COMMISSION DES COMMUNAUTES EUROPEENNES 
relative à la protection des personnes physiques 
à l'égard du traitement des données à caractère personnel 
et à la libre circulation de ces données 
(présentée par la Commission en vertu de l'article 149, 
paragraphe 3 du traité CEE) COM(92) 422 final - SYN 287 
Bruxelles, le 15 octobre 1992 
Proposition modifiée de 
DIRECTIVE DU CONSEIL 
- 2 -
EXPOSE DES MOTIFS 
PRESENTAT ION GENERALE 
Le 18 juillet 1990 la Commission a soumis au Conseil un ensemble de 
propositions, dont deux directives et une décision, visant à faciliter la 
libre circulation des données au sein de la Communauté en assurant un haut 
niveau de protection des personnes à l'égard des traitements de données à 
caractère personnel et en renforçant la sécurité des traitements de données 
dans le contexte, notamment, du développement des réseaux ouverts de 
té Iécommun i cat ions. 
Le Comité économique et social a rendu son avis sur ces propositions le 24 
avril 1991 (Journal officiel du 17 juin 1991). 
Dans le cadre de la procédure de coopération, le Parlement européen a étudié 
ces propositions de façon approfondie dans ses commissions. Après avoir 
débattu le rapport de la Commission juridique et des droits des citoyens 
(rapporteur M. Hoon) le 10 février 1992, le Parlement a adopté à la quasi 
unanimité le 11 mars 1992 un avis favorable sur les propositions telles 
qu'elles ont été amendées par lui sur de nombreux points. 
Le Conseil a adopté la proposition de décisiion en matière de sécurité des 
systèmes d'information le 31 mars 1992 (Journal officiel du 5 mai 1992). 
La présente proposition modifiée vise à prendre en compte l'avis du 
Parlement européen. 
A. Principales roodifications 
1 . L'approche de la protection 
Deux modifications majeures de la proposition initiale demandées par le 
Parlement ont été introduites dans la proposition amendée. Elles 
concernent : 
- l'abandon de la distinction formelle entre les règles applicables au 
secteur public et au secteur privé, 
- le développement des dispositions relatives aux procédures sélectives 
de notification auprès de l'autorité de contrôle et aux codes de 
condu ite. 
Ces modifications ont l'avantage d'indiquer clairement que la protection 
doit être la même quelque soit le secteur considéré. 
Elles permettent, en outre, d'éviter des dérives bureaucratiques et de 
contribuer à mieux assurer la convergence et l'équivalence des méthodes 
destinées à assurer une protection effective dans les Etats membres en 
apportant des précisions sur la portée des procédures de notification et 
- 3 -
sur les missions des autorités de contrôle indépendantes, en fonction du 
degré des risques présentés par les traitements de données à caractère 
personnel au regard des droits et des libertés des personnes concernées. 
2. Concepts et définitions 
La réflexion menée sur les amendements du Parlement qui visent d'une part 
à supprimer de la proposition le concept de fichier, considéré comme 
dépassé et non pertinent dans le contexte du développement de 
l'automatisation et des télécommunications, d'autre part à inclure la 
collecte des données dans la définition du traitement des données à 
caractère personnel, ont conduit à proposer que l'objet de la 
réglementation porte sur le traitement de données à caractère personnel. 
Cette modification a un double avantage: les principes de la protection 
résultant de la directive ne sont pas dépendant d'une technologie ou 
d'une organisation technique particulière; le concept du traitement des 
données permet de développer une approche globale focalisant l'attention 
sur les données utilisées et sur l'ensemble des opérations sur lesquelles 
elles portent au regard des finalités poursuivies. 
Par ailleurs, il est apparu nécessaire de maintenir et de préciser le 
concept de fichier en vue de circonscrire le champ d'application de la 
directive, lorsque les traitements ne sont pas automatisés, aux seules 
données à caractère personnel contenues ou destinées à être contenues 
dans des fichiers. 
Enfin une définition du tiers à qui des données à caractère personnel 
sont communiquées est introduite. 
3. Champ d'application et dérogations spécifiques 
Pour répondre aux préoccupations du Parlement les modifications suivantes 
sont proposées. Elles ont pour objectif de garantir et de concilier les 
droits et les libertés en cause en vue d'assurer la libre circulation des 
données concernées. 
- Les critiques concernant l'inadaptation de la disposition initiale 
concernant l'exclusion, sous certaines conditions, du champ de la 
directive des traitements effectués par les associations à but non 
lucratif, ont conduit selon certains amendements du Parlement relatifs 
au traitement des données sensibles, à proposer que ces traitements 
relèvent de la directive tout en prévoyant la dérogation particulière à 
l'obligation de notification, nécessaire en vue de garantir la liberté 
d'op i n i on. 
- Concernant les traitements mis en oeuvre à des fins journalistiques, il 
est proposé de remplacer la faculté par une obligaton pour les Etats 
membres de procéder aux dérogations nécessaires pour concilier la 
protection de la vie privée des personnes concernées avec la liberté 
d'express i on. 
- Concernant les traitements qui ne présentent pas de risques 
particuliers effectués en vue de répondre notamment à des obligations 
légales, il est proposé une dérogation à l'obligation de notification. 
4. Pavs t i ers 
La règle destinée à prévenir le risque de contournement des règles 
communautaires à l'occasion de transferts de données vers des pays tiers, 
édictant une interdiction de tels transferts vers des pays qui n'assurent 
pas un niveau de protection adéquat, a été précisée de manière à lever 
des ambiguités sur l'objectif recherché. A cette fin des critères 
d'évaluation de l'adéquation ont été ajoutés. En outre des exceptions au 
principe sont également prévus dans un nombre limité de cas pour tenir 
compte de circonstances particulières justifiées. 
B Structure et contenu de la proposition modifiée 
La proposition a été restructurée pour tenir compte, ainsi que déjà 
mentionné, de la suppression de la distinction formelle entre secteur public 
et secteur privé et du développement des dispositions relatives à la 
notification auprès des autorités de contrôle. La nouvelle structure a 
également pour objectif de mieux faire apparaître les différentes 
composantes du mécanisme de protection. Enfin elle tient compte des 
critiques sur les redondances du texte initial. La restructuration de la 
proposition concerne les dispositions des chapitres II à VI de la 
proposition initiale regroupées essentiellement dans un chapitre II nouveau 
qui reprend mais en les distinguant dans une suite réordonnée, l'ensemble 
des conditions générales relatives à la licéité des traitements de données à 
caractère personnel. La structure des chapitres I, VII et suivants initiaux 
n ' est pas mod i f i ée. 
Le chapitre II de la proposition modifiée est divisé en sections qui 
précisent successivement, les principes devant présider à la conception et à 
la mise en oeuvre des traitements de données à caractère personnel (sections 
1, 2 et 3), les droits d'information, d'accès et d'opposition des personnes 
concernées (sections 4, 5 et 6), les obligations en matière de sécurité 
(section 7) et les procédures de notification auprès des autorités de 
contrôle (section 8). 
La section 1 porte sur les principes communs à toutes les législations des 
Etats membres et dérivant des dispositions de la Convention 108 du Conseil 
de l'Europe relatives à la qualité des données faisant l'objet d'un 
traitement. Elle correspond à l'article 16 initial. L'inclusion à la demande 
du Parlement de la collecte des données dans la notion de traitement, a 
rendu nécessaire certaines modifications rédactionnelles. Par ailleurs, il a 
été tenu compte de la demande du Parlement relative à l'archivage de données 
destinées à la recherche scientifique. 
Parmi les principes énumérés à la section 1 celui de la finalité légitime 
des traitements de données à caractère personnel est précisé dans I a 
sect ion 2 relative aux fondements des traitements. Cette section reprend en 
la clarifiant, tout en lui conservant un caractère général, la liste 
limitative, incluse dans les chapitres II et III initiaux, des circonstances 
alternatives dans lesquelles les traitements, peuvent être effectués. Cette 
liste prévoit que de telles circonstances sont notamment constituées par le 
consentement de la personne concernée, ou l'exécution d'un contrat passé 
- 5 -
avec la personne concernée, ou l'éxécution d'une obligation légale, etc... 
ou finalement par la balance des différents intérêts en présence. Cette 
"balance des intérêts" qui est susceptible de concerner des traitements très 
divers tels que ceux destinés à la prospection commerciale ou portant sur 
des données rendues publiques, est à effectuer par les Etats membres selon 
les procédures qu'ils détermineront, tout en tenant compte notamment des 
principes généraux rappeler à la section 1 et des droits des personnes 
concernées. 
La sect ion 3 concerne les règles spécifiques régissant les traitements ayant 
trait aux libertés fondamentales. Cette section porte d'une part sur les 
règles qui en référence à la Convention précitée et à l'opinion du Parlement 
repris partiellement sur ce point, prévoient la protection renforcée à 
l'égard du traitement des données sensibles c'est à dire ayant trait 
notamment à la liberté d'opinion. Ces dispositions correspondent à l'article 
17 initial. Elles tiennent compte des demandes du Parlement relatives 
notamment aux traitements effectués par les associations à caractère 
politique ou syndical. Ces traitements de ce fait relèvent dans la 
proposition amendée du champ de la directive, ce qui permet de garantir les 
droits des personnes à leur égard et d'assurer la libre circulation des 
données visées. La section 3 porte d'autre part sur les règles déjà 
mentionnées relatives aux traitements à des fins journalistiques, destinées 
à garantir la conciliation entre les deux libertés fondamentales relatives à 
la vie privée et à la liberté d'expression. 
La sect i on 4 concerne les obligations du responsable du traitement en 
matière d'information de la personne concernée sur les traitements 
effectués. Celles-ci sont destinées à assurer la transparance des 
traitements et par là à contribuer à l'application des principes du 
traitement loyal des données prévu dans la Convention 108 du Conseil de 
l'Europe et rappel lé dans la section 1. La section 4 correspond à des 
dispositions incluses dans les chapitres II, III et IV initiaux, 
réarticulées dans la proposition amendée de manière à supprimer en 
particulier les risques d'interprétation conduisant à des redondances 
d' i nformat ion. 
La sect i on 5 porte sur le droit d'accès et de rectification des personnes à 
l'égard des données qui les concernent. Elle correspond aux dispositions 
afférantes du Chapitre IV initial et reprend les amendements du Parlement 
qui renforce de manière générale la portée de ce droit (en particulier le 
droit pour la personne concernée de connaître l'origine des données traitées 
et les raisonnements utilisés dans les traitements automatisés dont les 
résultats lui sont opposés). Les dispositions amendées tiennent également 
compte de la demande du Parlement qui étend au secteur privé la possibilité 
de limiter l'exercice du droit d'accès dans les mêmes conditions que celles 
réservées initialement au secteur public. 
La sect ion 6 porte sur le droit d'opposition pour motifs légitimes de la 
personne concernée. Elle correspond aux dispositions afférantes des 
chapitres III et IV de la proposition initiale. L'obligation d'offrir aux 
personnes concernées la possibilité "d'opt out" préalablement à la 
communication de données à des tiers en vue de prospections écrites est 
précisée dans cette section. 
La sect i on 7 reprend avec quelques modifications rédactionnelles les 
dispositions sur la sécurité prévues au chapitre V initial. 
- 6 -
La section 8 développe les dispositions initiales relatives à la 
notification. Le système sélectif proposé, très largement repris des 
amendements du Parlement, a pour objectif d'assurer la transparence des 
traitements et notamment la détermination de leurs finalités, tout en 
orientant l'intervention des autorités de contrôle sur les traitements qui 
appellent une attention particulière parce que comportant des risques. Il 
part du principe que tout traitement doit être notifié à l'autorité de 
contrôle, dès lors qu'ils sont en tout ou partie automatisés, étant précisé 
que la notification peut porter sur un ensemble de traitements dont les 
finalités sont liées du point de vue du responsable des dits traitements et 
vis à vis des personnes concernées. Par ailleurs, il est proposé qu'en 
fonction de leur expérience les Etats membres prennent des mesures pour 
exonérer de l'obligation de notification les traitements dont la mise en 
oeuvre ne présentent pas de risque au regard des droits et des libertés des 
personnes concernées ou pour simplifier cette obligation. Les mesures prises 
décrivent les traitements concernés et leurs conditions éventuelles de mise 
en oeuvre. Enfin il est proposé que puissent être confiés aux autorités de 
contrôle le pouvoir d'examiner les traitements notifiés préalablement à leur 
mise en oeuvre. 
Le chap i t re III regroupe les dispositions des chapitres IV et VII de la 
proposition initiale, relatives aux recours de la personne concernée, à la 
responsabilité et aux sanctions. Ces dispositions sont modifiées pour tenir 
compte de l'opinion du Parlement. 
Le chapitre IV concerne les transferts de données à caractère personnel vers 
des pays tiers. Il correspond au chapitre VIII initial. Il est modifié tel 
qu'indiqué précédemment et reprend les dispositions destinées à permettre à 
la Communauté de développer une politique commune en la matière. 
Le chapitre V est relatif aux codes de conduite. Il correspond aux 
dispositions afférantes du chapitre VI initial. Il reprend l'opinion du 
Parlement sur leur procédure d'élaboration qui implique les autorités 
indépendantes de contrôle. Il ajoute également la possibilité pour les Etats 
membres d'associer les professions à la mise en oeuvre de la législation par 
l'élaboration de codes de conduites nationaux. 
Le chap i tre VI est relatif aux autorités nationales de contrôle et au groupe 
de protection des données chargé de contribuer à l'application homogène des 
règles nationales prises en application de la directive et de conseiller la 
Commission. Les pouvoirs d'investigation des autorités nationales sont 
précisées airr, i que l'a souhaité le Parlement. La composition initiale du 
groupe européen est maintenu afin de lui garantir son statut d'indépendance. 
A cette fin il est également prévu que le groupe élira son président. Les 
circonstances dans lesquels il doit être consulté par la Commission sont 
préc i sées. 
Le chap i t re VII est relatif aux compétences d'exécution que le Conseil 
devrait conférer à la Commission. A cet égard la Commission maintient sa 
proposition initiale, contrairement à l'avis du Parlement. La Commission 
considère que l'adoption de mesures techniques d'application sera, en effet, 
nécessaire en raison de l'étendue et du caractère technique du domaine du 
traitement de données à caractère personnel. 
- 7 -
Dispositions finales: pour répondre au souhait du Parlement, un délai de 3 
ans, s'ajoutant au délai de mise en oeuvre de la directive, est prévu pour 
l'application des nouvelles législations nationales aux situations 
ex i stantes. 
- 8 -
COMMENTAIRES SUR LE TITRE ET LES CONSIDERANTS 
TITRE 
Deux précisions ont été introduites dans le titre: 
l'expression "et à la libre circulation de ces données" a été ajoutée 
afin de bien souligner que la proposition vise à rétablissement et au 
fonctionnement du marché intérieur, sur la base d'une harmonisation 
assurant la protection des personnes; 
- afin d'éliminer toute ambiguïté quant au domaine d'application de la 
proposition, il est précisé que les personnes couvertes par la protection 
sont les seules personnes physiques. 
CONSIDERANTS 
La Commission a modifié les considérants afin de tenir compte des 
modifications apportées aux dispositions de la proposition. 
En outre, les observations particulières suivantes peuvent être faites: 
le considérant n" 2 reprend l'avis du Parlement (amendement n' 9) qui 
vise à souligner les avantages que présentent les systèmes de traitements 
automatisés des données, dès lors qu'ils respectent les droits des 
personnes et les libertés individuelles; 
ila semblé préférable de placer le considérant (n" 10) relatif à la 
convention du 28 janvier 1981 du Conseil de l'Europe parmi les 
considérants visant à décrire la problématique d'une politique 
communautaire en la matière, étant donné que la directive concrétise les 
principes que contient la convention. Dans la proposition initiale ce 
considérant (n' 22), dont le texte n'est pas modifié, était placé sous 
les dispositions relatives aux transferts de données vers les pays tiers; 
il est inséré un nouveau considérant (n* 14) qui vise à résumer, de façon 
succinte, les principes de la protection tels qu'exprimés dans les 
considérants suivants-, 
les modifications aux considérants 4 (nouveau) et 5 visent à renforcer la 
description des faits qui doivent amener à une initiative communautaire 
dont la nécessité est soulignée aux considérants 7 et 8. 
COMMENTAIRES SUR LES ARTICLES 
CHAPITRE I 
DISPOSITIONS GENERALES 
Art icle 1 
Oblet de la directive 
Le premier article est consacré à l'objet de la directive. Cet objet est 
d'assurer la libre circulation des données à caractère personnel entre les 
Etats membres au moyen d'une harmonisation des législations nationales: 
- en vertu de l'alinéa 1er, les Etats membres ont l'obligation d'assurer la 
protection des droits et des libertés des personnes physiques, et 
notamment du droit à la vie privée, à l'égard du traitement des données à 
caractère personnel. (Cette terminologie est également celle adoptée par 
l'article 1er de la Convention 108 du Conseil de l'Europe); 
puisqu'en vertu de la directive, la protection sera assurée selon les 
mêmes principes dans tous les Etats membres et sera donc équivalente sur 
l'ensemble du territoire communautaire, ceux-ci, en vertu du paragraphe 
2, ne pourront plus restreindre, pour les domaines couverts par la 
directive, la circulation des données pour des motifs relatifs à la 
protection de la personne concernée. 
La proposition permet ainsi, comme le souhaite le Parlement (amendement n" 
10, deuxième partie), de concilier les impératifs de la réalisation du 
marché intérieur et ceux de la protection des personnes. 
Par ailleurs, l'amendement 10 (première partie) est repris par la 
proposition modifiée dans la mesure où la notion de traitement, telle que 
définie à l'article 2 lettre a, couvre la collecte. 
Art icle 2 
Déf i n i t i ons 
Cet article a pour objet de définir les principales notions utilisées dans 
la directive. Les définitions reprennent celles de la Convention 108 du 
Conseil de l'Europe en y apportant toutefois les adaptations et les 
précisions nécessaires pour garantir une protection équivalente de haut 
niveau dans la Communauté. 
a) "donnée à caractère personnel". La proposition modifiée donne 
satisfaction à l'objectif du Parlement qui est d'adopter la définition la 
plus globale possible de la notion de "donnée à caractère personnel", 
afin de couvrir toutes les informations qui peuvent être reliées à une 
- 10 -
personne physique (amendement 12). En effet, une personne peut être 
identifiée soit directement par un nom soit indirectement par un numéro 
de téléphone, de voiture, de sécurité sociale, de passeport ou par un 
croisement de critères significatifs, permettant de la reconnaître à 
l'intérieur d'un petit groupe par exemple (âge, fonction occupée, 
adresse, etc...). La définition permet également de couvrir des données 
telles que l'image et la voix, les empreintes digitales, les 
caractéristiques génétiques. 
Il n'est pas donné de définition de la donnée anonyme, dans la mesure où 
ce terme n'est pas utilisé dans la directive. L'anonymat d'une 
information ne dépend donc plus du coût du retour à l'information 
d'origine (amendement 13). Toutefois, dans le cas particulier où les 
données sont agrégées sous forme statistique, il est apparu opportun de 
préciser qu'elles ne peuvent plus être considérées comme revêtant un 
caractère personnel, dés lors que les personnes concernées ne sont plus 
raisonnablement identifiables. 
b) "traitement de données à caractère personnel" (traitement). La définition 
retenue va également dans le sens d'un champ d'application étendu 
permettant de garantir la protection des individus (amendement 15), 
puisqu'elle couvre la collecte des données jusqu'à leur effacement, en 
passant par leur organisation, leur exploitation, leur consultation, leur 
communication, définie comme la transmission, la diffusion ou toute autre 
forme de mise à disposition (amendement 16), l'interconnexion et le 
verrouiI läge. 
c) "fichier de données à caractère personnel" (fichier). Cette définition, 
qui couvre tant les fichiers automatisés que non automatisés, est 
précisée. Elle permet, pour ce qui est des traitements de données non 
automatisés, de circonscrire le champ d'application de la directive aux 
données structurées de manière à faciliter l'accès et la recherche de 
celles concernant des personnes physiques. Ainsi, les données à caractère 
personnel qui ne sont pas organisées en vue de leur usage vis-à-vis des 
personnes concernées sont exclues. De fait, en effet, ces dernières 
données ne présentent pas les mêmes risques au regard des personnes et il 
est plus réaliste de ne pas les soumettre aux mêmes obligations. 
Pour garantir la protection des personnes, il est précisé que les 
critères d'accès doivent avoir "pour objet ou pour effet" de faciliter 
l'utilisation ou le rapprochement des données, afin de ne pas obliger la 
personne concernée à prouver l'intention, ce qui rendrait délicate 
l'application des législations nationales. 
Enfin, la notion de "rapprochement" est préférée à celle 
"d'interconnexion" pour convenir à la fois aux traitements automatisés et 
aux f i ch i ers pap i er. 
d) "responsable du traitement". Cette définition est empruntée à la notion 
de "maître du fichier" de la Convention 108 du Conseil de l'Europe. 
Mais la directive visant essentiellement à réglementer l'utilisation des 
données au regard des finalités poursuivies, il est préférable de se 
référer au concept de responsable du traitement. 
Il s'agit de la personne responsable en dernier ressort des choix qui 
président à la définition et à la mise en oeuvre des traitements (le chef 
- 11 -
d'entreprise le plus souvent) et non pas des personnes qui procèdent aux 
opérations de traitement conformément aux instructions du responsable. 
C'est la raison pour laquelle il est précisé que le responsable définit 
"les objectifs" du traitement. L'amendement 17 a été repris sur ce point. 
Le responsable du traitement peut traiter les données lui même ou les 
faire traiter par les membres de son personnel ou encore par un agent 
traitant, personne juridiquement distincte du responsable mais agissant 
pour son compte. 
e) "agent traitant": il s'agit là d'une définition utile, proposée par le 
Parlement (amendement 18). 
f) "tiers". Cette définition résulte d'un amendement parlementaire (no. 
134); elle a été remaniée dans la proposition modifiée afin d'indiquer 
clairement que ne sont pas considérés comme des tiers: la personne 
concernée, le responsable du traitement, ainsi que les personnes 
habilitées à traiter les données agissant sous son autorité directe ou 
pour son compte, ce qui est le cas de l'agent traitant. 
Les personnes travaillant dans une autre entreprise même si celle-ci fait 
partie d'un même groupe ou holding devraient en général être considérées 
comme des tiers. 
En revanche, les succursales d'une banque mettant en oeuvre des 
traitements des gestions de clientèles, placées sous l'autorité directe 
du siège ne devraient pas être considérées comme des tiers. Ceci devrait 
être également vrai pour les agents d'assurance-, par contre en ce qui 
concerne, par exemple, les courtiers d'assurance, la situation pourrait 
être différente selon les cas. 
g) "consentement de la personne concernée": dans la proposition initiale, la 
définition du consentement de la personne à un traitement de données la 
concernant, était donnée à l'article 12, dans le chapitre consacré aux 
droits de la personne. 
Ceci a engendré des confusions, certains milieux professionnels en ayant 
déduit que tout traitement supposait le consentement préalable de la 
personne concernée, alors qu'il ne s'agit que de l'un des fondements de 
licéité du traitement. 
Par conséquent, il apparaît plus logique que les dispositions relatives 
au consentement figurent à l'article 2 de la directive, avec quelques 
modifications de rédaction afin de lui donner la forme d'une définition. 
La référence au caractère exprès du consentement a été supprimée, afin 
d'éviter que ceci puisse être interprété comme l'exigence d'un écrit 
(procédure réservée aux données sensibles de l'article 8 de la 
proposition modifiée). Elle a été remplacée par la notion de 
"manifestation explicite de volonté", qui peut être écrite ou orale. 
Il est précisé, dans la proposition modifiée, que le consentement doit 
être "libre", dans les hypothèses où une pression est susceptible de 
peser sur la personne concernée (cas du salarié vis-à-vis de son 
employeur, par exemple). 
- 12 -
Pour permettre à la personne concernée d'apprécier les risques et les 
avantages du traitement des données la concernant et d'exercer ses droits 
en vertu de l'article 13 de la proposition de directive (rectification, 
effacement, verrouillage), le consentement doit être informé. C'est 
pourquoi le responsable du traitement doit communiquer à la personne 
concernée les informations dont celle-ci a besoin, telles que le nom et 
l'adresse du responsable ou le cas échéant de son représentant (voir 
article 4 paragraphe 2), l'objet du traitement, les données enregistrées, 
etc. 
Le consentement de la personne concernée doit être spécifique, c'est-à-
dire qu'il doit avoir trait à un traitement précis de données relatives à 
la personne concernée par un responsable déterminé et pour des finalités 
déterm i nées. 
La personne concernée a le droit de retirer son consentement à tout 
moment. La révocation n'a toutefois pas d'effets rétroactifs, car sinon 
un traitement de données à caractère personnel précédemment licite 
deviendrait illicite rétroactivement. 
Trois définitions qui figuraient dans la proposition d'origine ont été 
supprimées: 
la définition de l'autorité de contrôle, parce que redondante avec 
l'article 32 de la proposition modifiée; 
- les définitions du secteur public et du secteur privé, en raison de la 
fusion des dispositions relatives à ces secteurs (voir chapitre II de la 
propos i t i on mod i f i ée ) . 
Art i cI e 3 
Champ d'appi icat ion 
L'alinéa 1er de la proposition modifiée concilie les points de vue de ceux 
qui souhaitent se référer en matière informatique au seul concept "de 
traitement automatisé" (puisqu'un traitement automatisé n'implique pas 
nécessairement l'existence d'un fichier) et de ceux qui redoutent de voir la 
directive étendue à toutes les données même non structurées figurant sur 
support papier. 
Par conséquent, la proposition modifiée adopte des critères distincts pour 
définir le champ d'application de la directive, selon que les données font 
ou non l'objet d'un traitement automatisé: elle n'est applicable au 
traitement non automatisé de données que si ces données sont contenues dans 
un fichier; en revanche, en matière informatique, la définition dépasse la 
notion de fichier, et la directive s'applique à tout traitement automatisé 
de données, même si ces données ne sont pas contenues dans un fichier. 
Ainsi, sont concernées les données à caractère personnel structurées soit 
par leur organisation dans un fichier manuel, soit au moyen d'un traitement 
i nformat i que. 
II est fait référence aux traitements automatisés 
afin d'indiquer qu'un traitement constitue un tout, 
(index par exemple) en est informatisée. "en tout ou en partie", 
même si une seule partie 
L'alinéa 2 prévoit deux exclusions: 
la première concerne les traitements mis en oeuvre pour l'exercice 
d'activités qui ne relèvent pas du champ d'application du droit 
communautaire (comme les services secrets). Le champ d'application de la 
directive est défini par rapport au champ d'application du droit 
communautaire, pour lui permettre d'évoluer avec celui-ci; 
la seconde exclusion a trait à l'utilisation de données à des fins 
totalement privées, comme l'agenda électronique par exemple (amendement 
22); 
Il n'est pas prévu d'autres exceptions, car à trop exempter de toute 
obligation des séries d'organismes divers, les droits des citoyens ne 
seront plus garantis: s'il est légitime d'alléger le régime applicable à 
certains traitements de données à caractère personnel (voir la section 
VIII du chapitre II relatif à la notification et prévoyant des 
possibilités d'exonération ou de simplification des formalités) il ne 
doit pas s'agir d'une exonération globale. 
Le problème particulier des associations est traité dans l'article 
prévoyant des dérogations pour la collecte de données sensibles (article 8 
de la proposition modifiée). 
