Proposition de REGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes de la Communauté et à la libre circulation de ces données (présentée par la Commission)

EXPOSÉ DES MOTIFS

Les institutions et organes communautaires, et la Commission en particulier, traitent couramment des données personnelles dans le cadre de leurs activités. La Commission échange des données à caractère personnel avec les États membres dans le cadre de la politique agricole commune, pour la gestion du régime douanier, des fonds structurels et dans le cadre d'autres politiques communautaires. Afin que la protection des données soit sans faille, la Commission a, en proposant la directive 95/46/CE en 1990, déclaré qu'elle respecterait également ses principes.

Lors de l'adoption de la directive, la Commission et le Conseil se sont engagés, dans une déclaration publique, à respecter celle-ci et ont invité les autres institutions et organismes communautaires à faire de même.

Lors de la conférence intergouvernementale pour la révision des traités, la question de l'application des règles sur la protection des données aux institutions communautaires a été soulevée par les gouvernements néerlandais et grec. À l'issue des négociations, le traité signé à Amsterdam a introduit, dans le traité instituant la Communauté européenne, une disposition spécifique à cet effet. Dans la numérotation définitive, il s'agit de l'article 286, qui est libellé comme suit:

1. À partir du 1er janvier 1999, les actes communautaires relatifs à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données sont applicables aux institutions et organes institués par le présent traité ou sur la base de celui-ci.

2. Avant la date visée au paragraphe 1, le Conseil, statuant conformément à la procédure visée à l'article 251, institue un organe indépendant de contrôle chargé de surveiller l'application desdits actes communautaires aux institutions et organes communautaires, et adopte, le cas échéant, toute autre disposition utile.

L'article 286 prévoit donc qu'à compter du 1er janvier 1999 les institutions et organes communautaires devront appliquer les règles communautaires de protection des données à caractère personnel, pour l'essentiel fixées par la directive 95/46/CE. Il prévoit également que l'application desdites règles devra être surveillée par un organe indépendant de contrôle. La présente proposition de règlement vise à atteindre ce double objectif.

Proposition de RÈGLEMENT DU PARLEMENT EUROPEEN ET DU CONSEIL relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes de la Communauté et à la libre circulation de ces données

LE PARLEMENT EUROPEEN ET LE CONSEIL DE L'UNION EUROPÉENNE,

vu le traité instituant la Communauté européenne, et notamment son article 286,

vu la proposition de la Commission [1],

[1] JO C .....

vu l'avis du Comité économique et social [2],

[2] JO C .....

statuant conformément à la procédure visée à l'article 251 du traité [3],

[3] JO C .

considérant ce qui suit:

(1) L'article 286 du traité dispose que les actes communautaires relatifs à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données sont applicables aux institutions et organes communautaires;

(2) Un système à part entière de protection des données à caractère personnel impose non seulement de conférer des droits aux personnes concernées et des obligations à celles qui traitent des données à caractère personnel, mais aussi de prévoir des sanctions appropriées pour les contrevenants ainsi qu'une autorité de contrôle indépendante;

(3) L'article 286, paragraphe 2, du traité prévoit l'institution d'un organe indépendant de contrôle chargé de surveiller l'application desdits actes communautaires aux institutions et organes communautaires;

(4) L'article 286, paragraphe 2, du traité prévoit par ailleurs l'adoption, le cas échéant, de toute autre disposition utile;

(5) Un règlement est nécessaire afin de donner aux personnes des droits juridiquement protégés, de définir les obligations en matière de traitement des responsables du traitement au sein des institutions et organes communautaires et de créer un organe indépendant de contrôle responsable de la surveillance extérieure du traitement communautaire;

(6) Les principes de la protection doivent s'appliquer à toute information concernant une personne identifiée ou identifiable; afin de déterminer si une personne est identifiable, il convient de prendre en considération l'ensemble des moyens susceptibles d'être utilisés par le responsable du traitement ou par toute autre personne pour identifier ladite personne; les principes de la protection ne doivent pas s'appliquer aux données qui auront été rendues suffisamment anonymes pour que la personne concernée ne soit plus identifiable;

(7) La directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données [4] impose aux États membres d'assurer la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l'égard du traitement des données à caractère personnel, afin d'assurer la libre circulation des données à caractère personnel dans la Communauté;

[4] JO L 281 du 23.11.1995, p. 31.

(8) La directive 97/66/CE du Parlement européen et du Conseil du 15 décembre 1997 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des télécommunications [5], précise et complète la directive 95/46/CE en ce qui concerne le traitement des données à caractère personnel dans le secteur des télécommunications;

[5] JO L 24 du 30.1.1998, p. 1.

(9) Diverses autres dispositions communautaires, notamment en matière d'assistance mutuelle entre les administrations nationales et la Commission, visent également à préciser et compléter la directive 95/46/CE dans les secteurs qu'elles concernent;

(10) Une application cohérente et homogène des règles de protection des libertés et droits fondamentaux des personnes à l'égard du traitement des données à caractère personnel doit être assurée dans l'ensemble de la Communauté;

(11) Il s'agit par là de garantir tant le respect effectif des règles de protection des libertés et droits fondamentaux des personnes que la libre circulation des données à caractère personnel entre les États membres et les institutions et organes communautaires ou entre les institutions et organes communautaires, dans l'exercice de leurs compétences respectives;

(12) Il convient, à cette fin, d'adopter des dispositions contraignantes à l'égard des institutions et organes communautaires; ces dispositions doivent s'appliquer à tout traitement de données à caractère personnel effectué par les institutions et organes communautaires dans le cadre des compétences que leur confèrent les traités instituant les Communautés européennes et le traité sur l'Union européenne;

(13) Lesdites dispositions doivent être identiques à celles prévues pour l'harmonisation des législations nationales ou la mise en oeuvre d'autres politiques communautaires, notamment en matière d'assistance mutuelle; toutefois, des précisions et des dispositions complémentaires peuvent être nécessaires pour la mise en oeuvre de la protection dans le cas des traitements de données à caractère personnel effectués par les institutions et organes communautaires;

(14) Ceci vaut aussi bien pour les droits des personnes dont les données sont traitées, que pour les obligations des institutions et organes communautaires responsables du traitement et pour les pouvoirs dont doit disposer l'organe de contrôle indépendant chargé de veiller à l'application correcte du présent règlement;

(15) Le traitement de données à caractère personnel effectué pour l'exécution de missions d'intérêt public par les institutions et les organismes communautaires comprend le traitement de données à caractère personnel nécessaires pour la gestion et le fonctionnement de ces institutions et organismes;

(16) Il peut être nécessaire de contrôler les réseaux d'ordinateurs fonctionnant sous la responsabilité des institutions et organismes communautaires en vue de prévenir un usage non-autorisé; le contrôleur européen de la protection des données détermine si et sous quelles conditions cela est possible;

(17) Conformément à son article 21, le règlement (CE) n 322/97 du Conseil du 17 février 1997 relatif à la statistique communautaire [6] s'applique sans préjudice de la directive 95/46/CE;

[6] JO L 52 du 22.2.1997, p. 1.

(18) Pour des raisons de transparence, il est nécessaire de publier des informations complémentaires sur l'application du présent règlement, notamment une liste des institutions et organes communautaires auxquels il s'applique;

(19) Le groupe de protection des personnes à l'égard du traitement des données à caractère personnel, institué par l'article 29 de la directive 95/46/CE, a rendu son avis,

ONT ARRÊTÉ LE PRÉSENT RÈGLEMENT:

CHAPITRE I

DISPOSITIONS GÉNÉRALES

Article premier

Objet du règlement

* 1. Les institutions et organes créés par les traités instituant les Communautés européennes ou sur la base de ces derniers, ci-après dénommés les institutions et organes communautaires, assurent, conformément au présent règlement, la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l'égard du traitement des données à caractère personnel.

* 2. L'autorité de contrôle indépendante instituée par le présent règlement, ci-après dénommée le contrôleur européen de la protection des données, contrôle l'application des dispositions du présent règlement à tous les traitements effectués par une institution ou un organe communautaire.

Article 2

Définitions

Aux fins du présent règlement, on entend par:

* a) "données à caractère personnel": toute information concernant une personne physique identifiée ou identifiable ("personne concernée"); est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale;

* b) "traitement de données à caractère personnel" ("traitement"): toute opération ou ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction;

* c) "fichier de données à caractère personnel" ("fichier"): tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique;

* d) "responsable du traitement": l'institution ou organe communautaire, la direction générale, l'unité ou toute autre entité organisationnelle qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personnel; lorsque les finalités et les moyens du traitement sont déterminés par un acte communautaire spécifique, le responsable du traitement ou les critères spécifiques pour le désigner peuvent être fixés par cet acte communautaire;

* e) "sous-traitant": la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement;

* f) "tiers": toute personne physique ou morale, toute autorité publique, tout service ou tout autre organisme autres que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, placées sous l'autorité directe du responsable du traitement ou du sous-traitant, sont habilitées à traiter les données;

* g) "destinataire": la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui reçoit communication de données, qu'il s'agisse ou non d'un tiers; les autorités qui sont susceptibles de recevoir communication de données dans le cadre d'une mission d'enquête particulière ne sont toutefois pas considérées comme des destinataires;

* h) "consentement de la personne concernée": toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l'objet d'un traitement.

Article 3

Champ d'application

* 1. Le présent règlement s'applique au traitement de données à caractère personnel par toutes les institutions et tous les organes communautaires.

* 2. Le présent règlement s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.

CHAPITRE II

CONDITIONS GÉNÉRALES DE LICÉITÉ DES TRAITEMENTS DE DONNÉES À CARACTÈRE PERSONNEL

SECTION 1

PRINCIPES RELATIFS À LA QUALITÉ DES DONNÉES

Article 4

* 1. Les données à caractère personnel doivent être:

a) traitées loyalement et licitement;

b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités. Un traitement ultérieur à des fins historiques, statistiques ou scientifiques n'est pas réputé incompatible pour autant que le responsable du traitement prévoie des garanties appropriées, afin de veiller, en particulier, à ce que les données ne soient traitées que pour ces finalités;

c) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement;

d) exactes et, si nécessaire, mises à jour; toutes les mesures raisonnables doivent être prises pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées;

e) conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement. L'institution ou l'organe communautaire prévoit des garanties appropriées pour les données à caractère personnel qui sont conservées au-delà de la période précitée, à des fins historiques, statistiques ou scientifiques, en particulier en ce qui concerne l'anonymat.

