ b&S Jot p«~r 1 ri 2 ci-l"'anl. 
Pour plus dr détaib, voit &a recommandotion du Cot'~ii ~/6.59/CEE. nolt SOl. 
-88-
Par conséquent, l'introduction des réseaux numériques de télécommunications dans la 
Communauté suscite, en matière de protection des données à caractère personnel, des 
<.fuestions importantes qui doivent être aoordées, notamment en matière de traitement : 
des informations concernant l'abonné, de plus en plus souvent stockées dans des 
fichiers informatisés d'abonnés; 
des données relatives au trafic et à d'autres fonctions opérationnelles ; 
des données relatives à la facturation détaillée; 
de l'identification de la ligne appelante; 
du renvoi automatique d'appels à des tiers; 
des messages non sollicités; 
des caractéristiques techniques spécifiques pour les terminaux et autres équipements 
qui peuvent être requises afin d'assurer une protection appropriée. 
Les mesures générales de protection des données à caractère personnel, du type préconisé 
par la Convention du Conseil de l'Europe et qui doivent être étahlies par la Communauté. 
par le truchement des initiatives de la Commission citées ci-avant, constituent un cadre 
général mais ne prévoient aucune disposition concernant les mesures détaillées requises 
pour aborder ces questions. 
Les dispositions générales relatives à la protection des données à caractère personnel ne 
peuvent empêcher à l'heure actueUe l'apparition de législations. ré~ementations et 
mesures administratives divergentes dans les Etats memhres pour ce qui çonçerne 
l'exploitation des futurs réseaux numériques qui pourraient très rapidement menacer le 
développement du marché commun des services et équipements termina.ux de 
télécommunications. 
Ainsi, dans Je domaine de l'identification de la ligne appelante, certains Etats membres 
prévoient une élimination cas par cas de cette fonction par l'abonné appelant. Dans le cas 
où une telle élimination se ferait à l'aide d'un bouton sur Je combiné téléphonique, tandis 
que d'autres exploitants décideraient de prévoir cette élimination à l'aide d'un code à 
utiliser avant le lancement de l'appel, la libre circulation de équipements terminaux dans la 
Communauté deviendrait problématique. 
Une comparaison établie entre les dispositions nationales existantes révèle des divergences 
considérables concernant à la fois la teneur et la nature des instruments juridiques utilisés. 
Dans ces circonstances, on voit se développer dans la Communauté une situation 
d'incertitude juridique en ce qui concerne les réseaux et services de télécommunications, 
incertitude qui fait peser une lourde menace sur l'offre transfrontière de services. 
En l'absence d'une directive concernant les mesures spécifiques requises pour mettre en 
oeuvre les principes généraux de protection des données et de la vie privée, dans Je 
contexte des réseaux numériques fixes et mobiles publics, il serait impossible d'empêcher 
des développements divergents dans la Communauté. 
-89-
Dans un m2me temps. la protection effective à l'échelle communautaire des données :'1 
c1ractèrc personnel cl de la vic privée devient une condition préalahlc essentielle i1 
LH.TL'ptation sociale des nouveaux réseaux et services numériques~ <.'ettc exigence a été 
confirmée par le Conseil lors de sa réunion du 7 novemhre 1989 où il a conclu, en ce qui 
concerne les aspects sociaux des télécommunications, qu'il était indispensable d'assurer la 
protection de la vie privée et des données à caractère personnel dans une perspective 
européenne. 
La proposition de directive du Conseil jointe au présent document a pour objectif de 
répondre à ces exigences spécifiques. 
-90-
JI l. La démarche proposée : les dispositions du projet de directive 
l.'ohjn:tif génér;tl Je la proposition de llirective est Je garantir au citoyen européen dans 
l'ensemble de la Communaut2 un niveau de base de protection des données à caractère 
personnel et de la vie privée, par des mesures qui doivent être intégrées dans Poffre 
générale des nouvelles télécommunications numériques, tout en renvoyant les exigences 
relatives aux niveaux améliorés de sécurité des données pour des cas et applications 
individuels précis aux mesures spécifiques qui doivent être mises au point dans le cadre du 
programme de travail fixé par la proposition de la Commission de décision du Conseil 
concernant la sécurité des systèmes d'information citée ci-dessus. 
La directive proposée vise à établir un niveau de base de protection de l'abonné en général 
dans le nouvel environnement numérique en soulignant deux principes fondamentaux : 
minimiser le risque d'abus en limitant les données traitées et stockées dans le contexte 
de l'exploitation des télécommunications publiques au strict minimum requis pour 
assurer un niveau adéquat de l'exploitation, la qualité du service et les fonctions 
offertes à l'abonné ; 
garantir pleinement ù l'abonné le droit d'autodétermination en matière d'information, 
tant en ce qui concerne l'organisation des télécommunications fournissant les services 
qu'à l'égard de J'autre abonné dans l'établissement d'une connexion et de tout tiers qui 
pourrait vouloir obtenir un accès aux données transmises ou fournies dans le contexte 
d'une transaction via un réseau public de télécommunications. 
Comme l'impact le plus marqué sur l'abonné en général du nouvel environnement de 
télécommunications portera sur le domaine de la téléphonie vocale, la directive proposée 
est centrée sur ce secteur. Toutefois, elle prévoit une procédure concernant l'application 
des dispositions relatives à la téléphonie vocale à d'autres services de télécommunications 
publiques numériques, le cas échéant, comme les services publics de transmission de 
données dans le contexte du R.N.I.S., les réseaux de données à commutation de paquets et 
de circuits et d'autres services de télécommunications publiques connexes. 
En outre, au vue de l'état actuel de transition des réseaux publics de télécommunication 
dans la Communauté, et en particulier du fait que certains centraux à commande par 
programmes stockés (SPC), bien qu'ils ne soient pas encore numériques, fournissent un 
certain nombre des fonctions intelligentes concernées, la directive proposée prévoit, dans le 
cas où un Etat membre n'a pas encore mis en oeuvre le réseau numérique à intégration de 
service ou les réseaux numériques mohiles publics, que les dispositions de la directive 
seront mises en oeuvre dans la mesure où elles s'appliquent également aux services basés 
sur des réseaux analogiques. 
Compte tenu de ces principes généraux, la teneur de la directive proposée aborde plus 
particulièrement :la collecte, le stockage et le traitement des données à caractère 
personnel dans le fichier de l'abonné; le stockage et le traitement des données relatives au 
tntfic et à la facturation, en particulier aux fins de l'établissement d'une facturation 
détaillée; le problème ùe l'identification de la ligne appelante ; l'accès par des tiers, les 
appels non sollicités; et les procédures qui doivent être adoptées afin d'établir les normes 
techniques déterminées qui pourrait être requise. 
Les articles de la Directive sont brièvement expliqués ci-dessous : 
Les articles premier et 2 décrivent les objectifs &énéraux de la directive et son application à 
la protection des données et de la vie privée, eu égard aux services publics de 
t~lécommunication dans les réseaux numériques publics de télécommunications dans la 
Communauté. 
-91-
L'article 3 contient les définitions des termes importants, dans la ligne de la position 
commune du Conseil relative à la mise en oeuvre de la fourniture d'un réseau ouvert 
(ONP) mentionnée ci-dessus <JJ)_ 
Le principe général de l'article 4 selon lequel la collecte, le stockage et le traitement des 
données à caractère personnel par une organisation des télécommunications se justifient 
uniguement aux fins de la fourniture du service voulu et ne peuvent être utilisés sans 
autorisation légale ou sans consentement préalable de l'abonné à d'autres fins est appliqué 
dans l'article 5 à la création de fichiers d'abonnés. Comme le précise Pintroduction de la 
directive, ces opérations de collectes, de stockage et de traitement des données à caractère 
personnel ne peuvent en particulier être utilisées pour donner à une organisation des 
télécommunications un avantage concurrentiel quelconque indu vis-à-vis d'autres 
prestataires de service dans des domaines concurrentiels. 
L'article 6 énumère les droits de l'utilisateur concernant ses données à caractère personnel 
détenues par une organisation des télécommunications et l'article 7 précise le principe de 
non divulgation de ces données à des tiers sans le consentement de l'abonné ou une 
autorisation légale. 
L'article 8 a pour but de garantir un niveau adéguat de protection des données contre tout 
accès non autorisé. 
Les articles 9 et 10 appliquent le principe du stockage et du traitement des données à 
caractère personnel dans la mesure requise à des fins de télécommunication, uniquement 
aux données relatives à la facturation et au trafic. L'aticle 11 a pour but de protéger la vie 
privée des abonnés pour ce qui concerne la facturation détaillée, via l'exigence d'anonymat 
de l'abonné appelant. 
Les articles 12 et 13 contiennent les dispositions détaillées relatives à l'identification de la 
li~ne appelante. La possibilité d'éliminer cette fonction d'identification doit être disponible 
parce que, entre autres, les appelants en liaison téléphonique avec des centres de 
réhabilitation de drogués et d'alcooliques, des centres de protection de la famille ou des 
services de santé mentale sont légitimement préoccupés par le fait que cette caractéristique 
du service téléphonique pourrait compromettre leur anonymat; la même remarque 
s'applique aux lignes téléphoniques d'aide à la prévention du suicide et en matière de 
SIDA. 
Toutefois, l'abonné appelé peut avoir un intérêt légitime à recevoir uniquement des appels 
identifiés. Afin de garantir le droit à l'autodétermination de l'information tant à l'appelant 
qu'à l'appelé, l'abonné appelé doit donc avoir la possibilité de limiter l'acceptation des 
appels entrants à ceux qui identifient le numéro de l'abonné appelant. 
De plus, les organisations de télécommunications doivent fournir une fonction d'annulation 
(hloca~:e) de l'élimination de la fonction d'identification en cas d'appels malveillants; la 
fonction doit également pouvoir être disponible à des fins de poursuite de délits criminels 
et pour les services d'urgence en particulier pour les brigades de pompiers, afin d'empêcher 
l'abus de services de ce type. 
L'article 14 assure la protection de la vie privée et de l'abonné appelant et de l'abonné 
appelé en cas d'utilisation des fonctions de renvoi d'appel. 
L'article 15 a pour but d'empêcher, par des moyens techniques que le contenu des appels 
téléphoniques soit stockée et/ou diffusée à des tiers sans information préalable de 
l'abonnée appelant. 
13) voir fK\It N" 9. 
-92-
Les articles 16 et 17 visent à empêcher l'utilisation non autorisée des données à caractère 
personnel des abonnés par les prestataires de services de télé-
achat et vidéotex afin d'éviter l'établissement de profils de consommateurs; ils visent 
également à la protection de la vie privée des abonnés contre les messages non soljicitÇ~'i. 
comme par exemple la publicité indésirable via des moyens de télécommunication. 
L'article 18 a pour but d'empêcher que l'introduction de fonctions techniques basées sur 
des exigences de protection des données puisse entraîner l'apparition de restrictions indues 
à la libre circulation des équipements et services de télécommunication~ dans la 
Communauté, en assurant, si nécessaire, l'~laboration de normes européennes communes 
concernant la mise en oeuvre de fonctions techniques spécifiques. Conformément à la 
directive du Conseil sur Je rapprochement des législations des Etats membres relatives aux 
équipements terr4~naux de télécommunications, incluant la reconnaissance mutuelle de 
leur conformité J, et à la décision du Conseil 87 /95/CEE du 22 décembre 1986 sur la 
normalisation dans lÏ~omaine des technologies de l'information et des 
télécommunications >, des travaux techniques doivent être confiés aux organismes 
européens de normalisation adéquats, et en particulier à l'Institut européen des Normes de 
Télécommunication (ETSI) et au CEN/CENELEC. 