Art icle 4 
Droit national applicable 
Cet article fixe les critères de rattachement permettant de déterminer 
quelle est la législation nationale applicable aux traitements entrant dans 
le champ d'application de la directive et ceci afin d'éviter: 
- d'une part que la personne concernée soit démunie de toute protection, en 
particulier du fait d'un contournement de législation; 
- d'autre part que le même traitement soit soumis à l'application de 
plusieurs législations nationales. 
Selon la proposition d'origine, le lieu de localisation du fichier 
déterminait la compétence territoriale; ce critère n'a pas été repris dans 
la proposition modifiée, car la localisation d'un fichier ou d'un traitement 
sera souvent impossible à déterminer: ces derniers pourront être 
mu 11iloca I isés, répartis dans plusieurs Etats membres, notamment dans le cas 
de bases de données et de réseaux, phénomènes en expansion constante. 
Par conséquent, selon la proposition modifiée, le droit applicable est 
défini par référence au lieu d'établissement du responsable du traitement. 
Dans le cas où le responsable du traitement n'est pas établi sur le 
territoire de la Communauté, mais qu'il utilise des moyens, automatisés ou 
- 14 -
non, à des fins de traitement (terminaux, questionnaires, etc), localisés 
sur le territoire d'un Etat membre, le droit applicable est celui de l'Etat 
sur le territoire duquel ces moyens sont localisés. En outre le responsable 
du traitement devra désigner un représentant établi sur ce territoire, qui 
sera subrogé dans ses droits et obligations. 
Dans ce cas, c'est à ce représentant qu'incombera l'obligation de 
notification (voir section VIII du chapitre II); de même, toute information 
des personnes concernées sur le responsable du traitement, prévue par la 
proposition de directive, devra être complétée d'une information sur le 
représentant de celui-ci. 
L'amendement 24 a été repris dans la mesure où il supprime la référence à 
une utilisation sporadique, terme qui ne recouvrait rien de précis et aurait 
donc été sujet à diverses interprétations. 
En outre, du fait du choix du.critère de l'établissement du responsable du 
traitement, le déplacement temporaire d'un fichier ne change pas le droit 
applicable. Par conséquent, l'article 4, paragraphe 3 de la proposition 
initiale n'a pas été repris. 
CHAPITRE II 
LES CONDITIONS GENERALES DE LI CE ITE DES TRAITEMENTS DE DONNEES A CARACTERE 
PERSONNEL 
La structure de la proposition modifiée est différente de celle de la 
proposition initiale: en effet, le nouveau chapitre M regroupe l'ensemble 
des principes, droits et obligations qui déterminent la licéité des 
traitements mis en oeuvre. Conformément à l'avis du Parlement, les 
dispositions relatives au secteur public et au secteur privé ont été 
fus ionnées. 
Ar t i cI e 5 
Cet article reprend l'article 6 paragraphe 2 et l'article 8 paragraphes 1 et 
3 de la proposition initiale. 
Cet article indique que les Etats membres prévoient que les traitements de 
données à caractère personnel ne sont licites que s'ils sont effectués en 
conformité avec l'ensemble des dispositions du chapitre li, qui forme un 
tout. 
Il est également mentionné, en exergue, que les Etats membres ont la 
possibilité de préciser dans leur législation les conditions de licéité des 
traitements, dans les limites des dispositions énoncées par le chapitre II. 
Ces précisions pourront consister, par exemple, à définir selon le secteur 
considéré, les cas dans lesquels l'intérêt de la personne concernée prévaut 
(article 7 lettre f), les' modalités selon lesquelles l'information des 
personnes concernées sera effectuée (section IV), ou encore les conditions 
d'exercice du droit d'opposition (section VI). Ces précisions ne pourront 
pas remettre en cause le principe de la libre circulation des données à 
l'intérieur de la Communauté. 
- 15 -
SECTION I 
PRINCIPES RELATIFS A LA QUALITE DES DONNEES 
Article 6 
Cet article reprend les principes essentiels contenus dans l'article 5 de la 
Convention 108 du Conseil de l'Europe. 
S'agissant des dispositions relatives aux droits fondamentaux des personnes 
vis-à-vis du traitement de l'information, elles figurent en tête du chapitre 
consacré à la licéité des traitements. Il est nécessaire de s'y reporter 
pour interpréter les articles suivants de ce chapitre. 
Les dispositions de l'article 6 reprennent celles de la Convention 108 du 
Conseil de l'Europe avec quelques modifications destinées à les adapter aux 
définitions adoptées à l'article 2 (notamment à la définition du traitement) 
et au champ d'application de la directive, qui, contrairement à la 
Convention 108, couvre tant aux traitements automatisés qu'aux traitements 
non automatisés de données contenues dans des fichiers. 
L'article 6 lettre a. prévoit que le traitement de données à caractère 
personnel doit être effectué loyalement et licitement. Cette disposition 
vise le traitement tel que défini à l'article 2 lettre e, et comprend donc, 
b i en sûr, I a co IIecte. 
La règle énoncée à l'article 6 lettre a. exclut notamment l'utilisation 
d'appareils cachés permettant d'obtenir des données subrepticement et à 
l'insu de la personne concernée, notamment par des écoutes téléphoniques et 
autres, etc. Cette disposition interdit également aux responsables de 
traitements de mettre en oeuvre et d'utiliser des traitements clandestins 
portant sur ^eo données à caractère personnel. 
L'article 6 lettre b. énonce le principe de la détermination de la finalité 
de la collecte des données (que celle-ci soit réalisée par des moyens 
automatisés ou non automatisés). Selon ce principe, des données personnelles 
ne peuvent être conservées que pour des finalités déterminées, explicites et 
I ég i t i mes. 
L'objet de la collecte de donnees personnelles doit être déterminé, c'est-à-
dire que le but de la collecte et de l'utilisation des données doit être 
défini de façon aussi précise que possible. Une définition ou description 
générale ou vague de l'objet d'un traitement ("à des fins commerciales", par 
exemple) n'est pas conforme au principe de la définition de la finalité 
énoncée à l'article 6 lettre b. 
II y a lieu de spécifier la finalité avant la collecte des données. Dans le 
cas où les données sont collectées auprès de la personne concernée, 
l'article 11 prévoit que la finalité doit déjà être déterminée au moment où 
la collecte des données a lieu. 
Une modification ultérieure de la finalité d'un traitement n'est légitime 
que dans la mesure où elle est compatible avec la finalité initiale. 
- 16 -
L'article 6 lettre b. oblige également le responsable du traitement à 
déterminer la finalité de la conservation et de l'enregistrement des 
données. 
Dans la mesure où la finalité de la conservation et de l'utilisation de 
données à caractère personnel doit être légitime, les finalités potentielles 
d'un traitement sont limitées. Un tel traitement ne peut être créé et 
utilisé que pour un objet conforme aux dispositions de la directive et des 
législations nationales des Etats membres. 
L'article 6 lettre c. stipule que les données doivent être adéquates, 
pertinentes et non excessives par rapport aux finalités pour lesquelles 
elles sont traitées. Ce principe implique que la nature des données 
corresponde à la finalité poursuivie. 
Les dispositions de l'article 6 lettre d. sont étroitement liées à celles de 
l'article 6 paragraphe 1 lettres b. et c. Les données doivent être exactes 
et, si nécessaire, mises à jour. Au cas où des données sont inexactes ou 
incomplètes eu égard à la finalité du fichier, l'article 6 lettre d. prévoit 
qu'elles doivent être effacées ou rectifiées. 
L'article 6 lettre e. a trait à la durée maximale de conservation de données 
à caractère personnel. Selon cette disposition, la conservation de données 
sous une forme permettant l'identification des personnes concernées n'est 
autorisée que pendant la période qui semble nécessaire pour atteindre le but 
pour lequel les données ont été enregistrées. 
Dans certains cas cependant, après un certain délai, si un traitement a 
perdu sa finalité de gestion, il peut être nécessaire de le conserver à des 
fins historiques ou de recherche notamment. L'article 6 lettre e. précise 
par conséquent, conformément à l'avis du Parlement (amendement no. 60), que 
des garanties appropriées peuvent être prévues par les Etats membres pour 
les données qui sont archivées à des fins historiques, statistiques ou 
scientifiques, afin de concilier d'une part le principe strict de finalité 
et le droit à l'oubli, d'autre part les exigences de la recherche. 
L'article 6 paragraphe 2 fait obligation au responsable du traitement 
d'assurer le respect des dispositions relatives à la qualité des données 
énoncées à l'article 6 paragraphe 1. 
SECTION II 
PRINCIPES RELATIFS AUX FONDEMENTS DES TRAITEMENTS DE DONNEES 
Ar t i cI e 7 
L'article 7 rassemble, dans une nouvelle présentation simplifiée, les 
conditions du traitement licite des données à caractère personnel qui 
figuraient, dans la proposition initiale, aux articles 5, 6 et 8. 
- 17 -
La suppression de la distinction entre secteur public et secteur privé, qui 
avait été proposée dans les amendements parlementaires n's 27, 28 et 29, a 
été retenue. 
Le texte ne fait aucune référence particulière au traitement de données à 
d'autres fins que celles pour lesquelles le traitement a initialement été 
effectué (article 5.1.b initial) ni à des critères de légitimité de la 
communication de données à caractère personnel (article 6 et 8.2 initiaux). 
Le principe général de la compatibilité des objectifs (article 6.1.b 
modifié) et les conditions énoncées à l'article 7 modifié sont considérés 
comme suffisants. 
Toutefois, les conditions particulières proposées par les amendements 30 et 
32 n'ont été retenues que partiellement sous une forme modifiée. 
Le consentement n'est plus considéré comme le critère principal assorti de 
dérogations, mais comme une condition parmi d'autres (article 7a modifié). 
Plutôt que de se référer à une "relation de confiance quasi contractuelle", 
notion que beaucoup de sources jugent vague et couverte par la notion de 
"relation contractuelle" ou par celle d' "intérêt légitime" (point f) de 
l'article 7 modifié), la notion de "mesure pré-contractuelle prise en 
réponse à une demande de la personne concernée", a été incluse pour couvrir 
la situation précédant la création d'une relation contractuelle (article 7b 
mod i f ié) . 
Le traitement résultant d'une obligation imposée par le droit national ou 
communautaire a été maintenu (article 7c modifié). 
La même remarque s'applique pour le point e) et, en partie, pour le point f) 
de l'article 7 modifié. 
Le point d) a été ajouté pour régler les cas dans lesquels la personne 
concernée a un intérêt vital au traitement de ses données à caractère 
personnel mais n'est pas en mesure de donner son consentement (exemple : 
ma I ad i e grave). 
Le point f) - répondant en partie à l'amendement parlementaire n" 32 -
constitue un développement de l'article 8 paragraphe 1 point C initial, 
tenant compte du fait qu'il peut être nécessaire de prendre en considération 
d'importants intérêts légitimes autres que ceux du responsable du traitement 
et de la personne concernée. Le point b) de l'article 8 paragraphe 1 du 
texte initial a été supprimé parce que la Commission a constaté que, dans 
certains cas, des sources accessibles au public de manière générale peuvent 
comprendre des données personnelles sensibles. De plus, dans la plupart des 
cas, les données ont été traitées à 
des fins spécifiques et ne devraient donc pas être utilisées à d'autres fins 
sans que les autres dispositions de la directive soient prises en 
considérât ion. 
- 18 -
SECTION III 
CATEGORIES PARTICULIERES DE TRAITEMENTS 
Art ic le 8 
Cet article correspond à l'article 17 initial. 
Il est généralement admis que le droit à la vie privée est mis en péril non 
par le contenu des données à caractère personnel, mais par le contexte dans 
lequel se situe le traitement de ces données. Il existe néanmoins un large 
consensus parmi les Etats membres sur le fait qu'il existe certaines 
catégories de données qui, du fait de leur contenu, présentent un risque de 
violation du droit à la vie privée de la personne concernée. L'article 8 de 
la directive proposée pose donc des limites strictes au traitement et à 
l'exploitation des catégories suivantes de données sensibles: origine 
raciale (y compris des informations sur la couleur de la peau); opinions 
politiques, croyances religieuses, convictions philosophiques et morales, y 
compris l'absence de toute croyance religieuse (ces catégories englobent des 
informations sur les activités de la personne concernée dans le domaine 
politique, religieux ou philosophique); l'appartenance syndicale; la santé 
de la personne concernée (y compris des informations sur son état physique 
ou mental passé, présent et futur et des informations sur l'abus des drogues 
et de l'alcool); la vie sexuelle. Des croyances autres que religieuses ou 
philosophiques peuvent constituer des données sensibles. C'est la raison 
pour laquelle on a ajouté la notion de "convictions morales". 
L'article 17 initial a été modifié et restructuré de manière à tenir compte 
de certaines observations faites par ie Parlement (amendements 63, 149, 65). 
En règle générale, le paragraphe 1 dispose que le traitement (informatique 
ou manuel ainsi que le Parlement l'a demandé dans son amendement 63) de 
données sensibles est interdit. 
Le paragraphe 2 prévoit un certain nombre d'exceptions à cette règle 
générale : 
au lieu de subordonner le traitement de ces données à la condition 
générale d'un "accord libre, express et écrit", à laquelle il peut y 
avoir des dérogations, on a estimé plus approprié que cet accord soit 
l'une des différentes dérogations à l'interdiction générale de traiter 
ces données; 
le traitement de ces données est effectué par des fondations ou des 
associations de nature politique, philosophique, religieuse ou syndicale, 
dans le cadre de leur but légitime et à condition qu'il se rapporte aux 
seuls membres et correspondants de la fondation ou de l'association qui 
ont consenti à y figurer et que les données ne soient 
- 19 -
pas communiquées à des tiers. Il s'agit là d'une fonction considérée 
comme nécessaire aux sociétés démocratiques. Ces traitements sont 
également dispensés de l'obligation de notification prévue au chapitre 
VIII de la proposition modifiée, conformément à la demande du Parlement 
(amendement 149); 
le traitement est effectué dans des circonstances qui ne posent 
manifestement aucun risque pour la vie privée et les libertés de la 
personne concernée. On peut citer comme exemple les données de nature 
politique sur une personnalité publique, la collecte pour une brève 
période et sous des conditions strictes de sécurité de noms de personnes 
faisant l'objet de sondages. 
Le paragraphe 3 rétablit l'article 17 paragraphe 2 de la proposition 
initiale, qui prévoyait des dérogations pour "des motifs d'intérêt public 
importants". Ces dérogations devraient, en particulier, être accordées à des 
organisations internationales des droits de l'homme dont les travaux exigent 
de telles données, sous réserve que celles-ci fournissent des garanties 
suff i santés. 
L'avis du Parlement (amendement 65) prévoyant que les données concernant des 
condamnations pénales ne peuvent être conservées que par les autorités 
judiciaires a été retenu en partie dans le paragraphe 4 de cet article. On a 
estimé que, outre les autorités judiciaires, ces données peuvent également 
être détenues par les personnes directement impliquées dans les décisions 
Judiciaires en question ou par leurs représentants. Etant donné la nature 
particulièrement sensible de ces données, on a considéré que les dérogations 
ne pouvaient être accordées que par voie de dispositions législatives 
précisant les garanties appropriées (article 8.4 modifié) 
Le paragraphe 3.A proposé (avis du Parlement, amendement n" 65 deuxième 
partie) demandant aux Etats membres de déterminer dans leur législation les 
conditions dans lesquelles un numéro national d'identification, s'il existe, 
ou tout autre identifiant de portée générale peut être utilisé, a été 
accepté et introduit au paragraphe 5. 
Art icle 9 
Traitements effectués par la presse 
Cet article correspond à l'article 19 de la proposition initiale. Les Etats 
membres sont invités à prévoir des dérogations aux dispositions de la 
présente directive pour les organismes de presse et de I'audio-visue I dans 
la mesure où celles-ci sont nécessaires pour concilier les droits 
fondamentaux de l'individu, en particulier le droit à la vie privée, avec la 
liberté d'expression. Il existe, en effet, un risque de conflit entre ces 
deux catégories de droits fondamentaux. L'approche adoptée met l'accent sur 
l'obligation de mettre en balance les intérêts en jeu: cette mise en balance 
peut prendre en compte, notamment, la possibilité ou non pour la personne 
- 20 -
concernée d'obtenir des sanctions ou d'exercer un droit de recours, 
l'existence d'un code d'éthique professionnelle, les limites fixées par la 
Convention Européenne des Droits de l'Homme et les principes généraux du 
dro i t. 
Compte tenu du texte initial, et pour des raisons d'harmonisation, les 
dérogations en faveur des organismes de presse et de I'audio-visue I, ainsi 
que des journalistes (dont la mention est ajoutée au texte initial) sont 
obligatoires pour les Etats membres. Il est précisé que ces dérogations ne 
concernent que les traitements effectués à des fins de Journalisme. Le terme 
Journaliste inclut les reporters- photographes ainsi que les auteurs, tels 
que les biographes. 
SECTION IV 
INFORMATION DE LA PERSONNE CONCERNEE 
La section IV rassemble toutes les dispositions concernant l'information de 
la personne concernée qui se trouvaient dispersées dans la proposition 
initiale (articles 9, 13, 14.3). 
Ar t i cI e 10 
Information sur l'existence d'un traitement 
Cet article correspond à l'article 14.3 initial qui régissait le droit de la 
personne concernée "de connaître l'existence d'un fichier, ses finalités 
principales, ainsi que l'identité et la résidence habituelle, le siège ou 
rétablissement du responsable du fichier". 
Les modifications suivantes ont été apportées au texte initial. 
Le droit d'être informé peut être exercé sur demande. On a remplacé "la 
résidence habituelle, le siège ou l'établissement du responsable du fichier" 
par "le nom ou l'adresse du responsable du traitement et, le cas échéant, de 
son représentant", informations qui ont été considérées comme suffisantes à 
l'exercice des droits de la personne concernée. On a estimé que les tiers à 
qui les données sont communiquées et les catégories de données mises en 
oeuvre par le traitement étaient également importants et ils ont été ajoutés 
aux informations que la personne concernée a le droit d'obtenir. 
Les Etats membres peuvent accorder des dérogations à ce droit d'information 
pour les motifs et aux conditions indiqués à l'article 14 paragraphe 1 
(sécurité nationale, défense, ordre public, etc.) 
Art i cle 11 
Information en cas de collecte de données auprès de la personne concernée 
Cet article, qui garantit aux personnes auprès desquelles des données à 
caractère personnel sont collectées le droit à des informations spécifiques 
correspond à l'article 13 initial. 
La collecte légitime et loyale de données à caractère personnel suppose que 
la personne concernée décide de divulguer ou non les données qui la 
concernent sur une base factuelle fiable en ce qui concerne la finalité du 
traitement, l'identité du responsable du traitement, le caractère 
obligatoire ou non de l'obligation de divulguer les données en question et 
toutes les conséquences pouvant résulter d'un défaut de réponse. Pour 
qu'elle puisse faire valoir ses droits et contrôler efficacement 
l'utilisation des données qui la concernent, elle doit également être 
informée sur son droit d'accès aux données la concernant et sur les 
destinataires des données. 
Les modifications suivantes ont été apportées au texte initial : 
il est précisé dans le titre que l'article s'applique en cas de collecte 
de données auprès de la personne concernée; 
ceci est confirmé au paragraphe 1 qui expose clairement que le fait 
d'obtenir l'information n'est pas seulement un droit de la personne 
concernée (exercé sur demande), mais une obligation du responsable du 
traitement lorsque les données sont collectées auprès des personnes 
concernées. L'application de cet article dépendra des circonstances 
propres à la collecte; 
comne dar ~ 1^ proposition initiale (article 13 paragraphe 2), l'article 
11 paranr3phs 2 autorise les Etats membres à limiter l'obligation 
d'informer la personne concernée pour des motifs d'intérêt prédominant. 
Selon cette disposition, l'obligation de fournir les informations 
mentionnées à l'article 11 paragraphe 1 ne s'applique pas dans le cas où 
l'information de la personne concernée empêcherait l'exercice des 
fonctions de contrôle et de vérification d'une autorité publique ou le 
maintien de l'ordre public. 
Ar t i cI e 12 
Information en cas de communication à un tiers 
Cet article correspond à l'article 9 du texte initial. Afin de permettre à 
la personne concernée d'exercer ses droits, le paragraphe 1 exige du 
responsable du traitement qu'il s'assure que la personne concernée soit 
- 22 -
informée de la communication qui la concerne. La personne concernée peut 
ainsi exercer son droit d'accès et s'opposer à la poursuite du traitement en 
quest ion. 
L'amendement 35 a été retenu en partie, pour autant qu'il se réfère aux 
dispositions de l'amendement 32 qui ont été retenues. Ainsi, l'ancien 
article 8 paragraphe 2 a) figurant dans l'amendement n" 35 correspond au 
nouvel article 7.c) ainsi qu'à l'article 13 modifié; l'article 8 paragraphe 
2 e) correspond à l'article 7.b), l'article 8 paragraphe 2 g) correspond en 
part ie à l'article 7.f). 
Le droit de la personne concernée de s'opposer au traitement (ainsi qu'à la 
communication) est régi par la section VI et plus précisément par les 
articles 15 et 16 du texte modifié. L'esprit du paragraphe 3 de l'amendement 
n" 35 a été retenu dans l'article 15 modifié (sans toutefois faire référence 
à la notion d'"agent" qui est inutile et risque de prêter à confusion). 
Le texte modifié ne fait pas de distinction entre le secteur public et le 
secteur privé (l'obligation d'informer en cas de communication s'appliquait 
dans le texte initial essentiellement au secteur privé). 
Le texte ne mentionne pas la "consultation en ligne", étant donné que 
celle-ci est comprise dans la notion de communication. L'obligation 
d'informer ne s'applique pas : 
- lorsque la communication est nécessaire à la sauvegarde de l'intérêt 
vital de la personne concernée (dans un tel cas l'information peut être 
impossible ou contraire aux intérêts de la personne concernée); 
lorsque la communication ou la possibilité de communication a déjà été 
portée à l'attention de la personne concernée; 
lorsque la communication est imposée en vertu d'une loi prévoyant une 
dérogation à l'obligation d'informer la personne concernée; 
lorsque la communication est motivée par l'une des raisons énumérées à 
l'article 14 paragraphe 1 (sécurité nationale, défense, ordre public, 
etc. ). 
En dehors de la finalité du traitement, des catégories de données concernées 
et du nom et de l'adresse du responsable du traitement (ou de son 
représentant), on a estimé nécessaire que la personne concernée soit 
également informée des destinataires ou des catégories de destinataires et 
de l'existence de droits d'accès, de rectification et d'opposition. 
Le paragraphe 3 de l'article 12 modifié correspond à l'article 10 du texte 
initial qui concernait les exceptions à l'obligation d'informer la personne 
concernée (si l'information de la personne concernée se révèle impossible ou 
implique des efforts disproportionnés ou se heurte à des intérêts légitimes 
- 23 -
prédominants du responsable du fichier et ou à un intérêt similaire d un 
tiers). Il a été ajouté que, lorsqu'elle autorise une dérogation, l'autorité 
de contrôle doit prévoir des garanties appropriées, si cela est nécessaire 
(pour veiller à ce que le défaut d'information ne porte pas indûment 
atteinte aux droits et aux libertés de la personne concernée). 
Il devrait être fait usage du pouvoir d'octroyer des dérogations à 
l'obligation d'informer la personne concernée en particulier à l'égard des 
organisations des droits de l'homme et des organisations humanitaires, de 
manière à ne pas entraver indûment leurs travaux légitimes. 
Art icle 13 
Droit d'accès 
Cet article contient les dispositions de l'article 14 initial qui concerne 
le droit de la personne concernée à avoir accès a ses propres données à 
caractère personnel et le droit complémentaire d'obtenir que ces données 
soient rectifiées, effacées ou verrouillées (paragraphes 4 et 7). Comme le 
faisait l'article 4 paragraphe 4 du texte initial, l'article 13 paragraphe 1 
modifié confère à la personne concernée le droit d'obtenir, à des 
intervalles raisonnables et sans délais ou frais excessifs, la confirmation 
de l'existence ou non de données à caractère personnel la concernant et, 
dans l'affirmative, la communication de ces données sous une forme 
intelIigible. 
Il incombe aux Etats membres de préciser comment ces informations sont 
fournies à la personne concernée, afin par exemple de garantir que les 
données, soient divulguées à la personne concernée et à elle seule ou de 
faciliter l'exercice du droit d'accès, aussi bien pour le responsable du 
traitement des données, que pour la personne concernée, lorsque plusieurs 
traitements sont en cause, en particulier dans le cas des fichiers manuels. 
Il incombe également aux Etats membres de déterminer dans leur législation 
le terme "intervalle raisonnable". Prenant en considération les intérêts de 
la personne concernée et ceux du responsable du traitement, les législateurs 
des Etats membres peuvent prévoir que le responsable du traitement ne peut 
pas exiger de la personne concernée qui exerce son droit d accès une 
rémunération supérieure au coût réel. Le droit perçu ne doit pas être 
excess i f. 
L'article 13 paragraphe 1 (article 14 paragraphe 4 initial) a été modifié 
pour tenir compte de l'amendement n" 48 qui a été retenu en partie. Le droit 
d'accès peut être exercé sur demande. La personne concernée a le droit 
d'obtenir des informations sur l'origine (pas l'origine en général : ceci 
serait trop vague et donc inutile) et sur l'utilisation en général (pas 
l'utilisation exacte : ceci pourrait être excessivement lourd et 
bureaucratique) des données à caractère personnel en question. Cet article 
permet en outre aux Etats membres d'instaurer une règle spéciale relative à 
(4) 
- 24 -
l'exercice du droit d'accès de la personne concernée pour les données à 
caractère médical. Afin de protéger la personne concernée de tout choc 
psychologique grave, cette information peut lui être fournie par un médecin. 
L'article 13 paragraphe 2 a été ajouté afin d'introduire dans le texte 
l'amendement 132. Il prévient les abus de l'exercice du droit d'accès qui 
pourraient être commis à I'encontre des intérêts légitimes de la personne 
concernée (exemple donné par le Parlement : la personne concernée ne doit 
pas être obligée par un tiers d'exercer son droit d'accès comme condition 
préalable à son embauche ou au maintien dans son emploi). Toutefois, l'accès 
en réponse à la demande d'un tiers est permis à condition qu'il soit fondé 
sur une législation nationale ou sur la législation communautaire (exemple : 
déclaration d'état civil, etc. requise pour déterminer les droits à 
différentes prestations sociales). 
L'article 13 paragraphe 3 (article 14 paragraphe 5 initial) accorde aux 
personnes concernées le droit d'obtenir, selon le cas, la rectification, 
l'effacement ou le verrouillage des données si leur traitement est 
incompatible avec la directive. Le texte initial du paragraphe 5 a été 
légèrement modifié de manière à ce qu'il corresponde plus précisément aux 
souhaits du Parlement (amendement 46). 
L'amendement n' 49 a également été partiellement retenu. Les données "qui 
ont été omises en totalité ou en partie" sont appelées "données incomplètes" 
et sont comprises dans l'article 13 paragraphe 3 modifié. D'autre part, les 
termes "selon le cas" et "effacement" sont utiles dans ce contexte et ont 
donc été conservés dans le texte modifié. 
La formule utilisée dans la directive ("selon le cas") laisse à la 
législation de chaque Etat membre en matière de protection des données le 
soin d'adapter les droits de la personne concernée en matière d'effacement, 
de verrouillage ou de rectification aux différentes situations dans 
lesquelles des données à caractère personnel sont traitées et exploitées en 
violation de la directive. 
