COMMISSION EUROPÉENNE Bruxelles, le 24.6.2020 SWD(2020) 115 final DOCUMENT DE TRAVAIL DES SERVICES DE LA COMMISSION […] accompagnant le document COMMUNICATION DE LA COMMISSION AU PARLEMENT EUROPEEN ET AU CONSEIL

Les règles en matière de protection des données: un pilier de l'autonomisation des citoyens et de l'approche de l'Union à l'égard de la transition numérique - deux années d'application du règlement général sur la protection des données











{COM(2020) 264 final}



Contents 1 Contexte 2 Mise en œuvre du RGPD et fonctionnement des mécanismes de coopération et de contrôle de la cohérence 2.1 Recours à des pouvoirs renforcés par les autorités chargées de la protection des données Questions spécifiques pour le secteur public Coopération avec d’autres autorités de réglementation 2.2 Les mécanismes de coopération et de contrôle de la cohérence Le guichet unique Assistance mutuelle Mécanisme de contrôle de la cohérence Problèmes à résoudre 2.3 Conseils et lignes directrices Sensibilisation et conseil des autorités chargées de la protection des données Lignes directrices du comité européen de la protection des données 2.4 Ressources des autorités chargées de la protection des données 3 Des règles harmonisées, mais un certain degré de fragmentation et des approches divergentes 3.1 Mise en œuvre du RGPD par les États membres Principaux problèmes liés à la mise en œuvre au niveau national

Rapprochement du droit à la protection des données à caractère personnel et de la liberté d’expression et d’information 3.2 Les clauses de spécification facultatives et leurs limites Fragmentation liée à l’utilisation de clauses de spécification facultatives 4 Donner aux personnes les moyens de contrôler leurs données 5 Opportunités et défis pour les organisations, en particulier les petites et moyennes entreprises Boîte à outils pour les entreprises 6 L’application du RGPD aux nouvelles technologies 7 Transferts internationaux et coopération mondiale 7.1 la protection de la vie privée: un problème mondial 32 7.2 La boîte à outils du RGPD en ce qui concerne les transferts 34 Décisions d’adéquation 36 Garanties appropriées 41 Dérogations 47 Décisions de juridictions ou d’autorités étrangères: pas un motif de transfert 48 7.3 Coopération internationale dans le domaine de la protection des données 51 La dimension bilatérale 51 La dimension multilatérale 53 Annex I: Clauses relatives aux spécifications facultatives par législation nationale Annexe II: Aperçu des ressources des autorités chargées de la protection des données





1Contexte Le règlement général sur la protection des données (ci-après le «RGPD») est le résultat de huit années de préparation, de rédaction et de négociations interinstitutionnelles, et est entré en application le 25 mai 2018 à la suite d’une période de transition de deux ans (mai 2016 - mai 2018). L’article 97 du RGPD impose à la Commission de rendre compte de l’évaluation et du réexamen du règlement, en commençant par un premier rapport après deux ans d’application, puis tous les quatre ans. L’évaluation s’inscrit également dans le cadre d’une approche à multiples facettes que la Commission a déjà suivie avant l’entrée en vigueur du RGPD et qu’elle a continué à poursuivre activement depuis lors. Dans le cadre de cette approche, la Commission a engagé des dialogues bilatéraux qui sont en cours avec les États membres sur la conformité de la législation nationale avec le RGPD, a activement contribué aux travaux du comité européen de la protection des données (ci-après le «comité») en apportant son expérience et son expertise, en soutenant les autorités chargées de la protection des données et en entretenant des contacts étroits avec un large éventail de parties prenantes sur l’application pratique du règlement. L’évaluation se fonde sur le bilan que la Commission a réalisé au cours de la première année d’application du RGPD et qui a été résumé dans la communication publiée en juillet 2019. Elle fait également suite à la communication sur l’application du RGPD publiée en janvier 2018. La Commission a également adopté les orientations sur l’utilisation des données à caractère personnel dans le contexte électoral, publiées en septembre 2018, ainsi que les orientations sur les applications soutenant la lutte contre la pandémie de COVID-19, publiées en avril 2020. Bien que l’accent soit placé sur les deux questions mises en exergue à l’article 97, paragraphe 2, du RGPD, à savoir les transferts internationaux et les mécanismes de coopération et de contrôle de la cohérence, cette évaluation adopte une approche plus large afin d’aborder les problématiques soulevées par différents acteurs au cours des deux dernières années. Afin de préparer l’évaluation, la Commission a pris en considération: ·la contribution du Conseil; ·la contribution du Parlement européen (commission des libertés civiles, de la justice et des affaires intérieures); ·la contribution du comité et de différentes autorités chargées de la protection des données, sur la base d’un questionnaire envoyé par la Commission; ·le retour d’information des membres du groupe d’experts multipartite pour soutenir l’application du RGPD, également sur la base d’un questionnaire envoyé par la Commission; ·et les contributions ad hoc reçues des parties prenantes. 2Mise en œuvre du RGPD et fonctionnement des mécanismes de coopération et de contrôle de la cohérence Le RGPD a mis en place un système de gouvernance innovant et jeté les fondements d’une véritable culture européenne de la protection des données, qui vise à garantir non seulement une interprétation harmonisée, mais aussi une application et un contrôle harmonisés des règles en matière de protection des données. Ses piliers sont les autorités nationales indépendantes chargées de la protection des données et le nouveau comité. Étant donné que les autorités chargées de la protection des données sont essentielles au fonctionnement de l’ensemble du système de protection des données de l’UE, la Commission surveille attentivement leur véritable indépendance, notamment en ce qui concerne les ressources financières, humaines et techniques adéquates. Il est encore trop tôt pour évaluer pleinement le fonctionnement des mécanismes de coopération et de contrôle de la cohérence, compte tenu de la courte expérience acquise jusqu’alors. En outre, les autorités chargées de la protection des données n’ont pas encore utilisé l’ensemble des outils prévus par le RGPD pour renforcer davantage leur coopération. 2.1Recours à des pouvoirs renforcés par les autorités chargées de la protection des données Le RGPD établit des autorités indépendantes chargées de la protection des données et leur accorde des pouvoirs d’exécution harmonisés et renforcés. Depuis que le RGPD s’applique, ces autorités utilisent un large éventail de pouvoirs correctifs prévus par le RGPD, tels que des amendes administratives (22 autorités UE/EEE), des avertissements et des rappels à l’ordre (23), des injonctions de donner suite aux demandes de la personne concernée (26), des ordres de mise en conformité avec le RGPD (27) et des injonctions de rectifier, d’effacer ou de limiter le traitement (17). Près de la moitié des autorités chargées de la protection des données (13) ont imposé des limitations temporaires ou définitives au traitement, y compris des interdictions. Cela démontre une utilisation consciente de toutes les mesures correctives prévues dans le RGPD; les autorités chargées de la protection des données n’ont pas hésité à imposer des amendes administratives en complément ou au lieu d’autres mesures correctrices, en fonction des circonstances propres à chaque cas. Amendes administratives: Entre le 25 mai 2018 et le 30 novembre 2019, 22 autorités de l’UE et de l’EEE chargées de la protection des données ont délivré environ 785 amendes. Seules quelques autorités n’ont pas encore imposé d’amendes administratives, bien que des procédures actuellement en cours puissent conduire à de telles sanctions. La plupart des amendes sont liées à des infractions commises à l’encontre: du principe de licéité; du consentement valable; de la protection des données sensibles; de l’obligation de transparence, des droits des personnes concernées; et des violations des données.

Exemples d’amendes infligées par des autorités de protection des données: - 200 000 EUR pour non-respect du droit d’opposition à la vente directe en Grèce; - 220 000 EUR pour une société de courtage de données en Pologne, pour ne pas avoir informé les personnes que leurs données étaient traitées; - 250 000 EUR pour la ligue de football espagnole LaLiga, pour manque de transparence dans la conception de son application pour smartphone; - 14 500 000 EUR pour la violation des principes de la protection des données, notamment le stockage illicite, par une entreprise immobilière allemande; - 18 000 000 EUR pour le traitement illicite de catégories particulières de données à grande échelle par les services postaux autrichiens; - 50 000 000 EUR pour Google en France, en raison des conditions d’obtention du consentement des utilisateurs. Le succès du RGPD ne devrait pas être mesuré par le nombre d’amendes infligées, étant donné que le RGPD prévoit un éventail plus large de pouvoirs en ce qui concerne les mesures correctrices. En fonction des circonstances, par exemple, l’effet dissuasif d’une interdiction de traitement ou de la suspension des flux de données peut être beaucoup plus fort. Questions spécifiques pour le secteur public Le RGPD autorise les États membres à déterminer si et dans quelle mesure des amendes administratives peuvent être infligées aux autorités et organismes publics. Lorsque les États membres font usage de cette possibilité, cela ne prive pas les autorités chargées de la protection des données d’utiliser tous les autres pouvoirs d’adoption de mesures correctrices à l’égard des autorités et organismes publics. Une autre question spécifique est celle de la surveillance des tribunaux: bien que le RGPD s’applique également aux activités des juridictions, ces dernières sont dispensées de la surveillance par les autorités chargées de la protection des données lorsqu’elles agissent dans l’exercice de leurs fonctions juridictionnelles. Toutefois, la Charte et le TFUE imposent aux États membres de confier à un organisme indépendant, dans le cadre de leurs systèmes judiciaires, la surveillance de ces opérations de traitement. Coopération avec d’autres autorités de réglementation Comme annoncé dans sa communication de juillet 2019, la Commission soutient l’interaction avec d’autres autorités de réglementation, dans le plein respect des compétences respectives. Les domaines de coopération prometteurs sont notamment la protection des consommateurs et la concurrence. Le comité a indiqué qu’elle était disposée à coopérer avec d’autres autorités de réglementation, en particulier en ce qui concerne la concentration sur les marchés numériques. La Commission a reconnu l’importance de la protection de la vie privée et des données en tant que paramètre qualitatif de la concurrence. Les membres du comité ont participé, avec le réseau de coopération en matière de protection des consommateurs, à des ateliers conjoints consacrés à la coopération en vue d’une meilleure application de la législation de l’UE en matière de protection des consommateurs et des données. Cette approche sera poursuivie afin de favoriser une compréhension commune et de mettre au point des moyens pratiques de résoudre les problèmes concrets rencontrés par les consommateurs, en particulier dans l’économie numérique. Afin de garantir une approche cohérente de la protection de la vie privée et des données, et dans l’attente de l’adoption du règlement «vie privée et communications électroniques», une coopération étroite avec les autorités compétentes pour l’application de la directive «vie privée et communications électroniques», la lex specialis dans le domaine des communications électroniques, est indispensable. Une coopération plus étroite avec les autorités compétentes au titre de la directive sur la SRI et avec le groupe de coopération SRI s’exercerait au bénéfice mutuel de ces autorités et des autorités chargées de la protection des données. 2.2Les mécanismes de coopération et de contrôle de la cohérence Le RGPD a créé le mécanisme de coopération (système de guichet unique pour les opérateurs, les opérations conjointes et l’assistance mutuelle entre les autorités chargées de la protection des données) et le mécanisme de contrôle de la cohérence afin de favoriser une application uniforme des règles en matière de protection des données, grâce à une interprétation cohérente et à la résolution d’un éventuel désaccord entre les autorités par le comité. Le comité, qui réunit toutes les autorités chargées de la protection des données, a été créé en tant qu’organe de l’UE doté de la personnalité juridique et est pleinement opérationnel, avec l’appui d’un secrétariat. Il est essentiel au fonctionnement des deux mécanismes susmentionnés. Fin 2019, le comité avait adopté 67 documents, dont 10 nouvelles lignes directrices et 43 avis . Le rôle important du comité est apparu lorsqu’il a été nécessaire de fournir rapidement une interprétation cohérente du RGPD et de trouver des solutions immédiatement applicables au niveau de l’UE. Par exemple, dans le contexte de l’épidémie de COVID-19, le comité a adopté en mars 2020 une déclaration sur le traitement des données à caractère personnel, qui porte, entre autres, sur la licéité du traitement et l’utilisation des données de localisation mobile dans ce contexte, et en avril 2020 des lignes directrices sur le traitement des données relatives à la santé aux fins de la recherche scientifique dans le cadre de la pandémie de COVID-19 et des lignes directrices relatives à l’utilisation de données de localisation et d’outils de recherche de contacts dans le cadre de la pandémie de COVID-19. Le comité a également contribué de manière significative à la conception de l’approche de l’UE en matière d’applications de traçage par la Commission et les États membres. La coopération au quotidien entre les autorités chargées de la protection des données, qu’elles agissent en leur nom propre ou en tant que membres du comité, est fondée sur les échanges d’informations et les notifications de dossiers ouverts par les autorités. Afin de faciliter la communication entre elles, la Commission a apporté aux autorités un soutien important en leur fournissant un système d’échange d’informations. La plupart des autorités estiment qu’il est adapté aux besoins des mécanismes de coopération et de contrôle de la cohérence, quand bien même il pourrait être encore affiné, par exemple en le rendant plus convivial. Bien qu’il soit encore fort tôt, un certain nombre de réalisations et de défis peuvent déjà être recensés et présentés ci-dessous. Ils montrent que, jusqu’à présent, les autorités chargées de la protection des données ont fait un usage efficace des outils de coopération, avec une préférence pour des solutions plus flexibles.

