CELEX: 51990PC0314(01)
Language: fr
Date: 1990-09-13
Title: PROPOSITION DE DIRECTIVE DU CONSEIL RELATIVE A LA PROTECTION DES PERSONNES A L' EGARD DU TRAITEMENT DES DONNEES A CARACTERE PERSONNEL

5. 11. 90                                   Journal officiel des Communautés européennes                                 N° C 277/3
                Proposition de directive du Conseil relative à la protection des personnes à l'égard du traitement des
                                                     données à caractère personnel
                                                    COM(90) 314 final — SYN 287
                                            (Présentée par la Commission le 27 juillet 1990)
                                                              (90/C 277/03)
LE CONSEIL DES COMMUNAUTÉS EUROPÉENNES,                                (4)  considérant que le renforcement de la coopération
                                                                            scientifique et technique, ainsi que la mise en place
                                                                            coordonnée de nouveaux réseaux de télécommunica-
vu le traité instituant la Communauté économique                            tions dans la Communauté, nécessitent et facilitent la
européenne, et notamment son article 100 A et son                           circulation transfrontière de données à caractère
article 113,                                                                personnel ;
vu la proposition de la Commission,                                    (5)  considérant que la différence de niveaux de protection
                                                                            de la vie privée à l'égard des traitements de données à
                                                                            caractère personnel assurés dans les États membres
en coopération avec le Parlement européen,                                  peut empêcher la transmission de ces données du
                                                                            territoire d'un État membre à celui d'un autre État
                                                                            membre ; que cette différence peut, dès lors, constituer
vu l'avis du Comité économique et social,                                   un obstacle à l'exercice d'une série d'activités
                                                                            économiques à l'échelle communautaire, fausser la
                                                                            concurrence et entraver la mission des administrations
(1)   considérant que les objectifs de la Communauté,                       intervenant dans le champ d'application du droit
      énoncés dans le traité tel que modifié par l'acte unique              communautaire; que cette différence de niveaux de
      européen, consistent à réaliser une union sans cesse                  protection résulte de la disparité des dispositions
      plus étroite entre les peuples européens, à établir des               nationales législatives, réglementaires et administra-
      relations plus étroites entre les États que la Commu-                 tives ;
      nauté réunit, à assurer par une action commune le
      progrès économique et social en éliminant les barrières
                                                                       (6)  considérant que, pour éliminer les obstacles à la
      qui divisent l'Europe, à promouvoir l'amélioration
                                                                            circulation des données à caractère personnel, le
      constante des conditions de vie de ces peuples, à
                                                                            niveau de protection de la vie privée à l'égard des
      affermir les sauvegardes de la paix et de la liberté et à
                                                                            traitements de ces données doit être équivalent dans
      promouvoir la démocratie en se fondant sur les droits
                                                                            tous les États membres ; qu'il est, pour cela, nécessaire
      fondamentaux reconnus dans les constitutions et lois
                                                                            de rapprocher les législations applicables en la
      des États membres, ainsi que dans la convention
                                                                            matière ;
      européenne de sauvegarde des droits de l'homme et
      des libertés fondamentales;
                                                                       (7)  considérant que l'objet des législations nationales
                                                                            relatives au traitement des données à caractère
(2)   considérant que l'établissement et le fonctionnement                  personnel est d'assurer le respect des droits fondamen-
      du marché intérieur dans lequel, conformément à                       taux, notamment le droit à la vie privée reconnu
      l'article 8 A du traité, la libre circulation des marchan-            également dans l'article 8 de la convention de
      dises, des personnes, des services et des capitaux est                sauvegarde des droits de l'homme et des libertés
      assurée, nécessitent que non seulement des données à                  fondamentales et dans les principes généraux du droit
      caractère personnel puissent circuler, quels que soient               communautaire ; que, pour cette raison, le rapproche-
      les États membres dans lesquels elles sont traitées ou                ment de ces législations ne doit pas conduire à affaiblir
      demandées, mais, également, que les droits fondamen-                  la protection qu'elles assurent mais doit, au contraire,
      taux soient sauvegardés compte tenu du recours de                     avoir pour objectif de garantir un haut niveau de
      plus en plus fréquent dans la Communauté aux                          protection dans la Communauté;
      traitements de données à caractère personnel dans les
      divers domaines des activités économiques et sociales ;
                                                                       (8)  considérant que les principes de la protection de la vie
                                                                            privée à l'égard du traitement des données à caractère
                                                                            personnel faisant l'objet de la présente directive
(3)   considérant que le marché intérieur comporte un
                                                                            pourront être complétés ou précisés, notamment pour
      espace sans frontières; que, pour cette raison, les
                                                                            certains secteurs, par des règles spécifiques conformes
      administrations nationales des différents États mem-
                                                                             à ces principes ;
      bres, en vertu de l'application du droit communautai-
      re, sont appelées de plus en plus souvent à collaborer et
      à échanger entre elles des données à caractère                   (9)  considérant que les principes de la protection doivent
      personnel afin de pouvoir exécuter leur mission ou                     s'appliquer à tous les fichiers dès lors que les activités
      exercer des tâches pour le compte d'une administra-                    du responsable du fichier relèvent du champ d'applica-
      tion d'un autre État membre;                                          tion du droit communautaire; que les fichiers du
 ---pagebreak--- N° C 277/4                               Journal officiel des Communautés européennes                                   5. 11. 90
      secteur public qui ne relèvent pas du champ d'applica-       (16) considérant que, pour faire l'objet d'un traitement, les
      tion du droit communautaire devraient être soumis                 données doivent répondre à certaines exigences ; que le