L'article 13 paragraphe 4 correspond à l'article 14 paragraphe 7 initial. Ce 
paragraphe protège les intérêts de la personne concernée en prévoyant que 
les tiers auxquels des données traitées de manière incorrecte ou illégitime 
ont été transmises reçoivent notification de la rectification, de 
l'effacement ou du verrouillage des données de manière à ce qu'ils puissent 
à leur tour rectifier, effacer ou verrouiller les données en question. 
L'article 13 paragraphe 5 a été ajouté à titre de garantie supplémentaire 
dans le cas de décisions prises par un système automatisé et donnant des 
résultats contraires aux intérêts de la personne concernée. Dans ce cas, la 
personne concernée a le droit de connaître les raisonnements utilisés dans 
les traitements en question. 
- 25 -
Ar t i cI e 14 
Exceptions au droit d'accès 
Cet article correspond à l'article 15 initial. Il autorise les Etats membres 
à limiter les droits d'accès des personnes concernées afin de protéger un 
intérêt public supérieur ou l'intérêt d'un particulier équivalant au droit 
privé de la personne concernée. 
Il appartient aux Etats membres de décider dans quelle mesure ils incluent 
dans leur législation nationale relative à la protection des données des 
exceptions fondées sur l'article 14, à moins qu'une obligation découlant du 
droit communautaire (par exemple en matière de contrôle bancaire ou de 
blanchiment de capitaux) ne rende obligatoire de telles exceptions. 
Cependant, les exceptions énumérées dans cette disposition sont limitées à 
celles qui sont nécessaires à la sauvegarde des valeurs indispensables à une 
société démocratique et doivent être adoptées dans la législation nationale. 
L'amendement n" 54 a été retenu. L'article 14 modifié ne s'applique pas 
uniquement au traitement effectué par le secteur public mais peut également 
concerner le traitement effectué par le secteur privé. 
La liste des intérêts à sauvegarder fournie au paragraphe 1, qui justifie 
une limitation du droit d'accès en vertu de l'article 14 de la directive, 
est exhaust i ve. 
Il faut entendre par "sûreté de l'Etat" la protection de la souveraineté 
nationale contre des menaces intérieures et extérieures. 
"Les poursuites pénales" couvrent les poursuites contre des crimes qui ont 
déjà été commis alors que la notion de "sécurité publique" couvre toutes les 
fonctions de police des organes de l'Etat, y compris la prévention du crime. 
L'expression "d'un intérêt économique et financier impératif dûment justifié 
d'un Etat membre ou de la Communauté" vise toutes les mesures de politique 
économique et les moyens de financement des politiques d'un Etat membre ou 
de la Communauté, par exemple le contrôle des changes, le contrôle du 
commerce extérieur et la collecte des impôts. Toutefois, cet intérêt doit 
être impératif pour justifier une limitation du droit d'accès. 
Enfin, l'intérêt d'une autre personne, incluant éventuellement celui du 
responsable du traitement lui-même, équivalant au droit d'accès de la 
personne concernée, ou les droits et libertés de tiers sont considérés comme 
des motifs valables de limiter le droit d'accès. Ces intérêts comprennent: 
les secrets d'affaires de tiers; les règles du secret professionnel auquel 
obéissent les professions juridiques ou médicales; le droit d'un tiers de 
préparer sa propre défense dans des affaires contentieuses ; la protection 
des droits de l'homme. C'est ainsi que les autorités de contrôle devraient 
être tenues d'accorder des exceptions au droit d'accès des personnes 
- 26 -
concernées aux données les concernant détenues par des organisations des 
droits de l'homme lorsqu'un accès illimité pourrait mettre en péril d'autres 
particuliers (par exemple dans le cas de sources d'informations 
confidentielles) ou les intérêts vitaux de ces organisations. 
Si la personne concernée ne peut avoir accès è des données qui la concernent 
et qui figurent dans un fichier en raison de la protection d'un intérêt 
couvert par l'article 14 paragraphe 1, l'article 14 paragraphe 2 prévoit que 
l'autorité de contrôle doit, à sa demande, procéder aux vérifications et aux 
contrôles nécessaires du fichier sur lequel figurent les données en question 
(comme prévu dans le texte initial article 15 paragraphe 2). 
L'objet de ce contrôle est de vérifier la licéité des traitements au regard 
des critères posés par cette directive. En effectuant ce contrôle, 
l'autorité devra éviter de préjudicier aux intérêts dont la sauvegarde est 
prévue au paragraphe 1 . 
L'article 14 paragraphe 3 autorise (tout comme l'article 15 paragraphe 3 
initial) les Etats membres à limiter le droit d'accès de la personne 
concernée à des données temporairement traitées à des fins statistiques, ces 
opérations ne constituant pas un risque important pour la personne 
concernée. 
SECTION VI 
DROIT D'OPPOSITION DE LA PERSONNE CONCERNEE 
Art icle 15 
Oppositions pour raisons légitimes 
Aux termes de l'article 15 paragraphe 1, qui reprend l'article 14-1 de la 
proposition initiale, la personne concernée a le droit de s'opposer, pour 
des raisons légitimes, à ce que des données la concernant fassent l'objet 
d'un traitement. Les raisons légitimes visées peuvent être l'absence d'une 
justification légale d'un traitement déterminé de données à caractère 
personnel, par exemple parce que les conditons prévues au chapitre II de la 
directive concernant la licéité de ce traitement ne sont pas remplies. A 
contrario une personne concernée ne serait pas légitimement fondée à 
s'opposer à un traitement licite nécessaire à l'exécution du contrat qui la 
lie avec le responsable. 
Le paragraphe 2 reprend l'article 9 paragraphe 3 de la proposition initiale. 
Il précise qu'en cas d'opposition exercée dans les conditions prévues au 
paragraphe 1er, le responsable du traitement est tenu de cesser celui-ci. 
Le paragraphe 3 développe les dispositions de l'article 14 paragraphe 6 de 
la proposition initiale. Son objet est de préciser les obligations du 
responsable du traitement à l'égard des personnes concernées lorsqu'en 
application des autres dispositions de la proposition de directive, il est 
- 27 -
autorisé à communiquer des données à des tiers à des fins de prospection 
particulière. Ces obligations s'appliquent quelle que soit la nature de la 
prospection, qu'il s'agisse d'une prospection commerciale ou d'une 
prospection effectuée par ou pour une association caritative ou un parti 
politique. Ces obligations consistent pour le responsable des traitements à 
s'assurer que la possibilité de faire effacer sans frais les données a été 
explicitement offerte aux personnes concernées avant la communication. Cette 
obligation s'applique également lorsque les données ne sont pas communiquées 
mais sont utilisées aux mêmes fins par un responsable du traitement pour le 
compte d'un tiers. Le responsable du traitement pourra remplir ses 
obligations à l'occasion des contacts habituels qu'il entretient avec les 
personnes concernées, sans devoir procéder nécessairement à une 
correspondance spécifique. 
Ce paragraphe ne concerne que la prospection écrite. Les mesures destinées à 
prémunir les personnes contre des sollicitations non souhaitées effectuées 
par des moyens de télécommunication sont prévues par la proposition de 
directive modifiée visant à protéger les personnes dans le contexte des 
réseaux de télécommunication. 
Art icle 16 
Décisions individuelles automatisées 
Le risque d'une utilisation abusive de l'informatique dans la prise de 
décision constitue un des risques essentiels pour l'avenir : en effet, le 
résultat fourni par la machine, qui recoure à des logiciels de plus en plus 
sophistiqués, voire à des systèmes-experts, revêt un caractère apparemment 
objectif et incontestable auquel le décideur humain peut accorder une 
importance excessive, en abdiquant sa responsabilité. Le paragraphe 1er de 
l'article 16 pose par conséquent le principe selon lequel une personne a le 
droit de ne pas être soumise à une décision administrative ou privée lui 
faisant grief, prise sur le seul fondement d'un traitement automatisé qui 
lui applique un profil de personnalité. 
Ce paragraphe 1er a été réécrit au regard de la proposition initiale, afin 
de permettre une meilleure précision des cas limités auxquels ses 
dispositions s'appliquent. 
En effet, trois conditions doivent être réunies: 
la personne doit être soumise à une décision lui faisant grief. Il doit 
s'agir d'une décision qui lui est opposable, qui emporte des conséquences 
à son égard, le simple fait par exemple d'adresser des prospectus 
commerciaux à une liste de personnes déterminées par ordinateur ne 
constitue pas une décision faisant grief; 
il doit s'agir d'une décision prise sur le seul fondement d'un traitement 
automatisé: ce qui est prohibé c'est la stricte application par 
l'utilisateur des résultats produits par le système. L'informatique peut 
fournir une aide à la décision mais en aucun cas l'unique base de celle-
ci, l'appréciation humaine devant avoir sa place. 
Serait par exemple contraire à ce principe le fait, pour un employeur, de 
rejeter la candidature d'un demandeur d'emploi sur le seul fondement de 
- 28 -
ses résultats à un test psychotechnique d'évaluation sur ordinateur, ou 
encore la production, par de tels logiciels d'évaluation, de listes 
attribuant des notes et classant les candidats à l'emploi par ordre de 
préférence, sur le seul fondement de leur test de personnalité; 
le traitement doit appliquer aux données relatives à la personne 
concernée des variables déterminant un profil type (considéré comme bon 
ou mauvais) de personnalité, ce qui exclut tous les cas où le système ne 
donne pas de définition du profil de personnalité: par exemple, le fait 
qu'une personne ne puisse obtenir auprès d'un distributeur automatique de 
billets de banque la somme demandée, parce qu'elle aura outrepassé son 
crédit, ne tombe pas sous le coup d'une telle définition. 
Un paragraphe 2 est ajouté dans la proposition modifiée, en vertu du 
principe selon lequel la part d'appréciation humaine requise doit être 
proportionnelle aux risques que présente pour l'individu une décision lui 
appliquant un profil de personnalité, élaborée uniquement par ordinateur. 
Un amendemnt parlementaire (n* 46) proposait de permettre une telle décision 
en cas de consentement de la personne ou dans le cadre d'un contrat ou d'une 
relation de confiance quasi contractuelle. 
La proposition modifiée ne retient pas les circonstances suggérées, en effet 
s'il existe un rapport de force défavorable à la personne concernée (cas de 
la personne à la recherche d'un emploi par exemple), ni son consentement ni 
la perspective d'un contrat ne sauraient constituer une garantie suffisante. 
En vertu du paragraphe 2, la personne peut être soumise à une décision visée 
au paragraphe 1 si la décision est prise dans le cadre d'un contrat conclu 
entre elle et le responsable du traitement ou de la conclusion d'une tel 
contrat, à condition soit que la personne obtienne satisfaction, soit que 
des mesures appropriées (que les Etats membres pourront préciser) 
garantissent la sauvegarde de son intérêt légitime. Cette garantie peut 
résulter de la loi, des procédures de notification ou encore des mesures de 
caractère interne prises par l'entreprise. 
Ainsi par exemple le recours à la technique du score pour l'attribution d'un 
crédit à un particulier est possible si les décisions positives 
d'attribution de crédit sont prises sur le seul fondement d'une appréciation 
automatique des risques; en cas de score négatif, la sauvegarde de l'intérêt 
légitime de la personne concernée devra être garantie (par exemple si la 
décision finale est différée jusqu'à ce que les services aient pu procéder à 
une étude "humaine" du dossier). 
SECTION VI I 
LA SECURITE DES TRAITEMENTS 
Art icle 17 
Cet article correspond à l'article 18 du texte initial. 
- 29 -
Les dangers qui menacent le droit à la vie privée de la personne concernée 
ne proviennent pas uniquement du responsable du traitement des données qui 
les collecte, les stocke, les traite et les communique dans son propre 
i ntérêt. 
Le droit à la vie privée de l'intéressé est également menacé si les données 
sont utilisées à d'autres fins par des tiers qui ne sont pas autorisés à 
avoir accès aux données et à les utiliser. 
L'article 17 oblige en particulier les Etats membres à prévoir que le 
responsable du traitement doit prendre les mesures techniques et 
d'organisation appropriées nécessaires à la protection contre la destruction 
accidentelle ou illicite, la perte accidentelle, ainsi que contre 
l'altération, la communication et tout autre forme de traitement non 
autorisé de données à caractère personnel. 
L'amendement n' 67 a été retenu en partie. L'expression "traitement 
automatisé des données" a été utilisée de préférence à celle de "fichiers 
automatisés". La référence au "coût de (la) mise en oeuvre (des mesures)" a 
été supprimée. Le texte modifié utilise le terme de "responsable du 
traitement". 
Le texte a été légèrement modifié pour des raisons de clarté. Au paragraphe 
1, "destruction non autorisée" a été remplacé par "destruction illicite" et 
"l'état de l'art" a été remplacé par "l'état de la technologie". Au 
paragraphe 2, "sécurité adéquate" a été remplacé par "sécurité appropriée". 
Au paragraphe 3, "consultation en ligne" a été remplacé par "accès à 
distance". Le paragraphe 4 précise que les obligations en matière de 
sécurité incombent également aux personnes qui ont une responsabilité dans 
la mise en oeuvre du traitement, notamment l'agent traitant. 
Il y a en outre deux modifications de quelque importance. Au paragraphe 3, 
il est précisé qu'en cas d'accès à distance, les installations techniques et 
le logiciel seront mis en oeuvre de manière à ce que l'accès s'opère dans 
les limites de la licéité du traitement (et non dans les limites de 
l'autorisation accordée par le responsable du traitement. Etant donné que 
cette autorisation ne pourrait certainement pas dépasser les limites du 
traitement licite, elle ne serait d'aucun intérêt pour la protection des 
données à caractère personnel). 
Le paragraphe 5 prévoit une exception à l'obligation de ne pas communiquer 
les données à des tiers sans l'accord du responsable du traitement lorsque 
la communication est prévue par une loi nationale ou communautaire (exemple: 
aux fins de poursuites pénales). 
- 30 -
SECTION VI II 
NOTIFICATION 
Art icle 18 
L'obligation de notification à l'autorité de contrôle 
L'article 18 reprend les articles 7 et 11 de la proposition initiale 
relatifs à la notification à l'autorité de contrôle des fichiers créés dans 
le secteur public et dans le secteur privé. Ces dispositions sont 
fusionnées, ainsi que le Parlement l'a souhaité dans son avis. Cette 
présentation a l'avantage de mettre en évidence que l'approche en matière de 
notification doit être la même, quelque soit le secteur dans lequel des 
traitements de données sont effectués. 
L'objet, la portée et le contenu des disposiitons initiales sont toutefois 
modifiés, pour tenir compte de l'avis du Parlement et pour assurer la 
cohérence de la proposition modifiée. En effet, les amendements du Parlement 
(39, 40, 41, 118 et 119) conduisent à développer les dispositions relatives 
à la notification en plusieurs articles. La notification doit permettre 
d'assurer, outre la transparence des traitements comme dans la proposition 
initiale, un contrôle sélectif par l'autorité de contôle de la licéité des 
traitements. En fonction du degré des risques qu'ils présentent, le contrôle 
devra être fait soit a posteriori en règle générale soit a priori dans un 
nombre limité de cas. 
1. Le paragraphe 1 de l'article 18 modifie l'obligation de la notification 
prévue dans la proposition initiale de la manière suivante: 
a. afin d'assurer la cohérence de l'approche retenue dans la proposition 
amendée, il est proposé que la notification porte sur le traitement 
des données à caractère personnel et non plus sur le fichier. Cette 
modification fait porter le contrôle plus sur les usages et opérations 
que l'on fait subir aux données en vue de la réalisation de finalités 
déterminées (nature des opérations, des rapprochements, des 
communications à des tiers effectuées, nature des données collectées, 
enregistrées, etc...) et moins sur des organisations techniques 
particulières des données en fichiers dont l'intérêt au regard de la 
protection des personnes peut être sans signification particulière 
lorsque les données sont automatisées; 
b. le critère de la communication des données à des tiers retenu dans la 
proposition initiale pour fonder l'obligation n'est plus repris afin 
de tenir compte des critiques émises sur son caractère inadéquat, 
étant donné que certaines communications à des tiers ne portent pas 
atteinte aux droits des personnes, ainsi que pour tenir compte des 
risques que peuvent présenter à l'inverse, des traitements internes 
notamment lorsqu'ils ont pour but de sélectionner des populations. 
Dans ce contexte, il est apparu opportun d'étendre l'obligation de 
notification à tout' traitement de données à caractère personnel 
préalablement à leur mise en oeuvre. Cette approche devra inciter 
les responsables de traitements à envisager les mesures nécessaires 
au respect des obligations qui leur incombent avant de procéder à la 
- 31 -
mise en oeuvre de leurs traitements. Il convient, cependant, pour 
apprécier la portée pratique de cette modification, de tenir compte 
des dispositions contenues à l'article 19 sur la simplification et 
l'exonération de l'obligation de la notification; 
c. afin d'assurer la prise en compte dans le contrôle de la réalité 
globale et parfois multiple des traitements effectués par un 
responsable de traitement, et afin d'éviter une multiplication 
excessive des notifications, il est proposé qu'une même notification 
porte sur l'ensemble des traitements, répétitifs ou non, destinés à 
la réalisation d'une finalité ou de plusieurs finalités liées entre 
elles du point de vue du responsable du traitement et des personnes 
concernées. A titre d'exemple, une seule notification devrait être 
exigée pour l'ensemble des traitements relatifs à la gestion des 
prêts effectués par un organisme de crédit et destinés à prendre en 
compte les demandes de prêts, à les instruire, à les accorder, à 
recouvrer les créances dues, ainsi qu'à suivre les dossiers 
content i eux ; 
d. afin d'éviter des démarches administratives excessives, il est 
proposé d'ajouter que l'obligation de notification ne concerne que 
les traitements automatisés en tout ou en partie, tout en laissant 
libres les Etats membres d'étendre l'obligation aux fichiers manuels 
en vertu de l'article 21. 
2. Le paragraphe 2 de l'article 18 ajoute des précisions quant au contenu de 
I a not i f i cat i on : 
a. la précision relative à la ou les catégories de personnes concernées 
par le traitement est ajoutée (ex clients de l'entreprise ou 
personnel de l'entreprise ou prospectus ou bénéficiaires de telle 
a i de ~oc i a I e etc.) ; 
b. de mci.ie, il est ajouté que l'information relative aux tiers à qui des 
données sont communiquées, peut être précisée par référence à des 
catégories de tiers (amendement 39); 
c. à la description des données sur lequel portent les traitements, est 
ajoutée la faculté de ne préciser que des catégories de données, ce 
qui est suffisant lorsqu'un détail trop grand de nature technique 
n'apporterait pas d'éléments significatifs à la compréhension des 
traitements en cause; 
d. la mention de l'existence de transferts de données avec des pays 
tiers est ajoutée, afin de faciliter l'application des dispositions 
particulières les concernant et d'assurer la prise en compte de leur 
contexte spécifique; 
e. la description des mesures de sécurité, prévue dans la proposition 
initiale, est maintenue, compte tenu de l'importance de leur contrôle 
dans le contexte notamment du développement des traitements effectués 
à distance au moyen des réseaux de télécommunication. 
5) 
- 32 -
3. Le paragraphe 3 de l'article 18 porte sur la notification des 
modifications apportées aux traitements. L'obligation de la notification 
des modifications apportées aux traitements affectant le contenu de la 
notification antérieurement effectuée, prévue dans la proposition 
initiale, est maintenue en vue d'assurer la mise à jour de la liste des 
traitements accessibles au public, et le suivi du contrôle, 
particulièrement important lorsque les finalités du traitement sont 
modifiées ou que de nouvelles catégories de tiers peuvent avoir 
communication de données sur lesquelles il porte. 
4. Les paragraphes 4 et 5 reprennent l'avis du Parlement (amendements 40, 
41, 118 et 119), selon lequel certains traitements qui sont susceptibles 
de comporter des risques particuliers au regard des droits et des 
libertés des personnes concernées, doivent faire l'objet d'un avis ou 
d'une autorisation de l'autorité de contrôle, préalablement à leur mise 
en oeuvre. 
Tout en tenant compte des différentes approches institutionnelles qui 
peuvent prévaloir dans les différents Etats membres, il est apparu 
préférable de prévoir au paragraphe 4 de l'article 18 une obligation pour 
les Etats membres de soumettre de tels traitements à un examen préalable 
à leur mise en oeuvre par l'autorité de contrôle. Les Etats membres 
peuvent remplacer cet examen non contraignant par une autorisation par la 
loi ou par l'autorité de contrôle. 
Ces risques particuliers peuvent tenir par exemple à la nature des 
données traitées notamment celles visées à l'article 8, à la portée du 
traitement lorsqu'il concerne toute une population nationale, ou encore 
aux finalités telles que celles d'exclure les personnes concernées du 
bénéfice d'un droit, d'une prestation ou d'un contrat (listes noires, 
traitements destinés au renseignement des tiers sur la solvabilité des 
personnes physiques). 
Le paragraphe 4 de l'article 18 ajoute une précision destinée à limiter, 
dans l'intérêt du responsable du traitement, le délai de l'examen 
préalable de son dossier par l'autorité de contrôle. 
Cette approche ainsi qu'il est proposé dans le même article, ne devrait 
pas empêcher les Etats membres de prendre, sur la base de l'expérience 
acquise, pour certaines des catégories de traitements visées, des mesures 
de simplification ou d'exonération de l'obligation de notification, 
telles que prévues à l'article 19. 
5. Enfin, pour être complet dans la présentation de ces dispositions, il 
convient de préciser que les traitements en tout ou en partie 
automatisés, qui ne relèvent ni des procédures de simplification ou 
d'exonération de l'obligation de notification prévues à l'article 19, ni 
des procédures d'examen préalable, mais qui sont donc notifiés aux 
autorités de contrôle en application des dispositions de l'article 18, ne 
sont soumis normalement, tout comme les traitements visés à l'article 19, 
qu'au contrôle a posteriori des autorités compétentes. Il va de soi que 
l'autorité de contrôle s'assure de la conformité de la procédure de 
notification suivie au regard de la nature du traitement. 
- 33 -
6. La mise en oeuvre des procédures communautaires prévues aux articles 33 
et 34, devraient permettre, dans l'esprit de l'avis du Parlement 
(amendement 39), les harmonisations particulières nécessaires au bon 
fonctionnement du marché intérieur en ce qui concerne les articles 18 et 
19 notamment. 
Art i cI e 19 
La simplification et l'exonération de l'obligation de notification 
L'article 19 reprend, tout en le développant, l'amendement 39 du Parlement 
visant à la simplification des procédures pour certaines catégories de 
trai tements. 
Il est proposé au paragraphe 1 de l'article 19, de mettre à la charge des 
Etats membres une obligation de procéder à une telle mesure, les Etats 
membres ayant en outre la faculté de procéder à des exonérations de 
l'obligation de notification. 
Afin de développer une politique commune cohérente vis-à-vis de l'objectif 
de protection des personnes, il est proposé d'ajouter un critère déterminant 
le domaine dans lequel il est pertinent de procéder à la simplification ou à 
l'exonération de la notification. Ce critère vise les traitements qui ne 
sont pas susceptibles de porter atteinte aux droits et aux libertés des 
personnes concernées. 
L'expérience montre que de nombreux traitements de données à caractère 
personnel effectués dans de grandes ou petites organisations publiques ou 
privées sont de cette nature et n'appellent pas de ce fait une publicité 
détaillée ou générale. Il peut s'agir de traitements très encadrés 
juridiquement par nature dans leur contenu et leur portée ou de traitements 
simples dont les intéréssés ont régulièrement l'occasion de s'assurer de 
leur licéité ou de traitements qui par nature ne peuvent porter préjudice 
aux personnes concernées ou encore de traitements, certes plus sensibles par 
nature, mais dont le contexte précis de mise en oeuvre apportent les 
garanties nécessaires. 
Il est proposé au paragraphe 1 de l'article 19 de considérer, en référence à 
l'amendement 23 du Parlement, que les traitements ayant pour finalité la 
production par traitement de textes, de lettres ou de documents, 
l'accomplissement d'obligations légales, comptables, fiscales ou sociales ou 
encore la consultation de services documentaires accessibles au public, 
relèvent de la simplification ou de l'exonération de l'obligation de 
not i f i cat i on. 
Les Etats membres, en fonction de leur expérience et des spécificités 
nationales des traitements effectués ou nouveaux, doivent au fur et à mesure 
permettre ces simplifications ou même ces exonérations. On peut estimer à 
titre d'exemple que pourraient également être concernés par ces mesures, les 
traitements ayant pour finalité l'établissement de la paie du personnel 
d'une administration ou d'une entreprise, certains traitements destinés à la 
recherche scientifique ou encore, certains traitements relatifs à la tenue 
des dossiers médicaux des patients d'un professionnel de santé. 
- 34 -
Le paragraphe 2 de l'article 19 reprend l'amendement 39 du Parlement selon 
lequel la simplification de l'obligation de notification des Etats membres 
doit faire l'objet d'un acte juridique. Il est cependant proposé de 
préciser, dans l'esprit de cet amendement, que la procédure d'élaboration de 
la mesure de simplification ou d'exonération implique l'autorité 
indépendante de contrôle. En outre, afin que les responsables des 
traitements puissent apprécier, en toute sécurité, la conformité des 
traitements qu'ils envisagent au regard de la mesure de simplification, il 
est proposé que cette dernière décrive chaque catégorie de traitements visés 
et précise notamment leurs finalités, les données ou catégories de données 
sur lesquelles ils portent, les catégories de personnes concernées, les 
tiers ou catégories de tiers ayant communication des données, la durée de 
conservation des données, ainsi que les conditions éventuelles de la mise en 
oeuvre des traitements visés. 
Le paragraphe 3 de l'article 19 reprend le même amendement 39 du Parlement 
selon lequel il convient de rappeler dans un souci de clarté, que le 
bénéfice de la simplification ou de l'exonération de l'obligation de 
notification ne dispense le responsable du traitement d'aucune des autres 
obligations découlant de la directive. 
Article 20 
Les traitements manuels 
La faculté est laissée aux Etats membres d'appliquer aux fichiers manuels 
les dispositions de la section VIII, tout en apportant à celles-ci les 
adaptations qui pourraient être nécessaires. 
Art icle 21 
Le registre des traitements notifiés 
L'article 21 reprend l'article 7 paragraphe 1 de la propositon initiale 
concernant la tenue par l'autorité de contrôle du registre des fichiers du 
secteur public notifiés et la possibilité de sa consultation par toute 
personne. L'article 21 étend toutefois cette disposition, dans l'esprit de 
l'avis du Parlement (amendements 37 et 39), à tous les traitements notifiés, 
quelque soit le secteur d'appartenance du responsable du traitement. 
La consultation du registre peut être limitée cependant, ainsi que le 
demande le Parlement, dans les mêmes conditions que celles fixées à 
l'article 14 relatives à la limitation de l'exercice du droit d'accès des 
personnes aux données qui les concernent. 
Par ailleurs, dans l'esprit de l'avis du Parlement (amendement 39), 
l'article 21 précise le contenu minimum du registre qui doit reprendre les 
informations à l'article 18 paragraphe 2, à l'exception toutefois des 
informations relatives aux mesures prises pour assurer la sécurité des 
traitements de manière à ne pas en affaiblir l'efficacité. 
- 35 -
CHAPITRE III 
RECOURS JURIDICTIONNELS, RESPONSABILITE ET SANCTIONS 
Art icle 22 
Recours luridietionneIs 
L'article 22 reprend l'article 14 paragraphe 8 de la proposition initiale. 
La portée de cette disposition est, toutefois, élargie. En effet, il est 
proposé que les législations nationales donnent un recours juridictionnel 
aux personnes concernées pour leur permettre, si nécessaire, de défendre non 
seulement leurs droits complémentaires énumérés à l'article 14 de la 
propositon initiale, mais, de façon plus générale, tous les droits qui leur 
seront reconnus par la directive. 