Le guichet unique En règle générale, dans les affaires transfrontières, l’autorité de protection des données d’un État membre peut participer soit i) en tant qu’autorité chef de file lorsque l’établissement principal de l’opérateur est situé dans cet État membre, soit ii) en tant qu’autorité concernée lorsque l’opérateur dispose d’un établissement sur le territoire de cet État membre, lorsque des personnes dans cet État membre sont substantiellement touchées, ou lorsqu’une plainte a été déposée auprès d’elle. Cette étroite coopération est devenue une pratique quotidienne: depuis la date d’application du RGPD, les autorités chargées de la protection des données dans tous les États membres ont, à un moment ou un autre, été recensées en tant qu’autorités chefs de file ou autorités concernées dans les affaires transfrontières, bien que dans une autre mesure. Entre mai 2018 et la fin de l’année 2019, l’autorité irlandaise chargée de la protection des données a fait office de chef de file dans le plus grand nombre d’affaires transfrontières (127), suivie de l’Allemagne (92), du Luxembourg (87), de la France (64) et des Pays-Bas (45). Ce classement reflète notamment la situation spécifique de l’Irlande et du Luxembourg, qui accueillent plusieurs grandes entreprises technologiques multinationales. Le classement est différent en ce qui concerne la participation en tant qu’autorités chargées de la protection des données, les autorités allemandes étant celles qui sont intervenues dans le plus grand nombre d’affaires (435), suivies de l’Espagne (337), du Danemark (327), de la France (332) et de l’Italie (306). Entre le 25 mai 2018 et le 31 décembre 2019, 141 projets de décisions ont été soumis dans le cadre de la procédure de guichet unique, dont 79 ont donné lieu à des décisions finales. À la date de publication du présent rapport, plusieurs décisions importantes ayant une dimension transfrontière et soumises au mécanisme de guichet unique sont en cours. Parmi ces décisions, certaines concernent de grandes entreprises technologiques multinationales. Elles devraient fournir des éclaircissements et contribuer à une plus grande harmonisation dans l’interprétation du RGPD. Assistance mutuelle Les autorités chargées de la protection des données ont largement eu recours à l’outil d’assistance mutuelle. À la fin de l’année 2019, on dénombrait 115 procédures d’assistance mutuelle en vue, notamment, de la réalisation d'enquêtes, la plupart d’entre elles par les autorités chargées de la protection des données en Espagne (26), en Allemagne (20), au Danemark (13), en Pologne (12) et en République tchèque (10). En revanche, l’Irlande (19), la France (11), l’Autriche (10), l’Allemagne (10) et le Luxembourg (9) avaient reçu le plus de demandes. La grande majorité des autorités considèrent l’assistance mutuelle comme un outil de coopération très utile et n’ont rencontré aucun obstacle particulier à l’application de la procédure d’assistance mutuelle. L’échange volontaire d’assistance mutuelle, qui n’est pas soumis à un délai légal ni à une obligation de réponse stricte, a été utilisé plus fréquemment, dans 2 427 procédures. L’autorité irlandaise chargée de la protection des données a envoyé et reçu le plus grand nombre de demandes d’assistance mutuelle (527 envoyées et 359 reçues), suivies par les autorités allemandes (260 envoyées et 356 reçues). Par ailleurs, les opérations conjointes, qui permettraient aux autorités chargées de la protection des données de plusieurs États membres de participer déjà au niveau des enquêtes sur des affaires transfrontières, n’ont pas encore été menées. Une réflexion est en cours au sein du comité sur la mise en œuvre pratique de cet outil et sur la manière de promouvoir son utilisation. Mécanisme de contrôle de la cohérence Jusqu’à présent, seule la première partie du mécanisme de contrôle de la cohérence a été utilisée, à savoir l’adoption des avis du comité. Par ailleurs, aucun règlement des différends au niveau du comité ni aucune procédure d’urgence n’a encore été lancé(e). Entre le 25 mai 2018 et le 31 décembre 2019, le comité a émis 36 avis dans le cadre de l’adoption de mesures par l’un de ses membres. La plupart de ces avis (31) concernaient l’adoption de listes nationales d’opérations de traitement nécessitant une analyse d’impact relative à la protection des données. Deux avis concernaient des règles d’entreprise contraignantes, deux autres concernaient des projets d’exigences en matière d’accréditation pour un organisme de contrôle du code de conduite, et un dernier concernait des clauses contractuelles types. En outre, le comité a adopté, sur demande, six avis. Trois de ces avis concernaient des listes nationales identifiant un traitement qui ne nécessite pas d’analyse d’impact relative à la protection des données. Les autres concernaient respectivement un arrangement administratif pour le transfert de données à caractère personnel entre les autorités de surveillance financière établies dans l’EEE et hors de l’EEE, l’interaction entre la directive «vie privée et communications électroniques» et le RGPD, et la compétence d’une autorité de contrôle en cas de changement de circonstances concernant l’établissement principal ou unique. Problèmes à résoudre Bien que les autorités chargées de la protection des données collaborent très activement au sein du comité et utilisent déjà intensivement l’outil de coopération de l’assistance mutuelle, la création d’une véritable culture commune en matière de protection des données est toujours en cours. En particulier, le traitement des affaires transfrontières requiert une approche plus efficiente et harmonisée ainsi que l’utilisation efficace de tous les outils de coopération prévus par le RGPD. Il existe un très large consensus sur ce point, étant donné qu’il a été soulevé de différentes manières par le Parlement européen, le Conseil, le contrôleur européen de la protection des données, les parties prenantes (au sein du groupe multipartite et au-delà) et les autorités chargées de la protection des données. Les principales questions à aborder dans ce contexte sont les suivantes: ·les procédures administratives nationales, notamment en ce qui concerne: les procédures de traitement des plaintes, les critères de recevabilité des plaintes, la durée des procédures en raison des délais différents ou de l’absence de délais, le moment de l’octroi du droit d’être entendu au cours de la procédure, l’information et la participation des plaignants au cours de la procédure;

·les interprétations des notions relatives au mécanisme de coopération, telles que les informations pertinentes, la notion de «sans délai», la «plainte», le document qui est défini comme étant le «projet de décision» de l’autorité de protection des données chef de file, le règlement à l’amiable (en particulier la procédure conduisant à un règlement à l’amiable et la forme juridique du règlement); et ·l’approche adoptée pour lancer la procédure de coopération, permettre aux autorités chargées de la protection des données concernées de participer à celle-ci et leur communiquer des informations. Les plaignants manquent également de clarté quant à la manière dont leurs affaires sont traitées dans des situations transfrontières, comme l’ont souligné plusieurs membres du groupe multipartite. En outre, les entreprises indiquent que, dans certains cas, les autorités nationales chargées de la protection des données n’ont pas soumis ces affaires à l’autorité chargée de la protection des données chef de file, mais les ont traitées comme des affaires locales. La Commission se félicite de l’annonce du comité selon laquelle il a entamé une réflexion sur la manière de répondre à ces préoccupations. En particulier, le comité a indiqué qu’il clarifiera les étapes de la procédure de coopération entre l’autorité chef de file et les autorités concernées chargées de la protection des données, analysera les lois de procédure administrative nationales, œuvrera à l’interprétation commune de notions clés et renforcera la communication et la coopération (y compris les opérations conjointes). La réflexion et l’analyse du comité devraient déboucher sur l’élaboration de modalités de travail plus efficaces dans les affaires transfrontières, notamment en s’appuyant sur l’expertise de ses membres et en renforçant la participation de son secrétariat. En outre, il convient de noter que la responsabilité du comité dans la garantie d’une interprétation cohérente du RGPD ne peut être assumée par la simple constatation du plus petit dénominateur commun. Enfin, en tant qu’organe de l’UE, le comité doit également appliquer le droit administratif de l’UE et garantir la transparence du processus décisionnel. 2.3Conseils et lignes directrices Sensibilisation et conseil des autorités chargées de la protection des données Plusieurs autorités chargées de la protection des données ont créé de nouveaux outils, tels que des lignes d’assistance pour les particuliers et les entreprises, et des boîtes à outils pour les entreprises. De nombreux opérateurs se félicitent du pragmatisme dont ont fait preuve ces autorités en aidant à l’application du RGPD. En particulier, plusieurs d’entre elles ont activement et étroitement collaboré et communiqué avec les délégués à la protection des données, y compris par l’intermédiaire des associations de délégués à la protection des données. De nombreuses autorités ont également publié des lignes directrices portant sur le rôle des délégués à la protection des données et les obligations de soutien aux délégués à la protection des données au cours de leurs activités quotidiennes et ont organisé des séminaires spécialement conçus pour eux. Toutefois, ce n’est pas le cas de toutes les autorités chargées de la protection des données. Les réactions des parties prenantes indiquent également un certain nombre de points relatifs à l’orientation et au conseil: ·l’absence d’approche et d’orientations cohérentes entre les autorités nationales chargées de la protection des données sur certaines questions (par exemple, sur les cookies, l’application de l’intérêt légitime, les notifications des violations de données ou les analyses d’impact relatives à la protection des données) ou encore entre les autorités chargées de la protection des données au sein des mêmes États membres (comme c'est le cas par exemple en Allemagne en ce qui concerne les notions de responsable du traitement et de sous-traitant); ·l’incohérence entre les lignes directrices adoptées au niveau national et celles adoptées par le comité; ·l’absence de consultations publiques sur certaines lignes directrices adoptées au niveau national; ·différents niveaux d’engagement auprès des parties prenantes parmi les autorités chargées de la protection des données; ·des retards dans la réception des réponses aux demandes d’information; ·des difficultés à obtenir des conseils pratiques et utiles de la part des autorités chargées de la protection des données; ·la nécessité d’accroître le niveau d’expertise sectorielle au sein de certaines autorités chargées de la protection des données (par exemple dans le secteur sanitaire et pharmaceutique). Plusieurs de ces questions sont également liées au manque de ressources au sein de plusieurs autorités chargées de la protection des données (voir ci-dessous). Pratiques divergentes en ce qui concerne la notification des violations de données Bien que le Conseil mette l’accent sur la charge découlant de ces notifications, il existe des divergences importantes en ce qui concerne les notifications entre les États membres: si, de mai 2018 à fin novembre 2019, le nombre total de notifications de violations des données était inférieur à 2 000 dans la plupart des États membres et compris entre 2 000 et 10 000 dans sept États membres, les autorités de protection des données néerlandaises et allemandes ont établi respectivement 37 400 et 45 600 notifications. Cela pourrait indiquer un manque de cohérence dans l’interprétation et la mise en œuvre, malgré l’existence de lignes directrices au niveau de l’UE sur les notifications de violations des données. Lignes directrices du comité européen de la protection des données