* 2. Il incombe au responsable du traitement d'assurer le respect du paragraphe 1.

SECTION 2

PRINCIPES RELATIFS À LA LÉGITIMATION DES TRAITEMENTS DE DONNÉES

Article 5

Licéité du traitement

Le traitement de données à caractère personnel ne peut être effectué que si:

* a) le traitement est nécessaire à l'exécution d'une mission effectuée dans l'intérêt public sur la base d'une législation ou relevant de l'exercice légitime de l'autorité publique, dont est investi l'institution ou l'organe communautaire ou le tiers auquel les données sont communiquées;

ou

* b) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis;

ou

* c) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci;

ou

* d) la personne concernée a indubitablement donné son consentement,

ou

* e) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée.

Article 6

Traitements ultérieurs à des fins compatibles

* 1. Les données à caractère personnel ne peuvent être traitées pour des finalités autres que celles pour lesquelles elles ont été collectées que si le changement de finalité est expressément autorisé par les règles internes de l'institution ou de l'organe communautaire.

* 2. Les données à caractère personnel collectées pour d'autres finalités peuvent être traitées afin de garantir le respect des dispositions financières et budgétaires.

* 3. Les données à caractère personnel collectées exclusivement dans le but d'assurer la sécurité ou le contrôle des systèmes ou des opérations de traitement ne peuvent être utilisées pour aucune autre finalité, à l'exception des finalités visées à l'article 18 , paragraphe 1, point a).

Article 7

Transferts de données à caractère personnelentre institutions ou organes communautaires ou en leur sein

* 1. Les données à caractère personnel ne peuvent faire l'objet de transferts entre institutions ou organes communautaires ou en leur sein que si elles sont nécessaires à l'exécution légitime de missions relevant de la compétence du destinataire.

* 2. Le responsable du traitement et le destinataire assument la responsabilité de la légitimité du transfert.

* Le responsable du traitement vérifie uniquement la compétence du destinataire et le bien-fondé de sa demande. Toutefois, si le responsable du traitement doute du bien-fondé de la demande, il vérifie également la nécessité du transfert.

* Le destinataire veille à ce que la nécessité du transfert puisse être ultérieurement vérifiée.

Article 8

Transferts de données à des personnes et organes, autres que les institutions et organes communautaires, établis dans les États membres

* 1. Le transfert de données à caractère personnel à des personnes et organes établis dans les États membres ne s'effectue que si le destinataire a démontré la nécessité que les données lui soient communiquées et s'il n'existe aucune raison de penser que cette communication pourrait porter atteinte aux intérêts légitimes de la personne concernée.

* 2. Le destinataire traite les données à caractère personnel uniquement pour les finalités pour lesquelles elles ont été transférées.

Article 9

Transferts de données à caractère personnel à des personnes et organes autres que les institutions et organes communautaires et ne relevant pas de la directive 95/46/CE

* 1. Le transfert de données à caractère personnel à des personnes et organes autres que les organes et institutions communautaires, et qui ne sont pas soumis à la législation nationale sur la protection des données en vertu de l'article 4 de la directive 95/46/CE, ne peut avoir lieu que pour autant qu'un niveau de protection adéquat soit assuré dans le pays du destinataire ou au sein de l'organisation internationale destinataire, que ce transfert vise exclusivement à permettre l'exécution des missions qui relèvent de la compétence du responsable du traitement, et que les exigences énoncées à l'article 4, paragraphe 1, point b), du présent règlement soient satisfaites.

* 2. Le caractère adéquat du niveau de protection offert par le pays ou par l'organisation internationale en question s'apprécie au regard de toutes les circonstances entourant une opération ou un ensemble d'opérations de transfert de données; il est notamment tenu compte de la nature des données, de la finalité et de la durée du ou des traitements envisagés, du pays ou de l'organisation internationale destinataire, de la législation, tant générale que sectorielle, en vigueur dans le pays ou applicable à l'organisation internationale en question ainsi que des règles professionnelles et des mesures de sécurité appliquées dans ce pays ou dans cette organisation internationale.

* 3. Les institutions et organes communautaires informent la Commission et le contrôleur européen de la protection des données des cas dans lesquels ils estiment que le pays ou l'organisation internationale en question n'assure pas un niveau de protection adéquat au sens du paragraphe 2.

* 4. Lorsque la Commission, assistée par le comité institué à l'article 31, paragraphe 1, de la directive 95/46/CE, constate qu'un pays ou une organisation internationale assure ou n'assure pas un niveau de protection adéquat au sens du paragraphe 2 du présent article, les institutions et organes communautaires prennent les mesures nécessaires pour garantir le respect de la décision de la Commission.

* Cette décision est arrêtée selon la procédure de gestion prévue à l'article 4 de la décision 1999/468/CE du Conseil [7] et sans préjudice de l'article 8 de celle-ci.

[7] JO L 184 du 17.7.1999, p. 23.

* La période prévue à l'article 4, paragraphe 3, de la décision 1999/468/CE est de trois mois.

* 5. Par dérogation au paragraphe 1, l'institution ou l'organe communautaire peut transférer des données à caractère personnel si:

a) la personne concernée a indubitablement donné son consentement au transfert envisagé;

ou

b) le transfert est nécessaire à l'exécution d'un contrat entre la personne concernée et le responsable du traitement ou à l'exécution de mesures précontractuelles prises à la demande de la personne concernée;

ou

c) le transfert est nécessaire à la conclusion ou à l'exécution d'un contrat conclu, dans l'intérêt de la personne concernée, entre le responsable du traitement et un tiers;

ou

d) le transfert est nécessaire ou rendu juridiquement obligatoire pour des motifs d'intérêt public importants ou pour la constatation, l'exercice ou la défense d'un droit en justice;

ou

e) le transfert est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée;

ou

f) le transfert est effectué à partir d'un registre qui, conformément à la législation communautaire, est destiné à l'information du public et est ouvert à la consultation du public ou de toute personne justifiant d'un intérêt légitime, dans la mesure où les conditions fixées par la législation communautaire pour la consultation sont remplies dans le cas particulier.

* 6. Les institutions et organes communautaires informent le contrôleur européen de la protection des données des cas ou catégories de cas dans lesquels ils ont appliqué le paragraphe 5.

SECTION 3

TRAITEMENT DE CATÉGORIES PARTICULIÈRES DE DONNEES

Article 10

* 1. Le traitement des données à caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, ainsi que le traitement des données relatives à la santé ou à la vie sexuelle sont interdits.

* 2. Le paragraphe 1 ne s'applique lorsque:

a) la personne concernée a donné son consentement explicite à un tel traitement, sauf lorsque les règles internes de l'institution ou de l'organe communautaire prévoient que l'interdiction visée au paragraphe 1 ne peut pas être levée par le consentement de la personne concernée;

ou

b) le traitement est nécessaire afin de respecter les obligations et les droits spécifiques du responsable du traitement en matière de droit du travail, dans la mesure où il est autorisé par des dispositions communautaires ou des actes de transposition de dispositions communautaires ou est accepté par le contrôleur européen de la protection des données, moyennant des garanties adéquates;

ou

c) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne dans le cas où la personne concernée se trouve dans l'incapacité physique ou juridique de donner son consentement;

d) le traitement porte sur des données manifestement rendues publiques par la personne concernée ou est nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice;

ou

(e) le traitement est effectué, dans le cadre de ses activités légitimes et moyennant les garanties appropriées, par un organisme à but non lucratif constituant une entité intégrée dans une institution ou organe communautaire, non soumis au droit national applicable en matière de protection des données en vertu de l'article 4 de la directive 95/46/CE et poursuivant une finalité politique, philosophique, religieuse ou syndicale, à condition que ledit traitement se rapporte exclusivement aux membres de cet organisme ou aux personnes entretenant des contacts réguliers avec lui en liaison avec ses objectifs et que les données ne soient pas divulguées à un tiers sans le consentement des personnes concernées.

* 3. Le paragraphe 1 ne s'applique pas lorsque le traitement des données est nécessaire aux fins de la médecine préventive, des diagnostics médicaux, de l'évaluation de l'aptitude médicale en vue du recrutement, de l'administration de soins ou de traitements ou de la gestion de services de santé et que le traitement de ces données est effectué par un praticien de la santé soumis au secret professionnel ou par une autre personne également soumise à une obligation de secret équivalente.

* 4. Sous réserve de garanties appropriées, et pour un motif d'intérêt public important, des dérogations autres que celles prévues au paragraphe 2 peuvent être prévues sur décision du contrôleur européen de la protection des données.

* 5. Le traitement de données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté ne peut être effectué que s'il est autorisé par la législation communautaire, ou d'autres actes législatifs adoptés sur la base du traité sur l'Union européenne, qui prévoient des garanties spécifiques et appropriées, ou par le contrôleur européen de la protection des données.

* 6. Le contrôleur européen de la protection des données détermine les conditions dans lesquelles un numéro personnel ou tout autre identifiant utilisé de manière générale dans une institution ou un organe communautaire peut faire l'objet d'un traitement.

SECTION 4

INFORMATION DE LA PERSONNE CONCERNÉE

Article 11

Informations en cas de collecte de données auprès de la personne concernée

* 1. Le responsable du traitement doit fournir à la personne auprès de laquelle il collecte des données la concernant au moins les informations énumérées ci-dessous, sauf si la personne en est déjà informée:

a) l'identité du responsable du traitement;

b) les finalités du traitement auquel les données sont destinées;

c) les destinataires ou les catégories de destinataires des données;

d) le caractère obligatoire ou facultatif de la réponse aux questions ainsi que les conséquences éventuelles d'un défaut de réponse;

e) l'existence d'un droit d'accès aux données la concernant et de rectification de ces données;

f) toute information supplémentaire telle que:

- la base juridique du traitement auquel les données sont destinées,

- les délais de conservation des données,

- le droit de saisir à tout moment le contrôleur européen de la protection des données,

dans la mesure où, compte tenu des circonstances particulières dans lesquelles les données sont collectées, ces informations supplémentaires sont nécessaires pour assurer à l'égard de la personne concernée un traitement loyal des données.

* 2. Par dérogation au paragraphe 1, la communication d'informations, ou de certains éléments d'une information, peut être reportée aussi longtemps qu'il est nécessaire pour atteindre l'objectif légitime d'une enquête statistique, compte tenu de son objet ou de sa nature. L'information doit être communiquée dès que la raison pour laquelle elle ne l'a pas été cesse d'exister, sauf si cela s'avère manifestement déraisonnable ou impossible à réaliser. Si tel est la cas, la communication a lieu ultérieurement, dès la disparition des circonstances qui l'empêchent.

