CELEX: 51992PC0422
Language: fr
Date: 1992-10-15
Title: Proposition modifiée de DIRECTIVE DU CONSEIL relative à la protection des personnes physiques à l' égard du traitement des données à caractère personnel et à la libre circulation de ces données

COMMISSION DES COMMUNAUTES EUROPEENNES
                                   COM(92) 422 final - SYN 287
                                  Bruxelles, le 15 octobre 1992
                      Proposition modifiée de
                        DIRECTIVE DU CONSEIL
         relative à la protection des personnes physiques
    à l'égard du traitement des données à caractère personnel
             et à la libre circulation de ces données
     (présentée par la Commission en vertu de l'article 149,
                    paragraphe 3 du traité CEE)
 ---pagebreak---                                      - 2 -
                               EXPOSE DES MOTIFS
                             PRESENTAT ION GENERALE
Le 18 juillet 1990 la Commission a soumis au Conseil un ensemble de
propositions, dont deux directives et une décision, visant à faciliter la
libre circulation des données au sein de la Communauté en assurant un haut
niveau de protection des personnes à l'égard des traitements de données à
caractère personnel et en renforçant la sécurité des traitements de données
dans le contexte, notamment, du développement des réseaux ouverts de
té Iécommun i cat ions.
Le Comité économique et social a rendu son avis sur ces propositions le 24
avril 1991 (Journal officiel du 17 juin 1991).
Dans le cadre de la procédure de coopération, le Parlement européen a étudié
ces propositions de façon approfondie dans ses commissions. Après avoir
débattu le rapport de la Commission juridique et des droits des citoyens
(rapporteur M. Hoon) le 10 février 1992, le Parlement a adopté à la quasi
unanimité le 11 mars 1992 un avis favorable sur les propositions telles
qu'elles ont été amendées par lui sur de nombreux points.
Le Conseil a adopté la proposition de décisiion en matière de sécurité des
systèmes d'information le 31 mars 1992 (Journal officiel du 5 mai 1992).
La présente proposition     modifiée   vise  à  prendre en compte  l'avis du
Parlement européen.
A. Principales roodifications
1 . L'approche de la protection
    Deux modifications majeures de la proposition initiale demandées par le
    Parlement ont été introduites dans la proposition amendée. Elles
    concernent :
    - l'abandon de la distinction formelle entre les règles applicables au
      secteur public et au secteur privé,
    - le développement des dispositions relatives aux procédures sélectives
      de notification auprès de l'autorité de contrôle et aux codes de
      condu ite.
    Ces modifications ont l'avantage d'indiquer clairement que la protection
    doit être la même quelque soit le secteur considéré.
    Elles permettent, en outre, d'éviter des dérives bureaucratiques et de
    contribuer à mieux assurer la convergence et l'équivalence des méthodes
    destinées à assurer une protection effective dans les Etats membres en
    apportant des précisions sur la portée des procédures de notification et
 ---pagebreak---                                    - 3 -
   sur les missions des autorités de contrôle indépendantes, en fonction du
   degré des risques présentés par les traitements de données à caractère
   personnel au regard des droits et des libertés des personnes concernées.
2. Concepts et définitions
   La réflexion menée sur les amendements du Parlement qui visent d'une part
   à supprimer de la proposition le concept de fichier, considéré comme
   dépassé et non pertinent dans le contexte du développement de
   l'automatisation et des télécommunications, d'autre part à inclure la
   collecte des données dans la définition du traitement des données à
   caractère personnel, ont conduit à proposer que l'objet de la
   réglementation porte sur le traitement de données à caractère personnel.
   Cette modification a un double avantage: les principes de la protection
   résultant de la directive ne sont pas dépendant d'une technologie ou
   d'une organisation technique particulière; le concept du traitement des
   données permet de développer une approche globale focalisant l'attention
   sur les données utilisées et sur l'ensemble des opérations sur lesquelles
   elles portent au regard des finalités poursuivies.
   Par ailleurs, il est apparu nécessaire de maintenir et de préciser le
   concept de fichier en vue de circonscrire le champ d'application de la
   directive, lorsque les traitements ne sont pas automatisés, aux seules
   données à caractère personnel contenues ou destinées à être contenues
   dans des fichiers.
   Enfin une définition du tiers à qui des données à caractère personnel
   sont communiquées est introduite.
3. Champ d'application et dérogations spécifiques
   Pour répondre aux préoccupations du Parlement les modifications suivantes
   sont proposées. Elles ont pour objectif de garantir et de concilier les
   droits et les libertés en cause en vue d'assurer la libre circulation des
   données concernées.
   - Les critiques concernant l'inadaptation de la disposition initiale
     concernant l'exclusion, sous certaines conditions, du champ de la
     directive des traitements effectués par les associations à but non
     lucratif, ont conduit selon certains amendements du Parlement relatifs
     au traitement des données sensibles, à proposer que ces traitements
     relèvent de la directive tout en prévoyant la dérogation particulière à
     l'obligation de notification, nécessaire en vue de garantir la liberté
     d'op i n i on.
   - Concernant les traitements mis en oeuvre à des fins journalistiques, il
     est proposé de remplacer la faculté par une obligaton pour les Etats
     membres de procéder aux dérogations nécessaires pour concilier la
     protection de la vie privée des personnes concernées avec la liberté
     d'express i on.
   - Concernant     les traitements qui   ne présentent pas de risques
     particuliers effectués en vue de répondre notamment à des obligations
     légales, il est proposé une dérogation à l'obligation de notification.
 ---pagebreak--- 4. Pavs t i ers
    La règle destinée à prévenir le risque de contournement des règles
    communautaires à l'occasion de transferts de données vers des pays tiers,
    édictant une interdiction de tels transferts vers des pays qui n'assurent
    pas un niveau de protection adéquat, a été précisée de manière à lever
    des ambiguités sur l'objectif recherché. A cette fin des critères
    d'évaluation de l'adéquation ont été ajoutés. En outre des exceptions au
    principe sont également prévus dans un nombre limité de cas pour tenir
    compte de circonstances particulières justifiées.
B   Structure et contenu de la proposition modifiée
La proposition a été restructurée pour tenir compte, ainsi que déjà
mentionné, de la suppression de la distinction formelle entre secteur public
et secteur privé et du développement des dispositions relatives à la
notification auprès des autorités de contrôle. La nouvelle structure a
également pour objectif de mieux faire apparaître les différentes
composantes du mécanisme de protection. Enfin elle tient compte des
critiques sur les redondances du texte initial. La restructuration de la
proposition concerne les dispositions des chapitres II à VI de la
proposition initiale regroupées essentiellement dans un chapitre II nouveau
qui reprend mais en les distinguant dans une suite réordonnée, l'ensemble
des conditions générales relatives à la licéité des traitements de données à
caractère personnel. La structure des chapitres I, VII et suivants initiaux
n'est pas mod i f i ée.
Le chapitre II de la proposition modifiée est divisé en sections qui
précisent successivement, les principes devant présider à la conception et à
 la mise en oeuvre des traitements de données à caractère personnel (sections
1, 2 et 3), les droits d'information, d'accès et d'opposition des personnes
concernées (sections 4, 5 et 6), les obligations en matière de sécurité
(section 7) et les procédures de notification auprès des autorités de
contrôle (section 8).
La section 1 porte sur les principes communs à toutes les législations des
Etats membres et dérivant des dispositions de la Convention 108 du Conseil
de l'Europe relatives à la qualité des données faisant l'objet d'un
traitement. Elle correspond à l'article 16 initial. L'inclusion à la demande
du Parlement de la collecte des données dans la notion de traitement, a
rendu nécessaire certaines modifications rédactionnelles. Par ailleurs, il a
été tenu compte de la demande du Parlement relative à l'archivage de données
destinées à la recherche scientifique.
Parmi les principes énumérés à la section 1 celui de la finalité légitime
des traitements de données à caractère personnel est précisé dans I a
sect ion 2 relative aux fondements des traitements. Cette section reprend en
 la clarifiant, tout en lui conservant un caractère général, la liste
 limitative, incluse dans les chapitres II et III initiaux, des circonstances
alternatives dans lesquelles les traitements, peuvent être effectués. Cette
 liste prévoit que de telles circonstances sont notamment constituées par le
consentement de la personne concernée, ou l'exécution d'un contrat passé
 ---pagebreak---                                      - 5 -
avec la personne concernée, ou l'éxécution d'une obligation légale, etc...
ou finalement par la balance des différents intérêts en présence. Cette
"balance des intérêts" qui est susceptible de concerner des traitements très
divers tels que ceux destinés à la prospection commerciale ou portant sur
des données rendues publiques, est à effectuer par les Etats membres selon
les procédures qu'ils détermineront, tout en tenant compte notamment des
principes généraux rappeler à la section 1 et des droits des personnes
concernées.
La sect ion 3 concerne les règles spécifiques régissant les traitements ayant
trait aux libertés fondamentales. Cette section porte d'une part sur les
règles qui en référence à la Convention précitée et à l'opinion du Parlement
repris partiellement sur ce point, prévoient la protection renforcée à
l'égard du traitement des données sensibles c'est à dire ayant trait
notamment à la liberté d'opinion. Ces dispositions correspondent à l'article
17 initial. Elles tiennent compte des demandes du Parlement relatives
notamment aux traitements effectués par les associations à caractère
politique ou syndical. Ces traitements de ce fait relèvent dans la
proposition amendée du champ de la directive, ce qui permet de garantir les
droits des personnes à leur égard et d'assurer la libre circulation des
données visées. La section 3 porte d'autre part sur les règles déjà
mentionnées relatives aux traitements à des fins journalistiques, destinées
à garantir la conciliation entre les deux libertés fondamentales relatives à
la vie privée et à la liberté d'expression.
La sect i on 4 concerne les obligations du responsable du traitement en
matière d'information de la personne concernée sur les traitements
effectués. Celles-ci sont destinées à assurer           la transparance des
traitements et par là à contribuer à l'application des principes du
traitement loyal des données prévu dans la Convention 108 du Conseil de
l'Europe et rappel lé dans la section 1. La section 4 correspond à des
dispositions incluses dans les chapitres II, III et IV initiaux,
réarticulées dans la proposition amendée de manière à supprimer en
particulier les risques d'interprétation conduisant à des redondances
d' i nformat ion.
La sect i on 5 porte sur le droit d'accès et de rectification des personnes à
l'égard des données qui les concernent. Elle correspond aux dispositions
afférantes du Chapitre IV initial et reprend les amendements du Parlement
qui renforce de manière générale la portée de ce droit (en particulier le
droit pour la personne concernée de connaître l'origine des données traitées
et les raisonnements utilisés dans les traitements automatisés dont les
résultats lui sont opposés). Les dispositions amendées tiennent également
compte de la demande du Parlement qui étend au secteur privé la possibilité
de limiter l'exercice du droit d'accès dans les mêmes conditions que celles
réservées initialement au secteur public.
La sect ion 6 porte sur le droit d'opposition pour motifs légitimes de la
personne concernée. Elle correspond aux dispositions afférantes des
chapitres III et IV de la proposition initiale. L'obligation d'offrir aux
personnes concernées la possibilité "d'opt out" préalablement à la
communication de données à des tiers en vue de prospections écrites est
précisée dans cette section.
La sect i on 7 reprend avec quelques modifications rédactionnelles         les
dispositions sur la sécurité prévues au chapitre V initial.
 ---pagebreak---                                      -6 -
La section 8 développe les dispositions initiales relatives à la
notification. Le système sélectif proposé, très largement repris des
amendements du Parlement, a pour objectif d'assurer la transparence des
traitements et notamment la détermination de leurs finalités, tout en
orientant l'intervention des autorités de contrôle sur les traitements qui
appellent une attention particulière parce que comportant des risques. Il
part du principe que tout traitement doit être notifié à l'autorité de
contrôle, dès lors qu'ils sont en tout ou partie automatisés, étant précisé
que la notification peut porter sur un ensemble de traitements dont les
finalités sont liées du point de vue du responsable des dits traitements et
vis à vis des personnes concernées. Par ailleurs, il est proposé qu'en
fonction de leur expérience les Etats membres prennent des mesures pour
exonérer de l'obligation de notification les traitements dont la mise en
oeuvre ne présentent pas de risque au regard des droits et des libertés des
personnes concernées ou pour simplifier cette obligation. Les mesures prises
décrivent les traitements concernés et leurs conditions éventuelles de mise
en oeuvre. Enfin il est proposé que puissent être confiés aux autorités de
contrôle le pouvoir d'examiner les traitements notifiés préalablement à leur
mise en oeuvre.
Le chap i t re III regroupe les dispositions des chapitres IV et VII de la
proposition initiale, relatives aux recours de la personne concernée, à la
responsabilité et aux sanctions. Ces dispositions sont modifiées pour tenir
compte de l'opinion du Parlement.
Le chapitre IV concerne les transferts de données à caractère personnel vers
des pays tiers. Il correspond au chapitre VIII initial. Il est modifié tel
qu'indiqué précédemment et reprend les dispositions destinées à permettre à
la Communauté de développer une politique commune en la matière.
Le chapitre V est relatif aux codes de conduite. Il correspond aux
dispositions afférantes du chapitre VI initial. Il reprend l'opinion du
Parlement sur leur procédure d'élaboration qui implique les autorités
indépendantes de contrôle. Il ajoute également la possibilité pour les Etats
membres d'associer les professions à la mise en oeuvre de la législation par
l'élaboration de codes de conduites nationaux.
Le chap i tre VI est relatif aux autorités nationales de contrôle et au groupe
de protection des données chargé de contribuer à l'application homogène des
règles nationales prises en application de la directive et de conseiller la
Commission. Les pouvoirs d'investigation des autorités nationales sont
précisées airr, i que l'a souhaité le Parlement. La composition initiale du
groupe européen est maintenu afin de lui garantir son statut d'indépendance.
A cette fin il est également prévu que le groupe élira son président. Les
circonstances dans lesquels il doit être consulté par la Commission sont
préc i sées.
Le chap i t re VII est relatif aux compétences d'exécution que le Conseil
devrait conférer à la Commission. A cet égard la Commission maintient sa
proposition initiale, contrairement à l'avis du Parlement. La Commission
considère que l'adoption de mesures techniques d'application sera, en effet,
nécessaire en raison de l'étendue et du caractère technique du domaine du
traitement de données à caractère personnel.
 ---pagebreak---                                    -7-
Dispositions finales: pour répondre au souhait du Parlement, un délai de 3
ans, s'ajoutant au délai de mise en oeuvre de la directive, est prévu pour
l'application des nouvelles législations nationales aux situations
ex i stantes.
 ---pagebreak---                                     -8 -
                COMMENTAIRES SUR LE TITRE ET LES CONSIDERANTS
TITRE
Deux précisions ont été introduites dans le titre:
   l'expression "et à la libre circulation de ces données" a été ajoutée
   afin de bien souligner que la proposition vise à rétablissement et au
   fonctionnement du marché intérieur, sur la base d'une harmonisation
   assurant la protection des personnes;
- afin d'éliminer toute ambiguïté quant au domaine d'application de la
   proposition, il est précisé que les personnes couvertes par la protection
   sont les seules personnes physiques.
CONSIDERANTS
La Commission a modifié les considérants afin de tenir compte des
modifications apportées aux dispositions de la proposition.
En outre, les observations particulières suivantes peuvent être faites:
    le considérant n" 2 reprend l'avis du Parlement (amendement n' 9) qui
   vise à souligner les avantages que présentent les systèmes de traitements
   automatisés des données, dès lors qu'ils respectent les droits des
   personnes et les libertés individuelles;
   ila semblé préférable de placer le considérant (n" 10) relatif à la
   convention du 28 janvier 1981 du Conseil de l'Europe parmi les
   considérants visant à décrire la problématique d'une politique
   communautaire en la matière, étant donné que la directive concrétise les
   principes que contient la convention. Dans la proposition initiale ce
   considérant (n' 22), dont le texte n'est pas modifié, était placé sous
    les dispositions relatives aux transferts de données vers les pays tiers;
    il est inséré un nouveau considérant (n* 14) qui vise à résumer, de façon
   succinte, les principes de la protection tels qu'exprimés dans les
   considérants suivants-,
    les modifications aux considérants 4 (nouveau) et 5 visent à renforcer la
   description des faits qui doivent amener à une initiative communautaire
   dont la nécessité est soulignée aux considérants 7 et 8.
 ---pagebreak---                          COMMENTAIRES SUR LES ARTICLES
CHAPITRE I
DISPOSITIONS GENERALES
Art icle 1
Oblet de la directive
Le premier article est consacré à l'objet de la directive. Cet objet est
d'assurer la libre circulation des données à caractère personnel entre les
Etats membres au moyen d'une harmonisation des législations nationales:
- en vertu de l'alinéa 1er, les Etats membres ont l'obligation d'assurer la
    protection des droits et des libertés des personnes physiques, et
    notamment du droit à la vie privée, à l'égard du traitement des données à
   caractère personnel. (Cette terminologie est également celle adoptée par
    l'article 1er de la Convention 108 du Conseil de l'Europe);
    puisqu'en vertu de la directive, la protection sera assurée selon les
    mêmes principes dans tous les Etats membres et sera donc équivalente sur
    l'ensemble du territoire communautaire, ceux-ci, en vertu du paragraphe
    2, ne pourront plus restreindre, pour les domaines couverts par la
    directive, la circulation des données pour des motifs relatifs à la
    protection de la personne concernée.
La proposition permet ainsi, comme le souhaite le Parlement (amendement n"
10, deuxième partie), de concilier les impératifs de la réalisation du
marché intérieur et ceux de la protection des personnes.
Par ailleurs, l'amendement 10 (première partie) est repris par la
proposition modifiée dans la mesure où la notion de traitement, telle que
définie à l'article 2 lettre a, couvre la collecte.
Art icle 2
Déf i n i t i ons
Cet article a pour objet de définir les principales notions utilisées dans
la directive. Les définitions reprennent celles de la Convention 108 du
Conseil de l'Europe en y apportant toutefois les adaptations et les
précisions nécessaires pour garantir une protection équivalente de haut
niveau dans la Communauté.
a) "donnée à      caractère   personnel". La     proposition modifiée   donne
    satisfaction à l'objectif du Parlement qui est d'adopter la définition la
    plus globale possible de la notion de "donnée à caractère personnel",
    afin de couvrir toutes les informations qui peuvent être reliées à une
 ---pagebreak---                                      - 10 -
   personne physique (amendement 12). En effet, une personne peut être
   identifiée soit directement par un nom soit indirectement par un numéro
   de téléphone, de voiture, de sécurité sociale, de passeport ou par un
   croisement de critères significatifs, permettant de la reconnaître à
   l'intérieur d'un petit groupe par exemple (âge, fonction occupée,
   adresse, etc...). La définition permet également de couvrir des données
   telles que l'image et         la voix, les empreintes digitales, les
   caractéristiques génétiques.
   Il n'est pas donné de définition de la donnée anonyme, dans la mesure où
   ce terme n'est pas utilisé dans la directive. L'anonymat d'une
   information ne dépend donc plus du coût du retour à l'information
   d'origine (amendement 13). Toutefois, dans le cas particulier où les
   données sont agrégées sous forme statistique, il est apparu opportun de
   préciser qu'elles ne peuvent plus être considérées comme revêtant un
   caractère personnel, dés lors que les personnes concernées ne sont plus
   raisonnablement identifiables.
b) "traitement de données à caractère personnel" (traitement). La définition
   retenue va également dans le sens d'un champ d'application étendu
   permettant de garantir la protection des individus (amendement 15),
   puisqu'elle couvre la collecte des données jusqu'à leur effacement, en
   passant par leur organisation, leur exploitation, leur consultation, leur
   communication, définie comme la transmission, la diffusion ou toute autre
   forme de mise à disposition (amendement 16), l'interconnexion et le
   verrouiI läge.
c) "fichier de données à caractère personnel" (fichier). Cette définition,
   qui couvre tant les fichiers automatisés que non automatisés, est
   précisée. Elle permet, pour ce qui est des traitements de données non
   automatisés, de circonscrire le champ d'application de la directive aux
   données structurées de manière à faciliter l'accès et la recherche de
   celles concernant des personnes physiques. Ainsi, les données à caractère
   personnel qui ne sont pas organisées en vue de leur usage vis-à-vis des
   personnes concernées sont exclues. De fait, en effet, ces dernières
   données ne présentent pas les mêmes risques au regard des personnes et il
   est plus réaliste de ne pas les soumettre aux mêmes obligations.
   Pour garantir la protection des personnes, il est précisé que les
   critères d'accès doivent avoir "pour objet ou pour effet" de faciliter
   l'utilisation ou le rapprochement des données, afin de ne pas obliger la
   personne concernée à prouver l'intention, ce qui rendrait délicate
   l'application des législations nationales.
   Enfin,        la  notion   de  "rapprochement" est   préférée   à   celle
   "d'interconnexion" pour convenir à la fois aux traitements automatisés et
   aux f i ch i ers pap i er.
d) "responsable du traitement". Cette définition est empruntée à la notion
   de "maître du fichier" de la Convention 108 du Conseil de l'Europe.
   Mais la directive visant essentiellement à réglementer l'utilisation des
   données au regard des finalités poursuivies, il est préférable de se
   référer au concept de responsable du traitement.
   Il s'agit de la personne responsable en dernier ressort des choix qui
   président à la définition et à la mise en oeuvre des traitements (le chef
 ---pagebreak---                                    - 11 -
   d'entreprise le plus souvent) et non pas des personnes qui procèdent aux
   opérations de traitement conformément aux instructions du responsable.
   C'est la raison pour laquelle il est précisé que le responsable définit
   "les objectifs" du traitement. L'amendement 17 a été repris sur ce point.
   Le responsable du traitement peut traiter les données lui même ou les
   faire traiter par les membres de son personnel ou encore par un agent
   traitant, personne juridiquement distincte du responsable mais agissant
   pour son compte.
e) "agent traitant": il s'agit là d'une définition utile, proposée par le
   Parlement (amendement 18).
f) "tiers". Cette définition résulte d'un amendement parlementaire (no.
   134); elle a été remaniée dans la proposition modifiée afin d'indiquer
   clairement que ne sont pas considérés comme des tiers: la personne
   concernée, le responsable du traitement, ainsi que les personnes
   habilitées à traiter les données agissant sous son autorité directe ou
   pour son compte, ce qui est le cas de l'agent traitant.
   Les personnes travaillant dans une autre entreprise même si celle-ci fait
   partie d'un même groupe ou holding devraient en général être considérées
   comme des tiers.
   En revanche, les succursales d'une banque mettant en oeuvre des
   traitements des gestions de clientèles, placées sous l'autorité directe
   du siège ne devraient pas être considérées comme des tiers. Ceci devrait
   être également vrai pour les agents d'assurance-, par contre en ce qui
   concerne, par exemple, les courtiers d'assurance, la situation pourrait
   être différente selon les cas.
g) "consentement de la personne concernée": dans la proposition initiale, la
   définition du consentement de la personne à un traitement de données la
   concernant, était donnée à l'article 12, dans le chapitre consacré aux
   droits de la personne.
   Ceci a engendré des confusions, certains milieux professionnels en ayant
   déduit que tout traitement supposait le consentement préalable de la
   personne concernée, alors qu'il ne s'agit que de l'un des fondements de
    licéité du traitement.
   Par conséquent, il apparaît plus logique que les dispositions relatives
   au consentement figurent à l'article 2 de la directive, avec quelques
   modifications de rédaction afin de lui donner la forme d'une définition.
   La référence au caractère exprès du consentement a été supprimée, afin
   d'éviter que ceci puisse être interprété comme l'exigence d'un écrit
   (procédure réservée aux données sensibles de l'article 8 de la
   proposition modifiée). Elle a été remplacée par            la notion de
   "manifestation explicite de volonté", qui peut être écrite ou orale.
    Il est précisé, dans la proposition modifiée, que le consentement doit
   être "libre", dans les hypothèses où une pression est susceptible de
   peser sur la personne concernée (cas du salarié vis-à-vis de son
   employeur, par exemple).
 ---pagebreak---                                             - 12 -
    Pour permettre à la personne concernée d'apprécier les risques et les
    avantages du traitement des données la concernant et d'exercer ses droits
    en vertu de l'article 13 de la proposition de directive (rectification,
    effacement, verrouillage), le consentement doit être informé. C'est
    pourquoi le responsable du traitement doit communiquer à la personne
    concernée les informations dont celle-ci a besoin, telles que le nom et
    l'adresse du responsable ou le cas échéant de son représentant (voir
    article 4 paragraphe 2), l'objet du traitement, les données enregistrées,
    etc.
    Le consentement de la personne concernée doit être spécifique, c'est-à-
    dire qu'il doit avoir trait à un traitement précis de données relatives à
    la personne concernée par un responsable déterminé et pour des finalités
    déterm i nées.
    La personne concernée a le droit de retirer son consentement à tout
    moment. La révocation n'a toutefois pas d'effets rétroactifs, car sinon
    un traitement de données à caractère personnel précédemment licite
    deviendrait illicite rétroactivement.
Trois définitions qui            figuraient dans   la proposition d'origine ont été
supprimées:
    la définition de l'autorité de contrôle, parce que redondante avec
    l'article 32 de la proposition modifiée;
-   les définitions du secteur public et du secteur privé, en raison de la
    fusion des dispositions relatives à ces secteurs (voir chapitre II de la
    propos i t i on mod i f i ée).
Art i cI e 3
Champ d'appi icat ion
L'alinéa 1er de la proposition modifiée concilie les points de vue de ceux
qui souhaitent se référer en matière informatique au seul concept "de
traitement automatisé" (puisqu'un traitement automatisé n'implique pas
nécessairement l'existence d'un fichier) et de ceux qui redoutent de voir la
directive étendue à toutes les données même non structurées figurant sur
support papier.
Par conséquent, la proposition modifiée adopte des critères distincts pour
définir le champ d'application de la directive, selon que les données font
ou non l'objet d'un traitement automatisé: elle n'est applicable au
traitement non automatisé de données que si ces données sont contenues dans
un fichier; en revanche, en matière informatique, la définition dépasse la
notion de fichier, et la directive s'applique à tout traitement automatisé
de données, même si ces données ne sont pas contenues dans un fichier.
Ainsi, sont concernées les données à caractère personnel structurées soit
par leur organisation dans un fichier manuel, soit au moyen d'un traitement
i nformat i que.
 ---pagebreak---  II est fait référence aux traitements automatisés "en tout ou en partie",
afin d'indiquer qu'un traitement constitue un tout, même si une seule partie
(index par exemple) en est informatisée.
L'alinéa 2 prévoit deux exclusions:
    la première concerne les traitements mis en oeuvre pour l'exercice
    d'activités qui ne relèvent pas du champ d'application du droit
    communautaire (comme les services secrets). Le champ d'application de la
    directive est défini par rapport au champ d'application du droit
    communautaire, pour lui permettre d'évoluer avec celui-ci;
    la seconde exclusion a trait à l'utilisation de données à des fins
    totalement privées, comme l'agenda électronique par exemple (amendement
    22);
    Il n'est pas prévu d'autres exceptions, car à trop exempter de toute
    obligation des séries d'organismes divers, les droits des citoyens ne
    seront plus garantis: s'il est légitime d'alléger le régime applicable à
    certains traitements de données à caractère personnel (voir la section
    VIII du chapitre II relatif à la notification et prévoyant des
    possibilités d'exonération ou de simplification des formalités) il ne
    doit pas s'agir d'une exonération globale.
  Le problème particulier des associations est traité dans l'article
  prévoyant des dérogations pour la collecte de données sensibles (article 8
  de la proposition modifiée).