À ce jour, le comité a adopté plus de 20 lignes directrices couvrant des aspects essentiels du RGPD. Les lignes directrices constituent un outil essentiel pour l’application cohérente du RGPD et ont donc été, dans une large mesure, accueillies favorablement par les parties prenantes, qui ont salué la consultation publique systématique (de 6 à 8 semaines). Toutefois, elles demandent davantage de dialogue avec le comité. Dans ce contexte, la pratique consistant à organiser des ateliers sur des sujets ciblés avant de rédiger des lignes directrices devrait être poursuivie et amplifiée afin de garantir la transparence, l’inclusion et la pertinence des travaux du comité. Les parties prenantes demandent également que l’interprétation des questions les plus controversées soit abordée dans les lignes directrices, étant donné qu’elles font l’objet d’une consultation publique, et non dans les avis visés à l’article 64, paragraphe 2, du RGPD. Certaines parties prenantes demandent également des lignes directrices plus pratiques, qui détaillent l’application des notions et des dispositions du RGPD. Les membres du groupe multipartite soulignent qu’il est nécessaire de donner des exemples plus concrets afin de réduire autant que possible les possibilités d’interprétations divergentes entre les autorités chargées de la protection des données. Dans le même temps, les demandes visant à clarifier les modalités d’application du RGPD et à garantir la sécurité juridique ne devraient pas entraîner d’exigences supplémentaires ni réduire les avantages de l’approche fondée sur les risques et du principe de responsabilité. Les sujets sur lesquels les parties prenantes souhaiteraient des lignes directrices supplémentaires de la part du comité comprennent: le champ d’application des droits des personnes concernées (y compris dans le contexte professionnel); des mises à jour de l’avis sur le traitement fondé sur l’intérêt légitime; les notions de responsable du traitement, de responsable conjoint du traitement et de sous-traitant, ainsi que les arrangements nécessaires entre les parties; l’application du RGPD aux nouvelles technologies (telles que les chaînes de blocs et l’intelligence artificielle); le traitement dans le cadre de la recherche scientifique (y compris dans le cadre de la collaboration internationale); le traitement des données relatives aux enfants; la pseudonymisation et l’anonymisation; et le traitement des données relatives à la santé. Le comité a déjà indiqué qu’il publiera des lignes directrices sur bon nombre de ces sujets et que les travaux ont déjà commencé pour plusieurs d’entre eux (par exemple, en ce qui concerne l’application de l’intérêt légitime comme base juridique du traitement). Les parties prenantes demandent au comité de mettre à jour et de réviser, le cas échéant, les lignes directrices existantes, en tenant compte de l’expérience acquise depuis leur publication et en saisissant le cas échéant l’occasion d’entrer davantage dans le détail. 2.4Ressources des autorités chargées de la protection des données Doter chaque autorité de protection des données des ressources humaines, techniques et financières, des locaux et des infrastructures nécessaires est une condition préalable à la bonne exécution de leurs missions et à l’exercice de leurs pouvoirs, et donc une condition essentielle de leur indépendance. La plupart des autorités chargées de la protection des données ont bénéficié d’une augmentation de leur personnel et de leurs ressources depuis l’entrée en vigueur du RGPD en 2016. Toutefois, nombre d’entre elles continuent de déclarer qu’elles ne disposent pas de ressources suffisantes. Nombre de personnes travaillant pour les autorités nationales chargées de la protection des données Le nombre total d’agents travaillant au sein des autorités chargées de la protection des données dans l’EEE a augmenté de 42 % entre 2016 et 2019 (de 62 % si l’on considère les prévisions de 2020). Le nombre d’agents a augmenté au sein de la plupart des autorités durant cette période, la plus forte augmentation (en pourcentage) étant enregistrée pour les autorités en Irlande (+ 169 %), aux Pays-Bas (+ 145 %), en Islande (+ 143 %), au Luxembourg (+ 126 %) et en Finlande (+ 114 %). Par ailleurs, le nombre d’agents a diminué au sein de plusieurs autorités chargées de la protection des données, les plus fortes baisses ayant été observées en Grèce (-15 %), en Bulgarie (-14 %), en Estonie (-11 %), en Lettonie (-10 %) et en Lituanie (-8 %). Au sein de certaines autorités, la diminution du personnel est également due au départ d’experts de la protection des données vers le secteur privé, qui offre des conditions plus attrayantes. D’une manière générale, les prévisions pour 2020 prévoient une augmentation du personnel par rapport à 2019, sauf pour les autorités autrichiennes, bulgares, italiennes, suédoises et islandaises (dont les effectifs devraient rester stables), chypriotes et danoises (dont les effectifs devraient diminuer). Les autorités allemandes chargées de la protection des données comptent, conjointement, le plus grand nombre d’agents (888 en 2019/1 002 selon les prévisions de 2020), suivies par les autorités polonaises (238/260), françaises (215/225), espagnoles (170/220), néerlandaises (179/188), italiennes (170/170) et irlandaises (140/176). Les autorités chargées de la protection des données qui comptent le nombre d’agents le plus faible sont les autorités chypriotes (24/22), lettonnes (19/31), islandaises (17/17), estoniennes (16/18) et maltaises (13/15). Budget des autorités chargées de la protection des données Le budget total des autorités de l’EEE chargées de la protection des données a augmenté de 49 % entre 2016 et 2019 (de 64 % si l’on considère les prévisions pour 2020). Le budget de la plupart des autorités a augmenté au cours de cette période, la plus forte augmentation (en pourcentage) étant enregistrée pour les autorités irlandaises (+ 223 %), islandaises (+ 167 %), luxembourgeoises (+ 165 %), néerlandaises (+ 130 %) et chypriotes (+ 114 %). Par ailleurs, certaines autorités n’ont connu qu’une légère augmentation budgétaire, les plus faibles augmentations étant enregistrées pour les autorités de protection des données estoniennes (7 %), lettones (4 %), roumaines (3 %) et belges (1 %), tandis que les autorités françaises ont enregistré une diminution (-2 %). D’une manière générale, les prévisions pour 2020 prévoient une augmentation du budget par rapport à 2019, à l’exception des autorités autrichiennes, bulgares, estoniennes et néerlandaises (dont les budgets devraient rester stables). Les autorités chargées de la protection des données ayant le budget le plus élevé sont celles de l’Allemagne (76,6 millions d’EUR en 2019/85,8 millions d’EUR selon les prévisions de 2020), de l’Italie (29,1/30,1), des Pays-Bas (18,6/18,6), de la France (18,5/20,1) et de l’Irlande (15,2/16,9). Les autorités dont le budget est le plus faible sont celles de la Croatie (1,2 million d’EUR en 2019/1,4 million d’EUR selon les prévisions de 2020), de la Roumanie (1,1/1,3), de la Lettonie (0,6/1,2), de Chypre (0,5/0,5) et de Malte (0,5/0,6). Le tableau figurant à l’annexe II présente un aperçu des ressources humaines et budgétaires des autorités nationales chargées de la protection des données. Outre son incidence sur leur capacité à faire appliquer les règles au niveau national, le manque de ressources limite également la capacité des autorités chargées de la protection des données à participer et à contribuer aux mécanismes de coopération et de contrôle de la cohérence, ainsi qu’aux travaux menés au sein du comité. Comme l’a souligné le comité, le succès du mécanisme de guichet unique dépend du temps et de l’effort que les autorités chargées de la protection des données peuvent consacrer au traitement et à la coopération dans les affaires transfrontières individuelles. La question des ressources est aggravée par le rôle accru des autorités dans la surveillance des systèmes informatiques à grande échelle qui sont en cours d’élaboration. En outre, les autorités chargées de la protection des données en Irlande et au Luxembourg ont des besoins en ressources spécifiques, compte tenu de leur rôle de chef de file dans la mise en œuvre du RGPD par rapport aux grandes entreprises technologiques, qui sont principalement situées dans ces États membres. Si le Conseil souligne l’incidence du mécanisme de coopération et de ses délais sur les travaux des autorités chargées de la protection des données, le RGPD impose aux États membres de fournir à leurs autorités nationales de protection des données des ressources humaines, financières et techniques adéquates. Le secrétariat du comité, qui est assuré par le contrôleur européen de la protection des données, est actuellement composé de 20 personnes, dont des experts juridiques, informatiques et en communication. Il convient d’évaluer si ce chiffre doit évoluer à l’avenir compte tenu de la satisfaction effective de sa fonction d’appui analytique, administratif et logistique au comité et à ses sous-groupes, y compris par la gestion du système d’échange d’informations.