Article 12

Informations lorsque les données n'ont pas été collectées auprèsde la personne concernée

* 1. Lorsque les données n'ont pas été collectées auprès de la personne concernée, le responsable du traitement doit, dès l'enregistrement des données ou, si une communication de données à un tiers est envisagée, au plus tard lors de la première communication de données, fournir à la personne concernée au moins les informations énumérées ci-dessous, sauf si la personne en est déjà informée:

a) l'identité du responsable du traitement;

b) les finalités du traitement;

c) les catégories de données concernées;

d) les destinataires ou les catégories de destinataires des données;

e) l'existence d'un droit d'accès aux données la concernant et de rectification de ces données;

f) toutes informations supplémentaires telles que:

- la base juridique du traitement auquel les données sont destinées,

- les délais de conservation des données,

- le droit de saisir, à tout moment, le contrôleur européen de la protection des données,

- l'origine des données, sauf si le responsable du traitement ne peut divulguer cette information pour des raisons de secret professionnel,

dans la mesure où, compte tenu des circonstances particulières dans lesquelles les données sont collectées, ces informations supplémentaires sont nécessaires pour assurer à l'égard de la personne concernée un traitement loyal des données.

* 2. Le paragraphe 1 ne s'applique pas lorsque, en particulier pour un traitement à finalité statistique ou de recherche historique ou scientifique, l'information de la personne concernée se révèle impossible ou implique des efforts disproportionnés ou si la législation communautaire prévoit expressément l'enregistrement ou la communication des données. Dans ce cas, l'institution ou l'organe communautaire prévoit des garanties appropriées.

SECTION 5

DROIT D'ACCÈS DE LA PERSONNE CONCERNÉE AUX DONNÉES

Article 13

Droit d'accès

Toute personne concernée a le droit d'obtenir, à tout moment, sans délai excessif et gratuitement, du responsable du traitement:

* a) la confirmation que des données la concernant sont ou ne sont pas traitées;

* b) des informations sur les finalités du traitement, les catégories de données sur lesquelles il porte et les destinataires ou les catégories de destinataires auxquels les données sont communiquées;

* c) la communication, sous une forme intelligible, des données faisant l'objet des traitements, ainsi que de toute information disponible sur l'origine de ces données;

* d) la connaissance de la logique qui sous-tend tout traitement automatisé des données la concernant.

Article 14

Rectification

Le responsable du traitement, à la demande de la personne concernée, rectifie sans délai les données à caractère personnel inexactes ou incomplètes.

Article 15

Verrouillage

* 1. Des données à caractère personnel sont verrouillées:

a) lorsque leur exactitude est contestée par la personne concernée et que ni leur exactitude ni leur inexactitude ne peut être établie;

b) lorsqu'elles ne sont plus utiles au responsable du traitement pour s'acquitter de sa mission, mais qu'elles doivent être conservées comme éléments de preuve;

c) lorsque leur traitement était illicite et que la personne concernée s'oppose à leur effacement et exige à la place leur verrouillage.

* 2. En ce qui concerne les fichiers automatisés, le verrouillage est en principe assuré par des dispositifs techniques. Le fait que les données à caractère personnel sont verrouillées est indiqué dans le système de façon à ce qu'il apparaisse clairement que ces données ne peuvent pas être utilisées.

* 3. Des données à caractère personnel qui ont été verrouillées ne font, à l'exception de leur stockage, l'objet d'un traitement que si elles sont nécessaires pour s'acquitter de la charge de la preuve, lorsque la personne concernée a donné son consentement, ou pour des raisons visant à préserver les droits des tiers.

Article 16

Effacement

* 1. Les données à caractère personnel sont effacées si leur traitement était illicite, notamment en cas de violation des dispositions du chapitre II, sections 1, 2 et 3.

* 2. Les données à caractère personnel sont effacées si le responsable du traitement n'en pas plus besoin pour exécuter sa mission et qu'il n'existe aucune raison de penser que leur effacement pourrait porter atteinte aux intérêts de la personne concernée.

Article 17

Notification aux tiers

Le responsable du traitement notifie aux tiers auxquels les données ont été communiquées toute rectification, tout effacement ou tout verrouillage de celles-ci, si cela ne s'avère pas impossible ou ne suppose pas un effort disproportionné.

SECTION 6

EXCEPTIONS ET LIMITATIONS

Article 18

* 1. Les institutions et organes communautaires peuvent limiter l'application de l'article 4, paragraphe 1, de l'article 11, de l'article 12, paragraphe 1, des articles 13 et 33 et de l'article 34, paragraphe 1, lorsqu'une telle limitation constitue une mesure nécessaire pour:

a) assurer la prévention, la recherche, la détection et la poursuite d'infractions pénales;

b) sauvegarder un intérêt économique ou financier important d'un État membre ou de l'Union européenne, y compris dans les domaines monétaire, budgétaire et fiscal;

c) garantir la protection de la personne concernée ou des droits et libertés d'autrui;

d) assurer une fonction de contrôle, d'inspection ou de réglementation liée, même occasionnellement, à l'exercice de l'autorité publique dans les cas visés aux points a) et b).

* 2. Les articles 13 à 16 ne s'appliquent pas lorsque les données sont traitées exclusivement aux fins de la recherche scientifique ou sont stockées sous la forme de données à caractère personnel pendant une durée n'excédant pas celle qui est nécessaire à seule fin d'établir des statistiques, sous réserve qu'il n'existe manifestement aucun risque d'atteinte à la vie privée de la personne concernée et que le responsable du traitement offre des garanties juridiques appropriées, qui excluent notamment que les données puissent être utilisées aux fins de mesures ou de décisions se rapportant à des personnes déterminées.

* 3. Si une limitation prévue au paragraphe 1 est imposée, la personne concernée est informée des principales raisons qui motivent cette limitation et de son droit de saisir le contrôleur européen de la protection des données.

* 4. Dès que le motif à l'origine des limitations prévues au paragraphe 1 cesse d'exister, les dispositions mentionnées au paragraphe 1 sont à nouveau pleinement applicables.

SECTION 7

DROIT D'OPPOSITION ET PLAINTES

Article 19

Le droit d'opposition de la personne concernée

La personne concernée peut s'opposer à tout moment, pour des raisons impérieuses et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l'objet d'un traitement, sauf dans les cas relevant de l'article 5, points b), c) et d). En cas d'opposition justifiée, le traitement en question ne peut plus porter sur ces données.

Article 20

Le droit de la personne concernée à déposer plainte

La personne concernée peut à tout moment déposer une plainte auprès du contrôleur européen de la protection des données.

Article 21

Décisions individuelles automatisées

Aucune personne ne peut être soumise à une décision produisant des effets juridiques à son égard ou l'affectant de manière significative, prise sur le seul fondement d'un traitement automatisé de données destiné à évaluer certains aspects de sa personnalité, tels que son rendement professionnel, sa fiabilité ou son comportement, sauf si cette décision est expressément autorisée par une disposition légale qui précise les mesures garantissant la sauvegarde des intérêts légitimes de la personne concernée.

SECTION 8

CONFIDENTIALITÉ ET SÉCURITÉ DES TRAITEMENTS

Article 22

Confidentialité des traitements

Toute personne agissant sous l'autorité du responsable du traitement ou celle du sous-traitant, ainsi que le sous-traitant lui-même, qui accède à des données à caractère personnel, ne peut les traiter que sur instruction du responsable du traitement, sauf en vertu du droit national.

Article 23

Sécurité des traitements

* 1. Le responsable du traitement doit mettre en oeuvre les mesures techniques et organisationnelles nécessaires pour assurer un niveau de sécurité approprié au regard des risques présentés par le traitement et de la nature des données à caractère personnel à protéger, compte tenu de l'état des techniques et du coût lié à la mise en oeuvre de ces mesures.

* 2. Lorsque des données à caractère personnel font l'objet d'un traitement manuel, des mesures appropriées sont prises, dans le but notamment d'empêcher tout accès, toute divulgation, toute modification ou toute destruction non autorisés ou encore toute perte accidentelle.

* 3. Lorsque des données à caractère personnel font l'objet d'un traitement automatisé, des mesures sont prises, notamment dans le but:

a) d'empêcher toute personne non autorisée d'avoir accès aux systèmes informatiques de traitement des données à caractère personnel;

b) d'empêcher que des supports de stockage puissent être lus, copiés, modifiés ou déplacés sans autorisation;

c) d'empêcher toute introduction non autorisée de données dans la mémoire ainsi que toute divulgation, toute modification ou tout effacement non autorisés de données à caractère personnel mémorisées;

d) d'empêcher des personnes non autorisées d'utiliser des systèmes de traitement de données au moyen d'installations de transmission de données;

e) de garantir que les utilisateurs autorisés d'un système de traitement des données ne puissent accéder qu'aux données à caractère personnel que leur droit d'accès leur permet de consulter;

f) de garder une trace des données à caractère personnel qui ont été communiquées, du moment où elles ont été communiquées et de leur destinataire;

g) de garantir qu'il sera possible de vérifier a posteriori quelles données à caractère personnel ont été traitées, à quel moment et par quelles personnes;

h) de garantir que des données personnelles qui sont traitées pour le compte de tiers ne peuvent l'être que de la façon prévue par l'institution ou l'organe contractant;

i) de garantir que, lors de la communication de données à caractère personnel et du transport de supports de stockage, les données ne puissent être lues, copiées ou effacées sans autorisation;

j) de concevoir la structure organisationnelle interne d'une institution ou d'un organe de manière à ce qu'elle réponde aux exigences propres à la protection des données.

Article 24

Traitement de données à caractère personnel pour le compte du responsable du traitement

* 1. Le responsable du traitement doit, lorsque le traitement est effectué pour son compte, choisir un sous-traitant qui apporte des garanties suffisantes au regard des mesures de sécurité technique et d'organisation prévues par l'article 23 et veiller au respect de ces mesures.

* 2. La réalisation de traitements en sous-traitance doit être régie par un contrat ou un acte juridique qui lie le sous-traitant au responsable du traitement et qui prévoit notamment que:

a) le sous-traitant n'agit que sur instruction du responsable du traitement;

b) les obligations visées à l'article 23 incombent également au sous-traitant.

* 3. Aux fins de la conservation des preuves, les éléments du contrat ou de l'acte juridique relatifs à la protection des données et les exigences portant sur les mesures visées à l'article 23 sont consignés par écrit ou sous une autre forme équivalente.