Ar t i cI e 23 
Responsab iIi té 
Le paragraphe 1 de cet article, tout comme l'article 21 paragraphe 1 de la 
proposition initiale, fait peser sur le responsable du traitement une 
obligation de réparer le préjudice causé à toute personne du fait d'un 
traitement ou d'une action incompatibles avec la présente directive. 
Ainsi que le Parlement l'a demandé dans son avis (amendement n" 73), la 
notion de traitement "illicite", source de la responsabilité, est 
introduite. Par ailleurs, la notion de "traitement" est substituée à celle 
de "fichier". Cette nouvelle rédaction permet de reprendre le contenu du 
paragraphe 2 de cet article tel que suggéré par le Parlement. En effet, en 
utilisant la notion de traitement, la propositon modifiée couvre, comme le 
Parlement le souhaite, l'enregistrement proprement dit des données à 
caractère personnel comme source possible de responsabilité. 
En revanche, la Commission maintient la faculté pour les Etats membres de 
prévoir une exonération de responsabilité si des mesures de sécurité 
appropriées ont été prises. Le libellé du texte a, toutefois, été clarifié. 
En outre, l'avis du Parlement amène la Commission à préciser que 
l'exonération de responsabilité peut être totale ou seulement partielle. 
Article 24 
Traitement par l'agent traitant 
Cet article reprend l'article 22 de la propositon initiale. Il vise à éviter 
qu'un traitement par un tiers pour le compte du responsable ait pour 
conséquence d'affaiblir la protection de la personne concernée. 
La notion "d'agent traitant", introduite suite à l'avis du Parlement dans la 
liste des définitions, est utilisée dans le texte de l'article. Le 
paragraphe 2 souligne, comme le demande le Parlement, que cet agent ne peut 
agir que dans les limites du contrat conclu avec le responsable. Il est 
proposé de maintenir une référence expresse aux obligations découlant des 
dispositions nationales prises en application de la directive qui pèsent 
également sur l'agent traitant. 
- 36 -
Ar t i cI e 25 
Sanct ions 
Les modifications introduites dans la proposition visent à tenir compte de 
l'avis du Parlement (amendement n" 77). Elles mettent l'accent sur les 
personnes susceptibles d'être sanctionnées. Il s'agit, de façon générale, de 
toute personne qui ne respecte pas les dispositions nationales prises en 
application de la présente directive et, en particulier, comme le souligne 
le Parlement dans son avis, des autorités et organisations relevant du droit 
pub lie. 
CHAPITRE IV 
TRANSFERT DE DONNEES A CARACTERE PERSONNEL VERS DES PAYS TIERS 
Ar t i cI e 26 
Pr i ne i pes 
Cet article, qui reprend l'article 25 de la proposition initiale, pose le 
principe selon lequel le transfert de données à caractère personnel depuis 
un Etat membre vers un pays tiers ne peut avoir lieu que si ce pays assure 
un niveau de protection adéquat. Faute d'une telle disposition, il est 
évident que l'effort déployé dans la Communauté pour assurer aux personnes 
un haut niveau de protection risquerait d'être anéanti par des transferts 
vers des pays tiers ne garantissant pas une protection suffisante. En outre, 
la libre circulation des données entre les Etats membres, que la présente 
proposition de directive vise à instaurer, suppose que des règles communes 
soient adoptées en ce qui concerne les transferts vers les pays tiers. 
Les consultations avec les milieux intéressés ont montré que des exceptions 
au principe susvisé sont nécessaires dans certains cas. C'est pourquoi, à la 
lumière de l'avis du Parlement, la Commission a été amenée à reconsidérer la 
propositon initiale. Elle propose que l'interdiction des transferts vers des 
pays tiers n'assurant pas un niveau de protection adéquat soit assortie 
d'exceptions compatibles avec la protection des personnes. Selon la 
proposition modifiée, le transfert vers un pays tiers n'assurant pas un 
niveau de protection adéquat peut être effectué si la personne concernée a 
donné son consentement au transfert envisagé dans le cadre de relations 
précontractuelles ou si le transfert est nécessaire à la réalisation d'un 
contrat entre la personne concernée et le responsable du traitement. Dans 
ces cas, la personne concernée est informée du transfert ou de la 
possibilité de transfert vers un ou des pays tiers n'assurant par un niveau 
de protection adéquat. Elle peut décider si elle veut ou non prendre le 
risque d'un tel transfert. Ces exceptions semblent, en particulier, utiles 
pour les transferts de données liées à des opérations faites par les banques 
ou d'autres organismes de crédit. En outre, un transfert vers un pays tiers 
n'assurant pas un niveau de protection adéquat peut être justifié s'il est 
nécessaire à la sauvegarde d'un intérêt public important ou de l'intérêt 
vital de la personne concernée. Ces exceptions visent à permettre la 
coopération internationale (par exemple dans la lutte contre le blanchiment 
- 37 -
des capitaux ou dans le cadre de la surveillance des établissements 
financiers) ou à rendre possible le transfert des données médicales dans des 
circonstances dans lesquelles la personne concernée ne pourrait exprimer sa 
volonté. 
Le paragraphe 2 précise quels sont les éléments à prendre en considération 
pour l'appréciation du caractère adéquat. Il s'agit de toutes les 
circonstances affectant un transfert ou une catégorie de transferts, telles 
que la nature des données, la finalité des traitements, les dispositions 
législatives du pays en cause. A cet égard il conviendra d'examiner les 
dispositions législatives générales et sectorielles, leur application 
effective , ainsi que les disciplines professionnelles, exprimées dans des 
codes de conduite. Comme le souhaite le Parlement dans son avis (amendement 
n" 79 notamment), le nouveau paragraphe 2 souligne que l'application du 
caractère adéquat de la protection doit être apprécié au regard d'un 
transfert de données ou d'une catégorie de transferts de données. 
Le paragraphe 3, qui reprend le pararaphe 2 de l'article 24 de la 
proposition initiale, a été modifié conformément à l'avis du Parlement 
(amendement n" 79), qui souligne que les Etats membres procèdent à 
l'évaluation du caractère adéquat de la protection et décident en 
conséquence d'interdir, le cas échéant, le transfert. Ils avisent la 
Commission des cas d'interdiction. 
Comme le demande le Parlement dans son avis (amendement n" 80), la 
proposition modifiée prévoit, au paragraphe 4 de cet article, qui correspond 
à l'ancien paragraphe 3, que le groupe de protection visé à l'article 32, 
doit être consulté pour avis par la Commission avant que celle-ci engage des 
négociations avec un pays tiers. 
Art icle 27 
Mesures pai 11 ci . i ères 
L'article 27 rep.end l'idée de l'article 25 de la proposition initiale, avec 
des modifications. D'après le nouveau texte, l'Etat membre peut autoriser un 
transfert ou une catégorie de transferts de données à caractère personnel 
vers un pays tiers n'assurant pas un niveau de protection adéquat si le 
responsable du transfert peut présenter des justifications suffisantes 
garantissant l'exercice effectif des droits des personnes concernées et si 
les autres Etats membres ou la Commission ne s'opposent pas à la mesure 
envisagée selon une procédure prévue dans cet article. En cas de 
notification d'opposition, la Commission peut prendre les mesures 
appropriées, notamment décider d'interdire le transfert, subordonner le 
transfert à des conditons complémentaires ou entreprendre des négociations 
avec le responsable du traitement pour qui les transferts sont effectués, en 
vue de trouver des solutions pour l'ensemble de la Communauté. 
CHAPITRE V 
LES CODES DE CONDUITE 
Les codes de conduite, pour lesquels l'appellation généralement utilisée 
dans d'autres domaines est retenue dans la proposition modifiée, faisaient 
- 38 -
l'objet de l'article 20 de la proposition initiale. Cette disposition visait 
à encourager l'élaboration de seuls codes communautaires. La proposition 
modifiée contient deux articles consacrés l'un aux codes nationaux, l'autre 
aux codes communautaires. 
Article 28 
Codes nat ionaux 
L'expérience faite par certains Etats membres en la matière amène la 
Commission à inclure dans sa proposition modifiée une disposition qui vise à 
encourager l'élaboration de codes de conduite au niveau national. Les codes 
peuvent être un élement favorable à la bonne acceptation de la législation 
applicable, étant donné que les professions sont amenées à participer 
directement à la mise en oeuvre de la législation. En même temps, ils 
peuvent permettre d'éviter une intervention législative trop détaillée, dans 
la mesure où les solutions qu'ils contiennent sont satisfaisantes. 
Il existe une grande diversité de codes, tenant à leur contenu, la 
profession qui les ont élaborés, etc... Cependant, ils obéissent aux 
caractéristiques suivantes: 
leur initiative et leur élaboration, comme déjà indiqué, sont placées 
sous la seule responsabilité des professions, quel que soient par 
ailleurs les encouragements qu'elles peuvent recevoir des autorités 
publiques à cet égard; 
leur portée se limite à mettre en oeuvre ou à expliciter la législation 
applicable, sans pouvoir y déroger; 
leur effet n'est pas contraignant à l'égard des tiers, ni à l'égard des 
juridictions qui peuvent toujours faire prévaloir la législation qu'elles 
sont chargées d'appliquer. 
Evidemment, ainsi que le montre la législation de certains Etats membres, il 
peut arriver que l'autorité publique et en particulier le législateur, 
reprenne à son compte les codes élaborés par les professions pour leur 
donner une force contraignante législative. 
Afin de donner aux codes une certaine autorité, sans modifier pour autant 
leurs caractéristiques, la Commission propose, en s' inspirant de l'avis 
exprimé par le Parlement pour les codes communautaires (amendement no. 72), 
que l'élaboration des codes soit soumise à l'avis de l'autorité nationale 
compétente. 
Il est ainsi proposé de confier à l'autorité de contrôle le soin de vérifier 
le bien fondé des codes, la représentativité des organisations 
professionelles qui les ont élaborés, d'assurer une publicité des codes et 
de recueillir les observations des personnes concernées ou de leurs 
représentants et de formuler un avis faisant l'objet d'une publicité 
accompagnant celle du code. 
Art icle 29 
Codes communautaires 
La proposition modifiée s'inspire de l'avis du Parlement (amendement no. 72) 
et des dispositions de l'article 29, étant précisé que les pouvoirs donnés à 
l'autorité de contrôle pour les codes nationaux sont donnés au groupe 
communautaire de protection. En vue d'assurer l'information du public, il 
appartiendra à la Commission de décider de publier au JoCE les codes 
accompagnées de l'avis du Groupe. 
CHAPITRE VI 
AUTORITE DE CONTROLE ET GROUPE DE PROTECTION DES PERSONNES A L'EGARD DU 
TRAITEMENT DES DONNEES A CARACTERE PERSONNEL 
Art i cle 30 
L'autorité de contrôle 
Cet article, qui reprend l'article 26 de la propositon initiale, prévoit 
l'institution d'une autorité de contrôle dont la caractérisque essentielle 
est son indépendance. 
La Commission reprend dans sa proposition modifiée l'avis du Parlement 
(amendements n" 84, 85, 86 et 87). 
a) désignation des autorités de contrôle: il est précisé au paragraphe 1 que 
les Etats membres ont la possibilité de désigner une pluralité 
d'autorités de contôle indépendantes. Cette précision semble 
indispensable pour les Etats membres à structure fédérale, notamment 
l'Ai Iemagne. 
b) pouvoir des autorités de contrôle: en outre des pouvoirs donnes aux 
autorités de contrôle par les dispositions reprises plus haut, notamment 
du chef de la procédure de notification, il est proposé de doter ces 
autorités de pouvoirs d'investigation et d'intervention à I égard des 
responsables des traitements, sous le contrôle des autorités judiciaires. 
Les pouvoirs d'investigation visent a permettre à I autorite de contrôle de 
recueillir auprès des responsables des traitements, les informations 
nécessaires à l'accomplissement de sa mission. Ces pouvoirs s expriment 
notamment dans l'accès aux données faisant l'objet des traitements. Il est 
évident, en vue de respecter les droits des personnes soumises au contrôle 
de l'autorité, que ces pouvoirs doivent être exercés dans le strict respect 
de la confidentialité qui s'attache aux données en cause selon le droit 
national. Une disposition est introduite à cet effet au paragraphe 6. 
Afin que l'autorité de contrôle puisse exercer sa mission, il paraît 
essentiel qu'elle dispose également de pouvoirs effectifs d'intervention, 
tels que ceux énumérés par le Parlement dans son avis et qui sont repris 
dans I a propos i t i on mod i f i ée: pouvo i r d or donner un ver rou i II âge, 
l'effacement de données, l'interdiction d un traitement, etc... En 
- 40 -
revanche, il ne semble pas nécessaire de se prononcer dans le texte de la 
directive sur la nature juridique de ces mesures, que le Parlement qualifie 
de sanctions dans son avis. 
Il est, enfin, proposé que l'autorité de contrôle ait le pouvoir de saisir 
l'autorité judiciaire lorsqu'elle constate des infractions aux 
dispositions nationales d'application de la présente directive. Ce pouvoir 
est généralement reconnu par les législations nationales actuelles. Il 
découle logiquement d'une part du pouvoir d'investigation, car il serait 
anormal qu'une autorité chargée de protéger les personnes ne saisisse pas 
l'autorité Judiciaire si elle est amenée à constater une infraction à la 
protection des personnes, d'autre part du droit de toute personne de 
présenter une plainte à l'autorité de contrôle. La conséquence du dépôt de 
cette plainte peut, en effet, être la saisine de l'autorité judiciaire. 
c) présentation de rapports annuels: il est très important que l'autorité de 
contrôle puisse présenter périodiquement un rapport de son activité, 
soulignant éventuellement les difficultés rencontrées dans la mise en 
oeuvre des dispositions législatives et indiquant ainsi les orientations 
nouvelles à retenir. 
Art icle 31 
Groupe de protection des personnes à l'égard du traitement des données à 
caractère personnel 
Cet article, qui reprend l'article 27 de la proposition initiale, établit un 
comité de type consultatif. 
a) Int i tuIé du Groupe 
Il est proposé d'harmoniser l'intitulé du groupe de protection sur le 
libellé de l'article 1, paragraphe 1. 
b) Composition et présidence du Groupe 
Les modifications demandées par le Parlement (amendements n' 88 et 128) 
concernent notamment la composition et la présidence du groupe. En vue de 
garantir l'indépendance de celui-ci, dont elle a souligné la nécessité dans 
l'exposé des motifs de la proposition initiale, la Commission accepte les 
solutions contenues dans l'avis du Parlement concernant la présidence du 
groupe, mais non celles relatives à sa composition: 
- présidence du groupe: la Commission propose que le groupe élise un 
président pour un mandat renouvelable de deux ans. Cette période semble 
suffisamment longue pour assurer une certaine stabilité au sein du 
groupe; 
- composition du groupe: la Commission maintient sa proposition initiale 
consistant à limiter la composition du groupe aux représentants des 
autorités de contrôle' nationales visées dans les dispositions 
précédentes. Dans le cas où certains Etats membres utiliseraient la 
faculté qui leur est laissée de désigner plusieurs autorités de contrôle, 
il est proposé, dans un souci d'équité, que la représentation des 
autorités des Etats membres en cause soit assurée, au sein du groupe 
- 41 -
communautaire, par le biais d'une représentation commune. Faute d'une 
telle disposition, l'exercice de la faculté prévue aux articles 
précédents, pourrait aboutir à déséquilibrer les représentations au sein 
du groupe. 
La Commission demande a être représentée au sein du groupe et souhaite que 
ses services en assurent le secrétariat. 
Art icle 32 
Missions du groupe de protection des personnes à l'égard du traitement des 
données à caractère personnel. 
Cet article fixe les tâches du groupe. Il est proposé de conserver au groupe 
le caractère consultatif, tel que prévu par la proposition initiale. Le 
groupe doit conseiller la Commission, notamment au moment de l'exercice du 
pouvoir réglementaire ou de la présentation de nouvelles propositions. Il 
devra contribuer à l'application homogène des dispositions prises en 
application de la directive, ainsi qu'à l'élaboration d'une politique 
commune en matière de flux transfrontaliers avec les pays tiers. La 
Commission soumettra au Groupe toute mesure envisagée dans ces domaines en 
vue d'obtenir son avis. 
Le groupe exercera ses missions au moyen d'avis et de recommandations soumis 
à la Commission et, éventuellement, au comité réglementaire. A cet égard, la 
proposition modifiée reprend, pour partie, l'avis du Parlement (amendements 
n" 90, 91 et 92). 
La Commission informera le groupe des suites qu'elle aura données à son 
avis, en publiant des rapports qui seront transmis au Parlement. Le groupe 
établira un rapport annuel sur l'état de la protection dans la Communauté et 
les pays tiers. Ce rapport, communiqué à la Commission et au Parlement, sera 
pub lié. 
La Commission partage la volonté du Parlement (exprimée à l'amendement 89) 
de doter le secrétariat du groupe des moyens nécessaires pour permettre à 
celui-ci de répondre aux tâches qui lui auront été fixées par la directive. 
La Commission veillera, notamment dans le cadre de la procédure budgétaire, 
à ce que le groupe dispose de ces moyens. Toutefois, il ne semble pas utile 
d'introduire une disposition à cet effet dans la propositon modifiée. 
CHAPITRE VI I 
POUVOIR REGLEMENTAIRE DE LA COMMISSION 
Art i cI es 33 et 34 
Exercice du pouvoir réglementaire et comité consultatif. 
La Commission maintient sa proposition initiale. Des modalités techniques 
d'application de la directive seront nécessaires en raison de l'étendue et 
du caractère technique du domaine du traitement des données à caractère 
personne I. 
DISPOSITIONS FINALES 
Art icles 35. 36 et 37 
La proposition modifiée prévoit à l'article 35 paragraphe 2 une mesure 
transitoire visant à permettre, ainsi que le Parlement le suggère dans son 
avis à propos de la notification (amendement n' 37), une entrée en vigueur 
progressive des dispositions prises en application de la directive à l'égard 
des traitements mis en oeuvre avant la date d'entrée en vigueur de ces 
dispositions. Un délai de trois ans semble adéquat à cet effet. 
Ainsi que le souhaite le Parlement (amendement 95), il est proposé â 
l'article 36 que le rapport périodique sur l'application de la directive, 
qui sera soumis à la Commission, au Parlement et au Conseil, fasse l'objet 
d'une pubiicat ion. 
- 43 -
PROPOSITION DE DIRECTIVE DU GCNSEIL 
RELATIVE A LA PROTECTION LES 
PERSONNES A L'EGARD DU TRAITAIENT LES 
DONNEES A CARACTERE PERSONNEL 
LE CENSE IL DES OCMUNAUTES 
EUROPEENNES, 
vu le traité instituant la Commnauté 
économique européenne, et notairment 
son article 100 A et son article 113, 
vu la proposition de la Cotrmission, 
en coopération avec le Parlement 
européen, 
vu l'avis du Comité économique et 
social, PROPOSITION MDIFIEE DE DIRECTIVE 
DU OCNSEIL RELATIVE A LA PROTEO!CN 
LES PERSONNES PHYSIQUES A L'EGARD 
DU TRAITEMENT DES DONNEES A 
CARACTERE PERSONNEL ET A LA LIBRE 
CIRCULATION DE CES DONNEES 
LE OCNSE IL LES ŒMvUNAUTES 
EUROPEENNES, 
vu le traité instituant la 
Commnauté économique européenne, 
et notanment son article 100 A et 
son article 113, 
vu la proposition de la Comnission 
(1), 
en coopération avec le Parlement 
européen (2), 
vu l'avis du Comité économique et 
social (3), 
(1) JO n° C 277 du 5.11.1990, p. 3 
et JO n° C... 
(2) JO n° C... et JO n" C... 