Art icle 4
Droit national applicable
Cet article fixe les critères de rattachement permettant de déterminer
quelle est la législation nationale applicable aux traitements entrant dans
 le champ d'application de la directive et ceci afin d'éviter:
- d'une part que la personne concernée soit démunie de toute protection, en
    particulier du fait d'un contournement de législation;
- d'autre part que le même traitement soit soumis à l'application de
    plusieurs législations nationales.
Selon la proposition d'origine, le lieu de localisation du fichier
déterminait la compétence territoriale; ce critère n'a pas été repris dans
 la proposition modifiée, car la localisation d'un fichier ou d'un traitement
sera souvent       impossible à déterminer: ces derniers pourront être
mu 11iloca I isés, répartis dans plusieurs Etats membres, notamment dans le cas
de bases de données et de réseaux, phénomènes en expansion constante.
Par conséquent, selon la proposition modifiée, le droit applicable est
défini par référence au lieu d'établissement du responsable du traitement.
Dans le cas où le responsable du traitement n'est pas établi sur le
 territoire de la Communauté, mais qu'il utilise des moyens, automatisés ou
 ---pagebreak---                                     - 14 -
non, à des fins de traitement (terminaux, questionnaires, etc), localisés
sur le territoire d'un Etat membre, le droit applicable est celui de l'Etat
sur le territoire duquel ces moyens sont localisés. En outre le responsable
du traitement devra désigner un représentant établi sur ce territoire, qui
sera subrogé dans ses droits et obligations.
Dans ce cas, c'est à ce représentant qu'incombera l'obligation de
notification (voir section VIII du chapitre II); de même, toute information
des personnes concernées sur le responsable du traitement, prévue par la
proposition de directive, devra être complétée d'une information sur le
représentant de celui-ci.
L'amendement 24 a été repris dans la mesure où il supprime la référence à
une utilisation sporadique, terme qui ne recouvrait rien de précis et aurait
donc été sujet à diverses interprétations.
En outre, du fait du choix du.critère de l'établissement du responsable du
traitement, le déplacement temporaire d'un fichier ne change pas le droit
applicable. Par conséquent, l'article 4, paragraphe 3 de la proposition
 initiale n'a pas été repris.
CHAPITRE II
LES CONDITIONS GENERALES DE LI CE ITE DES TRAITEMENTS DE DONNEES A CARACTERE
PERSONNEL
La structure de la proposition modifiée est différente de celle de la
proposition initiale: en effet, le nouveau chapitre M regroupe l'ensemble
des principes, droits et obligations qui déterminent la licéité des
traitements mis en oeuvre. Conformément à l'avis du Parlement, les
dispositions relatives au secteur public et au secteur privé ont été
fus ionnées.
Ar t i cI e 5
Cet article reprend l'article 6 paragraphe 2 et l'article 8 paragraphes 1 et
3 de la proposition initiale.
Cet article indique que les Etats membres prévoient que les traitements de
données à caractère personnel ne sont licites que s'ils sont effectués en
conformité avec l'ensemble des dispositions du chapitre li, qui forme un
tout.
 Il est également mentionné, en exergue, que les Etats membres ont la
possibilité de préciser dans leur législation les conditions de licéité des
traitements, dans les limites des dispositions énoncées par le chapitre II.
Ces précisions pourront consister, par exemple, à définir selon le secteur
considéré, les cas dans lesquels l'intérêt de la personne concernée prévaut
(article 7 lettre f), les' modalités selon lesquelles l'information des
personnes concernées sera effectuée (section IV), ou encore les conditions
d'exercice du droit d'opposition (section VI). Ces précisions ne pourront
pas remettre en cause le principe de la libre circulation des données à
 l'intérieur de la Communauté.
 ---pagebreak---                                    - 15 -
SECTION I
PRINCIPES RELATIFS A LA QUALITE DES DONNEES
Article 6
Cet article reprend les principes essentiels contenus dans l'article 5 de la
Convention 108 du Conseil de l'Europe.
S'agissant des dispositions relatives aux droits fondamentaux des personnes
vis-à-vis du traitement de l'information, elles figurent en tête du chapitre
consacré à la licéité des traitements. Il est nécessaire de s'y reporter
pour interpréter les articles suivants de ce chapitre.
Les dispositions de l'article 6 reprennent celles de la Convention 108 du
Conseil de l'Europe avec quelques modifications destinées à les adapter aux
définitions adoptées à l'article 2 (notamment à la définition du traitement)
et au champ d'application de la directive, qui, contrairement à la
Convention 108, couvre tant aux traitements automatisés qu'aux traitements
non automatisés de données contenues dans des fichiers.
L'article 6 lettre a. prévoit que le traitement de données à caractère
personnel doit être effectué loyalement et licitement. Cette disposition
vise le traitement tel que défini à l'article 2 lettre e, et comprend donc,
b i en sûr, I a co IIecte.
La règle énoncée à l'article 6 lettre a. exclut notamment l'utilisation
d'appareils cachés permettant d'obtenir des données subrepticement et à
l'insu de la personne concernée, notamment par des écoutes téléphoniques et
autres, etc. Cette disposition interdit également aux responsables de
traitements de mettre en oeuvre et d'utiliser des traitements clandestins
portant sur ^eo données à caractère personnel.
L'article 6 lettre b. énonce le principe de la détermination de la finalité
de la collecte des données (que celle-ci soit réalisée par des moyens
automatisés ou non automatisés). Selon ce principe, des données personnelles
ne peuvent être conservées que pour des finalités déterminées, explicites et
 I ég i t i mes.
L'objet de la collecte de donnees personnelles doit être déterminé, c'est-à-
dire que le but de la collecte et de l'utilisation des données doit être
défini de façon aussi précise que possible. Une définition ou description
générale ou vague de l'objet d'un traitement ("à des fins commerciales", par
exemple) n'est pas conforme au principe de la définition de la finalité
énoncée à l'article 6 lettre b.
II y a lieu de spécifier la finalité avant la collecte des données. Dans le
cas où les données sont collectées auprès de la personne concernée,
l'article 11 prévoit que la finalité doit déjà être déterminée au moment où
la collecte des données a lieu.
Une modification ultérieure de la finalité d'un traitement n'est légitime
que dans la mesure où elle est compatible avec la finalité initiale.
 ---pagebreak---                                     - 16 -
L'article 6 lettre b. oblige également le responsable du traitement à
déterminer la finalité de la conservation et de l'enregistrement des
données.
Dans la mesure où la finalité de la conservation et de l'utilisation de
données à caractère personnel doit être légitime, les finalités potentielles
d'un traitement sont limitées. Un tel traitement ne peut être créé et
utilisé que pour un objet conforme aux dispositions de la directive et des
 législations nationales des Etats membres.
L'article 6 lettre c. stipule que les données doivent être adéquates,
pertinentes et non excessives par rapport aux finalités pour lesquelles
elles sont traitées. Ce principe implique que la nature des données
corresponde à la finalité poursuivie.
Les dispositions de l'article 6 lettre d. sont étroitement liées à celles de
l'article 6 paragraphe 1 lettres b. et c. Les données doivent être exactes
et, si nécessaire, mises à jour. Au cas où des données sont inexactes ou
incomplètes eu égard à la finalité du fichier, l'article 6 lettre d. prévoit
qu'elles doivent être effacées ou rectifiées.
L'article 6 lettre e. a trait à la durée maximale de conservation de données
à caractère personnel. Selon cette disposition, la conservation de données
sous une forme permettant l'identification des personnes concernées n'est
autorisée que pendant la période qui semble nécessaire pour atteindre le but
pour lequel les données ont été enregistrées.
Dans certains cas cependant, après un certain délai, si un traitement a
perdu sa finalité de gestion, il peut être nécessaire de le conserver à des
fins historiques ou de recherche notamment. L'article 6 lettre e. précise
par conséquent, conformément à l'avis du Parlement (amendement no. 60), que
des garanties appropriées peuvent être prévues par les Etats membres pour
les données qui sont archivées à des fins historiques, statistiques ou
scientifiques, afin de concilier d'une part le principe strict de finalité
et le droit à l'oubli, d'autre part les exigences de la recherche.
L'article 6 paragraphe 2 fait obligation au responsable du traitement
d'assurer le respect des dispositions relatives à la qualité des données
énoncées à l'article 6 paragraphe 1.
SECTION II
PRINCIPES RELATIFS AUX FONDEMENTS DES TRAITEMENTS DE DONNEES
Ar t i cI e 7
L'article 7 rassemble, dans une nouvelle présentation simplifiée,        les
conditions du traitement licite des données à caractère personnel        qui
figuraient, dans la proposition initiale, aux articles 5, 6 et 8.
 ---pagebreak---                                    - 17 -
La suppression de la distinction entre secteur public et secteur privé, qui
avait été proposée dans les amendements parlementaires n's 27, 28 et 29, a
été retenue.
Le texte ne fait aucune référence particulière au traitement de données à
d'autres fins que celles pour lesquelles le traitement a initialement été
effectué (article 5.1.b initial) ni à des critères de légitimité de la
communication de données à caractère personnel (article 6 et 8.2 initiaux).
Le principe général de la compatibilité des objectifs (article 6.1.b
modifié) et les conditions énoncées à l'article 7 modifié sont considérés
comme suffisants.
Toutefois, les conditions particulières proposées par les amendements 30 et
32 n'ont été retenues que partiellement sous une forme modifiée.
Le consentement n'est plus considéré comme le critère principal assorti de
dérogations, mais comme une condition parmi d'autres (article 7a modifié).
Plutôt que de se référer à une "relation de confiance quasi contractuelle",
notion que beaucoup de sources jugent vague et couverte par la notion de
"relation contractuelle" ou par celle d' "intérêt légitime" (point f) de
l'article 7 modifié), la notion de "mesure pré-contractuelle prise en
réponse à une demande de la personne concernée", a été incluse pour couvrir
la situation précédant la création d'une relation contractuelle (article 7b
mod i f ié).
Le traitement résultant d'une obligation imposée par le droit national ou
communautaire a été maintenu (article 7c modifié).
La même remarque s'applique pour le point e) et, en partie, pour le point f)
de l'article 7 modifié.
Le point d) a été ajouté pour régler les cas dans lesquels la personne
concernée a un intérêt vital au traitement de ses données à caractère
personnel mais n'est pas en mesure de donner son consentement (exemple :
ma I ad i e grave).
Le point f) - répondant en partie à l'amendement parlementaire n" 32 -
constitue un développement de l'article 8 paragraphe 1 point C initial,
tenant compte du fait qu'il peut être nécessaire de prendre en considération
d'importants intérêts légitimes autres que ceux du responsable du traitement
et de la personne concernée. Le point b) de l'article 8 paragraphe 1 du
texte initial a été supprimé parce que la Commission a constaté que, dans
certains cas, des sources accessibles au public de manière générale peuvent
comprendre des données personnelles sensibles. De plus, dans la plupart des
cas, les données ont été traitées à
des fins spécifiques et ne devraient donc pas être utilisées à d'autres fins
sans que les autres dispositions de la directive soient prises en
considérât ion.
 ---pagebreak---                                     - 18 -
SECTION III
CATEGORIES PARTICULIERES DE TRAITEMENTS
Art ic le 8
Cet article correspond à l'article 17 initial.
Il est généralement admis que le droit à la vie privée est mis en péril non
par le contenu des données à caractère personnel, mais par le contexte dans
lequel se situe le traitement de ces données. Il existe néanmoins un large
consensus parmi les Etats membres sur le fait qu'il existe certaines
catégories de données qui, du fait de leur contenu, présentent un risque de
violation du droit à la vie privée de la personne concernée. L'article 8 de
la directive proposée pose donc des limites strictes au traitement et à
l'exploitation des catégories suivantes de données sensibles: origine
raciale (y compris des informations sur la couleur de la peau); opinions
politiques, croyances religieuses, convictions philosophiques et morales, y
compris l'absence de toute croyance religieuse (ces catégories englobent des
informations sur les activités de la personne concernée dans le domaine
politique, religieux ou philosophique); l'appartenance syndicale; la santé
de la personne concernée (y compris des informations sur son état physique
ou mental passé, présent et futur et des informations sur l'abus des drogues
et de l'alcool); la vie sexuelle. Des croyances autres que religieuses ou
philosophiques peuvent constituer des données sensibles. C'est la raison
pour laquelle on a ajouté la notion de "convictions morales".
L'article 17 initial a été modifié et restructuré de manière à tenir compte
de certaines observations faites par ie Parlement (amendements 63, 149, 65).
En règle générale, le paragraphe 1 dispose que le traitement (informatique
ou manuel ainsi que le Parlement l'a demandé dans son amendement 63) de
données sensibles est interdit.
Le paragraphe 2 prévoit    un   certain    nombre d'exceptions à cette  règle
générale :
   au lieu de subordonner le traitement de ces données à la condition
   générale d'un "accord libre, express et écrit", à laquelle il peut y
   avoir des dérogations, on a estimé plus approprié que cet accord soit
    l'une des différentes dérogations à l'interdiction générale de traiter
   ces données;
    le traitement de ces données est effectué par des fondations ou des
   associations de nature politique, philosophique, religieuse ou syndicale,
   dans le cadre de leur but légitime et à condition qu'il se rapporte aux
   seuls membres et correspondants de la fondation ou de l'association qui
   ont     consenti à   y   figurer     et    que   les  données  ne   soient
 ---pagebreak---                                    - 19 -
    pas communiquées à des tiers. Il s'agit là d'une fonction considérée
   comme nécessaire aux sociétés démocratiques. Ces traitements sont
   également dispensés de l'obligation de notification prévue au chapitre
    VIII de la proposition modifiée, conformément à la demande du Parlement
   (amendement 149);
    le traitement est effectué dans des circonstances qui ne posent
    manifestement aucun risque pour la vie privée et les libertés de la
    personne concernée. On peut citer comme exemple les données de nature
    politique sur une personnalité publique, la collecte pour une brève
    période et sous des conditions strictes de sécurité de noms de personnes
    faisant l'objet de sondages.
Le paragraphe 3 rétablit l'article 17 paragraphe 2 de la proposition
initiale, qui prévoyait des dérogations pour "des motifs d'intérêt public
importants". Ces dérogations devraient, en particulier, être accordées à des
organisations internationales des droits de l'homme dont les travaux exigent
de telles données, sous réserve que celles-ci fournissent des garanties
suff i santés.
L'avis du Parlement (amendement 65) prévoyant que les données concernant des
condamnations pénales ne peuvent être conservées que par les autorités
judiciaires a été retenu en partie dans le paragraphe 4 de cet article. On a
estimé que, outre les autorités judiciaires, ces données peuvent également
être détenues par les personnes directement impliquées dans les décisions
Judiciaires en question ou par leurs représentants. Etant donné la nature
particulièrement sensible de ces données, on a considéré que les dérogations
ne pouvaient être accordées que par voie de dispositions législatives
précisant les garanties appropriées (article 8.4 modifié)
Le paragraphe 3.A proposé (avis du Parlement, amendement n" 65 deuxième
partie) demandant aux Etats membres de déterminer dans leur législation les
conditions dans lesquelles un numéro national d'identification, s'il existe,
ou tout autre identifiant de portée générale peut être utilisé, a été
accepté et introduit au paragraphe 5.
Art icle 9
Traitements effectués par la presse
Cet article correspond à l'article 19 de la proposition initiale. Les Etats
membres sont invités à prévoir des dérogations aux dispositions de la
présente directive pour les organismes de presse et de I'audio-visue I dans
la mesure où celles-ci sont nécessaires pour concilier les droits
fondamentaux de l'individu, en particulier le droit à la vie privée, avec la
 liberté d'expression. Il existe, en effet, un risque de conflit entre ces
deux catégories de droits fondamentaux. L'approche adoptée met l'accent sur
 l'obligation de mettre en balance les intérêts en jeu: cette mise en balance
peut prendre en compte, notamment, la possibilité ou non pour la personne
 ---pagebreak---                                     - 20 -
concernée d'obtenir des sanctions ou d'exercer un droit de recours,
 l'existence d'un code d'éthique professionnelle, les limites fixées par la
Convention Européenne des Droits de l'Homme et les principes généraux du
dro i t.
Compte tenu du texte initial, et pour des raisons d'harmonisation, les
dérogations en faveur des organismes de presse et de I'audio-visue I, ainsi
que des journalistes (dont la mention est ajoutée au texte initial) sont
obligatoires pour les Etats membres. Il est précisé que ces dérogations ne
concernent que les traitements effectués à des fins de Journalisme. Le terme
Journaliste inclut les reporters- photographes ainsi que les auteurs, tels
que les biographes.
SECTION IV
 INFORMATION DE LA PERSONNE CONCERNEE
La section IV rassemble toutes les dispositions concernant l'information de
 la personne concernée qui se trouvaient dispersées dans la proposition
 initiale (articles 9, 13, 14.3).
Ar t i cI e 10
 Information sur l'existence d'un traitement
Cet article correspond à l'article 14.3 initial qui régissait le droit de la
personne concernée "de connaître l'existence d'un fichier, ses finalités
principales, ainsi que l'identité et la résidence habituelle, le siège ou
 rétablissement du responsable du fichier".
Les modifications suivantes ont été apportées au texte initial.
Le droit d'être informé peut être exercé sur demande. On a remplacé "la
résidence habituelle, le siège ou l'établissement du responsable du fichier"
par "le nom ou l'adresse du responsable du traitement et, le cas échéant, de
son représentant", informations qui ont été considérées comme suffisantes à
l'exercice des droits de la personne concernée. On a estimé que les tiers à
qui les données sont communiquées et les catégories de données mises en
oeuvre par le traitement étaient également importants et ils ont été ajoutés
aux informations que la personne concernée a le droit d'obtenir.
Les Etats membres peuvent accorder des dérogations à ce droit d'information
pour les motifs et aux conditions indiqués à l'article 14 paragraphe 1
(sécurité nationale, défense, ordre public, etc.)
 ---pagebreak--- Art i cle 11
Information en cas de collecte de données auprès de la personne concernée
Cet article, qui garantit aux personnes auprès desquelles des données à
caractère personnel sont collectées le droit à des informations spécifiques
correspond à l'article 13 initial.
La collecte légitime et loyale de données à caractère personnel suppose que
la personne concernée décide de divulguer ou non les données qui la
concernent sur une base factuelle fiable en ce qui concerne la finalité du
traitement, l'identité du responsable du traitement, le caractère
obligatoire ou non de l'obligation de divulguer les données en question et
toutes les conséquences pouvant résulter d'un défaut de réponse. Pour
qu'elle puisse faire valoir ses droits et contrôler efficacement
l'utilisation des données qui la concernent, elle doit également être
informée sur son droit d'accès aux données la concernant et sur les
destinataires des données.
Les modifications suivantes ont été apportées au texte initial :
     il est précisé dans le titre que l'article s'applique en cas de collecte
    de données auprès de la personne concernée;
    ceci est confirmé au paragraphe 1 qui expose clairement que le fait
    d'obtenir l'information n'est pas seulement un droit de la personne
    concernée (exercé sur demande), mais une obligation du responsable du
    traitement lorsque les données sont collectées auprès des personnes
    concernées. L'application de cet article dépendra des circonstances
    propres à la collecte;
    comne dar ~ 1^ proposition initiale (article 13 paragraphe 2), l'article
    11 paranr3phs 2 autorise les Etats membres à limiter l'obligation
    d'informer la personne concernée pour des motifs d'intérêt prédominant.
    Selon cette disposition, l'obligation de fournir les informations
    mentionnées à l'article 11 paragraphe 1 ne s'applique pas dans le cas où
     l'information de la personne concernée empêcherait l'exercice des
    fonctions de contrôle et de vérification d'une autorité publique ou le
    maintien de l'ordre public.
Ar t i cI e 12
Information en cas de communication à un tiers
Cet article correspond à l'article 9 du texte initial. Afin de permettre à
la personne concernée d'exercer ses droits, le paragraphe 1 exige du
responsable du traitement qu'il s'assure que la personne concernée soit
 ---pagebreak---                                    - 22 -
informée de la communication qui la concerne. La personne concernée peut
ainsi exercer son droit d'accès et s'opposer à la poursuite du traitement en
quest ion.
L'amendement 35 a été retenu en partie, pour autant qu'il se réfère aux
dispositions de l'amendement 32 qui ont été retenues. Ainsi, l'ancien
article 8 paragraphe 2 a) figurant dans l'amendement n" 35 correspond au
nouvel article 7.c) ainsi qu'à l'article 13 modifié; l'article 8 paragraphe
2 e) correspond à l'article 7.b), l'article 8 paragraphe 2 g) correspond en
part ie à l'article 7.f).
Le droit de la personne concernée de s'opposer au traitement (ainsi qu'à la
communication) est régi par la section VI et plus précisément par les
articles 15 et 16 du texte modifié. L'esprit du paragraphe 3 de l'amendement
n" 35 a été retenu dans l'article 15 modifié (sans toutefois faire référence
à la notion d'"agent" qui est inutile et risque de prêter à confusion).
Le texte modifié ne fait pas de distinction entre le secteur public et le
secteur privé (l'obligation d'informer en cas de communication s'appliquait
dans le texte initial essentiellement au secteur privé).
Le texte ne mentionne pas la "consultation en ligne", étant donné que
celle-ci est comprise dans la notion de communication. L'obligation
d'informer ne s'applique pas :
-  lorsque la communication est nécessaire à la sauvegarde de l'intérêt
   vital de la personne concernée (dans un tel cas l'information peut être
   impossible ou contraire aux intérêts de la personne concernée);
   lorsque la communication ou la possibilité de communication a déjà été
   portée à l'attention de la personne concernée;
   lorsque la communication est imposée en vertu d'une loi prévoyant une
   dérogation à l'obligation d'informer la personne concernée;
   lorsque la communication est motivée par l'une des raisons énumérées à
   l'article 14 paragraphe 1 (sécurité nationale, défense, ordre public,
   etc. ).
En dehors de la finalité du traitement, des catégories de données concernées
et du nom et de l'adresse du responsable du traitement (ou de son
représentant), on a estimé nécessaire que la personne concernée soit
également informée des destinataires ou des catégories de destinataires et
de l'existence de droits d'accès, de rectification et d'opposition.
Le paragraphe 3 de l'article 12 modifié correspond à l'article 10 du texte
initial qui concernait les exceptions à l'obligation d'informer la personne
concernée (si l'information de la personne concernée se révèle impossible ou
implique des efforts disproportionnés ou se heurte à des intérêts légitimes
 ---pagebreak---                                         - 23 -
    prédominants du responsable du fichier et ou à un intérêt similaire d un
    tiers). Il a été ajouté que, lorsqu'elle autorise une dérogation, l'autorité
    de contrôle doit prévoir des garanties appropriées, si cela est nécessaire
    (pour veiller à ce que le défaut d'information ne porte pas indûment
    atteinte aux droits et aux libertés de la personne concernée).
     Il devrait être fait usage du pouvoir d'octroyer des dérogations à
     l'obligation d'informer la personne concernée en particulier à l'égard des
    organisations des droits de l'homme et des organisations humanitaires, de
    manière à ne pas entraver indûment leurs travaux légitimes.
     Art icle 13
     Droit d'accès
     Cet article contient les dispositions de l'article 14 initial qui concerne
     le droit de la personne concernée à avoir accès a ses propres données à
     caractère personnel et le droit complémentaire d'obtenir que ces données
     soient rectifiées, effacées ou verrouillées (paragraphes 4 et 7). Comme le
     faisait l'article 4 paragraphe 4 du texte initial, l'article 13 paragraphe 1
     modifié confère à la personne        concernée le droit d'obtenir, à des
      intervalles raisonnables et sans délais ou frais excessifs, la confirmation
     de l'existence ou non de données à caractère personnel la concernant et,
     dans l'affirmative, la communication de ces données sous une forme
      intelIigible.
      Il incombe aux Etats membres de préciser comment ces informations sont
      fournies à la personne concernée, afin par exemple de garantir que les
      données, soient divulguées à la personne concernée et à elle seule ou de
      faciliter l'exercice du droit d'accès, aussi bien pour le responsable du
      traitement des données, que pour la personne concernée, lorsque plusieurs
      traitements sont en cause, en particulier dans le cas des fichiers manuels.
      Il incombe également aux Etats membres de déterminer dans leur législation
      le terme "intervalle raisonnable". Prenant en considération les intérêts de
      la personne concernée et ceux du responsable du traitement, les législateurs
      des Etats membres peuvent prévoir que le responsable du traitement ne peut
      pas exiger de la personne concernée qui exerce son droit d accès une
      rémunération supérieure au coût réel. Le droit perçu ne doit pas être
      excess i f.
      L'article 13 paragraphe 1 (article 14 paragraphe 4 initial) a été modifié
      pour tenir compte de l'amendement n" 48 qui a été retenu en partie. Le droit
      d'accès peut être exercé sur demande. La personne concernée a le droit
      d'obtenir des informations sur l'origine (pas l'origine en général : ceci
      serait trop vague et donc inutile) et sur l'utilisation en général (pas
       l'utilisation exacte : ceci       pourrait être excessivement     lourd et
       bureaucratique) des données à caractère personnel en question. Cet article
       permet en outre aux Etats membres d'instaurer une règle spéciale relative à
(4)
 ---pagebreak---                                    - 24 -
 l'exercice du droit d'accès de la personne concernée pour les données à
caractère médical. Afin de protéger la personne concernée de tout choc
psychologique grave, cette information peut lui être fournie par un médecin.
L'article 13 paragraphe 2 a été ajouté afin d'introduire dans le texte
l'amendement 132. Il prévient les abus de l'exercice du droit d'accès qui
pourraient être commis à I'encontre des intérêts légitimes de la personne
concernée (exemple donné par le Parlement : la personne concernée ne doit
pas être obligée par un tiers d'exercer son droit d'accès comme condition
préalable à son embauche ou au maintien dans son emploi). Toutefois, l'accès
en réponse à la demande d'un tiers est permis à condition qu'il soit fondé
sur une législation nationale ou sur la législation communautaire (exemple :
déclaration d'état civil, etc. requise pour déterminer les droits à
différentes prestations sociales).
L'article 13 paragraphe 3 (article 14 paragraphe 5 initial) accorde aux
personnes concernées le droit d'obtenir, selon le cas, la rectification,
l'effacement ou le verrouillage des données si leur traitement est
incompatible avec la directive. Le texte initial du paragraphe 5 a été
légèrement modifié de manière à ce qu'il corresponde plus précisément aux
souhaits du Parlement (amendement 46).
L'amendement n' 49 a également été partiellement retenu. Les données "qui
ont été omises en totalité ou en partie" sont appelées "données incomplètes"
et sont comprises dans l'article 13 paragraphe 3 modifié. D'autre part, les
termes "selon le cas" et "effacement" sont utiles dans ce contexte et ont
donc été conservés dans le texte modifié.
La formule utilisée dans la directive ("selon le cas") laisse à la
législation de chaque Etat membre en matière de protection des données le
soin d'adapter les droits de la personne concernée en matière d'effacement,
de verrouillage ou de rectification aux différentes situations dans
lesquelles des données à caractère personnel sont traitées et exploitées en
violation de la directive.
L'article 13 paragraphe 4 correspond à l'article 14 paragraphe 7 initial. Ce
paragraphe protège les intérêts de la personne concernée en prévoyant que
les tiers auxquels des données traitées de manière incorrecte ou illégitime
ont été transmises reçoivent notification de la rectification, de
l'effacement ou du verrouillage des données de manière à ce qu'ils puissent
à leur tour rectifier, effacer ou verrouiller les données en question.
L'article 13 paragraphe 5 a été ajouté à titre de garantie supplémentaire
dans le cas de décisions prises par un système automatisé et donnant des
résultats contraires aux intérêts de la personne concernée. Dans ce cas, la
personne concernée a le droit de connaître les raisonnements utilisés dans
les traitements en question.