SECTION 9

DÉLÉGUÉ À LA PROTECTION DES DONNÉES

Article 25

Désignation et tâches d'un délégué à la protection des données

* 1. Chaque institution et organe communautaire désigne au moins une personne, de rang approprié, comme délégué à la protection des données; les attributions de cette personne sont les suivantes:

a) veiller à ce que les responsables du traitement et les personnes concernées soient informés de leurs droits et obligations;

b) coopérer avec le contrôleur européen de la protection des données à la demande de ce dernier ou de sa propre initiative;

c) assurer, d'une manière indépendante, l'application interne des dispositions du présent règlement et de toutes les autres dispositions adoptées pour leur mise en oeuvre;

d) tenir un registre des traitements effectués par le responsable du traitement, contenant les informations visées à l'article 26, paragraphe 2;

e) notifier au contrôleur européen de la protection des données les opérations de traitement susceptibles de présenter des risques particuliers au sens de l'article 28,

* garantissant ainsi que les traitements ne risquent pas de porter atteinte aux droits et libertés des personnes concernées.

* 2. Le délégué à la protection des données se voit affecter le personnel et les ressources nécessaires à l'exécution de ses missions.

* 3. Des dispositions complémentaires d'application sont adoptées par chaque institution ou organe communautaire sur la base des lignes directrices figurant à l'annexe I. Les dispositions complémentaires concernent en particulier la qualification, la nomination, la révocation, l'indépendance et les tâches, les fonctions et les pouvoirs du délégué à la protection des données.

Article 26

Notification au délégué à la protection des données

* 1. Avant d'entreprendre un traitement ou une série de traitements poursuivant une même finalité ou des finalités liées, le responsable du traitement doit en informer le délégué à la protection des données.

* 2. Les informations à fournir comprennent au minimum les informations figurant à l'annexe II.

* Le délégué à la protection des données doit être informé rapidement de tout changement affectant lesdites informations.

Article 27

Registre

Chaque délégué à la protection des données tient un registre des traitements notifiés en vertu de l'article 26.

Les registres visés au paragraphe 1 contiennent au minimum les informations visées à l'article 26, paragraphe 2.

Toute personne peut consulter les registres.

SECTION 10

CONTRÔLES PRÉALABLES EFFECTUÉS PAR LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES

Article 28

* 1. Le contrôleur européen de la protection des données précise les traitements susceptibles de présenter des risques particuliers au regard des droits et libertés des personnes concernées, du fait de leur nature, de leur portée ou de leurs finalités telles que celle d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat, ou du fait de l'usage particulier d'une technologie nouvelle.

* Ces traitements sont notamment les suivants:

- certains traitements portant sur des catégories particulières de données visées à l'article 10;

- les traitements destinés à évaluer des aspects de la personnalité des personnes concernées, tels que leur compétence, leur rendement ou leur comportement.

* Ces traitements sont soumis à des contrôles préalables.

* 2. Les contrôles préalables sont effectués par le contrôleur européen de la protection des données après réception de la notification du délégué à la protection des données qui, en cas de doute, doit le consulter.

* 3. Le contrôleur européen de la protection des données rend son avis dans les deux mois qui suivent la réception de la notification. Si, au terme de ces deux mois, l'avis n'est pas rendu, il est réputé favorable.

* 4. Le contrôleur européen de la protection des données tient un registre des traitements qui lui sont notifiés en vertu du paragraphe 2. Le registre contient les informations visées à l'article 26, paragraphe 2, et peut être consulté par toute personne.

* 5. Aucun moyen automatisé de communication entre les institutions ou les organes communautaires, tel qu'un accès en ligne aux bases de données ou un système d'interconnexion, ne pourra être mis en place avant d'avoir été examiné par le contrôleur européen de la protection des données.

* Dans le cadre de son examen, le contrôleur européen de la protection des données détermine si le moyen automatisé de communication est compatible avec les intérêts légitimes des personnes concernées et nécessaire à la réalisation des tâches des institutions ou des organes communautaires concernés.

CHAPITRE III

VOIES DE RECOURS ET SANCTIONS

Article 29

Recours

* 1. Sans préjudice d'un recours juridictionnel, toute personne concernée peut saisir le contrôleur européen de la protection des données si elle estime que ses droits ont été violés à la suite du traitement, effectué par une institution ou un organe communautaire, de données à caractère personnel la concernant.

* 2. La Cour de Justice et le Tribunal de première instance des Communautés européennes sont compétents pour connaître de tout litige relatif aux dispositions du présent règlement, y compris les demandes de réparation.

Article 30

Sanctions

Tout manquement aux obligations auxquelles un fonctionnaire ou un autre agent des Communautés européennes est tenu en vertu du présent règlement, commis intentionnellement ou par négligence, l'expose à une sanction disciplinaire, conformément aux dispositions du statut des fonctionnaires des Communautés européennes et du régime applicable aux autres agents de ces Communautés.

CHAPITRE IV

PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL ET DE LA VIE PRIVÉE DANS LE CADRE DES RÉSEAUX INTERNES DE TÉLÉCOMMUNICATIONS

Article 31

Champ d'application

Outre les autres dispositions du présent règlement, le présent chapitre s'applique aux traitements de données à caractère personnel liés à l'utilisation de réseaux de télécommunications et des équipements de terminaux fonctionnant sous le contrôle d'une institution ou d'un organe communautaire.

Aux fins du présent chapitre, on entend par "utilisateur" toute personne physique utilisant un réseau de télécommunications fonctionnant sous le contrôle d'une institution ou d'un organe communautaire.

Article 32

Sécurité

* 1. Les institutions et organes communautaires prennent les mesures techniques et organisationnelles appropriées afin de garantir la sécurité d'utilisation des réseaux de télécommunications et des équipements de terminaux, le cas échéant en liaison avec les fournisseurs des services de télécommunications accessibles au public et/ou les fournisseurs des réseaux publics de télécommunications. Ces mesures doivent être de nature à garantir un niveau de sécurité adapté au risque existant, compte tenu de l'état des techniques et du coût lié à la mise en oeuvre desdites mesures.

* 2. Lorsqu'il existe un risque particulier ne garantissant plus la sécurité du réseau et des équipements de terminaux, l'institution ou l'organe communautaire concerné informe les utilisateurs de l'existence de ce risque ainsi que des mesures susceptibles de l'éliminer ou des autres moyens de communication susceptibles d'être utilisés.

Article 33

Confidentialité des communications

* 1. Les institutions et organes communautaires garantissent la confidentialité des communications réalisées au moyen de réseaux de télécommunications et des équipements de terminaux.

* Les écoutes, enregistrements, mises en mémoire ou autres types d'interception ou de contrôle des communications par des personnes autres que les utilisateurs, et sans le consentement de ceux-ci, sont interdits.

* 2. Le paragraphe 1 n'affecte pas l'enregistrement de communications autorisé par les règles internes des institutions et organismes communautaires en vue de fournir la preuve d'actes juridiques ou de procédure afférents aux missions des institutions ou organismes communautaires en cause, sous réserve de l'accord du contrôleur européen de la protection des données.

Article 34

Données relatives au trafic et à la facturation

* 1. Les données relatives au trafic qui concernent les utilisateurs et qui sont traitées et mises en mémoire afin d'établir les communications, ou d'autres types de connexions, sur les réseaux de télécommunications doivent être effacées ou rendues anonymes dès que la communication ou la connexion concernées sont terminées, sans préjudice des dispositions des paragraphes 2, 3 et 4.

* 2. Les données relatives au trafic telles qu'indiquées dans une liste agréée par le contrôleur européen de la protection des données peuvent être traitées pour des finalités liées à la gestion du budget des télécommunications et du trafic, y compris la vérification de l'usage autorisé des systèmes de télécommunication.

* 3. Le traitement des données relatives au trafic et à la facturation est limité à ce qui est nécessaire aux fins des activités visées au paragraphe 2 et ne peut être réalisé que par les personnes responsables de la gestion de la facturation, du trafic ou du budget.

* 4. Les utilisateurs de réseaux de télécommunications ont le droit de recevoir des factures non détaillées.

Article 35

Annuaires d'utilisateurs

* 1. Les données à caractère personnel contenues dans des annuaires d'utilisateurs imprimés ou électroniques sont limitées à ce qui est strictement nécessaire pour les finalités spécifiques de l'annuaire.

* 2. Les institutions et organes communautaires prennent toutes les mesures nécessaires pour empêcher que les données à caractère personnel contenues dans les annuaires, qu'ils soient ou non accessibles au public, ne soient utilisées à des fins de prospection directe.

Article 36

Indication de l'identification des lignes appelante et connectée et limitation de cette possibilité

* 1. Dans les cas où l'indication de l'identification de la ligne appelante est offerte, l'utilisateur appelant doit pouvoir éliminer, par un moyen simple et gratuit, l'indication de l'identification de la ligne appelante.

* 2. Dans les cas où l'indication de l'identification de la ligne appelante est offerte, l'utilisateur appelé doit pouvoir empêcher, par un moyen simple et gratuit, l'indication de l'identification de la ligne pour les appels entrants.

* 3. Dans les cas où l'indication de l'identification de la ligne connectée est offerte, l'utilisateur appelé doit pouvoir, par un moyen simple et gratuit, supprimer l'indication de l'identification de la ligne connectée auprès de la personne qui appelle.

* 4. Dans les cas où l'indication de l'identification de la ligne appelante et/ou connectée est offerte, les institutions et organes communautaires informent les utilisateurs de cette situation, ainsi que des possibilités prévues aux paragraphes 1, 2 et 3.

Article 37

Dérogations

Les institutions et organes communautaires veillent à l'existence de procédures transparentes régissant les modalités grâce auxquelles elles peuvent passer outre à la suppression de l'indication de l'identification de la ligne appelante:

* a) à titre temporaire, lorsqu'un utilisateur demande l'identification d'appels malveillants ou dérangeants;

* b) ligne par ligne pour les organismes répondant à des appels d'urgence, dans le but de répondre à de tels appels.

CHAPITRE V

AUTORITÉ DE CONTRÔLE: LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES

Article 38

Autorité de contrôle: le contrôleur européende la protection des données

* 1. Il est institué une autorité de contrôle dénommée le contrôleur européen de la protection des données.

* 2. L'autorité de contrôle est chargée de surveiller l'application des dispositions du présent règlement, ainsi que de tout autre acte communautaire concernant la protection des personnes physiques à l'égard des traitements de données à caractère personnel effectués par une institution ou un organe communautaire.