3Des règles harmonisées, mais un certain degré de fragmentation et des approches divergentes Le RGPD prévoit une approche cohérente des règles en matière de protection des données dans l’ensemble de l’UE, en remplacement des différents régimes nationaux existant dans le cadre de la directive de 1995 sur la protection des données. 3.1Mise en œuvre du RGPD par les États membres Le RGPD est directement applicable dans tous les États membres depuis le 25 mai 2018. Il a obligé les États membres à légiférer, notamment pour mettre en place des autorités nationales de protection des données et les conditions générales de leurs membres, afin de garantir que chaque autorité agit en toute indépendance dans l’accomplissement de ses missions et dans l’exercice de ses pouvoirs conformément au RGPD. Les obligations légales et les missions de service public ne peuvent constituer un fondement juridique pour le traitement de données à caractère personnel que si elles sont énoncées dans le droit (de l’Union ou) national. En outre, les États membres doivent fixer des règles en matière de sanctions notamment pour les infractions qui ne sont pas passibles d’amendes administratives et doivent concilier le droit à la protection des données à caractère personnel ainsi que le droit à la liberté d’expression et d’information. La législation nationale peut également prévoir une base juridique pour l’exemption de l’interdiction générale de traiter des catégories particulières de données à caractère personnel, par exemple pour des raisons d’intérêt public important dans le domaine de la santé publique, y compris la protection contre les menaces transfrontières graves pour la santé. En outre, les États membres doivent veiller à l’accréditation des organismes de certification. La Commission surveille la mise en œuvre du RGPD dans la législation nationale. Au moment de la rédaction du présent rapport, tous les États membres, à l’exception de la Slovénie, ont adopté une nouvelle législation en matière de protection des données ou adapté leur législation dans ce domaine. La Commission a donc demandé à la Slovénie de fournir des éclaircissements sur les progrès accomplis à ce jour et l’a invitée à finaliser ce processus. En outre, la conformité de la législation nationale aux règles de protection des données pour ce qui concerne l’acquis de Schengen est également évaluée dans le cadre du mécanisme d’évaluation de Schengen coordonné par la Commission. La Commission et les États membres évaluent conjointement la manière dont les pays mettent en œuvre et appliquent l’acquis de Schengen dans un certain nombre de domaines; pour ce qui est de la protection des données, cela porte sur des systèmes informatiques à grande échelle tels que le système d’information Schengen et le système d’information Via Information, et inclut le rôle des autorités chargées de la protection des données dans la supervision du traitement des données à caractère personnel au sein de ces systèmes. Les travaux relatifs à l’adaptation des actes législatifs sectoriels sont toujours en cours au niveau national. À la suite de l’intégration du RGPD dans l’accord sur l’Espace économique européen, son application a été étendue à la Norvège, à l’Islande et au Liechtenstein. Ces pays ont également adopté leur législation nationale en matière de protection des données. La Commission utilisera tous les outils à sa disposition, y compris les procédures d’infraction, pour veiller à ce que les États membres respectent le RGPD. Principaux problèmes liés à la mise en œuvre au niveau national Les principaux problèmes recensés à ce jour dans le cadre de l’évaluation en cours de la législation nationale et des échanges bilatéraux avec les États membres sont notamment les suivants: ·restrictions à l’application du RGPD: certains États membres, par exemple, excluent complètement les activités du parlement national; ·les différences dans l’applicabilité de la législation nationale en matière de spécification. Certains États membres subordonnent l’applicabilité de leur législation nationale à l'endroit où les biens ou les services sont offerts, alors que d'autres la font dépendre du lieu d’établissement du responsable du traitement ou du sous-traitant. Cela va à l’encontre de l’objectif d’harmonisation poursuivi par le RGPD; ·les lois nationales qui soulèvent des questions sur la proportionnalité de l’ingérence dans le droit à la protection des données. Par exemple, la Commission a lancé une procédure d’infraction à l’encontre d’un État membre qui avait adopté une législation obligeant les juges à divulguer des informations spécifiques sur leurs activités non professionnelles, ce qui est incompatible avec le droit au respect de la vie privée et le droit à la protection des données à caractère personnel; ·l’absence d’organisme indépendant pour la surveillance du traitement des données par les juridictions agissant dans l’exercice de leurs fonctions juridictionnelles; ·La législation dans les domaines entièrement réglementés par le RGPD au-delà de la marge prévue pour les spécifications ou les restrictions. Tel est notamment le cas lorsque des dispositions nationales déterminent les conditions d’un traitement fondé sur un intérêt légitime, en prévoyant la mise en balance des intérêts respectifs du responsable du traitement et des personnes concernées, tandis que le RGPD oblige chaque responsable du traitement à procéder à une telle mise en balance individuelle et à se prévaloir de cette base juridique. ·les spécifications et autres exigences que le traitement pour le respect d’une obligation légale ou l’exécution d’une mission de service public (par exemple, pour la vidéosurveillance dans le secteur privé ou pour la vente directe);, ainsi que pour les notions employées dans le RGPD (par exemple, «grande échelle» ou «effacement»). Certaines de ces questions peuvent être clarifiées par la Cour de justice dans des affaires encore pendantes. Rapprochement du droit à la protection des données à caractère personnel et de la liberté d’expression et d’information Une question spécifique concerne la mise en œuvre de l’obligation pour les États membres de concilier, par la loi, le droit à la protection des données à caractère personnel avec la liberté d’expression et d’information. Cette question est très complexe, étant donné qu’une évaluation de l’équilibre entre ces droits fondamentaux doit également tenir compte des dispositions et des garanties prévues par la législation relative aux médias et à la presse. L’évaluation de la législation des États membres montre différentes approches pour concilier le droit à la protection des données à caractère personnel et la liberté d’expression et d’information:

·Certains États membres fixent le principe de primauté de la liberté d’expression ou exemptent en principe l’application de chapitres entiers mentionnés à l’article 85, paragraphe 2, du RGPD si le traitement à des fins journalistiques et d’expression académique, artistique et littéraire est en jeu. Dans une certaine mesure, les lois sur les médias prévoient certaines garanties en ce qui concerne les droits des personnes concernées. ·Certains États membres prévoient la primauté de la protection des données à caractère personnel et ne dispensent de l’application des règles en matière de protection des données que dans des situations spécifiques, par exemple lorsqu’une personne ayant un statut public est concernée. ·D’autres États membres prévoient une certaine mise en balance par le législateur et/ou une évaluation au cas par cas en ce qui concerne les dérogations à certaines dispositions du RGPD. La Commission poursuivra son évaluation de la législation nationale sur la base des exigences de la Charte. Le rapprochement doit être prévu par la loi, respecter le contenu essentiel de ces droits fondamentaux et être proportionnel et nécessaire (article 52, paragraphe 1, de la Charte). Les règles en matière de protection des données ne devraient pas avoir d’incidence sur l’exercice de la liberté d’expression et d’information, notamment en créant un effet dissuasif ou en étant interprétées comme un moyen de faire pression sur les journalistes pour qu’ils divulguent leurs sources.

3.2Les clauses de spécification facultatives et leurs limites Le RGPD donne aux États membres la possibilité de préciser davantage son application dans un nombre limité de domaines. Cette marge pour la législation nationale doit être distinguée de l’obligation de mettre en œuvre certaines autres dispositions du RGPD comme indiqué ci-dessus. Les clauses relatives aux spécifications facultatives figurent à l’annexe I. Les marges pour la législation des États membres sont soumises aux conditions et aux limites fixées par le RGPD et ne permettent pas de mettre en place un régime national parallèle de protection des données. Les États membres sont tenus de modifier ou d’abroger les législations nationales en matière de protection des données, y compris la législation sectorielle présentant des aspects liés à la protection des données. En outre, la législation relative aux États membres ne doit pas comporter de dispositions qui pourraient créer une certaine confusion en ce qui concerne l’application directe du RGPD. Par conséquent, lorsque le RGPD prévoit des spécifications ou des restrictions de ses règles par la législation d’un État membre, les États membres peuvent intégrer des éléments du RGPD dans leur droit national, dans la mesure nécessaire pour garantir la cohérence et rendre les dispositions nationales compréhensibles pour les personnes auxquelles elles s’appliquent. Les parties prenantes estiment que les États membres devraient s’abstenir de recourir à des clauses de spécification facultatives ou limiter un tel recours, étant donné qu’elles ne contribuent pas à l’harmonisation. Les divergences nationales tant dans la mise en œuvre des lois que dans leur interprétation par les autorités chargées de la protection des données augmentent considérablement le coût du respect de la législation dans l’ensemble de l’UE. Fragmentation liée à l’utilisation de clauses de spécification facultatives ·Limite d’âge pour le consentement des enfants pour les services de la société de l’information Un certain nombre d’États membres ont fait usage de la possibilité de prévoir un âge inférieur à 16 ans pour le consentement en ce qui concerne les services de la société de l’information (article 8, paragraphe 1, du RGPD). Alors que neuf États membres appliquent la limite d’âge de 16 ans, huit États membres ont opté pour une limite de 13 ans, six pour une limite de 14 ans et trois pour une limite de 15 ans. Par conséquent, une entreprise fournissant des services de la société de l’information aux mineurs dans toute l’UE doit faire la distinction entre les âges des utilisateurs potentiels, en fonction de l’État membre dans lequel ils résident. Cela est contraire à l’objectif clé du RGPD, qui est de garantir un niveau égal de protection des personnes et des débouchés commerciaux dans tous les États membres. Ces différences entraînent des situations dans lesquelles l’État membre dans lequel le responsable du traitement est établi prévoit une autre limite d’âge que celle appliquée dans les États membres dans lesquels les personnes concernées résident. ·Santé et recherche Lorsqu’elle met en œuvre des dérogations à l’interdiction générale de traiter des catégories particulières de données à caractère personnel, la législation des États membres suit différentes approches en ce qui concerne le niveau de spécification et les garanties, y compris à des fins de santé et de recherche. La plupart des États membres ont introduit ou maintenu des conditions supplémentaires pour le traitement des données génétiques, des données biométriques ou des données relatives à la santé. C’est également le cas pour les dérogations relatives aux droits des personnes concernées à des fins de recherche, tant en ce qui concerne l’étendue des dérogations que les garanties qui s’y rapportent. Les futures lignes directrices du comité sur l’utilisation des données à caractère personnel dans le domaine de la recherche scientifique contribueront à une approche harmonisée dans ce domaine. La Commission apportera sa contribution au comité, en particulier en ce qui concerne la recherche dans le domaine de la santé, y compris sous la forme de questions concrètes et d’analyses de scénarios concrets qu’elle a reçus de la part de la communauté des chercheurs. Il serait utile que ces lignes directrices puissent être adoptées avant le lancement du programme-cadre «Horizon Europe» en vue d’harmoniser les pratiques en matière de protection des données et de faciliter le partage des données pour les progrès de la recherche. Des lignes directrices du comité sur le traitement des données à caractère personnel dans le domaine de la santé pourraient également être utiles. Le RGPD fournit un cadre solide pour la législation nationale dans le domaine de la santé publique et inclut explicitement les menaces transfrontières pour la santé et la surveillance des épidémies et de leur propagation, ce qui était pertinent dans le cadre de la lutte contre la pandémie de COVID-19. Au niveau de l’UE, la Commission a adopté, le 8 avril 2020, une recommandation relative à la boîte à outils pour l’utilisation des technologies et des données dans ce contexte, y compris les applications mobiles et l’utilisation de données de mobilité rendues anonymes, et, le 16 avril 2020, des orientations sur les applications soutenant la lutte contre la pandémie en matière de protection des données. Le 19 mars 2020, le comité a publié une déclaration sur le traitement des données dans ce contexte, suivie, le 21 avril 2020, de lignes directrices sur le traitement des données à des fins de recherche et sur l’utilisation de données de localisation et d’outils de recherche de contacts dans ce contexte. Ces recommandations et lignes directrices précisent comment les principes et les règles en matière de protection des données à caractère personnel s’appliquent dans le cadre de la lutte contre la pandémie.