(3) JO n" C 159 du 17.6.1991, p. 38 
44 
(l) considérant que les objectifs de 
la Commnauté, énoncés dans le Traité 
tel que modifié par l'Acte unique 
européen, consistent à réaliser une 
union sans cesse plus étroite entre 
les peuples européens, à établir des 
relations plus étroites entre les 
Etats que la Commnauté réunit, à 
assurer par une action ccmmne le 
progrès économique et social en 
éliminant les barrières qui divisent 
l'Europe, à promouvoir l'amélioration 
constante des conditions de vie de 
ces peuples, à affermir les 
sauvegardes de la paix et de la 
liberté, et à promouvoir la 
démocratie en se fondant sur les 
droits fondamentaux reconnus dans les 
constitutions et lois des Etats 
membres ainsi que dans la Convention 
européenne de sauvegarde des droits 
de l'honme et des libertés 
fondamentales ; (l) considérant que les objectifs 
de la Commnauté, énoncés dans le 
Traité tel que modifié par l'Acte 
unique européen, consistent à 
réaliser une union sans cesse plus 
étroite entre les peuples 
européens, à établir des relations 
plus étroites entre les Etats que 
la Commnauté réunit, à assurer par 
une action cannine le progrès 
économique et social en éliminant 
les barrières qui divisent 
l'Europe, à promouvoir 
l'amélioration constante des 
conditions de vie de ces peuples, à 
affermir les sauvegardes de la paix 
et de la liberté, et à promouvoir 
la démocratie en se fondant sur les 
droits fondamentaux reconnus dans 
les constitutions et les lois des 
Etats membres, ainsi que dans la 
Convention européenne de sauvegarde 
des droits de l'honme et des 
libertés fondamentales; 
- 45 -
(2) considérant que l'établissement 
et le fonctionnement du marché 
intérieur dans lequel, conformément à 
l'article 8 A du Traité, la libre 
circulation des marchandises, des 
personnes, des services et des 
capitaux est assurée nécessitent que 
non seulement des données à caractère 
personnel puissent circuler, quels 
que soient les Etats membres dans 
lesquels elles sont traitées ou 
demandées, mais, également, que les 
droits fondamentaux soient 
sauvegardés, compte tenu du recours 
de plus en plus fréquent dans la 
Conmunauté aux traitements de données 
à caractère personnel dans les divers 
domaines des activités économiques et 
sociales ; (2) considérant que les systèmes de 
traitement de données sont au 
service de l'honme; qu'ils doivent 
respecter les libertés et droits 
fondamentaux des personnes 
physiques et notanment la vie 
privée et contribuer au progrès 
économique et social, au 
développement des échanges ainsi 
qu'au bien-être des individus; 
(3) considérant que l'établissement 
et le fonctionnement du marché 
intérieur dans lequel, conformément 
à l'article 8 A du Traité, la libre 
circulation des marchandises, des 
personnes, des services et des 
capitaux est assurée nécessitent 
que non seulement des données à 
caractère personnel puissent 
circuler d'un Etat membre à 
l'autre, mais également, que les 
droits fondamentaux des personnes 
soient sauvegardés; 
- 46 -
(3) considérant que le marché 
intérieur comporte un espace sans 
frontières; que, pour cette raison, 
les administrations nationales des 
différents Etats membres, en vertu de 
l'application du droit ccmnunautaire, 
sont appelées de plus en plus souvent 
à collaborer et à échanger entre 
elles des données à caractère 
personnel, afin de pouvoir exécuter 
leur mission ou exercer des tâches 
pour le compte d'une administration 
d'un autre Etat membre; (4) considérant qu'un recours de 
plus en plus fréquent est fait dans 
la Commnauté aux traitements de 
données à caractère personnel dans 
les divers domaines des activités 
économiques et sociales; que les 
progrès des technologies de 
l'information facilitent 
considérablement le traitement et 
l'échange de ces données; 
(5) considérant que l'intégration 
économique et sociale résultant de 
l'établissement et du 
fonctionnement du marché intérieur 
au sens de l'article 8A du Traité 
va nécessairement entraîner une 
augmentation sensible des flux 
transfrontaliers de données à 
caractère personnel entre tous les 
acteurs de la vie économique et 
sociale des Etats membres, que ces 
acteurs soient privés ou publics; 
que l'échange de données à 
caractère personnel entre des 
entreprises établies dans des Etats 
membres différents est appelé à se 
développer; que les administrations 
nationales des différents Etais 
membres sont appelées, en 
application du droit commnauta i r e , 
à collaborer et à échanger entre 
elles des données à caractère 
personnel afin de pouvoir exécuter 
leur mission ou exercer des tâches 
pour le compte d'une administration 
d'un autre Etat membre, dans le 
cadre de l'espace sans frontière 
que comporte le marché intérieur; 
- 47 -
(4) considérant que le renforcement 
de la coopération scientifique et 
technique, ainsi que la mise en place 
coordonnée de nouveaux réseaux de 
téléccmmni cat ions dans la 
Commnauté, nécessitent et facilitent 
la circulation transfrontière de 
données à caractère personnel; 
(5) considérant que la différence de 
niveaux de protection de la vie 
privée à l'égard des traitements de 
données à caractère personnel assurés 
dans les Etats membres peut empêcher 
la transmission de ces données du 
territoire d'un Etat membre à celui 
d'un autre Etat membre; que cette 
différence peut dès lors constituer 
un obstacle à l'exercice d'une série 
d'activités économiques à l'échelle 
comnunautaire, fausser la concurrence 
et entraver la mission des 
administrations intervenant dans le 
champ d'application du droit 
conminautaire ; que cette différence 
de niveaux de protection résulte de 
la disparité des dispositions 
nationales législatives, 
réglementaires et administratives; (6) considérant, en outre, que le 
renforcement de la coopération 
scientifique et technique, ainsi 
que la mise en place coordonnée de 
nouveaux réseaux de 
télécommnications dans la 
Commnauté nécessitent et 
facilitent la circulation 
transfrontalière de données à 
caractère personnel; 
(7) considérant que la différence 
de niveaux de protection des droits 
et libertés des personnes, et 
notamment de la vie privée, à 
l'égard des traitements de données 
à caractère personnel assurés dans 
les Etats membres peut empêcher la 
transmission de ces données du 
territoire d'un Etat membre à celui 
d'un autre Etat membre; que cette 
différence peut dès lors constituer 
un obstacle à l'exercice d'une 
série d'activités économiques ä 
l'échelle comnunautaire, fausser la 
concurrence et entraver la mission 
des administrations intervenant 
dans le champ d'application du 
droit ccmmnautaire; que cette 
différence de niveaux de protection 
résulte de la disparité des 
dispositions nationales 
législatives, réglementaires et 
arimi n is trat ives; 
- 48 -
(6) considérant que, pour éliminer 
les obstacles à la circulation des 
données à caractère personnel, le 
niveau de protection de la vie privée 
à l'égard des traitements de ces 
données doit être équivalent dans 
tous les Etats membres; qu'il est, 
pour cela, nécessaire de rapprocher 
les législations applicables en la 
matière; (8) considérant que, pour éliminer 
les obstacles à la circulation des 
données à caractère personnel, le 
niveau de protection des droits et 
libertés des personnes à l'égard 
des traitements de ces données doit 
être équivalent dans tous les Etats 
membres; que cet objectif, 
fondamental pour le marché 
intérieur, ne peut pas être réalisé 
par la seule action des Etats 
membres, compte tenu en particulier 
de l'ampleur des divergences qui 
existent actuellement entre les 
législations nationales applicables 
en la matière et de la nécessité de 
coordonner les législations des 
Etats membres pour que le flux' 
transfrontalier de données à 
caractère personnel soit réglementé 
d'une manière cohérente et conforme 
à l'objectif du marché intérieur au 
sens de l'article 8A du Traité; 
qu'une intervention de la 
Ccmnunauté visant à un 
rapprochement des législations est 
donc nécessaire; 
- 49 -
(7) considérant que l'objet des 
législations nationales relatives au 
traitement des données à caractère 
personnel est d'assurer le respect 
des droits fondamentaux, notanment le 
droit à la vie privée reconnu 
également dans l'article 8 de la 
Convention de sauvegarde des droits 
de l'homne et des libertés 
fondamentales et dans les principes 
généraux du droit carmunautaire ; que, 
pour cette raison, le rapprochement 
de ces législations ne doit pas 
conduire à affaiblir la protection 
qu'elles assurent mais doit, au 
contraire, avoir pour objectif de 
garantir un haut niveau de protection 
dans la Commnauté; 
(22) considérant que les principes 
contenus dans la présente directive 
concrétisent et amplifient ceux 
contenus dans la convention du 28 
janvier 1981 du Conseil de l'Europe 
pour la protection des personnes à 
l'égard du traitement automatisé des 
données à caractère personnel. (9) considérant que l'objet des 
législatic T nationales relatives 
au traitem r.t des données à 
caractère personnel est d'assurer 
le respect des droits et libertés 
fondamentaux, notanment du droit à 
la vie privée reconnu également 
dans l'article 8 de la Convention 
européenne de sauvegarde des droits 
de l'homne et des libertés 
fondamentales et dans les principes 
généraux du droit ccmmnautai re ; 
que, pour cette raison, le 
rapprochement de ces législations 
ne doit pas conduire à affaiblir la 
protection qu'elles assurent mais 
doit, au contraire, avoir pour 
objectif de garantir un haut niveau 
de protection dans la Conmunauté; 
(10) considérant que les principes 
de la protection des droits et des 
libertés des personnes, et 
notanment du respect de la vie 
privée, contenus dans la présente 
directive concrétisent et 
amplifient ceux contenus dans la 
convention du 28 janvier 1981 du 
Conseil de l'Europe pour la 
protection des personnes à l'égard 
du traitement automatisé des 
données à caractère personnel; 
- 50 -
(9) considérant que les principes de 
la protection doivent s'appliquer à 
tous les fichiers dès lors que les 
activités du responsable du fichier 
relèvent du champ d'application du 
droit comnunautaire; que les fichiers 
du secteur public qui ne relèvent pas 
du champ d'application du droit 
carmunautaire devraient être soumis 
aux mêmes principes de la protection 
repris dans les législations 
nationales, ccrrme le prévoit la 
résolution des représentants des 
gouvernements des Etats membres des 
Conmunautés européennes réunis au 
sein du Conseil du que, 
toutefois, doivent être exclus les 
fichiers relevant exclusivement de 
l'exercice du droit à la vie privée 
d'une personne physique, comme les 
fichiers personnels d'adresses; (il) considérant que les principes 
de la protection doivent 
s'appliquer à tous les traitements 
des données à caractère personnel 
dès lors que les activités du 
responsable du traitement relèvent 
du champ d'application du droit 
conmunautaire ; que les traitements 
effectués par les administrations, 
organisations, et entités d'un Etat 
membre pour la poursuite 
d'activités qui ne relèvent pas du 
champ d'application du droit 
carmunautaire devraient être soumis 
aux mêmes principes de la 
protection que ceux repris dans les 
législations nationales, canne le 
prévoit la résolution des 
représentants des gouvernements des 
Etats membres des Conmunautés 
européennes réunis au sein du 
Conseil du ...; que doivent être 
exclus les traitements effectués 
par une personne physique à des 
fins exclusivement privées, corme 
ceux relatifs à la correspondance 
et à la tenue de répertoires 
d'adresses; 
- 51 -
(10) considérant qu'il est nécessaire 
que tout traitement de données à 
caractère personnel dans la 
Ccmnunauté respecte la législation de 
l'Etat membre dans lequel le fichier 
est localisé afin d'éviter qu'une 
personne échappe à la protection qui 
doit lui être garantie en vertu de la 
présente directive; que, à cet égard, 
chaque partie d'un fichier réparti 
dans plusieurs Etats membres doit 
être considérée ccnme un fichier à 
part entière et la délocalisation 
dans un pays tiers ne doit pas 
empêcher cette protection; (12) considérant qu'il est 
nécessaire, afin d'éviter qu'une 
personne soit exclue de la 
protection qui lui est garantie en 
vertu de la présente directive, que 
tout traitement de données à 
caractère personnel effectué dans 
la Corrmunauté respecte la 
législation de l'un des Etats 
membres; que, à cet égard, il est 
opportun de soumettre les 
traitements effectués par toute 
personne établie dans un Etat 
membre à l'application de la 
législation de cet Etat; que 
l'établissement dans un pays tiers 
du responsable des traitements ne 
doit pas faire obstacle à la 
protection des personnes prévue par 
la présente directive; que, dans ce 
cas, il convient de soumettre les 
traitements effectués à la loi de 
l'Etat membre dans lequel des 
moyens utilisés pour les 
traitements en cause sont localisés 
et de prendre des garanties pour 
que les droits et obligations 
prévues par la présente directive 
soient effectivement respectés; 
- 52 -
(12) considérant que les législations 
nationales peuvent préciser, dans les 
conditions prévues par la directive, 
les règles relatives à la légitimité 
du traitement; que, toutefois, une 
telle possibilité ne peut servir de 
fondement pour un contôle d'un Etat 
membre autre que l'Etat de 
localisation du fichier, étant donné 
que l'obligation de ce dernier 
d'assurer, conformément à la présente 
directive, la protection de la vie 
privée à l'égard du traitement des 
données à caractère personnel est 
suffisante, au regard du droit 
comrunautaire, pour permettre la 
libre circulation des données; (13) considérant que les Etats 
membres peuvent préciser dans leur 
législation ou dans la mise en 
oeuvre des dispositions prises en 
application de la présente 
directive, les conditions générales 
dans lesquelles les traitements 
sont licites; que toutefois de 
telles précisions ne peuvent servir 
de fondement pour le contrôle d'un 
Etat membre autre que celui où 
réside le responsable du 
traitement, étant donné que 
l'obligation de ce dernier Etat 
membre d'assurer, conformément à la 
présente directive, la protection 
des droits et libertés à l'égard du 
traitement des données à caractère 
personnel est suffisante, au regard 
du droit carmunautaire, pour 
permettre la libre circulation des 
données ; 
- 53 -
(14) considérant que les principes 
de la protection trouvent leur 
expression, d'une part, dans les 
obligations mises à la charge des 
personnes, autorités publiques, 
entreprises ou organismes, qui 
mettent en oeuvre des traitements, 
ces obligations concernant en 
particulier la qualité des données, 
la sécurité technique, la 
notification à l'autorité de 
contrôle, les fondements des 
traitements, l'un d'eux pouvant 
être le consentement de la personne 
concernée, et, d'autre part, dans 
les droits donnés aux personnes 
dont les données font l'objet des 
traitements d'être informées sur 
ceux-ci, de pouvoir accéder aux 
données, de demander la 
rectification de celles-ci, voire 
de s'opposer aux traitements; 
(15) considérant que tout 
traitement de données à caractère 
personnel doit être effectué 
loyalement et licitement vis à vis 
des personnes concernées; qu'il 
doit en particulier porter sur des 
données pertinentes et non 
excessives au regard des finalités 
poursuivies; que ces finalités 
doivent être explicites et 
1ég i t ime s ; 
- 54 -
(11) considérant que tout traitement 
de données à caractère personnel doit 
être légitime; que cette légitimité 
doit être fondée sur le consentement 
de la personne concernée ou sur le 
droit ccnminautaire ou sur les 
législat ions nationales; (16) considérant que, pour être 
licite, un traitement de données à 
caractère personnel doit être fondé 
sur le consentement de la personne 
concernée ou sur la conclusion ou 
l'exécution d'un contrat liant la 
personne concernée ou sur le droit 
comnunautaire ou encore sur la loi 
nationale, l'intérêt général ou un 
intérêt particulier, à condition 
que la personne concernée n'ait pas 
de raisons légitimes de s'y 
opposer; qu'en particulier, en vue 
d'assurer l'équilibre des intérêts 
en cause, tout en garantissant une 
concurrence effective, les Etats 
membres peuvent préciser les 
conditions dans lesquelles les 
coraainications à des tiers de 
données à caractère personnel 
peuvent être effectuées à des fins 
de prospection commerciale ou de 
prospection faite par une 
association à but caritatif ou par 
d'autres associations ou 
fondations, notanment à caractère 
politique, dans le respect de 
dispositions visant à permettre aux 
personnes concernées de s'opposer 
sans motif et sans frais à la 
ccmrunication des données les 
concernant ; 
- 55 -
(16) considérant que pour faire 
l'objet d'un traitement, les données 
doivent répondre à certaines 
exigences; que le traitement des 
données qui sont susceptibles par 
leur nature même de porter atteinte 
au droit à la vie privée doit être 
interdit sauf consentement explicite 
de la personne concernée; que, 
toutefois pour des motifs d'intérêt 
public important, notamment pour les 
professions médicales, des 
dérogations peuvent être prévues sur 
la base d'une loi qui fixe 
précisément et strictement les 
conditions et limites du traitement 
de ce type de données; 
(18) cons ide± ant que dans le domaine 
des médias, les Etats membres peuvent 
prévoir des dérogations aux 
dispositions de la présente directive 
dans la mesure où elles visent, a 
concilier le droit à la vie privée 
avec la liberté de l'information et 
le droit de recevoir ou de 
ccranuniquer des informations, tel que 
garanti notanment dans l'article 10 
de la convention de sauvegarde des 
droits de l'hcnme et des libertés 
f ondamentales ; (17) considérant, par ailleurs, que 
les données qui sont susceptibles 
par leur nature de porter atteinte 
aux libertés fondamentales ou à la 
vie privée ne devraient pas faire 
l'objet d'un traitement, sauf 
consentement écrit de la personne 
concernée; que cependant le 
traitement de ces données doit être 
autorisé lorsqu'il est effectué par 
une association dont l'objet est de 
servir l'exercice de ces libertés; 
qu'en outre, pour des motifs 
d'intérêt public important, 
notarrment pour les professions 
médicales, des dérogations peuvent 
être prévues sur la base d'une 
disposition législative ou d'une 
autorisation de l'autorité de 
contrôle qui fixent les limites et 
les garanties appropriées pour le 
traitement de ces types de données; 
(18) considérant que le traitement 
de données à caractère personnel à 
des fins journalistiques doit 
bénéficier des dérogations aux 
dispositions de la présente 
directive nécessaires à la 
conciliation des droits 
fondamentaux de la personne avec la 
liberté d'expression, et notarrment 
la liberté de recevoir ou de 
carrmun i que r des informations, telle 
que garantie notanment dans 
l'article 10 de la convention 
européenne de la sauvegarde des 
droits de l'hcnme et des libertés 
f ondamenta1 es ; 
18) 
- 56 -
(14) considérant que la personne 
concernée doit bénéficier d'une 
information effective et complète 
pour que son consentement soit valide 
ainsi que lorsque des données la 
concernant sont récoltées auprès 
d'elle; 
(15) considérant que la personne 
concernée doit pouvoir bénéficier du 
droit d'accès afin de pouvoir 
s'assurer de la légitimité du 
traitement des données la concernant 
et de leur qualité; 
(17) considérant que la protection de 
la vie privée à l'égard des données à 
caractère personnel exige que des 
mesures de sécurité appropriées 
soient prises, au niveau tant de la 
conception que de la technologie du 
traitement, afin d'empêcher tout 
traitement non autorisé; (19) considérant que le traitement 
loyal des données suppose que les 
personnes concernées puissent 
connaître l'existence des 
traitements et bénéficier d'une 
information effective et complète 
lorsque des données sont collectées 
auprès d'elles, ainsi qu'au plus 
tard lors de la première 
carminication à un tiers de données 
les concernant, si l'information 
n'a pas été faite à la collecte; 
(20) considérant que toute personne 
doit pouvoir bénéficier du droit 
d'accès aux données la concernant 
qui font l'objet d'un traitement, 
afin de s'assurer de leur 
exactitude et de la licéité de 
leur traitement; qu'en conséquence 
toute personne doit pouvoir 
bénéficier d'un droit d'opposition, 
pour des raisons légitimes, au 
traitement des données; 
(21) considérant que la protection 
des droits et libertés des 
personnes concernées à l'égard des 
traitements de données à caractère 
personnel exige que des mesures 
techniques appropriées soient 
prises au monent tant de la 
conception des technologies que de 
la mise en oeuvre des traitements 
en particulier en vue d'en assurer 
la sécurité et d'empêcher par là 
tout traitement non autorisé; 
- 57 -
(13) considérant que les procédures 
de notification, pour les fichiers du 
secteur public ou privé, et 
d'information lors de la première 
ccmrunication, pour les fichiers du 
secteur privé, ont pour objet 
d'assurer la transparence 
indispensable à l'exercice du droit 
d'accès de la personne concernée aux 
données la concernant; (22) considérant que les procédures 
de notification ont pour objet 
d'organiser la publicité des 
finalités des traitements, ainsi 
que de leurs principales 
caractéristiques en vue de leur 
contrôle au regard des dispositions 
nationales prises en application de 
la présente directive; qu'afin 
d'éviter des formalités 
administratives inadéquates, des 
exonérations ou des simplifications 
de la notification doivent être 
prévues par les Etats membres pour 
les traitements qui ne portent pas 
atteinte aux droits et libertés des 
personnes concernées, dès lors 
qu'ils sont conformes à un acte 
pris par l'Etat membre qui en 
précise les limites; 
- 58 -
(23) considérant que le contrôle a 
posteriori par les autorités 
compétentes doit être en général 
considéré canne une mesure 
suffisante; que cependant les Etats 
membres doivent prévoir un examen 
par l'autorité de contrôle 
préalablement à la mise en oeuvre 
des traitements présentant des 
risques particuliers au regard des 
droits et libertés des personnes 
concernées, du fait de leur nature, 
de leur portée ou de leur finalité, 
tels que ceux qui ont pour objet 
d'exclure les personnes concernées 
du bénéfice d'un droit, d'une 
prestation ou d'un contrat; que 
les Etats membres ont la faculté de 
remplacer cet examen préalable par 
une mesure législative ou une 
décision de l'autorité de contrôle 
autorisant le traitement et 
précisant les garanties 
appropr i ées; 
- 59 -
(20) considérant que, en cas de non 
respect des dispositions prévues dans 
la présente directive, le responsable 
du fichier doit être considéré, dans 
une action en dcmnages et intérêts, 
carme responsable; que des sanctions 
dissuasivés doivent être appliquées 
afin d'assurer une protection 
effective; (24) considérant qu'en cas de non 
respect des droits des personnes 
concernées par le responsable du 
traitement, un recours 
juridictionnel doit être prévu par 
les législations nationales; que 
les darmages que peuvent subir les 
personnes du fait d'un traitement 
illicite doivent être réparés par 
le responsable du traitement, 
lequel ne peut être exonéré de sa 
responsabilité que s'il prouve 
qu'il a pris les mesures de 
sécurité appropriées; que des 
sanctions dissuasivés doivent être 
appliquées à toute personne, tant 
de droit privé que de droit public, 
qui ne respecte pas les 
dispositions nationales prises en 
application de la présente 
d i reet ive; 
- 60 -
(21) considérant qu'il est également 
nécessaire que le transfert de 
données à caractère personnel puisse 
avoir lieu avec les pays tiers ayant 
un niveau de protection adéquat; que, 
en l'absence d'une telle protection 
dans des pays tiers, la présente 
directive prévoit, en particulier, 
des procédures de négociation avec 
ceux-ci ; (25) considérant que des flux 
transfrontaliers de données à 
caractère personnel sont 
nécessaires au développement des 
échanges internationaux; que la 
protection des personnes garantie 
dans la Comnunauté par la présente 
directive ne s'oppose pas aux 
transferts de données à caractère 
personnel vers des pays tiers 
assurant un niveau de protection 
adéquat; que le caractère adéquat 
du niveau de protection offert par 
un pays tiers doit s'apprécier au 
regard de toutes les circonstances 
relatives à un transfert ou à une 
catégorie de transferts; 
- 61 -
(26) considérant, en revanche, que 
lorsqu'un pays tiers n'offre pas un 
niveau de protection adéquat, le 
transfert de données à caractère 
personnel vers ce pays doit être 
interdit; que des exceptions à 
cette interdiction doivent être 
prévues dans certaines 
circonstances dans lesquelles la 
personne concernée a donné son 
consentement ou a été informée, ou 
dans lesquelles la sauvegarde de 
l'intérêt public l'exige; que des 
mesures particulières peuvent être 
prises pour pallier l'insuffisance 
du niveau de protection dans un 
pays tiers lorsque le responsable 
du traitement présente des 
garanties appropriées; qu'en outre, 
des procédures de négociation entre 
la Ccnmunauté et les pays tiers en 
cause doivent être prévues; 
(27) considérant que les Etats 
membres peuvent également prévoir 
le recours à des codes de conduite 
nationaux élaborés par les milieux 
professionnels, soumis pour avis à 
l'autorité de contrôle, en vue 
d'adapter aux spécificités des 
traitements effectués dans certains 
secteurs les dispositions 
nationales prises en application de 
la présente directive; 
- 62 -
(19) considérant que les Etats 
membres doivent encourager 
l'élaboration, par les milieux 
professionnels, de codes de 
déontologie ou de bonne conduite 
européens concernant certains 
secteurs particuliers; que la 
Canmission soutiendra de telles 
initiatives et en tiendra compte 
lorsqu'elle examinera l'opportunité 
de nouvelles mesures spécifiques pour 
certains secteurs; 
(23) considérant que l'existence dans 
chaque Etat membre d'une autorité de 
contrôle indépendante est un élément 
essentiel de la protection des 
personnes à l'égard du traitement des 
données à caractère personnel; que, 
au niveau comnunautaire, un Groupe de 
protection des données à caractère 
personnel doit être instauré et 
exercer ses fonctions en toute 
indépendance; que, compte tenu de ce 
caractère spécifique, il doit 
conseiller la Ccmnission et 
contribuer à l'application homogène 
des règles nationales prises en 
application de la présente directive; (28) considérant que les Etats 
membres doivent encourager les 
milieux professionnels à élaborer 
des codes de conduite 
carmunautai res en vue de favoriser 
la mise en oeuvre de la présente 
directive; que la Ccmnission 
soutiendra de telles initiatives et 
en tiendra compte lorsqu'elle 
examinera l'opportunité de mesures 
additionnelles spécifiques pour 
certains secteurs; 
(29) considérant que l'institution 
dans chaque Etat membre d'une 
autorité de contrôle indépendante 
est un élément essentiel de la 
protection des personnes à l'égard 
du traitement des données à 
caractère personnel; que cette 
autorité doit être dotée des moyens 
nécessaires à la poursuite de cette 
tâche, qu'il s'agisse des pouvoirs 
d'investigation ou d'intervention 
ou des pouvoirs qui lui sont donnés 
dans le cadre des procédures de 
notification; qu'elle doit 
contribuer à la transparence des 
traitements effectués dans l'Etat 
membre dont elle relève ; que les 
autorités des différents Etats 
membres seront appelées à se prêter 
mutuellement assistance dans la 
réalisation de leurs tâches; 
- 63 -
(24) considérant que l'adoption des 
mesures ccmplémentaires pour 
l'application des principes de la 
présente directive nécessite 
l'attribution d'un pouvoir 
réglementaire à la Ccmnission et 
l'établissement d'un comité 
consultatif selon les modalités 
fixées dans la dé Ision 87/373/CEE du 
Conseil (l), 
(8) considérant que les principes de 
la protection de la vie privée à 
l'égard du traitement des données à 
caractère personnel faisant l'objet 
de la directive pourront être 
ccmplétés ou précisés, notanment pour 
certains secteurs, par des règles 
spécifiques conformes à ces 
principes ; (30) considérant que, au niveau 
carmunautaire, un Groupe de 
protection des personnes à l'égard 
du traitement des données à 
caractère personnel doit être 
instauré et qu'il doit exercer ses 
fonctions en toute indépendance; 
que, compte tenu de ce caractère 
spécifique, il doit conseiller la 
Cotimission et contribuer notanment 
à l'application hanogène des règles 
nationales prises en application de 
la présente directive; 
(31) considérant que l'adoption des 
mesures complémentaires pour 
l'application des principes de la 
présente directive nécessite 
l'attribution d'un pouvoir 
réglementaire à la Ccmnission et 
l'établissement d'un comité 
consultatif selon les modalités 
fixées dans la décision 87/373/CEE 
du Conse i1 (1) ; 
(32) considérant que les principes 
de la protection des droits et des 
libertés des personnes, et 
notanment du respect de la vie 
privée à l'égard du traitement des 
données à caractère personnel 
faisant l'objet de la présente 
directive pourront être ccmplétés 
ou précisés, notarrment pour 
certains secteurs, par des règles 
spécifiques conformes à ces 
pr ine ipes; 
A ARRETE LA PRESENTE DIRECTIVE 64 -
(33) considérant qu'il convient de 
laisser aux Etats membres un délai 
ne pouvant pas excéder trois ans à 
compter de l'entrée en vigueur des 
mesures nationales de transposition 
de la présente directive, pour leur 
permettre d'appliquer 
progressivement à l'ensemble des 
traitements déjà mis en oeuvre les 
nouvelles dispositions nationales 
susvi sées; 
(34) considérant que la présente 
directive ne s'oppose pas à ce 
qu'un Etat membre réglemente les 
activités de prospection 
carmerciale à destination des 
consoranateurs résidant sur son 
territoire, dans la mesure où cette 
réglementation ne concerne pas la 
protection des personnes au regard 
des traitements de données à 
caractère personnel, 
A ARRETE LA PRESENTE DIRECTIVE: 
(1) Jo n°C 197 du 18.7.1987, p. 33 (1) Jo n° L 197 du 18.7.1987, p. 33 
- 65 -
CHAPITRE I 
DISPOSITIONS GENERALES 
Article premier 
Objet de la directive 
1. Les Etats membres assurent, 
conformément aux dispositions de la 
présente directive, la protection de 
la vie privée des personnes à l'égard 
du traitement des données à caractère 
personnel contenues dans des 
fichiers. 
2. Les Etats membres ne peuvent 
restreindre ou interdire la libre 
circulation des données à caractère 
personnel entre Etats membres pour 
des raisons relatives à la protection 
assurée en vertu du paragraphe 1. 
Ar t i c1 e 2 
Déf ini t i ons 
Aux fins de la présente directive, on 
entend par: CHAPITRE 1 
DISPOSITIONS GENERALES 
Article premier 
Objet de la directive 
1. Les Etats membres assurent, 
conformément aux dispositions de 
la présente directive, la 
protection des droits et des 
libertés des personnes physiques, 
et notanment du droit à la vie 
privée, à l'égard du traitement 
des données à caractère personnel. 
2. Les Etats membres ne peuvent 
restreindre ou interdire la libre 
circulation des données à 
caractère personnel entre Etats 
membres pour des raisons relatives 
à la protection assurée en vertu 
du paragraphe 1. 
Ar t i c1 e 2 
Déf ini t i ons 
Aux fins de la présente directive, 
on entend par: 
- 66 -
a) "données à caractère personnel", 
toute information concernant une 
personne physique identifiée ou 
identifiable "personne concernée"; 
est notanment réputée identifiable 
une personne qui peut être identifiée 
par référence à un numéro 
d'identification ou à une information 
s imi lai re ; a) "données à caractère 
personnel", toute information 
concernant une personne physique 
identifiée ou identifiable 
("personne concernée"); est 
réputée identifiable une personne 
qui peut être identifiée, 
directement ou indirectement, 
notanment par référence à un 
numéro d'identification ou à un ou 
plusieurs éléments spécifiques, 
propres à son identité physique, 
physiologique, psychique, 
économique, culturelle ou sociale. 
Ne sont pas considérées cotrme à 
caractère personnel les données 
agrégées sous forme statistique, 
de telle sorte que les personnes 
concernées ne sont plus 
raisonnablement identifiables. 
b) "rendre anonyme", une 
modification des données à caractère 
personnel de sorte que les 
informations qui y sont contenues ne 
peuvent plus être associées à une 
personne physique déterminée ou 
déterminable, ou moyennant seulement 
un effort excessif en personnel, en 
frais et en temps ; 
- 67 -
d) "traitement", les opérations 
effectuées ou non à l'aide de 
procédés automatisés: enregistrement, 
conservation, interconnexion de 
données, leur modification, leur 
utilisation et leur comminication, 
notanment la transmission, la 
diffusion, l'extraction ainsi que le 
verrouillage, l'effacement et la 
destruction; 
c) "fichier de données à caractère 
personnel" (fichier), tout ensemble 
de données à caractère personnel, 
centralisées ou réparties sur 
plusieurs sites, faisant l'objet d'un 
traitement automatisé ou qui, bien 
que ne le faisant pas, sont 
structurées et accessibles dans une 
collection organisée selon des 
critères déterminés de manière à 
faciliter l'utilisation ou 
l'interconnexion des données; b) "traitement de données à 
caractère personnel" ("traite­
ment"), toute opération ou 
ensemble d'opérations effectuées 
ou non à l'aide de procédés 
automatisés, et appliquées à des 
données à caractère personnel, 
telles que la collecte, 
l'enregistrement, l'organisation, 
la conservation, l'élaboration ou 
la modification, l'extraction, la 
consultation, l'utilisation, la 
ccmnunication par transmission, 
diffusion ou toute autre forme de 
mise à disposition, le 
rapprochement ou interconnexion, 
ainsi que le verrouillage, 
l'effacement ou la destruction; 
c) "fichier de données à caractère 
personnel" ("fichier"), tout 
ensemble structuré de données à 
caractère personnel, centralisées 
ou réparties sur plusieurs sites 
et accessibles selon des critères 
déterminés ayant pour objet ou 
pour effet de faciliter 
l'utilisation ou le rapprochement 
de données relatives à la ou aux 
personnes concernées. 
- 68 -
e) "responsable du fichier", la 
personne physique ou morale, 
l'autorité publique, le service ou 
tout autre organisme qui est 
compétent selon le droit 
cotnmnautaire ou la loi nationale 
d'un Etat membre, pour décider quelle 
sera la finalité du fichier, quelles 
catégories de données à caractère 
personnel doivent être enregistrées, 
quelles opérations leur seront 
appliquées et quels sont les tiers 
qui peuvent y avoir accès; d) "responsable du traitement", 
la personne physique ou morale, 
l'autorité publique, le service ou 
tout autre organisme qui traite ou 
fait traiter des données à 
caractère personnel et décide des 
finalités et objectifs du 
traitement, des données à 
caractère personnel traitées, des 
opérations qui leur sont 
appliquées et des tiers pouvant 
avoir connaissance des dites 
données ; 
e) "agent traitant", la personne 
physique ou morale qui traite des 
données à caractère personnel pour 
le compte du responsable du 
trai tement; 
f) "tiers", les personnes 
physiques ou morales autres que la 
personne concernée, le responsable 
du traitement, et les personnes 
habilitées à traiter les données 
agissant sous son autorité directe 
ou pour son compte; 
- 69 -
(Artide 12 
Le consentement informe) 
Tout consentement de la personne 
concernée à un traitement de données 
à caractère personnel la concernant 
au sens de la présente directive 
n'est valable que si : 
a) la personne dispose des 
informations suivantes : 
- les finalités du fichier et les 
types de données enregistrées; 
- le type d'utilisation et, le cas 
échéant, les destinataires des 
données à caractère personnel 
contenues dans le fichier; 
- le non et l'adresse du responsable 
du fichier; 
b) il est spécifique et exprès, et 
doit préciser les types de données, 
les formes de traitement et les 
destinataires éventuels qu'il couvre; 
c) il peut être retiré par la 
personne concernée à tout moment sans 
effets rétroactifs. 
f) "autorité de contrôle", l'autorité 
publique indépendante, ou tout autre 
instance indépendante, désignée par 
chaque Etat membre en conformité avec 
l'article 26; g) "consentement de la personne 
concernée", toute manifestât ion 
explicite de volonté par laquelle 
la personne concernée, accepte que 
des données à caractère personnel 
la concernant fassent l'objet d'un 
traitement, à condition qu'elle 
dispose des informations relatives 
aux finalités du traitement, aux 
données ou catégories de données 
sur lequel il porte, aux 
destinataires des données à 
caractère personnel, ainsi qu'au 
ncm et à l'adresse du responsable 
du traitement et, le cas échéant, 
de son représentant; 
Le consentement est libre et 
spécifique et peut être retiré par 
la personne concernée à tout 
moment, sans effet rétroactif. 