      aux mêmes principes de la protection repris dans les              traitement des données qui sont susceptibles par leur
      législations nationales, comme le prévoit la résolution            nature même de porter atteinte au droit à la vie privée
      des représentants des gouvernements des États                     doit être interdit sauf consentement explicite de la
      membres des Communautés européennes réunis au                     personne concernée; que, toutefois, pour des motifs
      sein du Conseil d u . . . ; que, toutefois, doivent être          d'intérêt public important, notamment pour les
      exclus les fichiers relevant exclusivement de l'exercice          professions médicales, des dérogations peuvent être
      du droit à la vie privée d'une personne physique,                 prévues sur la base d'une loi qui fixe précisément et
      comme les fichiers personnels d'adresses;                         strictement les conditions et limites du traitement de
                                                                        ce type de données;
(10) considérant qu'il est nécessaire que tout traitement de      (17) considérant que la protection de la vie privée à l'égard
     données à caractère personnel dans la Communauté                   des données à caractère personnel exige que des
     respecte la législation de l'État membre dans lequel le            mesures de sécurité appropriées soient prises, au
     fichier est localisé, afin d'éviter qu'une personne                niveau tant de la conception que de la technologie du
     échappe à la protection qui doit lui être garantie en              traitement, afin d'empêcher tout traitement non
     vertu de la présente directive ; que, à cet égard, chaque          autorisé ;
     partie d'un fichier réparti dans plusieurs États
     membres doit être considérée comme un fichier à part
     entière et la délocalisation dans un pays tiers ne doit      (18) considérant que, dans le domaine des médias, les États
     pas empêcher cette protection;                                     membres peuvent prévoir des dérogations aux disposi-
                                                                        tions de la présente directive dans la mesure où elles
                                                                        visent à concilier le droit à la vie privée avec la liberté
                                                                        de l'information et le droit de recevoir ou de
(11) considérant que tout traitement de données à caractè-              communiquer des informations, tel que garanti
     re personnel doit être légitime ; que cette légitimité doit        notamment dans l'article 10 de la convention de
     être fondée sur le consentement de la personne                     sauvegarde des droits de l'homme et des libertés
     concernée ou sur le droit communautaire ou sur les                 fondamentales ;
     législations nationales ;
                                                                  ( 19) considérant que les États membres doivent encourager
                                                                        l'élaboration, par les milieux profes'sionnels, de codes
(12) considérant que les législations nationales peuvent                de déontologie ou de bonne conduite européens
     préciser, dans les conditions prévues par la présente              concernant certains secteurs particuliers; que la
     directive, les règles relatives à la légitimité du                 Commission soutiendra de telles initiatives et en
     traitement ; que, toutefois, une telle possibilité ne peut         tiendra compte lorsqu'elle examinera l'opportunité de
     servir de fondement pour un contrôle d'un État                     nouvelles mesures spécifiques pour certains secteurs ;
     membre autre que l'État de localisation du fichier,
     étant donné que l'obligation de ce dernier d'assurer,
     conformément à la présente directive, la protection de       (20) considérant que, en cas de non-respect des disposi-
     la vie privée à l'égard du traitement des données à                tions prévues dans la présente directive, le responsable
     caractère personnel est suffisante, au regard du droit             du fichier doit être considéré, dans une action en
     communautaire, pour permettre la libre circulation                 dommages et intérêts, comme responsable; que des
     des données;                                                       sanctions dissuasives doivent être appliquées afin
                                                                        d'assurer une protection effective ;
(13) considérant que les procédures de notification, pour         (21) considérant qu'il est également nécessaire que le
     les fichiers du secteur public ou privé, et d'information          transfert de données à caractère personnel puisse avoir
     lors de la première communication, pour les fichiers               lieu avec les pays tiers ayant un niveau de protection
     du secteur privé, ont pour objet d'assurer la transpa-             adéquat ; que, en l'absence d'une telle protection dans
     rence indispensable à l'exercice du droit d'accès de la            des pays tiers, la présente directive prévoit, en
     personne concernée aux données la concernant;                      particulier, des procédures de négociation avec ceux-
                                                                        ci;
(14) considérant que la personne concernée doit bénéficier        (22) considérant que les principes contenus dans la
     d'une information effective et complète pour que son               présente directive concrétisent et amplifient ceux
     consentement soit valide ainsi que lorsque des données             contenus dans la convention du 28 janvier 1981 du
     la concernant sont récoltées auprès d'elle ;                       Conseil de l'Europe pour la protection des personnes à
                                                                        l'égard du traitement automatisé des données à
                                                                        caractère personnel ;
(15) considérant que la personne concernée doit pouvoir
     bénéficier du droit d'accès afin de pouvoir s'assurer de     (23) considérant que l'existence, dans chaque État mem-
     la légitimité du traitement des données la concernant              bre, d'une autorité de contrôle indépendante est un
     et de leur qualité;                                                élément essentiel de la protection des personnes à
 ---pagebreak--- 5. 11. 90                               Journal officiel des Communautés européennes                                N° C 277/5
      l'égard du traitement des données à caractère                  centralisées ou réparties sur plusieurs sites, faisant
      personnel; que, au niveau communautaire, un groupe             l'objet d'un traitement automatisé ou qui, bien que ne le
      de protection des données à caractère personnel doit           faisant pas, sont structurées et accessibles dans une
      être instauré et exercer ses fonctions en toute                collection organisée selon des critères déterminés de
      indépendance; que, compte tenu de ce caractère                 manière à faciliter l'utilisation ou l'interconnexion des
      spécifique, il doit conseiller la Commission et                données ;
      contribuer à l'application homogène des règles
      nationales prises en application de la présente            d) « traitement », les opérations, effectuées ou non à l'aide
      directive ;                                                    de procédés automatisés : enregistrement, conservation,
                                                                     interconnexion de données, leur modification, leur
(24) considérant que l'adoption des mesures complémen-               utilisation et leur communication, notamment la
      taires pour l'application des principes de la présente         transmission, la diffusion, l'extraction, ainsi que le
      directive nécessite l'attribution d'un pouvoir régle-          verrouillage, l'effacement et la destruction;
      mentaire à la Commission et l'établissement d'un