Les dispositions finales des articles 19 à 25 portent sur le champ d'application des 
modifications requises pour adapter cette directive aux nouveaux d~velopn.~.nl~!l!.~ 
techniques et les procédures de consultation. lJ est prévu qu'un groupe composé de 
représentants des autorités de contrôle responsables de la protection des données dans les 
Etats membres et qu'un comité composé de représentant des Etats membres assistent la 
Commission dans la mise en oeuvre de la directive. Ces comités devraient être, selon la 
proposition, ceux définis à cette fin dans le projet de proposition de ùirective du Conseil 
visant au rapprochement de certaines dispositions législatives, réglementaires et 
administratives des Etats membres relative à la protection des personnes à l'égard du 
traitement des données à caractère personnel, qui est présenté parallèlement(voir ci­
dessus) mais seraient institués spé~ifiquement aux fins de la présente directive. 
'!: COM(89)21iq · SYI" 204. 27 7.1989 
1~\ J 0 L'\6. 7 f~ner 19!!7. p 31 
-93-
IV. Conclusion 
La protection effective à l'échelle communautaire des données à caractère personnel et de 
la vie privée devient une condition préalable essentielle à l'acceptation sociale des 
nouveaux réseaux et services numériques. 
En l'absence d'une directive concernant les dispositions spécifiques requises pour mettre 
en oeuvre les principes généraux de protection des données à caractère personnel et de lu 
vie privée, eu égard aux exigences spécifiques des réseaux numériques fiXes et mobiles 
publics, il serait impossible d'empêcher des développements divergents dans la 
Communauté qui menaceraient rapidement le développement du marché commun des 
services et équipements terminaux de télécommunications. 
Le projet de directive ci-joint a pour but de prévoir ces dispositions spécifiques. 
Le Conseil est par conséquent invité à adopter la proposition de directive jointe au présent 
document. 
, 
-94-
PROPOSITION DE 
DIRECTIVE DU CONSEIL 
CONCERNANT LA PROTECTION DES 
DONNEES A CARACTERE PERSONNEL ET DE LA VIE PRIVEE 
DANS LE CADRE DES 
RESEAUX NUMERIQUES PUBLICS DE TELECOr.1MUNICATIONS, 
EN PARTICULIER DES RESEAUX NUMERIQUES A 
INTEGRATION DE SERVICES (RNIS) ET DES RESEAUX MOBILES 
NUl\1ERIQUES PUBLICS SYN 288 
-95-
I.E CONSEIL DES COMMUNAUTES EUROPEENNES 
Vu le Traité instituant la Communauté économique européenne, et en particulier son 
article lOOa, 
vu la proposition de la Commission <1> 
en coopération avec le Parlement européen (2) 
vu l'avis du Comité économique et socia! (3) 
1. Considêr~Ht que la directive du Consei l du relative 
à la protection des personnes à l'égard du traitement des données à caractère 
personnel préconise que les Etats-membres assurent la protection de la vie privée lies 
personnes; 
2. considérant qu'à l'heure actuelle apparaissent dans la Communauté européenne de 
nouveaux réseaux téléphoniques numériques publics de technologie avancée, qui 
provoquent l'émergence d'exigences spécifiques concernant la protection des données 
à caractère personnel et de la vie privée des usagers; 
3. considérant que cette évolution concerne en particulier l'introduction des réseaux 
numériques à intégration de services (RNJS) et des réseaux mohiles numériques 
publics; 
(1) ••• 
( 2) ••• 
(3) ••• 
-96-
• 
4. considérant 4ue le Conseil des ministres a, dans sa résolution du ~0 juin 1988 sur le 
d-:·vdoppcment du marché commun des services et équipements des 
télécommunications pour 1992 (4), préconisé que des mesures soient prises pour 
protéger les données à caractère personnel afin de créer un environnement adéquat 
pour le développement futur des télécommunications dans la Communauté; que 
Le Conseil a souligné à nouveau L'importance que revêt La protection 
des données à caractère personnel et de la vie privée dans sa résolution du 
18 juillet 1989 concernant le renforcement de la coordination pour l'introduction des 
réseaux numériques à intégration de services (RNIS) dans la Communauté 
européenne. (5) 
5. considérant que le Parlement européen a souligné l'importance que revêt la 
protection des données à caractère personnel et de la vie privée dans les réseaux de 
télécommunication, eu égard en particulier à l'introduction des réseaux numériques H 
intégration de services (RNIS) (6) (7) (8); 
(,. considérant que la recommandation 81/679/CEE du ConseiL· préconise 
l'adoption et la ratification par les Etats memhres du Conseil de l'Europe de la 
convention pour la protection des personnes à l'égard du traitement automatisé des 
données à caract~re personnel. qui définit les principes généraux pour la protection 
de~ données à caractère personnel; 
7. Considérant qu'un certàin nombre d'Etats membres ont adopté et ratifié 
cette convention; 
(4) l()('2'\71.lu4.10.19~.p 1 
( 5) JO C 196 du 1.8.1989, p. 4. 
( 6) 10 C 7, c.Ju 12 1.1987, p. 334 
Ct>· Jo C 12 dJ 16. 1.198?. p. 69 
(8) Jo C 12 du 16.1.1989.p.66 ,' / '; 
-97-
X. Considérant ~a décision ••• /CEE d.J Conc;ei l (9) prévoit l'owerture des négociations en vue 
de l'adhésion de la Communauté économique européenne dans les domaines qui sont 
de sa compétence, à la convention du Conseil de l'Europe pour la protection des 
personnes à l'égard du traitement automatisé des données à caractère personnel; 
9. Considérant que la directive ••• /CEE du Conseit([elative 
à la protection des personnes à l'égard du traitement des données à caractère 
personnel]met en oeuvre l'adoption de ces principes généraux dans la 
Communauté ; 
10. considérant que, dans le cas des réseaux numériques publics, des dispositions 
législatives, réglementaires et techniques spécifiques doivent être prises afin de 
protéger les données à caractère personnel et la vie privée des usagers eu égard aux 
risques accrus découlant du stockage et du traitement informatique des données à 
caractère personnel dans les réseaux de ce type; 
11. considérant que les Etats membres mettent à l'heure actuelle au point des dispositions 
divergentes dans ce domaine; 
12. considérant qu'étant donné les obstacles résultant de ces divergences au niveau des 
dispositions législatives, réglementaires et techniques concernant la protection des 
données ù caractère personnel et de la vie privée dans le cadre de la mise en oeuvre 
des réseaux numériques publics de télécommunication dans la Communauté, et en 
particulier des réseaux numériques à intégration de services (RNIS) et des réseaux 
mobiles numériques puhlics, la complète mise en oeuvre d'un marché des services et 
équipements de télécommunication à l'échelle communautaire exige l'introduction 
rapide de dispositions harmonisées; 
13. considérant que la présente directive doit déterminer dans quelle mesure les 
données à caractère personnel peuvent être collectées, stockées et traitées dans le 
cadre de la fourniture de services de télécommunications; 
9) J.O ..... 
-98-
14. considérant que la collecte, le stockage et le traitement des données à caractère 
personnel par une organisation des télécommunications se justifient uniquement aux 
fins de la fourniture du service voulu et ne peuvent être utilisés, sauf autorisation 
légale spécifique ou consentement préalable de l'abonné, à d'autres fins; 
que cette collecte, ce stockage et ce traitement des données à caractère personnel ne 
peuvent en particulier être utilisés pour donner à cette organisation des 
télécommunications un quelconque avantage concurrentiel indO à l'égard des autres 
prestataires de services; 
15. considérant que la présente directive doit appliquer au secteur des 
télécommunications les principes généraux concernant le droit de l'abonné à prendre 
connaissance de ses données à caractère personnel qui sont stockées, le droit de 
demander la rectification ou l'annulation, si c'est nécessaire, ainsi que le droit 
d'empêcher la divulgation non autorisée de ces données; 
1 ü. considérant que la présente directive doit prévoir l'harmonisation de la 
réglementation des Etats membres concernant la protection de la vie privée dans le 
domaine de la facturation détaillée; 
17. considérant qu'il est nécessaire, en ce qui concerne l'identification de la ligne 
appelante, de garantir le droit à l'anonymat de la partie appelante et de protéger la vie 
privée de l'abonné appelé dans le cadre d'appels non identifiés; 
IK considérant qu'il faut protéger les utilisateurs de services de télé-achat et vidéotex 
contre l'utilisation non autorisée de leurs données à caractère personnel et les 
abonnés en général contre la violation de leur vie privée par des appels non sollicités; 
1 <J. considérant qu'il faut s'assurer que l'introduction des caractéristique techniques des 
équipements de télécommunications visant à la protection des données soit 
harmonisée pour être compatible avec la mise en oeuvre du marché intérieur de 
19<J2 ; 
-99-
20. considérant que la mise en oeuvre de la présente directive en ce qui concerne les pays 
tiers doit tenir compte du niveau de protection des données à caractère personnel ct 
de la vic privée en vigueur dans ces pays, conformément à la directive ••• 1 CEE; 
21. considérant qu'à tout sujet concernant la protection des données à caractère 
personnel et de la vie privée dans le cadre des réseaux numériques publics de 
télécommunications, qui n'est pas couvert par les dispositions de cette directive 
spécifique, la directive ••• /CEE doit être appliquée; 
22. considérant que ladite directive ne traite pas les prOblèmes de protection des 
données à caractère personnel et de protection de la vie privée 
gui concernent la sécurité nationale; 
2~. considérant qu'il est utile pour la préparation de mesures destinées à la mise en 
oeuvre ou à la modificati0.a Je: la présente directive de faire appel à l'expérience liu 
groupe composé de représentants de l'autorité de contrôle de la protection des 
données dans les Etats membres institué par l'article 27 de la directive • • • 1 CEE; 
24. considérant que de telles mesures doivent être préparées avec le concours du comité 
composé de représentants des Etats membres institué par l'article 30 de la directive ••• /CEE. 
-10D-
1\ ARRETE LA PRESENTE DIRECfJVE: 
Article premier 
1. La présente directive concerne l'harmonisation des dispositions requises pour assurer 
un niveau équivalent de protection de la vie privée dans la Communauté, ainsi que la 
libre circulation des équipements et services de télécommunication au sein des Etats 
membres et entre ces derniers. 
2. Les Etab memhres adoptent, conformément à la présente directive, les dispositions 
particulières nécessaires afin de garantir la protection des données à caractère 
personnel et de la vie privée dans le secteur des télécommunications. 
Article 2 
l. Sans préjudice des dispositions générales de la· directive ••• /CEE 
La présente directive concerne spécifiquement la 
colJecte, le stockage et le traitement des données à caractère personnel par des 
organisations des télécommunications dans le cadre de la fourniture de services 
publics de télécommunications au sein des réseaux publics de télécommunications 
numériques dans la Communauté, et en particulier via les réseaux numériques à 
intégration de services (RNIS) et les réseaux mobiles numériques publics. 
-101-
2. Dans les cas où un Etat membre n'a pas encore mis en oeuvre le réseau numérique à 
intégration de services ( RNIS) ou les réseaux mobiles numériques publics, les 
dispositions de la présente directive sont à mettre en place dans la mesure où elles 
s'appliquent également aux services basés sur les réseaux analogiques. 
1. 
2. Article 3 
Au sens de la présente directive on entend par : 
"données à caractère personnel", toute information concernant une 
personne identifiée ou identifiable. 
~organisation des ttlécommunications", une entité publique ou privée à 
laquelle un Etat membre octroie des droits spéciaux ou exclusifs pour l'établissement 
de réseaux publics de télécommunications et, le cas échéant, la fourniture de services 
publics de télécommunications. 