 ---pagebreak---                                    - 25 -
Ar t i cI e 14
Exceptions au droit d'accès
Cet article correspond à l'article 15 initial. Il autorise les Etats membres
à limiter les droits d'accès des personnes concernées afin de protéger un
intérêt public supérieur ou l'intérêt d'un particulier équivalant au droit
privé de la personne concernée.
Il appartient aux Etats membres de décider dans quelle mesure ils incluent
dans leur législation nationale relative à la protection des données des
exceptions fondées sur l'article 14, à moins qu'une obligation découlant du
droit communautaire (par exemple en matière de contrôle bancaire ou de
blanchiment de capitaux) ne rende obligatoire de telles exceptions.
Cependant, les exceptions énumérées dans cette disposition sont limitées à
celles qui sont nécessaires à la sauvegarde des valeurs indispensables à une
société démocratique et doivent être adoptées dans la législation nationale.
L'amendement n" 54 a été retenu. L'article 14 modifié ne s'applique pas
uniquement au traitement effectué par le secteur public mais peut également
concerner le traitement effectué par le secteur privé.
La liste des intérêts à sauvegarder fournie au paragraphe 1, qui justifie
une limitation du droit d'accès en vertu de l'article 14 de la directive,
est exhaust i ve.
Il faut entendre par "sûreté de l'Etat" la protection de la souveraineté
nationale contre des menaces intérieures et extérieures.
"Les poursuites pénales" couvrent les poursuites contre des crimes qui ont
déjà été commis alors que la notion de "sécurité publique" couvre toutes les
fonctions de police des organes de l'Etat, y compris la prévention du crime.
L'expression "d'un intérêt économique et financier impératif dûment justifié
d'un Etat membre ou de la Communauté" vise toutes les mesures de politique
économique et les moyens de financement des politiques d'un Etat membre ou
de la Communauté, par exemple le contrôle des changes, le contrôle du
commerce extérieur et la collecte des impôts. Toutefois, cet intérêt doit
être impératif pour justifier une limitation du droit d'accès.
Enfin, l'intérêt d'une autre personne, incluant éventuellement celui du
responsable du traitement lui-même, équivalant au droit d'accès de la
personne concernée, ou les droits et libertés de tiers sont considérés comme
des motifs valables de limiter le droit d'accès. Ces intérêts comprennent:
les secrets d'affaires de tiers; les règles du secret professionnel auquel
obéissent les professions juridiques ou médicales; le droit d'un tiers de
préparer sa propre défense dans des affaires contentieuses ; la protection
des droits de l'homme. C'est ainsi que les autorités de contrôle devraient
être tenues d'accorder des exceptions au droit d'accès des personnes
 ---pagebreak---                                     - 26 -
concernées aux données les concernant détenues par des organisations des
droits de l'homme lorsqu'un accès illimité pourrait mettre en péril d'autres
particuliers (par exemple dans         le cas de sources d'informations
confidentielles) ou les intérêts vitaux de ces organisations.
Si la personne concernée ne peut avoir accès è des données qui la concernent
et qui figurent dans un fichier en raison de la protection d'un intérêt
couvert par l'article 14 paragraphe 1, l'article 14 paragraphe 2 prévoit que
 l'autorité de contrôle doit, à sa demande, procéder aux vérifications et aux
contrôles nécessaires du fichier sur lequel figurent les données en question
(comme prévu dans le texte initial article 15 paragraphe 2).
L'objet de ce contrôle est de vérifier la licéité des traitements au regard
des critères posés par cette directive. En effectuant ce contrôle,
 l'autorité devra éviter de préjudicier aux intérêts dont la sauvegarde est
prévue au paragraphe 1 .
L'article 14 paragraphe 3 autorise (tout comme l'article 15 paragraphe 3
initial) les Etats membres à limiter le droit d'accès de la personne
concernée à des données temporairement traitées à des fins statistiques, ces
opérations ne constituant pas un risque important pour la personne
concernée.
SECTION VI
DROIT D'OPPOSITION DE LA PERSONNE CONCERNEE
Art icle 15
Oppositions pour raisons légitimes
Aux termes de l'article 15 paragraphe 1, qui reprend l'article 14-1 de la
proposition initiale, la personne concernée a le droit de s'opposer, pour
des raisons légitimes, à ce que des données la concernant fassent l'objet
d'un traitement. Les raisons légitimes visées peuvent être l'absence d'une
justification légale d'un traitement déterminé de données à caractère
personnel, par exemple parce que les conditons prévues au chapitre II de la
directive concernant la licéité de ce traitement ne sont pas remplies. A
contrario une personne concernée ne serait pas légitimement fondée à
s'opposer à un traitement licite nécessaire à l'exécution du contrat qui la
lie avec le responsable.
Le paragraphe 2 reprend l'article 9 paragraphe 3 de la proposition initiale.
Il précise qu'en cas d'opposition exercée dans les conditions prévues au
paragraphe 1er, le responsable du traitement est tenu de cesser celui-ci.
Le paragraphe 3   développe les dispositions de l'article 14 paragraphe 6 de
la proposition    initiale. Son objet est de préciser les obligations du
responsable du    traitement à l'égard des personnes concernées lorsqu'en
application des  autres dispositions de la proposition de directive, il est
 ---pagebreak---                                     - 27 -
autorisé à communiquer des données à des tiers à des fins de prospection
particulière. Ces obligations s'appliquent quelle que soit la nature de la
prospection, qu'il s'agisse d'une prospection commerciale ou d'une
prospection effectuée par ou pour une association caritative ou un parti
politique. Ces obligations consistent pour le responsable des traitements à
s'assurer que la possibilité de faire effacer sans frais les données a été
explicitement offerte aux personnes concernées avant la communication. Cette
obligation s'applique également lorsque les données ne sont pas communiquées
mais sont utilisées aux mêmes fins par un responsable du traitement pour le
compte d'un tiers. Le responsable du traitement pourra remplir ses
obligations à l'occasion des contacts habituels qu'il entretient avec les
personnes    concernées, sans     devoir   procéder  nécessairement   à   une
correspondance spécifique.
Ce paragraphe ne concerne que la prospection écrite. Les mesures destinées à
prémunir les personnes contre des sollicitations non souhaitées effectuées
par des moyens de télécommunication sont prévues par la proposition de
directive modifiée visant à protéger les personnes dans le contexte des
réseaux de télécommunication.
Art icle 16
Décisions individuelles automatisées
Le risque d'une utilisation abusive de l'informatique dans la prise de
décision constitue un des risques essentiels pour l'avenir : en effet, le
résultat fourni par la machine, qui recoure à des logiciels de plus en plus
sophistiqués, voire à des systèmes-experts, revêt un caractère apparemment
objectif et incontestable auquel le décideur humain peut accorder une
importance excessive, en abdiquant sa responsabilité. Le paragraphe 1er de
l'article 16 pose par conséquent le principe selon lequel une personne a le
droit de ne pas être soumise à une décision administrative ou privée lui
faisant grief, prise sur le seul fondement d'un traitement automatisé qui
lui applique un profil de personnalité.
Ce paragraphe 1er a été réécrit au regard de la proposition initiale, afin
de permettre une meilleure précision des cas limités auxquels ses
dispositions s'appliquent.
En effet, trois conditions doivent être réunies:
    la personne doit être soumise à une décision lui faisant grief. Il doit
    s'agir d'une décision qui lui est opposable, qui emporte des conséquences
    à son égard, le simple fait par exemple d'adresser des prospectus
    commerciaux à une liste de personnes déterminées par ordinateur ne
    constitue pas une décision faisant grief;
    il doit s'agir d'une décision prise sur le seul fondement d'un traitement
    automatisé: ce qui est prohibé c'est la stricte application par
    l'utilisateur des résultats produits par le système. L'informatique peut
    fournir une aide à la décision mais en aucun cas l'unique base de celle-
    ci, l'appréciation humaine devant avoir sa place.
    Serait par exemple contraire à ce principe le fait, pour un employeur, de
    rejeter la candidature d'un demandeur d'emploi sur le seul fondement de
 ---pagebreak---                                     - 28 -
   ses résultats à un test psychotechnique d'évaluation sur ordinateur, ou
   encore la production, par de tels logiciels d'évaluation, de listes
   attribuant des notes et classant les candidats à l'emploi par ordre de
    préférence, sur le seul fondement de leur test de personnalité;
    le traitement doit appliquer aux données relatives à la personne
   concernée des variables déterminant un profil type (considéré comme bon
   ou mauvais) de personnalité, ce qui exclut tous les cas où le système ne
   donne pas de définition du profil de personnalité: par exemple, le fait
   qu'une personne ne puisse obtenir auprès d'un distributeur automatique de
    billets de banque la somme demandée, parce qu'elle aura outrepassé son
   crédit, ne tombe pas sous le coup d'une telle définition.
Un paragraphe 2 est ajouté dans la proposition modifiée, en vertu du
principe selon lequel la part d'appréciation humaine requise doit être
proportionnelle aux risques que présente pour l'individu une décision lui
appliquant un profil de personnalité, élaborée uniquement par ordinateur.
Un amendemnt parlementaire (n* 46) proposait de permettre une telle décision
en cas de consentement de la personne ou dans le cadre d'un contrat ou d'une
relation de confiance quasi contractuelle.
La proposition modifiée ne retient pas les circonstances suggérées, en effet
s'il existe un rapport de force défavorable à la personne concernée (cas de
la personne à la recherche d'un emploi par exemple), ni son consentement ni
la perspective d'un contrat ne sauraient constituer une garantie suffisante.
En vertu du paragraphe 2, la personne peut être soumise à une décision visée
au paragraphe 1 si la décision est prise dans le cadre d'un contrat conclu
entre elle et le responsable du traitement ou de la conclusion d'une tel
contrat, à condition soit que la personne obtienne satisfaction, soit que
des mesures appropriées (que les Etats membres pourront préciser)
garantissent la sauvegarde de son intérêt légitime. Cette garantie peut
résulter de la loi, des procédures de notification ou encore des mesures de
caractère interne prises par l'entreprise.
Ainsi par exemple le recours à la technique du score pour l'attribution d'un
crédit à un particulier est possible si            les décisions positives
d'attribution de crédit sont prises sur le seul fondement d'une appréciation
automatique des risques; en cas de score négatif, la sauvegarde de l'intérêt
légitime de la personne concernée devra être garantie (par exemple si la
décision finale est différée jusqu'à ce que les services aient pu procéder à
une étude "humaine" du dossier).
SECTION VI I
LA SECURITE DES TRAITEMENTS
Art icle 17
Cet article correspond à l'article 18 du texte initial.
 ---pagebreak---                                    - 29 -
Les dangers qui menacent le droit à la vie privée de la personne concernée
ne proviennent pas uniquement du responsable du traitement des données qui
les collecte, les stocke, les traite et les communique dans son propre
i ntérêt.
Le droit à la vie privée de l'intéressé est également menacé si les données
sont utilisées à d'autres fins par des tiers qui ne sont pas autorisés à
avoir accès aux données et à les utiliser.
L'article 17 oblige en particulier les Etats membres à prévoir que le
responsable du traitement doit prendre les mesures techniques et
d'organisation appropriées nécessaires à la protection contre la destruction
accidentelle ou illicite, la perte accidentelle, ainsi que contre
l'altération, la communication et tout autre forme de traitement non
autorisé de données à caractère personnel.
L'amendement n' 67 a été retenu en partie. L'expression "traitement
automatisé des données" a été utilisée de préférence à celle de "fichiers
automatisés". La référence au "coût de (la) mise en oeuvre (des mesures)" a
été supprimée. Le texte modifié utilise le terme de "responsable du
traitement".
Le texte a été légèrement modifié pour des raisons de clarté. Au paragraphe
1, "destruction non autorisée" a été remplacé par "destruction illicite" et
"l'état de l'art" a été remplacé par "l'état de la technologie". Au
paragraphe 2, "sécurité adéquate" a été remplacé par "sécurité appropriée".
Au paragraphe 3, "consultation en ligne" a été remplacé par "accès à
distance". Le paragraphe 4 précise que les obligations en matière de
sécurité incombent également aux personnes qui ont une responsabilité dans
la mise en oeuvre du traitement, notamment l'agent traitant.
Il y a en outre deux modifications de quelque importance. Au paragraphe 3,
il est précisé qu'en cas d'accès à distance, les installations techniques et
le logiciel seront mis en oeuvre de manière à ce que l'accès s'opère dans
les limites de la licéité du traitement (et non dans les limites de
l'autorisation accordée par le responsable du traitement. Etant donné que
cette autorisation ne pourrait certainement pas dépasser les limites du
traitement licite, elle ne serait d'aucun intérêt pour la protection des
données à caractère personnel).
Le paragraphe 5 prévoit une exception à l'obligation de ne pas communiquer
les données à des tiers sans l'accord du responsable du traitement lorsque
la communication est prévue par une loi nationale ou communautaire (exemple:
aux fins de poursuites pénales).
 ---pagebreak---                                     - 30 -
SECTION VI II
NOTIFICATION
Art icle 18
L'obligation de notification à l'autorité de contrôle
L'article 18 reprend les articles 7 et 11 de la proposition initiale
relatifs à la notification à l'autorité de contrôle des fichiers créés dans
 le secteur public et dans le secteur privé. Ces dispositions sont
fusionnées, ainsi que le Parlement l'a souhaité dans son avis. Cette
présentation a l'avantage de mettre en évidence que l'approche en matière de
notification doit être la même, quelque soit le secteur dans lequel des
traitements de données sont effectués.
L'objet, la portée et le contenu des disposiitons initiales sont toutefois
modifiés, pour tenir compte de l'avis du Parlement et pour assurer la
cohérence de la proposition modifiée. En effet, les amendements du Parlement
(39, 40, 41, 118 et 119) conduisent à développer les dispositions relatives
à la notification en plusieurs articles. La notification doit permettre
d'assurer, outre la transparence des traitements comme dans la proposition
initiale, un contrôle sélectif par l'autorité de contôle de la licéité des
traitements. En fonction du degré des risques qu'ils présentent, le contrôle
devra être fait soit a posteriori en règle générale soit a priori dans un
nombre limité de cas.
1. Le paragraphe 1 de l'article 18 modifie l'obligation de la notification
   prévue dans la proposition initiale de la manière suivante:
   a. afin d'assurer la cohérence de l'approche retenue dans la proposition
       amendée, il est proposé que la notification porte sur le traitement
       des données à caractère personnel et non plus sur le fichier. Cette
       modification fait porter le contrôle plus sur les usages et opérations
       que l'on fait subir aux données en vue de la réalisation de finalités
       déterminées (nature     des opérations, des      rapprochements, des
       communications à des tiers effectuées, nature des données collectées,
       enregistrées, etc...) et moins sur des organisations techniques
       particulières des données en fichiers dont l'intérêt au regard de la
       protection des personnes peut être sans signification particulière
       lorsque les données sont automatisées;
   b.   le critère de la communication des données à des tiers retenu dans la
        proposition initiale pour fonder l'obligation n'est plus repris afin
        de tenir compte des critiques émises sur son caractère inadéquat,
        étant donné que certaines communications à des tiers ne portent pas
        atteinte aux droits des personnes, ainsi que pour tenir compte des
        risques que peuvent présenter à l'inverse, des traitements internes
        notamment lorsqu'ils ont pour but de sélectionner des populations.
        Dans ce contexte, il est apparu opportun d'étendre l'obligation de
        notification à tout' traitement de données à caractère personnel
        préalablement à leur mise en oeuvre. Cette approche devra inciter
        les responsables de traitements à envisager les mesures nécessaires
        au respect des obligations qui leur incombent avant de procéder à la
 ---pagebreak---                                          - 31 -
            mise en oeuvre de leurs traitements. Il convient, cependant, pour
            apprécier la portée pratique de cette modification, de tenir compte
            des dispositions contenues à l'article 19 sur la simplification et
            l'exonération de l'obligation de la notification;
      c.    afin d'assurer la prise en compte dans le contrôle de la réalité
            globale et parfois multiple des traitements effectués par un
            responsable de traitement, et afin d'éviter une multiplication
            excessive des notifications, il est proposé qu'une même notification
            porte sur l'ensemble des traitements, répétitifs ou non, destinés à
            la réalisation d'une finalité ou de plusieurs finalités liées entre
            elles du point de vue du responsable du traitement et des personnes
            concernées. A titre d'exemple, une seule notification devrait être
            exigée pour l'ensemble des traitements relatifs à la gestion des
            prêts effectués par un organisme de crédit et destinés à prendre en
            compte les demandes de prêts, à les instruire, à les accorder, à
            recouvrer les créances dues, ainsi qu'à suivre les dossiers
            content i eux ;
      d.    afin d'éviter des démarches administratives excessives, il est
            proposé d'ajouter que l'obligation de notification ne concerne que
            les traitements automatisés en tout ou en partie, tout en laissant
            libres les Etats membres d'étendre l'obligation aux fichiers manuels
            en vertu de l'article 21.
   2. Le paragraphe 2 de l'article 18 ajoute des précisions quant au contenu de
       I a not i f i cat i on :
      a.    la précision relative à la ou les catégories de personnes concernées
            par le traitement est ajoutée (ex clients de l'entreprise ou
            personnel de l'entreprise ou prospectus ou bénéficiaires de telle
            a i de ~oc i a I e etc.);
      b.    de mci.ie, il est ajouté que l'information relative aux tiers à qui des
            données sont communiquées, peut être précisée par référence à des
            catégories de tiers (amendement 39);
      c.    à la description des données sur lequel portent les traitements, est
            ajoutée la faculté de ne préciser que des catégories de données, ce
            qui est suffisant lorsqu'un détail trop grand de nature technique
            n'apporterait pas d'éléments significatifs à la compréhension des
            traitements en cause;
      d.    la mention de l'existence de transferts de données avec des pays
            tiers est ajoutée, afin de faciliter l'application des dispositions
            particulières les concernant et d'assurer la prise en compte de leur
            contexte spécifique;
      e.    la description des mesures de sécurité, prévue dans la proposition
            initiale, est maintenue, compte tenu de l'importance de leur contrôle
            dans le contexte notamment du développement des traitements effectués
            à distance au moyen des réseaux de télécommunication.
5)
 ---pagebreak---                                     - 32 -
3. Le paragraphe 3 de l'article 18 porte sur la notification des
   modifications apportées aux traitements. L'obligation de la notification
   des modifications apportées aux traitements affectant le contenu de la
   notification antérieurement effectuée, prévue dans la proposition
    initiale, est maintenue en vue d'assurer la mise à jour de la liste des
   traitements accessibles au       public, et     le suivi    du contrôle,
   particulièrement important lorsque les finalités du traitement sont
   modifiées ou que de nouvelles catégories de tiers peuvent avoir
   communication de données sur lesquelles il porte.
4. Les paragraphes 4 et 5 reprennent l'avis du Parlement (amendements 40,
   41, 118 et 119), selon lequel certains traitements qui sont susceptibles
   de comporter des risques particuliers au regard des droits et des
    libertés des personnes concernées, doivent faire l'objet d'un avis ou
   d'une autorisation de l'autorité de contrôle, préalablement à leur mise
   en oeuvre.
   Tout en tenant compte des différentes approches institutionnelles qui
   peuvent prévaloir dans les différents Etats membres, il est apparu
   préférable de prévoir au paragraphe 4 de l'article 18 une obligation pour
    les Etats membres de soumettre de tels traitements à un examen préalable
   à leur mise en oeuvre par l'autorité de contrôle. Les Etats membres
   peuvent remplacer cet examen non contraignant par une autorisation par la
   loi ou par l'autorité de contrôle.
   Ces risques particuliers peuvent tenir par exemple à la nature des
   données traitées notamment celles visées à l'article 8, à la portée du
   traitement lorsqu'il concerne toute une population nationale, ou encore
   aux finalités telles que celles d'exclure les personnes concernées du
   bénéfice d'un droit, d'une prestation ou d'un contrat (listes noires,
   traitements destinés au renseignement des tiers sur la solvabilité des
   personnes physiques).
   Le paragraphe 4 de l'article 18 ajoute une précision destinée à limiter,
   dans l'intérêt du responsable du traitement, le délai de l'examen
   préalable de son dossier par l'autorité de contrôle.
   Cette approche ainsi qu'il est proposé dans le même article, ne devrait
   pas empêcher les Etats membres de prendre, sur la base de l'expérience
   acquise, pour certaines des catégories de traitements visées, des mesures
   de simplification ou d'exonération de l'obligation de notification,
   telles que prévues à l'article 19.
5. Enfin, pour être complet dans la présentation de ces dispositions, il
   convient de préciser que les traitements en tout ou en partie
   automatisés, qui ne relèvent ni des procédures de simplification ou
   d'exonération de l'obligation de notification prévues à l'article 19, ni
   des procédures d'examen préalable, mais qui sont donc notifiés aux
   autorités de contrôle en application des dispositions de l'article 18, ne
   sont soumis normalement, tout comme les traitements visés à l'article 19,
   qu'au contrôle a posteriori des autorités compétentes. Il va de soi que
   l'autorité de contrôle s'assure de la conformité de la procédure de
   notification suivie au regard de la nature du traitement.
 ---pagebreak---                                     - 33 -
6. La mise en oeuvre des procédures communautaires prévues aux articles 33
    et 34, devraient permettre, dans l'esprit de l'avis du Parlement
    (amendement 39), les harmonisations particulières nécessaires au bon
    fonctionnement du marché intérieur en ce qui concerne les articles 18 et
    19 notamment.
Art i cI e 19
La simplification et l'exonération de l'obligation de notification
L'article 19 reprend, tout en le développant, l'amendement 39 du Parlement
visant à la simplification des procédures pour certaines catégories de
trai tements.
 Il est proposé au paragraphe 1 de l'article 19, de mettre à la charge des
Etats membres une obligation de procéder à une telle mesure, les Etats
membres ayant en outre la faculté de procéder à des exonérations de
l'obligation de notification.
Afin de développer une politique commune cohérente vis-à-vis de l'objectif
de protection des personnes, il est proposé d'ajouter un critère déterminant
 le domaine dans lequel il est pertinent de procéder à la simplification ou à
 l'exonération de la notification. Ce critère vise les traitements qui ne
sont pas susceptibles de porter atteinte aux droits et aux libertés des
personnes concernées.
L'expérience montre que de nombreux traitements de données à caractère
personnel effectués dans de grandes ou petites organisations publiques ou
privées sont de cette nature et n'appellent pas de ce fait une publicité
détaillée ou générale. Il peut s'agir de traitements très encadrés
juridiquement par nature dans leur contenu et leur portée ou de traitements
simples dont les intéréssés ont régulièrement l'occasion de s'assurer de
 leur licéité ou de traitements qui par nature ne peuvent porter préjudice
aux personnes concernées ou encore de traitements, certes plus sensibles par
nature, mais dont le contexte précis de mise en oeuvre apportent les
garanties nécessaires.
 Il est proposé au paragraphe 1 de l'article 19 de considérer, en référence à
 l'amendement 23 du Parlement, que les traitements ayant pour finalité la
production par traitement de textes, de lettres ou de documents,
 l'accomplissement d'obligations légales, comptables, fiscales ou sociales ou
encore la consultation de services documentaires accessibles au public,
relèvent de la simplification ou de l'exonération de l'obligation de
not i f i cat i on.
Les Etats membres, en fonction de leur expérience et des spécificités
nationales des traitements effectués ou nouveaux, doivent au fur et à mesure
permettre ces simplifications ou même ces exonérations. On peut estimer à
titre d'exemple que pourraient également être concernés par ces mesures, les
traitements ayant pour finalité l'établissement de la paie du personnel
d'une administration ou d'une entreprise, certains traitements destinés à la
recherche scientifique ou encore, certains traitements relatifs à la tenue
des dossiers médicaux des patients d'un professionnel de santé.
 ---pagebreak---                                    - 34 -
Le paragraphe 2 de l'article 19 reprend l'amendement 39 du Parlement selon
lequel la simplification de l'obligation de notification des Etats membres
doit faire l'objet d'un acte juridique. Il est cependant proposé de
préciser, dans l'esprit de cet amendement, que la procédure d'élaboration de
la    mesure de simplification ou d'exonération          implique  l'autorité
indépendante de contrôle. En outre, afin que les responsables des
traitements puissent apprécier, en toute sécurité, la conformité des
traitements qu'ils envisagent au regard de la mesure de simplification, il
est proposé que cette dernière décrive chaque catégorie de traitements visés
et précise notamment leurs finalités, les données ou catégories de données
sur lesquelles ils portent, les catégories de personnes concernées, les
tiers ou catégories de tiers ayant communication des données, la durée de
conservation des données, ainsi que les conditions éventuelles de la mise en
oeuvre des traitements visés.
Le paragraphe 3 de l'article 19 reprend   le même amendement 39 du Parlement
selon lequel il convient de rappeler      dans un souci de clarté, que le
bénéfice de la simplification ou de        l'exonération de l'obligation de
notification ne dispense le responsable    du traitement d'aucune des autres
obligations découlant de la directive.
Article 20
Les traitements manuels
La faculté est laissée aux Etats membres d'appliquer aux fichiers manuels
les dispositions de la section VIII, tout en apportant à celles-ci les
adaptations qui pourraient être nécessaires.
Art icle 21
Le registre des traitements notifiés
L'article 21 reprend l'article 7 paragraphe 1 de la propositon initiale
concernant la tenue par l'autorité de contrôle du registre des fichiers du
secteur public notifiés et la possibilité de sa consultation par toute
personne. L'article 21 étend toutefois cette disposition, dans l'esprit de
l'avis du Parlement (amendements 37 et 39), à tous les traitements notifiés,
quelque soit le secteur d'appartenance du responsable du traitement.
La consultation du registre    peut être limitée cependant, ainsi que le
demande le Parlement, dans     les mêmes conditions que celles fixées à
l'article 14 relatives à la   limitation de l'exercice du droit d'accès des
personnes aux données qui les concernent.
Par ailleurs, dans l'esprit de l'avis du Parlement (amendement 39),
l'article 21 précise le contenu minimum du registre qui doit reprendre les
informations à l'article 18 paragraphe 2, à l'exception toutefois des
informations relatives aux mesures prises pour assurer la sécurité des
traitements de manière à ne pas en affaiblir l'efficacité.
 ---pagebreak---                                    - 35 -
CHAPITRE III
RECOURS JURIDICTIONNELS, RESPONSABILITE ET SANCTIONS
Art icle 22
Recours luridietionneIs
L'article 22 reprend l'article 14 paragraphe 8 de la proposition initiale.
La portée de cette disposition est, toutefois, élargie. En effet, il est
proposé que les législations nationales donnent un recours juridictionnel
aux personnes concernées pour leur permettre, si nécessaire, de défendre non
seulement leurs droits complémentaires énumérés à l'article 14 de la
propositon initiale, mais, de façon plus générale, tous les droits qui leur
seront reconnus par la directive.
Ar t i cI e 23
Responsab iIi té
Le paragraphe 1 de cet article, tout comme l'article 21 paragraphe 1 de la
proposition initiale, fait peser sur le responsable du traitement une
obligation de réparer le préjudice causé à toute personne du fait d'un
traitement ou d'une action incompatibles avec la présente directive.
Ainsi que le Parlement l'a demandé dans son avis (amendement n" 73), la
notion de traitement "illicite", source de la responsabilité, est
introduite. Par ailleurs, la notion de "traitement" est substituée à celle
de "fichier". Cette nouvelle rédaction permet de reprendre le contenu du
paragraphe 2 de cet article tel que suggéré par le Parlement. En effet, en
utilisant la notion de traitement, la propositon modifiée couvre, comme le
Parlement le souhaite, l'enregistrement proprement dit des données à
caractère personnel comme source possible de responsabilité.
