Source: https://www.gdpr-expert.eu/article.html?id=9&post_type=post
Timestamp: 2019-05-23 06:40:51+00:00

Document:
Afficher les articles et mots clés liés à l’article 9 expand_more Cacher les articles et mots clés liés à l’article 9 expand_less
Mots clés liés à l'article 9
Afficher les considérants du Règlement liés à l'article 9 keyboard_arrow_down Cacher les considérants du Règlement liés à l'article 9 keyboard_arrow_up
Afficher les considérants de la Directive 95/46 liés à l'article 9 keyboard_arrow_down Cacher les considérants de la Directive 95/46 liés à l'article 9 keyboard_arrow_up
Recommandation relative au Registre des activités de traitements (article 30 du RGPD) n° 06/2017 (14 juin 2017)
Le Règlement général sur la protection des données (ci-après RGPD) est entré en vigueur le 24 mai 2016 et sera d’application à dater du 25 mai 2018.
Au chapitre IV du RGPD qui énonce les obligations des responsables de traitement et des sous-traitants, l’article 30 met à charge des responsables de traitement et des sous-traitants une obligation de tenir un registre des activités de traitement (ci-après le Registre). Un certain nombre d’informations relatives aux traitements opérés doivent figurer dans ce Registre : dans quel but sont-elles traitées, quelles sont les catégories de personnes concernées par les données traitées, quels sont les destinataires des données, quel est leur délai de conservation etc.
La Commission de la protection de la vie privée (ci-après la CPVP) reçoit un grand nombre de questions relatives à ce Registre. Partant, elle adopte la présente recommandation afin de guider les responsables de traitement et les sous-traitants dans la préparation de celui-ci d’ici au 25 mai 2018, date à partir de laquelle ce Registre devra être en place et date à partir de laquelle la CPVP pourra également demander qu’il soit mis à sa disposition, dans le cadre de contrôles par exemple.
Pour établir ce Registre, la/les déclaration(s) préalable(s) de traitement prévue(s) à l’article 17 de la Loi Vie privée (ci-après LVP) que les responsables de traitement ont introduit auprès de la CPVP pourra/ pourront, dans une certaine mesure, être utile(s). Il sera précisé dans cette recommandation dans quelles limites, cette ou ces déclaration(s) de traitement introduite(s) et disponibles via le Registre public en ligne pourra/pourront être exploitée(s).
La recommandation abordera les questions suivantes :
Qui doit tenir un Registre ? Existe-t-il des exceptions ?
Pourquoi cette obligation de tenir un Registre ?
Que doit contenir le Registre ? Quelles informations ?
Comment établir le Registre ?
Quelle(s) sanction(s) ?
arrow_back Article précédent • Article 9 • Article suivant arrow_forward
La Directive prévoyait, sous certaines conditions, une exception pour le traitement de données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté (art. 8, § 5). Dans la mesure où le futur Règlement prévoit une disposition spécifique pour ces traitements, nous les examinerons plus en détail dans le cadre du commentaire de l’article 9 bis du Règlement.
Outre les dérogations expressément contenues dans la Directive, l’article 8, paragraphe 4 autorisait les États membres à prévoir, sous réserve de garanties appropriées, des dérogations supplémentaires pour un motif d’intérêt public important, soit par leur législation nationale, soit par leur autorité de contrôle. Ces dérogations supplémentaires doivent néanmoins être notifiées à la Commission européenne (art. 8, § 4).
En droit belge, la loi du 8 décembre 1992 prévoyait également une douzaine d’exceptions (article12 §2) à l’interdiction de traitement des données sensibles. On y retrouve notamment le consentement écrit (et non pas explicite), la nécessité de défense des intérêts vitaux de la personne, ou lorsque le traitement porte sur des données manifestement rendues publiques par la personne ou encore lorsque le traitement est nécessaire à des recherches scientifiques dans les conditions fixées par l’arrêté royal du 13 février 2001. Ce dernier prévoyait des garanties particulières qui devaient être impérativement respectées dans la mise en œuvre de chaque exception (art. 25 à 27 de l’arrêté royal du 13 février 2001 portant exécution de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel.).
La loi Informatique et Libertés contenait 11 exceptions à l’interdiction de traiter des données sensibles : 10 dérogations sont contenues dans l’article 8 de la loi Informatique et Libertés et Libertés, auxquelles s’ajoute l’exception concernant les traitements aux fins de journalisme et d’expression littéraire et artistique prévue à l’article 67.