      comité consultatif selon les modalités fixées dans la      e) «responsable du fichier», la personne physique ou
      décision 87/373/CEE du Conseil (*) ;                           morale, l'autorité publique, le service ou tout autre
                                                                     organisme qui est compétent selon le droit communau-
                                                                     taire ou la loi nationale d'un État membre, pour décider
A ARRÊTÉ LA PRÉSENTE DIRECTIVE :                                     quelle sera la finalité du fichier, quelles catégories de
                                                                     données à caractère personnel doivent être enregistrées,
                                                                     quelles opérations leur seront appliquées et quels sont
                     CHAPITRE PREMIER                                les tiers qui peuvent y avoir accès;
                  DISPOSITIONS GÉNÉRALES
                                                                 f) « autorité de contrôle », l'autorité publique indépendan-
                                                                     te, ou toute autre instance indépendante, désignée par
                       Article premier                               chaque État membre en conformité avec l'article 26;
                     Objet de la directive
                                                                 g) «secteur public», l'ensemble des administrations,
1. Les États membres assurent, conformément aux                      organisations et entités d'un État membre relevant du
dispositions de la présente directive, la protection de la vie       droit public, à l'exception de celles qui participent à une
privée des personnes à l'égard du traitement des données à           activité industrielle ou commerciale, ainsi que les
caractère personnel contenues dans des fichiers.                     organismes et entités de droit privé lorsqu'ils participent
                                                                     à l'exercice de l'autorité publique;
2. Les États membres ne peuvent restreindre ou interdire
la libre circulation des données à caractère personnel entre     h) « secteur privé », toute personne physique ou morale, ou
États membres pour des raisons relatives à la protection             association, y inclus les administrations, organisations
assurée en vertu du paragraphe 1.                                    et entités du secteur public, dans la mesure où elles
                                                                     exercent une activité industrielle ou commerciale.
                           Article 2
                                                                                             Article 3
                          Définitions
                                                                                      Champ d'application
Aux fins de la présente directive, on entend par:
                                                                 1. Les États membres appliquent les dispositions de la
a) «données à caractère personnel», toute information
                                                                 présente directive aux fichiers du secteur privé et du secteur
    concernant une personne physique identifiée ou identi-
                                                                 public à l'exclusion des fichiers du secteur public dont les
    fiable («personne concernée») ; est notamment réputée
                                                                 activités ne relèvent pas du champ d'application du droit
    identifiable une personne qui peut être identifiée par
                                                                 communautaire.
    référence à un numéro d'identification ou à une
    information similaire;
                                                                 2. Les dispositions de la présente directive ne s'appliquent
b) «rendre anonyme», une modification des données à              pas aux fichiers :
    caractère personnel de sorte que les informations qui y
    sont contenues ne peuvent plus être associées à une          a) détenus par une personne physique exclusivement à des
    personne physique déterminée ou déterminable, ou                 fins privées et personnelles
    moyennant seulement un effort excessif en personnel, en
    frais et en temps;                                               ou
c) «fichier de données à caractère personnel» (fichier),         b) détenus par des associations sans but lucratif notam-
    tout ensemble de données à caractère personnel,                  ment à caractère politique, philosophique, religieux,
                                                                     culturel, syndical, sportif ou de loisir, dans le cadre de
                                                                     leur but légitime et à condition qu'ils ne se rapportent
(!) JO n° L 197 du 18. 7. 1987, p. 33.                               qu'aux seuls membres et correspondants de l'associa-
 ---pagebreak--- N° C 277/6                               Journal officiel des Communautés européennes                               5. 11. 90
    tion ayant consenti à y figurer et qu'ils ne soient pas               ou
    communiqués à des tiers.
                                                                      — il est nécessaire afin de prévenir une menace
                                                                          imminente pour l'ordre public ou une atteinte
                            Article 4                                     sérieuse au droit d'autrui.
                        Droit applicable
                                                                                            Article 6
1. Chaque État membre applique les dispositions de la
présente directive :                                                 Traitement dans le secteur public ayant pour objet la
                                                                       communication de données à caractère personnel
a) à tous les fichiers localisés sur son territoire;
                                                                  1. Les États membres prévoient dans leur législation que
b) au responsable du fichier qui réside sur son territoire et     la communication de données à caractère personnel
    utilise depuis celui-ci un fichier localisé dans un pays      contenues dans des fichiers d'une entité du secteur public
    tiers dont la législation n'a pas un niveau de protection     n'est légitime que:
    adéquat, à moins que cette utilisation ne soit que
    sporadique.                                                   a) si cela est nécessaire pour l'exercice des missions de
                                                                      l'entité du secteur public qui communique ou qui
2. Chaque État membre applique les dispositions des                   demande la communication de ces données
articles 5, 6, 8, 9,10,17,18 et 21 à l'utilisateur qui consulte
un fichier localisé dans un pays tiers à partir d'un terminal         ou
localisé sur le territoire d'un État membre, à moins que
                                                                  b) sur demande d'une personne physique ou morale du
cette utilisation ne soit que sporadique.
                                                                      secteur privé qui invoque un intérêt légitime, à
                                                                      condition que l'intérêt de la personne concernée ne
3. Lorsqu'un fichier est déplacé temporairement d'un
                                                                      prévale pas.
État membre vers un autre État membre, ce dernier
n'oppose aucun obstacle et n'exige aucune formalité               2. Sans préjudice des dispositions visées au paragraphe 1,
additionnelle aux règles applicables dans l'État membre de        les États membres peuvent préciser les conditions dans
localisation permanent du fichier.                                lesquelles la communication de données à caractère
                                                                  personnel est légitime.