3. '"réseau ptblic detélécommunications", l'infrastructure publique de 
télécommunications permettant le transport de signaux entre des points de 
terminaison définis du réseau par fils, par faisceaux hertziens, par moyens optiques ou 
par d'autres méthodes électromagnétiques. 
4. service public de télécommunications", un service de 
télécommunications dont les Etats membres ont spécifiquement confié l'offre 
notamment à une ou à plusieurs organisations de télécommunications. 
-102-
Article 4 
1. La coUectt!, le stockage et le traitement de données à caractère personnel par une 
organisation des télécommunications ne peut se justifier qu'à des fins de 
télécommunication, en particulier dans Je but d'établir des connexions pour la 
transmission de voix, de données ou d'images, d'établir des factures, d'établir des 
annuaires et à d'autres fins opérationnelles légitimes, comme par exemple les 
corrections d'erreurs, la prévention de l'utilisation inappropriée de l'équipement d'une 
organisation des télécommunications, ou l'enregistrement des appels conformément 
aux dispositions de l'article 13 paragraphe 1. 
2. L'organisation des télécommunications ne peut utiliser des données de ce type pour 
établir des profils électroniques des abonnés ou des classifications des abonnés par 
catégories. 
Article 5 
1. Les données à caractère personnel de l'abonné peuvent être recueillies et stockées 
dans la mesurt! nécessaire pour conclure. exécuter, modifier ou mettre fin au contrat 
avec l'organisation des tél~communications. A l'expiration du contrat, les données de 
l'abonné doivent être effacées sauf lorsqu'il s'agit, pour la durée requise à cette fin, de 
répondre à des plaintes, de récupérer des redevances ou d'assurer la conformité avec 
d'autres obligations imposées par la législation de l'Etat membre concerné, 
conformément à la législation communautaire. 
2. Le contenu des informations transmises ne peut être stocké par l'organisation des 
télécommunications après la fin de la transmission, sauf conformément à des 
obligations imposées par la législation de l'Etat membre, conformément au droit 
communautaire. 
-103-
Article 6 
L'abonné a le droit 
l. d'obtenir à des intervalles raisonnables et sans délais ou frais excessifs la 
confirmation si des données à caractère personnelle concernant sont stockées, 
ainsi que la communication de ces données sous une forme intelligible ; 
2. d'obtenir, le cas échéant, la rectification de ces données ou leur effacement 
lorsqu'elles ont été traitées en violation des dispositions imposées par le Jroit 
des Etats membres, établies conformément au droit communautaire. 
Article 7 
1. En principe. toutes les données à caractère personnel soumises à un traitement dans le 
cadre des réseaux et services de télécommunications doivent être traitées de façon 
confidentielle. 
2. Des données à caractère personnel ne peuvent être divulguées à l'extérieur des 
services ou du réseau de l'organisation des télécommunications sans l'autorisation 
spécifique de la législation ou sans l'accord préalable de l'abonné. Un abonné ne sera 
réputé avoir donné un tel accord que lorsqu'ill'aura fait en réponse à une demande de 
l'organisation des télécommunications. Sans l'accord préalable de l'abonné, ces 
données à caractère personnel ne peuvent être divulguées à des personnes de 
l'organisation des télécommunications qui ne sont pas concernées par les services 
fournis. 
~-L'organisation des télécommunications ne peut subordonner la fourniture de ses 
-104-
services à un te] accord. 
Article 8 
1. L'organisation des télécommunications doit assurer une protection adéquate et d'un 
niveau correspondant à J'état de la technique, des données à caractère personnel 
contre l'accès et l'utilisation non autorisés. 
2. Dans les cas où il y a un risque particulier de violation de la sécurité d'un réseau, 
comme par exemple dans le domaine de la radiotéléphonie mohile, l'organisation des 
télécommunications doit en informer les abonnés et leur offrir un service de 
chiffrement du bout en bout. 
Article 9 
1. Les informations de facturation contenant le numéro de téléphone ou l'identification 
du poste de J'abonné, l'adresse de l'abonn~ et le type de poste, le nomhre total d'unités 
à facturer pour la période de facturation, le numéro de téléphone de l'appelé, le type 
et la durée des appels effectués et/ou le volume des données transmises et d'autres 
informations requises pour la facturation. comme des informations sur des paiements 
anticipés, paiements échelonn~s, déconnexions et rappels, peuvent être stockées et 
traitées. 
2 Un tel type de stockage général d'informations de facturation est admissible jusqu'à la 
fin de la période légale durant laquelle la facture peut !tre contestée. 
-105-
Article JO 
1. Les informations relatives au trafic et concernant les données à caractère personnel 
requises pour l'établissement des appels, ou pour la facturation, ou encore à d'autres 
fins d'exploitation, comme le numéro de téléphone de l'abonné et de l'abonné appelé, 
l'heure à laquelle chaque appel a débuté et s'est achevé et le service de 
télécommunications utilisé par l'abonné peuvent être collectées, stockées et traitées, 
diins la mesure où elles sont nécessiiires pour fournir le service de télécommunication 
demandé. 
2. Les données relatives au triific stockées dans les centres de commutation de 
l'organisation des télécommunications doivent être effacées après l'interruption de 
l'appel, sauf si les données sont rendues anonymes ou restent nécessaires à des fins de 
facturation ou à d'autres fins légitimes au sens de l'article 4. 
Article 11 
Sur demande de l'abonné, une facture téléphonique détaillée peut être produite 
contenant, entre autres, les numéros de téléphone des abonnés appelés sans les 
quatre derniers chiffres. 
-106 -
Artidt: 12 
1. En ce qui concerne les communications entre abonnés connectés l des centraux 
numériques, l'abonné appelant doit avoir la possibilité de supprimer, au cas par cas, 
grâce à un dispositif technique simple, l'affichage de son numéro de téléphone sur 
l'appareil de l'abonné appelé, ou son enregistrement dans une unité de stockage de cet 
appareil. 
La transmission du numéro de téléphone doit également pouvoir être supprimée en 
permanence par l'organisation des télécommunications sur demande de l'abonné 
appelant. 
2. L'abonné appelé peut demander l'élimination permanente de l'identification de tous 
les appels qui arrivent ; l'abonné doit également être en mesure, cas par cas, 
d'éteindre le dispositif d'affichage de son équipement ou de supprimer 
l'enregistrement dans la mémoire du terminal, afin d'empêcher l'identification au cas 
par cas des appels qui arrivent. 
L'11txmn~ appelé doit être en mesure de limiter l'acceptation des appels qui arrivent à 
ceux qui identifient le numéro de l'abonné appelant. 
3. Pour ce qui concerne les communications entre un abonné connecté l un central 
analogique et les abonnés connectés à des centraux numériques, le premier doit ~tre 
informé quant à l'identification de son numéro de téléphone et se voir offrir la 
suppression permanente de cette caractéristique sur demande. Cet abonné doit aussi 
avoir la possibilité de supprimer l'identification au cas par cas. 
'-• -107-
Article 13 
1. Durant une période limitée, l'organisation des télécommunications peut empêcher la 
suppression de l'identification de la ligne appelante 
a) à la requête d'un ahonné demandant l'identification d'appels mal-veillants. 
Dans ce cas. les données contenant l'identification de l'ahonné appelunt seront 
stockées par l'organisation des télécommunications et mises sur dt:!mandc tl la 
disposition de l'autorité publique de l'Etat membre concerné chargée de la 
prévention ou de la poursuite des délits. 
b) sur injonction des cours et tribunaux afin d'assurer la prévention ou la poursuite 
de délits criminels graves. 
2. Une fonction de dérogation permanente doit être mise sur demande à la disposition 
a) des organisations, reconnuc;:s par un Etat membre, qui répondent à des appels 
d'urgence et traitent ces appels, et 
b) aux brigades de pompiers gérées ou reconnues par un Etat membre. 
3. Les organisations des télécommunications prennent les mesures nécessaires pour 
assurer que la fonction de dérogation est opérationnelle sur une base nationale et à 
l'échelle communautaire. 
-108-
.. • 
Article 14 
1. Le renvoi d'appels d'un abonné appelé vers un tiers ne peut être effectué qu'avec le 
consentementdecelui-ci; tledit tiers peut limiter le 
renvoi automatique aux appels identifiant Je numéro de l'abonné appelant ; un signet! 
particulier au message doit être délivré au tiers indiquant qu'il s'agit d'un transfert 
d'appel. 
2. L'abonné appelant doit être informé automatiquement durant l'établissement de la 
<.:onnexion que l'appel est renvoyé à un tiers. 
Article 15 
1. Si la teneur d'appels téléphoniques peut être entendue par des tiers grâce à des 
dispositifs techniques, de type haut-parleur ou autre équipement avec combiné 
raccroché, ou stockée sur hande pour une utilisation propre ou pour une utilisation 
par des tiers, des mesures doivent être prises pour que les parties concernées soient 
informées par une procédure adéquate de cette diffusion ou de ce stockage avant que 
la diffusion ou le stockage ait lieu et pendant toute sa durée. 
2. Le paragraphe 1 ne s'applique pas aux cas couverts par l'article 13 paragraphe 1. 
-109-
Article 16 
1. L'organisation des télécommunications doit s'assurer que le numéro de téléphone, 
ainsi que d'autres données à caractère personnel de l'abonné, en particulier pour ce 
qui concerne la quantité et la nature de ses commandes lors de l'utilisation d'un 
service de télé-achat, ou concernant des informations demandées via un service 
vidéotex, ne soient stockés que dans la mesure strictement nécessaire pour fournir le 
service, et ne soient utilisés par le prestataire de services qu'aux fins autorisées par cet 
abonné. 
.., Sous réserve des dispositions de l'article 20, le prestataire de services ne peut étahlir 
de profils électroniques des abonnés ou de classification des abonnés par catégories 
sans leur autorisation préalable. 
Article 17 
1. Les abonnés qui reçoivent des appels non sollicités à des fins publicitaires ou d'offres 
de fournitures de b i ens et de se r v i ces ont l e dr o i t de notifier à 
l'organisation des télécommunications acheminant ces messages qu'ils ne souhaitent 
pas recevoir d'appels de ce type. 
2. L'organisation des télécommunications doit prendre les mesures requises pour mettre 
fin à la transmission de messages de ce type aux abonnés concernés. En outre 
,l'organisation des télécommunications doit tenir une liste des notifications sous une 
forme spécifiée et disponihle pour inspection par l'autorité de contrôle afin 
d'empêcher la transmission d'appels de ce type à l'avenir . 
• 
-110-
Article 18 
1. Lors de la mise en oeuvre des dispositions de la présente directive, les Etats membres 
assurent,sous réserve des dispositions des paragraphes 2 et 3 
qu'aucune exigence obligatoire relative à des caractéristiques techniques spécifiques 
n'est imposée aux terminaux ou à d'autres équipements de télécommunications, 
pourrait entraver la mise sur le marché d'équipements ou la libre circulation de ces 
équipements dans les Etats membres et entre ces derniers . 
., Lorsque des dispositions ne peuvent être mises en oeuvre que par le recours à des 
caractéristiques techniques spécifiques, les Etats membres en informent la 
Commission, conformément aux procédures prévues dans la directive 
83/189/CEE du Conseil qu; prévoit une procédure d'information dans 
le domaine des normes et réglementations techniques. 
J. Le cas échéant, la Commission assure l'élaboration de normes européennes 
communes pour la mise en oeuvre des caractéristiques techniques spéciales, 
conformément à la directive ••• /CEE d.J ConseiL sur Le rapprochement des législ'ations des 
Etats membres concernant les équipements terminaux de télécommunication, incluant 
la reconnnaissance mutuelle de leur conformité(11), et à la décision 87 /95/CEE du 
Cmsei L du 22 décemhre 1986 relative à la normalisation dans le domaine des 
technologies de l'information et des télécommunications (12). 