- 70 -
g) "secteur public", l'ensemble des 
administrations, organisations et 
entités d'un Etat membre relevant du 
droit public, à l'exception de celles 
qui participent à une activité 
industrielle ou coranerciale, ainsi 
que les organismes et entités de 
droit privé lorsqu'ils participent à 
l'exercice de l'autorité publique; 
h) "secteur privé", toute personne 
physique ou morale, ou association, y 
inclus les administrations, 
organisations et entités du secteur 
public, dans la mesure où elles 
exercent une activité industrielle ou 
ccrrmerciale. 
Article 3 
Champ d'application 
1. Les Etats membres appliquent les 
dispositions de la présente directive 
aux fichiers du secteur privé et du 
secteur public à l'exclusion des 
fichiers du secteur public dont les 
activités ne relèvent pas du champ 
d'application du droit carmunautaire. Article 3 
Champ d'application 
1. Les dispositions de la présente 
directive s'appliquent aux 
traitements de données à caractère 
personnel automatisés en tout ou 
partie, ainsi qu'aux traitements 
non automatisés de données à 
caractère personnel contenues ou 
appelées à figurer dans des 
f i chi ers. 
- 71 -
2. Les dispositions de la présente 
directive ne s'appliquent pas aux 
f i chi ers : 
a) détenus par une personne physique 
exclusivement à des fins privées et 
personnelles 
ou 
b) détenus par des associations sans 
but lucratif notanment à caractère 
politique, philosophique, religieux, 
culturel, syndical, sportif ou de 
loisir, dans le cadre de leur but 
légitime et à condition qu'ils ne se 
rapportent qu'aux seuls membres et 
correspondants de l'association ayant 
consenti à y figurer et qu'ils ne 
soient pas ccranuniqués à des tiers. 
Art i cl e 4 2. Les dispositions de la présente 
directive ne s'appliquent pas: 
aux traitements mis en oeuvre 
pour l'exercice d'activités qui 
ne relèvent pas du champ 
d'application du droit 
commnautai re ; 
aux traitements de données à 
caractère personnel, effectués 
par une personne physique pour 
l'exercice d'activités 
exclusivement privées et 
personnel les. 
Article 4 
Droit applicable 
1. Chaque Etat membre applique les 
dispositions de la présente 
di rect ive : Droit national applicable 
1. Chaque Etat membre applique les 
dispositions nationales prises par 
la mise en oeuvre de la présente 
directive à tous les traitements 
de données à caractère personnel: 
a) à tous les fichiers localisés sur 
son territoire; 
- 72 -
b) au responsable du fichier qui 
réside sur son territoire et utilise 
depuis celui-ci un fichier localisé 
dans un pays tiers dont la 
législation n'a pas un niveau de 
protection adéquat, à moins que cette 
utilisation ne soit que sporadique. a) dont le responsable est établi 
sur son territoire ou relève de sa 
compétence ; 
b) dont le responsable n'est pas 
établi sur le territoire de la 
Communauté, lorsque ce responsable 
recourt, aux fins de traitements 
de données à caractère personnel, 
à des moyens, automatisés ou non, 
localisés sur le territoire dudit 
Etat membre. 
2. Chaque Etat membre applique les 
dispositions des articles 5, 6, 8, 9, 
10, 17, 18 et 21 à l'utilisateur qui 
consulte un fichier localisé dans un 
pays tiers à partir d'un terminal 
localisé sur le territoire d'un Etat 
membre, à moins que cette utilisation 
ne soit que sporadique. 
3. Lorsqu'un fichier est déplacé 
temporai rement d'un Etat membre vers 
un autre Etat membre, ce dernier 
n'oppose aucun obstacle et n'exige 
aucune formalité additionnelle aux 
règles applicables dans l'Etat membre 
de localisation permanent du fichier. 2. Dans le cas visé au paragraphe 
1 lettre b), le responsable du 
traitement doit désigner un 
représentant établi sur le 
territoire dudit Etat membre, qui 
est subrogé dans les droits et 
obligations du responsable. 
- 73 -
CHAPITRE II 
LES CONDITIONS GENERALES DE 
LICEITE DES TRAITEMENTS DE DCNNEES 
A CARACTERE PERSONNEL 
Article 5 
Les Etats membres prévoient que 
les traitements de données à 
caractère personnel ne sont 
licites que s'ils sont effectués 
en conformité avec les 
dispositions du présent chapitre. 
Sans préjudice des dispositions du 
présent chapitre, les Etats 
membres peuvent préciser les 
conditions dans lesquelles les 
traitements de données à caractère 
personnel sont licites. 
(CHAPITRE V SECTION I 
QUALITE DES DCNNEES) PRINCIPES RELATIFS A LA QUALITE 
DES DCNNEES 
Article 16 Article 6 
Principes 
1. Les Etats membres prévoient que : 1. Les Etats membres prévoient 
que : 
- 74 -
a) la collecte et le traitement de 
données à caractère personnel 
doivent être effectués loyalement 
et liei tement; 
b) les données doivent être 
enregistrées pour des finalités 
déterminées explicites et 
légitimes et utilisées de manière 
compatible avec ces finalités; 
c) les données doivent être 
adéquates, pertinentes et non 
excessives par rapport aux 
finalités pour lesquelles elles 
sont enregistrées; 
d) les données doivent être exactes 
et, si nécessaire, mises à jour; 
les données inexactes ou 
incomplètes doivent être effacées 
ou rectifiées; a) le traitement de données à 
caractère personnel doit être 
effectué loyalement et 
liei tement; 
b) les données doivent être 
collectées pour des finalités 
déterminées, explicites et 
légitimes, et utilisées de 
manière ccmpatible avec ces 
finalités; 
c) les données doivent être 
adéquates, pertinentes et non 
excessives au regard des 
finalités pour lesquelles elles 
sont traitées; 
d) les données doivent être 
exactes et, si nécessaire, 
mises à jour; toutes les 
mesures doivent être prises 
pour que les données inexactes 
ou incomplètes, au regard des 
finalités pour lesquelles elles 
ont été collectées, soient 
effacées ou rectifiées; 
- 75 -
e) les données ne doivent être 
conservées sous une forme 
permettant l'identification des 
personnes concernées que pendant 
une durée n'excédant pas celle 
nécessaire aux finalités pour 
lesquelles elles ont été 
enregi strées. 
2. Il incombe au responsable du 
fichier d'assurer le respect des 
dispositions prévues au 
paragraphe 1. 
(CHAPITRE II e) les données ne doivent être 
conservées sous une forme 
permettant l'identification des 
personnes concernées que 
pendant une durée n'excédant 
pas celle nécessaire à la 
réalisation des finalités 
poursuivies. Des garanties 
appropriées peuvent être 
prévues par les Etats membres 
pour les données à caractère 
personnel qui sont conservées 
à des fins historiques, 
statistiques ou scientifiques. 
2. Il incombe au responsable du 
traitement d'assurer le respect 
des dispositions prévues au 
paragraphe 1. 
SECTION II 
LEGITIMITE DU TRAITEMENT DANS LE 
SECTEUR PUBLIC) 
Article 5 
Principes 
1. Sous réserve des dispositions de 
l'article 6, les Etats membres 
prévoient dans leur législation 
pour les fichiers relevant du 
secteur public que: PRINCIPES RELATIFS AUX FONDEMENTS 
DES TRAITEMENTS DE DCNNEES 
Art i cl e 7 
Les Etats membres prévoient que le 
traitement de données à caractère 
personnel ne peut être effectué 
que s i: 
- 76 -
a) l'établissement d'un fichier et 
tout autre traitement de données à 
caractère personnel sont légitimes 
dans la mesure où ils sont 
nécessaires pour l'exécution des 
missions de l'autorité publique 
responsable de ce fichier; 
b) le traitement de données pour une 
finalité autre que celle pour 
laquelle le fichier a été établi 
est 1ég i t ime s i: 
la personne concernée y consent, 
ou 
il est effectué sur la base du 
droit comnunautaire ou d'une loi, 
ou d'un acte pris en application 
d'une loi d'un Etat membre 
conforme à la présente directive 
qui l'autorise et en fixe les 
1 imi tes, ou a) la personne concernée a donné 
son consentement, ou 
b) il est nécessaire pour 
l'exécution du contrat passé 
avec la personne concernée ou 
pour l'exécution de mesures 
précontractuelles prises en 
réponse à la demande de celle-
ci, ou 
c) il est nécessaire pour 
respecter une obligation prévue 
dans le droit national ou dans 
la législation comnunautaire, 
ou 
d) il est nécessaire à la 
sauvegarde de l'intérêt vital 
de la personne concernée, ou 
- 77 -
un intérêt légitime de la personne 
concernée ne s'oppose pas à ce 
changement de finalité, ou 
il est nécessaire afin de prévenir 
une menace inminente pour l'ordre 
public ou une atteinte sérieuse au 
droi t d'autrui. 
Article 6 e) il est nécessaire à l'exécution 
d'une mission d'intérêt public 
ou relevant de l'exercice de 
l'autorité publique, dont est 
investi le responsable du 
traitement ou le tiers auquel 
les données sont comnuniquées, 
ou 
f) il est nécessaire à la 
poursuite de l'intérêt général, 
de l'intérêt légitime du 
responsable du traitement ou du 
ou des tiers auxquels les 
données sont cannuniquées, à 
condition que l'intérêt de la 
personne concernée ne prévale 
pas. 
Traitement dans le secteur public 
ayant pour objet la ccranunication de 
données à caractère personnel 
1. Les Etats membres prévoient dans 
leur législation que la 
ccmnunication de données à 
caractère personnel contenues dans 
des fichiers d'une entité du 
secteur public n'est légitime que: 
a) si cela est nécessaire pour 
l'exercice des missions de 
l'entité du secteur public qui 
ccmnunique ou qui demande la 
corrmun i ca t i on de ces données, ou 
- 78 -
b) sur demande d'une personne 
physique ou morale du secteur 
privé qui invoque un intérêt 
légitime, à condition que 
l'intérêt de la personne concernée 
ne prévale pas. 
2. Sans préjudice des dispositions 
visées au paragraphe 1, les Etats 
membres peuvent préciser les 
conditions dans lesquelles la 
carmunication de données à 
caractère personnel est légitime. 
3. Les Etats membres prévoient dans 
leur législation que, dans les cas 
visés au paragraphe 1 point b), le 
responsable du fichier informe les 
personnes concernées de la 
commini cat ion des données à 
caractère personnel. Les Etats 
membres peuvent prévoir que cette 
information est remplacée par une 
autorisation préalable de 
l'autorité de contrôle. 
(CHAPITRE III 
LEGITIMITE DU TRAITEMENT E&NS LE 
SECTEUR PRIVE) 
Article 8 
Principes 
- 79 -
1. Les Etats membres prévoient dans 
leur législation que, sans le 
consentement de la personne 
concernée, l'enregistrement dans 
un fichier et tout autre 
traitement de données à caractère 
personnel ne sont légitimes qu'en 
accord avec les dispositions de 
cette directive et si: 
a) le traitement se situe dans le 
cadre d'un contrat, ou d'une 
relation de confiance quasi 
contractuelle, avec la personne 
concernée et est nécessaire à sa 
réalisation, ou 
b) les données proviennent de sources 
généralement accessibles au public 
et leur traitement est uniquement 
destiné à la correspondance, ou 
c) le responsable du fichier poursuit 
un intérêt légitime à condition 
que l'intérêt de la personne 
concernée ne prévale pas; 
2. Les Etats membres prévoient dans 
leur législation qu'il incombe au 
responsable du fichier de 
s'assurer que toute ccmnunication 
n'est pas inccmpatible avec la 
finalité du fichier et qu'elle ne 
porte pas atteinte à l'ordre 
public. En cas de consultation en 
ligne, les mêmes obligations 
incombent à l'utilisateur. 
- 80 -
3. Sans préjudice des dispositions 
visées au paragraphe 1, les Etats 
membres peuvent préciser les 
conditions dans lesquelles le 
traitement des données à caractère 
personnel est légitime. 
- 81 -
(CHAPITRE V 
QUALITE DES DCNNEES) 
Article 17 
Les catégories particulières de 
données 
1. Les Etats membres interdisent le 
traitement automatisé, sauf accord 
libre, exprès et écrit de la personne 
concernée, des données révélant 
l'origine raciale ethnique, l'opinion 
politique, les convictions 
religieuses ou philosophiques, les 
appartenances syndicales, ainsi que 
les informations relatives à la santé 
et à la vie sexuelle. SBCTION III 
CATEGORIES PARTICULIERES DE 
TRAITEMENTS 
Article 8 
Traitements portant sur des 
catégories particulières de données 
1. Les Etats membres interdisent le 
traitement des données révélant 
l'origine raciale et ethnique, 
l'opinion politique, les 
convictions religieuses, 
philosophiques ou morales, 
l'appartenance syndicale, ainsi que 
les données relatives à la santé et 
à la vie sexuelle. 
2. Les Etats membres prévoient que 
le traitement de données visées au 
paragaphe 1 peut être effectué, 
lorsque : 
a) la personne concernée a donné 
par écrit son consentement à un 
tel traitement, sauf dans les 
cas où la législation de l'Etat 
membre prévoit que 
l'interdiction visée au 
paragraphe 1 ne peut être levée 
par le consentement de la 
personne concernée; 
- 82 -
2. Les Etats membres peuvent prévoir 
pour des motifs d'intérêt public 
importants des dérogations aux 
dispositions du paragraphe 1 sur la 
base d'une loi précisant les types de 
données enregistrables, les personnes 
ayant accès au fichier ainsi que les 
garanties appropriées contre les 
utilisations abusives et les accès 
non autorisés. b) le traitement est effectué par 
une fondation ou par une 
association sans but lucratif, à 
caractère politique, 
philosophique, religieux ou 
syndical, dans le cadre de son 
but légitime et à condition 
qu'il se rapporte aux seuls 
membres et correspondants de la 
fondation ou de l'association, 
et que les données ne soient pas 
conminiquées à des tiers sans le 
consentement des personnes 
concernées ; 
c) le traitement est effectué dans 
des circonstances telles qu'il 
ne porte manifestement pas 
atteinte à la vie privée et aux 
libertés. 
Les traitements visés à la lettre 
b) sont dispensés de l'obligation 
de notification prévue à la section 
VIII du présent chapitre. 
3. les Etats membres peuvent 
prévoir, pour des motif d'intérêt 
public important, des dérogations 
au paragraphe 1, sur la base d'une 
disposition législative nationale 
ou d'une décision de l'autorité de 
contrôle, précisant les types de 
données pouvant faire l'objet d'un 
traitement, les personnes 
destinataires des données, la 
qualité du responsable du 
traitement, ainsi que les garanties 
appropriées. 
- 83 -
3. Les données concernant des 
condamnations pénales ne peuvent être 
conservées que dans des fichiers 
relevant du secteur public. 4. Les données concernant les 
condamnations pénales ne peuvent 
être conservées que par les 
autorités judiciaires et par les 
personnes directement concernées 
par les décisions en cause ou par 
leurs représentants; les Etats 
membres peuvent toutefois prévoir 
des dérogations sur la base d'une 
disposition législative nationale 
précisant les garanties 
appropriées. 
5. Les Etats membres déterminent 
les conditions dans lesquelles un 
numéro national d'identification ou 
tout autre identifiant de portée 
générale peut être utilisé. 
(CHAPITRE VI 
DISPOSITIONS SPECIFIQUES POUR 
CERTAINS SECTEURS) 
Article 19 Article 9 
- 84 -
Les Etats membres peuvent prévoir 
pour les organismes de presse et de 
l'audiovisuel des dérogations aux 
dispositions de la présente 
directive, dans la mesure où elles 
sont nécessaires pour concilier le 
droit à la vie privée avec les règles 
régissant la liberté d'information et 
de la presse. Traitements de données à caractère 
personnel et liberté d'expression 
En vue de concilier le droit à la 
vie privée avec les règles 
régissant la liberté d'expression, 
les Etats membres prévoient pour 
les traitements de données à 
caractère personnel effectués à des 
fins de journalisme par les 
organismes de presse et de 
l'audiovisuel, ainsi que par les 
journalistes, des dérogations aux 
dispositions de la présente 
directive. 
(CHAPITRE IV 
DROIT DE LA PERSONNE CONCERNEE) 
Article 14 
Droits complémentaires de la personne 
concernée 
Les Etats membres reconnaissent à la 
personne concernée les droits 
suivants : 
3) de connaître l'existence d'un 
fichier, ses finalités 
principales, ainsi que l'identité 
et la résidence habituelle, le 
siège ou l'établissement du 
responsable du fichier; SBCTICN IV 
INFORMATION DE LA PERSONNE 
CONCERNEE 
Article 10 
Information sur l'existence d'un 
trai tement 
1. Les Etats membres garantissent à 
toute personne le droit de 
connaître, sur demande, 
l'existence d'un traitement, ses 
finalités, les catégories de 
données sur lesquelles il porte, 
ainsi que les tiers ou catégories 
de tiers à qui les données sont 
ccmnuniquées, le nom et l'adresse 
du responsable du traitement et, le 
cas échéant, de son représentant. 
- 85 -
2. Les Etats membres peuvent 
déroger au paragraphe 1, dans les 
conditions prévues à l'article 14 
paragraphe 1. 
Article 13 Article 11 
L'information lors de la collecte 
1. Les Etats membres garantissent aux 
personnes auprès desquelles sont 
collectées des données à caractère 
personnel le droit à être informées 
au moins sur : 
a) les finalités du fichier auquel 
les informations sont destinées; 
b) le caractère obligatoire ou non de 
leur réponse aux questions qui 
font l'objet de la collecte; 
c) les conséquences à leur égard d'un 
défaut de réponse; 
d) les destinataires des 
informations ; 
e) l'existence du droit d'accès et de 
rectification des données les 
concernant, et Information en cas de collecte de 
données auprès de la personne 
concernée 
1. Les Etats membres prévoient que 
le responsable du traitement doit 
s'assurer que la personne auprès de 
laquelle sont collectées des 
données, soit informée au moins 
sur : 
a) les finalités du traitement 
auquel les données sont 
destinées, et 
b) le caractère obligatoire ou non 
de la réponse aux questions qui 
font l'objet de la collecte, et 
c) les conséquences à son égard 
d'un défaut de réponse, et 
d) le destinataire ou les 
catégories de destinataires des 
données, et 
e) l'existence du droit d'accès aux 
données la concernant et du 
droit de rectification de ces 
données, et 
- 86 -
f) le nom et l'adresse du responsable 
du fichier. 
2. Les dispositions du paragraphe 1 
ne s'appliquent pas à la collecte des 
informations dans le cas où 
l'information de la personne 
concernée empêcherait l'exercice des 
fonctions de contrôle et de 
vérification d'une autorité publique 
ou le maintien de l'ordre public. f) le nom et l'adresse du 
responsable du traitement et, le 
cas échéant, de son 
représentant. 
2. Les dispositions du paragraphe 1 
ne s'appliquent pas à la collecte 
des données dans le cas où 
l'information de la personne 
concernée empêcherait la poursuite 
d'une mission de contôle ou 
d'inspection relevant de l'exercice 
de l'autorité publique ou de la 
collaboration avec une telle 
mission ou empêcherait le maintien 
de l'ordre public. 
(CHAPITRE III 
LEGITIMITE DU TRAITEMENT D\NS LE 
SECTEUR PRIVE) 
Article 9 Article 12 
Obligation d'information de la 
personne concernée lors de la 
première coominication à un tiers Information en cas de ccmmnication 
à un tiers 
- 87 -
1. Les Etats membres, pour le 
secteur privé, prévoient dans leur 
législation que, lors de la première 
communication ou lors de l'ouverture 
d'une possibilité de consultation en 
ligne, le responsable en informe la 
personne concernée et indique 
également la finalité du fichier, les 
types de données qui y figurent et 
ses nom et adresse. 1. Les Etats membres prévoient que 
le responsable du traitement 
s'assure, dans les cas visés aux 
lettres b), c), e) et f) de 
l'article 7, qu'au moment opportun 
et au plus tard lors de la première 
comminication à un tiers, la 
personne concernée est informée de 
cette comminication et, au moins, 
sur : 
a) les nom et adresse du 
responsable du traitement, et le 
cas échéant de son représentant, et 
b) les finalités du traitement, et 
c) les catégories de données sur 
lesquelles porte le traitement, et 
d) le destinataire ou les 
catégories de destinataires, et 
e) l'existence des droits d'accès, 
de rectification et d'opposition. 
2. L'information prévue au 
paragraphe 1 n'est pas obligatoire 
dans le cas visé à l'article 8 
paragraphe 1 point B). L'obligation 
d'informer n'existe pas dans les cas 
où la ccmnunication est imposée par 
une loi. 2. Les dispositions du paragraphe 1 
ne s'appliquent pas, lorsque: 
la coomunication à un tiers ou 
la possibilité de celle-ci ont 
déjà été portées à la 
connaissance de la personne 
concernée: ou 
la cammini ca t i on à un tiers est 
imposée par une loi qui prévoit 
une dérogation à l'obligation 
d'information de la personne 
concernée; ou 
la camminication à un tiers est 
motivée par une des raisons 
énumérées à l'article 14 
paragraphe 1. 
88 -
Artide 10 
Exceptions particulières à 
l'obligation d'informer la personne 
concernée 
Si l'information de la personne 
concernée visée à l'article 9 
paragraphe 1 se révèle impossible ou 
implique des efforts disproportionnés 
ou se heurte à des intérêts légitimes 
prédominants du responsable du 
fichier ou à un intérêt similaire 
d'un tiers, les Etats membres peuvent 
prévoir dans leur législation que 
l'autorité de contrôle peut autoriser 
une dérogation. 3. Si l'information de la personne 
concernée se révèle impossible ou 
implique des efforts 
disproportionnés ou se heurte à des 
intérêts légitimes prédominants du 
responsable du traitement ou à un 
intérêt similaire d'un tiers, les 
Etats membres peuvent prévoir que 
l'autorité de contrôle peut 
autoriser une dérogation prévoyant, 
le cas échéant, des garanties 
appropri ées. 
(CHAPITRE IV 
DROIT DE LA PERSONNE CONCERNEE) SECTION V: DROIT D'ACCES DE LA 
PERSONNE CONCERNEE AUX DCNNEES 
Article 14 Ar t i c1 e 13 
Droits complémentaires de la personne 
concernée : Droit d'accès 
Les Etats membres garantissent 
personne concernée les droits 
suivants : à la Les Etats 
personnes 
suivant s membres reconnaissent aux 
concernées les droits 
- 89 -
4) d'obtenir à des intervalles 
raisonnables et sans délais ou 
frais excessifs la confirmation de 
l'existence ou non, dans un 
fichier, de données à caractère 
personnel la concernant ainsi que 
la corallini cat ion de ces données 
sous une forme intelligible. 1. d'obtenir, sur demande, à des 
intervalles raisonnables et sans 
délais ou frais excessifs, la 
confirmation de l'existence ou 
de l'absence de données à 
caractère personnel la 
concernant, la corallini cat ion de 
ces données sous une forme 
intelligible, ainsi que des 
informations sur leur origine 
et, d'une manière générale, sur 
leur utilisation. 
Les Etats membres peuvent prévoir 
que le droit d'accès aux données à 
caractère médical ne peut 
s'exercer que par l'intermédiaire 
d'un médecin; Les Etats membres peuvent 
prévoir que le droit d'accès aux 
données à caractère médical ne 
peut s'exercer que par 
l'intermédiaire d'un médecin; 
5) d'obtenir, le cas échéant, la 
rectification de ces données ou 
leur effacement ou leur 
verrouillage lorsque leur 
traitement n'est pas conforme aux 
dispositions de la présente 
di ree t ive ; 2. de ne pas être obligé par un 
tiers, sauf si la demande de 
celui-ci est fondée sur la 
législation nationale ou 
comnunautaire, d'exercer son 
droit d'accès en vue de lui 
cotrmuniquer les données en cause 
ou de les carmiuniquer à une 
autre personne; 
3. d'obtenir, selon le cas, la 
rectification des données 
inexactes ou incomplètes, leur 
effacement ou leur verrouillage, 
lorsque leur traitement n'est 
pas conforme aux dispositions de 
la présente directive; 
- 90 -
7) d'obtenir, en cas d'application du 
paragraphe 5 du présent article, 
et si les données ont été 
ccmmniquées à des tiers, la 
notification à ces derniers de la 
rectification, de l'effacement ou 
du verrouillage; 4. d'obtenir, en cas d'application 
du point 3, et si les données 
ont été ccmmniquées à des 
tiers, la notification à ces 
derniers de la rectification, de 
l'effacement ou du verrouillage; 
5. de connaître, sur demande, les 
raisonnements utilisés dans les 
traitements automatisés dont les 
résultats lui sont opposés. 
Article 15 Article 14 
Exceptions au droit d'accès de la Exceptions au droit d'accès 
personne concernée aux fichiers du 
secteur public 
1. Les Etats membres peuvent limiter 
par une loi les droits prévus aux 
points 3 et 4 de l'article 14 pour 
des motifs relatifs à: 1. Les Etats membres peuvent, sauf 
si une disposition de droit 
ccmnunautaire les y oblige, 
limiter l'exercice des droits 
prévus à l'article 10 paragraphe 1 
et à l'article 10 point 1, 
lorsqu'une telle limitation 
constitue une mesure nécessaire à 
la sauvegarde : 
i) la sûreté de l'Etat; a) de la sûreté de l'Etat; 
b) la défense; b) de la défense; 
c) des poursuites pénales; c) des poursuites pénales; 
d) la sécurité publique; d) de la sécurité publique; 
- 91 -
) un intérêt économique et financier 
impératif dûment justifié d'un 
Etat membre ou de la Commnauté; 
f) la nécessité de l'exercice des 
fonctions de contrôle ou 
d'inspection de l'autorité 
publique, ou 
g) un droit équivalent d'une autre 
personne et des droits et libertés 
d'autrui. 
2. Dans les cas visés au para­
graphe 1, l'autorité de contrôle doit 
pouvoir procéder, sur demande de la 
personne concernée, aux vérifications 
nécessaires du fichier. 
3. Les Etats membres peuvent limiter 
le droit d'accès de la personne 
concernée pour les données 
temporairement compilées afin d'en 
extraire des informations 
statistiques. e) d'un intérêt économique et 
financier impératif dûment 
justifié d'un Etat membre ou de 
la Commnauté; 
f) d'une mission de contrôle ou 
d'inspection relevant de 
l'exercice de l'autorité 
publique ou de la collaboration 
à une telle mission; 
g) d'un droit équivalent d'une 
autre personne et des droits et 
libertés d'autrui; 
2. Dans les cas visés au 
paragraphe 1, l'autorité de 
contrôle doit pouvoir procéder, sur 
demande de la personne concernée, 
aux vérifications nécessaires, en 
vue de contrôler la licéité des 
traitements au sens de la présente 
directive dans le respect des 
intérêts à sauvegarder conformément 
au paragraphe 1. 