                          CHAPITRE II                             3. Les États membres prévoient dans leur législation que,
                                                                  dans les cas visés au paragraphe 1 point b), le responsable
                LÉGITIMITÉ DU TRAITEMENT
                                                                  du fichier informe les personnes concernées de la
                  DANS LE SECTEUR PUBLIC
                                                                  communication des données à caractère personnel. Les
                                                                  États membres peuvent prévoir que cette information est
                            Article 5
                                                                  remplacée par une autorisation préalable de l'autorité de
                            Principes                             contrôle.
1. Sous réserve des dispositions de l'article 6, les États
membres prévoient dans leur législation pour les fichiers                                   Article 7
relevant du secteur public que :
                                                                       Obligation de notification à l'autorité de contrôle
a) l'établissement d'un fichier et tout autre traitement de
    données à caractère personnel sont légitimes dans la          1. Les États membres prévoient dans leur législation que
    mesure où ils sont nécessaires pour l'exécution des           l'établissement d'un fichier du secteur public dont les
    missions de l'autorité publique responsable de ce             données à caractère personnel sont susceptibles d'être
    fichier ;                                                     communiquées, doit être préalablement notifié à l'autorité
                                                                  de contrôle qui l'inscrit dans un registre. Le registre peut
b) le traitement de données pour une finalité autre que celle     être consulté par toute personne.
    pour laquelle le fichier a été établi est légitime si :
                                                                  2. Les États membres définissent les informations qui
    — la personne concernée y consent                             doivent être notifiées à l'autorité de contrôle. Ces
                                                                  informations doivent comprendre au moins le nom et
        ou                                                        l'adresse du responsable du fichier, la finalité du fichier,
                                                                  une description des types de données qu'il contient, les tiers
    — il est effectué sur la base du droit communautaire ou       auxquels les données sont susceptibles d'être communi-
        d'une loi, ou d'un acte pris en application d'une loi     quées et une description des mesures prises en application
        d'un État membre conforme à la présente directive         de l'article 18.
        qui l'autorise et en fixe les limites
                                                                  3. Les États membres peuvent prévoir que les dispositions
        ou                                                        des paragraphes 1 et 2 s'appliquent à d'autres fichiers du
                                                                  secteur public et que la consultation du registre peut être
    — un intérêt légitime de la personne concernée ne             limitée pour les raisons mentionnées à l'article 15 para-
        s'oppose pas à ce changement de finalité                  graphe 1.
 ---pagebreak--- 5. 11. 90                                Journal officiel des Communautés européennes                               N° C 277/7
                        CHAPITRE III                                                         Article 10
                LÉGITIMITÉ DU TRAITEMENT
                  DANS LE SECTEUR PRIVÉ                               Exceptions particulières à l'obligation d'informer la
                                                                                        personne concernée
                           Article 8
                           Principes                              Si l'information de la personne concernée visée à l'article 9
                                                                  paragraphe 1 se révèle impossible ou implique des efforts
 1. Les États membres prévoient dans leur législation que,        disproportionnés ou se heurte à des intérêts légitimes
sans le consentement de la personne concernée, l'enregistre-      prédominants du responsable du fichier ou à un intérêt
ment dans un fichier et tout autre traitement de données à        similaire d'un tiers, les États membres peuvent prévoir dans
caractère personnel ne sont légitimes qu'en accord avec les       leur législation que l'autorité de contrôle peut autoriser une
dispositions de cette directive et si :                           dérogation.
a) le traitement se situe dans le cadre d'un contrat, ou
    d'une relation de confiance quasi contractuelle, avec la                                 Article 11
    personne concernée et est nécessaire à sa réalisation
                                                                       Obligation de notification à l'autorité de contrôle
    ou
                                                                  1. Les États membres prévoient dans leur législation que
b) les données proviennent de sources généralement
                                                                  le responsable du fichier notifie l'établissement d'un fichier
    accessibles au public et leur traitement est uniquement
                                                                  de données à caractère personnel, dès lors que les données
    destiné à la correspondance
                                                                  sont destinées à être communiquées et ne proviennent pas
                                                                  de sources généralement accessibles au public. La notifica-
    ou                                                            tion doit se faire à l'autorité de contrôle de l'État membre
                                                                  où le fichier est localisé ou, en l'absence d'une localisation
c) le responsable du fichier poursuit un intérêt légitime à       dans un État membre, à l'autorité de contrôle de l'État
    condition que l'intérêt de la personne concernée ne           membre où le responsable du fichier réside. Le responsable
    prévale pas;                                                  du fichier notifie aux autorités nationales compétentes tout
                                                                  changement de finalité du fichier ou de son adresse.
2. Les États membres prévoient dans leur législation qu'il
incombe au responsable du fichier de s'assurer que toute          2. Les États membres définissent les informations qui
communication n'est pas incompatible avec la finalité du          doivent être notifiées à l'autorité de contrôle. Ces
fichier et qu'elle ne porte pas atteinte à l'ordre public. En     informations doivent comprendre au moins le nom et
cas de consultation en ligne, les mêmes obligations               l'adresse du responsable du fichier, la finalité du fichier,
incombent à l'utilisateur.                                        une description des types de données qu'il contient, les tiers
                                                                  auxquels les données sont susceptibles d'être communi-
3. Sans préjudice des dispositions visées au paragraphe 1,        quées et une description des mesures prises en application
les États membres peuvent préciser les conditions dans            de l'article 18.
lesquelles le traitement des données à caractère personnel
est légitime.