En revanche, la Commission maintient la faculté pour les Etats membres de
prévoir une exonération de responsabilité si des mesures de sécurité
appropriées ont été prises. Le libellé du texte a, toutefois, été clarifié.
En outre, l'avis du Parlement amène la Commission à préciser que
l'exonération de responsabilité peut être totale ou seulement partielle.
Article 24
Traitement par l'agent traitant
Cet article reprend l'article 22 de la propositon initiale. Il vise à éviter
qu'un traitement par un tiers pour le compte du responsable ait pour
conséquence d'affaiblir la protection de la personne concernée.
La notion "d'agent traitant", introduite suite à l'avis du Parlement dans la
 liste des définitions, est utilisée dans le texte de l'article. Le
paragraphe 2 souligne, comme le demande le Parlement, que cet agent ne peut
agir que dans les limites du contrat conclu avec le responsable. Il est
proposé de maintenir une référence expresse aux obligations découlant des
dispositions nationales prises en application de la directive qui pèsent
également sur l'agent traitant.
 ---pagebreak---                                    - 36 -
Ar t i cI e 25
Sanct ions
Les modifications introduites dans la proposition visent à tenir compte de
l'avis du Parlement (amendement n" 77). Elles mettent l'accent sur les
personnes susceptibles d'être sanctionnées. Il s'agit, de façon générale, de
toute personne qui ne respecte pas les dispositions nationales prises en
application de la présente directive et, en particulier, comme le souligne
le Parlement dans son avis, des autorités et organisations relevant du droit
pub lie.
CHAPITRE IV
TRANSFERT DE DONNEES A CARACTERE PERSONNEL VERS DES PAYS TIERS
Ar t i cI e 26
Pr i ne i pes
Cet article, qui reprend l'article 25 de la proposition initiale, pose le
principe selon lequel le transfert de données à caractère personnel depuis
un Etat membre vers un pays tiers ne peut avoir lieu que si ce pays assure
un niveau de protection adéquat. Faute d'une telle disposition, il est
évident que l'effort déployé dans la Communauté pour assurer aux personnes
un haut niveau de protection risquerait d'être anéanti par des transferts
vers des pays tiers ne garantissant pas une protection suffisante. En outre,
la libre circulation des données entre les Etats membres, que la présente
proposition de directive vise à instaurer, suppose que des règles communes
soient adoptées en ce qui concerne les transferts vers les pays tiers.
Les consultations avec les milieux intéressés ont montré que des exceptions
au principe susvisé sont nécessaires dans certains cas. C'est pourquoi, à la
lumière de l'avis du Parlement, la Commission a été amenée à reconsidérer la
propositon initiale. Elle propose que l'interdiction des transferts vers des
pays tiers n'assurant pas un niveau de protection adéquat soit assortie
d'exceptions compatibles avec la protection des personnes. Selon la
proposition modifiée, le transfert vers un pays tiers n'assurant pas un
niveau de protection adéquat peut être effectué si la personne concernée a
donné son consentement au transfert envisagé dans le cadre de relations
précontractuelles ou si le transfert est nécessaire à la réalisation d'un
contrat entre la personne concernée et le responsable du traitement. Dans
ces cas, la personne concernée est informée du transfert ou de la
possibilité de transfert vers un ou des pays tiers n'assurant par un niveau
de protection adéquat. Elle peut décider si elle veut ou non prendre le
risque d'un tel transfert. Ces exceptions semblent, en particulier, utiles
pour les transferts de données liées à des opérations faites par les banques
ou d'autres organismes de crédit. En outre, un transfert vers un pays tiers
n'assurant pas un niveau de protection adéquat peut être justifié s'il est
nécessaire à la sauvegarde d'un intérêt public important ou de l'intérêt
vital de la personne concernée. Ces exceptions visent à permettre la
coopération internationale (par exemple dans la lutte contre le blanchiment
 ---pagebreak---                                    - 37 -
des capitaux ou dans le cadre de la surveillance des établissements
financiers) ou à rendre possible le transfert des données médicales dans des
circonstances dans lesquelles la personne concernée ne pourrait exprimer sa
volonté.
Le paragraphe 2 précise quels sont les éléments à prendre en considération
pour l'appréciation du caractère adéquat. Il s'agit de toutes les
circonstances affectant un transfert ou une catégorie de transferts, telles
que la nature des données, la finalité des traitements, les dispositions
législatives du pays en cause. A cet égard il conviendra d'examiner les
dispositions législatives générales et sectorielles, leur application
effective , ainsi que les disciplines professionnelles, exprimées dans des
codes de conduite. Comme le souhaite le Parlement dans son avis (amendement
n" 79 notamment), le nouveau paragraphe 2 souligne que l'application du
caractère adéquat de la protection doit être apprécié au regard d'un
transfert de données ou d'une catégorie de transferts de données.
Le paragraphe 3, qui reprend le pararaphe 2 de l'article 24 de la
proposition initiale, a été modifié conformément à l'avis du Parlement
(amendement n" 79), qui souligne que les Etats membres procèdent à
l'évaluation du caractère adéquat de la protection et décident en
conséquence d'interdir, le cas échéant, le transfert. Ils avisent la
Commission des cas d'interdiction.
Comme le demande le Parlement dans son avis (amendement n" 80), la
proposition modifiée prévoit, au paragraphe 4 de cet article, qui correspond
à l'ancien paragraphe 3, que le groupe de protection visé à l'article 32,
doit être consulté pour avis par la Commission avant que celle-ci engage des
négociations avec un pays tiers.
Art icle 27
Mesures pai 11 ci . i ères
L'article 27 rep.end l'idée de l'article 25 de la proposition initiale, avec
des modifications. D'après le nouveau texte, l'Etat membre peut autoriser un
transfert ou une catégorie de transferts de données à caractère personnel
vers un pays tiers n'assurant pas un niveau de protection adéquat si le
responsable du transfert peut présenter des justifications suffisantes
garantissant l'exercice effectif des droits des personnes concernées et si
 les autres Etats membres ou la Commission ne s'opposent pas à la mesure
envisagée selon une procédure prévue dans cet article. En cas de
notification d'opposition,     la Commission peut     prendre   les mesures
appropriées, notamment décider d'interdire le transfert, subordonner le
transfert à des conditons complémentaires ou entreprendre des négociations
avec le responsable du traitement pour qui les transferts sont effectués, en
vue de trouver des solutions pour l'ensemble de la Communauté.
CHAPITRE V
LES CODES DE CONDUITE
Les codes de conduite, pour lesquels l'appellation généralement utilisée
dans d'autres domaines est retenue dans la proposition modifiée, faisaient
 ---pagebreak---                                    - 38 -
l'objet de l'article 20 de la proposition initiale. Cette disposition visait
à encourager l'élaboration de seuls codes communautaires. La proposition
modifiée contient deux articles consacrés l'un aux codes nationaux, l'autre
aux codes communautaires.
Article 28
Codes nat ionaux
L'expérience faite par certains Etats membres en la matière amène la
Commission à inclure dans sa proposition modifiée une disposition qui vise à
encourager l'élaboration de codes de conduite au niveau national. Les codes
peuvent être un élement favorable à la bonne acceptation de la législation
applicable, étant donné que les professions sont amenées à participer
directement à la mise en oeuvre de la législation. En même temps, ils
peuvent permettre d'éviter une intervention législative trop détaillée, dans
la mesure où les solutions qu'ils contiennent sont satisfaisantes.
Il existe une grande diversité de codes, tenant à leur contenu, la
profession qui les ont élaborés, etc... Cependant, ils obéissent aux
caractéristiques suivantes:
   leur initiative et leur élaboration, comme déjà indiqué, sont placées
   sous la seule responsabilité des professions, quel que soient par
   ailleurs les encouragements qu'elles peuvent recevoir des autorités
   publiques à cet égard;
   leur portée se limite à mettre en oeuvre ou à expliciter la législation
   applicable, sans pouvoir y déroger;
   leur effet n'est pas contraignant à l'égard des tiers, ni à l'égard des
   juridictions qui peuvent toujours faire prévaloir la législation qu'elles
   sont chargées d'appliquer.
Evidemment, ainsi que le montre la législation de certains Etats membres, il
peut arriver que l'autorité publique et en particulier le législateur,
reprenne à son compte les codes élaborés par les professions pour leur
donner une force contraignante législative.
Afin de donner aux codes une certaine autorité, sans modifier pour autant
leurs caractéristiques, la Commission propose, en s' inspirant de l'avis
exprimé par le Parlement pour les codes communautaires (amendement no. 72),
que l'élaboration des codes soit soumise à l'avis de l'autorité nationale
compétente.
Il est ainsi proposé de confier à l'autorité de contrôle le soin de vérifier
le   bien   fondé des codes,      la   représentativité  des organisations
professionelles qui les ont élaborés, d'assurer une publicité des codes et
de recueillir les observations des personnes concernées ou de leurs
représentants et de formuler un avis faisant l'objet d'une publicité
accompagnant celle du code.
 ---pagebreak--- Art icle 29
Codes communautaires
La proposition modifiée s'inspire de l'avis du Parlement (amendement no. 72)
et des dispositions de l'article 29, étant précisé que les pouvoirs donnés à
l'autorité de contrôle pour les codes nationaux sont donnés au groupe
communautaire de protection. En vue d'assurer l'information du public, il
appartiendra à la Commission de décider de publier au JoCE les codes
accompagnées de l'avis du Groupe.
CHAPITRE VI
AUTORITE DE CONTROLE ET GROUPE DE PROTECTION DES PERSONNES A L'EGARD DU
TRAITEMENT DES DONNEES A CARACTERE PERSONNEL
Art i cle 30
L'autorité de contrôle
Cet article, qui reprend l'article 26 de la propositon initiale, prévoit
 l'institution d'une autorité de contrôle dont la caractérisque essentielle
est son indépendance.
 La Commission reprend dans sa proposition modifiée l'avis du Parlement
(amendements n" 84, 85, 86 et 87).
 a) désignation des autorités de contrôle: il est précisé au paragraphe 1 que
     les Etats membres ont la possibilité de désigner une pluralité
     d'autorités   de     contôle      indépendantes.    Cette    précision  semble
     indispensable pour les Etats membres à structure fédérale, notamment
     l'Ai Iemagne.
 b) pouvoir des autorités de contrôle: en outre des pouvoirs donnes aux
     autorités de contrôle par les dispositions reprises plus haut, notamment
     du chef de la procédure de notification, il est proposé de doter ces
     autorités de pouvoirs d'investigation et d'intervention à I égard des
     responsables des traitements, sous le contrôle des autorités judiciaires.
  Les pouvoirs d'investigation visent a permettre à I autorite de contrôle de
  recueillir auprès des responsables des traitements, les informations
  nécessaires à l'accomplissement de sa mission. Ces pouvoirs s expriment
  notamment dans l'accès aux données faisant l'objet des traitements. Il est
  évident, en vue de respecter les droits des personnes soumises au contrôle
  de l'autorité, que ces pouvoirs doivent être exercés dans le strict respect
  de la confidentialité qui s'attache aux données en cause selon le droit
  national. Une disposition est introduite à cet effet au paragraphe 6.
   Afin que l'autorité de contrôle puisse exercer sa mission, il paraît
   essentiel qu'elle dispose également de pouvoirs effectifs d'intervention,
   tels que ceux énumérés par le Parlement dans son avis et qui sont repris
   dans I a propos i t i on mod i f i ée: pouvo i r   d or donner un ver rou i II âge,
   l'effacement de données, l'interdiction d un traitement, etc... En
 ---pagebreak---                                     - 40 -
 revanche, il ne semble pas nécessaire de se prononcer dans le texte de la
 directive sur la nature juridique de ces mesures, que le Parlement qualifie
 de sanctions dans son avis.
  Il est, enfin, proposé que l'autorité de contrôle ait le pouvoir de saisir
  l'autorité     judiciaire  lorsqu'elle    constate des    infractions   aux
 dispositions nationales d'application de la présente directive. Ce pouvoir
 est généralement reconnu par les législations nationales actuelles. Il
 découle logiquement d'une part du pouvoir d'investigation, car il serait
 anormal qu'une autorité chargée de protéger les personnes ne saisisse pas
  l'autorité Judiciaire si elle est amenée à constater une infraction à la
 protection des personnes, d'autre part du droit de toute personne de
 présenter une plainte à l'autorité de contrôle. La conséquence du dépôt de
 cette plainte peut, en effet, être la saisine de l'autorité judiciaire.
c) présentation de rapports annuels: il est très important que l'autorité de
    contrôle puisse présenter périodiquement un rapport de son activité,
    soulignant éventuellement les difficultés rencontrées dans la mise en
    oeuvre des dispositions législatives et indiquant ainsi les orientations
    nouvelles à retenir.
Art icle 31
Groupe de protection des personnes à l'égard du traitement des données à
caractère personnel
Cet article, qui reprend l'article 27 de la proposition initiale, établit un
comité de type consultatif.
a) Int i tuIé du Groupe
 Il est proposé d'harmoniser l'intitulé du groupe de protection sur        le
 libellé de l'article 1, paragraphe 1.
b) Composition et présidence du Groupe
 Les modifications demandées par le Parlement (amendements n' 88 et 128)
 concernent notamment la composition et la présidence du groupe. En vue de
 garantir l'indépendance de celui-ci, dont elle a souligné la nécessité dans
 l'exposé des motifs de la proposition initiale, la Commission accepte les
 solutions contenues dans l'avis du Parlement concernant la présidence du
 groupe, mais non celles relatives à sa composition:
 - présidence du groupe: la Commission propose que le groupe élise un
    président pour un mandat renouvelable de deux ans. Cette période semble
    suffisamment longue pour assurer une certaine stabilité au sein du
    groupe;
 - composition du groupe: la Commission maintient sa proposition initiale
    consistant à limiter la composition du groupe aux représentants des
    autorités de contrôle' nationales visées dans les dispositions
    précédentes. Dans le cas où certains Etats membres utiliseraient la
    faculté qui leur est laissée de désigner plusieurs autorités de contrôle,
    il est proposé, dans un souci d'équité, que la représentation des
    autorités des Etats membres en cause soit assurée, au sein du groupe
 ---pagebreak---                                     - 41 -
    communautaire, par le biais d'une représentation commune. Faute d'une
    telle disposition, l'exercice de la faculté prévue aux articles
    précédents, pourrait aboutir à déséquilibrer les représentations au sein
    du groupe.
La Commission demande a être représentée au sein du groupe et souhaite que
ses services en assurent le secrétariat.
Art icle 32
Missions du groupe de protection des personnes à l'égard du traitement des
données à caractère personnel.
Cet article fixe les tâches du groupe. Il est proposé de conserver au groupe
le caractère consultatif, tel que prévu par la proposition initiale. Le
groupe doit conseiller la Commission, notamment au moment de l'exercice du
pouvoir réglementaire ou de la présentation de nouvelles propositions. Il
devra contribuer à l'application homogène des dispositions prises en
application de la directive, ainsi qu'à l'élaboration d'une politique
commune en matière de flux transfrontaliers avec les pays tiers. La
Commission soumettra au Groupe toute mesure envisagée dans ces domaines en
vue d'obtenir son avis.
Le groupe exercera ses missions au moyen d'avis et de recommandations soumis
à la Commission et, éventuellement, au comité réglementaire. A cet égard, la
proposition modifiée reprend, pour partie, l'avis du Parlement (amendements
n" 90, 91 et 92).
La Commission informera le groupe des suites qu'elle aura données à son
avis, en publiant des rapports qui seront transmis au Parlement. Le groupe
établira un rapport annuel sur l'état de la protection dans la Communauté et
 les pays tiers. Ce rapport, communiqué à la Commission et au Parlement, sera
pub lié.
La Commission partage la volonté du Parlement (exprimée à l'amendement 89)
de doter le secrétariat du groupe des moyens nécessaires pour permettre à
celui-ci de répondre aux tâches qui lui auront été fixées par la directive.
La Commission veillera, notamment dans le cadre de la procédure budgétaire,
à ce que le groupe dispose de ces moyens. Toutefois, il ne semble pas utile
d'introduire une disposition à cet effet dans la propositon modifiée.
CHAPITRE VI I
POUVOIR REGLEMENTAIRE DE LA COMMISSION
Art i cI es 33 et 34
Exercice du pouvoir réglementaire et comité consultatif.
La Commission maintient sa proposition initiale. Des modalités techniques
d'application de la directive seront nécessaires en raison de l'étendue et
du caractère technique du domaine du traitement des données à caractère
personne I.
 ---pagebreak--- DISPOSITIONS FINALES
Art icles 35. 36 et 37
La proposition modifiée prévoit à l'article 35 paragraphe 2 une mesure
transitoire visant à permettre, ainsi que le Parlement le suggère dans son
avis à propos de la notification (amendement n' 37), une entrée en vigueur
progressive des dispositions prises en application de la directive à l'égard
des traitements mis en oeuvre avant la date d'entrée en vigueur de ces
dispositions. Un délai de trois ans semble adéquat à cet effet.
Ainsi que le souhaite le Parlement (amendement 95), il est proposé â
l'article 36 que le rapport périodique sur l'application de la directive,
qui sera soumis à la Commission, au Parlement et au Conseil, fasse l'objet
d'une pubiicat ion.
 ---pagebreak---                                      - 43 -
PROPOSITION DE DIRECTIVE DU GCNSEIL       PROPOSITION MDIFIEE DE DIRECTIVE
RELATIVE A LA PROTECTION LES              DU OCNSEIL RELATIVE A LA PROTEO!CN
PERSONNES A L'EGARD DU TRAITAIENT LES     LES PERSONNES PHYSIQUES A L'EGARD
DONNEES A CARACTERE PERSONNEL             DU TRAITEMENT DES DONNEES A
                                          CARACTERE PERSONNEL ET A LA LIBRE
                                          CIRCULATION DE CES DONNEES
LE CENSE IL DES OCMUNAUTES                LE OCNSEIL LES ŒMvUNAUTES
EUROPEENNES,                              EUROPEENNES,
vu le traité instituant la Commnauté      vu le traité instituant la
économique européenne, et notairment      Commnauté économique européenne,
son article 100 A et son article 113,     et notanment son article 100 A et
                                          son article 113,
vu la proposition de la Cotrmission,      vu la proposition de la Comnission
                                          (1),
en coopération avec le Parlement          en coopération avec le Parlement
européen,                                 européen (2),
vu l'avis du Comité économique et         vu l'avis du Comité économique et
social,                                   social (3),
                                          (1) JO n° C 277 du 5.11.1990, p. 3
                                               et JO n° C...
                                          (2) JO n° C... et JO n" C...
                                          (3) JO n" C 159 du 17.6.1991, p. 38
 ---pagebreak---                                       44
(l) considérant que les objectifs de     (l) considérant que les objectifs
la Commnauté, énoncés dans le Traité     de la Commnauté, énoncés dans le
tel que modifié par l'Acte unique        Traité tel que modifié par l'Acte
européen, consistent à réaliser une      unique européen, consistent  à
union sans cesse plus étroite entre      réaliser une union sans cesse plus
les peuples européens, à établir des     étroite entre les peuples
relations plus étroites entre les        européens, à établir des relations
Etats que la Commnauté réunit, à         plus étroites entre les Etats que
assurer par une action ccmmne le         la Commnauté réunit, à assurer par
progrès économique et social en          une action cannine le progrès
éliminant les barrières qui divisent     économique et social en éliminant
l'Europe, à promouvoir l'amélioration    les barrières qui divisent
constante des conditions de vie de       l'Europe, à promouvoir
ces peuples, à affermir les              l'amélioration constante des
sauvegardes de la paix et de la          conditions de vie de ces peuples, à
liberté, et à promouvoir la              affermir les sauvegardes de la paix
démocratie en se fondant sur les         et de la liberté, et à promouvoir
droits fondamentaux reconnus dans les    la démocratie en se fondant sur les
constitutions et lois des Etats          droits fondamentaux reconnus dans
membres ainsi que dans la Convention     les constitutions et les lois des
européenne de sauvegarde des droits      Etats membres, ainsi que dans la
de l'honme et des libertés               Convention européenne de sauvegarde
fondamentales ;                          des droits de l'honme et des
                                         libertés fondamentales;
 ---pagebreak---                                      - 45 -
                                          (2) considérant que les systèmes de
                                          traitement de données sont au
                                          service de l'honme; qu'ils doivent
                                          respecter les libertés et droits
                                          fondamentaux des personnes
                                          physiques et notanment la vie
                                          privée et contribuer au progrès
                                          économique et social, au
                                          développement des échanges ainsi
                                          qu'au bien-être des individus;
(2) considérant que l'établissement       (3) considérant que l'établissement
et le fonctionnement du marché            et le fonctionnement du marché
intérieur dans lequel, conformément à     intérieur dans lequel, conformément
l'article 8 A du Traité, la libre         à l'article 8 A du Traité, la libre
circulation des marchandises, des         circulation des marchandises, des
personnes, des services et des            personnes, des services et des
capitaux est assurée nécessitent que      capitaux est assurée nécessitent
non seulement des données à caractère     que non seulement des données à
personnel puissent circuler, quels        caractère personnel puissent
que soient les Etats membres dans         circuler d'un Etat membre à
lesquels elles sont traitées ou            l'autre, mais également, que les
demandées, mais, également, que les       droits fondamentaux des personnes
droits fondamentaux soient                soient sauvegardés;
sauvegardés, compte tenu du recours
de plus en plus fréquent dans la
Conmunauté aux traitements de données
à caractère personnel dans les divers
domaines des activités économiques et
sociales ;
 ---pagebreak---                                       - 46 -
                                           (4) considérant qu'un recours de
                                           plus en plus fréquent est fait dans
                                           la Commnauté aux traitements de
                                           données à caractère personnel dans
                                           les divers domaines des activités
                                           économiques et sociales; que les
                                           progrès des technologies de
                                           l'information facilitent
                                           considérablement le traitement et
                                           l'échange de ces données;
(3) considérant que le marché              (5) considérant que l'intégration
intérieur comporte un espace sans          économique et sociale résultant de
frontières; que, pour cette raison,        l'établissement et du
les administrations nationales des         fonctionnement du marché intérieur
différents Etats membres, en vertu de      au sens de l'article 8A du Traité
l'application du droit ccmnunautaire,      va nécessairement entraîner une
sont appelées de plus en plus souvent      augmentation sensible des flux
à collaborer et à échanger entre           transfrontaliers de données à
elles des données à caractère              caractère personnel entre tous les
personnel, afin de pouvoir exécuter        acteurs de la vie économique et
leur mission ou exercer des tâches         sociale des Etats membres, que ces
pour le compte d'une administration        acteurs soient privés ou publics;
d'un autre Etat membre;                    que l'échange de données à
                                           caractère personnel entre des
                                           entreprises établies dans des Etats
                                           membres différents est appelé à se
                                           développer; que les administrations
                                           nationales des différents Etais
                                           membres sont appelées, en
                                           application du droit commnauta i r e ,
                                           à collaborer et à échanger entre
                                           elles des données à caractère
                                           personnel afin de pouvoir exécuter
                                           leur mission ou exercer des tâches
                                           pour le compte d'une administration
                                           d'un autre Etat membre, dans le
                                           cadre de l'espace sans frontière
                                           que comporte le marché intérieur;
 ---pagebreak---                                        - 47 -
(4) considérant que le renforcement         (6) considérant, en outre, que le
de la coopération scientifique et           renforcement de la coopération
technique, ainsi que la mise en place       scientifique        et technique, ainsi
coordonnée de nouveaux réseaux de           que la mise en place coordonnée de
téléccmmni cat ions dans la                 nouveaux réseaux de
Commnauté, nécessitent et facilitent        télécommnications dans la
la circulation transfrontière de            Commnauté nécessitent et
données à caractère personnel;              facilitent la circulation
                                            transfrontalière de données à
                                            caractère personnel;
(5) considérant que la différence de        (7) considérant que la différence
niveaux de protection de la vie             de niveaux de protection des droits
privée à l'égard des traitements de         et libertés des personnes, et
données à caractère personnel assurés       notamment de la vie privée, à
dans les Etats membres peut empêcher        l'égard des traitements de données
la transmission de ces données du           à caractère personnel assurés dans
territoire d'un Etat membre à celui         les Etats membres peut empêcher la
d'un autre Etat membre; que cette           transmission de ces données du
différence peut dès lors constituer         territoire d'un Etat membre à celui
un obstacle à l'exercice    d'une série     d'un autre Etat membre; que cette
d'activités économiques à l'échelle         différence peut dès lors constituer
comnunautaire, fausser la concurrence       un obstacle à l'exercice d'une
et entraver la mission des                  série d'activités économiques ä
administrations intervenant dans le          l'échelle comnunautaire, fausser la
champ d'application du droit                concurrence et entraver la mission
conminautaire ; que cette différence        des administrations intervenant
de niveaux de protection résulte de         dans le champ d'application du
la disparité des dispositions               droit ccmmnautaire; que cette
nationales législatives,                    différence de niveaux de protection
réglementaires et administratives;          résulte de la disparité des
                                            dispositions nationales
                                            législatives, réglementaires et
                                             arimi n is trat ives;
 ---pagebreak---                                      - 48 -
(6) considérant que, pour éliminer        (8) considérant que, pour éliminer
les obstacles à la circulation des        les obstacles à la circulation des
données à caractère personnel, le         données à caractère personnel, le
niveau de protection de la vie privée     niveau de protection des droits et
à l'égard des traitements de ces          libertés des personnes à l'égard
données doit être équivalent dans         des traitements de ces données doit
tous les Etats membres; qu'il est,        être équivalent dans tous les Etats
pour cela, nécessaire de rapprocher       membres; que cet objectif,
les législations applicables en la        fondamental pour le marché
matière;                                  intérieur, ne peut pas être réalisé
                                          par la seule action des Etats
                                          membres, compte tenu en particulier
                                          de l'ampleur des divergences qui
                                          existent actuellement entre les
                                          législations nationales applicables
                                          en la matière et de la nécessité de
                                          coordonner les législations des
                                          Etats membres pour que le flux'
                                          transfrontalier de données à
                                          caractère personnel soit réglementé
                                          d'une manière cohérente et conforme
                                          à l'objectif du marché intérieur au
                                          sens de l'article 8A du Traité;
                                          qu'une intervention de la
                                          Ccmnunauté visant à un
                                          rapprochement des législations est
                                          donc nécessaire;
 ---pagebreak---                                       - 49 -
(7) considérant que l'objet des            (9) considérant que l'objet des
législations nationales relatives au       législatic T nationales relatives
traitement des données à caractère         au traitem r.t des données à
personnel est d'assurer le respect         caractère personnel est d'assurer
des droits fondamentaux, notanment le      le respect des droits et libertés
droit à la vie privée reconnu              fondamentaux, notanment du droit à
également dans l'article 8 de la           la vie privée reconnu également
Convention de sauvegarde des droits        dans l'article 8 de la Convention
de l'homne et des libertés                 européenne de sauvegarde des droits
fondamentales et dans les principes        de l'homne et des libertés
généraux du droit carmunautaire ; que,     fondamentales et dans les principes
pour cette raison, le rapprochement        généraux du droit ccmmnautai re ;
de ces législations ne doit pas            que, pour cette raison, le
conduire à affaiblir la protection         rapprochement de ces législations
qu'elles assurent mais doit, au            ne doit pas conduire à affaiblir la
contraire, avoir pour objectif de          protection qu'elles assurent mais
garantir un haut niveau de protection      doit, au contraire, avoir pour
dans la Commnauté;                         objectif de garantir un haut niveau
                                           de protection dans la Conmunauté;
(22) considérant que les principes         (10) considérant que les principes
contenus dans la présente directive        de la protection des droits et des
concrétisent et amplifient ceux            libertés des personnes, et
contenus dans la convention du 28          notanment du respect de la vie
janvier 1981 du Conseil de l'Europe        privée, contenus dans la présente
pour la protection des personnes à         directive concrétisent et
l'égard du traitement automatisé des       amplifient ceux contenus dans la
données à caractère personnel.             convention du 28 janvier 1981 du
                                           Conseil de l'Europe pour la
                                           protection des personnes à l'égard
                                           du traitement automatisé des
                                           données à caractère personnel;
 ---pagebreak---                                      - 50 -
(9) considérant que les principes de      (il) considérant que les principes
la protection doivent s'appliquer à       de la protection doivent
tous les fichiers dès lors que les        s'appliquer à tous les traitements
activités du responsable du fichier       des données à caractère personnel
relèvent du champ d'application du        dès lors que les activités du
droit comnunautaire; que les fichiers     responsable du traitement relèvent
du secteur public qui ne relèvent pas     du champ d'application du droit
du champ d'application du droit           conmunautaire ; que les traitements
carmunautaire devraient être soumis       effectués par les administrations,
aux mêmes principes de la protection      organisations, et entités d'un Etat
repris dans les législations              membre pour la poursuite
nationales, ccrrme le prévoit la          d'activités qui ne relèvent pas du
résolution des représentants des          champ d'application du droit
gouvernements des Etats membres des       carmunautaire devraient être soumis
Conmunautés européennes réunis au         aux mêmes principes de la
sein du Conseil du       que,             protection que ceux repris dans les
 toutefois, doivent être exclus les       législations nationales, canne le
fichiers relevant exclusivement de        prévoit la résolution des
l'exercice du droit à la vie privée        représentants des gouvernements des
d'une personne physique, comme les         Etats membres des Conmunautés
fichiers personnels d'adresses;            européennes réunis au sein du
                                          Conseil du ...; que doivent être
                                           exclus les traitements effectués
                                          par une personne physique à des
                                          fins exclusivement privées, corme
                                          ceux relatifs à la correspondance
                                           et à la tenue de répertoires
                                          d'adresses;
 ---pagebreak---                                      - 51 -
(10) considérant qu'il est nécessaire     (12) considérant qu'il est
que tout traitement de données à          nécessaire, afin d'éviter qu'une
caractère personnel dans la               personne soit exclue de la
Ccmnunauté respecte la législation de     protection qui lui est garantie en
l'Etat membre dans lequel le fichier      vertu de la présente directive, que
est localisé afin d'éviter qu'une         tout traitement de données à
personne échappe à la protection qui      caractère personnel effectué dans
doit lui être garantie en vertu de la     la Corrmunauté respecte la
présente directive; que, à cet égard,     législation de l'un des Etats
chaque partie d'un fichier réparti        membres; que, à cet égard, il est