3. Les Etats membres peuvent 
limiter le droit d'accès de la 
personne concernée à des données 
conservées temporairement sous 
forme personelle et destinées à 
être traitées à des fins 
statistiques de telle sorte que les 
personnes concernées ne soient plus 
raisonnablement identifiables. 
- 92 -
(CHAPITRE IV 
DROIT DE LA PERSONNE CONCERNEE) 
Article 14 
Droits complémentaires de la personne 
concernée 
Les Etats membres reconnaissent à la 
personne concernée les droits 
suivants : 
1. de s'opposer, pour des raisons 
légitimes, à ce que des données à 
caractère personnel la concernant 
fassent l'objet d'un traitement; 
(Article 9) 
3. si la personne concernée oppose 
une objection à la ccmmni cat i on 
ou à tout autre traitement, le 
responsable du fichier est tenu de 
cesser le traitement contesté, 
sauf si une disposition légale l'y 
autori se ; SBCTICN VI : DROIT D'OPPOSITION DE 
LA PERSONNE CONCERNEE 
Article 15 
Opposition pour raisons légitimes 
1. Les Etats membres reconnaissent 
à la personne concernée le droit de 
s'opposer à tout moment, pour des 
raisons légitimes, à ce que des 
données la concernant fassent 
l'objet d'un traitement. 
2. En cas d'opposition justifiée, 
le responsable du traitement est 
tenu de cesser celui-ci. 
- 93 
(Artide 14) 
6. d'obtenir sur demande l'effacement 
sans frais des données la 
concernant enregistrées dans des 
fichiers de prospection 
ccranerciale ou publicitaire; 3. Le responsable du traitement 
doit s'assurer que la possibilité 
de faire effacer sans frais les 
données a été explicitement offerte 
aux personnes concernées, 
préalablement à la commini cat ion à 
des tiers ou à l'usage pour le 
compte de tiers de données à 
caractère personnel à des fins de 
prospection par voie postale; 
Article 14 Article 16 
Droits c omp1 émen t a i r e s de la personne 
concernée 
2. de ne pas être soumise à une 
décision administrative ou privée 
impliquant une appréciation de son 
ccmportement qui ait pour seul 
fondement un traitement automatisé de 
données à caractère personnel donnant 
une définition du profil ou de la 
personnalité de l'intéressé; Décisions individuelles 
au t otna t i s é e s 
1. Les Etats membres reconnaissent 
à toute personne le droit de ne pas 
être soumise à une décision 
administrative ou privée lui 
faisant grief, prise sur le seul 
fondement d'un traitement 
automatisé qui définit un profil de 
personnali té. 
2. Les Etats membres prévoient, 
sans préjudice des autres 
dispositions de la présente 
directive, qu'une personne peut 
être soumise à une décision visée 
au paragraphe 1 si une telle 
déc i s i on : 
94 
a) est prise dans le cadre de la 
conclusion ou de l'exécution 
d'un contrat, à condition que la 
demande de la personne concernée 
ait été satisfaite ou que des 
mesures appropriées, parmi 
lesquelles la possibilité de 
faire valoir son point de vue, 
garantissent la sauvegarde de 
son intérêt légitime; 
b) est autorisée par une loi qui 
précise les mesures garantissant 
la sauvegarde de l'intérêt 
légitime de la personne 
concernée. 
(CHAPITRE V SECTION VI I 
QUALITE DES DCNNEES) LA SBCURITE DES TRAITEMENTS 
Article 18 Article 17 
Sécurité des données 
- 95 -
1. Les Etats membres prévoient dans 
leur législation que le responsable 
du fichier est obligé de prendre les 
mesures techniques et d'organisation 
appropriées, nécessaires à la 
protection du fichier contre la 
destruction, accidentelle ou non 
autorisée, la perte accidentelle, 
ainsi que contre l'altération ou 
l'accès et tout autre traitement non 
autorisé de données à caractère 
personnel. 
Ces mesures doivent assurer pour les 
fichiers automatisés un niveau de 
sécurité approprié compte tenu, d'une 
part, de l'état de l'art en la 
matière et du coût de leur mise en 
oeuvre, et, d'autre part, de la 
nature des données à protéger et de 
l'évaluation des risques potentiels. 
A cette fin, le responsable du 
fichier doit prendre en considération 
les recoranandations en matière de 
sécurité informatique et 
d interopérabilité des réseaux 
élaborées par la Ccmnission selon les 
modalités prévues à l'article 29. 1. Les Etats membres prévoient que 
le responsable du traitement doit 
prendre les mesures techniques et 
d'organisation appropriées, 
nécessaires à la protection contre 
la destruction, accidentelle ou 
illicite, la perte accidentelle, 
ainsi que contre l'altération, la 
ccmnunication et toute autre forme 
de traitement non autorisée de 
données à caractère personnel. 
Ces mesures doivent assurer pour le 
traitement automatisé des données 
un niveau de sécurité approprié, 
compte tenu, d'une part, de l'état 
de la technologie, d'autre part, de 
la nature des données à protéger et 
de l'évaluation des risques 
potentiels. A cette fin, le 
responsable du traitement doit 
prendre en considération les 
recarmandations en matière de 
sécurité informatique et 
d'interopérabilité des réseaux 
élaborés par la Ccmnission selon 
les modalités visées à 
l'article 33. 
- 96 -
2. Des méthodes garantissant une 
sécurité adéquate doivent être 
choisies pour la transmission de 
données personnelles dans un réseau. 
3. En cas de consultation en ligne, 
les installations techniques et le 
logiciel doivent être conçus de 
manière que la consultation se fasse 
dans les limites de l'autorisation 
accordée par le responsable du 
fichier. 
4. Les obligations visées aux 
paragraphes 1 à 3 incombent également 
aux personnes qui, de fait ou par 
contrat, ont le contrôle sur les 
opérations relatives à un fichier. 
5. Toute personne qui, dans le cadre 
de ses activités professionnelles, 
accède à des informations contenues 
dans des fichiers, ne doit pas les 
cctrmuniquer à des tiers sans l'accord 
du responsable du fichier. 2. Des méthodes garantissant une 
sécurité appropriée doivent être 
choisies pour la transmission de 
données à caractère personnel dans 
un réseau. 
3. Lorsqu'une possibilité d'accès à 
distance est offerte, le 
responsable du traitement doit 
mettre en oeuvre les installations 
techniques et le logiciel de 
manière que l'accès s'opère dans 
les limites de la licéité du 
trai tement. 
4. Les obligations visées aux 
paragraphes 1, 2 et 3 incombent 
également aux personnes qui ont une 
responsabilité dans la mise en 
oeuvre du traitement, notanment 
l'agent traitant. 
5. Toute personne qui, dans le 
cadre de ses activités 
professionnelles, accède à des 
données à caractère personnel ne 
doit pas les ccnmuniquer à des 
tiers sans l'accord du responsable 
du traitement, sauf en vertu 
d'obligations prévues dans la 
législation nationale ou 
ccmnunautai re. 
- 97 
(CHAPITRE II 
LEGITIMITE DU TRAITEMENT DANS LE 
SBCTEUR PUBLIC) 
Article 7 
Obligation de notification à 
l'autorité de contrôle 
1. Les Etats membres prévoient dans 
leur législation que l'établissement 
d'un fichier du secteur public dont 
les données à caractère personnel 
sont susceptibles d'être 
cannuniquées, doit être préalablement 
notifié à l'autorité de contrôle qui 
l'inscrit dans un registre. Le 
registre peut être consulté par toute 
personne. 
2. Les Etats membres définissent les 
informations qui doivent être 
notifiées à l'autorité de contrôle. 
Ces informations doivent comprendre 
au moins le ncm et 1 'adresse du 
responsable du fichier, la finalité 
du fichier, une description des types 
de données qu'il contient, les tiers 
auxquels les données sont 
susceptibles d'être cotimuniquées et 
une description des mesures prises en 
application de l'article 18. SBCTICNVIII - NOTIFICATION 
Article 18 - L'obligation de 
notification à l'autorité de 
contrôle 
1. Les Etats membres prévoient 
qu'une notification doit être 
effectuée par le responsable du 
traitement ou, le cas échéant, par 
son représentant, auprès de 
l'autorité de contrôle visée à 
l'article 30 préalablement à la 
mise en oeuvre d'un traitement 
automatisé en tout ou en partie ou 
d'un ensemble de traitements de 
même nature destinés à la 
réalisation d'une finalité ou de 
plusieurs finalités liées. 
2. Les Etats membres définissent 
les informations qui doivent être 
contenues dans la notification. 
Elles comprennent au minimum: 
a) le nom et l'adresse du 
responsable du traitement et, le 
cas échéant, de son 
représentant ; 
b) la ou les finalités du 
trait ement; 
c) la ou les catégories de 
personnes concernées; 
98 
3. Les Etats membres peuvent prévoir 
que les dispositions des 
paragraphes 1 et 2 s'appliquent à 
d'autres fichiers du secteur public 
et que la consultation du registre 
peut être limitée pour les raisons 
mentionnées à l'article 15 
paragraphe 1. d) une description des données ou 
des catégories de données sur 
lequel porte le traitement; 
e) les tiers ou les catégories de 
tiers auxquels les données sont 
susceptibles d'être 
ccmmniquées ; 
f) les transferts de données, 
envisagés avec des pays tiers. 
g) une description des mesures 
prises en application de 
l'article 17 pour assurer la 
sécurité du traitement. 
3. Tout changement affectant les 
informations visées au paragraphe 2 
doit être notifié à l'autorité de 
contrôle. 
4. L'autorité de contrôle procède 
préalablement à leur mise en oeuvre 
à l'examen des traitements 
présentant des risques particuliers 
au regard des droits et libertés 
des personnes, dans un délai de 15 
jours à compter de la date de leur 
notification au terme duquel 
l'autorité présente ses 
conclus ions. 
- 99 -
5. Les Etats membres peuvent 
prévoir que certains des 
traitements visés au paragraphe 4 
sont soumis à une autorisation 
préalable de l'autorité de 
contrôle. Les Etats membres peuvent 
prévoir que les autorisations 
susvisées sont données par la loi. 
(CHAPITRE III 
LEGITIMITE DU TRAITEMENT E&NS LE 
SECTEUR PRIVE) 
Article 11 
Obligation de notification à 
l'autorité de contrôle 
1. Les Etats membres prévoient que le 
responsable du fichier notifie 
l'établissement d'un fichier de 
données à caractère personnel, dès 
lors que les données sont destinées à 
être ccnmuniquées et ne proviennent 
pas de sources généralement 
accessibles au public. La 
notification doit se faire à 
l'autorité de contrôle de l'Etat 
membre où le fichier est localisé ou, 
en l'absence d'une localisation dans 
un Etat membre, à l'autorité de 
contrôle de l'Etat membre où le 
responsable du fichier réside. Le 
responsable du fichier notifie aux 
autorités nationales ccmpétentes tout 
changement de finalité du fichier ou 
de son adresse. 
100 -
2. Les Etats membres définissent les 
informations qui doivent être 
notifiées à l'autorité de contrôle. 
Ces informations doivent comprendre 
au moins le nom et l'adresse du 
responsable du fichier, la finalité 
du fichier, une description des types 
de données qu'il contient, les tiers 
auxquels les données sont 
susceptibles d'être comminiquées et 
une description des mesures prises en 
application de l'article 18. 
3. Les Etats membres peuvent prévoir 
que les dispositions des 
paragraphes 1 et 2 s'appliquent à 
d'autres fichiers du secteur privé et 
que les informations visées au 
paragraphe 2 sont accessibles au 
pubii c. 
Article 19 - La simplification 
l'exonération de l'obligation i 
notification 
101 -
1. Les Etats membres prévoient que 
la notification est simplifiée 
ou fait l'objet d'une 
exonération pour certaines 
catégories de traitements qui ne 
portent pas atteinte aux droits 
et libertés des personnes 
concernées. Ces catégories de 
traitements comprennent, 
notanment, la production de 
lettres ou documents, 
1'accanplissement d'obligations 
légales, comptables, fiscales ou 
sociales ou encore la 
consultation de services 
documentaires accessibles au 
pubii c. 
2. La mesure de simplification ou 
d'exonération est prise soit par 
l'autorité de contrôle, soit 
après consultation de celle-ci. 
La mesure susvisée précise, pour 
chaque catégorie de traitements, 
notanment : 
- 102 -
- les finalités des traitements, 
- une description des données ou 
catégories de données 
trai tées, 
- la ou les catégories de 
personnes concernées, 
- les tiers ou catégories de 
tiers ayant commini cat ion des 
données, 
- la durée de conservation des 
données, 
- le cas échéant, les conditions 
dans lesquels le traitement 
est mis en oeuvre. 
3. Le bénéfice de la simplification 
ou de l'exonération de 
l'obligation de notification ne 
dispense le responsable du 
traitement d'aucune des autres 
obligations découlant de la 
présente directive. 
Article 20 - Les traitements 
manuel s 
Les Etats membres peuvent prévoir 
les conditions dans lesquelles les 
dispositions prévues aux articles 
18 et 19 s'appliquent aux 
traitements non automatisés de 
données à caractère personnel 
contenues dans des fichiers. 
- 103 -
Artide 21 - Le registre des 
traitements notifiés 
Les Etats membres prévoient que 
l'autorité de contrôle tient le 
registre des traitements notifiés. 
Le registre reprend, au minimum, 
dans les cas prévus aux articles 18 
et 19, les informations énumérées 
à l'article 18, paragraphe 2 
lettres a) à f). Il peut être 
consulté par toute personne, sous 
réserve des limitations qui peuvent 
être prévues par les Etats membres 
dans les conditions fixées à 
l'article 14 paragraphe 1. 
- 104 -
(CHAPITRE IV 
DROIT CE LA PERSONNE CONCERNEE) 
Article 14 
Droits complémentaires de la personne 
concernée 
Les Etats membres reconnaissent à la 
personne concernée, les droits 
suivants : 
8) de disposer d'un recours 
juridictionnel en cas de violation 
des droits garantis dans le présent 
article. CHAPITRE III 
RBCDURS JURIDICTIONNELS, 
RESPONSABILITE ET SANCTIONS 
Article 22 
Recours juridictionnels 
Les Etats membres prévoient que 
toute personne dispose d'un 
recours juridictionnel en cas de 
violation des droits garantis dans 
la présente directive. 
- 105 -
(CHAPITRE VII 
RESPONSABILITE ET SANCTIONS) 
Article 21 
Responsabi1i té 
1. Les Etats membres prévoient dans 
leur législation que toute personne, 
dont les données à caractère personnel 
sont enregistrées dans un fichier et 
qui subit un domnage du fait du 
traitement ou de toute action 
incompatibles avec les dispositions de 
la présente directive a le droit de 
demander au responsable du fichier des 
donmages et intérêts. 
2. Les Etats membres peuvent prévoir 
que les darmages résultant d'une perte 
ou d'une destruction de données ou 
d'un accès non autorisé ne sont pas 
imputables au responsable du fichier 
s'il prouve qu'il a pris les mesures 
appropriées pour respecter les 
exigences énumérées aux articles 18 et 
22. Article 23 
Responsabi1i té 
1. Les Etats membres prévoient que 
toute personne dont les données à 
caractère personnel font l'objet 
d'un traitement et qui subit un 
domnage du fait d'un traitement 
illicite ou de toute action 
incompatible avec les dispositions 
nationales prises en application 
de la présente directive a le 
droit d'obtenir du responsable du 
traitement réparation du préjudice 
subi. 
2. Les Etats membres peuvent 
prévoir que le responsable du 
traitement peut être exonéré, 
partiellement ou totalement, de sa 
responsabilité du fait des 
dcmnages résultant d'une perte ou 
d'une destruction de données ou 
d'un accès non autorisé, s'il 
prouve qu'il a pris les mesures 
appropriées pour respecter les 
exigences énumérées aux articles 
17 et 24. 
- 106 -
Article 22 
Traitement pour le compte du 
responsable du fichier 
1. Les Etats membres prévoient dans 
leur législation que le responsable du 
fichier doit, en cas de traitement 
pour son compte, s'assurer du respect 
des mesures nécessaires de sécurité et 
d'organisation, et choisir une 
personne ou une entreprise qui apporte 
des garanties suffisantes à cet égard. 
2. Toute personne qui collecte ou qui 
traite des données à caractère 
personnel pour le compte du 
responsable du fichier doit respecter 
les obligations prévues aux articles 
16 et 18. 
3. Le contrat doit être écrit et 
spécifier, en particulier, que les 
données à caractère personnel ne 
peuvent être divulguées par le 
prestataire ou ses employés qu'avec 
l'accord du responsable du fichier. Article 24 
Traitement pour le compte du 
responsable du traitement 
1. Les Etats membres prévoient que 
le responsable du traitement doit, 
en cas de traitement pour son 
compte, s'assurer du respect des 
mesures nécessaires de sécurité et 
d'organisation et choisir un agent 
traitant qui apporte des garanties 
suffisantes à cet égard. 
2. L'agent traitant effectue 
uniquement le traitement des 
données à caractère personnel 
stipulé par le contrat conclu avec 
le responsable du traitement et 
reçoit des instructions uniquement 
de celui-ci. Il doit respecter les 
dispositions nationales prises en 
application de la présente 
di reet ive. 
3. Le contrat doit être écrit et 
spécifier, en particulier, que les 
données à caractère personnel 
traitées en application dudit 
contrat ne peuvent être 
ccmnuniquées à un tiers par 
l'agent traitant ou ses employés 
qu'avec l'accord du responsable du 
trai tement. 
- 107 -
Ar t i c1 e 23 
Sanctions 
Chaque Etat membre prévoit dans sa 
législation l'application de sanctions 
dissuasivés afin d'assurer le respect 
des dispositions prises en application 
de la présente directive. 
CHAPITRE VIII 
TRANSFERT DE DCNNEES A CARACTERE 
PERSONNEL VERS LES PAYS TIERS Article 25 
Sanctions 
Chaque Etat membre prévoit 
l'application de sanctions 
dissuasivés à toute personne qui 
ne respecte pas les dispositions 
nationales prises en application 
de la présente directive. 
CHAPITRE IV 
TRANSFERT DE DCNNEES A CARACTERE 
PERSONNEL VERS DES PAYS TIERS 
Article 24 Article 26 
Principes 
1. Les Etats membres prévoient dans 
leur législation que le transfert 
temporaire ou définitif, vers un pays 
tiers, de données à caractère 
personnel faisant l'objet d'un 
traitement ou rassemblées dans le but 
de les soumettre à un tel traitement, 
ne peut avoir lieu que si ce pays 
assure un niveau de protection 
adéquat. Principes 
1. Les Etats membres prévoient que 
le transfert, temporaire ou 
définitif, vers un pays tiers de 
données à caractère personnel 
faisant l'objet d'un traitement ou 
rassemblées dans le but de les 
soumettre à un tel traitement, ne 
peut avoir lieu que si le pays 
tiers en cause assure un niveau 
de protection adéquat. 
Par dérogation au premier alinéa, 
les Etats membres prévoient qu'un 
transfert vers un pays tiers 
n'assurant pas un niveau de 
protection adéquat, peut être 
effectué, à condition que: 
- la personne concernée ait donné 
son consentement au transfert 
envisagé dans le cadre de 
relations précontractuelles, 
sans préjudice, le cas échéant, 
des dispositons de l'article 8 
paragraphe 2 lettre a), ou 
le transfert soit nécessaire à 
la réalisation d'un contrat 
entre la personne concernée et 
le responsable du traitement, à 
condition que la personne 
concernée ait été informée du 
fait que le transfert est ou 
pourrait être envisagé vers un 
pays tiers qui n'assure pas un 
niveau de protection adéquat, 
ou 
le transfert soit nécessaire à 
la sauvegarde d'un intérêt 
public important, ou 
le transfert soit nécessaire à 
la sauvegarde de l'intérêt 
vital de la personne concernée. 
- 109 -
2. Les Etats membres avisent la 
Carmission des cas dans lesquels un 
pays tiers importateur n'assure pas un 
niveau de protection adéquat. 
3. Lorsque la Catrmission constate, 
soit sur la base des informations des 
Etats membres, soit sur la base 
d'autres informations, qu'un pays 
tiers ne dispose pas d'un niveau de 
protection adéquat et que la situation 
en résultant est préjudiciable aux 
intérêts de la Ccmnunauté ou d'un Etat 
membre, elle peut engager des 
négociations en vue de remédier à 
cette situation. 2. Le caractère adéquat du niveau 
de protection offert par un pays 
tiers s'apprécie au regard de 
toutes les circonstances affectant 
un transfert ou une catégorie de 
transferts de données; en 
particulier sont prises en 
considération la nature des 
données, la ou les finalités et la 
durée du ou des traitements 
envisagés, les dispositions 
législatives, générales ou 
sectorielles, en vigueur dans le 
pays tiers en cause, ainsi que les 
règles professionnelles qui y sont 
respectées. 
3. Les Etats membres informent la 
Ccmnission des cas dans lesquels 
ils estiment qu'un pays tiers 
n'assure pas un niveau de 
protection adéquat. 
4. Lorsque la Conmiss ion 
constate, soit sur la base des 
informations des Etats membres, 
soit sur la base d'autres 
informations qu'un pays tiers 
n'assure pas un niveau de 
protection adéquat et que la 
situation en résultant est 
préjudiciable aux intérêts de la 
Cormunauté ou d'un Etat membre, 
elle peut engager des négociations 
en vue de remédier à cette 
s i tuat i on. 
- 110 -
4. La Ccmnission peut décider, selon 
la procédure définie à l'article 30 
paragraphe 2, qu'un pays tiers assure 
un niveau de protection adéquat en 
raison des engagements internationaux 
souscrits par celui-ci ou de sa 
législation interne. 
5. Les mesures prises au titre du 
présent article sont conformes aux 
obligations qui incombent à la 
Commnauté en vertu d'accords 
internationaux tant bilatéraux que 
multilatéraux qui régissent la 
protection des personnes à l'égard du 
traitement automatisé des données à 
caractère personnel. 5. La Ccmnission peut décider, 
selon la procédure visée à 
l'article 34 paragraphe 2, qu'un 
pays tiers assure un niveau de 
protection adéquat en raison des 
engagements internationaux 
souscrits par celui-ci ou de sa 
législation interne. 
6. Les mesures prises au titre du 
présent article doivent être 
conformes aux obligations qui 
incombent à la Commnauté en vertu 
d'accords internationaux tant 
bilatéraux que rmltilatéraux qui 
régissent la protection des 
personnes à l'égard du traitement 
automatisé des données à caractère 
personnel. 
- 111 -
Artide 25 
Dérogation 
1. Un Etat membre peut déroger aux 
dispositions de l'article 24 
paragraphe 1 pour un transfert vers un 
pays tiers donné, sur présentation par 
le responsable du fichier de 
justifications suffisantes pour 
garantir le respect d'un niveau de 
protection adéquat. L'Etat membre ne 
peut accorder une dérogation qu'après 
en avoir informé la Ccmnission et les 
Etats membres et en l'absence de 
notification d'opposition exprimée par 
un Etat membre ou la Ccmnission dans 
un délai de 10 Jours. 
2. En cas de notification 
d'opposition, la Ccmnission arrête les 
mesures appropriées selon la procédure 
définie à l'article 30 paragraphe 2. Article 27 
Mesures particulières 
1. Sans préjudice de l'article 26 
paragraphe 1 deuxième alinéa, un 
Etat membre peut autoriser un 
transfert ou une catégorie de 
transferts de données à caractère 
personnel vers un pays tiers 
n'assurant pas un niveau de 
protection adéquat, lorsque le 
responsable du traitement présente 
des justifications suffisantes, 
pouvant notanment résulter de 
dispositions contractuelles 
appropriées garantissant, en 
particulier, l'exercice effectif 
des droits des personnes 
concernées. 
2. L'Etat membre informe, en 
temps utile, la Comnission et les 
autres Etats membres du projet 
d'autor i sat i on. 
3. En cas de notification 
d'opposition exprimée par un Etat 
membre ou la Ccmnission, avant la 
prise d'effet de l'autorisation, 
la Ccmnission arrête les mesures 
appropriées selon la procédure 
définie à l'article 34 
paragraphe 2. 
- 112 -
(CHAPITRE VI CHAPITRE V 
DISPOSITIONS SPECIFIQUES POUR LES OCDES DE CONDUITE 
CERTAINS SECTEURS) 
Article 28 - Codes nationaux 
1. Les Etats membres peuvent prévoir 
que les codes de conduite élaborés 
par les milieux professionnels 
peuvent fixer des mesures 
camplémentaires répondant aux 
spécificités de certains secteurs, 
sans préjudice des dispositions 
nationales prises en application de 
la présente directive. 
2. Les projets de codes sont examinés 
par l'autorité nationale de contrôle, 
qui s'assure de leur bien fondé et de 
la représentativité des organisations 
professionnelles qui les ont 
préparés. Elle recueille les 
observations des personnes concernées 
ou de leurs représentants. 
3. Les Etats membres assurent la 
publication officielle des codes qui 
ont reçu un avis favorable de la part 
de l'autorité de contrôle. 
4. Toute prorogation ou modification 
des codes fait l'objet de procédures 
ident iques. 
113 -
Ar t i c1 e 20 
Les Etats membres encouragent les 
milieux professionnels à participer à 
l'élaboration de codes de déontologie 
ou de bonne conduites européens pour 
certains secteurs sur la base des 
principes contenus dans la présente 
d i rect ive. Article 29 - Codes comnunautaires 
1. Les Etats membres et la Conmission 
encouragent les milieux 
professionnels à participer à 
l'élaboration de codes de conduite 
cocnnunautaires, destinés à contribuer 
à la bonne application de la présente 
directive en fonction de la 
spécificité des secteurs. 
2. La Ccmnission peut publier, pour 
information au Journal officiel des 
Conmunautés européennes un code de 
conduite', complété par l'avis rendu 
par le Groupe visé à l'article 31 se 
prononçant sur le contenu du code et 
la représentativité au plan 
carmunautaire des organisations qui 
l'ont élaboré. Le Groupe recueille 
les observations des personnes 
concernées ou de leurs représentants. 
- 114 -
CHAPITRE IX 
AUTORITES DE CONTROLE ET GROUPE DE 
PROTECTION DES DONNEES A CARACTERE 
PERSONNEL 
Article 26 
L'autorité de contrôle 
1. Les Etats membres assurent qu'une 
autorité indépendante compétente 
contrôle la protection des données à 
caractère personnel. Cette autorité 
est chargée de surveiller 
l'application des dispositions 
nationales prises en application de 
la présente directive et d'exercer 
toutes les fonctions qui lui sont 
attribuées par la présente directive. CHAPITRE VI 
AUTORITE DE CONTROLE ET GROUPE DE 
PRÖTBCTICN LES PERSONNES A L'BGARD DU 
TRAITAIENT LES DCNNEES A CARACTERE 
PERSONNEL 
Article 30 
L'autorité de contrôle 
1. Chaque Etat membre désigne une 
autorité publique indépendante, 
compétente pour assurer le contrôle 
de la protection des données à 
caractère personnel. Cette autorité 
est chargée de surveiller 
l'application des dispositions 
nationales prises en application de 
la présente directive et d'exercer 
toutes les fonctions qui lui sont 
attribuées par la présente directive. 
Chaque Etat membre peut désigner 
plusieurs autorités de contrôle. 