                                                                  3. Les États membres peuvent prévoir que les dispositions
                                                                  des paragraphes 1 et 2 s'appliquent à d'autres fichiers du
                                                                  secteur privé et que les informations visées au paragraphe 2
                           Article 9
                                                                  sont accessibles au public.
    Obligation d'information de la personne concernée
1. Les États membres, pour le secteur privé, prévoient                                     CHAPITRE IV
dans leur législation que, lors de la première communica-
tion ou lors de l'ouverture d'une possibilité de consultation               DROIT DE LA PERSONNE CONCERNÉE
en ligne, le responsable en informe la personne concernée et
indique également la finalité du fichier, les types de données                               Article 12
qui y figurent et ses nom et adresse.                                                Le consentement informé
2. L'information prévue au paragraphe 1 n'est pas
                                                                  Tout consentement de la personne concernée à un
obligatoire dans le cas visé à l'article 8 paragraphe 1
                                                                  traitement de données à caractère personnel la concernant
point b). L'obligation d'informer n'existe pas dans les cas
                                                                  au sens de la présente directive n'est valable que si :
où la communication est imposée par une loi.
3. Si la personne concernée oppose une objection à la             a) la personne dispose des informations suivantes :
communication ou à tout autre traitement, le responsable
du fichier est tenu de cesser le traitement contesté, sauf si         — les finalités du fichier et les types de données
une disposition légale l'y autorise.                                      enregistrées,
 ---pagebreak--- N° C 277/8                               Journal officiel des Communautés européennes                                    5. 11. 90
    — le type d'utilisation et, le cas échéant, les destinatai-   3) de connaître l'existence d'un fichier, ses finalités
        res des données à caractère personnel contenues dans          principales, ainsi que l'identité et la résidence habituelle,
        le fichier,                                                   le siège ou l'établissement du responsable du fichier;
    — le nom et l'adresse du responsable du fichier;              4) d'obtenir à des intervalles raisonnables et sans délais ou?
                                                                      frais excessifs la confirmation de l'existence ou non, "
b) il est spécifique et exprès, et doit préciser les types de         dans un fichier, de données à caractère personnel la
    données, les formes de traitement et les destinataires            concernant ainsi que la communication de ces données
    éventuels qu'il couvre;                                           sous une forme intelligible.
c) il peut être retiré par la personne concernée à tout               Les États membres peuvent prévoir que le droit d'accès
    moment sans effets rétroactifs.                                   aux données à caractère médical ne peut s'exercer que
                                                                      par l'intermédiaire d'un médecin ;
                           Article 13                             5) d'obtenir, le cas échéant, la rectification de ces données
                                                                      ou leur effacement ou leur verrouillage lorsque leur
               L'information lors de la collecte                      traitement n'est pas conforme aux dispositions de la
                                                                      présente directive ;
1. Les États membres garantissent aux personnes auprès
desquelles sont collectées des données à caractère personnel      6) d'obtenir sur demande l'effacement sans frais des
                                                                      données la concernant enregistrées dans des fichiers de
le droit à être informées au moins sur:
                                                                      prospection commerciale ou publicitaire;
a) les finalités du fichier auquel les informations sont
                                                                  7) d'obtenir, en cas d'application du paragraphe 5 du
    destinées,
                                                                      présent article, et si les données ont été communiquées à
                                                                      des tiers, la notification à ces derniers de la rectification,
b) le caractère obligatoire ou non de leur réponse aux                de l'effacement ou du verrouillage;
    questions qui font l'objet de la collecte,
                                                                  8) de disposer d'un recours juridictionnel en cas de
c) les conséquences à leur égard d'un défaut de réponse,              violation des droits garantis dans le présent article.
d) les destinataires des informations,
                                                                                               Article 15
e) l'existence du droit d'accès et de rectification des
    données les concernant,                                         Exceptions au droit d'accès de la personne concernée
                                                                                   aux fichiers du secteur public
    et
                                                                  1. Les États membres peuvent limiter par une loi les droits
f) le nom et l'adresse du responsable du fichier.                 prévus aux points 3 et 4 de l'article 14 pour des motifs
                                                                  relatifs à:
2. Les dispositions du paragraphe 1 ne s'appliquent pas à
la collecte des informations dans le cas où l'information de      a) la sûreté de l'État;
la personne concernée empêcherait l'exercice des fonctions
de contrôle et de vérification d'une autorité publique ou le      b) la défense;
maintien de l'ordre public.
                                                                  c) des poursuites pénales ;
                           Article 14                             d) la sécurité publique ;
     Droits complémentaires de la personne concernée              e) un intérêt économique et financier impératif dûment
                                                                      justifié d'un État membre ou de la Communauté;
Les États membres reconnaissent à la personne concernée
les droits suivants:                                              f) la nécessité de l'exercice des fonctions de contrôle ou
                                                                      d'inspection de l'autorité publique
1) de s'opposer, pour des raisons légitimes, à ce que des
    données à caractère personnel la concernant fassent               ou
    l'objet d'un traitement;
                                                                  g) un droit équivalent d'une autre personne et des droits et
2) de ne pas être soumise à une décision administrative ou            libertés d'autrui.
    privée impliquant une appréciation de son comporte-
    ment qui ait pour seul fondement un traitement                2. Dans les cas visés au paragraphe 1, l'autorité de
    automatisé de données à caractère personnel donnant           contrôle doit pouvoir procéder, sur demande de la
    une définition du profil ou de la personnalité de             personne concernée, aux vérifications nécessaires du
    l'intéressé;                                                  fichier.
 ---pagebreak--- 5. 11. 90                               Journal officiel des Communautés européennes                                N° C 277/9
3. Les États membres peuvent limiter le droit d'accès de la                                  Article 18
personne concernée pour les données temporairement
compilées afin d'en extraire des informations statistiques.