dans plusieurs Etats membres doit         opportun de soumettre les
 être considérée ccnme un fichier à       traitements effectués par toute
 part entière et la délocalisation         personne établie dans un Etat
dans un pays tiers ne doit pas            membre à l'application de la
 empêcher cette protection;                législation de cet Etat; que
                                           l'établissement dans un pays tiers
                                          du responsable des traitements ne
                                          doit pas faire obstacle à la
                                           protection des personnes prévue par
                                           la présente directive; que, dans ce
                                           cas, il convient de soumettre les
                                           traitements effectués à la loi de
                                           l'Etat membre dans lequel des
                                          moyens utilisés pour les
                                           traitements en cause sont localisés
                                           et de prendre des garanties pour
                                           que les droits et obligations
                                           prévues par la présente directive
                                           soient effectivement respectés;
 ---pagebreak---                                       - 52 -
(12) considérant que les législations      (13) considérant que les Etats
nationales peuvent préciser, dans les      membres peuvent préciser dans leur
conditions prévues par la directive,       législation ou dans la mise en
les règles relatives à la légitimité       oeuvre des dispositions prises en
du traitement; que, toutefois, une         application de la présente
telle possibilité ne peut servir de        directive, les conditions générales
fondement pour un contôle d'un Etat        dans lesquelles les traitements
membre autre que l'Etat de                 sont licites; que toutefois de
localisation du fichier, étant donné       telles précisions ne peuvent servir
que l'obligation de ce dernier             de fondement pour le contrôle d'un
d'assurer, conformément à la présente      Etat membre autre que celui où
directive, la protection de la vie         réside le responsable du
privée à l'égard du traitement des         traitement, étant donné que
données à caractère personnel est          l'obligation de ce dernier Etat
suffisante, au regard du droit             membre d'assurer, conformément à la
comrunautaire, pour permettre la           présente directive, la protection
libre circulation des données;             des droits et libertés à l'égard du
                                           traitement des données à caractère
                                           personnel est suffisante, au regard
                                           du droit carmunautaire, pour
                                           permettre la libre circulation des
                                           données ;
 ---pagebreak--- - 53 -
     (14) considérant que les principes
     de la protection trouvent leur
     expression, d'une part, dans les
     obligations mises à la charge des
     personnes, autorités publiques,
     entreprises ou organismes, qui
     mettent en oeuvre des traitements,
     ces obligations concernant en
     particulier la qualité des données,
     la sécurité technique, la
     notification à l'autorité de
     contrôle, les fondements des
     traitements, l'un d'eux pouvant
     être le consentement de la personne
     concernée, et, d'autre part, dans
     les droits donnés aux personnes
     dont les données font l'objet des
      traitements d'être informées sur
      ceux-ci, de pouvoir accéder aux
      données, de demander la
      rectification de celles-ci, voire
     de s'opposer aux traitements;
     (15) considérant que tout
      traitement de données à caractère
      personnel doit être effectué
      loyalement et licitement vis à vis
      des personnes concernées; qu'il
      doit en particulier porter sur des
      données pertinentes et non
      excessives au regard des finalités
      poursuivies; que ces finalités
      doivent être explicites et
      1ég i t ime s ;
 ---pagebreak---                                       - 54 -
(11) considérant que tout traitement       (16) considérant que, pour être
de données à caractère personnel doit      licite, un traitement de données à
être légitime; que cette légitimité        caractère personnel doit être fondé
doit être fondée sur le consentement       sur le consentement de la personne
de la personne concernée ou sur le         concernée ou sur la conclusion ou
droit ccnminautaire ou sur les             l'exécution d'un contrat liant la
 législat ions nationales;                 personne concernée ou sur le droit
                                           comnunautaire ou encore sur la loi
                                           nationale, l'intérêt général ou un
                                           intérêt particulier, à condition
                                           que la personne concernée n'ait pas
                                           de raisons légitimes de s'y
                                           opposer; qu'en particulier, en vue
                                           d'assurer l'équilibre des intérêts
                                           en cause, tout en garantissant une
                                           concurrence effective, les Etats
                                           membres peuvent préciser les
                                           conditions dans lesquelles les
                                           coraainications à des tiers de
                                           données à caractère personnel
                                           peuvent être effectuées à des fins
                                           de prospection commerciale ou de
                                           prospection faite par une
                                           association à but caritatif ou par
                                           d'autres associations ou
                                           fondations, notanment à caractère
                                            politique, dans le respect de
                                           dispositions visant à permettre aux
                                           personnes concernées de s'opposer
                                           sans motif et sans frais à la
                                            ccmrunication des données les
                                            concernant ;
 ---pagebreak---                                            - 55 -
    (16) considérant que pour faire             (17) considérant, par ailleurs, que
    l'objet d'un traitement, les données        les données qui sont susceptibles
    doivent répondre à certaines                par leur nature de porter atteinte
     exigences; que le traitement des           aux libertés fondamentales ou à la
    données qui sont susceptibles par           vie privée ne devraient pas faire
     leur nature même de porter atteinte         l'objet d'un traitement, sauf
     au droit à la vie privée doit être          consentement écrit de la personne
     interdit sauf consentement explicite        concernée; que cependant le
     de la personne concernée; que,              traitement de ces données doit être
     toutefois pour des motifs d'intérêt         autorisé lorsqu'il est effectué par
     public important, notamment pour les        une association dont l'objet est de
     professions médicales, des                  servir l'exercice de ces libertés;
     dérogations peuvent être prévues sur        qu'en outre, pour des motifs
      la base d'une loi qui fixe                 d'intérêt public important,
      précisément et strictement les             notarrment pour les professions
      conditions et limites du traitement        médicales, des dérogations peuvent
      de ce type de données;                      être prévues sur la base d'une
                                                  disposition législative ou d'une
                                                  autorisation de l'autorité de
                                                  contrôle qui fixent les limites et
                                                  les garanties appropriées pour le
                                                  traitement de ces types de données;
      (18) cons ide± ant que dans le domaine      (18) considérant que le traitement
      des médias, les Etats membres peuvent       de données à caractère personnel à
       prévoir des dérogations aux                des fins journalistiques doit
       dispositions de la présente directive       bénéficier des dérogations aux
       dans la mesure où elles visent, a           dispositions de la présente
       concilier le droit à la vie privée          directive nécessaires à la
       avec la liberté de l'information et         conciliation des droits
       le droit de recevoir ou de                  fondamentaux de la personne avec la
       ccranuniquer des informations, tel que      liberté d'expression, et notarrment
       garanti notanment dans l'article 10         la liberté de recevoir ou de
       de la convention de sauvegarde des          carrmun i que r des informations, telle
       droits de l'hcnme et des libertés           que garantie notanment dans
                                                    l'article 10 de la convention
        f ondamentales ;
                                                    européenne de la sauvegarde des
                                                    droits de l'hcnme et des libertés
                                                    f ondamenta1 es ;
18)
 ---pagebreak---                                       - 56 -
(14) considérant que la personne           (19) considérant que le traitement
concernée doit bénéficier d'une            loyal des données suppose que les
information effective et complète          personnes concernées puissent
pour que son consentement soit valide      connaître l'existence des
ainsi que lorsque des données la           traitements et bénéficier d'une
concernant sont récoltées auprès           information effective et complète
d'elle;                                    lorsque des données sont collectées
                                           auprès d'elles, ainsi qu'au plus
                                           tard lors de la première
                                           carminication à un tiers de données
                                           les concernant, si l'information
                                           n'a pas été faite à la collecte;
(15) considérant que la personne           (20) considérant que toute personne
concernée doit pouvoir bénéficier du       doit pouvoir bénéficier du droit
droit d'accès afin de pouvoir              d'accès aux données la concernant
s'assurer de la légitimité du              qui font l'objet d'un traitement,
traitement des données la concernant       afin de s'assurer de leur
et de leur qualité;                        exactitude   et de la licéité de
                                           leur traitement; qu'en conséquence
                                           toute personne doit pouvoir
                                           bénéficier d'un droit d'opposition,
                                           pour des raisons légitimes, au
                                           traitement des données;
(17) considérant que la protection de      (21) considérant que   la protection
la vie privée à l'égard des données à      des droits et libertés des
caractère personnel exige que des          personnes concernées à l'égard des
mesures de sécurité appropriées            traitements de données à caractère
soient prises, au niveau tant de la        personnel exige que des mesures
conception que de la technologie du         techniques appropriées soient
traitement, afin d'empêcher tout            prises au monent tant de la
traitement non autorisé;                   conception des technologies que de
                                            la mise en oeuvre des traitements
                                           en particulier en vue d'en assurer
                                            la sécurité et d'empêcher par là
                                            tout traitement non autorisé;
 ---pagebreak---                                      - 57 -
(13) considérant que les procédures       (22) considérant que les procédures
de notification, pour les fichiers du     de notification ont pour objet
secteur public ou privé, et               d'organiser la publicité des
d'information lors de la première         finalités des traitements, ainsi
ccmrunication, pour les fichiers du       que de leurs principales
secteur privé, ont pour objet             caractéristiques en vue de leur
d'assurer la transparence                 contrôle au regard des dispositions
indispensable à l'exercice du droit       nationales prises en application de
d'accès de la personne concernée aux      la présente directive; qu'afin
données la concernant;                    d'éviter des formalités
                                          administratives inadéquates, des
                                           exonérations ou des simplifications
                                           de la notification doivent être
                                           prévues par les Etats membres pour
                                           les traitements qui ne portent pas
                                           atteinte aux droits et libertés des
                                           personnes concernées, dès lors
                                           qu'ils sont conformes à un acte
                                           pris par l'Etat membre qui en
                                           précise les limites;
 ---pagebreak--- - 58 -
     (23) considérant que le contrôle a
     posteriori par les autorités
     compétentes doit être en général
     considéré canne une mesure
     suffisante; que cependant les Etats
     membres doivent prévoir un examen
     par l'autorité de contrôle
     préalablement à la mise en oeuvre
     des traitements présentant des
     risques particuliers au regard des
     droits et libertés des personnes
     concernées, du fait de leur nature,
     de leur portée ou de leur finalité,
      tels que ceux qui ont pour objet
     d'exclure les personnes concernées
     du bénéfice d'un droit, d'une
     prestation ou d'un contrat;   que
      les Etats membres ont la faculté de
      remplacer cet examen préalable par
     une mesure législative ou une
     décision de l'autorité de contrôle
      autorisant le traitement et
      précisant les garanties
      appropr i ées;
 ---pagebreak---                                      - 59 -
(20) considérant que, en cas de non       (24) considérant qu'en cas de non
respect des dispositions prévues dans     respect des droits des personnes
la présente directive, le responsable     concernées par le responsable du
du fichier doit être considéré, dans      traitement, un recours
une action en dcmnages et intérêts,       juridictionnel doit être prévu par
carme responsable; que des sanctions      les législations nationales; que
dissuasivés doivent être appliquées       les darmages que peuvent subir les
afin d'assurer une protection             personnes du fait d'un traitement
effective;                                 illicite doivent être réparés par
                                           le responsable du traitement,
                                           lequel ne peut être exonéré de sa
                                           responsabilité que s'il prouve
                                          qu'il a pris les mesures de
                                           sécurité appropriées; que des
                                           sanctions dissuasivés doivent être
                                           appliquées à toute personne, tant
                                           de droit privé que de droit public,
                                           qui ne respecte pas les
                                           dispositions nationales prises en
                                           application de la présente
                                           d i reet ive;
 ---pagebreak---                                      - 60 -
(21) considérant qu'il est également      (25) considérant que des flux
nécessaire que le transfert de            transfrontaliers de données à
données à caractère personnel puisse      caractère personnel sont
avoir lieu avec les pays tiers ayant      nécessaires au développement des
un niveau de protection adéquat; que,     échanges internationaux; que la
en l'absence d'une telle protection       protection des personnes garantie
dans des pays tiers, la présente          dans la Comnunauté par la présente
directive prévoit, en particulier,        directive ne s'oppose pas aux
des procédures de négociation avec        transferts de données à caractère
ceux-ci ;                                 personnel vers des pays tiers
                                          assurant un niveau de protection
                                          adéquat; que le caractère adéquat
                                          du niveau de protection offert par
                                          un pays tiers doit s'apprécier au
                                          regard de toutes les circonstances
                                          relatives à un transfert ou à une
                                          catégorie de transferts;
 ---pagebreak--- - 61 -
     (26) considérant, en revanche, que
     lorsqu'un pays tiers n'offre pas un
     niveau de protection adéquat, le
     transfert de données à caractère
     personnel vers ce pays doit être
     interdit; que des exceptions à
     cette interdiction doivent être
     prévues dans certaines
     circonstances dans lesquelles la
     personne concernée a donné son
     consentement ou a été informée, ou
     dans lesquelles la sauvegarde de
     l'intérêt public l'exige; que des
     mesures particulières peuvent être
     prises pour pallier l'insuffisance
     du niveau de protection dans un
     pays tiers lorsque le responsable
     du traitement présente des
     garanties appropriées; qu'en outre,
     des procédures de négociation entre
      la Ccnmunauté et les pays tiers en
      cause doivent être prévues;
     (27) considérant que les Etats
     membres peuvent également prévoir
      le recours à des codes de conduite
      nationaux élaborés par les milieux
      professionnels, soumis pour avis à
      l'autorité de contrôle, en vue
      d'adapter aux spécificités des
      traitements effectués dans certains
      secteurs les dispositions
      nationales prises en application de
      la présente directive;
 ---pagebreak---                                       - 62 -
(19) considérant que les Etats             (28) considérant que les Etats
membres doivent encourager                 membres doivent encourager les
l'élaboration, par les milieux             milieux professionnels à élaborer
professionnels, de codes de                des codes de conduite
déontologie ou de bonne conduite           carmunautai res en vue de favoriser
européens concernant certains              la mise en oeuvre de la présente
secteurs particuliers; que la              directive; que la Ccmnission
Canmission soutiendra de telles            soutiendra de telles initiatives et
initiatives et en tiendra compte           en tiendra compte lorsqu'elle
lorsqu'elle examinera l'opportunité        examinera l'opportunité de mesures
de nouvelles mesures spécifiques pour      additionnelles spécifiques pour
certains secteurs;                         certains secteurs;
(23) considérant que l'existence dans      (29) considérant que l'institution
chaque Etat membre d'une autorité de       dans chaque Etat membre d'une
contrôle indépendante est un élément       autorité de contrôle indépendante
essentiel de la protection des             est un élément essentiel de la
personnes à l'égard du traitement des      protection des personnes à l'égard
données à caractère personnel; que,        du traitement des données à
au niveau comnunautaire, un Groupe de      caractère personnel; que cette
protection des données à caractère         autorité doit être dotée des moyens
personnel doit être instauré et            nécessaires à la poursuite de cette
exercer ses fonctions en toute             tâche, qu'il s'agisse des pouvoirs
indépendance; que, compte tenu de ce       d'investigation ou d'intervention
caractère spécifique, il doit              ou des pouvoirs qui lui sont donnés
conseiller la Ccmnission et                dans le cadre des procédures de
contribuer à l'application homogène        notification; qu'elle doit
des règles nationales prises en            contribuer à la transparence des
application de la présente directive;      traitements effectués dans l'Etat
                                           membre dont elle relève ; que les
                                           autorités des différents Etats
                                           membres seront appelées à se prêter
                                           mutuellement assistance dans la
                                           réalisation de leurs tâches;
 ---pagebreak---                                      - 63 -
                                          (30) considérant que, au niveau
                                          carmunautaire, un Groupe de
                                          protection des personnes à l'égard
                                          du traitement des données à
                                          caractère personnel doit être
                                          instauré et qu'il doit exercer ses
                                          fonctions en toute indépendance;
                                          que, compte tenu de ce caractère
                                          spécifique, il doit conseiller la
                                          Cotimission et contribuer notanment
                                          à l'application hanogène des règles
                                          nationales prises en application de
                                          la présente directive;
(24) considérant que l'adoption des       (31) considérant que l'adoption des
mesures ccmplémentaires pour              mesures complémentaires pour
l'application des principes de la          l'application des principes de la
présente directive   nécessite             présente directive   nécessite
l'attribution d'un pouvoir                 l'attribution d'un pouvoir
réglementaire à la Ccmnission et           réglementaire à la Ccmnission et
l'établissement d'un comité                l'établissement d'un comité
consultatif selon les modalités            consultatif selon les modalités
fixées dans la dé Ision 87/373/CEE du      fixées dans la décision 87/373/CEE
Conseil (l),                               du Conse i1 (1);
(8) considérant que les principes de      (32) considérant que les principes
la protection de la vie privée à           de la protection des droits et des
 l'égard du traitement des données à       libertés des personnes, et
caractère personnel faisant l'objet        notanment du respect de la vie
de la directive pourront être              privée à l'égard du traitement des
ccmplétés ou précisés, notanment pour      données à caractère personnel
certains secteurs, par des règles          faisant l'objet de la présente
spécifiques conformes à ces                directive pourront être ccmplétés
 principes ;                               ou précisés, notarrment pour
                                           certains secteurs, par des règles
                                           spécifiques conformes à ces
                                           pr ine ipes;
 ---pagebreak---                                    64 -
                                      (33) considérant qu'il convient de
                                      laisser aux Etats membres un délai
                                      ne pouvant pas excéder trois ans à
                                      compter de l'entrée en vigueur des
                                      mesures nationales de transposition
                                      de la présente directive, pour leur
                                      permettre d'appliquer
                                      progressivement à l'ensemble des
                                      traitements déjà mis en oeuvre les
                                      nouvelles dispositions nationales
                                      susvi sées;
                                      (34) considérant que la présente
                                      directive ne s'oppose pas à ce
                                      qu'un Etat membre réglemente les
                                      activités de prospection
                                      carmerciale à destination des
                                      consoranateurs résidant sur son
                                      territoire, dans la mesure où cette
                                      réglementation ne concerne pas la
                                      protection des personnes au regard
                                      des traitements de données à
                                      caractère personnel,
A ARRETE LA PRESENTE DIRECTIVE        A ARRETE LA PRESENTE DIRECTIVE:
(1) Jo n°C 197 du 18.7.1987, p. 33    (1) Jo n° L 197 du 18.7.1987, p. 33
 ---pagebreak---                                    - 65 -
CHAPITRE I                                CHAPITRE 1
DISPOSITIONS GENERALES                    DISPOSITIONS GENERALES
Article premier                           Article premier
Objet de la directive                     Objet de la directive
1. Les Etats membres assurent,            1. Les Etats membres assurent,
conformément aux dispositions de la       conformément aux dispositions de
présente directive, la protection de      la présente directive, la
la vie privée des personnes à l'égard     protection des droits et des
du traitement des données à caractère     libertés des personnes physiques,
personnel contenues dans des              et notanment du droit à la vie
fichiers.                                 privée, à l'égard du traitement
                                          des données à caractère personnel.
2. Les Etats membres ne peuvent           2. Les Etats membres ne peuvent
restreindre ou interdire la libre         restreindre ou interdire la libre
circulation des données à caractère       circulation des données à
personnel entre Etats membres pour        caractère personnel entre Etats
des raisons relatives à la protection     membres pour des raisons relatives
assurée en vertu du paragraphe 1.         à la protection assurée en vertu
                                          du paragraphe 1.
Ar t i c1 e 2                             Ar t i c1 e 2
Déf ini t i ons                           Déf ini t i ons
Aux fins de la présente directive, on     Aux fins de la présente directive,
 entend par:                               on entend par:
 ---pagebreak---                                    - 66 -
a) "données à caractère personnel",       a) "données à caractère
toute information concernant une          personnel", toute information
personne physique identifiée ou           concernant une personne physique
identifiable "personne concernée";        identifiée ou identifiable
est notanment réputée identifiable        ("personne concernée"); est
une personne qui peut être identifiée     réputée identifiable une personne
par référence à un numéro                 qui peut être identifiée,
d'identification ou à une information     directement ou indirectement,
s imi lai re ;                            notanment par référence à un
                                          numéro d'identification ou à un ou
                                          plusieurs éléments spécifiques,
                                          propres à son identité physique,
                                          physiologique, psychique,
                                          économique, culturelle ou sociale.
                                          Ne sont pas considérées cotrme à
                                          caractère personnel les données
                                          agrégées sous forme statistique,
                                          de telle sorte que les personnes
                                          concernées ne sont plus
                                          raisonnablement identifiables.
b) "rendre anonyme", une
modification des données à caractère
personnel de sorte que les
informations qui y sont contenues ne
peuvent plus être associées à une
personne physique déterminée ou
déterminable, ou moyennant seulement
un effort excessif en personnel, en
frais et en temps ;
 ---pagebreak---                                    - 67 -
d) "traitement", les opérations           b) "traitement de données à
effectuées ou non à l'aide de             caractère personnel" ("traite­
procédés automatisés: enregistrement,     ment"), toute opération ou
conservation, interconnexion de           ensemble d'opérations effectuées
données, leur modification, leur          ou non à l'aide de procédés
utilisation et leur comminication,        automatisés, et appliquées à des
notanment la transmission, la             données à caractère personnel,
diffusion, l'extraction ainsi que le      telles que la collecte,
verrouillage, l'effacement et la          l'enregistrement, l'organisation,
destruction;                              la conservation, l'élaboration ou
                                          la modification, l'extraction, la
                                          consultation, l'utilisation, la
                                          ccmnunication par transmission,
                                          diffusion ou toute autre forme de
                                          mise à disposition, le
                                          rapprochement ou interconnexion,
                                          ainsi que le verrouillage,
                                          l'effacement ou la destruction;
c) "fichier de données à caractère        c) "fichier de données à caractère
personnel" (fichier), tout ensemble       personnel" ("fichier"), tout
de données à caractère personnel,         ensemble structuré de données à
centralisées ou réparties sur             caractère personnel, centralisées
plusieurs sites, faisant l'objet d'un     ou réparties sur plusieurs sites
traitement automatisé ou qui, bien         et accessibles selon des critères
que ne le faisant pas, sont               déterminés ayant pour objet ou
structurées et accessibles dans une        pour effet de faciliter
collection organisée selon des             l'utilisation ou le rapprochement
critères déterminés de manière à          de données relatives à la ou aux
faciliter l'utilisation ou                 personnes concernées.
l'interconnexion des données;
 ---pagebreak---                                    - 68 -
e) "responsable du fichier", la           d) "responsable du traitement",
personne physique ou morale,              la personne physique ou morale,
l'autorité publique, le service ou        l'autorité publique, le service ou
tout autre organisme qui est              tout autre organisme qui traite ou
compétent selon le droit                  fait traiter des données à
cotnmnautaire ou la loi nationale         caractère personnel et décide des
d'un Etat membre, pour décider quelle     finalités et objectifs du
sera la finalité du fichier, quelles      traitement, des données à
catégories de données à caractère         caractère personnel traitées, des
personnel doivent être enregistrées,      opérations qui leur sont
quelles opérations leur seront            appliquées et des tiers pouvant
appliquées et quels sont les tiers        avoir connaissance des dites
qui peuvent y avoir accès;                données ;
                                          e) "agent traitant", la personne
                                          physique ou morale qui traite des
                                          données à caractère personnel pour
                                          le compte du responsable du
                                          trai tement;
                                          f) "tiers", les personnes
                                          physiques ou morales autres que la
                                          personne concernée, le responsable
                                          du traitement, et les personnes
                                          habilitées à traiter les données
                                          agissant sous son autorité directe
                                          ou pour son compte;
 ---pagebreak---                                     - 69 -
(Artide 12                                 g) "consentement de la personne
Le consentement informe)                   concernée", toute manifestât ion
                                           explicite de volonté par laquelle
Tout consentement de la personne           la personne concernée, accepte que
concernée à un traitement de données       des données à caractère personnel
à caractère personnel la concernant        la concernant fassent l'objet d'un
au sens de la présente directive           traitement, à condition qu'elle
n'est valable que si :                     dispose des informations relatives
                                           aux finalités du traitement, aux
a) la personne dispose des                 données ou catégories de données
informations suivantes :                   sur lequel il porte, aux
                                           destinataires des données à
- les finalités du fichier et les          caractère personnel, ainsi qu'au
types de données enregistrées;             ncm et à l'adresse du responsable
                                           du traitement et, le cas échéant,
- le type d'utilisation et, le cas         de son représentant;
échéant, les destinataires des
données à caractère personnel              Le consentement est libre et
contenues dans le fichier;                 spécifique et peut être retiré par
                                           la personne concernée à tout
- le non et l'adresse du responsable       moment, sans effet rétroactif.
du fichier;
b) il est spécifique et exprès, et
doit préciser les types de données,
 les formes de traitement et les
destinataires éventuels qu'il couvre;
c) il peut être retiré par la
personne concernée à tout moment sans
 effets rétroactifs.
f) "autorité de contrôle", l'autorité
publique indépendante, ou tout autre
 instance indépendante, désignée par
 chaque Etat membre en conformité avec
 l'article 26;
 ---pagebreak---                                     - 70 -
g) "secteur public", l'ensemble des
administrations, organisations et
entités d'un Etat membre relevant du
droit public, à l'exception de celles
qui participent à une activité
industrielle ou coranerciale, ainsi
que les organismes et entités de
droit privé lorsqu'ils participent à
l'exercice de l'autorité publique;
h) "secteur privé", toute personne
physique ou morale, ou association, y
inclus les administrations,
organisations et entités du secteur
public, dans la mesure où elles
exercent une activité industrielle ou
ccrrmerciale.