---~ ------· ----~~ 
(1Q) JO L 109 du 26.419&3, r 8 
(11) Jo no c 
(12) Jo noL 36 du 7.2.1987.p.31 
-111-
Article 19 
1. Les dispositions de la présente directive concernant le service téléphonique 
s'appliquent également à d'autres services de télécommunications numériques publics 
dans la mesure où ces services présentent des risques similaires pour la vie privée 
de l'utilisateur. 
Les mesures nécessaires à la mise en oeuvre du paragraphe 1 sont adoptées par 
la Commission après consultation du groupe cité à l'article 22, conformément à la 
procédure visée à l'art ide 23. 
Article 20 
Dans la mesure où la réalisation complète des objectifs de la présente directive exige 
que ses dispositions soient appliquées à des prestataires de services autres que les 
organisations de télécommunications, la Commission peut adopter les mesures visant 
à l'application de la présente directive auxdits prestataires de services après 
consultation du groupe cité à l'article 22, conformément à la procédure visée à l'article 
2~. 
-112-
Article 21 
La Commission arrête, selon la procédure prévue à l'article 23, les modalités 
techniques nécessaires pour l'application de la présente directive et son adaptation au 
progrès technique. 
Article 22 
1. Le groupe de protection des données à caractère personnel institué par l'article 27 de 
.., ladirective ••• /CEE relative à la protection des personnes à l'égard du 
ttaitement des données à caractère personneL exerce les missions prévues 
à l'article 28 de ladite directive également à l'égard des mesures de 
protection des données à caractère personnel qui font LDpbjet de la 
présente directive. 
Le groupe est constitué spécifiquement aux fins de la présente directive . 
·---~----- ------------------ --~---·-~---------" -------
-113-
Article 2J 
1. Laprocédureprévueàl'article30deladirective ••• /CEE relative à la 
protection des personnes à l'égard du traitement des données à 
caractère personnel est d'application • 
.., Le Comité institué dans Je cadre de la procédure vi sée au paré!graphe 1 
est constitué s~éci~iquement aux fins de la présente directive. 
Article 24 
~es Ebts-membres :r.etter.t en vigueur les dispm:it:ons législatives, régleme~taires t~ 
administrative3 nécessaires p'our se conformer à la présente directive au plus tard le 
1er janvier 1993. 
Lesdispositionsadoptéesenvertu du premier alinéa se réfèrent explici­
tement à la présente directive. 
2. Les Etats-membres communiquent à la Commission le texte des dispositions de droit 
interne qu'ils adoptent dans le domaine régi par la présente directive. 
ArtiC:e 25 
Les Etats membres son: les d:::~!!~ataires de lz présente directive. 
Fait à Bruxelles, le Par le Conseil 
-114-
FICHE FINANCŒRE 
PROPOSmON DE DDU".CJ'IVI: DU CONSEIL CONCEitJIWn' lA PROTEC110N DES 
DO~"'NEES A CA.IUCIERE PERSONNEL ET DE LA VŒ nME DAMS JZ a>N'1'!XŒ DES JttSUUX DE 
'l'ELECOMM'0~1CAnONS t-"''MERJQUES PVBUCS. ET EN PA.RDC17UER DV RESI!AV NVMERJQVE A 
IN'l'EGMtJON DE SEIMCES ( RNlS ) Er DJ:S RESEAUX NtiGIIQVES M081US PUBUC:S. 
1. Ligne budg~taire eonœrnée 
Eo 1990 : B 7700 
En 1.991 et exercices ult!rieurs : BS-401 0 
2. Base lfgale 
Artide lOO A 
3. Proposition de daMifiC?.tion en dfpense ohligatoire /non obligatoire 
non -obliptoire 
4. Desqjption et iustffic:ation de raction : 
~.1. Objeçrifs: ·assurer la protection des personnes 1 r«!prd des donn6es l caract~re 
personne~ 
·permettre la circulation tra.n.sfronta]j~re dedonn&s à caraetm-e personnel 
dans la Commana at~ 
• permettre le bon fonctionnement du marc:M mt&leur. 
4.2. rt•unious sp6dfiques du J'l'OUpe de protecûDD des doœfes l caract~e 
penonnel (Art. 22 ) et du Comit~ cœsultatif (Art. 23 ), cri4is par la directive, 
reprûeotant les Etats membres . 
-115-
4.3. Un :-epr&entant c!e la Co~on r~side Je Jroupe de protec:t.ioo des donnies l 
'caract~ persot:t.cl ~· le Gû:i~-é ~~.:-taci. :....C ~~~...at du groupe et du Comité de 
protecti:m des ~~..;!!!es l ~C!~te fetSOmtel -t:n ~llt~ par les services de la 
Cc:nmission. 
5.1. Nature: r6unicms 
(frais de participation des membres des 2 Comh& ) 
5:2.. Calcol:. Or~upe de protection des données: (cf. fiche financi~e de la dire:tfve 
g~ûale) . 
:4 cembres ( iouveroementaux ) x 3 r~un.ions x 2 jours x 390 ECU /jour = 
56.160 ECU • 
6. Incidence fip;;ncit-re G:~ l'~ctioo snr ls cré<Hts d'inter'\'ention : 
CE-CP 
1;.94 : 56.160 .. 
1995:56.160 • 
1996 : 56.160 .. 
1997: 56.160- li 
6.2. Part du financement communautaire dalls le cœr total: 100 9& 
-116-
7. Observation~: 
1. Le groupe de prote:ction des données l c:aract~e personnel (Art.. 22 ): 
n est mstitu! ce groupe l caractère consultatif et mdfpendant et est compo~ de 
représentants de l'autorit! de contrOle de tous les Etats membres, pr&id~ par un 
représentant de la Commission. 
Ce groupe !tabUt son r~emcnt in~~ur. Le seccétariat du groupe est usur6 par les 
services de la Commission. 
MœOcms de ce aroupe : wir Art. 22 
2. Le Comit~ coDSUltadf (Art • 23 ) 
n est institu~ un Comft~ consultatif compos~ des repr~tants des Etau Membres, 
pr~d~ par le repr&entant de la Commission. 
La Com.mi.ssi.on est assist!e par ce Comlt~ afin de prendre les ~entueDes mesures 
compl6mentaires n"cessaires pour ac'Apter les dispositions de la directive am 
~cité:s de certaÎD~ secte~ 
-117-
Recommandation de décision du Conseil concernant l'ouverture de n6goclatlons en vue de 
l'adhésion des Camunautés eurq:>éemes t la convention du Conseil de l'Europe pour la 
protection des personnes •1'6gard du traitement automatla6 dea donn6ea t caract•r• 
personnel 
EXPOSE DES MOnFS : 
1. La protection des personnes • 1'6gard du traitement des doM6es personnelles constitue è la fois un 
droit de la personne 81 une condition nécessaire au développement du commerce international. 
2. Le traitement de donnHs l caractère personnel est Indispensable 6 ·la "allsation del ~es 
intemationaux de biens et de services et 6 une collaboration plus6troite entre les pays. 
3. La Commission a présenté au Conseil une proposition de directive visant • assurer sur l'ensemble de la 
Communauté un niveau de protection élevé des personnes l fégard du traitement dis donn6es è 
caractère personnel. Il est souhaitable que cette action soit complétée par des initiatives visant • gara,ntir 
aux personnes un niveau de protection équivalent lors des échanges de données entre la Communaut6 et 
des pays tiers. · 
4. Une convention relative à la protection des personnes •l'égard du traitement automatisé des doMées • 
caractère personnel a été conclue au sein du Conseil de l'Europe en 1981. Le but de cene convention est 
de garantir sur le territoire de chaque partie, è toute personne physique, quelles que &Oient sa nationaJité 
ou sa résidence, le respect de ses droits et de ses libertés fondamentales, et notamment de ~ drc:Mt è la 
vie privée • l'égard du traitement automatisé des données • caractère personnel la concernant. Cette 
convention prévoit égaJement qu'une partie ne peut pas, aux seules fins de la protection de la vie privée, 
interdire ou soumettre à une autorisation spéciale les flux transfrontières de données è caractère personnel 
• destination du territoire d'une autre partie. 
5. Oans sa recommandation du 29 juillet 1981, la Commission a invité les Etats membres de la 
Communauté è ratifaer la convention du Conseil de l'Europe relative è la protection des personnes • régard 
du traitement automatisé des données à caractère personnel en précisant que si dans un laps de temps 
raisonnable tous tes Etats membres ne devaient pas signer et ratifter cette convention, elle se réserverait le 
droit de proposer au Conseil d'arrêter un acte fondé sur le traJté CEE. 
6. • eo jour. tous les Etats membres de la Communauté n'ont pas encore ratifié cene convention l1). U est 
~l")uh#irtable et nécesSaire que ra Communauté adhère l la Convention pour assurer la protectiOn Il la 
circulation transfrontière des données à caractère personnel avec les pays tiers et pour renforcer l'attrait de 
la conv~ntion pour._ pays tiers désireux d'avoir un échange de données avec la Communauté aussi Ubre 
que pt)ssibte. 
7. En cooséquence, la Commission recommande au Conseil d'autoriser la Commission l négocier, 1\'eC le 
Cons~lf de l'Europe et les Etats parties l la convention relatt>ie l la protection des personne$ l l'égard du 
trtJit&tmAf'lt automatisé des données • caractère personnel. un protocole additionnel permenat1 aux 
Cnmmunautés européemes, pour les domaines de leur compétence, de devenir partiel cene eonvertion. 
8. La t;ommission conduira ces négociations, en consuttant les repr,sentants des Etats membres. dans le 
r.~t1rQ rJ4s di.recttves amexées l la présente communication ou de celles qui lui ser;aient éventuellement 
adrP.c.sées par le Consel. . 
9. Le1 Etats membres de la Communaut6, membres du ConseU de l'Europe, soutiendront pleinement 
ractlnn de la Communauté tout au long des négociations devant conduire ll'adhésion de la Communauté 
européenne, lorsque cene question est évoquée dans les organes du Conseil de l'Europe. 
Annexe . Directive pour les négociations 
(1) En a. qui ~ ._ t11111 tMmtn. lM le ~. le ~ (STt tOI ., at ~ ttJU. a "' ~· Rfl! le hla;Que. la CWoe, l'Italie, Les Pays-Bas et te Portugal, cette convention a ete rat1r1ee par Le uanema~K~ La · 
France, la RFA, l'Irlande, le Luxembourg, l'Espagne et le Royaume-Uni. 
-118-
ANNEXE 
DIAECnYES POUR LES NEGOCIAnONS 
1. Les Mgoàltions viMnt • assurer la conctusion d'un protocole additionnel afin de permettre • &a 
Communauté de c:Seven;r partie contractante 6 la converw.Jon dans les domainll qui sont de sa 
cornpélenee, en raspectat1les principes 6num6r61 ci-aprk: 
2. Au sein du Comlt6 consuttatlf nstltu6 par rart~c~t 11 ete Il ConviRion. la Con'vnunat6 europMnne sera 
repr~M en w. que membre par Il CommiuJon des~- europ6ennes. 
Après coordination communautaire • l'inttiati\fe de Il Commission. Il repr6serlarl de la Communauté 
européenne disposera d'un nombre de votx correspondar1t IIIOINM del YObc des d616gations nation&Jes 
des Etats membres de la Communauté parties t la convention pour toutes les questions ayant traJ! aux 
traitements des doMées t caractère personnel danlles domaines de comp6tence communautaire. 
Pour les autres questions, chaque délégation nationale exprime une voix. 
3. Afin de permettre l'entrée en vigueur dans des délais raJsonnablts du protocole additiomel permenart t 
la Communauté de devenir partie contractante t ia Convertion. Il Commisak>n proposera, avec le soutien 
des Etats membres, que soit insér6e dans le texte du protocole une disposition de 'notification n6gative' 
(opting out procedure) pour l'adoption du protocole additionnel. 