·Restrictions étendues des droits des personnes concernées La plupart des législations nationales en matière de protection des données qui restreignent les droits de la personne concernée ne précisent pas les objectifs d’intérêt général garantis par ces restrictions et/ou ne satisfont pas suffisamment aux conditions et aux garanties prévues à l’article 23, paragraphe 2, du RGPD. Plusieurs États membres ne laissent pas de place à l'évaluation de la proportionnalité ou étendent les restrictions même au-delà du champ d’application de l’article 23, paragraphe 1, du RGPD. Par exemple, certaines législations nationales refusent le droit d’accès, pour des raisons d’effort disproportionné de la part du responsable du traitement, en ce qui concerne les données à caractère personnel stockées sur la base d’une obligation de conservation ou liées à l’exécution de missions de service public, sans limiter cette restriction aux objectifs d’intérêt public général. ·Exigences supplémentaires pour les entreprises Bien que l’exigence d’un délégué à la protection des données obligatoire repose sur l’approche fondée sur les risques, un État membre l’a étendue à un critère quantitatif, en obligeant les entreprises dans lesquelles 20 salariés ou plus prennent part de manière permanente au traitement automatisé de données à caractère personnel à désigner un délégué à la protection des données, indépendamment des risques liés aux activités de traitement. Cette obligation a entraîné des charges supplémentaires. 4Donner aux personnes les moyens de contrôler leurs données Le RGPD confère des droits fondamentaux, en particulier le droit à la protection des données à caractère personnel, mais aussi les autres droits fondamentaux reconnus par la Charte, notamment le respect de la vie privée et familiale, la liberté d’expression et d’information, la non-discrimination, la liberté de pensée, de conscience et de religion, la liberté d’entreprise et le droit à un recours effectif. Ces droits doivent être mis en balance les uns avec les autres, dans le respect du principe de proportionnalité. Le RGPD fournit aux personnes physiques des droits exécutoires, tels que le droit d’accès, de rectification, d’effacement, d’opposition, de portabilité et une transparence accrue. Il confère également aux particuliers le droit d’introduire une réclamation auprès d’une autorité chargée de la protection des données, y compris par des actions représentatives, et de former un recours juridictionnel. Les particuliers sont de plus en plus conscients de leurs droits, comme le montrent les résultats de l’enquête Eurobaromètre de juillet 2019 et l’enquête menée par l’Agence des droits fondamentaux. Selon l’enquête sur les droits fondamentaux réalisée par l’Agence des droits fondamentaux: ·69 % de la population âgée de 16 ans et plus dans l’UE a entendu parler du RGPD; ·71 % des personnes interrogées dans l’UE ont entendu parler de leur autorité nationale de protection des données; ce chiffre est compris entre 90 % pour la République tchèque et 44 % pour la Belgique; ·60 % des personnes interrogées dans l’UE ont connaissance d’une loi qui leur permet d’accéder à leurs données à caractère personnel détenues par l’administration publique; toutefois, ce pourcentage diminue pour s’établir à 51 % pour les entreprises privées; ·plus d’une personne interrogée sur cinq (23 %) dans l’UE ne souhaite pas partager de données à caractère personnel (comme l’adresse, la nationalité ou la date de naissance) avec l’administration publique, et 41 % ne souhaitent pas partager ces données avec des entreprises privées. Les particuliers utilisent de plus en plus leur droit de porter plainte auprès des autorités chargées de la protection des données, soit individuellement, soit par des actions représentatives. Seuls quelques États membres ont autorisé les organisations non gouvernementales à lancer des actions sans mandat, conformément à la possibilité offerte par le RGPD. Une fois adoptée, la directive sur les actions représentatives dans le domaine de la protection des intérêts collectifs des consommateurs qui est proposée devrait renforcer également le cadre des actions représentatives dans le domaine de la protection des données. Plaintes Le nombre total de plaintes entre mai 2018 et fin novembre 2019, tel qu’il a été signalé par le comité, est d’environ 275 000. Toutefois, ce chiffre devrait être considéré avec beaucoup de prudence, étant donné que la définition d’une plainte n’est pas identique parmi les autorités. Le nombre absolu de plaintes reçues par les autorités chargées de la protection des données est très différent d’un État membre à l’autre. Le plus grand nombre de plaintes a été enregistré en Allemagne (67 000), aux Pays-Bas (37 000), en Espagne et en France (18 000 chacun), en Italie (14 000), en Pologne et en Irlande (12 000 chacun). Deux tiers des autorités ont signalé un nombre de plaintes compris entre 600 et 8 000. Les nombres de plaintes les plus faibles ont été enregistrés en Estonie et en Belgique (environ 500), à Malte et en Islande (moins de 200 chacun). Le nombre de plaintes n’est pas nécessairement corrélé à la taille de la population ou au PIB; il y a, par exemple, près de deux fois plus de plaintes en Allemagne qu’aux Pays-Bas, et quatre fois plus qu’en Espagne et en France. Les réactions du groupe multipartite montrent que les organisations ont adopté toute une série de mesures pour faciliter l’exercice des droits des personnes concernées, y compris des processus de mise en œuvre qui garantissent l’examen individuel des demandes et une réponse du responsable du traitement, l’utilisation de plusieurs canaux (courrier, adresse électronique spécialisée, site web, etc.), des procédures et des politiques internes mises à jour concernant le traitement interne des demandes en temps voulu, ainsi que la formation du personnel. Certaines entreprises ont mis en place des portails numériques accessibles par l’intermédiaire du site internet de l’entreprise (ou de l’intranet de l’entreprise pour les salariés) afin de faciliter l’exercice des droits par les personnes concernées. Toutefois, des progrès supplémentaires sont nécessaires en ce qui concerne les points suivants: ·Tous les responsables du traitement ne respectent pas leur obligation de faciliter l’exercice des droits des personnes concernées. Ils doivent veiller à ce que les personnes concernées disposent d’un point de contact effectif auquel elles peuvent expliquer leurs problèmes. Il peut s’agir du délégué à la protection des données, dont les coordonnées doivent être fournies de manière proactive à la personne concernée. Les modalités de contact ne doivent pas se limiter aux courriers électroniques, mais doivent également permettre à la personne concernée de s’adresser au responsable du traitement par d’autres moyens.

·Les particuliers rencontrent toujours des difficultés lorsqu’ils demandent à accéder à leurs données, par exemple auprès de plateformes, de courtiers de données et d’entreprises AdTech. ·Le droit à la portabilité des données n’est pas pleinement exploité. La stratégie européenne pour les données (ci-après dénommée «stratégie en matière de données»), adoptée par la Commission le 19 février 2020, a souligné la nécessité de faciliter toutes les utilisations possibles de ce droit [par exemple en rendant obligatoires les interfaces techniques et les formats lisibles par machine permettant la portabilité des données en temps (quasi) réel]. Les opérateurs font observer qu’il est parfois difficile de fournir les données dans un format structuré, couramment utilisé par machine (en raison de l’absence de norme). Seules les organisations issues de secteurs particuliers, comme le secteur bancaire et les secteurs des télécommunications et des compteurs d’eau et de chauffage, indiquent avoir mis en œuvre les interfaces nécessaires. De nouveaux outils technologiques ont été mis au point pour faciliter l’exercice, par les particuliers, de leurs droits au titre du RGPD, qui ne se limitent pas à la portabilité des données (par exemple, les espaces de données à caractère personnel et les services de gestion de l’information personnelle). ·Droits des enfants: plusieurs membres du groupe multipartite soulignent la nécessité de fournir des informations aux enfants et le fait que de nombreuses organisations ignorent que les enfants peuvent être concernés par le traitement de leurs données. Le Conseil a souligné qu’une attention particulière pouvait être accordée à la protection des enfants lors de l’élaboration de codes de conduite. La protection des enfants est également une priorité pour les autorités chargées de la protection des données. ·Droit à l’information: certaines entreprises adoptent une approche très légaliste en considérant les avis de protection des données comme un exercice juridique, les informations étant relativement complexes, difficiles à comprendre ou incomplètes, alors que le RGPD exige que toute information soit concise et fasse l’objet d’un langage clair et simple. Il semble que certaines entreprises ne suivent pas les recommandations du comité, par exemple en ce qui concerne la liste des noms des entités avec lesquelles elles partagent des données. ·Plusieurs États membres ont largement restreint les droits des personnes concernées en vertu du droit national, et, pour certains, même au-delà des marges de l’article 23 du RGPD. ·L’exercice des droits des personnes est parfois entravé par les pratiques de quelques grands acteurs numériques qui empêchent les particuliers de choisir les paramètres qui protègent le mieux leur vie privée (en violation de l’exigence de protection des données dès la conception et par défaut). Les lignes directrices du comité sur les droits des personnes concernées sont très attendues par les parties prenantes. 5Opportunités et défis pour les organisations, en particulier les petites et moyennes entreprises Possibilités pour les organisations Le RGPD encourage la concurrence et l’innovation. Avec le règlement relatif au libre flux des données à caractère non personnel, il garantit la libre circulation des données au sein de l’UE et crée des conditions de concurrence équitables avec les entreprises non établies dans l’UE. En créant un cadre harmonisé pour la protection des données à caractère personnel, le RGPD garantit que tous les acteurs du marché intérieur sont liés par les mêmes règles et bénéficient des mêmes possibilités, où qu’ils soient établis et où que le traitement ait lieu. La neutralité technologique du RGPD prévoit le cadre de la protection des données pour les nouvelles évolutions technologiques. Les principes de la protection des données dès la conception et par défaut encouragent l’adoption de solutions innovantes, lesquelles incluent des considérations relatives à la protection des données dès le début de la procédure et peuvent réduire le coût du respect des règles en matière de protection des données. En outre, le respect de la vie privée devient un paramètre concurrentiel important que les particuliers prennent de plus en plus en considération lors du choix de leurs services. Ceux qui sont mieux informés et sensibles aux considérations relatives à la protection des données recherchent des produits et des services qui garantissent une protection efficace des données à caractère personnel. La mise en œuvre du droit à la portabilité des données est susceptible de réduire les barrières à l’entrée pour les entreprises offrant des services innovants et adaptés à la protection des données. Il convient de surveiller les effets d’une utilisation potentiellement plus large de ce droit sur le marché dans différents secteurs. Le respect des règles en matière de protection des données et leur application transparente permettront de renforcer la confiance à l’égard de l’utilisation des données à caractère personnel de la population et, partant, de proposer de nouvelles possibilités pour les entreprises. Comme tous les règlements, les règles en matière de protection des données comportent des coûts de mise en conformité inhérents aux entreprises. Toutefois, ces coûts sont contrebalancés par les possibilités et les avantages d’une confiance renforcée dans l’innovation numérique et par les avantages que présente pour les sociétés le respect d’un droit fondamental. En garantissant des conditions de concurrence équitables et en dotant les autorités chargées de la protection des données de ce dont elles ont besoin pour faire appliquer les règles de manière efficace, le RGPD empêche les entreprises non conformes de parasiter la confiance instillée par ceux qui suivent les règles. Défis spécifiques pour les petites et moyennes entreprises (PME) Il existe une perception générale par les parties prenantes, mais aussi par le Parlement européen, le Conseil et les autorités chargées de la protection des données, du fait que l’application du RGPD est particulièrement difficile pour les micro, petites et moyennes entreprises, ainsi que pour les petites organisations bénévoles et caritatives. Selon une approche fondée sur les risques, il ne serait pas approprié de prévoir des dérogations fondées sur la taille des opérateurs, étant donné que la taille de ces derniers ne constitue pas, en soi, un indicateur des risques que peut supposer, pour les particuliers, le traitement des données à caractère personnel qu’ils effectuent. L’approche fondée sur les risques allie flexibilité et protection effective. Elle tient compte des besoins des PME pour lesquelles le traitement des données ne relève pas de leur activité principale, et calibre leurs obligations notamment en fonction de la probabilité et de la gravité des risques liés au traitement spécifique qu’elles effectuent. Le traitement occasionnel à faible risque ne devrait pas être traité de la même manière qu’un traitement à haut risque et fréquent, indépendamment de la taille de la société qui l’entreprend. Par conséquent, conformément aux conclusions du comité, «en tout état de cause, l’approche fondée sur les risques préconisée par le législateur dans le texte devrait être maintenue, étant donné que les risques pour les personnes concernées ne dépendent pas de la taille des responsables du traitement». Les autorités chargées de la protection des données devraient pleinement tenir compte de ce principe lors de l’application du RGPD, de préférence dans le cadre d’une approche européenne commune afin de ne pas créer d’obstacles sur le marché unique. Les autorités chargées de la protection des données ont mis au point plusieurs outils et ont souligné leur intention de les améliorer encore. Certaines autorités ont lancé des campagnes de sensibilisation et organiseront même gratuitement des «cours de RGPD» pour les PME. Exemples d’orientations et d’outils fournis spécifiquement aux PME par les autorités chargées de la protection des données: ·publication d’informations destinées aux PME; ·séminaires destinés aux délégués à la protection des données et aux manifestations pour les PME qui n’ont pas besoin de désigner un délégué à la protection des données;