115 -
2. Cette autorité dispose de moyens 
d'investigation et de pouvoirs 
effectifs d'intervention contre la 
constitution et l'exploitation de 
fichiers qui ne seraient pas 
conformes aux dispositions de la 
présente directive. A cette fin, elle 
dispose, notanment, du droit d'accès 
aux fichiers couverts par la présente 
directive et doit pouvoir recueillir 
toutes les informations nécessaires à 
1 ' acccmpl i ssement de sa mission de 
contrôle. 2. Chaque autorité de contrôle 
di spose : 
- de moyens d'investigation, tels 
que le droit d'accéder aux 
données faisant l'objet de 
traitements couverts par la 
présente directive et de 
recueillir toutes les 
informations nécessaires à 
1 ' acccmpl i ssement de sa mission 
de contrôle; 
- de pouvoirs effectifs 
d'intervention, tels que celui 
d'ordonner le verrouillage ou 
l'effacement des données, 
l'interdiction provisoire ou 
définitive d'un traitement, la 
destruction du support des 
données ou celui d'adresser un 
avertissement au responsable du 
trai tement; 
- du droit d'ester en justice, 
lorsqu'elle constate des 
infractions aux dispositions 
nationales de mise en oeuvre de 
la présente directive. 
3. Cette autorité peut être saisie 3. Chaque autorité de contrôle peut 
par toute personne de plainte ou de être saisie par toute personne de 
réclamation relatives à la protection plainte ou de réclamation relatives à 
des personnes à l'égard des données à la protection des personnes à l'égard 
caractère personnel. du traitement des données à caractère 
personnel. La personne est informée 
des suites données. 
- 116 -
Article 27. 
Groupe de protection des données à 
caractère personnel 4. Chaque autorité de contrôle 
présente un rapport annuel sur son 
activité. Ce rapport est publié. 
5. Les autorités des Etats membres 
assurent entre elles toute la 
coopération nécessaire à 
1'acccmplissement de leurs missions 
de contrôle, notanment par l'échange 
d'informations utiles ou l'exercice 
des moyens d'investigation ou des 
pouvoirs d'intervention. 
6. Les Etats membres prévoient que 
chaque autorité de contrôle, ses 
membres et agents sont soumis à 
l'obligation du secret professionnel. 
Article 31. 
Groupe de protection des personnes à 
l'égard du traitement des données à 
caractère personnel 
- 117 -
1. Il est institué un Groupe de 
protection des données à caractère 
personnel. Ce groupe à caractère 
consultatif et indépendant est 
composé de représentants de 
l'autorité de contrôle, prévue à 
l'article 26, de tous les Etats 
membres, et présidé par un 
représentant de la Commission. 1. Il est institué un Groupe de 
protection des personnes à l'égard du 
traitement des données à caractère 
personnel, ci-après dénommé "le 
groupe". Ce groupe à caractère 
consultatif et indépendant, est 
composé de représentants des 
autorités de contrôle prévues à 
l'article 30 et d'un représentant de 
la Ccmnission. Lorsqu'un Etat membre 
a désigné plusieurs autorités de 
contrôle, celles-ci procèdent à la 
nomination de représentants comnuns 
qui, au sein du groupe, disposent des 
mêmes droits et obligations que les 
autres représentants des autres 
autori tés. 
2. Le groupe élit son président. La 
durée du mandat du président est de 
deux ans. Le mandat est renouvelable. 
2. Le secrétariat du Groupe de 
protection des données à caractère 
personnel est assuré par les services 
de la Ccmnission. 3. Le secrétariat du groupe est 
assuré par la Ccmnission. 
3. Le Groupe de protection des 4. Le groupe établit son règlement 
données à caractère personnel établit intérieur. 
son règlement intérieur. 
118 
4. Le groupe examine les questions 
mises à l'ordre du jour par son 
président, soit à l'initiative de 
celui-ci, soit à la demande motivée 
d'un représentant des autorités de 
contrôle, et portant sur 
l'application des dispositions de 
droit comnunautaire en matière de 
protection des données à caractère 
personnel. 
Article 28 
Missions du Groupe de protection des 
données à caractère personnel 
1. Le Groupe de protection des 
données à caractère personnel a pour 
mi s s i on : 
a) de contribuer à l'application 
homogène des règles nationales 
prises en application de la 
présente directive; 
b) de donner un avis sur le niveau de 
protection dans la Ccranunauté et 
dans les pays tiers; 
c) de conseiller la Ccmnission sur 
des projets de mesures 
additionelles ou spécifiques à 
prendre pour sauvegarder la 
protection de la vie privée. 5. Le Groupe examine les questions 
mises à l'ordre du jour par son 
président, soit à l'initiative de 
celui-ci, soit à la demande motivée 
d'un représentant des autorités de 
contrôle, soit à la demande de la 
Corrmi s s i on. 
Article 32 
Missions du Groupe 
1. Le groupe a pour mission: 
a) de contribuer à l'application 
homogène des dispositions 
nationales prises pour la mise en 
oeuvre de la présente directive; 
b) de donner un avis sur le niveau de 
protection dans la Ccmnunauté et 
dans les pays tiers; 
c) de conseiller la Ccmnission sur 
tout projet de modification de la 
présente directive, tout projet de 
mesures additionnelles ou 
spécifiques à prendre pour 
sauvegarder les droits et les 
libertés des personnes physiques, 
ainsi que sur tout autre projet de 
mesures ayant une incidence sur 
ces droits et libertés. 
d) de donner un avis sur les codes de 
conduite élaborés au niveau 
ccrrmunau ta ire. 
- 119 -
2. Si le Groupe de protection des 
données à caractère personnel 
constate que de sérieuses divergences 
s'établissent entre la législation ou 
la pratique des Etats membres en 
matière de protection des données à 
caractère personnel, divergences qui 
risquent de porter atteinte à 
l'équivalence de la protection dans 
la Commnauté, il en informe la 
Corani s s i on. 2. Si le groupe constate que de 
sérieuses divergences s'établissent 
entre la législation ou la pratique 
des Etats membres en matière de 
protection des personnes à l'égard du 
traitement des données à caractère 
personnel, divergences qui risquent 
de porter atteinte à l'équivalence de 
la protection dans la Commnauté, il 
en informe la Ccmnission. 
3. Le Groupe de protection des 
données à caractère personnel peut 
émettre des reccmnandations sur toute 3. Le groupe peut émettre de sa 
propre initiative des reconmandations 
sur toute question concernant la 
question concernant la protection des protection des personnes à l'égard du 
personnes à l'égard des données à 
caractère personnel dans la 
Commnauté. Les recommandations sont 
inscrites au procès-verbal et peuvent 
être transmises au Comité consultatif 
visé à l'article 30. La Ccmnission 
informe le Groupe de protection des 
données à caractère personnel des 
suites qu'elle a données aux 
reccmnandations. traitement de données à caractère 
personnel dans la Commnauté. 
4. Les avis et reccmnandations du 
groupe sont inscrits au procès-verbal 
et transmis à la Commission; ils 
peuvent l'être également au comité 
consultatif visé à l'article 34. 
- 120 -
4. Le Groupe de protection des 
données à caractère personnel établit 
un rapport annuel sur l'état de la 
protection des personnes à l'égard du 
traitement des données à caractère 
personnel dans la Commnauté et dans 
les pays tiers qu'il commnique à la 
Omni s s i on. 
CHAPITRE X 5. La Ccmnission informe le groupe 
des suites qu'elle a données aux avis 
et recomnandations. Elle produit à 
cet effet un rapport qui est transmis 
également au Parlement européen et au 
Conseil. Ce rapport est publié. 
6. Le groupe établit un rapport 
annuel sur l'état de la protection 
des personnes physiques à l'égard du 
traitement des données à caractère 
personnel dans la Commnauté et dans 
les pays tiers qu'il commnique à la 
Ccmnission, au Parlement européen et 
au Conseil. Ce rapport est publié. 
CHAPITRE VII 
POUVOIR REGLEMENTAIRE DE LA 
OMA SS ION 
Article 29 POUVOIR REGLEMENTAIRE DE LA 
GCMvflSSICN 
Article 33 
Exercice du pouvoir réglementaire 
La Cernili ssion arrête, sel on la 
procédure prévue à l'article 30 
paragraphe 2, les modalités 
techniques nécessaires pour appliquer 
la présenta directive aux 
spécificités de certains secteurs, 
coopte tenu de l'état de l'art en la 
matière et des codes de bonne 
condui te. Exercice du pouvoir réglementaire 
La Ccmnission arrête, selon la 
procédure prévue à l'article 34 
paragraphe 2, les modalités 
techniques nécessaires pour appliquer 
la présente directive aux 
spécificités de certains secteurs ou 
de certaines catégories de 
traitements et les mesures 
nécessaires pour garantir 
l'application homogène des 
dispositions de la présente 
d i ree t ive. 
- 121 -
Artide 30 
Comité consultatif 
1. La Ccmnission est assistée par un 
Comité consultatif composé des 
représentants des Etats membres et 
présidé par le représentant de la 
Coirmi s s i on. 
2. Le représentant de la Ccmnission 
soumet au Comité un projet de mesures 
à prendre. Le Comité émet son avis 
sur ce projet, dans un délai que le 
président peut fixer en fonction de 
l'urgence de la question en cause, le 
cas échéant en procédant à un vote. 
L'avis est inscrit au procès-verbal; 
en outre, chaque Etat membre a le 
droit de demander que sa position 
figure à ce procès-verbal. La 
Ccmnission tient le plus grand compte 
de l'avis émis par le Comité. Elle 
informe le Comité de la façon dont 
elle a tenu compte de cet avis. Article 34 
Comité consultatif 
1. La Connais s ion est assistée par un 
comité de caractère consultatif 
composé des représentants des Etats 
membres et présidé par le 
représentant de la Ccmnission. 
2. Le représentant de la Ccmnission 
soumet au comité un projet de mesures 
à prendre. Le comité émet son avis 
sur ce projet, dans un délai que le 
président peut fixer en fonction de 
l'urgence de la question en cause, le 
cas échéant en procédant à un vote. 
L'avis est inscrit au procès-verbal; 
en outre, chaque Etat membre a le 
droit de demander que sa position 
figure à ce procès-verbal. La 
Ccmnission tient le plus grand compte 
de l'avis émis par le comité. Elle 
informe le comité de la façon dont 
elle a tenu compte de cet avis. 
- 122 -
DISPOSITIONS FINALES DISPOSITCNS FINALES 
Article 31 Article 35 
1. Les Etats membres mettent en 
vigueur les dispositions 
législatives, réglementaires et 
administratives nécessaires pour se 
conformer à la présente directive au 
plus tard le 1er janvier 1993. 
Les dispositions adoptées en vertu du 
premier alinéa se réfèrent 
explicitement à la présente directive 1. Les Etats membres mettent en 
vigueur les dispositions 
législatives, réglementaires et 
administratives nécessaires pour se 
conformer à la présente directive au 
plus tard le 1er juillet 1994. 
Lorsque les Etats membres adoptent 
ces dispositions, celles-ci 
contiennent une référence à la 
présente directive ou sont 
accompagnées d'une telle référence 
lors de leur publication officielle. 
Les modalités de cette référence sont 
arrêtées par les Etats membres. 
2. Les Etats membres conmuniquent à 
la Corani ss ion le texte des 
dispositions de droit interne qu'ils 
adoptent dans le domaine régi par la 
présente directive 2. Les Etats membres fixent la date, 
qui ne peut être postérieure au 30 
juin 1997, après laquelle les 
traitements dont la mise en oeuvre 
est antérieure au 1er juillet 1994, 
devront être conformes aux 
dispositions nationales prises pour 
se conformer à la présente directive. 
3. Les Etats membres conmuniquent à 
la Ccmnission le texte des 
dispositions de droit interne qu'ils 
adoptent dans le domaine régi par la 
présente directive. 
Ajticle 32 Ar t i cl e 36 
- 123 -
La Conmiss ion fait périodiquement un 
rapport au Conseil et au Parlement 
européen sur l'application de la 
présente directive et l'assortit le 
cas échéant, des propositions de 
modification appropriées. 
Article 33 
Les Etats membres sont destinataires 
de la présente directive. La Ccmnission fait périodiquement un 
rapport au Conseil et au Parlement 
européen sur l'application de la 
présente directive et l'assortit, le 
cas échéant, des propositions de 
modification appropriées. Ce rapport 
est publié. 
Article 37 
Les Etats membres sont destinataires 
de la présente directive. 
Fait à Bruxelles, le 
Par le Conseil Fai t à 
Par le Bruxelles, le 
Consei1 
- 124 -
FICHE FINANCIERE 
Volet 1 : Implications financières 
1. Int i tulé de I'act ion : Proposition modifiée de directive du Conseil 
relative à la protection des personnes physiques 
à l'égard du traitement des données à caractère 
personnel et à la libre circulation de ces 
données. 
2. Lignes budgétaires concernées : 
- A 2510 : Frais de réunions d'un comité dont la consultation est un 
élément obligatoire de la procédure de formation d'actes 
communauta i res. 
- A 2511 : Frais de réunions d'un comité dont la consultation n'est pas 
un élément obligatoire de la procédure de formation d'actes 
communauta i res. 
- Titres A1 et A2 : Dépenses de personnel et de fonctionnement 
3. Base légale : 
Article 100A du Traité CEE. 
4. Description de l'action : 
- Oblect i fs : - permettre le bon fonctionnement du marché intérieur en 
assurant la circulation transfrontière de données à 
caractère personnel dans la Communauté; 
- assurer la protection des personnes physiques à l'égard 
des données à caractère personnel. 
- Création de 2 comités compétents en matière de 
personnes à l'égard des données à caractère personnel protect i on des 
(Art. 31 et 34). 
- Personnes concernées : 1. Pour le groupe de protection des personnes à 
l'égard du traitement de données à caractère 
personnel (Art. 31) : représentants de 
l'autorité de contrôle de tous les Etats 
membres (groupe 4). 
2. Pour le Comité consultatif (Art. 34) 
représentants des Etats membres (groupe 3). 
Un représentant de la Commission préside le Comité consultatif. La 
présidence du comité de protection sera assurée par un membre élu pour 
deux ans. Le secrétariat du Comité consultatif et du groupe de 
protection des personnes à l'égard du traitement de données à caractère 
personnel est assuré par les services de la Commission. 
- 125 -
5. Classification de la défense : 
5.1. : DNO 
5.2. : CND 
6. Nature de la dépense : 
- frais de participation des membres aux réunions du groupe et du 
corn i t é; 
- frais de personnel. 
7. Incidence financière sur les crédits d'intervention : 
Néant 
8. Quelles sont les dispositions anti-fraude prévues dans la proposition 
d'act ion ? 
Néant 
Volet 2 : Dépenses administratives (partie A du budget) 
1. L'action proposée impIique-t-eIIe une augmentation du nombre d'effectifs 
de la Commission ? Oui : 2 fonctionnaires de grade C. 
Ces postes seront obtenus soit dans le cadre de l'allocation des 
ressources décidées par la Commission sur la base des budgets futurs, 
soit par redéploiement interne. 
2. Montant des dépenses générées : 
- Secrétar iat : +/- 120.000,- ECU par an imputés sur les différentes 
lignes budgétaires du titre A1 et A2 (2 fonctionnaires 
C) . 
- Réunions des groupes : 
* Groupe de protection de personnes physiques à l'égard du 
traitement de données à caractère personnel : 
24 membres (non-gouvernementaI s) x 4 réunions à 2 jours : 
Frais de voyage : 526,61 ECU x 24 x 4 
Frais d'approche : 105,40 ECU x 24 x 4 
Frais de séjour : 105,40 ECU x 24 x 4 x 2 50.555 ECU 
10.118 ECU 
20.236 ECU 
80.909 ECU 
- 126 -
Comi té consuI tat i f : 
24 membres (gouvernementaIs) x 2 réunions à 2 jours : 
Frais de voyage : 526,61 ECU x 24 x 2 25.277 ECU 
Total arrondi pour une année complète : 
secrétar i at 
Groupe 
Com i t é 120.000 ECU 
81.000 ECU 
25.000 ECU 
TOTAL 226.000 ECU 
Volet 3 : Eléments d'analyse coût/efficacité 
1. Objectif et cohérence avec la programmation financière 
Il s'agit de créer 2 groupes qui seront autorisés à se réunir à partir 
de 1994. Ils seront insérés dans la liste des comités lors de la 
programmation financière 1994. 
L'échéancier des crédits d'engagement et de paiement (DN0, CND) se 
présente comme suit : 
Les crédits sont à obtenir dans le cadre général de chaque procédure 
budgétaire au sein des différents postes de la Partie A. 
2. Justification de l'action 
a) Le groupe de protection des personnes à l'égard du traitement des 
données à caractère personnel (Art. 31). 
Il est institué ce groupe à caractère consultatif et indépendant. Il 
est composé de représentants de l'autorité de contrôle de tous les 
Etats membres. CE CP 
1994 
1995 
1996 
1997 
1998 226.000 ECU 
226.000 ECU 
226.000 ECU 
226.000 ECU 
226.000 ECU 
Il établit son règlement intérieur. Le secrétariat du groupe est 
assuré par les services de la Commission. 
- 127 -
Missions de ce groupe : voir Article 32. Il sera appelé à 
la Commission sur les projets de mesures additionnelles en 
avis en toute indépendance, ce qui est fondamental dans le 
la protection de la vie privée. conse iI 1er 
donnant un 
doma i ne de 
3. Suivi et évaluation de l'action 
3.1. indicateurs : analyse du rapport annuel présenté par le groupe en 
application de l'article 32, paragraphe 6. 
3.2. modalités et périodicité : chaque année sur la base du rapport 
susvisé que devra présenter le groupe. 
3.3. les principaux facteurs d'incertitudes tiendront aux difficultés 
d'harmoniser des approches et des degrés d'expérience divers dans 
les Etats membres. Ces différences tiennent à différents facteurs 
notamment culturels et techniques. 
- 128 -
FICHE D'EVALUATION D'IMPACT 
IMPACT DE LA PROPOSITION SUR LES ENTREPRISES 
ET AUTRES ORGANISMES CONCERNES, ET, EN PARTICULIER 
SUR LES PETITES ET MOYENNES ENTREPRISES (PME) 
Titre de la proposition : Proposition modifiée de directive du Conseil 
relative à la protection des personnes physiques 
à l'égard du traitement des données à caractère 
personnel et à la libre circulation de ces 
données. 
Numéro de référence du document : 
LA PROPOSITION 
1. Compte-tenu du principe de subsidiarité. pourquoi une législation 
communautaire est-elle nécessaire dans ce domaine et quels sont ses 
principaux objectifs , 
Les flux de données à caractère personnel entre les différents acteurs 
économiques et sociaux établis dans des Etats membres différents et le 
traitement de ces données par ces mêmes organismes sont en augmentation 
sensible en raison même de la réalisation du marché intérieur : 
- flux entre entreprises privées ou publiques; 
- flux entre unités dépendant juridiquement d'une même entreprise; 
- flux entre administrations nationales tenues de se prêter une 
assistance mutuelle en vertu de divers textes communautaires; 
- flux vers des centres de recherche par exemple dans le domaine 
méd i ca I , etc. ... 
Les divergences importantes qui existent entre les législations 
nationales - étant par ailleurs précisé que 4 Etats membres n'ont pas 
encore de législation spécifique en matière de protection des données : 
Belgique, Grèce, Italie, Espagne - font naître : 
- des obstacles à la libre circulation des données à caractère 
personnel, notamment à destination d'un Etat membre ne disposant pas 
de législation, étant donné que les législations en la matière visent 
à protéger les libertés et droits fondamentaux et notamment la vie 
privée de personnes physiques; 
- des distort ions de concurrence entre les opérateurs économiques de la 
Communauté, certains étant soumis aux charges de législations 
protectrices, d'autres échappant à de telles charges, selon l'Etat 
membre dans lequel ils sont établis. 
- 129 -
Par ailleurs, l'instauration de règles en matière de protection des 
données est de nature à favoriser le développement du marché de 
l'information par la sécurité juridique que ces règles procurent aux 
organismes concernés. 
Une intervention de la Communauté est donc fondamentale. Elle doit 
prendre la forme d'un rapprochement des législations nationales. La 
Convention du Conseil de l'Europe du 28 janvier 1981 pour la protection 
des personnes à l'égard du traitement automatisé des données à 
caractère personnel, seul instrument de droit international dans ce 
domaine, laisse ouvert un grand nombre d'options pour la mise en oeuvre 
des principes qu'elle définit et ne permet donc pas une harmonisation 
suffisante pour le marché intérieur. 
L'IMPACT SUR LES ENTREPRISES. LES ADMINISTRATIONS PUBLIQUES ET LES AUTRES 
ORGANISMES NOTAMMENT LES FONDATIONS ET ASSOCIATIONS 
2. Qui sera affecté par la proposition , 
La proposition concerne, quelque soit leur taille ou leur secteur 
d'activité, toutes les entreprises publiques et privées, les 
administrations publiques dont les activités relèvent du droit 
communautaire, ainsi que les fondations et associations à but non 
lucratif pour autant que ces organismes traitent de données à caractère 
personnel (gestions des fournisseurs et clients, gestion du personnel, 
des membres ou correspondants des associations et fondations, traitement 
de données relatifs aux administés, offre de service d'informations 
relatives à des personnes physiques). 
Toutefois, ainsi que les consultations visées au point 6 l'ont montré, 
les secteurs de l'industrie qui seront plus particulièrement concernés 
par l'application de cette directive sont les entreprises et organismes 
du secteur tertiaire dont les activités sont orientées en direction des 
personnes physiques et dont le développement repose sur le traitement de 
l'information : entreprises de marketing direct, les établissements 
financiers, les compagnies d'assurance, les agences de cotation de 
créd i t. 
3. Quelles mesures les entreprises devront-elles prendre pour se conformer 
à la proposition ? 
Elles devront mettre en place des procédures de décision et 
d'organisation impliquant selon la structure et la taille de 
l'organisme, le responsable de l'informatique et de l'organisation, le 
service utilisateur de ces techniques, le service juridique, le 
responsable de l'organisme. Au stade de la conception des nouveaux 
traitements de données à caractère personnel, préalablement aux 
investissements, l'organisme doit ainsi : 
- vérifier la licéité des traitements envisagés; 
- prévoir l'information à donner aux personnes concernées par les 
traitements (cette information pourra être fournie à l'occasion des 
contacts habituels entre le responsable du traitement et les personnes 
concernées); 
- 130 -
- prévoir les mesures techniques et d'organisation destinées à assurer 
la sécurité des données et des traitements; 
- s'assurer de la procédure de notification applicable. Après avoir 
réuni les éléments d'information nécessaires, le responsable 
constatera l'absence de notification nécessaire ou effectuera une 
formalité simplifiée ou enfin constituera un dossier. 
Le responsable du traitement doit, en outre, assurer la mise en place 
d'une procédure pour répondre aux demandes éventuelles de droit d'accès 
des personnes concernées aux données les concernant, à des plaintes 
éventuelles, ainsi que s'organiser pour surveiller la bonne application 
des mesures de sécurité. 
Ces tâches sont à réaliser au fur et à mesure de la mise en oeuvre des 
nouveaux traitements et peuvent donc être planifiées en fonction de 
l'élaboration technique des traitements. 
Pour les traitements mis en oeuvre avant l'entrée en vigueur des 
dispositions nationales prises en application de la directive, ces 
tâches peuvent être planifiées sur une période de 3 ans, prévue à cet 
effet par la di rect i ve. 
Pour les organismes établis dans des Etats membres déjà dotés de 
législation dans ce domaine, les mesures requises par la directive ne 
sont pas de nature différente de celles déjà mises en oeuvre. 
Pour les organismes établis dans les Etats membres non dotés d'une telle 
législation, l'acquisition de méthodes est nécessaire cependant que les 
autorités de contrôle compétentes peuvent être d'une aide précieuse pour 
faciliter cette mise en oeuvre dans la phase de démarrage (conseils, 
procédure de simplification de notification de certains 
trai tements, . . . ). 
4. Quels effets économiques la proposition est-elle susceptible d'avoir ? 
La protection de la vie privée des personnes, telle qu'assurée par la 
directive, va augmenter l'acceptation sociale de l'utilisation des 
différents traitements des données à caractère personnel et par là 
l'acceptation de leur développement, ce qui est un facteur favorable à 
la croissance et à la création d'emplois dans les secteurs privé et 
pub lie. 
Par ailleurs, ces règles de protection sont de nature à éliminer les 
distorsions de concurrence dues à l'actuelle disparité des législations 
nationales. En ce qui concerne leur compétitivité internationale, la 
directive prévoit des négociations avec les pays tiers qui n'assurent 
pas encore un niveau de protection adéquat. 
5. La proposition contient-elle des mesures visant à tenir compte de la 
situation spécifique des petites et moyennes entreprises ? 
Non. Toutefois, on peut raisonnablement estimer que la plupart des 
traitements effectués par les PME tomberont dans les catégories qui, 
selon le système proposé, pourraient être exonérées de l'obligation de 
notification ou bénéficier d'une simplification (l'accomplissement de 
ces formalités ne devrait pas dépasser quelques heures de travail). Par 
ailleurs, la directive ne prévoit pas de redevance pour 
l'accomplissement des formalités de notification. 
- 131 -
CONSULTATION 
6. Liste des organisations QUI ont été consultées sur la proposition et 
exposé des éléments essentiels de leur position 
a) La consultation des milieux intéressés s'est faite, en premier lieu, 
par l'intermédiaire du Comité économique et social qui a rendu un 
avis favorable sur la proposition (JO n" C 159 du 17/06/1991, p. 38), 
ainsi que du Comité du Commerce et de la Distribution (CCD) et du 
Conseil Consultatif des Consommateurs. 
b) Les contacts directs à l'initiative des services ou des milieux 
professionnels ont privilégiés.pour la proposition amendée les 
associations professionnelles à vocation européenne soit au titre du 
caractère horizontal de la proposition, I * UN I CE, soit au titre des 
secteurs les plus concernés.notamment la Fédération bancaire, le 
CELD, la FEWITA, le GEDIS, la Fédération européenne du marketing 
direct, EAT, CHANGE (associations à but non lucratif), l'Association 
européenne pour les études d'opinion et de marketing, ACT/EBU, EPC, 
ENPA, CAEJ, UER, FAEP (pour les aspects presse et audiovisuel). 
Les éléments essentiels des positions professionnelles concernent, vis-
à-vis de la proposition initiale : 
- le caractère trop détaillé de la proposition; 
- la place' prédominante accordée au consentement de la personne 
concernée, comme condition du traitement de données à caractère 
personne I ; 
- l'interdiction de toute possibilité de décision automatisée et 
d'élaboration de profils; 
- la lourdeur et l'inadaptation des obligations en matière d'information 
de la personne concernée et de notification aux autorités de contrôle; 
- l'impossibilité de poursuivre le commerce international en direction 
des pays tiers n'assurant pas un niveau de protection adéquate; 
- le risque d'atteinte à la liberté d'expression, si certains Etats 
membres ne procédaient pas aux dérogations nécessaires pour concilier 
les règles relatives à l'exercice de cette liberté avec celles de la 
protection de la vie privée. 
La proposition modifiée s'est efforcée d'apporter les clarifications ou 
aménagements nécessaires tout en maintenant l'objectif de haut niveau de 
protection sans lequel la libre circulation ne pourrait pas être 
assurée. 
- 132 -
ISSN 0254-1491 
COM(92) 422 final 
DOCUMENTS 
FR 06 
N° de catalogue : CB-CO-92-437-FR-C 
ISBN 92-77-47943-4 
Office des publications officielles des Communautés européennes 
L-2985 Luxembourg