-119-
PROPOSITION DE DECISION DU CONSEIL 
EN ·HATIERE DE SECURITE DES SYSTEM_ES D'INFORMATION 
-12o-; 
Résumé 
L'information sous formes les plus diverses contribue de plus en plus à la richesse des 
personnes, des entreprises et des nations. La croissance et la réalisation d'environ les 
deux tiers du P.I.B. reposent sur une production industrielle ou de service dépendant 
étroitement des technologies de l'information. des télécommunications et de l'audiovisuel, 
et de ce fait, dépend de façon primordiale de l'exactitude, de la sécurité et de la fiabilité 
de l'information. Ceci est d'une grande importance et d'un grand intérêt pour les 
personnes comme pour le commerce, l'industrie et les administrations publiques. 
Corrélativement, la protection de l'information sous tous ses aspects, ici dénommée 
Sécurité de l'lnformati01z1• est devenue un enjeu politique essentiel et un souci universel. 
Des changements majeurs sont intervenus au cours des dernières décennies, mais les 
changements à venir pourraient être encore plus importants. Les super ordinateurs de 
bureau, la radiodiffusion directe par satellite, les radios mobiles numériques, les 
communications à large bande intégrées et d'autres nouvelles applications des technologies 
sont en cours de développement et fournissent des moyens de communication mobiles, à 
bas coût, à haute performance, universels, à une échelle sans précédent. L'introduction de 
communications globales efficaces a mis davantage l'accent sur la nécessité de fournir une 
"protection" adéquate grâce à des niveaux de disponibilité des services, l'intégrité des 
messages et la protection de la vie privée en rapport avec le niveau escompté de menace 
administrative ou technique. 
Le sujet est d'une grande importance pour le développement socio-économique de la 
Communauté Européenne et la réalisation du Marché Intérieur en 1992. Une approche 
consistante au niveau européen devrait créer en même temps un sentiment accru de 
confiance vis-à-vis des nouvelles T/T et permettre d'éviter la formation de nouveaux 
obstacles techniques entre les Etats membres ou vis-à-vis des pays tiers. C'est pourquoi, il 
est urgent d'examiner les besoins et les options en vue d'une action au niveau 
communautaire en collaboration étroite avec les acteurs du secteur et les Etats membres. 
Toute action doit prendre en compte les développements commerciaux, juridiques et 
techniques tant au niveau national qu'international. Parce que la sécurité de l'information 
recouvre non seulement la protection des personnes et des biens mais également celle de la 
société elle-même, les Etats membres la considèrent comme un sujet qui relève de la 
souveraineté nationale. 
En même temps, il est vital pour la Communauté et ses Etats membres que la Sécurité de 
l'Information ne devienne pas une contrainte à la promotion du développement harmonieux 
dans la Communauté et aux relations avec les pays tiers. Par lui-même, le développement 
d'une approche harmonisée de la sécurité de l'information doit former partie intégrante 
des politiques communautaires relatives au renforcement des performances socio­
économiques de la Communauté Européenne, de la compétitivité internationale et à la 
réalisation du Marché Intérieur. 
1 La Sécurité des Systèmes d'Information (SSI) s'intéresse à la protection de l'information, lorsqu'elle est 
conservée, traitée ou transmise sous forme électronique, contre les menaces accidentelles ou volontaires. Les 
services d'information électronique exigent une infrastructure de télécommunication sécurisée, des terminaux 
sécurisés (ceci incluant les processeurs et les bases de données) aussi bien que dea procédures sécurisées. 
-121-
L'enjeu essentiel est de fournir une sécurité efficace et pratique de l'informatim]·­
détenue sous forme électronique aux utilisateurs privés, aux administrations et aux 
milieux d'affaires sans compromettre les intérêts du grand public. 
Une action au niveau communautaire devra impliquer des efforts concertés pour établir les 
technologies, normes, procédures de vérification et certification et éventuelles 
réglementations nécessaires dans le cadre du processus de décision communautaire. 
L'intention de la Commission est d'encourager un débat avec les acteurs du secteur dans la 
Communauté sur les problèmes de Sécurité de l'Information et de parvenir à un consensus 
sur les étapes appropriées à considérer. Cette discussion pourrait s'engager sur la base 
d'une déclaration de principes et des lignes d'actions identifiées dans l'annexe à cette 
note. Dans ce débat, du fait des responsabilités des Etats membres dans ce domaine, il 
convient impérativement que l'initiative communautaire puisse s'appuyer sur une 
collaboration étroite avec les hauts fonctionnaires responsables des Etats membres. 
C'est pourquoi il est-proposé que la Commission soit assistée d'un comité consultatif, 
composé de représentants des Etats membres et présidé par un représentant de la 
Commission. Le fonctionnement de ce comité devrait refléter les spécificités du domaine. 
Ce comité pourrait être dénommé Groupe de Hauts Fonctionnaires sur la Sécurité de 
l'Information. 
La question très importante de la protection des données personnelles est traitée au sein de 
propositions de directives présentées parallèlement à la présente communication. 
-122-
A. LES NOUVEAUX ENJEUX ET L'IMPORTANCE SOCIALE, ECONOMIQUE, STRATEGIQUE ET 
POLITIQUE DE LA SECURITE DES SYSTEMES D'INFORMATION 
1. La gestion et l'utilisation de l'information au moyen des Technologies de 
l'Information et des Services Informatiques dans toutes les sphères de la vie 
économique, sociale et politique est diffusante. Cela a permis l'intégration des 
activités grâce à un système global de communication, reliant les unités de 
fabrication, les établissements de recherche, les bases de données, les centres 
informatiques, les prestataires de services aussi bien que les centres de décision 
politiques et économiques. 
2. L'intégration accrue d'activités séparées genere une valeur ajoutée considérable en 
termes d'économie ou d'efficacité accrue. Elle est désormais un facteur clé de la 
compétitivité internationale. Cependant, elle accroit aussi la nécessité de protéger 
les justes intérêts des personnes, du grand public, du commerce, de l'industrie, des 
opérateurs, des prestataires de services et des administrations publiques. 
3. Pour permettre au secteur des services de croitre, et d'investir dans les 
télécommunications, la radiodiffusion, les équipements de terminaux et dans une 
grande variété d'applications télématiques, il convient d'offrir un environnement 
européen sûr pour l'information gérée électroniquement. Une large acceptation et un 
consensus de toutes les parties sont importants pour sauvegarder les intérêts 
légitimes et empêcher le mauvais usage ou l'abus de l'information. Ceci doit être 
réalisé de façon à la fois efficace et adéquate pour des utilisateurs relevant de 
systèmes juridiques divers. De plus, les systèmes de sécurité de l'information 
doivent protéger la vie privée, la propriété intellectuelle, la loyauté de la 
concurrence, la sécurité nationale, entre autres intérêts. 
4. Avec l'introduction des micro-ordinateurs, l'utilisation des Technologies de 
l'Information, des Télécommunications et de l'Audiovisuel a dépassé le domaine 
professionnel et est devenue une "activité de consommateurs" associée aux "services 
de consommation". En même temps qu'un changement quantitatif, un changement 
qualitatif très significatif est intervenu : les télécommunications permettent 
maintenant les échanges de travail et la communication à une échelle globale. 
5. Des changements majeurs sont intervenus au cours des dernières décennies, mais les 
changements à venir pourraient être encore plus importants. Les superordinateurs 
de bureau, la radiodiffusion directe par satellite, les radios mobiles numériques, les 
communications à large bande intégrées et d'autres nouvelles applications de ces 
technologies sont en cours de développement et fourniront des moyens de 
communications mobiles à bas coût, à haute performance, universels, à une échelle 
sans précédent. 
6. L'introduction de communications globales efficaces représente un enjeu 
qualitativement et quantitativement nouveau nécessitant de fournir une "protection" 
adaptée grâce à des niveaux de disponibilité des services, l'intégrité des messages et 
la protection de la vie privée en rapport avec les niveaux escomptés de la menace 
administrative ou technique. 
-1-23-
7. Le désir croissant de l'industrie, de l'administration et de la société dans son 
ensemble d'utiliser les services d'information a fait de ces derniers une partie 
intégrante de la trame de la vie quotidienne. Les fonctions de commande, de 
communication et de contrôle en général, les contrôles de traitement dans la 
fabrication, le transport, les services financiers, les systèmes bureautiques, etc ... 
requièrent tous des niveaux de disponibilité et de robustesse opérationnelle qui ne 
sont pas entièrement envisagés lors de la conception initiale du service ou du 
composant. 
8. De nouvelles applications seront définies et réalisées, qui pourraient ne pas être 
mises en oeuvre dans le cadre architectural actuel. Une redéfinition fondamentale 
des normes d'architecture et de performance (y compris les besoins d'assurer la 
conformité) relatives aux services et aux composants sous-jacents pourrait être 
nécessaire. 
9. De nouvelles disciplines et organisations/occupations d'appui devront être creees 
pour satisfaire ces niveaux supérieurs de demandes opérationnelles. Les besoins les 
plus importants seront toutefois amenés par des changements culturels et non 
technologiques. L'exploitation globale des services de l'information soutenus par des 
réseaux globaux de télécommunications changera la perception des relations 
organisationnelles/humaines dans la société. 
10. De plus en plus, la communication se fera soit à travers des intermédiaires, comme 
dans les divers niveaux de services à valeur ajoutée au moyen des technologies de 
l'information, soit directement après que des intermédiaires aient approuvé le 
contact. 
Dans de telles situations, la confiance devra être définie explicitement dans le 
contexte des relations d'organisation, des autorités/privilèges et de nombreux 
"contrôles de qualité" sur les services et produits. Dans une telle société, il convient 
de prendre soin que les droits des individus et des organisations soient dOment pris 
en compte dans la législation et les contrôles réglementaires. Parallèlement, les 
technologies de l'information et des télécommunications doivent être conçues et 
mises en oeuvre de façon à satisfaire les besoins de sécurité. 
B. NECESSITE D'UNE ACTION AU NIVEAU COMMUNAUTAIRE EN COLLABORATION AVEC LES 
ETATS MEMBRES 
11. Dans la mesure où sont en jeu la protection de la propriété, de la personne, et 
même de la société dans son ensemble, il est clair que la sécurité de l'information 
relève de la plus haute responsabilité des Etats membres. La défense et le 
fonctionnement normal des institutions requièrent des Etats membres la maîtrise de 
leur sécurité. Ces nécessités ont conduit les administrations nationales à acquérir au 
cours de l'histoire une compétence solide et durable dans le domaine de la sécurité 
de l'information, de sa technologie et de ses techniques, afin d'empêcher la 
diffusion d'informations sensibles. Cependant, bien que chaque utilisateur soit 
responsable du choix de sa propre sécurité, ses choix reposent essentiellement sur 
des garanties requises par les autorités publiques. 
-124-
12. Les politiques et les programmes de la Communauté pour le développement ~es 
industries de l'information et des télécommunications ct la réalisation du Marché 
Intérieur risquent d'être gravement entravés à moins qu'une politique active de 
création, de développement et de promotion d'une stratégie globale de sécurité pour 
les services d'information ne soit adoptée. Pour la Communauté, il est essentiel que 
la sécurité de l'information ne devienne pas un obstacle à la promotion du 
développement harmonieux dans la Communauté et aux relations avec les Pays 
Tiers. 
En temps que tel, le développement d'une approche harmonisée de la sécurité de 
l'information doit faire partie intégrante des politiques communautaires relatives au 
renforcement des performances socio-économiques et de la compétitivité 
internationale de l'industrie européenne et à la réalisation du Marché Intérieur. 