Article 39

Nomination

* 1. Sur proposition de la Commission, le Parlement européen, le Conseil et la Commission nomment, d'un commun accord, le contrôleur européen de la protection des données pour une durée de quatre ans.

* 2. Le contrôleur européen de la protection des données est choisi parmi les personnes qui, dans leurs pays respectifs, font ou ont fait partie des autorités indépendantes de contrôle des traitements de données à caractère personnel ou qui sont particulièrement qualifiées pour remplir cette fonction.

* 3. Le mandat du contrôleur européen de la protection des données est renouvelable.

* 4. Le contrôleur européen de la protection des données reste en fonction jusqu'à ce qu'il soit pourvu à son remplacement.

* 5. En dehors des renouvellements réguliers et des décès, les fonctions du contrôleur européen de la protection des données prennent fin s'il démissionne ou s'il est mis à la retraite d'office conformément au paragraphe 6.

* 6. Le contrôleur européen de la protection des données peut être déclaré démissionnaire par la Cour de Justice, à la requête du Parlement européen, du Conseil ou de la Commission, s'il ne remplit plus les conditions nécessaires à l'exercice de ses fonctions ou s'il a commis une faute grave.

7. Sous réserve des dispositions du présent chapitre, les dispositions du protocole sur les privilèges et immunités des Communautés européennes applicables aux juges de la Cour de Justice s'appliquent également au contrôleur européen de la protection des données.

Article 40

Régime applicable au contrôleur européen de la protection des données

* 1. Le Parlement européen, le Conseil et la Commission fixent, d'un commun accord, le régime applicable au contrôleur européen de la protection des données et, en particulier, son traitement, ses indemnités et tout avantage tenant lieu de rémunération.

* 2. Le Parlement veille à ce que le contrôleur européen de la protection des données dispose du personnel et des équipements nécessaires à l'exécution de sa mission.

* 3. Le personnel et les équipements sont imputés sur une ligne budgétaire spécifique dans la section Parlement européen du budget général.

* 4. Les membres du personnel sont nommés par le contrôleur européen de la protection des données, qui est leur supérieur hiérarchique et dont ils relèvent exclusivement.

* 5. Les fonctionnaires et les autres agents du secrétariat sont soumis aux règlements et réglementations applicables aux fonctionnaires et autres agents des Communautés européennes.

* 6. Pour les questions concernant son personnel, le contrôleur européen de la protection des données est assimilé aux institutions au sens de l'article 1er du statut des fonctionnaires des Communautés européennes.

Article 41

Indépendance

* 1. Le contrôleur européen de la protection des données exerce ses fonctions en toute indépendance.

* 2. Dans l'accomplissement de sa mission, le contrôleur européen de la protection des données ne sollicite ni n'accepte d'instructions de quiconque.

* 3. Le contrôleur européen de la protection des données s'abstient de tout acte incompatible avec le caractère de ses fonctions et, pendant la durée de celles-ci, ne peut exercer aucune autre activité professionnelle, rémunérée ou non.

* 4. Après la cessation de ses fonctions, le contrôleur européen de la protection des données est tenu de respecter les devoirs d'honnêteté et de délicatesse quant à l'acceptation de certaines fonctions ou de certains avantages.

Article 42

Secret professionnel

Le contrôleur européen de la protection des données et son personnel sont, pendant la durée de leurs fonctions et après la cessation de celles-ci, tenus au secret professionnel en ce qui concerne toute information confidentielle dont ils ont eu connaissance dans l'exercice de leurs fonctions.

Article 43

Fonctions

Le contrôleur européen de la protection des données:

* a) reçoit et examine les plaintes;

* b) contrôle toutes les opérations de traitement portant sur des données à caractère personnel effectuées par toute institution ou tout organe communautaire, à l'exclusion de la Cour de Justice et du Tribunal de première instance des Communautés européennes dans l'exercice de leurs fonctions juridictionnelles;

* c) conseille toutes les institutions et tous les organes communautaires pour toutes les questions concernant l'utilisation de données à caractère personnel, en particulier avant l'élaboration par ces institutions et organes de règles internes relatives à la protection des droits et libertés fondamentaux des personnes à l'égard du traitement des données à caractère personnel;

* d) suit l'évolution des technologies de l'information et des communications, dans la mesure où elles ont une incidence sur la protection des données à caractère personnel;

e) coopère avec les autorités nationales de contrôle dans la mesure nécessaire à l'accomplissement de ses missions, notamment en échangeant toutes informations utiles ou en demandant à une autorité d'un État membre d'exercer ses pouvoirs;

f) participe aux activités du groupe de protection des personnes à l'égard du traitement des données à caractère personnel institué par l'article 29 de la directive 95/46/CE;

g) tient un registre des traitements qui lui ont été notifiés;

h) effectue un contrôle préalable des traitements qui lui ont été notifiés.

Article 44

Consultation

* 1. Les institutions et organes communautaires informent le contrôleur européen de la protection des données de tout projet de mesures relatives à un traitement de données à caractère personnel impliquant une institution ou un organe communautaire, seuls ou conjointement avec d'autres.

* 2. Le contrôleur européen de la protection des données est informé par la Commission de tout projet de législation communautaire impliquant un traitement de données à caractère personnel.

* 3. Le contrôleur européen de la protection des données peut être consulté par toutes les institutions et tous les organes communautaires pour toute opération relative au traitement de données à caractère personnel.

Article 45

Recours

* 1. Toute personne employée par une institution ou un organe communautaire peut, pour une question affectant ses fonctions, saisir le contrôleur européen de la protection des données, sans passer par les voies officielles.

* 2. Nul ne doit subir de préjudice pour avoir saisi le contrôleur européen de la protection des données d'un recours ou d'une plainte alléguant une violation des dispositions qui régissent le traitement des données à caractère personnel.

Article 46

Pouvoirs

* 1. Le contrôleur européen de la protection des données peut également:

a) mener des enquêtes, soit de sa propre initiative, soit sur la base d'une plainte ou d'un recours;

b) recevoir sans délai toutes les informations relatives à ses enquêtes;

c) avoir à tout moment accès à tous les locaux officiels.

* Tous les responsables du traitement apportent une assistance au contrôleur européen de la protection des données dans l'accomplissement de ses fonctions.

* 2. Le contrôleur européen de la protection des données a le pouvoir:

a) d'ordonner la rectification, le verrouillage, l'effacement ou la destruction de toutes les données traitées en violation des dispositions régissant le traitement de données à caractère personnel;

b) d'interdire temporairement ou définitivement un traitement;

c) d'adresser un avertissement ou une admonestation au responsable du traitement;

d) de saisir l'institution ou l'organisme concerné et si nécessaire le Parlement européen, le Conseil et la Commission;

e) d'intervenir dans les affaires portées devant la Cour de Justice et le Tribunal de première instance;

f) de conseiller les personnes concernées et, à leur demande, de les assister en tant qu'expert dans le cadre d'une procédure devant le Tribunal de première instance.

* 3. Lorsque le contrôleur européen de la protection des données constate une violation des dispositions régissant le traitement des données à caractère personnel ou toutes autres irrégularités dans le traitement, il saisit l'institution ou l'organe concerné et, le cas échéant, formule des propositions tendant à corriger ces irrégularités et à améliorer la protection des personnes concernées.

* 4. L'institution ou l'organe concerné fait parvenir au contrôleur européen de la protection des données un avis, dans le délai que ce dernier aura fixé. Dans cet avis figure également une description des mesures prises en réponse aux observations du contrôleur européen de la protection des données.

* 5. En cas de plainte ou de recours, le contrôleur européen de la protection des données informe les personnes concernées du résultat de ses enquêtes.

* 6. Si l'accès a été refusé à une personne concernée, le contrôleur européen de la protection des données lui fait uniquement savoir si les données ont été traitées correctement et, dans la négative, si les corrections nécessaires ont été apportées.

* Si le contrôleur européen de la protection des données considère que l'application de la limitation du droit de confirmation prévu à l'article 13, point a), se trouve privée de son effet si cette information est communiquée, il n'informe pas la personne concernée du résultat de son enquête.

* 7. Les décisions du contrôleur européen de la protection des données peuvent faire l'objet d'un recours devant la Cour de Justice ou le Tribunal de première instance.

Article 47

Rapport d'activité

* 1. Le contrôleur européen de la protection des données présente au Parlement européen un rapport annuel sur ses activités, qu'il publie parallèlement.

* 2. Le rapport est transmis aux autres institutions et organes de l'Union européenne et est examiné avec leurs réponses par le Parlement européen.

CHAPITRE VI

DISPOSITIONS FINALES

Article 48

Période transitoire

Les institutions et organes communautaires prennent les mesures nécessaires pour que les opérations de traitement déjà en cours à la date d'entrée en vigueur du présent règlement soient mises en conformité avec celui-ci, dans un délai d'un an à compter de ladite date.

Article 49

Entrée en vigueur

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel des Communautés européennes.

Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.

Fait à Bruxelles, le

Par le Parlement européen Par le Conseil

Le président Le président

ANNEXE I

* 1. Le délégué à la protection des données est choisi en fonction de son autorité personnelle, de ses connaissances spécialisées dans le domaine de la protection des données et du crédit dont il jouit.

* 2. La nomination d'une personne en tant que délégué à la protection des données ne doit pas donner lieu à un conflit d'intérêts avec toute autre fonction officielle qu'elle pourrait exercer, en particulier dans le cadre de l'application des dispositions du présent règlement.

* 3. Le délégué à la protection des données est nommé pour une période d'au moins deux ans. Son mandat pourra être renouvelé. Le délégué à la protection des données ne peut être démis de ses fonctions qu'avec le consentement du contrôleur européen de la protection des données, s'il ne remplit plus les conditions requises pour l'exercice de ses fonctions.

* 4. Le délégué à la protection des données ne peut recevoir aucune instruction dans l'exercice de ses fonctions.

* 5. Après la nomination du délégué à la protection des données, le nom de ce dernier est communiqué au contrôleur européen de la protection des données par l'institution, l'organe (ou la personne) qui l'a nommé.

* 6. Le délégué à la protection des données peut faire des recommandations en vue d'améliorer concrètement la protection des données, et conseiller l'institution ou l'organe communautaire qui l'a désigné et le responsable du traitement concerné sur des questions touchant à l'application des dispositions relatives à la protection des données. En outre, de sa propre initiative ou à la demande de l'institution ou l'organe communautaire qui l'a désigné, du responsable du traitement, du comité du personnel concerné ou de la personne concernée, il examine des questions et des faits qui sont directement en rapport avec ses attributions et qui ont été portés à sa connaissance.