Article 3                                  Article 3
Champ d'application                        Champ d'application
1. Les Etats membres appliquent les        1. Les dispositions de la présente
dispositions de la présente directive      directive s'appliquent aux
aux fichiers du secteur privé et du        traitements de données à caractère
secteur public à l'exclusion des           personnel automatisés en tout ou
fichiers du secteur public dont les        partie, ainsi qu'aux traitements
activités ne relèvent pas du champ         non automatisés de données à
d'application du droit carmunautaire.      caractère personnel contenues ou
                                           appelées à figurer dans des
                                           f i chi ers.
 ---pagebreak---                                    - 71 -
2. Les dispositions de la présente        2. Les dispositions de la présente
directive ne s'appliquent pas aux         directive ne s'appliquent pas:
f i chi ers:                                  aux traitements mis en oeuvre
                                              pour l'exercice d'activités qui
a) détenus par une personne physique          ne relèvent pas du champ
exclusivement à des fins privées et           d'application du droit
personnelles                                  commnautai re ;
                                              aux traitements de données à
ou                                            caractère personnel, effectués
                                              par une personne physique pour
b) détenus par des associations sans          l'exercice d'activités
but lucratif notanment à caractère            exclusivement privées et
politique, philosophique, religieux,          personnel les.
culturel, syndical, sportif ou de
loisir, dans le cadre de leur but
légitime et à condition qu'ils ne se
rapportent qu'aux seuls membres et
correspondants de l'association ayant
consenti à y figurer et qu'ils ne
soient pas ccranuniqués à des tiers.
Art i cl e 4                              Article 4
Droit applicable                          Droit national applicable
1. Chaque Etat membre applique les         1. Chaque Etat membre applique les
dispositions de la présente                dispositions nationales prises par
di rect ive:                               la mise en oeuvre de la présente
                                           directive à tous les traitements
                                           de données à caractère personnel:
 a) à tous les fichiers localisés sur
 son territoire;
 ---pagebreak---                                     - 72 -
b) au responsable du fichier qui           a) dont le responsable est établi
réside sur son territoire et utilise       sur son territoire ou relève de sa
depuis celui-ci un fichier localisé        compétence ;
dans un pays tiers dont la
législation n'a pas un niveau de
protection adéquat, à moins que cette
utilisation ne soit que sporadique.
                                           b) dont le responsable n'est pas
                                           établi sur le territoire de la
                                           Communauté, lorsque ce responsable
                                           recourt, aux fins de traitements
                                           de données à caractère personnel,
                                           à des moyens, automatisés ou non,
                                           localisés sur le territoire dudit
                                           Etat membre.
2. Chaque Etat membre applique les         2. Dans le cas visé au paragraphe
dispositions des articles 5, 6, 8, 9,      1 lettre b), le responsable du
10, 17, 18 et 21 à l'utilisateur qui       traitement doit désigner un
consulte un fichier localisé dans un       représentant établi sur le
pays tiers à partir d'un terminal          territoire dudit Etat membre, qui
localisé sur le territoire d'un Etat       est subrogé dans les droits et
membre, à moins que cette utilisation      obligations du responsable.
ne soit que sporadique.
3. Lorsqu'un fichier est déplacé
temporai rement d'un Etat membre vers
un autre Etat membre, ce dernier
n'oppose aucun obstacle et n'exige
aucune formalité additionnelle aux
règles applicables dans l'Etat membre
de localisation permanent du fichier.
 ---pagebreak---                                    - 73 -
                                          CHAPITRE II
                                          LES CONDITIONS GENERALES DE
                                          LICEITE DES TRAITEMENTS DE DCNNEES
                                          A CARACTERE PERSONNEL
                                          Article 5
                                          Les Etats membres prévoient que
                                          les traitements de données à
                                          caractère personnel ne sont
                                          licites que s'ils sont effectués
                                          en conformité avec les
                                          dispositions du présent chapitre.
                                          Sans préjudice des dispositions du
                                          présent chapitre, les Etats
                                          membres peuvent préciser les
                                          conditions dans lesquelles les
                                          traitements de données à caractère
                                          personnel sont licites.
(CHAPITRE V                               SECTION I
QUALITE DES DCNNEES)                      PRINCIPES RELATIFS A LA QUALITE
                                          DES DCNNEES
Article 16                                Article 6
Principes
1. Les Etats membres prévoient que :       1. Les Etats membres prévoient
                                              que :
 ---pagebreak---                                    - 74 -
a) la collecte et le traitement de        a) le traitement de données à
   données à caractère personnel             caractère   personnel doit être
   doivent être effectués loyalement         effectué loyalement et
   et liei tement;                           liei tement;
b) les données doivent être               b) les données doivent être
   enregistrées pour des finalités           collectées pour des finalités
   déterminées explicites et                 déterminées, explicites et
   légitimes et utilisées de manière         légitimes, et utilisées de
   compatible avec ces finalités;            manière ccmpatible avec ces
                                             finalités;
c) les données doivent être               c) les données doivent être
   adéquates, pertinentes et non             adéquates, pertinentes et non
   excessives par rapport aux                excessives au regard des
   finalités pour lesquelles elles           finalités pour lesquelles elles
   sont enregistrées;                        sont traitées;
d) les données doivent être exactes       d) les données doivent être
   et, si nécessaire, mises à jour;          exactes et, si nécessaire,
   les données inexactes ou                  mises à jour; toutes les
   incomplètes doivent être effacées         mesures doivent être prises
   ou rectifiées;                            pour que les données inexactes
                                             ou incomplètes, au regard des
                                             finalités pour lesquelles elles
                                             ont été collectées, soient
                                             effacées ou rectifiées;
 ---pagebreak---                                     - 75 -
e) les données ne doivent être             e) les données ne doivent être
   conservées sous une forme                  conservées sous une forme
   permettant l'identification des            permettant l'identification des
   personnes concernées que pendant           personnes concernées que
   une durée n'excédant pas celle             pendant une durée n'excédant
   nécessaire aux finalités pour              pas celle nécessaire à la
   lesquelles elles ont été                    réalisation des finalités
   enregi strées.                              poursuivies. Des garanties
                                               appropriées peuvent être
                                               prévues par les Etats membres
                                               pour les données à caractère
                                               personnel qui sont conservées
                                               à des fins historiques,
                                               statistiques ou scientifiques.
2. Il incombe au responsable du            2. Il incombe au responsable du
   fichier d'assurer le respect des            traitement d'assurer le respect
   dispositions prévues au                     des dispositions prévues au
   paragraphe 1.                               paragraphe 1.
(CHAPITRE II                               SECTION II
LEGITIMITE DU TRAITEMENT DANS LE           PRINCIPES RELATIFS AUX FONDEMENTS
SECTEUR PUBLIC)                            DES TRAITEMENTS DE DCNNEES
Article 5                                  Art i cl e 7
Principes
1. Sous réserve des dispositions de        Les Etats membres prévoient que le
   l'article 6, les Etats membres           traitement de données à caractère
   prévoient dans leur législation         personnel ne peut être effectué
   pour les fichiers relevant du           que s i:
   secteur public que:
 ---pagebreak---                                     - 76 -
a) l'établissement d'un fichier et         a) la personne concernée a donné
   tout autre traitement de données à         son consentement, ou
   caractère personnel sont légitimes
   dans la mesure où ils sont
   nécessaires pour l'exécution des
   missions de l'autorité publique
   responsable de ce fichier;
b) le traitement de données pour une       b) il est nécessaire pour
   finalité autre que celle pour              l'exécution du contrat passé
   laquelle le fichier a été établi           avec la personne concernée ou
   est 1ég i t ime s i:                       pour l'exécution de mesures
                                              précontractuelles prises en
                                              réponse à la demande de celle-
                                              ci, ou
   la personne concernée y consent,        c) il est nécessaire pour
   ou                                         respecter une obligation prévue
                                              dans le droit national ou dans
                                              la législation comnunautaire,
                                              ou
   il est effectué sur la base du          d) il est nécessaire à la
   droit comnunautaire ou d'une loi,          sauvegarde de l'intérêt vital
   ou d'un acte pris en application           de la personne concernée, ou
   d'une loi d'un Etat membre
   conforme à la présente directive
   qui l'autorise et en fixe les
   1 imi tes, ou
 ---pagebreak---                                         - 77 -
   un intérêt légitime de la personne          e) il est nécessaire à l'exécution
   concernée ne s'oppose pas à ce                 d'une mission d'intérêt public
   changement de finalité, ou                     ou relevant de l'exercice de
                                                  l'autorité publique, dont est
                                                  investi le responsable du
                                                  traitement ou le tiers auquel
                                                  les données sont comnuniquées,
                                                  ou
   il est nécessaire afin de prévenir          f) il est nécessaire à la
   une menace inminente pour l'ordre              poursuite de l'intérêt général,
   public ou une atteinte sérieuse au             de l'intérêt légitime du
   droi t d'autrui.                               responsable du traitement ou du
                                                  ou des tiers auxquels les
                                                  données sont cannuniquées, à
                                                  condition que l'intérêt de la
                                                  personne concernée ne prévale
                                                  pas.
Article 6
Traitement dans le secteur public
ayant pour objet la ccranunication de
données à caractère personnel
1. Les Etats membres prévoient dans
   leur législation que la
   ccmnunication de données à
   caractère personnel contenues dans
   des fichiers d'une entité du
   secteur public n'est légitime que:
a) si cela est nécessaire pour
   l'exercice des missions de
   l'entité du secteur public qui
   ccmnunique ou qui demande la
   corrmun i ca t i on de ces données, ou
 ---pagebreak---                                    - 78 -
b) sur demande d'une personne
   physique ou morale du secteur
   privé qui invoque un intérêt
   légitime, à condition que
   l'intérêt de la personne concernée
   ne prévale pas.
2. Sans préjudice des dispositions
   visées au paragraphe 1, les Etats
   membres peuvent préciser les
   conditions dans lesquelles la
   carmunication de données à
   caractère personnel est légitime.
3. Les Etats membres prévoient dans
   leur législation que, dans les cas
   visés au paragraphe 1 point b), le
   responsable du fichier informe les
   personnes concernées de la
   commini cat ion des données à
   caractère personnel. Les Etats
   membres peuvent prévoir que cette
   information est remplacée par une
   autorisation préalable de
   l'autorité de contrôle.
(CHAPITRE III
LEGITIMITE DU TRAITEMENT E&NS LE
SECTEUR PRIVE)
Article 8
Principes
 ---pagebreak---                                     - 79 -
1. Les Etats membres prévoient dans
   leur législation que, sans le
   consentement de la personne
   concernée, l'enregistrement dans
   un fichier et tout autre
    traitement de données à caractère
    personnel ne sont légitimes qu'en
    accord avec les dispositions de
    cette directive et si:
a) le traitement se situe dans le
    cadre d'un contrat, ou d'une
    relation de confiance quasi
    contractuelle, avec la personne
    concernée et est nécessaire à sa
    réalisation, ou
b) les données proviennent de sources
    généralement accessibles au public
    et leur traitement est uniquement
    destiné à la correspondance, ou
 c) le responsable du fichier poursuit
    un intérêt légitime à condition
    que l'intérêt de la personne
    concernée ne prévale pas;
 2. Les Etats membres prévoient dans
     leur législation qu'il incombe au
     responsable du fichier de
     s'assurer que toute ccmnunication
    n'est pas inccmpatible avec la
     finalité du fichier et qu'elle ne
     porte pas atteinte à l'ordre
     public. En cas de consultation en
     ligne, les mêmes obligations
     incombent à l'utilisateur.
 ---pagebreak---                                    - 80 -
3. Sans préjudice des dispositions
   visées au paragraphe 1, les Etats
   membres peuvent préciser les
   conditions dans lesquelles le
   traitement des données à caractère
   personnel est légitime.
 ---pagebreak---                                    - 81 -
(CHAPITRE V                               SBCTION III
QUALITE DES DCNNEES)                     CATEGORIES PARTICULIERES DE
                                         TRAITEMENTS
Article 17                               Article 8
Les catégories particulières de           Traitements portant sur des
données                                   catégories particulières de données
1. Les Etats membres interdisent le       1. Les Etats membres interdisent le
traitement automatisé, sauf accord        traitement des données révélant
libre, exprès et écrit de la personne     l'origine raciale et ethnique,
concernée, des données révélant           l'opinion politique, les
l'origine raciale ethnique, l'opinion     convictions religieuses,
politique, les convictions                philosophiques ou morales,
religieuses ou philosophiques, les        l'appartenance syndicale, ainsi que
appartenances syndicales, ainsi que       les données relatives à la santé et
les informations relatives à la santé     à la vie sexuelle.
 et à la vie sexuelle.
                                          2. Les Etats membres prévoient que
                                          le traitement de données visées au
                                          paragaphe 1 peut être effectué,
                                          lorsque:
                                          a) la personne concernée a donné
                                             par écrit son consentement à un
                                             tel traitement, sauf dans les
                                             cas où la législation de l'Etat
                                             membre prévoit que
                                             l'interdiction visée au
                                             paragraphe 1 ne peut être levée
                                             par le consentement de la
                                             personne concernée;
 ---pagebreak---                                    - 82 -
                                         b) le traitement est effectué par
                                             une fondation ou par une
                                             association sans but lucratif, à
                                             caractère politique,
                                             philosophique, religieux ou
                                             syndical, dans le cadre de son
                                             but légitime et à condition
                                             qu'il se rapporte aux seuls
                                             membres et correspondants de la
                                             fondation ou de l'association,
                                             et que les données ne soient pas
                                             conminiquées à des tiers sans le
                                             consentement des personnes
                                             concernées ;
                                          c) le traitement est effectué dans
                                             des circonstances telles qu'il
                                             ne porte manifestement pas
                                             atteinte à la vie privée et aux
                                             libertés.
                                         Les traitements visés à la lettre
                                          b) sont dispensés de l'obligation
                                          de notification prévue à la section
                                          VIII du présent chapitre.
2. Les Etats membres peuvent prévoir      3. les Etats membres peuvent
pour des motifs d'intérêt public          prévoir, pour des motif  d'intérêt
importants des dérogations aux            public important, des dérogations
dispositions du paragraphe 1 sur la       au paragraphe 1, sur la base d'une
base d'une loi précisant les types de     disposition législative nationale
données enregistrables, les personnes     ou d'une décision de l'autorité de
ayant accès au fichier ainsi que les      contrôle, précisant les types de
garanties appropriées contre les          données pouvant faire l'objet d'un
utilisations abusives et les accès        traitement, les personnes
non autorisés.                            destinataires des données, la
                                          qualité du responsable du
                                          traitement, ainsi que les garanties
                                          appropriées.
 ---pagebreak---                                    - 83 -
3. Les données concernant des             4. Les données concernant les
condamnations pénales ne peuvent être     condamnations pénales ne peuvent
conservées que dans des fichiers          être conservées que par les
relevant du secteur public.               autorités judiciaires et par les
                                          personnes directement concernées
                                          par les décisions en cause ou par
                                          leurs représentants; les Etats
                                          membres peuvent toutefois prévoir
                                          des dérogations sur la base d'une
                                          disposition législative nationale
                                          précisant les garanties
                                          appropriées.
                                          5. Les Etats membres déterminent
                                           les conditions dans lesquelles un
                                           numéro national d'identification ou
                                           tout autre identifiant de portée
                                           générale peut être utilisé.
(CHAPITRE VI
DISPOSITIONS SPECIFIQUES POUR
CERTAINS SECTEURS)
Article 19                                 Article 9
 ---pagebreak---                                     - 84 -
                                          Traitements de données à caractère
                                          personnel et liberté d'expression
Les Etats membres peuvent prévoir         En vue de concilier le droit à la
pour les organismes de presse et de       vie privée avec les règles
l'audiovisuel des dérogations aux         régissant la liberté d'expression,
dispositions de la présente               les Etats membres prévoient pour
directive, dans la mesure où elles        les traitements de données à
sont nécessaires pour concilier le        caractère personnel effectués à des
droit à la vie privée avec les règles     fins de journalisme par les
régissant la liberté d'information et     organismes de presse et de
de la presse.                             l'audiovisuel, ainsi que par les
                                          journalistes, des dérogations aux
                                          dispositions de la présente
                                          directive.
(CHAPITRE IV                              SBCTICN IV
DROIT DE LA PERSONNE CONCERNEE)            INFORMATION DE LA PERSONNE
                                          CONCERNEE
Article 14                                Article 10
Droits complémentaires de la personne     Information sur l'existence d'un
concernée                                  trai tement
Les Etats membres reconnaissent à la      1. Les Etats membres garantissent à
personne concernée les droits              toute personne le droit de
suivants:                                 connaître, sur demande,
                                          l'existence d'un traitement, ses
3) de connaître l'existence d'un          finalités, les catégories de
   fichier, ses finalités                 données sur lesquelles il porte,
   principales, ainsi que l'identité      ainsi que les tiers ou catégories
   et la résidence habituelle, le         de tiers à qui les données sont
   siège ou l'établissement du             ccmnuniquées, le nom et l'adresse
   responsable du fichier;                du responsable du traitement et, le
                                           cas échéant, de son représentant.
 ---pagebreak---                                     - 85 -
                                           2. Les Etats membres peuvent
                                           déroger au paragraphe 1, dans les
                                           conditions prévues à l'article 14
                                           paragraphe 1.
Article 13                                 Article 11
L'information lors de la collecte          Information en cas de collecte de
                                           données auprès de la personne
                                           concernée
1. Les Etats membres garantissent aux      1. Les Etats membres prévoient que
personnes auprès desquelles sont           le responsable du traitement doit
collectées des données à caractère         s'assurer que la personne auprès de
personnel le droit à être informées        laquelle sont collectées des
au moins sur:                              données, soit informée au moins
                                           sur:
a) les finalités du fichier auquel         a) les finalités du traitement
    les informations sont destinées;           auquel les données sont
                                               destinées, et
b) le caractère obligatoire ou non de      b) le caractère obligatoire ou non
    leur réponse aux questions qui             de la réponse aux questions qui
    font l'objet de la collecte;               font l'objet de la collecte, et
c) les conséquences à leur égard d'un      c) les conséquences à son égard
    défaut de réponse;                         d'un défaut de réponse, et
d) les destinataires des                   d) le destinataire ou les
    informations ;                             catégories de destinataires des
                                               données, et
 e) l'existence du droit d'accès et de      e) l'existence du droit d'accès aux
    rectification des données les              données la concernant et du
    concernant, et                             droit de rectification de ces
                                               données, et
 ---pagebreak---                                     - 86 -
f) le nom et l'adresse du responsable      f) le nom et l'adresse du
   du fichier.                                responsable du traitement et, le
                                              cas échéant, de son
                                              représentant.
2. Les dispositions du paragraphe 1        2. Les dispositions du paragraphe 1
ne s'appliquent pas à la collecte des      ne s'appliquent pas à la collecte
informations dans le cas où                des données dans le cas où
l'information de la personne               l'information de la personne
concernée empêcherait l'exercice des       concernée empêcherait la poursuite
fonctions de contrôle et de                d'une mission de contôle ou
vérification d'une autorité publique       d'inspection relevant de l'exercice
ou le maintien de l'ordre public.          de l'autorité publique ou de la
                                           collaboration avec une telle
                                           mission ou empêcherait le maintien
                                           de l'ordre public.
(CHAPITRE III
LEGITIMITE DU TRAITEMENT D\NS LE
SECTEUR PRIVE)
Article 9                                  Article 12
Obligation d'information de la             Information en cas de ccmmnication
personne concernée lors de la              à un tiers
première coominication à un tiers
 ---pagebreak---                                    - 87 -
1. Les Etats membres, pour le             1. Les Etats membres prévoient que
secteur privé, prévoient dans leur        le responsable du traitement
législation que, lors de la première      s'assure, dans les cas visés aux
communication ou lors de l'ouverture      lettres b), c), e) et f) de
d'une possibilité de consultation en      l'article 7, qu'au moment opportun
ligne, le responsable en informe la       et au plus tard lors de la première
personne concernée et indique             comminication à un tiers, la
également la finalité du fichier, les     personne concernée est informée de
types de données qui y figurent et        cette comminication et, au moins,
ses nom et adresse.                       sur:
                                          a) les nom et adresse du
                                          responsable du traitement, et le
                                          cas échéant de son représentant, et
                                          b) les finalités du traitement, et
                                          c) les catégories de données sur
                                          lesquelles porte le traitement, et
                                          d) le destinataire ou les
                                          catégories de destinataires, et
                                          e) l'existence des droits d'accès,
                                          de rectification et d'opposition.
2. L'information prévue au                2. Les dispositions du paragraphe 1
paragraphe 1 n'est pas obligatoire        ne s'appliquent pas, lorsque:
dans le cas visé à l'article 8                la coomunication à un tiers ou
paragraphe 1 point B). L'obligation           la possibilité de celle-ci ont
d'informer n'existe pas dans les cas         déjà été portées à la
où la ccmnunication est imposée par           connaissance de la personne
une loi.                                      concernée: ou
                                              la cammini ca t i on à un tiers est
                                              imposée par une loi qui prévoit
                                              une dérogation à l'obligation
                                              d'information de la personne
                                              concernée; ou
                                              la camminication à un tiers est
                                             motivée par une des raisons
                                              énumérées à l'article 14
                                              paragraphe 1.
 ---pagebreak---                                       88 -
Artide 10                                  3. Si l'information de la personne
                                           concernée se révèle impossible ou
Exceptions particulières à                 implique des efforts
l'obligation d'informer la personne        disproportionnés ou se heurte à des
concernée                                  intérêts légitimes prédominants du
                                           responsable du traitement ou à un
Si l'information de la personne            intérêt similaire d'un tiers, les
concernée visée à l'article 9              Etats membres peuvent prévoir que
paragraphe 1 se révèle impossible ou       l'autorité de contrôle peut
implique des efforts disproportionnés      autoriser une dérogation prévoyant,
ou se heurte à des intérêts légitimes      le cas échéant, des garanties
prédominants du responsable du             appropri ées.
fichier ou à un intérêt similaire
d'un tiers, les Etats membres peuvent
prévoir dans leur législation que
l'autorité de contrôle peut autoriser
une dérogation.
(CHAPITRE IV                               SECTION V: DROIT D'ACCES DE LA
                                           PERSONNE CONCERNEE AUX DCNNEES
DROIT DE LA PERSONNE CONCERNEE)
Article 14                                 Ar t i c1 e 13
Droits complémentaires de la personne      Droit d'accès
concernée:
Les Etats membres garantissent à la        Les Etats membres reconnaissent aux
personne concernée les droits              personnes concernées les droits
suivants:                                  suivant s
 ---pagebreak---                                        - 89 -
4) d'obtenir à des intervalles                1. d'obtenir, sur demande, à des
   raisonnables et sans délais ou                intervalles raisonnables et sans
   frais excessifs la confirmation de            délais ou frais excessifs, la
   l'existence ou non, dans un                   confirmation de l'existence ou
   fichier, de données à caractère               de l'absence de données à
   personnel la concernant ainsi que             caractère personnel la
   la corallini cat ion de ces données           concernant, la corallini cat ion de
   sous une forme intelligible.                  ces données sous une forme
                                                 intelligible, ainsi que des
                                                 informations sur leur origine
                                                 et, d'une manière générale, sur
                                                 leur utilisation.
   Les Etats membres peuvent prévoir             Les Etats membres peuvent
   que le droit d'accès aux données à            prévoir que le droit d'accès aux
   caractère médical ne peut                     données à caractère médical ne
   s'exercer que par l'intermédiaire             peut s'exercer que par
   d'un médecin;                                 l'intermédiaire d'un médecin;
                                              2. de ne pas être obligé par un
                                                  tiers, sauf si la demande de
                                                 celui-ci est fondée sur la
                                                 législation nationale ou
                                                 comnunautaire, d'exercer son
                                                 droit d'accès en vue de lui
                                                 cotrmuniquer les données en cause
                                                 ou de les carmiuniquer à une
                                                  autre personne;
5) d'obtenir, le cas échéant, la              3. d'obtenir, selon le cas, la
    rectification de ces données ou               rectification des données
    leur effacement ou leur                       inexactes ou incomplètes, leur
   verrouillage lorsque leur                      effacement ou leur verrouillage,
    traitement n'est pas conforme aux             lorsque leur traitement n'est
   dispositions de la présente                    pas conforme aux dispositions de
   di ree t ive ;                                 la présente directive;
 ---pagebreak---                                      - 90 -
7) d'obtenir, en cas d'application du      4. d'obtenir, en cas d'application
    paragraphe 5 du présent article,           du point 3, et si les données
    et si les données ont été                  ont été ccmmniquées à des
    ccmmniquées à des tiers, la                tiers, la notification à ces
    notification à ces derniers de la          derniers de la rectification, de
    rectification, de l'effacement ou          l'effacement ou du verrouillage;
    du verrouillage;
                                            5. de connaître, sur demande,   les
                                               raisonnements utilisés dans les
                                               traitements automatisés dont les
                                               résultats lui sont opposés.
Article 15                                 Article 14
Exceptions au droit d'accès de la           Exceptions au droit d'accès
personne concernée aux fichiers du
secteur public
1. Les Etats membres peuvent limiter        1. Les Etats membres peuvent, sauf
par une loi les droits prévus aux           si une disposition de droit
points 3 et 4 de l'article 14 pour          ccmnunautaire les y oblige,
des motifs relatifs à:                      limiter l'exercice des droits
                                            prévus à l'article 10 paragraphe 1
                                            et  à l'article 10  point 1,
                                            lorsqu'une telle limitation
                                            constitue une mesure nécessaire à
                                            la sauvegarde :
 i) la sûreté de l'Etat;                    a) de la sûreté de l'Etat;
b) la défense;                              b) de la défense;
c) des poursuites pénales;                  c) des poursuites pénales;
d) la sécurité publique;                    d) de la sécurité publique;
 ---pagebreak---                                    - 91 -
 ) un intérêt économique et financier     e) d'un intérêt économique et
   impératif dûment justifié d'un            financier impératif dûment
   Etat membre ou de la Commnauté;           justifié d'un Etat membre ou de
                                              la Commnauté;
f) la nécessité de l'exercice des         f) d'une mission de contrôle ou
   fonctions de contrôle ou                  d'inspection relevant de
   d'inspection de l'autorité                l'exercice de l'autorité
   publique, ou                               publique ou de la collaboration
                                              à une telle mission;
g) un droit équivalent d'une autre        g) d'un droit équivalent d'une
   personne et des droits et libertés         autre personne et des droits et
   d'autrui.                                  libertés d'autrui;
2. Dans les cas visés au para­            2. Dans les cas visés au
graphe 1, l'autorité de contrôle doit     paragraphe 1, l'autorité de
pouvoir procéder, sur demande de la       contrôle doit pouvoir procéder, sur
personne concernée, aux vérifications     demande de la personne concernée,
nécessaires du fichier.                   aux vérifications nécessaires, en
                                          vue de contrôler la licéité des
                                          traitements au sens de la présente
                                          directive dans le respect des
                                           intérêts à sauvegarder conformément
                                          au paragraphe 1.
3. Les Etats membres peuvent limiter      3. Les Etats membres peuvent
le droit d'accès de la personne            limiter le droit d'accès de la
concernée pour les données                personne concernée à des données
temporairement compilées afin d'en        conservées temporairement sous
extraire des informations                 forme personelle et destinées à
statistiques.                              être traitées à des fins
                                          statistiques de telle sorte que les
                                           personnes concernées ne soient plus
                                           raisonnablement identifiables.