13. Plus précisément, il doit impliquer des efforts concertés pour l'établissement des 
normes, des procédures de vérification et certification, des développements 
technologiques et des réglementations éventuelles nécessaires dans le cadre du 
processus de décision communautaire. A cause de la nature très technique des 
questions en jeu, la concertation des efforts implique une collaboration des acteurs 
au stade de la R & D précompétitive. 
14. L'adoption de Normes pour les Systèmes Ouverts par les gouvernements (GOSIP aux 
USA et au Royaume- Uni), par la défense occidentale (OT AN/NOSI), par l'industrie 
de l'informatique et des télécommunications aussi bien que par les opérateurs de 
réseaux (normes OSI de l'ISO) a conduit à mettre davantage l'accent sur les 
problèmes de sécurité dans les systèmes, architectures, normes, protocoles de 
communication et composants techniques relevant du domaine de l'information. 
15. Seulement une part limitée des services qui seront disponibles en l'an 2.000 dans la 
Communauté l'est déjà actuellement. Les services seront alors généralement en 
mesure de répondre aux besoins des utilisateurs en leur offrant une variété de 
caractéristiques intégrées combinant de façon souple la voix, les données et l'image. 
Corrélativement, il sera plus difficile de satisfaire les besoins des utilisateurs en 
matière de sécurité de l'information, que ce soit pour la protection des données, 
celle de la vie privée, l'authentification, l'autorisation, la facturation, etc ... C'est 
pour cette raison que la sécurité de l'information et les caractéristiques techniques 
qui lui sont liées doivent faire l'objet de développements et de recherches 
systématiques. Les autorités américaines financent des programmes sur les systèmes 
informatiques fiables, sur les architectures de systèmes ouverts, sur les protocoles et 
techniques qui vont accélérer l'utilisation de solutions de sécurité propriétaires dans 
la communauté internationale des utilisateurs. Les Etats membres devraient avoir le 
souci essentiel de se poser en interlocuteurs à égalité dans les discussions sur la 
normalisation dans ce domaine. Se mettre à la traîne d'une normalisation de facto 
risquerait de créer de nouvelles dépendances technologiques qui pourraient grever 
sérieusement la compétitivité internationale des économies européennes. Ceci 
implique que des efforts correspondants soient accomplis dans la Communauté 
comme préalable à une interaction constructive avec les pays tiers, principalement 
les USA. 
-125-
16. Pour résumer, à cause de leurs responsabilités respectives, la Communauté et les 
Etats membres ont un grand intérêt pour les questions suivantes : 
-de quelle manière définir et publier des spécifications et des normes efficaces en 
matière de sécurité des systèmes d'information ? 
-de quelle manière mettre en oeuvre les évaluations et certifications formelles de 
conformité des produits et systèmes aux normes de sécurité (aux plans des 
fonctionnalités et de l'assurance) ? 
-de quelle manière mettre en oeuvre, fournir et utiliser les produits et systèmes de 
sécurité des systèmes d'information ? 
17. La sécurité des systèmes d'information est un exemple typique d'application du 
principe de ~bsidiarité au regard de la complexité inhérente au domaine de la 
présence de nombreuses parties prenantes et de la nécessité d'employer un éventail 
d'outils différents. Un plan d'action définissant ce qui doit être fait, par qui, et 
comment, est essentiel. D'un côté, en effet, les Etats membres doivent traiter ces 
questions ; de l'autre, la Communauté a un intérêt majeur à trouver une solution 
permettant la compatibilité entre, d'une part, la réalisation du marché intérieur, 
celle de l'Europe des citoyens, la mise en oeuvre d'une politique des 
télécommunications et la compétitivité des industries communautaires de 
l'électronique, et d'autre part, la réponse aux besoins fondamentaux des individus et 
de l'économie en matière de sécurité des systèmes d'information. Par conséquent, 
afin de concentrer les efforts, divers types d'actions, ainsi qu'une structure 
procédura!e, sont présentés ci-après pour servir de point de départ à des études de 
fonds à venir, menant elles-mêmes aux mesures à prendre aux niveaux requis. 
-126-
PROPOSITION DE DECISION DU CONSEIL 
EN MATIERE DE 
SECURITE DES SYSTEMES D'INFORMATION 
LE CONSEIL DES COMMUNAUTES EUROPEENNES 
vu le traité instituant la Communauté économique européenne, et notamment son article 
235, 
vu la proposition de la Commission,<l) 
vu l'avis du Parlement européen,<2> 
vu l'avis du Comité économique et social,<3> 
considérant que la Communauté a pour mission, par l'établissement d'un marché commun 
et par le rapprochement progressif des politiques économiques des Etats membres, de 
promouvoir un développement harmonieux des activités économiques dans l'ensemble de 
la Communauté, une expansion continue et éq.Ji l ibrée,une stabilité accrue, un relèvement 
accéléré du niveau de vie et des relations plus étroites entre les Etats membres; 
considérant que l'information conservée, traitée et transmise à l'aide de moyens 
électroniques prend une importance de plus en plus grande dans l'activité économique et 
sociale; 
considérant que l'introduction de communications globales efficaces et de l'utilisation 
diffusante du traitement électronique de l'information a mis davantage l'accent sur la 
nécessité de fournir une protection adaptée pour les utilisateurs; 
considérant que le Parlement européen a mis l'accent à plusieurs reprises sur l'importance 
de la sécurité des systèmes d'information dans ses débats et résolutions; 
(1) OJ No C ... 
(2) OJ No C ... 
(3) OJ No C ... 
-127-
considérant que le Comité économique et social a souligné le besoin de traiter des 
questions relatives à la sécurité des systèmes d'information dans les actions de la 
Communauté particulièrement en vue de l'impact de la réalisation du marché intérieur; 
considérant qu'il est nécessaire de développer une stratégie globale de Sécurité des 
Systèmes d'Information pour assurer la sécurité des utilisateurs au plan communautaire et 
éviter la création de nouvelles entraves aux échanges; 
considérant que la complexité inhérente aux questions de sécurité de l'information 
requiert la mise en oeuvre du principe de subsidiarité, l'implication de nombreux acteurs 
sectoriels et le recours concerté à plusieurs politiques; 
Considérant que des actions aux niveaux national, international et communautaire 
fournissent une bonne base; 
considérant qu'il y a une relation étroite entre les télécommunications, la normalisation, 
le marché de l'information et les politiques de RD&T, ainsi que les travaux déjà 
entrepris dans ces domaines par la Communauté; 
considérant qu'il est opportun d'assurer la concertation des efforts en s'appuyant sur les 
travaux existants aux niveaux national et international et en promouvant la coopération 
des principaux acteurs concernés, et qu'il est dès lors opportun d'y procéder dans le 
cadre d'un plan d'action cohérent; 
considérant que les responsabilités des Etats membres dans le domaine impliquent que 
l'approche concertée communautaire puisse s'appuyer sur une étroite collaboration avec 
de hauts fonctionnaires des Etats membres; 
..0:128-
DECIDE: 
Article premier 
l. Un plan d'action dans le domaine de la sécurité des systèmes d'information est 
adopté pour une période de 24 mois commençant le .... 
2. Le plan d'action a pour objectif de développer une stratégie globale visant à fournir 
aux utilisateurs d'information conservée, traitée ou transmise sous forme 
électronique une protection des systèmes d'information contre les menaces 
accidentelles ou volontaires. 
3. Le plan d'action prend en compte et soutient les attivi!és ge 
oormalisation en cours aux niveaux européen et mondial dans ce domaine. 
Article 2 
Le plan d'action visé à l'article premier et dont le détail figure en annexe comprend les 
lignes d'action suivantes: 
1. le développement d'un cadre stratégique pour la sécurité des 
systèmes d'information; 
II. l'analyse des besoins en matière de sécurité des systèmes d'information; 
III. l'élaboration de solutions à certains besoins prioritaires; 
IV. l'élaboration de spécifications, normes et tests de validation en matière de 
sécurité des systèmes d'information; 
V. l'intégration des développements technologiques et opérationnels en matière de 
sécurité des systèmes d'information dans un cadre stratégique général; 
VI. l'intégration de certaines fonctions de sécurité dans les systèmes 
d'information. 
----------·-----·-~------·-------~------~ ---
-129-
Article 3 
La mise en oeuvre du plan d'action est réalisée par la Commission en collaboration avec 
les organismes et entreprises concernés et en association étroite avec les Etats membres. 
Article 4 
Le montant des crédits affectés au plan d'action est fixé dans le cadre de la procédure 
budgétaire annuelle. 
Article 5 
La Commission transmet au Parlement Européen et au Conseil un rapport sur les résultats 
du plan d'action dans les trois mois suivant son achèvement. 
Article 6 
Pour la mise en oeuvre du plan d'action, la Commission consulte en tant que de be.:oin 
un groupe de Hauts Fonctionnaires sur la Sécurité des Systèmes d'Information (SOGIS). 
Ce groupe est constitué de deux représentants de chaque Etat membre et de la 
Commission. Il est présidé par un représentant de la Commission . 
Les membres du groupe peuvent se faire assister par des experts ou des conseillers 
suivant la nature des problèmes à résoudre. 
Les délibérations du groupe sont confidentielles. Le groupe adopte son règlement 
intérieur. Le secrétariat est assuré par la Commission. 
Fait à Bruxelles, le Par Le Conseil 
-130-
ANNEXE 
RESUME DES LIGNES D'ACTION 
1. PREMIERE LIGNE D'ACTION: DEVELOPPEMENT D'UN CADRE STRATEGIQUE POUR LA 
SECURITE DES SYSTEMES D'INFORMATION. 
1.1 Problème 
l. Une bonne sécurité des systèmes d'information est reconnue comme une qualité 
diffusante nécessaire dans une société moderne. Les services d'information 
électronique ont besoin d'infrastructures de télécommunications sOres, de terminaux 
(y compris processeurs et bases de données) fiables, ainsi que de conditions 
d'utilisation sOres. Une stratégie globale, prenant en compte tous les aspects de la 
sécurité des systèmes d'information doit être établie, évitant une approche 
fragmentée. Toute stratégie pour la sécurité de l'information traitée 
électroniquement doit tenir compte du besoin pour toute société de pouvoir agir 
efficacement, tout en se protégeant, dans un monde en mutation rapide. 
1.2 Objectif 
2. Un cadre stratégique doit être mis sur pied pour accorder les objectifs sociaux, 
économiques et politiques avec les choix techniques, opérationnels et juridiques. 
L'équilibre délicat entre les divers préoccupations, objectifs et contraintes doit être 
trouvé par les acteurs du secteur travaillant ensemble au développement d'une 
perception commune et d'une stratégie convenue. Ceci est un préalable pour 
concilier les intérêts et les besoins en matière de conduite d'une politique et de 
développements industriels. 
1.3 Situation et tendances 
3. La situation est caractérisée par une prise de conscience croissante du besoin d'agir. 
Cependant, en l'absence d'une initiative pour coordonner les efforts, il est probable 
que des efforts dispersés dans des secteurs variés créeraient une situation de facto 
contradictoire, posant progressivement encore plus de problèmes juridiques, sociaux 
et économiques. 
1.4 Besoins, options et priorités 
4. Un tel cadre devra traiter et examiner l'analyse et la gestion du risque en matière de 
vulnérabilité des systèmes d'information et services assimilés, l'harmonisation des 
législations relatives à l'usage abusif de l'informatique et des télécommunications, les 
infrastructures administratives, y compris les politiques de sécurité et comment 
celles-ci peuvent être effectivement mises en oeuvre par les différentes industries et 
disciplines, et les préoccupations sociales et de protection de la vie privée (par 
exemple l'application de l'identification, de l'authentification et des schémas 
éventuels d'autorisation dans un environnement démocratique). 