* 7. Le délégué à la protection des données peut être consulté directement, sans passer par les voies officielles, sur toute question concernant l'interprétation ou l'application du présent règlement, par l'institution ou l'organe communautaire qui l'a désigné, le responsable du traitement ou le comité du personnel concerné ou encore par toute personne physique.

* 8. Aucune personne ne doit subir de préjudice pour avoir porté à l'attention du délégué à la protection des données un fait dont elle allègue qu'il constitue une violation des dispositions du présent règlement.

* 9. Tout responsable du traitement concerné est tenu d'aider le délégué à la protection des données dans l'exécution de ses missions et de lui fournir les informations qu'il sollicite. Dans l'accomplissement de ses missions, le délégué à la protection des données a accès, à tout moment, aux données qui font l'objet des opérations de traitement, à tous les locaux, toutes les installations de traitement de données et tous les supports d'information; il est habilité à recueillir toutes les informations nécessaires.

* 10. Dans la mesure nécessaire, le délégué à la protection des données est déchargé d'autres activités. Le délégué à la protection des données et son personnel, auxquels s'applique l'article 287 du traité, sont tenus de ne pas divulguer les informations ou les documents obtenus dans l'exercice de leurs fonctions.

ANNEXE II

* 1. Le nom et l'adresse du responsable du traitement.

* 2. Les noms des personnes ou l'indication des services d'une institution ou d'un organe responsables du traitement de données à caractère personnel dans un but spécifique.

* 3. La ou les finalités du traitement.

* 4. Une description de la catégorie ou des catégories de personnes concernées et des données ou des catégories de données s'y rapportant.

* 5. La base juridique du traitement auquel les données sont destinées.

* 6. Les destinataires ou les catégories de destinataires auxquels les données sont susceptibles d'être communiquées.

* 7. Les dates limites pour le verrouillage et l'effacement des différentes catégories de données.

* 8. Les transferts de données envisagés à destination de pays tiers.

* 9. Une description générale permettant une évaluation préliminaire du caractère approprié des mesures prises pour assurer la sécurité du traitement en application de l'article 23.

COMMENTAIRES DES ARTICLES

Conformément au nouvel article 286 du traité, les institutions et organes communautaires sont tenus d'appliquer les actes communautaires relatifs à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. Cette obligation limite considérablement la liberté de choix de la Commission en ce qui concerne le contenu et la portée des règles de fond sur la protection des données qui sont définies dans le présent règlement. En d'autres termes, l'article 286 du traité contraint la Commission à respecter les limites fixées par la directive 95/46/CE. C'est la principale raison pour laquelle le présent règlement suit étroitement le libellé de la directive 95/46/CE, ainsi que le système qu'elle prévoit. L'autre raison est la nécessité d'une interprétation identique de la directive et du règlement.

Toutefois, le texte du règlement n'est pas entièrement identique à celui de la directive. Celle-ci définit un cadre qui nécessite l'adoption d'autres dispositions, soit en droit national pour les différents États membres, soit, pour les institutions et organes communautaires, avec le présent règlement. Les règles définies dans le présent règlement sont plus précises et plus détaillées que celles figurant dans la directive. Sur certaines questions, la directive laisse une possibilité de choix entre différentes solutions. C'est aussi l'une des raisons pour lesquelles le texte du règlement diffère de celui de la directive. En outre, le règlement institue l'organe indépendant de contrôle mentionné à l'article 286 du traité, ce qui nécessite des dispositions plus détaillées que celles de la directive, qui laisse aux États membres le soin d'adopter des dispositions d'exécution par le biais d'actes législatifs nationaux.

Les présents commentaires concernent les dispositions du règlement qui ne sont pas identiques aux dispositions correspondantes de la directive.

Chapitre I: Dispositions générales

Article 1: Objet du règlement

L'article 1 concerne l'objet du règlement. La protection assurée s'étend non seulement aux traitements de données relatives à des agents des institutions ou à toute personne travaillant pour le compte de celles-ci, mais également aux traitements de données concernant toute personne physique extérieure aux institutions: fournisseurs ou bénéficiaires de fonds communautaires par exemple. Les informations personnelles transmises par les États membres à la Commission pour la gestion ou le contrôle du versement de subventions communautaires sont, en particulier, protégées au titre du présent règlement.

Il faut souligner que l'objet du présent règlement se distingue de celui de la directive.

Celle-ci, fondée sur l'article 100A du traité CE, vise à concilier les impératifs de la réalisation du marché intérieur avec ceux de la protection des personnes. Cette conciliation est exprimée dans les deux paragraphes de l'article premier: le premier posant l'obligation pour les États membres d'assurer la protection des droits et des libertés des personnes conformément à la directive, le second en tirant les conséquences sur le plan de la libre circulation des données à caractère personnel au sein du marché intérieur. En d'autres termes, le premier paragraphe se réfère au moyen mis en oeuvre: l'harmonisation des législations nationales, le second au but poursuivi: à savoir la libre circulation des données à caractère personnel.

Il n'y a pas lieu de reproduire cette logique à l'article 1 du présent règlement.

Celui-ci a pour objet de mettre en oeuvre l'obligation pour les institutions et organismes communautaires de respecter les droits et libertés fondamentaux des personnes, et notamment de leur droit à la vie privée, à l'égard du traitement de leurs données à caractère personnel.

Le présent règlement aura donc évidemment pour effet d'assurer que les données à caractère personnel transmises, pour l'accomplissement de leurs tâches, aux institutions et organismes communautaires seront traitées dans des conditions garantissant le respect des droits et libertés fondamentaux des personnes concernées, conditions elles-mêmes harmonisées sur celles prévues dans la directive.

Mais, il ne semble pas nécessaire de répéter dans le présent règlement une disposition semblable à celle posée à l'article 1, paragraphe 2, de la directive, la circulation des informations, notamment des informations personnelles, entre les États membres et les institutions et organismes communautaires, voire même entre les institutions et organismes, est régie par les dispositions pertinentes des traités (tel que l'article 213 du traité CE) ou du droit communautaire dérivé.

Par ailleurs, il va de soi que le présent règlement ne porte pas préjudice aux droits qui peuvent être garantis par d'autres dispositions communautaires ou nationales. Il en est ainsi en particulier des règles posées par le statut du personnel des Communautés européennes.

Article 2: définitions

Cet article reprend les définitions de l'article 2 de la directive.

La définition relative au «responsable du traitement » a, toutefois, été adaptée au contexte communautaire spécifique. Il s'agit là de précisions purement factuelles, soulignant que, selon la situation, le responsable peut-être une institution ou un organisme, ou un service administratif, une direction générale par exemple. Toutefois, les critères permettant de déterminer qui, dans les faits, doit être considéré comme responsable d'un traitement de données, sont repris de la directive. Il s'agit de l'entité qui décide de la finalité du traitement et des moyens à mettre en oeuvre pour effectuer ce traitement.

Article 3: champ d'application

Paragraphe 1: institutions et organismes auxquelles le règlement est applicable

Le règlement vise à s'appliquer aux traitements de données à caractère personnel effectués par l'ensemble des institutions et organismes communautaires.

Sont par conséquent dans le champ d'application du règlement, les traitements effectués par:

- les institutions énumérées à l'article 7 du traité instituant la Communauté européenne: le Parlement européen, le Conseil, la Commission, la Cour de justice, la Cour des comptes;

- les organismes crées par les traités instituant la Communauté européenne, la CECA et la CEEA: la Banque centrale européenne, la Banque européenne d'investissement, le Comité économique et social, le comité des régions.

- les organismes crées sur la base d'actes communautaires dérivés, pris sur la base de l'article 308 CE par exemple, tels que: le Centre européen pour le développement de la formation professionnelle, la Fondation européenne pour l'amélioration des conditions de vie et de travail, l'Agence européenne pour l'environnement, la Fondation européenne pour la formation, l'Observatoire européen des drogues et des toxicomanies, l'Agence européenne pour l'évaluation des médicaments, l'Office de l'harmonisation dans le marché intérieur (marques et dessins), l'Agence européenne pour la santé et la sécurité au travail, l'Office communautaire des variétés végétales, le Centre de traduction des organes de l'Union.

Le règlement vise à s'appliquer indifféremment aux traitements mis en oeuvre pour l'exercice de toutes les activités incombant aux institutions et organismes communautaires. Aucune distinction n'est introduite entre ces activités: il peut s'agir d'activités menées au titre du titre des traités CE,CECA, CEEA, voire même, le cas échéant, d'activités menées au titre du Titre VI du traité d'Union européenne.

En revanche, le présent règlement n'englobe pas dans son champ d'application les traitements de données à caractère personnel effectués par les organes crées dans le cadre du Titre VI du traité d'UE, tel que Europol.

Paragraphe 2: traitements soumis au règlement

Ce paragraphe reproduit le paragraphe 2 de l'article 3 de la directive: il vise à s'appliquer aux traitements automatisés en tout ou en partie et au traitement non automatisé de données contenues ou appelées à figurer dans un fichier.

Chapitre II: Conditions générales de licéité des traitements de données à caractère personnel

Section I: Principes relatifs à la qualité des données

Article 4:

Cet article reprend les dispositions de l'article 6 de la directive.

Il reprend en particulier sous les alinéa b) et c) les dérogations permettant l'utilisation ultérieure des données à des fins historiques, statistiques ou scientifiques, dérogations qui doivent toutefois être assorties de garanties appropriées.

Le texte prévoit que les garanties appropriées devront être prises par l'institution ou par l'organisme qui poursuit la finalité historique, statistique ou scientifique en cause.

D'autres traitements, effectués à des fins différentes de celles pour lesquelles les données ont été collectées à l'origine, peuvent être expressément autorisés par des dispositions légales, comme par exemple l'article 16 de règlement (CE) n 322/97 du Conseil, du 17 février 1997, relatif au statistiques communautaires, qui prévoit la possibilité d'utiliser les données administratives afin de réduire la "charge de réponse" des personnes remplissant les questionnaires.

Section II: Principes relatifs à la légitimation des traitements de données

Article 5:

Cet article reprend, à l'instar de l'article 7 de la directive, la liste exhaustive des conditions de légitimation des traitements.

Cependant, trois modifications sont introduites:

- la présentation de la liste est modifiée;

- elle est plus limitée;

- le libellé de l'une des conditions est précisé.