·guides interactifs pour aider les PME; ·lignes téléphoniques directes pour les consultations; ·modèles pour le traitement des contrats et les enregistrements relatifs aux activités de traitement. Le comité fournit dans sa contribution une description des activités menées par les autorités chargées de la protection des données. Plusieurs des actions qui soutiennent spécifiquement les PME ont bénéficié d’un financement de l’UE. La Commission a fourni un soutien financier au moyen de trois vagues de subventions, pour un montant total de 5 millions d’EUR, les deux plus récentes ayant spécifiquement pour objectif de soutenir les autorités nationales chargées de la protection des données dans leurs efforts pour atteindre les particuliers et les PME. En conséquence, en 2018, 2 millions d’EUR ont été alloués à neuf autorités chargées de la protection des données pour des activités réalisées en 2018-2019 (la Belgique, la Bulgarie, le Danemark, la Hongrie, la Lituanie, la Lettonie, les Pays-Bas, la Slovénie et l’Islande) et, en 2019, 1 million d’EUR a été alloué à quatre autorités chargées de la protection des données pour des activités menées en 2020 (la Belgique, Malte, la Slovénie et la Croatie en partenariat avec l’Irlande) . Un million d’EUR supplémentaire sera alloué en 2020. En dépit de ces initiatives, les PME et les jeunes entreprises déclarent souvent qu’elles ont du mal à appliquer le principe de responsabilité énoncé dans le RGPD. Elles indiquent notamment qu’elles ne reçoivent pas toujours suffisamment d’orientations et de conseils pratiques de la part des autorités nationales chargées de la protection des données ou que le temps nécessaire pour obtenir des orientations et des conseils est trop long. Il y a également eu des cas où les autorités étaient peu enclines à s’engager dans des questions juridiques. Lorsqu’elles sont confrontées à de telles situations, les PME se tournent souvent vers des conseillers et avocats externes pour traiter de la mise en œuvre du principe de responsabilité et de l’approche fondée sur les risques (y compris les exigences en matière de transparence, les dossiers de traitement et les notifications des violations de données). Cela peut également entraîner des coûts supplémentaires pour ces entreprises. Une question spécifique concerne l’enregistrement des activités de traitement, considéré par les PME et les petites associations comme une lourde charge administrative. L’exemption de cette obligation prévue à l’article 30, paragraphe 5, du RGPD est en effet très réduite. Toutefois, les efforts connexes pour satisfaire à cette obligation ne devraient pas être surestimés. Lorsque les activités principales des PME n’impliquent pas le traitement de données à caractère personnel, ces enregistrements peuvent être simples et non contraignants. Il en va de même pour les associations bénévoles et les autres associations. Ces enregistrements simplifiés seraient facilités par des enregistrements modèles, comme cela est déjà le cas pour certaines autorités chargées de la protection des données. En tout état de cause, quiconque procède au traitement de données à caractère personnel devrait considérer globalement ce traitement comme une exigence fondamentale du principe de responsabilité. La mise au point par le comité, au niveau de l’UE, d’outils pratiques, tels que des formulaires harmonisés pour les violations de données et des comptes rendus simplifiés des activités de traitement, peut aider les PME et les petites associations dont les activités principales ne sont pas axées sur le traitement des données à caractère personnel à s’acquitter de leurs obligations. Diverses associations sectorielles ont déployé des efforts pour sensibiliser et informer leurs membres, par exemple au moyen de conférences et de séminaires, en fournissant aux entreprises des informations sur les orientations disponibles ou en élaborant un service d’assistance à la protection de la vie privée pour les membres. Elles font également état d’un nombre croissant de séminaires, de réunions et d’événements organisés par des groupes de réflexion et des associations de PME sur des questions liées au RGPD. Afin de renforcer la libre circulation de toutes les données au sein de l’UE et de mettre en place une application cohérente du RGPD et du règlement sur le libre flux des données à caractère non personnel, la Commission a également publié des orientations pratiques sur les règles régissant le traitement des séries de données mixtes, composées à la fois de données à caractère personnel et de données à caractère non personnel, et ciblant en particulier les PME. Boîte à outils pour les entreprises Le RGPD prévoit des outils qui contribuent à démontrer la conformité, tels que les codes de conduite, les mécanismes de certification et les clauses contractuelles types. ·Codes de conduite Le comité a publié des lignes directrices pour aider les «propriétaires de codes» et simplifier la rédaction, la modification ou l’extension des codes, ainsi que pour fournir des orientations pratiques et une assistance dans l’interprétation. Ces lignes directrices précisent également les procédures de soumission, d’approbation et de publication des codes tant au niveau national qu’au niveau de l’UE, en définissant les critères minimaux requis. Les parties prenantes considèrent les codes de conduite comme des outils très utiles. Bien que de nombreux codes soient mis en œuvre au niveau national, un certain nombre de codes de conduite à l’échelle de l’UE sont actuellement en préparation (par exemple sur les applications de santé mobiles et dans les domaines de la recherche en génomique, de l’informatique en nuage, de la vente directe, de l’assurance et du traitement par des services de prévention et de conseil concernant les enfants). Les opérateurs estiment que les codes de conduite à l’échelle de l’UE devraient être davantage mis en avant dans la mesure où ils favorisent l’application cohérente du RGPD dans tous les États membres. Toutefois, les codes de conduite requièrent également du temps et des investissements de la part des opérateurs, tant pour leur développement que pour la mise en place des organes de contrôle indépendants requis. Les représentants des PME soulignent l’importance et l’utilité de codes de conduite adaptés à leur situation et n’entraînant pas de coûts disproportionnés. Par conséquent, les associations d’entreprises de plusieurs secteurs ont mis en œuvre d’autres types d’instruments d’autorégulation, tels que des codes de bonnes pratiques ou des orientations. Si ces outils peuvent fournir des informations utiles, ils ne sont pas approuvés par les autorités chargées de la protection des données et ne peuvent pas contribuer à démontrer le respect du RGPD. Le Conseil souligne que les codes de conduite doivent accorder une attention particulière au traitement des données relatives aux enfants et des données relatives à la santé. La Commission soutient le ou les codes de conduite qui harmoniseraient l’approche en matière de santé et de recherche et faciliteraient le traitement transfrontière des données à caractère personnel. Le comité est en train d’approuver les projets d’exigences d’agréments pour les organes de contrôle des codes de conduite présentés par plusieurs autorités chargées de la protection des données. Une fois que des codes de conduite transnationaux ou au niveau de l’UE sont prêts à être soumis à l’approbation des autorités chargées de la protection des données, ils font l'objet d'une consultation auprès du comité. La mise en place rapide de codes de conduite transnationaux est particulièrement importante pour les domaines nécessitant le traitement d'importants volumes de données (par exemple, l’informatique en nuage) ou le traitement de données sensibles (par exemple, la santé ou la recherche). ·Certification La certification peut être un instrument utile pour démontrer le respect des exigences spécifiques du RGPD. Elle peut renforcer la sécurité juridique pour les entreprises et promouvoir le RGPD au niveau mondial.