-131-
5. Une orientation claire doit être fournie pour le développement des architectures 
physiques et logiques pour des services d'information distribués sOrs, normes, lignes 
directrices et définitions pour des produits, services, projets pilotes et prototypes 
garantis sOrs afin d'établir la viabilité des diverses structures administratives, 
architectures et normes relatives aux besoins d'acteurs spécifiques. 
6. Une prise de conscience des problèmes de sécurité doit être encouragée de façon à 
orienter l'attitude des utilisateurs vers un souci accru de sécurité des systèmes 
d'information et télécommunications. 
2. DEUXIEME LIGNE D'ACTION : ANALYSE DES BESOINS EN MATIERE DE SECURITE DES 
SYSTEMES D'INFORMATION. 
2.1 Problème 
7. La sécurité de l'information est la condition inhérente à la protection de la vie 
privée, du secret des affaires, de la propriété intellectuelle, de la sécurité nationale 
et du développement d'une économie reposant de plus en plus sur les TIT. Ceci 
pose le problème de l'équilibre délicat -et parfois des choix à faire -entre le 
soutien à la liberté du commerce et d'autre part, la protection de la vie privée et 
d'intérêts commerciaux. Choix et compromis doivent se faire sur la base de 
l'appréciation globale des besoins et de l'impact des options en matière de sécurité 
de l'information adoptées pour les satisfaire. 
8. Les besoins des utilisateurs nécessitent des fonctionnalités de sécurité de 
l'information et sont liés à leurs aspects technologiques, opérationnels et 
réglementaires. Un travail de recherche systématique sur les besoins en sécurité des 
systèmes d'information forme par conséquent une condition fondamentale pour le 
développement de mesures adéquates et efficaces. 
2.2 Objectif 
9. Il convient d'établir la nature et les caractéristiques des besoins des utilisateurs et 
leurs relations avec des mesures en matière de sécurité des systèmes d'information. 
2.3 Situation et tendances 
1 O. Jusqu'à présent, aucun effort concerté n'a été entrepris pour identifier les besoins 
rapidement changeant des acteurs les plus importants en matière de sécurité des 
systèmes d'information. Certains Etats Membres de la Communauté ont identifié les 
besoins d'harmonisation des activités nationales (spécialement des "critères de 
sécurité des technologies d'information"). Des critères d'évaluation uniformes et des 
règles pour la reconnaissance mutuelle des résultats et certifications d'évaluation 
sont de la plus grande importance. 
2.4 Besoins, options et priorités 
11. Comme base pour un traitement consistant et transparent des besoins justifiés des 
acteurs du secteur il apparaît nécessaire de développer une classification agréée des 
besoins des utilisateurs et leurs relations avec des mesures en matière de sécurité des 
systèmes d'information. 
-132-
12. Il apparaît aussi important d'identifier les besoins en matière de législation, 
réglementation et codes de conduite à la lumière d'une évaluation des tendances des 
caractéristiques et de la technologie des services, pour développer des stratégies 
alternatives permettant d'atteindre les objectifs au moyen de dispositions 
administratives, de service, opérationnelles et techniques, et pour évaluer 
l'efficacité, la convivialité et les coOts des options alternatives en matière de sécurité 
des systèmes d'information et stratégies pour les utilisateurs, les prestataires de 
service et les opérateurs. 
3. TROISIEME LIGNE D'ACTION 
PRIORITAIRES. 
3.1 Problème ELABORATION DE SOLUTIONS A CERTAINS BESOINS 
13. Il est aujourd'hui possible d'empêcher efficacement l'accès non autorisé aux 
ordinateurs depuis l'extérieur par le biais de mesures d'isolement convenues, aux 
plans organisationnel et physique. Il en est de même pour les communications au 
sein d'une groupe fermé d'utilisateurs opérant sur un réseau dédié. La situation est 
toute autre lorsque l'information est partagée entre différents groupes d'utilisateurs 
ou échangée via un réseau public ou d'accès général. La technologie, les terminaux, 
les services d'un côté, les normes et procédures associées de l'autre ne sont 
généralement pas en mesure d'assurer une sécurité de l'information d'un niveau 
comparable dans ces derniers cas. 
3.2 Objectif 
14. L'objectif doit être de fournir, à brève échéance, des solutions qui peuvent répondre 
aux besoins les plus immédiats des utilisateurs. Elles doivent être conçues de façon 
ouverte vers les besoins et solutions futures. 
3.3 Situation et tendances 
15. Certains groupes d'utilisateurs ont développé des techniques et procédures pour leur 
usage spécifique, répondant en particulier aux besoins d'authentification, intégrité et 
non répudiation. En général des cartes magnétiques ou à mémoire sont utilisées. 
Certains emploient des techniques plus ou moins sophistiquées de cryptographie. 
Souvent ceci implique la définition d'"autorités" spécifiques des groupes 
d'utilisateurs. Cependant, il est difficile de généraliser ces techniques et méthodes 
en environnement ouvert. 
16. L'ISO travaille sur une sécurité de l'information OSI (ISO DIS 7468-2), ainsi que le 
CCITT dans le dans le contexte du X 400. On peut aussi insérer des segments de 
sécurité de l'information dans les messages. L'authentification, l'intégrité et la non 
répudiation sont traitées comme parties des messages EDIFACT et de X 400 MWS. 
17. A l'heure actuelle, le cadre juridique des échanges de données est cependant au 
stade conceptuel. La Chambre de commerce internationale a publié des règles de 
conduite uniformes pour les échanges de données commerciales via les réseaux de 
télécommunications. Ce code de conduite connu sous le nom d'UNCID précise les 
procédures de base à suivre pour les utilisateurs d'EDI. Il peut être considéré 
comme une bonne référence de base. 
-133-
18. Plusieurs pays (par ex. RFA, Ftance, Royaume-Uni et USA) ont développé et 
développent des critères pour évaluer la fiabilité des produits et systèmes de TIT et 
les procédures correspondantes pour conduire des évaluations. Ces critères ont été 
coordonnés avec les fabricants nationaux et conduisent à une gamme élargie de 
produits et systèmes fiables. L'établissement d'organisations nationales chargées de 
conduire les évaluations et d'octroyer des certifications soutiendra cet effort. 
19. Les dispositions en matière de confidentialité sont considérées d'importance moindre 
par la plupart des utilisateurs. Dans l'avenir toutefois, il est probable que ceci 
change du fait de la diffusion des services de communications avancées et en 
particulier mobiles. 
3.4 Besoins, options et priorités 
20. Il est essentiel de développer aussi vite que possible les procédures, les normes, les 
produits et les outils aptes à assurer la sécurité pour les ordinateurs, les terminaux et 
les réseaux publics de communication. Priorité devrait être donnée à des projets 
pilotes d'authentification, d'intégrité et de non-répudiation mis en oeuvre pour 
établir la validité des solutions proposées. Les solutions à certains besoins 
prioritaires tels que ceux existant dans le domaine de l'EDI seront poursuivies dans 
le cadre du programme TEDIS et coordonnées dans le cadre plus vaste du présent 
plan d'actions. 
4. QUATRIEME LIGNE D'ACTION: L'ELABORATION DE SPECIFICATIONS, NORMES ET TESTS DE 
VALIDATION EN MATIERE DE SECURITE DES SYSTEMES D'INFORMATION. 
4.1 Problème 
21. Les besoins en matiè~t.. .·~curité de l'ir•formation sont diffusants et c'est pourquoi 
l'existence de spécifications et de normes communes est cruciale. Leur absence 
pourrait con~tituer un handicap majeur r1u progrès des procédures et des services 
basés sur l'information dans l'économie et la société. Des actions devra1ent accélérer 
le développement et l'utilisation de technologie et normes dans plusieurs domaines 
de communication et réseaux informatisés d~importance critique pour les utilisateurs, 
l'industrie et les administrations. 
4.2 Objectif 
22. Des efforts sont nèc~.~ssairl'.S pour fournir le moyen de soutenir et réaliser des 
fonctions spécifiques dans ies domaines généraux de l'OSI, ONP, RNIS/IBC, gestion 
et sécurité de réseaux pour l'information sensible mais non classifiée. Les 
techniques et approches en matière de vérification sont liées à la normalisation et à 
la spécification. 
4.3 Situation et tendances 
23. Les Etats-Unis, en particulier, ont lancé d'importantes initiatives pour traiter la 
question de la sécurité de l'information dans le domaine civil. En Europe, ce sujet 
est traité dans le contexte de la normalisation des TIT dans le cadre d'ETSI et de 
CEN/CENELEC, en préparation du tr2vail de la CCITT et de l'ISO. 
24. En raison des préoccupations croissantes, le travail aux USA s'intensifie rapidement 
et tant les vendeurs que les prestataires de services accroissent leurs efforts dans ce 
domaine. En Europe, la France, la RFA et le Royaume-Uni ont commencé, chacun 
de leur côté, des activités similaires, mais un effort commun correspondant à 
l'américain ne se développe que lentement. 
-134-
4.4 Besoins, options et priorités 
25. Dans le domaine de la sécurité des systèmes d'information, il y a une relation très 
étroite entre les aspects réglementaires, opérationnels, administratifs et techniques. 
Les réglementations doivent se refléter dans les normes et les dispositions en matière 
de sécurité des systèmes d'information doivent se conformer aux normes et 
réglementations. Sous plusieurs aspects les réglementations exigent des 
spécifications dépassant l'objectif conventionnel de la normalisation, c'est-à-dire 
incluant des codes de conduite. Des exigences en matière de normes et codes de 
conduite se trouvent dans tous les secteurs de la sécurité des systèmes d'information, 
et une distinction doit être faite entre les exigences de protection correspondant aux 
objectifs de sécurité et les exigences techniques qui peuvent être confiées au 
organismes européens compétents de normalisation (CEN/CENELEC/ETSI). 
26. Les spécifications et normes devraient couvrir les domaines des services de sécurité 
des systèmes d'information (authentification des personnes et sociétés, protocoles de 
non-répudiation, preuve électronique juridiquement valable, contrôle d'autorisation), 
les services de communication (respect des droits des personnes au regard de la 
communication de l'image, de la voix et des données, protection des données et des 
banques d'images, sécurité des services intégrés), gestion de la communication et de 
la sécurité (systèmes de clés publiques/privées pour l'opération des réseaux ouverts, 
protection de la gestion des réseaux, protection des prestataires de services) et 
certification (critères et niveaux d'assurance de la sécurité des systèmes 
d'information, procédures d'assurance de la sécurité). 
5. CINQUIEME LIGNE D'ACTION: INTEGRATION DES DEVELOPPEMENTS TECHNOLOGIQUES ET 
OPERATIONNELS EN MATIERE DE SECURITE DES SYSTEMES D'INFORMATION DANS UN 
CADRE STRATEGIQUE GENERAL. 
5.1 Problème 
27. Un travail de recherche systématique et un développement technologique permettant 
de trouver des réponses économiquement viables et opérationellement satisfaisantes à 
une série de besoins présents et futurs en matière de sécurité des systèmes 
d'information sont des conditions nécessaires au développement du marché des 
services et à la compétitivité de l'économie européenne dans son ensemble. 
28. Tout développement technologique en matière de sécurité des systèmes 
d'information devra comprendre à la fois les aspects de la sécurité informatique et 
de la sécurité des communications dans la mesure où la plupart des systèmes actuels 
sont des systèmes distribués et où l'accès à ces systèmes se fait par des services de 
communication. 
5.2 Objectif 
29. Un travail de recherche systématique et un développement technologique permettant 
de trouver des réponses économiquement viables et opérationellement satisfaisantes à 
une série de besoins présents et futurs en matière de sécurité des systèmes 
d'information. 