- La présentation de la liste est modifiée: ces conditions ont été classées dans selon l'ordre d'importance pratique que l'on peut raisonnablement attendre pour des autorités publiques, telles que les institutions et organismes communautaires. En particulier, il apparaît logique de faire figurer comme première condition de légitimation l'exécution de la mission dont sont investis ces institutions et organismes. De même, le consentement des personnes concernées ou l'intérêt vital de celles-ci, même s'ils sont nécessaires pour faire face à certaines activités des institutions et organismes, par exemple en ce qui concerne la gestion de leurs services médicaux, ne devraient pas en pratique être les conditions de légitimation des traitements les plus couramment utilisées.

- La liste est plus limitée: l'alinéa b) de l'article 7 de la directive n'est pas repris dans le présent règlement. Cet alinéa, qui fonde la légitimation du traitement sur l'intérêt légitime du responsable ou d'un tiers à condition que l'intérêt de la personne dont les données sont traitées ne prévale pas, ne trouve pas application dans le domaine des activités du secteur public. Son large champ d'application ne devrait au contraire couvrir que les activités du secteur privé.

- L'adaptation du libellé de l'alinéa a): cet alinéa reprend l'alinéa e) de l'article 7 de la directive, tout en l'adaptant au contexte communautaire: ce sont les institutions et organismes communautaires qui sont investis d'une autorité publique sur la base de laquelle, le cas échéant, des traitements de données pourront être effectués. L'alinéa a) inclut aussi le traitement de données à caractère personnel nécessaire pour la gestion courante des institutions et organismes communautaires, par exemple le traitement des données personnels des fonctionnaires.

Article 6: traitements ultérieurs à des fins compatibles

Cet article se réfère au traitement des données pour une finalité différente mais compatible avec la finalité pour laquelle les données ont été collectées.

Le paragraphe 1 exige que le traitement ultérieur à des fins compatibles soit légitimé par le règlement intérieur de l'institution ou de l'organe concerné.

Les paragraphes 2 et 3 précisent deux cas de traitement ultérieur. Le paragraphe 2 autorise le traitement ultérieur afin de garantir le respect des règlements financiers et budgétaires. Le paragraphe 3 interdit tout traitement ultérieur de données à caractère personnel collectées dans le but d'assurer la sécurité ou le contrôle des systèmes ou des opérations de traitement.

L'article 6 s'applique sans préjudice de l'article 18, qui définit les conditions dans lesquelles tout traitement ultérieur à des fins non compatibles peut être autorisé.

Articles 7, 8 et 9: Transferts de données à caractère personnel

Les articles 7, 8 et 9 opèrent une distinction entre trois situations différentes.

L'article 7 traite du transfert de données à caractère personnel d'une institution ou d'un organe à un autre, ainsi que des transferts à l'intérieur des institutions et organes. Dans ces deux cas, les données à caractère personnel sont transférées vers un destinataire qui est également soumis au présent règlement.

L'article 8 traite du transfert de données à caractère personnel d'une institution ou d'un organe communautaire à un destinataire soumis aux dispositions de la directive 95/46/CE.

Les articles 7 et 8 sont applicables sans préjudice des articles 4, 5 et 6. Ils contiennent des garanties supplémentaires et, en ce qui concerne l'article 7, précisent les responsabilités du responsable du traitement et du destinataire.

Article 9: transferts de données à caractère personnel à un destinataire qui n'est pas soumis à un niveau adéquat de protection.

L'article 9, qui reproduit les articles 25 et 26 de la directive, traite du transfert de données à caractère personnel à un destinataire qui n'est soumis ni au présent règlement ni à la directive 95/46/CE. Dans la majorité des cas, il s'agit du transfert de donnnées à caractère personnel vers des pays tiers. Les dispositions de procédure prévues à l'article 9 ont été alignées, dans toute la mesure du possible, sur celles de la directive.

Section III: Catégories particulières de traitements

Article 10: Traitements portant sur des catégories particulières de données

Cet article reprend la même structure que l'article 8 de la directive, qui comprend:

- d'une part une interdiction de traitements des données sensibles posée au paragraphe 1, étant rappelé que sont considérées comme sensibles les catégories de données suivantes: données qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale et les données relatives à la santé et à la vie sexuelle;

- d'autre part une série de dérogations répondant à des besoins spécifiques et assorties de garanties appropriées.

On remarquera que le statut des fonctionnaires et autres agents des Communautés européennes contient déjà des dispositions relatives à l'interdiction de faire figurer au dossier individuel du fonctionnaire certaines données sensibles. L'article 26 du statut énumère les opinions politiques, philosophiques ou religieuses d'un fonctionnaire. Les autres catégories de données considérées comme sensibles par la directive ne sont pas visées par le statut qui devra, le moment venu, être aligné sur le présent règlement.

Les dérogations au traitement des données relatives aux condamnations pénales visées à l'article 8 paragraphe 5 de la directive, ne peuvent trouver qu'une application partielle pour les institutions et organismes communautaires.

L'autorité de contrôle communautaire est dotée par les paragraphes 4 à 6 du pouvoir de décider de dérogations supplémentaires (paragraphe 4), d'autoriser le traitement de données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté (paragraphe 5), et de déterminer les conditions dans lesquelles un numéro personnel ou tout autre identifiant peut faire l'objet d'un traitement à l'intérieur d'une institution ou organisme communautaire (paragraphe 6).

Un exemple de traitement de données à caractère personnel qui peut être autorisé par le contrôleur européen de la protection des données est le traitement qui vise à prévenir l'usage non-autorisé des réseaux informatiques, par exemple en cause d'usage pour la diffusion de documents politiques ou pornographiques.

La liberté de manoeuvre accordée au contrôleur européen de la protection des données dans les paragraphes 4 à 6 ne peut être utilisée de façon contraire aux exemptions inscrites dans le droit communautaire ou tout autre instrument légal.

Enfin, il est proposé de ne pas faire usage dans le présent règlement des facultés laissées par la directive aux États membres, sous les dispositions de l'article 8, paragraphe 5, deuxième alinéa, élargissant aux sanctions administratives et aux jugements civils, le régime applicable aux sanctions pénales.

Section IV: Information de la personne concernée

Article 11: Informations en cas de collecte de données auprès de la personne concernée

L'article 11 paragraphe 1 s'inspire étroitement de l'article 10 de la directive.

Deux observations doivent toutefois être faites:

- en ce qui concerne le débiteur de l'information: la référence au représentant du responsable faite à l'article 10 de la directive renvoie à la situation dans laquelle le responsable n'est pas établi sur le territoire de la Communauté, mais dans un pays tiers. Une telle référence n'a pas de sens s'agissant des institutions et organismes communautaires et n'a donc pas été reprise dans le présent règlement;

- en ce qui concerne la liste des informations à donner aux personnes concernées: tout comme l'article 10 de la directive, l'article 11 du présent règlement fixe une liste d'informations. Il est proposé de compléter la liste minimale prévue par la directive.

L'article 10 de la directive ne précise pas de façon expresse à quel moment la personne concernée doit être informée. En principe, il s'agira du moment auquel la donnée à caractère personnel est collectée. L'article 11 paragraphe 2 autorise le report de la fourniture de l'information à un moment ultérieur si ceci est nécessaire pour la raison spécifique mentionnée dans cette disposition.

Article 12: Informations lorsque les données n'ont pas été collectées auprès de la personne concernée

Les observations faites pour l'article 11 valent également pour l'article 12. Les exceptions à l'obligation d'information visées à l'article 11 de la directive ont été reprises, étant précisé que la loi qui peut servir de fondement à une telle dérogation doit s'entendre du droit communautaire.

Section V: Droit d'accès de la personne concernée aux données

Dans un souci de plus grande clarté le contenu de l'article 12 de la directive est réparti entre les articles 13 à 17.

En outre, quelques précisions ont été introduites par rapport à l'article 12.

Article 13: Droit d'accès

Cet article reproduit l'article 12, point a), de la directive.

Une modification est introduite relative aux frais dont le remboursement peut être éventuellement demandé à la personne qui exerce son droit d'accès. L'article 12 prévoit que ces frais ne doivent pas être excessifs. Au contraire, il est proposé de prévoir une gratuité complète.

Par ailleurs, il est proposé de ne pas utiliser la faculté prévue par la directive consistant à limiter l'obligation pour le responsable d'informer les personnes sur la connaissance de la logique qui sous-tend un traitement automatisé aux décisions automatisées.

Article 14: Rectification

Cet article, tout comme les articles 16 et 17, est consacré à l'une des trois mesures qui doivent être prises par le responsable du traitement s'il s'avère que le traitement des données n'est pas conforme au règlement. Ces trois articles du présent règlement reproduisent l'article 12, point b), de la directive, tout en apportant certaines précisions.

Article 15: Verrouillage

Cet article apporte diverses précisions relatives notamment aux hypothèses dans lesquelles:

- cette opération technique devrait être utilisée: contestation de l'adéquation des données traitées par rapport à la finalité poursuivie, conservation des données à des fins de preuve, demande de la personne concernée dans ce sens à la place de leur effacement;

- les données faisant l'objet d'un blocage peuvent être à nouveau utilisées.

Article 16: Effacement

Le paragraphe 1 impose l'effacement des données à caractère personnel ayant été traitées de façon illicite, notamment parce qu'il y a eu violation des conditions relatives à la qualité des données, à la légitimité du traitement et aux données à caractère sensible.

Le paragraphe 2 réitère le principe selon lequel les données à caractère personnel ne devront être conservées que pendant le temps nécessaire à la réalisation de l'objectif pour lequel elles ont été collectées.

Article 17: Notification aux tiers

Cet article reproduit l'article 12, point c), de la directive.

Section VI: Exceptions et limitations

Article 18: Exceptions et limitations

Le présent article reprend partiellement l'article 13 de la directive, lequel laisse certaines facultés aux États membres, facultés qui, si elles sont utilisées, doivent toutefois répondre à certaines conditions:

- en ce qui concerne les droits des personnes et les obligations du responsable dont la portée peut être limitée: contrairement à l'article 13 de la directive, le présent article vise à déroger à l'information des personnes (articles 11 et 12) et à leur droit d'accès (article 13). Les conditions dans lesquelles il peut être dérogé à la qualité des données, dans la mesure où il s'agit d'une finalité compatible, ont été déjà traitées sous l'article 6 du présent règlement relatif au changement de finalité. Par ailleurs, il n'est pas opportun de faire à l'article 18 du présent règlement une référence aux articles 14 à 16. L'exercice des droits prévus par ces articles suppose que le droit d'accès ait été accordé; en l'absence d'accès ils ne peuvent pas fonctionner; si l'accès est accordé, l'exception à ces droits n'est plus justifiée.