 ---pagebreak---                                       - 92 -
(CHAPITRE IV                                 SBCTICN VI : DROIT D'OPPOSITION DE
DROIT DE LA PERSONNE CONCERNEE)              LA PERSONNE CONCERNEE
Article 14                                  Article 15
Droits complémentaires de la personne       Opposition pour raisons légitimes
concernée
Les Etats membres reconnaissent à la         1. Les Etats membres reconnaissent
personne concernée les droits                à la personne concernée le droit de
suivants:                                    s'opposer à tout moment, pour des
                                             raisons légitimes, à ce que des
1. de s'opposer, pour des raisons            données la concernant fassent
   légitimes, à ce que des données à         l'objet d'un traitement.
   caractère personnel la concernant
   fassent l'objet d'un traitement;
(Article 9)
3. si la personne concernée oppose           2. En cas d'opposition justifiée,
   une objection à la ccmmni cat i on        le responsable du traitement est
   ou à tout autre traitement, le            tenu de cesser celui-ci.
   responsable du fichier est tenu de
   cesser le traitement contesté,
   sauf si une disposition légale l'y
   autori se ;
 ---pagebreak---                                           - 93
(Artide 14)
6. d'obtenir sur demande l'effacement          3. Le responsable du traitement
    sans frais des données la                  doit s'assurer que la possibilité
    concernant enregistrées dans des           de faire effacer sans frais les
    fichiers de prospection                    données a été explicitement offerte
    ccranerciale ou publicitaire;              aux personnes concernées,
                                               préalablement à la commini cat ion à
                                               des tiers ou à l'usage pour le
                                               compte de tiers de données à
                                               caractère personnel à des fins de
                                               prospection par voie postale;
Article 14                                     Article 16
Droits comp1 émen t a i r e s de la personne   Décisions individuelles
 concernée                                     au t otna t i s é e s
2. de ne pas être soumise à une                1. Les Etats membres reconnaissent
décision administrative ou privée              à toute personne le droit de ne pas
impliquant une appréciation de son             être soumise à une décision
 ccmportement qui ait pour seul                administrative ou privée lui
 fondement un traitement automatisé de         faisant grief, prise sur le seul
 données à caractère personnel donnant         fondement d'un traitement
 une définition du profil ou de la             automatisé qui définit un profil de
 personnalité de l'intéressé;                  personnali té.
                                               2. Les Etats membres prévoient,
                                               sans préjudice des autres
                                               dispositions de la présente
                                               directive, qu'une personne peut
                                               être soumise à une décision visée
                                               au paragraphe 1 si une telle
                                               déc i s i on:
 ---pagebreak---                      94
                        a) est prise dans le cadre de la
                           conclusion ou de l'exécution
                           d'un contrat, à condition que la
                           demande de la personne concernée
                           ait été satisfaite ou que des
                           mesures appropriées, parmi
                           lesquelles la possibilité de
                           faire valoir son point de vue,
                           garantissent la sauvegarde de
                           son intérêt légitime;
                        b) est autorisée par une loi qui
                           précise les mesures garantissant
                           la sauvegarde de l'intérêt
                           légitime de la personne
                           concernée.
(CHAPITRE V             SECTION VI I
QUALITE DES DCNNEES)    LA SBCURITE DES TRAITEMENTS
Article 18              Article 17
Sécurité des données
 ---pagebreak---                                     - 95 -
1. Les Etats membres prévoient dans        1. Les Etats membres prévoient que
leur législation que le responsable        le responsable du traitement doit
du fichier est obligé de prendre les       prendre les mesures techniques et
mesures techniques et d'organisation       d'organisation appropriées,
appropriées, nécessaires à la              nécessaires à la protection contre
protection du fichier contre la            la destruction, accidentelle ou
destruction, accidentelle ou non           illicite, la perte accidentelle,
autorisée, la perte accidentelle,          ainsi que contre l'altération, la
ainsi que contre l'altération ou           ccmnunication et toute autre forme
l'accès et tout autre traitement non       de traitement non autorisée de
autorisé de données à caractère            données à caractère personnel.
personnel.
Ces mesures doivent assurer pour les       Ces mesures doivent assurer pour le
fichiers automatisés un niveau de          traitement automatisé des données
sécurité approprié compte tenu, d'une      un niveau de sécurité approprié,
part, de l'état de l'art en la             compte tenu, d'une part, de l'état
matière et du coût de leur mise en         de la technologie, d'autre part, de
oeuvre, et, d'autre part, de la            la nature des données à protéger et
nature des données à protéger et de        de l'évaluation des risques
 l'évaluation des risques potentiels.      potentiels. A cette fin, le
A cette fin, le responsable du             responsable du traitement doit
fichier doit prendre en considération      prendre en considération les
 les recoranandations en matière de        recarmandations en matière de
 sécurité informatique et                  sécurité informatique et
d interopérabilité des réseaux             d'interopérabilité des réseaux
 élaborées par la Ccmnission selon les      élaborés par la Ccmnission selon
modalités prévues à l'article 29.           les modalités visées à
                                            l'article 33.
 ---pagebreak---                                     - 96 -
2. Des méthodes garantissant une          2. Des méthodes garantissant une
sécurité adéquate doivent être             sécurité appropriée doivent être
choisies pour la transmission de           choisies pour la transmission de
données personnelles dans un réseau.      données à caractère personnel dans
                                          un réseau.
3. En cas de consultation en ligne,       3. Lorsqu'une possibilité d'accès à
les installations techniques et le        distance est offerte, le
logiciel doivent être conçus de            responsable du traitement doit
manière que la consultation se fasse      mettre en oeuvre les installations
dans les limites de l'autorisation         techniques et le logiciel de
accordée par le responsable du            manière que l'accès s'opère dans
fichier.                                   les limites de la licéité du
                                           trai tement.
4. Les obligations visées aux             4. Les obligations visées aux
paragraphes 1 à 3 incombent également     paragraphes 1, 2 et 3 incombent
aux personnes qui, de fait ou par          également aux personnes qui ont une
contrat, ont le contrôle sur les           responsabilité dans la mise en
opérations relatives à un fichier.         oeuvre du traitement, notanment
                                           l'agent traitant.
5. Toute personne qui, dans le cadre      5. Toute personne qui, dans le
de ses activités professionnelles,         cadre de ses activités
accède à des informations contenues        professionnelles, accède à des
dans des fichiers, ne doit pas les         données à caractère personnel ne
cctrmuniquer à des tiers sans l'accord    doit pas les ccnmuniquer à des
du responsable du fichier.                 tiers sans l'accord du responsable
                                          du traitement, sauf en vertu
                                          d'obligations prévues dans la
                                           législation nationale ou
                                           ccmnunautai re.
 ---pagebreak---                                      - 97
(CHAPITRE II                              SBCTICNVIII - NOTIFICATION
LEGITIMITE DU TRAITEMENT DANS LE
SBCTEUR PUBLIC)
Article 7                                 Article 18 - L'obligation de
                                          notification à l'autorité de
Obligation de notification à              contrôle
l'autorité de contrôle
1. Les Etats membres prévoient dans       1. Les Etats membres prévoient
leur législation que l'établissement      qu'une notification doit être
d'un fichier du secteur public dont       effectuée par le responsable du
les données à caractère personnel         traitement ou, le cas échéant, par
sont susceptibles d'être                  son représentant, auprès de
cannuniquées, doit être préalablement     l'autorité de contrôle visée à
notifié à l'autorité de contrôle qui      l'article 30 préalablement à la
l'inscrit dans un registre. Le            mise en oeuvre d'un traitement
 registre peut être consulté par toute    automatisé en tout ou en partie ou
personne.                                 d'un ensemble de traitements de
                                          même nature destinés à la
                                          réalisation d'une finalité ou de
                                          plusieurs finalités liées.
2. Les Etats membres définissent les      2. Les Etats membres définissent
 informations qui doivent être            les informations qui doivent être
notifiées à l'autorité de contrôle.       contenues dans la notification.
Ces informations doivent comprendre       Elles comprennent au minimum:
 au moins le ncm et 1 'adresse du         a) le nom et l'adresse du
 responsable du fichier, la finalité         responsable du traitement et, le
 du fichier, une description des types       cas échéant, de son
 de données qu'il contient, les tiers        représentant ;
 auxquels les données sont                b) la ou les finalités du
 susceptibles d'être cotimuniquées et         trait ement;
 une description des mesures prises en    c) la ou les catégories de
 application de l'article 18.                 personnes concernées;
 ---pagebreak---                                      98
3. Les Etats membres peuvent prévoir    d) une description des données ou
que les dispositions des                   des catégories de données sur
paragraphes 1 et 2 s'appliquent à          lequel porte le traitement;
d'autres fichiers du secteur public     e) les tiers ou les catégories de
et que la consultation du registre         tiers auxquels les données sont
peut être limitée pour les raisons         susceptibles d'être
mentionnées à l'article 15                 ccmmniquées ;
paragraphe 1.                           f) les transferts de données,
                                           envisagés avec des pays tiers.
                                        g) une description des mesures
                                           prises en application de
                                           l'article 17 pour assurer la
                                           sécurité du traitement.
                                        3. Tout changement affectant les
                                        informations visées au paragraphe 2
                                        doit être notifié à l'autorité de
                                        contrôle.
                                        4. L'autorité de contrôle procède
                                        préalablement à leur mise en oeuvre
                                        à l'examen des traitements
                                        présentant des risques particuliers
                                        au regard des droits et libertés
                                        des personnes, dans un délai de 15
                                        jours à compter de la date de leur
                                        notification au terme duquel
                                        l'autorité présente ses
                                        conclus ions.
 ---pagebreak---                                     - 99 -
                                           5. Les Etats membres peuvent
                                           prévoir que certains des
                                           traitements visés au paragraphe 4
                                           sont soumis à une autorisation
                                           préalable de l'autorité de
                                           contrôle. Les Etats membres peuvent
                                           prévoir que les autorisations
                                           susvisées sont données par la loi.
(CHAPITRE III
LEGITIMITE DU TRAITEMENT E&NS LE
SECTEUR PRIVE)
Article 11
Obligation de notification à
l'autorité de contrôle
1. Les Etats membres prévoient que le
responsable du fichier notifie
l'établissement d'un fichier de
données à caractère personnel, dès
lors que les données sont destinées à
être ccnmuniquées et ne proviennent
pas de sources généralement
accessibles au public. La
notification doit se faire à
l'autorité de contrôle de l'Etat
membre où le fichier est localisé ou,
en l'absence d'une localisation dans
un Etat membre, à l'autorité de
contrôle de l'Etat membre où le
responsable du fichier réside. Le
responsable du fichier notifie aux
autorités nationales ccmpétentes tout
changement de finalité du fichier ou
de son adresse.
 ---pagebreak---                                      100 -
2. Les Etats membres définissent les
informations qui doivent être
notifiées à l'autorité de contrôle.
Ces informations doivent comprendre
au moins le nom et l'adresse du
responsable du fichier, la finalité
du fichier, une description des types
de données qu'il contient, les tiers
auxquels les données sont
susceptibles d'être comminiquées et
une description des mesures prises en
application de l'article 18.
3. Les Etats membres peuvent prévoir
que les dispositions des
paragraphes 1 et 2 s'appliquent à
d'autres fichiers du secteur privé et
que les informations visées au
paragraphe 2 sont accessibles au
pubii c.
                                         Article 19 - La simplification
                                         l'exonération de l'obligation i
                                         notification
 ---pagebreak--- 101 -
    1. Les Etats membres prévoient que
        la notification est simplifiée
        ou fait l'objet d'une
        exonération pour certaines
        catégories de traitements qui ne
        portent pas atteinte aux droits
        et libertés des personnes
        concernées. Ces catégories de
        traitements comprennent,
        notanment, la production de
        lettres ou documents,
        1'accanplissement d'obligations
        légales, comptables, fiscales ou
        sociales ou encore la
        consultation de services
        documentaires accessibles au
        pubii c.
     2. La mesure de simplification ou
        d'exonération est prise soit par
        l'autorité de contrôle, soit
        après consultation de celle-ci.
        La mesure susvisée précise, pour
        chaque catégorie de traitements,
        notanment:
 ---pagebreak--- - 102 -
          - les finalités des traitements,
          - une description des données ou
            catégories de données
            trai tées,
          - la ou les catégories de
            personnes concernées,
          - les tiers ou catégories de
            tiers ayant commini cat ion des
            données,
          - la durée de conservation des
            données,
          - le cas échéant, les conditions
            dans lesquels le traitement
            est mis en oeuvre.
      3. Le bénéfice de la simplification
          ou de l'exonération de
          l'obligation de notification ne
          dispense le responsable du
          traitement d'aucune des autres
          obligations découlant de la
          présente directive.
      Article 20 - Les traitements
      manuel s
      Les Etats membres peuvent prévoir
       les conditions dans lesquelles les
      dispositions prévues aux articles
      18 et    19 s'appliquent aux
       traitements non automatisés de
      données à caractère personnel
      contenues dans des fichiers.
 ---pagebreak--- - 103 -
      Artide 21 - Le registre des
       traitements notifiés
       Les Etats membres prévoient que
       l'autorité de contrôle tient le
       registre des traitements notifiés.
       Le registre reprend, au minimum,
       dans les cas prévus aux articles 18
       et 19, les  informations énumérées
       à l'article 18, paragraphe 2
       lettres a) à f). Il peut être
       consulté par toute personne, sous
       réserve des limitations qui peuvent
       être prévues par les Etats membres
       dans les conditions fixées à
       l'article 14 paragraphe 1.
 ---pagebreak---                                   - 104 -
(CHAPITRE IV                              CHAPITRE III
DROIT CE LA PERSONNE CONCERNEE)           RBCDURS JURIDICTIONNELS,
                                          RESPONSABILITE ET SANCTIONS
Article 14                                Article 22
Droits complémentaires de la personne     Recours juridictionnels
concernée
Les Etats membres reconnaissent à la      Les Etats membres prévoient que
personne concernée, les droits            toute personne dispose d'un
suivants:                                 recours juridictionnel en cas de
                                          violation des droits garantis dans
8) de disposer d'un recours               la présente directive.
   juridictionnel en cas de violation
   des droits garantis dans le présent
   article.
 ---pagebreak---                                    - 105 -
(CHAPITRE VII
RESPONSABILITE ET SANCTIONS)
Article 21
Responsabi1i té                            Article 23
                                           Responsabi1i té
1. Les Etats membres prévoient dans        1. Les Etats membres prévoient que
leur législation que toute personne,       toute personne dont les données à
dont les données à caractère personnel     caractère personnel font l'objet
sont enregistrées dans un fichier et       d'un traitement et qui subit un
qui subit un domnage du fait du            domnage du fait d'un traitement
 traitement ou de toute action             illicite ou de toute action
 incompatibles avec les dispositions de    incompatible avec les dispositions
 la présente directive a le droit de       nationales prises en application
demander au responsable du fichier des     de la présente directive a le
donmages et intérêts.                      droit d'obtenir du responsable du
                                           traitement réparation du préjudice
                                           subi.
2. Les Etats membres peuvent prévoir       2. Les Etats membres peuvent
 que les darmages résultant d'une perte    prévoir que le responsable du
 ou d'une destruction de données ou         traitement peut être exonéré,
 d'un accès non autorisé ne sont pas       partiellement ou totalement, de sa
 imputables au responsable du fichier       responsabilité du fait des
 s'il prouve qu'il a pris les mesures       dcmnages résultant d'une perte ou
 appropriées pour respecter les            d'une destruction de données ou
 exigences énumérées aux articles 18 et    d'un accès non autorisé, s'il
 22.                                        prouve qu'il a pris les mesures
                                            appropriées pour respecter les
                                            exigences énumérées aux articles
                                           17 et 24.
 ---pagebreak---                                    - 106 -
Article 22                                 Article 24
Traitement pour le compte du               Traitement pour le compte du
responsable du fichier                     responsable du traitement
1. Les Etats membres prévoient dans        1. Les Etats membres prévoient que
leur législation que le responsable du     le responsable du traitement doit,
fichier doit, en cas de traitement         en cas de traitement pour son
pour son compte, s'assurer du respect      compte, s'assurer du respect des
des mesures nécessaires de sécurité et     mesures nécessaires de sécurité et
d'organisation, et choisir une             d'organisation et choisir un agent
personne ou une entreprise qui apporte     traitant qui apporte des garanties
des garanties suffisantes à cet égard.     suffisantes à cet égard.
2. Toute personne qui collecte ou qui      2. L'agent traitant effectue
traite des données à caractère             uniquement le traitement des
personnel pour le compte du                données à caractère personnel
responsable du fichier doit respecter      stipulé par le contrat conclu avec
les obligations prévues aux articles       le responsable du traitement et
16 et 18.                                  reçoit des instructions uniquement
                                           de celui-ci. Il doit respecter les
                                           dispositions nationales prises en
                                           application de la présente
                                           di reet ive.
3. Le contrat doit être écrit et           3. Le contrat doit être écrit et
spécifier, en particulier, que les         spécifier, en particulier, que les
données à caractère personnel ne           données à caractère personnel
peuvent être divulguées par le             traitées en application dudit
prestataire ou ses employés qu'avec        contrat ne peuvent être
l'accord du responsable du fichier.        ccmnuniquées à un tiers par
                                           l'agent traitant ou ses employés
                                           qu'avec l'accord du responsable du
                                           trai tement.
 ---pagebreak---                                    - 107 -
Ar t i c1 e 23                             Article 25
Sanctions                                  Sanctions
Chaque Etat membre prévoit dans sa         Chaque Etat membre prévoit
législation l'application de sanctions     l'application de sanctions
dissuasivés afin d'assurer le respect      dissuasivés à toute personne qui
des dispositions prises en application     ne respecte pas les dispositions
de la présente directive.                  nationales prises en application
                                           de la présente directive.
CHAPITRE VIII                              CHAPITRE IV
TRANSFERT DE DCNNEES A CARACTERE           TRANSFERT DE DCNNEES A CARACTERE
PERSONNEL VERS LES PAYS TIERS              PERSONNEL VERS DES PAYS TIERS
Article 24                                 Article 26
Principes                                  Principes
1. Les Etats membres prévoient dans        1. Les Etats membres prévoient que
leur législation que le transfert          le transfert, temporaire ou
temporaire ou définitif, vers un pays      définitif, vers un pays tiers de
tiers, de données à caractère              données à caractère personnel
personnel faisant l'objet d'un             faisant l'objet d'un traitement ou
traitement ou rassemblées dans le but       rassemblées dans le but de les
de les soumettre à un tel traitement,       soumettre à un tel traitement, ne
ne peut avoir lieu que si ce pays           peut avoir lieu que si le pays
assure un niveau de protection              tiers en cause  assure un niveau
adéquat.                                   de protection adéquat.
 ---pagebreak--- Par dérogation au premier alinéa,
les Etats membres prévoient qu'un
transfert vers un pays tiers
n'assurant pas un niveau de
protection adéquat, peut être
effectué, à condition que:
 - la personne concernée ait donné
   son consentement au transfert
   envisagé dans le cadre de
   relations précontractuelles,
   sans préjudice, le cas échéant,
   des dispositons de l'article 8
   paragraphe 2 lettre a), ou
   le transfert soit nécessaire à
   la réalisation d'un contrat
   entre la personne concernée et
   le responsable du traitement, à
   condition que la personne
   concernée ait été informée du
   fait que le transfert est ou
   pourrait être envisagé vers un
   pays tiers qui n'assure pas un
   niveau de protection adéquat,
   ou
   le transfert soit nécessaire à
   la sauvegarde d'un intérêt
   public important, ou
   le transfert soit nécessaire à
   la sauvegarde de l'intérêt
   vital de la personne concernée.
 ---pagebreak---                                    - 109 -
                                           2. Le caractère adéquat du niveau
                                           de protection offert par un pays
                                           tiers s'apprécie au regard de
                                           toutes les circonstances affectant
                                           un transfert ou une catégorie de
                                           transferts de données; en
                                           particulier sont prises en
                                           considération la nature des
                                           données, la ou les finalités et la
                                           durée du ou des traitements
                                           envisagés, les dispositions
                                           législatives, générales ou
                                           sectorielles, en vigueur dans le
                                           pays tiers en cause, ainsi que les
                                           règles professionnelles qui y sont
                                           respectées.
2. Les Etats membres avisent la            3. Les Etats membres informent la
Carmission des cas dans lesquels un        Ccmnission des cas dans lesquels
pays tiers importateur n'assure pas un     ils estiment qu'un pays tiers
niveau de protection adéquat.              n'assure pas un niveau de
                                           protection adéquat.
3. Lorsque la Catrmission constate,        4. Lorsque la Conmiss ion
soit sur la base des informations des      constate, soit sur la base des
Etats membres, soit sur la base             informations des Etats membres,
d'autres informations, qu'un pays          soit sur la base d'autres
tiers ne dispose pas d'un niveau de         informations qu'un pays tiers
protection adéquat et que la situation     n'assure pas un niveau de
en résultant est préjudiciable aux         protection adéquat et que la
intérêts de la Ccmnunauté ou d'un Etat     situation en résultant est
membre, elle peut engager des              préjudiciable aux intérêts de la
négociations en vue de remédier à          Cormunauté ou d'un Etat membre,
cette situation.                           elle peut engager des négociations
                                            en vue de remédier à cette
                                            s i tuat i on.
 ---pagebreak---                                    - 110 -
4. La Ccmnission peut décider, selon       5. La Ccmnission peut décider,
la procédure définie à l'article 30        selon la procédure visée à
paragraphe 2, qu'un pays tiers assure      l'article 34 paragraphe 2, qu'un
un niveau de protection adéquat en         pays tiers assure un niveau de
raison des engagements internationaux      protection adéquat en raison des
souscrits par celui-ci ou de sa            engagements internationaux
législation interne.                       souscrits par celui-ci ou de sa
                                           législation interne.
5. Les mesures prises au titre du          6. Les mesures prises au titre du
présent article sont conformes aux         présent article doivent être
obligations qui incombent à la             conformes aux obligations qui
Commnauté en vertu d'accords               incombent à la Commnauté en vertu
internationaux tant bilatéraux que         d'accords internationaux tant
multilatéraux qui régissent la             bilatéraux que rmltilatéraux qui
protection des personnes à l'égard du      régissent la protection des
traitement automatisé des données à        personnes à l'égard du traitement
caractère personnel.                       automatisé des données à caractère
                                           personnel.
 ---pagebreak---                                    - 111 -
Artide 25                                  Article 27
Dérogation                                 Mesures particulières
1. Un Etat membre peut déroger aux         1.   Sans préjudice de l'article 26
dispositions de l'article 24               paragraphe 1 deuxième alinéa, un
paragraphe 1 pour un transfert vers un     Etat membre peut autoriser un
pays tiers donné, sur présentation par     transfert ou une catégorie de
le responsable du fichier de               transferts de données à caractère
justifications suffisantes pour            personnel vers un pays tiers
garantir le respect d'un niveau de         n'assurant pas un niveau de
protection adéquat. L'Etat membre ne       protection adéquat, lorsque le
peut accorder une dérogation qu'après      responsable du traitement présente
en avoir informé la Ccmnission et les      des justifications suffisantes,
Etats membres et en l'absence de           pouvant notanment résulter de
notification d'opposition exprimée par     dispositions contractuelles
un Etat membre ou la Ccmnission dans        appropriées garantissant, en
un délai de 10 Jours.                       particulier, l'exercice effectif
                                           des droits des personnes
                                           concernées.
2. En cas de notification                   2.  L'Etat membre informe, en
d'opposition, la Ccmnission arrête les      temps utile, la Comnission et les
mesures appropriées selon la procédure      autres Etats membres du projet
définie à l'article 30 paragraphe 2.        d'autor i sat i on.
                                           3.   En cas de notification
                                            d'opposition exprimée par un Etat
                                           membre ou la Ccmnission, avant la
                                            prise d'effet de l'autorisation,
                                            la Ccmnission arrête les mesures
                                            appropriées selon la procédure
                                            définie à l'article 34
                                            paragraphe 2.
 ---pagebreak---                               - 112 -
(CHAPITRE VI                      CHAPITRE V
DISPOSITIONS SPECIFIQUES POUR     LES OCDES DE CONDUITE
CERTAINS SECTEURS)
                                  Article 28 - Codes nationaux
                                  1. Les Etats membres peuvent prévoir
                                  que les codes de conduite élaborés
                                  par les milieux professionnels
                                  peuvent fixer des mesures
                                  camplémentaires répondant aux
                                  spécificités de certains secteurs,
                                  sans préjudice des dispositions
                                  nationales prises en application de
                                  la présente directive.
                                  2. Les projets de codes sont examinés
                                  par l'autorité nationale de contrôle,
                                  qui s'assure de leur bien fondé et de
                                  la représentativité des organisations
                                  professionnelles qui les ont
                                  préparés. Elle recueille les
                                  observations des personnes concernées
                                  ou de leurs représentants.
                                  3. Les Etats membres assurent la
                                  publication officielle des codes qui
                                  ont reçu un avis favorable de la part
                                  de l'autorité de contrôle.
                                  4. Toute prorogation ou modification
                                  des codes fait l'objet de procédures
                                  ident iques.
 ---pagebreak---                                      113 -
Ar t i c1 e 20                         Article 29 - Codes comnunautaires
Les Etats membres encouragent les      1. Les Etats membres et la Conmission
milieux professionnels à participer à   encouragent les milieux
l'élaboration de codes de déontologie   professionnels à participer à
ou de bonne conduites européens pour    l'élaboration de codes de conduite
certains secteurs sur la base des       cocnnunautaires, destinés à contribuer
principes contenus dans la présente     à la bonne application de la présente
d i rect ive.                           directive en fonction de la
                                        spécificité des secteurs.
                                        2. La Ccmnission peut publier, pour
                                        information au Journal officiel des
                                       Conmunautés européennes un code de
                                        conduite', complété par l'avis rendu
                                        par le Groupe visé à l'article 31 se
                                        prononçant sur le contenu du code et
                                        la représentativité au plan
                                        carmunautaire des organisations qui
                                        l'ont élaboré. Le Groupe recueille
                                        les observations des personnes
                                        concernées ou de leurs représentants.
 ---pagebreak---                                    - 114 -
CHAPITRE IX                            CHAPITRE VI
AUTORITES DE CONTROLE ET GROUPE DE     AUTORITE DE CONTROLE ET GROUPE DE
PROTECTION DES DONNEES A CARACTERE     PRÖTBCTICN LES PERSONNES A L'BGARD DU
PERSONNEL                              TRAITAIENT LES DCNNEES A CARACTERE
                                       PERSONNEL
Article 26                             Article 30
L'autorité de contrôle                 L'autorité de contrôle
1. Les Etats membres assurent qu'une   1. Chaque Etat membre désigne une
autorité indépendante compétente       autorité publique indépendante,
contrôle la protection des données à   compétente pour assurer le contrôle
caractère personnel. Cette autorité    de la protection des données à
est chargée de surveiller              caractère personnel. Cette autorité
l'application des dispositions         est chargée de surveiller
nationales prises en application de    l'application des dispositions
la présente directive et d'exercer     nationales prises en application de
toutes les fonctions qui lui sont      la présente directive et d'exercer
attribuées par la présente directive.   toutes les fonctions qui lui sont
                                       attribuées par la présente directive.
                                       Chaque Etat membre peut désigner
                                       plusieurs autorités de contrôle.