                                                                                       Sécurité des données
                                                                 1. Les États membres prévoient dans leur législation que
                        CHAPITRE V                               le responsable du fichier est obligé de prendre les mesures
                                                                 techniques et d'organisation appropriées, nécessaires à la
                  QUALITÉ DES DONNÉES
                                                                 protection du fichier contre la destruction accidentelle ou
                                                                 non autorisée, la perte accidentelle, ainsi que contre
                         Article 16                              l'altération ou l'accès et tout autre traitement non autorisé
                          Principes                              de données à caractère personnel.
1.   Les États membres prévoient que:                            Ces mesures doivent assurer pour les fichiers automatisés
                                                                 un niveau de sécurité approprié compte tenu, d'une part, de
a) la collecte et le traitement de données à caractère           l'état de l'art en la matière et du coût de leur mise en œuvre,
   personnel doivent être effectués loyalement et licite-        et, d'autre part, de la nature des données à protéger et de
   ment;                                                         l'évaluation des risques potentiels. À cette fin, le responsa-
                                                                 ble du fichier doit prendre en considération les recomman-
                                                                 dations en matière de sécurité informatique et d'interopéra-
b) les données doivent être enregistrées pour des finalités      bilité des réseaux élaborées par la Commission selon les
   déterminées explicites et légitimes et utilisées de manière   modalités prévues à l'article 29.
   compatible avec ces finalités;
c) les données doivent être adéquates, pertinentes et non        2. Des méthodes garantissant une sécurité adéquate
   excessives par rapport aux finalités pour lesquelles elles    doivent être choisies pour la transmission de données
   sont enregistrées;                                            personnelles dans un réseau.
d) les données doivent être exactes et, si nécessaire, mises à   3. En cas de consultation en ligne, les installations
   jour ; les données inexactes ou incomplètes doivent être      techniques et le logiciel doivent être conçus de manière que
   effacées ou rectifiées;                                       la consultation se fasse dans les limites de l'autorisation
                                                                 accordée par le responsable du fichier.
e) les données ne doivent être conservées sous une forme
    permettant l'identification des personnes concernées         4. Les obligations visées aux paragraphes 1 à 3 incom-
    que pendant une durée n'excédant pas celle nécessaire        bent également aux personnes qui, de fait ou par contrat,
    aux finalités pour lesquelles elles ont été enregistrées.    ont le contrôle sur les opérations relatives à un fichier.
2. Il incombe au responsable du fichier d'assurer le             5. Toute personne qui, dans le cadre de ses activités
respect des dispositions prévues au paragraphe 1.                professionnelles, accède à des informations contenues dans
                                                                 des fichiers ne doit pas les communiquer à des tiers sans
                                                                 l'accord du responsable du fichier.
                         Article 17
             Catégories particulières de données
                                                                                           CHAPITRE VI
1. Les États membres interdisent le traitement automati-
                                                                  DISPOSITIONS SPÉCIFIQUES POUR CERTAINS SECTEURS
sé, sauf accord libre, exprès et écrit de la personne
concernée, des données révélant l'origine raciale et                                         Article 19
ethnique, l'opinion politique, les convictions religieuses ou
philosophiques, les appartenances syndicales ainsi que les
                                                                  Les États membres peuvent prévoir pour les organismes de
informations relatives à la santé et à la vie sexuelle.
                                                                  presse et de l'audiovisuel des dérogations aux dispositions
                                                                  de la présente directive, dans la mesure où elles sont
2. Les États membres peuvent prévoir, pour des motifs             nécessaires pour concilier le droit à la vie privée avec les
d'intérêt public importants, des dérogations aux disposi-         règles régissant la liberté d'information et de la presse.
tions du paragraphe 1 sur la base d'une loi précisant les
types de données enregistrables, les personnes ayant accès
au fichier ainsi que les garanties appropriées contre les
utilisations abusives et les accès non autorisés.                                            Article 20
3. Les données concernant des condamnations pénales ne
peuvent être conservées que dans des fichiers relevant du         Les États membres encouragent les milieux professionnels à
secteur public.                                                   participer à l'élaboration de codes de déontologie ou de
 ---pagebreak--- N° C 277/10                              Journal officiel des Communautés européennes                                 5. 11. 90
bonne conduite européens pour certains secteurs sur la base                               CHAPITRE VIII
des principes contenus dans la présente directive.
                                                                   TRANSFERT DE DONNÉES À CARACTÈRE PERSONNEL
                                                                                      VERS DES PAYS TIERS
                                                                                            Article 24
                                                                                             Principes
                         CHAPITRE VII
              RESPONSABILITÉ ET SANCTIONS
                                                                  1. Les États membres prévoient dans leur législation que
                                                                  le transfert temporaire ou définitif, vers un pays tiers, de
                           Article 21
                                                                  données à caractère personnel faisant l'objet d'un traite-
                        Responsabilité                            ment ou rassemblées dans le but de les soumettre à un tel
                                                                  traitement ne peut avoir lieu que si ce pays assure un niveau
                                                                  de protection adéquat.
1. Les États membres prévoient dans leur législation que
toute personne dont les données à caractère personnel sont
enregistrées dans un fichier et qui subit un dommage du fait      2. Les États membres avisent la Commission des cas dans
du traitement ou de toute action incompatible avec les            lesquels un pays tiers importateur n'assure pas un niveau de
dispositions de la présente directive a le droit de demander      protection adéquat.
au responsable du fichier des dommages et intérêts.
                                                                  3. Lorsque la Commission constate soit sur la base des
2. Les États membres peuvent prévoir que les dommages             informations des États membres, soit sur la base d'autres
résultant d'une perte ou d'une destruction de données ou          informations, qu'un pays tiers ne dispose pas d'un niveau
d'un accès non autorisé ne sont pas imputables au                 de protection adéquat et que la situation en résultant est
responsable du fichier, s'il prouve qu'il a pris les mesures      préjudiciable aux intérêts de la Communauté ou d'un État
appropriées pour respecter les exigences énumérées aux            membre, elle peut engager des négociations en vue de
articles 18 et 22.                                                remédier à cette situation.