5.3 Besoins, options et priorités 
30. Le travail en matière de sécurité des systèmes d'information devrait traiter de 
stratégies de développement et de réalisation, des technologies, et de leur intégration 
et vérification. 
-135-
31. Le travail stratégique de R&D devrait couvrir des modèles conceptuels de systèmes 
autant que possible sOrs~ des modèles d~exigences fonctionnelles~ des modèles de 
risque et des architectures pour la sécurité. 
32. Le travail de R&D technologique devrait inclure l'authentification de l'utilisateur et 
du message (par exemple grâce à l'analyse de la voix ou les signatures 
électroniques)~ les interfaces techniques et les protocoles pour chiffrement, les 
mécanismes de contrôle d'accès, et des méthodes de mise en oeuvre pour des 
systèmes garantis sOrs. 
33. La recherche devrait également porter sur la vérification et la validation de la 
sécurité technique des systèmes et de son applicabilité au moyen de projets 
d'intégration et vérification. 
34. En sus de la consolidation et du développement de la technologie de la sécurité, de 
nombreuses mesures d'accompagnement sont nécessaires en matière de création, 
maintenance et application consistante de normes, validation et certification de 
produits des TIT relativement à leurs propriétés en matière de sécurité, y compris la 
validation et certification des méthodes de conception et réalisation des systèmes. 
35. Le troisième programme-cadre communautaire pour la R&DT pourra être utilisé 
pour promouvoir des projets de coopération aux niveaux pré-compétitif et 
prénormatif. 
6. SIXIEME LIGNE D'ACTION: L'INTEGRATION DE CERTAINES FONCTIONS DE SECURITE DANS 
LES SYSTEMES D'INFORMATION 
6.1 Problème 
36. Selon la nature exacte des aspects de la sécurité des systèmes d'information~ les 
fonctionnalités adéquates devront être mises en place à différents endroits des 
systèmes depuis les terminaux, les services, la gestion de la communication 
jusqu'aux dispositifs cryptographiques, aux cartes à mémoire~ à la gestion des clés 
publiques et privées, etc. On peut s'attendre à ce que certaines de ces fonctionnalités 
soient incorporées dans le matériel ou les logiciels fournis par les vendeurs tandi~; 
que d'autres pourront soit faire partie de systèmes distribués (par exemple gestion 
de la communication), soit être en possession d'utilisateurs individuels (par exemple 
cartes à mémoire) soit encore être fournis par un organisme spécialisé (par exemple 
clés publiques et privées). 
37. La plupart des produits et services en matière de sécurité des systèmes d'information 
seront probablement fournis par des vendeurs, des prestataires de services ou des 
opérateurs. Pour certaines fonctions spécifiques comme par exemple la fourniture de 
clés publiques et privées, l'audit, le contrôle d'accès, il pourra être nécessaire 
d'identifier et mandater des organismes appropriés. 
38. Il en est de même pour la certification des produits par rapport aux normes, 
l'évaluation et la vérification de la qualité du service, toutes fonctions qui doivent 
être confiées à des organismes indépendants des intérêts des vendeurs, prestataires 
de services ou opérateurs. De tels organismes pourraient être soit privés soit 
publics, soit mandatés par l'Etat pour remplir ces fonctions par délégation. 
-136-
6.2 Objectif 
39. De façon à faciliter un développement harmonieux de la mise en oeuvre de la 
sécurité de l'information dans la Communauté pour la protection du public et des 
intérêts commerciaux il sera nécessaire de développer une approche consistante de la 
mise en oeuvre de la sécurité de l'information. Là où des organismes indépendants 
seront mandatés, leurs fonctions et les conditions de fonctionnement devront être 
définies, convenues et, où nécessaire, inclues dans le cadre réglementaire. l'objectif 
serait de parvenir à un partage défini et convenu des responsabilités entre les divers 
acteurs à niveau communautaire comme précondition à la reconnaissance mutuelle. 
6.3 Situation et tendances 
40. A présent, les dispositions en matière de sécurité des systèmes d'information ne sont 
bien organisées que pour des domaines spécifiques, et ne répondent qu'à des besoins 
spécifiques. L'organisation au niveau européen est le plus souvent informelle et la 
reconnaissance mutuelle de la vérification et certification n'a pas lieu en dehors de 
certains groupes fermés. L'importance croissante de la sécurité des systèmes 
d'information rend urgente la définition d'une approche consistante des dispositions 
dans ce domaine en Europe et internationalement. 
6.4 Besoins, options et priorités 
41. En raison du nombre des acteurs impliqués et des relations étroites entre questions 
réglementaires et législatives, il est particulièrement important de former un 
consensus sur les principes gouvernant les dispositions en matière de sécurité des 
systèmes d'information. En développant une approche consistante de cette question, 
on devra traiter les aspects d'identification et spécification de fonctions impliquant, 
par leur nature même, qu'un rôle soit donné à un organisme indépendant (ou à des 
organismes travaillant conjointement). Ceci pourrait couvrir des fonctions telles que 
l'administration des systèmes de clés publiques/privées. De plus, il convient 
d'identifier et spécifier assez tôt les fonctions que l'intérêt public commande de 
confier à un organisme indépendant. Ceci pourrait comprendre l'audit, l'assurance 
de qualité, la vérification, la certification et des fonctions similaires. 
-137-
FD"A..'NClAL ST A TEMEI'I 
Wormatloa Searrlty (INFOSEC) 
Preparatory Action 
BUDGLT BEADING 
Subseetion B6, Item 8104 
2. LEGAL BASE Af\"D PROPOSED CLASSIFICAnON 
Artiele [l35] 
Non compulsory expenditure. 
3. DESCRIPTIO:!" 
CollaboratioD in the development of proposais cd Kdon.s relatin& to information 
securicy as far as they requi.re or signifïcantly benefit from a concened approac:h 
at Commw:ùty level. The f'ocus or the work 1s 10 relate to lbe needs or the 
general public, c:ommerce, service providers and administrations and addreSses the 
requirements for a collaborating approach 10 technolOiica.I research, 
Sl:Uldard.isation and related issues as relevant for the development or a consistent 
:European approach to iJlformation security with l)articular reference to the 
completion of the iotemal market in 1992. 
The goal of the INFOSEC action is to m.a.ke a major contri.,uôon to the objective 
of the · 
•dnelop.PM1Û of actions tc prtTririfng t//tc:riJt 1111à prccrlœ.l seC'Il1'1ry for 
in/ormatiun luld in an elearon.ic form to w :molli wers. Ddmlnisrrœions tJnd 
business ctJm1'n3J.1lity withoul compromfsinz the inttral oftht public Gl ltv,r. • 
The present proposai is the result or the pre~ i.nvest.iptions by experts, 
consulta.ti.ons a.ud on-aoing rwlated work. · 
The scope or the prepan.tory action is to f'ocus 01l 
L development otan i.Df'ormaûon securlty maœay fra..mework 
II. iDformation seeu.rity requirements 
m. solutions for immediate and interim aeeds 
IV. specific:atioo.s, sta.ndardisatioc and veriiscatio.c or iD!ormation security 
V. teehtloloaic:al a.od operationa1 developmutslor Wormatioc aecurity 
VL intormation securiry provision. 
-138-
4. JUST'IFICADON 
s.c.o Development o! a ba.rmouised approacb to Information securiry must rorm an 
integrnl part or t~e Communiry policies related to the completion of lhe IDtema! 
Market. stn-nathen.in& or socio-eeonotD.ic performance and inœmatior~ 
competitiveness. It is vital that Intormation Security c1oes not become a 
constraint to the promotion of ha.rmcr:ùous development iu the Community aDd to 
relations w.ith other coUJltries. In ac1c1ition, information Se(:urlty syst~a~M must 
proteet prilfaCY, intellectual property, tait competition, national secadly ~1 
other io.t.em~. 
Thr pr~posed actio.n res~nds to an W'Jent ueed to facilitate and 1cce~ ::..:,,;; 
emeraence or aenetally accepted, ef'f'ec:tive and practicable meas:II"'S · 
information securlcy. The action wm bene!it f'rom synerg!es with ca-s(!~i 
proifê..CD.mes in the field oC hûormation technolo&ies (ESPRII) t:Jo 
telecommunications (ltACE) u well as the on-aoina work on telecomm'fl'TÛC2!tons. 
standardisation 111d infonnatiou market pollcies. 
IN'DICA TIY.E FIN AN CIAL PLANNING 
lmp/icœio'IU for ex~ndlture. 
Total cost o~u the whole of the exptcted dun.tion o! 2 years (in MioECù~ 
From ëe Dudget ~r tite Communities: 12.0 
From the other sectors at the national level: O.IJ 
TOTAL 12.0 
~ .;.,.1 Multi·AD.nual sehed~ode CiD: MioECU): 
1 199! l ~~;~ Commitment 
_A '::''r~,mtions 
12 Payment · 
A~preyria.tions 
~ 
6 
2 
12 
This ~;cpud.ittüe ~0\ ùs the Commwür:y•s r:.:::anC:al c.on~-ib'-0~0:1 to i':i2Jytial 
w::=:~ :.:; :::;-..!::-;! :: :-=~!=vrt t!l~ ~eveloJ:ment or spec!!ic at:~~r..s ;.rc;..r--~.·i.- .. -.r:­
~Onsulta.tien. &.:&d estt~U..ihinent of C'!0?1!eCSUS. 
-139-
• 
b) Op tl-a ti::ual expenditure 
Given the Cact that the action is !"Ul3.Ileed in Sabsecôon 6 of the budget devot~d 
to Research and Investment expeudjture, adminiS1nllve costs (Committee and 
working party meetings, C:ODSUltation of exPerts, J:.llmions, docW'llent distribution 
or dissemination or techniQues, use or data processing, teleeommun.ic:ation and 
broadcastin& eQu.ipment) an çavered directly by the lmd&et item.. 
The followiog table fives the indjcative breakdown oYer the varlous cateaories of 
expenditare (in MioECU): 
1991 1992 
5.0.2 a) 41,123 41,100 
5.0.2 b) la tefal 1.1'7'7 1,900 
or whicb ~rts 0,400 0,600 
Other openttional expentUture · 0.$00 0.71j 
Infrutrucrare 0,050 0.100 
Worma.tioo &IId pobUcatjon 0.050 0.100 
Statutory staff 0.111 0.115 
6. n"A.!~CIAL ~tPLICATIONS FOR STAFF AA"D CUilRENT AD~u:NISTJlATIVE 
APPROPRL4. TI ONS 
The statutory rese:a.rcb stzff involved, i.e. S A. 1-B, 1·C, will be entered in tbe 
research staff table a:nd ls Daid out c•r the approprillions entered onto Item 56· 
8104. 
The administrative expeodirure \\'ill 'be aoverned by the int.emal n.ùes en mini­
budgets decicied by the Com.m.ission on 2.2 May 1990. 
FINANCING OF EXPINDITUR.E 
The appropriations to co~n the Commu.n.ity•s contn'"bution to this projeet will be 
determined in the eontext or the annual budJttar)' procedure. 
~ lMPLICAUONS FOR REVENUE 
Contribution of the statutory nsearch staff to tbo retirement Kheme ud the 
aicknesa iusurance. 
-140-
9. TYPE OF CONTROL 
-Ad..m.in.i.st:rave control by the Director General for Fi.n.ancial Control as 
regards budaet impleii!entation.; 
.. Control oC achi~vemeot 
SOG-IS 
control by officiais of the Commission 
audit by the Court or Audi tors in acc::ordance wit.h provision! of the 
Treaty; 
ln ~rda.tlee with Article 2 cf the rUW1cial Regulations, the use oC 
aJ'propriatious will be subject to 8A3lyse.s of çost-effectiveness and the 
re:illsa.tion or quantlfied objectives will be monitored.