 ---pagebreak---                                      115 -
2. Cette autorité dispose de moyens    2. Chaque autorité de contrôle
d'investigation et de pouvoirs         di spose :
effectifs d'intervention contre la         - de moyens d'investigation, tels
constitution et l'exploitation de            que le droit d'accéder aux
fichiers qui ne seraient pas                 données faisant l'objet de
conformes aux dispositions de la             traitements couverts par la
présente directive. A cette fin, elle        présente directive et de
dispose, notanment, du droit d'accès         recueillir toutes les
aux fichiers couverts par la présente        informations nécessaires à
directive et doit pouvoir recueillir         1'acccmpl i ssement de sa mission
toutes les informations nécessaires à        de contrôle;
1'acccmpl i ssement de sa mission de       - de pouvoirs effectifs
contrôle.                                    d'intervention, tels que celui
                                             d'ordonner le verrouillage ou
                                             l'effacement des données,
                                             l'interdiction provisoire ou
                                             définitive d'un traitement, la
                                             destruction du support des
                                             données ou celui d'adresser un
                                             avertissement au responsable du
                                             trai tement;
                                           - du droit d'ester en justice,
                                             lorsqu'elle constate des
                                             infractions aux dispositions
                                             nationales de mise en oeuvre de
                                             la présente directive.
3. Cette autorité peut être saisie      3. Chaque autorité de contrôle peut
par toute personne de plainte ou de     être saisie par toute personne de
réclamation relatives à la protection   plainte ou de réclamation relatives à
des personnes à l'égard des données à   la protection des personnes à l'égard
caractère personnel.                    du traitement des données à caractère
                                        personnel. La personne est informée
                                        des suites données.
 ---pagebreak---                                    - 116 -
                                       4. Chaque autorité de contrôle
                                       présente un rapport annuel sur son
                                       activité. Ce rapport est publié.
                                       5. Les autorités des Etats membres
                                       assurent entre elles toute la
                                       coopération nécessaire à
                                       1'acccmplissement de leurs missions
                                       de contrôle, notanment par l'échange
                                       d'informations utiles ou l'exercice
                                       des moyens d'investigation ou des
                                       pouvoirs d'intervention.
                                       6. Les Etats membres prévoient que
                                       chaque autorité de contrôle, ses
                                       membres et agents sont soumis à
                                       l'obligation du secret professionnel.
Article 27.                            Article 31.
Groupe de protection des données à     Groupe de protection des personnes à
caractère personnel                     l'égard du traitement des données à
                                       caractère personnel
 ---pagebreak---                                    - 117 -
1. Il est institué un Groupe de        1. Il est institué un Groupe de
protection des données à caractère      protection des personnes à l'égard du
personnel. Ce groupe à caractère        traitement des données à caractère
consultatif et indépendant est          personnel, ci-après dénommé "le
composé de représentants de             groupe". Ce groupe à caractère
l'autorité de contrôle, prévue à        consultatif et indépendant, est
l'article 26, de tous les Etats         composé de représentants des
membres, et présidé par un              autorités de contrôle prévues à
représentant de la Commission.          l'article 30 et d'un représentant de
                                        la Ccmnission. Lorsqu'un Etat membre
                                        a désigné plusieurs autorités de
                                        contrôle, celles-ci procèdent à la
                                        nomination de représentants comnuns
                                        qui, au sein du groupe, disposent des
                                       mêmes droits et obligations que les
                                        autres représentants des autres
                                        autori tés.
                                        2. Le groupe élit son président. La
                                        durée du mandat du président est de
                                        deux ans. Le mandat est renouvelable.
2. Le secrétariat du Groupe de          3. Le secrétariat du groupe est
protection des données à caractère      assuré par la Ccmnission.
personnel est assuré par les services
de la Ccmnission.
3. Le Groupe de protection des          4. Le groupe établit son règlement
données à caractère personnel établit   intérieur.
son règlement intérieur.
 ---pagebreak---                                        118
4. Le groupe examine les questions       5. Le Groupe examine les questions
mises à l'ordre du jour par son          mises à l'ordre du jour par son
président, soit à l'initiative de        président, soit à l'initiative de
celui-ci, soit à la demande motivée      celui-ci, soit à la demande motivée
d'un représentant des autorités de       d'un représentant des autorités de
contrôle, et portant sur                 contrôle, soit à la demande de la
l'application des dispositions de        Corrmi s s i on.
droit comnunautaire en matière de
protection des données à caractère
personnel.
Article 28                               Article 32
Missions du Groupe de protection des     Missions du Groupe
données à caractère personnel
1. Le Groupe de protection des           1. Le groupe a pour mission:
données à caractère personnel a pour     a) de contribuer à l'application
mi s s i on:                                 homogène des dispositions
a) de contribuer à l'application             nationales prises pour la mise en
    homogène des règles nationales           oeuvre de la présente directive;
    prises en application de la           b) de donner un avis sur le niveau de
     présente directive;                     protection dans la Ccmnunauté et
b) de donner un avis sur le niveau de        dans les pays tiers;
     protection dans la Ccranunauté et    c) de conseiller la Ccmnission sur
    dans les pays tiers;                     tout projet de modification de la
c) de conseiller la Ccmnission sur           présente directive, tout projet de
    des projets de mesures                   mesures additionnelles ou
     additionelles ou spécifiques à          spécifiques à prendre pour
     prendre pour sauvegarder la             sauvegarder les droits et les
     protection de la vie privée.            libertés des personnes physiques,
                                             ainsi que sur tout autre projet de
                                             mesures ayant une incidence sur
                                             ces droits et libertés.
                                         d) de donner un avis sur les codes de
                                             conduite élaborés au niveau
                                             ccrrmunau ta ire.
 ---pagebreak---                                    - 119 -
2. Si le Groupe de protection des      2. Si le groupe constate que de
données à caractère personnel           sérieuses divergences s'établissent
constate que de sérieuses divergences   entre la législation ou la pratique
s'établissent entre la législation ou  des Etats membres en matière de
la pratique des Etats membres en        protection des personnes à l'égard du
matière de protection des données à     traitement des données à caractère
caractère personnel, divergences qui    personnel, divergences qui risquent
risquent de porter atteinte à          de porter atteinte à l'équivalence de
l'équivalence de la protection dans     la protection dans la Commnauté, il
la Commnauté, il en informe la          en informe la Ccmnission.
Corani ss i on.
3. Le Groupe de protection des          3. Le groupe peut émettre de sa
données à caractère personnel peut      propre initiative des reconmandations
émettre des reccmnandations sur toute   sur toute question concernant la
question concernant la protection des   protection des personnes à l'égard du
personnes à l'égard des données à       traitement de données à caractère
caractère personnel dans la             personnel dans la Commnauté.
Commnauté. Les recommandations sont
 inscrites au procès-verbal et peuvent
 être transmises au Comité consultatif
visé à l'article 30. La Ccmnission
 informe le Groupe de protection des
données à caractère personnel des
 suites qu'elle a données aux
 reccmnandations.
                                        4. Les avis et reccmnandations du
                                        groupe sont inscrits au procès-verbal
                                        et transmis à la Commission; ils
                                        peuvent l'être également au comité
                                        consultatif visé à l'article 34.
 ---pagebreak---                                    - 120 -
                                       5. La Ccmnission informe le groupe
                                       des suites qu'elle a données aux avis
                                       et recomnandations. Elle produit à
                                       cet effet un rapport qui est transmis
                                        également au Parlement européen et au
                                       Conseil. Ce rapport est publié.
4. Le Groupe de protection des         6. Le groupe établit un rapport
données à caractère personnel établit  annuel sur l'état de la protection
un rapport annuel sur l'état de la     des personnes physiques à l'égard du
protection des personnes à l'égard du   traitement des données à caractère
traitement des données à caractère      personnel dans la Commnauté et dans
personnel dans la Commnauté et dans     les pays tiers qu'il commnique à la
les pays tiers qu'il commnique à la    Ccmnission, au Parlement européen et
Omni ss i on.                           au Conseil. Ce rapport est publié.
CHAPITRE X                             CHAPITRE VII
POUVOIR REGLEMENTAIRE DE LA             POUVOIR REGLEMENTAIRE DE LA
OMA SS ION                             GCMvflSSICN
Article 29                             Article 33
Exercice du pouvoir réglementaire       Exercice du pouvoir réglementaire
La Cernili ssion arrête, selon la      La Ccmnission arrête, selon la
procédure prévue à l'article 30         procédure prévue à l'article 34
paragraphe 2, les modalités             paragraphe 2, les modalités
techniques nécessaires pour appliquer   techniques nécessaires pour appliquer
la présenta directive aux               la présente directive aux
spécificités de certains secteurs,      spécificités de certains secteurs ou
coopte tenu de l'état de l'art en la    de certaines catégories de
matière et des codes de bonne           traitements et les mesures
condui te.                              nécessaires pour garantir
                                        l'application homogène des
                                        dispositions de la présente
                                        d i ree t ive.
 ---pagebreak---                                    - 121 -
Artide 30                              Article 34
Comité consultatif                     Comité consultatif
1. La Ccmnission est assistée par un    1. La Connais s ion est assistée par un
Comité consultatif composé des          comité de caractère consultatif
représentants des Etats membres et      composé des représentants des Etats
présidé par le représentant de la      membres et présidé par le
Coirmi ss i on.                         représentant de la Ccmnission.
2. Le représentant de la Ccmnission     2. Le représentant de la Ccmnission
soumet au Comité un projet de mesures   soumet au comité un projet de mesures
à prendre. Le Comité émet son avis      à prendre. Le comité émet son avis
sur ce projet, dans un délai que le     sur ce projet, dans un délai que le
président peut fixer en fonction de     président peut fixer en fonction de
l'urgence de la question en cause, le   l'urgence de la question en cause, le
cas échéant en procédant à un vote.     cas échéant en procédant à un vote.
L'avis est inscrit au procès-verbal;    L'avis est inscrit au procès-verbal;
en outre, chaque Etat membre a le       en outre, chaque Etat membre a le
droit de demander que sa position       droit de demander que sa position
figure à ce procès-verbal. La           figure à ce procès-verbal. La
Ccmnission tient le plus grand compte   Ccmnission tient le plus grand compte
de l'avis émis par le Comité. Elle      de l'avis émis par le comité. Elle
informe le Comité de la façon dont      informe le comité de la façon dont
elle a tenu compte de cet avis.         elle a tenu compte de cet avis.
 ---pagebreak---                                    - 122 -
DISPOSITIONS FINALES                   DISPOSITCNS FINALES
Article 31                             Article 35
1. Les Etats membres mettent en        1. Les Etats membres mettent en
vigueur les dispositions               vigueur les dispositions
législatives, réglementaires et        législatives, réglementaires et
administratives nécessaires pour se    administratives nécessaires pour se
conformer à la présente directive au   conformer à la présente directive au
plus tard le 1er janvier 1993.         plus tard le 1er juillet 1994.
Les dispositions adoptées en vertu du Lorsque les Etats membres adoptent
premier alinéa se réfèrent             ces dispositions, celles-ci
explicitement à la présente directive  contiennent une référence à la
                                       présente directive ou sont
                                       accompagnées d'une telle référence
                                        lors de leur publication officielle.
                                       Les modalités de cette référence sont
                                       arrêtées par les Etats membres.
2. Les Etats membres conmuniquent à    2. Les Etats membres fixent la date,
la Corani ss ion le texte des          qui ne peut être postérieure au 30
dispositions de droit interne qu'ils    juin 1997, après laquelle les
adoptent dans le domaine régi par la    traitements dont la mise en oeuvre
présente directive                      est antérieure au 1er juillet 1994,
                                        devront être conformes aux
                                       dispositions nationales prises pour
                                        se conformer à la présente directive.
                                       3. Les Etats membres conmuniquent à
                                        la Ccmnission le texte des
                                        dispositions de droit interne qu'ils
                                        adoptent dans le domaine régi par la
                                        présente directive.
Ajticle 32                             Ar t i cl e 36
 ---pagebreak---                                     - 123 -
La Conmiss ion fait périodiquement un   La Ccmnission fait périodiquement un
rapport au Conseil et au Parlement       rapport au Conseil et au Parlement
européen sur l'application de la         européen sur l'application de la
présente directive et l'assortit le      présente directive et l'assortit, le
cas échéant, des propositions de         cas échéant, des propositions de
modification appropriées.               modification appropriées. Ce rapport
                                         est publié.
Article 33                               Article 37
Les Etats membres sont destinataires     Les Etats membres sont destinataires
de la présente directive.                de la présente directive.
Fait à Bruxelles, le                     Fai t à Bruxelles, le
Par le Conseil                           Par le Consei1
 ---pagebreak---                                       - 124 -
                                 FICHE FINANCIERE
Volet 1 : Implications financières
1. Int i tulé de I'act ion : Proposition modifiée de directive du Conseil
                             relative à la protection des personnes physiques
                             à l'égard du traitement des données à caractère
                             personnel et à la libre circulation de ces
                             données.
2. Lignes budgétaires concernées :
   - A 2510 : Frais de réunions d'un comité dont la consultation est un
     élément     obligatoire    de    la   procédure   de   formation   d'actes
     communauta i res.
   - A 2511 : Frais de réunions d'un comité dont la consultation n'est pas
     un élément obligatoire de la procédure de formation d'actes
     communauta i res.
   - Titres A1 et A2 : Dépenses de personnel et de fonctionnement
3. Base légale :
   Article 100A du Traité CEE.
4. Description de l'action :
   - Oblect i fs : -   permettre le bon fonctionnement du marché intérieur en
                       assurant la circulation transfrontière de données à
                       caractère personnel dans la Communauté;
                   -   assurer la protection des personnes physiques à l'égard
                       des données à caractère personnel.
   - Création de 2 comités compétents en matière de protect i on des
     personnes à l'égard des données à caractère personnel (Art. 31 et 34).
   - Personnes concernées : 1. Pour le groupe de protection des personnes à
                                   l'égard du traitement de données à caractère
                                   personnel   (Art. 31) :   représentants   de
                                   l'autorité de contrôle de tous les Etats
                                   membres (groupe 4).
                               2. Pour    le Comité consultatif (Art. 34)
                                   représentants des Etats membres (groupe 3).
   Un représentant de la Commission préside le Comité consultatif. La
   présidence du comité de protection sera assurée par un membre élu pour
   deux ans. Le secrétariat du Comité consultatif et du groupe de
   protection des personnes à l'égard du traitement de données à caractère
   personnel est assuré par les services de la Commission.
 ---pagebreak---                                       - 125 -
5. Classification de la défense :
   5.1. : DNO
   5.2. : CND
6. Nature de la dépense :
   - frais de participation des membres aux réunions du groupe et du
     corn i t é;
   - frais de personnel.
7. Incidence financière sur les crédits d'intervention :
   Néant
8. Quelles sont      les dispositions anti-fraude prévues dans la proposition
   d'act ion ?
   Néant
Volet 2 : Dépenses administratives (partie A du budget)
1. L'action proposée impIique-t-eIIe une augmentation du nombre d'effectifs
   de la Commission ? Oui : 2 fonctionnaires de grade C.
   Ces postes seront obtenus soit dans le cadre de l'allocation des
   ressources décidées par la Commission sur la base des budgets futurs,
   soit par redéploiement interne.
2. Montant des dépenses générées :
   - Secrétar iat :     +/- 120.000,- ECU par an imputés sur les différentes
                        lignes budgétaires du titre A1 et A2 (2 fonctionnaires
                        C).
   - Réunions des groupes :
              *  Groupe de protection de personnes physiques à       l'égard du
                 traitement de données à caractère personnel :
                 24 membres (non-gouvernementaI s) x 4 réunions à 2 jours :
                    Frais de voyage : 526,61 ECU x 24 x 4          50.555 ECU
                    Frais d'approche : 105,40 ECU x 24 x 4         10.118 ECU
                    Frais de séjour : 105,40 ECU x 24 x 4 x 2      20.236 ECU
                                                                   80.909 ECU
 ---pagebreak---                                       - 126 -
             Comi té consuI tat i f :
             24 membres (gouvernementaIs) x 2 réunions à 2 jours :
                Frais de voyage : 526,61 ECU x 24 x 2         25.277 ECU
                Total arrondi pour une année complète :
                     secrétar i at          120.000 ECU
                     Groupe                  81.000 ECU
                     Com i t é               25.000 ECU
                TOTAL                       226.000 ECU
Volet 3 : Eléments d'analyse coût/efficacité
1. Objectif et cohérence avec la programmation financière
   Il s'agit de créer 2 groupes qui seront autorisés à se réunir à partir
   de 1994. Ils seront insérés dans la liste des comités lors de la
   programmation financière 1994.
   L'échéancier des crédits d'engagement et de paiement (DN0, CND) se
   présente comme suit :
                CE      CP
   1994         226.000    ECU
   1995         226.000    ECU
   1996         226.000    ECU
   1997         226.000    ECU
   1998         226.000    ECU
   Les crédits sont à obtenir dans le cadre général de chaque procédure
   budgétaire au sein des différents postes de la Partie A.
2. Justification de l'action
   a) Le groupe de protection des personnes à l'égard du traitement des
      données à caractère personnel (Art. 31).
      Il est institué ce groupe à caractère consultatif et indépendant. Il
      est composé de représentants de l'autorité de contrôle de tous les
      Etats membres.
      Il établit son règlement intérieur. Le secrétariat du groupe est
      assuré par les services de la Commission.
 ---pagebreak---                                   - 127 -
      Missions de ce groupe : voir Article 32. Il sera appelé à conse iI 1er
      la Commission sur les projets de mesures additionnelles en donnant un
      avis en toute indépendance, ce qui est fondamental dans le doma i ne de
      la protection de la vie privée.
3. Suivi et évaluation de l'action
   3.1. indicateurs : analyse du rapport annuel présenté par le groupe en
        application de l'article 32, paragraphe 6.
   3.2. modalités et périodicité : chaque année sur la base du rapport
        susvisé que devra présenter le groupe.
   3.3. les principaux facteurs d'incertitudes tiendront aux difficultés
        d'harmoniser des approches et des degrés d'expérience divers dans
        les Etats membres. Ces différences tiennent à différents facteurs
        notamment culturels et techniques.
 ---pagebreak---                                        - 128 -
                             FICHE D'EVALUATION D'IMPACT
                    IMPACT DE LA PROPOSITION SUR LES ENTREPRISES
                ET AUTRES ORGANISMES CONCERNES, ET, EN PARTICULIER
                   SUR LES PETITES ET MOYENNES ENTREPRISES (PME)
Titre de la proposition : Proposition modifiée de directive du Conseil
                               relative à la protection des personnes physiques
                               à l'égard du traitement des données à caractère
                               personnel et à la libre circulation de ces
                               données.
Numéro de référence du document :
LA PROPOSITION
1. Compte-tenu du principe de subsidiarité. pourquoi une législation
   communautaire est-elle nécessaire dans ce domaine et quels sont ses
   principaux objectifs ,
   Les flux de données à caractère personnel entre les différents acteurs
   économiques et sociaux établis dans des Etats membres différents et le
   traitement de ces données par ces mêmes organismes sont en augmentation
   sensible en raison même de la réalisation du marché intérieur :
   - flux entre entreprises privées ou publiques;
   - flux entre unités dépendant juridiquement d'une même entreprise;
   - flux entre administrations nationales tenues de se prêter              une
     assistance mutuelle en vertu de divers textes communautaires;
   - flux vers des centres de recherche           par  exemple dans  le domaine
     méd i ca I , etc. ...
   Les divergences importantes qui existent entre les législations
   nationales - étant par ailleurs précisé que 4 Etats membres n'ont pas
   encore de législation spécifique en matière de protection des données :
   Belgique, Grèce, Italie, Espagne - font naître :
   - des obstacles à la libre circulation des données à caractère
     personnel, notamment à destination d'un Etat membre ne disposant pas
     de législation, étant donné que les législations en la matière visent
     à protéger les libertés et droits fondamentaux et notamment la vie
     privée de personnes physiques;
   - des distort ions de concurrence entre les opérateurs économiques de la
     Communauté, certains étant soumis aux charges de législations
     protectrices, d'autres échappant à de telles charges, selon l'Etat
     membre dans lequel ils sont établis.
 ---pagebreak---                                   - 129 -
    Par ailleurs, l'instauration de règles en matière de protection des
    données est de nature à favoriser le développement du marché de
    l'information par la sécurité juridique que ces règles procurent aux
    organismes concernés.
    Une intervention de la Communauté est donc fondamentale. Elle doit
    prendre la forme d'un rapprochement des législations nationales. La
    Convention du Conseil de l'Europe du 28 janvier 1981 pour la protection
    des personnes à l'égard du traitement automatisé des données à
    caractère personnel, seul instrument de droit international dans ce
    domaine, laisse ouvert un grand nombre d'options pour la mise en oeuvre
    des principes qu'elle définit et ne permet donc pas une harmonisation
    suffisante pour le marché intérieur.
L'IMPACT SUR LES ENTREPRISES. LES ADMINISTRATIONS PUBLIQUES ET LES AUTRES
ORGANISMES NOTAMMENT LES FONDATIONS ET ASSOCIATIONS
2. Qui sera affecté par la proposition ,
   La proposition concerne, quelque soit leur taille ou leur secteur
   d'activité, toutes     les entreprises publiques et        privées,  les
   administrations publiques dont      les activités relèvent du droit
   communautaire, ainsi que les fondations et associations à but non
   lucratif pour autant que ces organismes traitent de données à caractère
   personnel (gestions des fournisseurs et clients, gestion du personnel,
   des membres ou correspondants des associations et fondations, traitement
   de données relatifs aux administés, offre de service d'informations
   relatives à des personnes physiques).
   Toutefois, ainsi que les consultations visées au point 6 l'ont montré,
   les secteurs de l'industrie qui seront plus particulièrement concernés
   par l'application de cette directive sont les entreprises et organismes
   du secteur tertiaire dont les activités sont orientées en direction des
   personnes physiques et dont le développement repose sur le traitement de
   l'information : entreprises de marketing direct, les établissements
   financiers, les compagnies d'assurance, les agences de cotation de
   créd i t.
3. Quelles mesures les entreprises devront-elles prendre pour se conformer
   à la proposition ?
   Elles devront mettre en place des procédures de décision et
   d'organisation   impliquant selon    la structure et      la taille de
   l'organisme, le responsable de l'informatique et de l'organisation, le
   service utilisateur de ces techniques, le service juridique, le
   responsable de l'organisme. Au stade de la conception des nouveaux
   traitements de données à caractère personnel, préalablement aux
   investissements, l'organisme doit ainsi :
   - vérifier la licéité des traitements envisagés;
   - prévoir l'information à donner aux personnes concernées par les
     traitements (cette information pourra être fournie à l'occasion des
     contacts habituels entre le responsable du traitement et les personnes
     concernées);
 ---pagebreak---                                    - 130 -
   - prévoir les mesures techniques et d'organisation destinées à assurer
      la sécurité des données et des traitements;
   - s'assurer de la procédure de notification applicable. Après avoir
      réuni   les éléments d'information nécessaires,       le responsable
      constatera l'absence de notification nécessaire ou effectuera une
      formalité simplifiée ou enfin constituera un dossier.
   Le responsable du traitement doit, en outre, assurer la mise en place
   d'une procédure pour répondre aux demandes éventuelles de droit d'accès
   des personnes concernées aux données les concernant, à des plaintes
   éventuelles, ainsi que s'organiser pour surveiller la bonne application
   des mesures de sécurité.
   Ces tâches sont à réaliser au fur et à mesure de la mise en oeuvre des
   nouveaux traitements et peuvent donc être planifiées en fonction de
   l'élaboration technique des traitements.
   Pour les traitements mis en oeuvre avant l'entrée en vigueur des
   dispositions nationales prises en application de la directive, ces
   tâches peuvent être planifiées sur une période de 3 ans, prévue à cet
   effet par la di rect i ve.
   Pour les organismes établis dans des Etats membres déjà dotés de
   législation dans ce domaine, les mesures requises par la directive ne
   sont pas de nature différente de celles déjà mises en oeuvre.
   Pour les organismes établis dans les Etats membres non dotés d'une telle
   législation, l'acquisition de méthodes est nécessaire cependant que les
   autorités de contrôle compétentes peuvent être d'une aide précieuse pour
   faciliter cette mise en oeuvre dans la phase de démarrage (conseils,
   procédure     de    simplification    de    notification   de    certains
   trai tements, ...).
4. Quels effets économiques la proposition est-elle susceptible d'avoir ?
   La protection de la vie privée des personnes, telle qu'assurée par la
   directive, va augmenter l'acceptation sociale de l'utilisation des
   différents traitements des données à caractère personnel et par là
    l'acceptation de leur développement, ce qui est un facteur favorable à
    la croissance et à la création d'emplois dans les secteurs privé et
   pub lie.
   Par ailleurs, ces règles de protection sont de nature à éliminer les
   distorsions de concurrence dues à l'actuelle disparité des législations
   nationales. En ce qui concerne leur compétitivité internationale, la
   directive prévoit des négociations avec les pays tiers qui n'assurent
   pas encore un niveau de protection adéquat.
5. La proposition contient-elle des mesures visant à tenir compte de la
   situation spécifique des petites et moyennes entreprises ?
   Non. Toutefois, on peut raisonnablement estimer que la plupart des
   traitements effectués par les PME tomberont dans les catégories qui,
   selon le système proposé, pourraient être exonérées de l'obligation de
   notification ou bénéficier d'une simplification (l'accomplissement de
   ces formalités ne devrait pas dépasser quelques heures de travail). Par
   ailleurs,     la   directive   ne   prévoit    pas   de  redevance   pour
    l'accomplissement des formalités de notification.
 ---pagebreak---                                     - 131 -
CONSULTATION
6. Liste des organisations QUI ont été consultées sur la proposition et
   exposé des éléments essentiels de leur position
   a) La consultation des milieux intéressés s'est faite, en premier lieu,
      par l'intermédiaire du Comité économique et social qui a rendu un
      avis favorable sur la proposition (JO n" C 159 du 17/06/1991, p. 38),
      ainsi que du Comité du Commerce et de la Distribution (CCD) et du
      Conseil Consultatif des Consommateurs.
   b) Les contacts directs à l'initiative des services ou des milieux
      professionnels ont privilégiés.pour la proposition amendée les
      associations professionnelles à vocation européenne soit au titre du
      caractère horizontal de la proposition, I * UN I CE, soit au titre des
      secteurs les plus concernés.notamment la Fédération bancaire, le
      CELD, la FEWITA, le GEDIS, la Fédération européenne du marketing
      direct, EAT, CHANGE (associations à but non lucratif), l'Association
      européenne pour les études d'opinion et de marketing, ACT/EBU, EPC,
      ENPA, CAEJ, UER, FAEP (pour les aspects presse et audiovisuel).
   Les éléments essentiels des positions professionnelles concernent, vis-
   à-vis de la proposition initiale :
   - le caractère trop détaillé de la proposition;
   - la place' prédominante accordée au consentement de la personne
     concernée, comme condition du traitement de données à caractère
     personne I ;
   - l'interdiction de toute       possibilité  de décision   automatisée et
     d'élaboration de profils;
   - la lourdeur et l'inadaptation des obligations en matière d'information
     de la personne concernée et de notification aux autorités de contrôle;
   - l'impossibilité de poursuivre le commerce international en direction
     des pays tiers n'assurant pas un niveau de protection adéquate;
   - le risque    d'atteinte à la liberté d'expression, si certains Etats
     membres ne   procédaient pas aux dérogations nécessaires pour concilier
     les règles    relatives à l'exercice de cette liberté avec celles de la
     protection   de la vie privée.
   La proposition modifiée s'est efforcée d'apporter les clarifications ou
   aménagements nécessaires tout en maintenant l'objectif de haut niveau de
   protection sans lequel la libre circulation ne pourrait pas être
   assurée.
 ---pagebreak---                                             - 132 -
                                                                      ISSN 0254-1491
                                                                COM(92) 422 final
                                                       DOCUMENTS
FR                                                                               06
                                     N° de catalogue : CB-CO-92-437-FR-C
                                                             ISBN 92-77-47943-4
Office des publications officielles des Communautés européennes
L-2985 Luxembourg