                                                                  4. La Commission peut décider, selon la procédure
                           Article 22                             définie à l'article 30 paragraphe 2, qu'un pays tiers assure
                                                                  un niveau de protection adéquat en raison des engagements
                                                                  internationaux souscrits par celui-ci ou de sa législation
   Traitement pour le compte du responsable du fichier            interne.
1. Les États membres prévoient dans leur législation que          5. Les mesures prises au titre du présent article sont
le responsable du fichier doit, en cas de traitement pour son     conformes aux obligations qui incombent à la Communau-
compte, s'assurer du respect des mesures nécessaires de           té en vertu d'accords internationaux tant bilatéraux que
sécurité et d'organisation et choisir une personne ou une         multilatéraux qui régissent la protection des personnes à
entreprise qui apporte des garanties suffisantes à cet égard.     l'égard du traitement automatisé des données à caractère
                                                                  personnel.
2. Toute personne qui collecte ou qui traite des données à
caractère personnel pour le compte du responsable du
fichier doit respecter les obligations prévues aux articles 16                              Article 25
et 18.
                                                                                           Dérogation
3. Le contrat doit être écrit et spécifier, en particulier, que
les données à caractère personnel ne peuvent être
divulguées par le prestataire ou ses employés qu'avec             1. Un État membre peut déroger aux dispositions de
l'accord du responsable du fichier.                               l'article 24 paragraphe 1, pour un transfert vers un pays
                                                                  tiers donné, sur présentation par le responsable du fichier
                                                                  de justifications suffisantes pour garantir le respect d'un
                                                                  niveau de protection adéquat. L'État membre ne peut
                           Article 23                             accorder une dérogation qu'après en avoir informé la
                                                                  Commission et les États membres et en l'absence de
                                                                  notification d'opposition exprimée par un État membre ou
                           Sanctions                              la Commission dans un délai de dix jours.
Chaque État membre prévoit dans sa législation l'applica-         2. En cas de notification d'opposition, la Commission
tion de sanctions dissuasives afin d'assurer le respect des       arrête les mesures appropriées selon la procédure définie à
dispositions prises en application de la présente directive.      l'article 30 paragraphe 2.
 ---pagebreak--- 5. 11. 90                                 Journal officiel des Communautés européennes                              N° C 277/11
                         CHAPITRE IX                               a) de contribuer à l'application homogène des règles
                                                                       nationales prises en application de la présente directive ;
       AUTORITÉS DE CONTRÔLE ET GROUPE DE
       PROTECTION DES DONNÉES À CARACTÈRE
                         PERSONNEL                                 b) de donner un avis sur le niveau de protection dans la
                                                                       Communauté et dans les pays tiers ;
                           Article 26
                    L'autorité de contrôle                         c) de conseiller la Commission sur des projets de mesures
                                                                       additionnelles ou spécifiques à prendre pour sauvegar-
1. Les États membres assurent qu'une autorité indépen-                 der la protection de la vie privée.
dante compétente contrôle la protection des données à
caractère personnel. Cette autorité est chargée de surveiller      2. Si le groupe de protection des données à caractère
l'application des dispositions nationales prises en applica-       personnel constate que de sérieuses divergences s'établis-
tion de la présente directive et d'exercer toutes les fonctions    sent entre la législation ou la pratique des États membres en
qui lui sont attribuées par la présente directive.                 matière de protection des données à caractère personnel,
                                                                   divergences qui risquent de porter atteinte à l'équivalence
2. Cette autorité dispose de moyens d'investigation et de          de la protection dans la Communauté, il en informe la
pouvoirs effectifs d'intervention contre la constitution et        Commission.
l'exploitation de fichiers que ne seraient pas conformes aux
dispositions de la présente directive. À cette fin, elle           3. Le groupe de protection des données à caractère
dispose, notamment, du droit d'accès aux fichiers couverts         personnel peut émettre des recommandations sur toutes
par la présente directive et doit pouvoir recueillir toutes les    questions concernant la protection des personnes à l'égard
informations nécessaires à l'accomplissement de sa mission         des données à caractère personnel dans la Communauté.
de contrôle.                                                       Les recommandations sont inscrites au procès-verbal et
                                                                   peuvent être transmises au comité consultatif visé à
3. Cette autorité peut être saisie par toute personne de           l'article 30. La Commission informe le groupe de protec-
plaintes ou de réclamations relatives à la protection des          tion des données à caractère personnel des suites qu'elle a
personnes à l'égard des données à caractère personnel.             données aux recommandations.
                                                                   4. Le groupe de protection des données à caractère
                           Article 27
                                                                   personnel établit un rapport annuel sur l'état de la
                                                                   protection des personnes à l'égard du traitement des
 Groupe de protection des données à caractère personnel            données à caractère personnel dans la Communauté et dans
                                                                   les pays tiers, qu'il communique à la Commission.
1. Il est institué un groupe de protection des données à
caractère personnel. Ce groupe à caractère consultatif et
indépendant est composé de représentants de l'autorité de
contrôle, prévue à l'article 26, de tous les États membres et                               CHAPITRE X
est présidé par un représentant de la Commission.