- en ce qui concerne les motifs pour lesquels les droits des personnes peuvent être limités: les motifs relatifs à la sûreté de l'État, à la défense et à la sécurité publique énumérés aux points a), b), et c) du paragraphe 1 de l'article 13 n'ont pas été repris, puisqu'ils ne peuvent pas trouver application pour les institutions et organismes communautaires.

- en ce qui concerne les garanties qui doivent être prises: l'article 13 de la directive n'autorise pas une dérogation pure et simple, mais de simples exceptions et limitations mises en oeuvre au cas par cas. C'est pourquoi, l'objet des paragraphes 3 et 4 du présent article est de prévoir diverses garanties en vue de protéger les personnes dont le droit d'accès serait refusé dans un cas particulier: droit d'être informé sur les principales raisons qui refusent au refus d'accès, sur la possibilité de saisir l'autorité de contrôle, droit d'information a posteriori.

Section VII: Droit d'opposition de la personne concernée

Article 19: Le droit d'opposition de la personne concernée

Cet article reprend l'article 14, point a), de la directive qui laisse une certaine marge de manoeuvre aux États membres quant au champ d'application de ce droit. Des précisions sont donc nécessaires dans le présent règlement.

Il est par ailleurs noté que le point b) de l'article 14 relatif au droit d'opposition en matière de prospection ne concerne pas l'activité des institutions et organismes communautaires.

De même, en ce qui concerne le champ d'application du droit d'opposition tel que défini au point a) de l'article 14 de la directive, il faut remarquer que la référence aux traitements effectués sur la base de l'article 7, point f), de la directive - à laquelle l'article 14, point a), de la directive fait référence - ne peut trouver application pour les institutions et organismes communautaires, étant donné que, comme il a déjà été souligné, l'article 7, point f), lui-même n'est pas applicable dans ce contexte communautaire spécifique.

Article 20: Le droit de la personne concernée à déposer plainte

Le droit à porter plainte est la contrepartie logique du pouvoir qu'a le contrôleur européen de la protection des données de recevoir des plaintes, conformément à l'article 28, paragraphe 4, de la directive.

Article 21: Décisions individuelles automatisées

Cet article est repris de l'article 15 de la directive.

Il est évident que certains des exemples énumérés au paragraphe 1 de l'article 15 de la directive concernant l'évaluation de certains aspects de la personnalité n'ont pas de sens dans le contexte particulier du règlement et n'ont pas été repris (notamment le crédit de la personne).

Section VIII: Confidentialité et sécurité des traitements

Article 22: Confidentialité des traitements

Cet article reprend l'article 16 de la directive.

Il n'a pas semblé utile de reprendre la possibilité de dérogation prévue dans la directive concernant les obligations légales. Une telle précision ferait double emploi avec l'article 6 relatif au changement de finalité.

Article 23: Sécurité des traitements

Cet article reprend, tout en l'explicitant l'article 17 paragraphe 1 de la directive.

Le paragraphe 1 du présent article reprend le deuxième alinéa de l'article 17.

Le paragraphe 2 est consacré aux mesures de sécurité à prendre concernant les données traitées manuellement.

Le paragraphe 3 explicite le premier alinéa du paragraphe 1 de l'article 17 dont le libellé est très général. Il s'inspire à cet égard de diverses recommandations récemment adoptées par le Conseil de l'Europe en matière de protection des données, ainsi que du texte de la Convention d'application de l'Accord de Schengen (article 118).

En pratique, il est clair que les mesures de sécurité à prendre viendront s'insérer dans le cadre des mesures plus larges que les institutions et organismes ont déjà pris en matière de sécurité des systèmes d'information (cf. par exemple la décision de la Commission du 23 novembre 1995 qui vise à protéger l'intégrité, la confidentialité et la disponibilité des systèmes d'information.).

Article 24: Traitement de données à caractère personnel pour le compte du responsable

Cet article reprend les paragraphes 2 à 4 de l'article 17 de la directive.

Section IX: Délégué à la protection des données

Article 25: Délégué à la protection des données

Cet article prévoit que chaque institution et organisme devra nommer un délégué à la protection des données, chargé d'assurer d'une manière indépendante l'application de la protection des données au sein de l'institution ou de l'organisme considéré.

La désignation de délégués à la protection des données est visée à l'article 18, paragraphe 2, de la directive, à titre facultatif pour les États membres. Selon cet article, une telle désignation rend possible des simplifications, voire même des dérogations à l'obligation de notifier les traitements à l'autorité de contrôle.

La directive s'inspire à cet égard d'une pratique qui est bien établie dans certains États membres et qui permet d'assurer une mise en oeuvre efficace de la protection des personnes.

Quelques observations peuvent être faites en ce qui concerne la désignation du délégué, les fonctions qu'il doit avoir, les garanties à prévoir pour lui permettre l'exercice de ses fonctions, les rapports qu'il entretient avec l'autorité de contrôle.

- Désignation du délégué à la protection des données: chaque institution et organisme aura l'obligation de désigner au moins un délégué. Certaines institutions - comme la Commission, par exemple - seront très probablement amenées à désigner plusieurs délégués en fonction de l'importance de l'importance des traitements de données à caractère personnel effectués au sein de l'institution.

- Fonctions du délégué: Sa fonction principale est visée au paragraphe 1 du présent article. Le texte s'inspire étroitement de la directive: il doit assurer l'application interne de la protection des données et tenir un registre de l'ensemble des traitements effectués par l'institution ou l'organisme. L'accent est mis dans le présent article sur le rôle que joue le délégué pour l'information des personnes concernées par les traitements et des responsables des traitements sur leurs droits et obligations en matière de protection des données. Une telle information est la première condition nécessaire pour une bonne application de la protection de la directive. C'est pourquoi l'accent a été mis sur ce point au premier tiret du paragraphe 1, bien que, sur le fond, il n'ajoute pas au texte plus général de la directive. Par ailleurs, diverses fonctions plus spécifiques sont dévolues au délégué en vue de mener à bien sa tache: il peut faire des propositions pour l'amélioration de la protection des données au sein de l'institution ou de l'organisme, il peut être consulté par l'autorité qui l'a nommé, par les responsables des traitements ou par le comité du personnel. En outre, le délégué à la protection des données est tenu de coopérer avec le contrôleur européen de la protection des données (deuxième tiret). L'obligation posée par le cinquième tiret vise à faciliter l'identification des opérations de traitement, qui présentent des risques spécifiques, par un contrôle préalable de l'autorité de contrôle.

- Garanties permettant l'exercice des fonctions du délégué: les garanties qui sont prévues visent toutes à expliciter dans la mesure du possible la condition fondamentale qui doit caractériser le statut du délégué et qui est reprise de la directive, à savoir son indépendance.

Articles 26 et 27: Notification au délégué à la protection des données

Dans un souci de transparence, l'article 27 prévoit que, conformément au texte même de la directive, le délégué devra tenir un registre public des traitements effectués au sein de l'institution ou de l'organisme.

Pour lui permettre de mener à bien cette tâche, il est permis que les responsables des traitements notifient ces traitements auprès du délégué préalablement à leur mise en oeuvre.

La liste des informations à fournir au délégué est reprise de l'article 19, paragraphe 1, de la directive, auquel l'article 21, paragraphe 2, de la directive renvoie.

La liste visée par la directive est une liste minimale. Dans un souci de renforcer la transparence concernant les traitements effectués par les institutions et organismes, il est proposé d'ajouter à cette liste les informations relatives à la base juridique des traitements (par exemple les dispositions de droit communautaire qui rendent nécessaires le traitement) et à la durée de conservation des données. Il est rappelé ici encore que la représentation du responsable visée à l'article 19, paragraphe 1, lettre a), de la directive ne trouve pas application pour les institutions et organismes communautaires.

Section X: Contrôles préalables par le délégué européen à la protection des données

Article 28: Contrôles préalables par le délégué européen à la protection des données

Cet article est l'équivalent de l'article 20 de la directive.

La directive repose sur un contrôle sélectif de la licéité des traitements en fonction des risques qu'ils peuvent présenter pour les droits des personnes:

- la notification des traitements auprès de l'autorité de contrôle peut de manière générale être simplifiée, voire même exonérée, sous certaines conditions, notamment si un délégué à la protection des données a été institué.

- la notification reste nécessaire, et doit même prendre la forme renforcée d'un contrôle préalable, pour les traitements présentant des risques particuliers.

Le présent règlement tire les conséquences de l'institution d'un délégué à la protection des données auprès des institutions et organismes communautaires en limitant l'obligation de notification à l'autorité de contrôle communautaire aux seuls traitements présentant des risques particuliers.

Utilisant une option laissée par le paragraphe 2 de l'article 20, les traitements à risque devront être notifiés à l'autorité de contrôle par le délégué à la protection des données de chaque institution ou organisme.

L'article 20 paragraphe 1 de la directive prévoie qu'il appartient aux États membres de préciser les traitements susceptibles de présenter des risques particuliers. Le considérant 53 prévoie que ces précisions peuvent être introduites dans la législation nationale, si les États membres le souhaitent, laissant la possibilité également aux autorités de contrôle de développer elles-mêmes leur propre conception sur la notion de traitements présentant des risques particuliers. Le présent article reprend à son compte cette deuxième solution en donnant à l'autorité de contrôle la compétence de définir les traitements présentant des risques particuliers. Quelques exemples sont toutefois donnés dans le texte même du présent article, exemples qui s'inspirent du considérant 53.

S'inspirant du considérant 54, le paragraphe 3 du présent article prévoit que l'autorité de contrôle saisie d'une notification d'un traitement présentant des risques particuliers doit délivrer un avis sur la licité du traitement envisagé. Il appartiendra à l'institution ou l'organisme ayant notifié le traitement d'en tirer les conséquences opérationnelles.

Chapitre III: Recours juridictionnels et sanctions

Articles 29 et 30

Il s'agit de dispositions transposant, respectivement, les articles 22, 23 et 24 de la directive. Dans une Communauté de droit, il importe que le droits conférés aux particuliers puissent être exercés aussi lorsque la violation de ces droits est le fait d'une Institution ou d'un organe communautaire. Conformément aux dispositions du traité régissant la responsabilité non contractuelle de la Communauté, la Communauté doit réparer les dommages causés par ses institutions ou par ses agents dans l'exercice de leurs fonctions, et la Cour de Justice est compétente pour connaître des litiges relatifs à la réparation de tels dommages.

Chapitre IV: Protection des données à caractère personnel et d