Comme indiqué dans l’étude sur la certification publiée en avril 2019, l’objectif devrait être de faciliter l’adoption des systèmes concernés. L’élaboration de systèmes de certification dans l’UE sera soutenue par les lignes directrices émises par le comité en ce qui concerne les critères de certification et l’accréditation des organismes de certification. La sécurité et la protection des données dès la conception sont des éléments essentiels à prendre en considération dans les systèmes de certification au titre du RGPD. Elles bénéficieraient d’une approche commune et ambitieuse dans l’ensemble de l’UE. La Commission continuera à soutenir les contacts actuels entre l’Agence de l’Union européenne pour la cybersécurité (ENISA), les autorités chargées de la protection des données et le comité. En ce qui concerne la cybersécurité, à la suite de l’adoption du règlement sur la cybersécurité, la Commission a demandé à l’ENISA d'élaborer deux systèmes de certification comprenant un système pour les services en nuage. D’autres mécanismes portant sur la cybersécurité des services et des produits pour les consommateurs sont à l’étude. Bien que ces systèmes de certification établis en vertu du règlement sur la cybersécurité ne traitent pas explicitement de la protection des données et de la vie privée, ils contribuent à accroître la confiance des consommateurs dans les services et produits numériques. Ces systèmes peuvent fournir la preuve du respect des principes de sécurité dès la conception ainsi que de la mise en œuvre des mesures techniques et organisationnelles appropriées liées à la sécurité du traitement des données à caractère personnel. ·Clauses contractuelles types La Commission travaille actuellement sur des clauses contractuelles types entre les responsables du traitement et les sous-traitants, notamment à la lumière de la modernisation des clauses contractuelles types pour les transferts internationaux (voir la section 7.2). Un acte de l’Union, adopté par la Commission, produira des effets contraignants à l’échelle de l’UE, ce qui garantira une harmonisation totale et une sécurité juridique. 6L’application du RGPD aux nouvelles technologies Un cadre technologiquement neutre ouvert aux nouvelles technologies Le RGPD est technologiquement neutre, crée un climat de confiance et repose sur des principes. Ces principes, notamment le traitement licite et transparent, la limitation des finalités et la minimisation des données, offrent une base solide à la protection des données à caractère personnel, quelles que soient les opérations et techniques de traitement appliquées. Les membres du groupe multipartite indiquent que, dans l’ensemble, le RGPD a une incidence positive sur le développement de nouvelles technologies et constitue une bonne base pour l’innovation. Le RGPD est considéré comme un outil essentiel et flexible pour garantir le développement de nouvelles technologies dans le respect des droits fondamentaux. La mise en œuvre de ses principes fondamentaux est particulièrement cruciale pour le traitement intensif des données. L’approche fondée sur les risques et la neutralité technologique du RGPD confère un niveau de protection des données adéquat pour faire face aux risques du traitement, y compris par les technologies émergentes. Plus particulièrement, les parties prenantes indiquent que les principes du RGPD relatifs à la limitation des finalités et à d’autres traitements compatibles, la minimisation des données, la limitation du stockage, la transparence, la responsabilité et les conditions dans lesquelles les processus de prise de décision automatisés peuvent être légalement déployés répondent dans une large mesure aux préoccupations liées à l’utilisation de l’intelligence artificielle. L’approche adaptée aux besoins futurs et fondée sur les risques prévue par le RGPD sera également appliquée dans l’éventuel futur cadre relatif à l’intelligence artificielle et lors de la mise en œuvre de la stratégie en matière de données. Cette dernière vise à favoriser la disponibilité des données et à créer des espaces européens communs de données, avec le soutien des services fédérés d’infrastructure en nuage. En ce qui concerne les données à caractère personnel, le RGPD constitue le cadre juridique principal, dans lequel des solutions efficaces peuvent être élaborées au cas par cas en fonction de la nature et du contenu de chaque espace de données. Le RGPD accroît la sensibilisation à la protection des données à caractère personnel tant à l’intérieur qu’à l’extérieur de l’UE et a incité les entreprises à adapter leurs pratiques afin de tenir compte des principes de la protection des données lorsqu’elles innovent. Toutefois, les organisations de la société civile notent que, bien que l’incidence du RGPD sur le développement de nouvelles technologies semble positive, les pratiques des principaux acteurs du numérique n’ont pas encore fondamentalement évolué vers un traitement plus respectueux de la vie privée. La Commission analyse les questions plus vastes liées aux comportements des grands acteurs du numérique sur le marché dans le cadre du paquet relatif aux services numériques. En ce qui concerne la recherche dans le domaine des médias sociaux, la Commission rappelle que le RGPD ne peut être utilisé comme excuse par les plateformes de médias sociaux pour limiter l’accès des chercheurs et des vérificateurs de faits aux données à caractère non personnel, telles que des statistiques sur les types de publicités ciblées adressées à des catégories de personnes données, les critères de ciblage utilisés à cette fin, des informations sur les faux comptes, etc. L’approche adaptée aux besoins futurs et technologiquement neutre du RGPD a été mise à l’épreuve au cours de la pandémie de COVID-19 et s'est révélée efficace. Ses règles fondées sur les principes ont soutenu la mise au point d’outils destinés à lutter contre la propagation du virus et à en assurer le suivi. Défis à relever Le développement et l’application de nouvelles technologies ne remettent pas ces principes en question. Les défis à relever consistent à préciser comment appliquer les principes avérés à l’utilisation de technologies spécifiques telles que l’intelligence artificielle, la chaîne de blocs, l’internet des objets, la reconnaissance faciale ou l’informatique quantique. Dans ce contexte, le Parlement européen et le Conseil ont souligné la nécessité d’un suivi continu afin de faire le point sur l'application du RGPD aux nouvelles technologies et aux grandes entreprises technologiques. En outre, s'agissant de la question de savoir si le RGPD reste adapté à sa finalité, les parties prenantes attirent l'attention sur le fait que l'évaluation de ce point nécessite également un contrôle permanent. Les parties prenantes de l’industrie soulignent que l’innovation exige que le RGPD soit appliqué sur la base des principes, conformément à sa conception, et non pas de manière rigide et formelle. Elles sont d’avis que les lignes directrices du comité sur la manière d’appliquer les principes, les concepts et les règles du RGPD aux nouvelles technologies, telles que l’intelligence artificielle, la chaîne de blocs ou l’internet des objets, en tenant compte de l’approche fondée sur les risques, contribueraient à apporter davantage de clarté et une plus grande sécurité juridique. L'emploi de tels outils juridiques non contraignants est idéal pour accompagner l’application du RGPD aux nouvelles technologies, étant donné qu'il en résulte une plus grande sécurité juridique et qu'ils peuvent être revus en fonction des évolutions technologiques. Par ailleurs, certaines parties prenantes sont d'avis que des orientations sectorielles sur la manière d’appliquer le RGPD aux nouvelles technologies pourraient être utiles. Le comité a indiqué qu’il continuera à examiner l’incidence des technologies émergentes sur la protection des données à caractère personnel. Les parties prenantes soulignent également l’importance pour les autorités de réglementation d’acquérir une compréhension approfondie de la manière dont la technologie est utilisée et d’engager un dialogue avec l’industrie sur le développement des technologies émergentes. Elles estiment qu’une approche de «sas réglementaire» - en tant que moyen d’obtenir des orientations sur l’application des règles - pourrait constituer une option intéressante pour tester de nouvelles technologies et aider les entreprises à appliquer la protection des données dès la conception et par défaut aux nouvelles technologies.