                                                                        POUVOIR RÉGLEMENTAIRE DE LA COMMISSION
2. Le secrétariat du groupe de protection des données à
caractère personnel est assuré par les services de la                                         Article 29
Commission.                                                                     Exercice du pouvoir réglementaire
3. Le groupe de protection des données à caractère                 La Commission arrête, selon la procédure prévue à
personnel établit son règlement intérieur.                         l'article 30 paragraphe 2, les modalités techniques néces-
                                                                   saires pour appliquer la présente directive aux spécificités
4. Le groupe de protection des données à caractère                 de certains secteurs compte tenu de l'état de l'art en la
personnel examine les questions mises à l'ordre du jour par        matière et des codes de bonne conduite.
son président soit à l'initiative de celui-ci, soit à la demande
motivée d'un représentant des autorités de contrôle, et
portant sur l'application des dispositions de droit commu-                                    Article 30
nautaire en matière de protection des données à caractère
personnel.
                                                                                          Comité consultatif
                           Article 28                              1. La Commission est assistée par un comité consultatif
                                                                   composé des représentants des États membres et présidé
     Missions du groupe de protection des données à                par le représentant de la Commission.
                     caractère personnel
                                                                   2. Le représentant de la Commission soumet au comité
1. Le groupe de protection des données à caractère                 un projet de mesures à prendre. Le comité émet son avis sur
personnel a pour mission:                                          ce projet, dans un délai que le président peut fixer en
 ---pagebreak--- N° C 277/12                                          Journal officiel des Communautés européennes                                                      5. 11. 90
fonction de l'urgence de la question en cause, le cas échéant                         2. Les États membres communiquent à la Commission le
en procédant à un vote. L'avis est inscrit au procès-verbal ;                         texte des dispositions de droit interne qu'ils adoptent dans
en outre, chaque État membre a le droit de demander que sa                            le domaine régi par la présente directive.
position figure à ce procès-verbal. La Commission tient le
plus grand compte de l'avis émis par le comité. Elle informe
le comité de la façon dont elle a tenu compte de cet avis.                                                               Article 32
                           DISPOSITIONS FINALES                                       La Commission fait périodiquement un rapport au Conseil
                                                                                      et au Parlement européen sur l'application de la présente
                                  Article 31                                          directive et l'assortit, le cas échéant, des propositions de
                                                                                      modification appropriées.
1. Les États membres mettent en vigueur les dispositions
législatives, réglementaires et administratives nécessaires
pour se conformer à la présente directive au plus tard le                                                                Article 33
1 er janvier 1993.
Les dispositions adoptées en vertu du premier alinéa se                               Les États membres sont destinataires de la présente
réfèrent explicitement à la présente directive.                                       directive.
                    Proposition de directive d u Conseil c o n c e r n a n t la p r o t e c t i o n des d o n n é e s à caractère personnel et
                    de la vie privée d a n s le cadre des réseaux n u m é r i q u e s publics d e t é l é c o m m u n i c a t i o n s , en particulier
                    des réseaux n u m é r i q u e s à intégration de services (RNIS) et des réseaux mobiles n u m é r i q u e s publics
                                                               COM(90)    314 final — SYN            288
                                                    (Présentée    par la Commission       le 27 juillet       1990)
                                                                         (90/C 277/04)
LE CONSEIL DES COMMUNAUTÉS EUROPÉENNES,                                                      marché commun des services et équipements des
                                                                                             télécommunications pour 1992 (*), préconisé que des
vu le traité instituant la Communauté économique                                             mesures soient prises pour protéger les données à
européenne, et en particulier son article 100 a,                                             caractère personnel afin de créer un environnement
                                                                                             adéquat pour le développement futur des télécommu-
vu la proposition de la Commission,                                                          nications dans la Communauté; que le Conseil a
                                                                                             souligné à nouveau l'importance que revêt la protec-
                                                                                             tion des données à caractère personnel et de la vie
en coopération avec le Parlement européen,
                                                                                             privée dans sa résolution du 18 juillet 1989 concernant
                                                                                             le renforcement de la coordination pour l'introduction
vu l'avis du Comité économique et social,                                                    des réseaux numériques à intégration de services
                                                                                              (RNIS) dans la Communauté européenne (2) ;
(1)    considérant q u e la directive ... du Conseil relative à la
       protection des personnes à l'égard du t r a i t e m e n t des
       données à caractère personnel préconise que les États
       m e m b r e s assurent la protection de la vie privée des
                                                                                      (5)    considérant que le Parlement européen a souligné
                                                                                             l'importance que revêt la protection des données à
       personnes ;
                                                                                             caractère personnel et de la vie privée dans les réseaux
                                                                                             de télécommunication, eu égard en particulier à
(2)    considérant que, à l'heure actuelle, apparaissent d a n s
                                                                                             l'introduction des réseaux numériques à intégration de
       la C o m m u n a u t é européenne de n o u v e a u x réseaux
                                                                                             services (RNIS) (3) (4) (5) ;
       téléphoniques n u m é r i q u e s publics de technologie
       avancée qui p r o v o q u e n t l'émergence d'exigences
       spécifiques c o n c e r n a n t la p r o t e c t i o n des données à
       caractère personnel et de la vie privée des usagers ;                          (6)    considérant que la recommandation 81/679/CEE du
                                                                                              Conseil préconise l'adoption et la ratification, par les
(3)    considérant que cette évolution concerne en particu-
       lier l'introduction des réseaux n u m é r i q u e s à intégra-
       tion de services (RNIS) et des réseaux mobiles
                                                                                      (!) JO n° C 257 du 4. 10. 1988, p. 1.
       n u m é r i q u e s publics ;
                                                                                      (2) JO     n° C  196 du 1. 8. 1989, p. 4.
                                                                                      (3) JO     n° C  7 du 12. 1. 1987, p. 334.
(4)    considérant que le Conseil des ministres a, dans sa                            (4) JO     n° C  12 du 16. 1. 1989, p. 69.
       résolution du 30 juin 1988 sur le développement du                             (5) JO     n° C  12 du 16. 1. 1989, p. 66.