En ce qui concerne les mesures supplémentaires à prendre, les parties prenantes recommandent que toute future proposition stratégique sur l’intelligence artificielle s’appuie sur les cadres juridiques existants et soit alignée sur le RGPD. Il conviendra d'évaluer soigneusement toute question spécifique éventuelle, sur la base des éléments de preuve pertinents, avant de proposer de nouvelles dispositions prescriptives. Le livre blanc de la Commission sur l’intelligence artificielle propose un certain nombre d’options stratégiques sur lesquelles parties prenantes ont été invités à donner leur avis jusqu’au 14 juin 2020. En ce qui concerne la reconnaissance faciale, une technologie susceptible d’avoir une incidence significative sur les droits individuels, le livre blanc rappelle le cadre législatif en vigueur et ouvre un débat public sur les circonstances particulières, le cas échéant, qui pourraient justifier le recours à l’intelligence artificielle pour la reconnaissance faciale et à d’autres fins d’identification biométrique à distance dans les lieux publics, ainsi que sur les garanties communes à mettre en place. 7Transferts internationaux et coopération mondiale 7.1la protection de la vie privée: un problème mondial La demande de protection des données à caractère personnel ne connaît pas de frontières, dans la mesure où les individus du monde entier chérissent et apprécient de plus en plus la confidentialité et la sécurité de leurs données. Dans le même temps, l’importance des flux de données pour les particuliers, les gouvernements, les entreprises et, plus généralement, la société dans son ensemble, est une donnée incontournable dans notre monde interconnecté. Ces flux font partie intégrante du commerce, de la coopération entre les différents pouvoirs publics, et des interactions sociales. À cet égard, l’actuelle pandémie de COVID-19 souligne également l’importance cruciale du transfert et de l’échange de données à caractère personnel pour de nombreuses activités essentielles, y compris la garantie de la continuité des interventions gouvernementales et des opérations commerciales; en effet, ces transferts et échanges permettent le télétravail et la mise en oeuvre d'autres solutions qui dépendent fortement des technologies de l’information et de la communication, développent la coopération dans le domaine de la recherche scientifique sur les diagnostics, les traitements et les vaccins, et permettent de lutter contre de nouvelles formes de cybercriminalité comme par exemple les systèmes de fraude en ligne proposant des médicaments contrefaits pour prévenir ou guérir la COVID-19. Dans ce contexte, et plus que jamais, la protection de la vie privée et la facilitation des flux de données doivent aller de pair. Avec son régime de protection des données, qui combine l’ouverture aux transferts internationaux et un niveau élevé de protection individuelle, l’UE est très bien placée pour promouvoir des flux de données sûrs et dignes de confiance. Le RGPD est déjà devenu un point de référence au niveau international et il a agi comme un catalyseur dans de nombreux pays du monde, qu'il a incités à envisager l’introduction de règles modernes en matière de protection de la vie privée. Il s’agit d’une tendance véritablement mondiale, présente du Chili à la Corée du Sud, du Brésil au Japon, du Kenya à l’Inde, de la Tunisie à l’Indonésie ou de la Californie à Taïwan, pour ne citer que quelques exemples. Ces évolutions sont remarquables, d’un point de vue non seulement quantitatif, mais aussi qualitatif: de nombreuses lois sur la protection de la vie privée récemment adoptées ou en voie d’adoption reposent sur un socle de garanties, de droits et de mécanismes d’exécution communs, partagés par l’UE. Dans un monde trop souvent caractérisé par des approches réglementaires différentes, voire divergentes, cette tendance à une convergence au niveau mondial est une évolution très positive qui offre de nouvelles possibilités de renforcer la protection des personnes en Europe, tout en facilitant dans le même temps les flux de données et en réduisant les coûts de transaction pour les opérateurs économiques. Pour saisir ces opportunités et mettre en œuvre la stratégie exposée dans sa communication de 2017 intitulée «Échange et protection de données à caractère personnel à l’ère de la mondialisation», la Commission a considérablement intensifié ses travaux sur la dimension internationale de la protection de la vie privée en exploitant pleinement la «boîte à outils» de transfert disponible, comme expliqué ci-après. Elle a notamment collaboré activement avec les principaux partenaires concernés en vue de parvenir à un «constat d’adéquation», ce qui a permis d’obtenir des résultats importants, tels que la création du plus grand espace au monde de flux de données libres et sûrs entre l’UE et le Japon. Outre son travail d’adéquation, la Commission a collaboré étroitement avec les autorités chargées de la protection des données au sein du comité, ainsi qu’avec d’autres parties prenantes, afin d’exploiter pleinement le potentiel des règles flexibles du RGPD pour les transferts internationaux. Ce point concerne la modernisation d’instruments tels que les clauses contractuelles types, l’élaboration de systèmes de certification, de codes de conduite ou de dispositions administratives pour les échanges de données entre les pouvoirs publics, ainsi que la clarification de concepts clés concernant, par exemple, le champ d’application territorial des règles de l’UE en matière de protection des données ou le recours à des «dérogations» pour le transfert de données à caractère personnel. Enfin, la Commission a intensifié son dialogue dans un certain nombre de forums bilatéraux, régionaux et multilatéraux afin de promouvoir une culture mondiale du respect de la vie privée et de développer des éléments de convergence entre les différents systèmes de protection de la vie privée. Dans le cadre de ses efforts, la Commission pourrait compter sur le soutien actif du Service européen pour l’action extérieure et du réseau des délégations de l’UE dans les pays tiers et des missions auprès d’organisations internationales. Cela a également permis de garantir une complémentarité accrue entre les différents aspects de la dimension extérieure des politiques de l’UE et de veiller à leur cohérence, dans des domaines comme le commerce ou le nouveau partenariat Afrique-UE. 7.2La boîte à outils du RGPD en ce qui concerne les transferts Étant donné que de plus en plus d’opérateurs privés et publics s’appuient sur des flux internationaux de données dans le cadre de leurs opérations de routine, il est de plus en plus nécessaire de disposer d’instruments flexibles pouvant être adaptés à différents secteurs, modèles économiques et situations en matière de transferts. Reflétant ces besoins, le RGPD propose une boîte à outils modernisée qui facilite le transfert de données à caractère personnel de l’UE vers un pays tiers ou une organisation internationale, tout en veillant à ce que les données continuent à bénéficier d’un niveau élevé de protection. Cette continuité de la protection est importante, étant donné que, dans le monde actuel, les données franchissent facilement les frontières et les protections garanties par le RGPD seraient incomplètes si elles se limitaient au traitement à l’intérieur de l’UE. Avec le chapitre V du RGPD, le législateur a confirmé l’architecture des règles de transfert qui existaient déjà dans le cadre de la directive 95/46: des transferts de données peuvent avoir lieu lorsque la Commission a effectué un constat d’adéquation à l’égard d’un pays tiers ou d’une organisation internationale ou, à défaut, lorsque le responsable du traitement ou le sous-traitant dans l’UE («exportateur de données») a fourni des garanties appropriées, par exemple au moyen d’un contrat avec le destinataire («importateur de données»). En outre, des motifs légaux de transfert («dérogations») restent disponibles pour des situations spécifiques pour lesquelles le législateur a décidé que la mise en balance des intérêts permet un transfert de données sous certaines conditions. Dans le même temps, la réforme a clarifié et simplifié les règles existantes, notamment en fixant en détail les conditions d’un constat d’adéquation ou de règles d’entreprise contraignantes, en limitant les exigences d’autorisation à un nombre très limité de cas particuliers et en supprimant complètement les exigences en matière de notification. En outre, de nouveaux outils de transfert, tels que des codes de conduite ou des systèmes de certification, ont été introduits et les possibilités d’utiliser les instruments existants (par exemple les clauses contractuelles types) ont été étendues. L’économie numérique d’aujourd’hui permet aux opérateurs étrangers de participer (à distance mais) directement au marché intérieur de l’UE et d’entrer en concurrence pour décrocher des clients européens et accéder à leurs données à caractère personnel. Lorsqu’ils ciblent spécifiquement des clients européens par l’offre de biens ou de services ou le suivi de leur comportement, ils devraient se conformer au droit de l’Union de la même manière que les opérateurs de l’UE. C’est ce qui ressort de l’article 3 du RGPD, qui étend l’applicabilité directe des règles de l’UE en matière de protection des données à certaines opérations de traitement des responsables du traitement et des sous-traitants en dehors de l’UE. Les garanties nécessaires sont ainsi assurées, de même qu'une égalité des conditions de concurrence pour toutes les entreprises opérant sur le marché de l’UE. Sa grande portée est l’une des raisons pour lesquelles le RGPD a également produit des effets dans d’autres régions du monde. Les lignes directrices détaillées publiées par le comité sur la portée territoriale du RGPD, à la suite d’une consultation publique approfondie, sont donc importantes pour aider les opérateurs étrangers à déterminer quelles activités de traitement sont directement soumises aux garanties fournies par le RGPD, le cas échéant, notamment grâce à l'apport d'exemples concrets. Toutefois, l’extension du champ d’application du droit de l’Union en matière de protection des données ne suffit pas, en soi, à garantir son respect dans la pratique. Comme l’a également souligné le Conseil, il est essentiel de veiller à ce que les opérateurs étrangers respectent leurs obligations et à ce qu'ils appliquent effectivement le règlement. La désignation d’un représentant dans l’Union (article 27, paragraphes 1 et 2, du RGPD), auquel peuvent s’adresser les particuliers et les autorités de contrôle en plus ou à la place de la société responsable agissant depuis l’étranger, devrait jouer un rôle essentiel à cet égard. Cette approche, qui est également de plus en plus souvent adoptée dans d’autres contextes, devrait être suivie plus rigoureusement afin d’envoyer un message clair selon lequel le fait qu'ils ne soient pas établis dans l’UE ne dispense pas les opérateurs étrangers des responsabilités qui leur incombent en vertu du RGPD. Lorsque ces opérateurs ne satisfont pas à l’obligation qui leur incombe de désigner un représentant, les autorités de contrôle devraient faire usage de toute la panoplie d'outils de mise en œuvre visée à l’article 58 du RGPD (par exemple, avertissement public, interdiction temporaire ou définitive de traitement dans l’UE, mesure d’exécution contre des responsables conjoints du traitement établis dans l’UE). Enfin, il est très important que le comité achève ses travaux visant à apporter un éclairage supplémentaire sur le lien entre l’article 3 relatif à l’application directe du RGPD et les règles relatives aux transferts internationaux figurant au chapitre V. Décisions d’adéquation

Les contributions reçues des parties prenantes confirment que les décisions d’adéquation demeurent un outil essentiel pour permettre aux opérateurs de l’UE de transférer en toute sécurité des données à caractère personnel vers des pays tiers. Ces décisions constituent la solution la plus complète, la plus simple et la plus efficace au regard des coûts pour les transferts de données, étant donné que ces transferts sont dès lors assimilés à des transmissions à l’intérieur de l’UE, ce qui garantit la circulation libre et sécurisée des données à caractère personnel sans autres conditions ni nécessité d’autorisation. Les décisions d’adéquation ouvrent donc des canaux commerciaux aux opérateurs de l’UE et facilitent la coopération entre les autorités publiques, tout en offrant un accès privilégié au marché unique de l’UE. Le RGPD, qui s’appuie sur les pratiques visées à la directive de 1995, prévoit explicitement une évaluation du caractère adéquat de la protection offerte sur un territoire particulier d’un pays tiers ou dans un secteur particulier d’un pays tiers (l’«adéquation partielle»). Le RGPD s’appuie sur l’expérience des dernières années et sur les clarifications apportées par la Cour de justice en établissant un catalogue détaillé des éléments que la Commission doit prendre en compte dans son évaluation. La norme d’adéquation exige un niveau de protection comparable (ou «substantiellement équivalent») à celui qui est garanti au sein de l’UE. Elle prévoit une évaluation complète du système du pays tiers dans son ensemble, y compris du contenu des mesures de protection de la vie privée, de leur transposition et respect effectifs, ainsi que des règles relatives à l’accès aux données à caractère personnel par les pouvoirs publics, en particulier à des fins répressives et de sécurité nationale. Cela ressort également des orientations adoptées par l’ancien groupe de travail «article 29» (et approuvées par le comité), en particulier les «critères de référence pour l’adéquation», qui clarifient plus avant les éléments que la Commission doit prendre en considération lorsqu’elle procède à une évaluation de l’adéquation, y compris en fournissant une vue d’ensemble des «garanties essentielles» en ce qui concerne l’accès des autorités publiques aux données à caractère personnel. Ce dernier se fonde notamment sur la jurisprudence de la Cour européenne des droits de l’homme. Si la norme de l’«équivalence essentielle» n’exige pas une reproduction à l’identique («photocopie») des règles de l’UE, étant donné que les moyens de garantir un niveau de protection comparable peuvent varier selon les différents systèmes de protection de la vie privée, qui reflètent souvent différentes traditions juridiques, elle exige néanmoins un niveau élevé de protection. Cette norme se justifie par le fait qu’essentiellement, une décision d’adéquation étend à un pays tiers les avantages du marché unique en ce qui concerne la libre circulation des données. Toutefois, cela signifie également qu’il y aura parfois un écart important entre le niveau de protection garanti dans le pays tiers en question et le RGPD, qu'il est nécessaire de combler, par exemple par la négociation de garanties supplémentaires. Ces garanties devraient être perçues de manière positive dans la mesure où elles renforcent encore les protections offertes aux particuliers dans l’UE. Dans le même temps, la Commission partage l’avis du comité sur l’importance d'une surveillance permanente de leur application dans la pratique, y compris en ce qui concerne l’application effective par l’autorité de protection des données du pays tiers. Il est précisé dans le RGPD que les décisions d’adéquation sont des «instruments vivants» qui devraient faire l’objet d’un suivi continu et d’un réexamen périodique. Conformément à ces exigences, la Commission communique régulièrement avec les autorités compétentes afin d’assurer un suivi proactif des dernières évolutions en la matière. Ainsi, depuis l’adoption de la décision sur le bouclier de protection des données UE-États-Unis en 2016, la Commission, conjointement avec des représentants du comité, a procédé à trois examens annuels afin d’évaluer tous les aspects du fonctionnement du cadre. Ces examens reposaient sur des informations obtenues au moyen d’échanges avec les autorités américaines, ainsi que sur des contributions d’autres parties prenantes, telles que les autorités de l’UE chargées de la protection des données, la société civile et les associations professionnelles. Ils ont permis d’améliorer le fonctionnement pratique de différents éléments du cadre. Dans une perspective plus large, les examens annuels ont contribué à la mise en place d’un dialogue plus large avec l’administration américaine sur la protection de la vie privée en général, ainsi que sur les limitations et garanties relatives à la sécurité nationale en particulier. Dans le cadre de sa première évaluation du RGPD, la Commission est également tenue de réexaminer les décisions d’adéquation adoptées en vertu de la directive de 1995 Les services de la Commission ont engagé un dialogue approfondi avec chacun des 11 pays et territoires concernés afin d’évaluer la manière dont leurs systèmes de protection des données à caractère personnel ont évolué depuis l’adoption de la décision d’adéquation et de déterminer s’ils satisfont à la norme fixée par le RGPD. La nécessité de veiller à la continuité de ces décisions, étant donné qu’elles constituent un outil essentiel pour le commerce et la coopération internationale, est l’un des facteurs qui ont amené plusieurs de ces pays et territoires à moderniser et à renforcer leur législation en matière de protection de la vie privée. Ces évolutions sont évidemment bienvenues. Des garanties supplémentaires sont en cours de discussion avec certains de ces pays et te