Au rang des dérogations supplémentaires prévues par le législateur français, la loi informatique et liberté autorisait les traitements statistiques réalisés par l'Institut national de la statistique et des études économiques ou l'un des services statistiques ministériels, après avis de la CNIL et dans le respect des conditions prévues à l’article 25 de la loi (cfr. art. 8, II., 7°). Faisaient également l’objet d’une dérogation, les traitements nécessaires à la recherche dans le domaine de la santé (cfr. art. 8, II., 8), ainsi que, sous certaines conditions, les traitements qui portent sur des données appelées à faire l’objet d’une procédure d’anonymisation (cfr. art. 8, III.). Une catégorie résiduelle était également prévue au point IV de l’article 9 de la loi informatique et liberté, dans l’hypothèse où le traitement était justifié par l’intérêt public et autorisé dans les conditions prévues aux articles 25 ou 26 de la loi (cfr. art. 8, IV.). A noter que le législateur français n’avait pas transposé dans la loi Informatique et Libertés d’exception à l’interdiction de traiter des données sensibles pour les traitements nécessaires aux fins de respecter les obligations et les droits spécifiques du responsable du traitement en matière de droit du travail (art. 8, § 2, b de la Directive)), à la différence du législateur belge (cfr. art. 8, § 2, b) de la loi du 8 décembre 1992).
7° Les traitements statistiques réalisés par l'Institut national de la statistique et des études économiques ou l'un des services statistiques ministériels dans le respect de la loi n°51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques, après avis du Conseil national de l'information statistique ;
Données de santé: CF Chapitre IV du TITRE II du décret pris pour l'application de la loi n°78-17 du 6 janvier 1978. ​
En exécution de l’article 9.2.g) du Règlement, les traitements ci-après sont considérés comme traitements nécessaires pour des motifs d’intérêt public important:
1° le traitement effectué par des associations dotées de la personnalité juridique ou par des fondations qui ont pour objet statutaire principal la défense et la promotion des droits de l’homme et des libertés fondamentales,en vue de la réalisation de cet objet, à condition que ce traitement soit autorisé par le Roi, par arrêté délibéré en Conseil des ministres, après avis de l’autorité de contrôle compétente. Le Roi peut prévoir des modalités de ce traitement;
2° le traitement géré par la fondation d’utilité publique “Fondation pour Enfants Disparus et Sexuellement Exploités” pour la réception, la transmission à l ’autorité judiciaire et le suivi de données concernant des personnes qui sont suspectées, dans un dossier déterminé de disparition ou d’exploitation sexuelle, d’avoir commis un crime ou un délit;
3° le traitement de données à caractère personnel concernant la vie sexuelle, effectué par une association dotée de la personnalité juridique ou par une fondation,qui a pour objet statutaire principal l’évaluation, la guidance et le traitement des personnes dont le comportement sexuel peut être qualifié d’infraction, et qui est agréée et subventionné par l’autorité compétente en vue de la réalisation de cet objet. Ces traitements, qui doivent être destinés à l’évaluation, la guidance et le traitement des personnes visées dans le présent paragraphe et qui ne peuvent porter que sur des données à caractère personnel qui, pour autant qu’elles soient relatives à la vie sexuelle, concernent les personnes visées dans le présent paragraphe, sont soumis à une autorisation spéciale individuelle accordée par le Roi, dans un arrêté royal délibéré en Conseil des ministres, après avis de l’autorité de contrôle compétente. L’arrêté visé à l’alinéa 1er, 3°, précise la durée de validité de l’autorisation, les modalités du traitement des données, les modalités de contrôle de l’association ou de la fondation par l’autorité compétente et la façon dont cette autorité informe l’autorité de contrôle compétente sur le traitement de données à caractère personnel effectué dans le cadre de l’autorisation accordée. Sauf dispositions légales particulières, le traitement de données génétiques et biométriques aux fins d’identifier une personne physique de manière unique par ces associations et fondations est interdit.
§ 2. Le responsable du traitement et, le cas échéant, le sous-traitant établissent une liste des catégories de personnes, ayant accès aux données à caractère personnel avec une description de leur fonction par rapport au traitement des données visées. Cette liste est tenue à la disposition de l’autorité de contrôle compétente.
Le responsable du traitement et, le cas échéant, le sous-traitant veillent à ce que les personnes désignées soient tenues, par une obligation légale ou statutaire, ou par une disposition contractuelle équivalente, au respect du caractère confidentiel des données visées.
§ 3. La fondation visée au paragraphe 1er, alinéa 1er, 2°, ne peut tenir un fichier de personnes suspectes d’avoir commis un crime ou un délit ou de personnes condamnées. Elle désigne également un délégué à la protection des données.
En exécution de l’article 9.4 du Règlement, le responsable du traitement prend les mesures supplémentaires suivantes lors du traitement de données génétiques, biométriques ou des données concernant la santé:
1° les catégories de personnes ayant accès aux données à caractère personnel, sont désignées par le responsable du traitement ou, le cas échéant, par le sous-traitant, avec une description précise de leur fonction par rapport au traitement des données visées;
2° la liste des catégories des personnes ainsi désignées est tenue à la disposition de l’autorité de contrôle compétente par le responsable du traitement ou, le cas échéant, par le sous-traitant;
3° il veille à ce que les personnes désignées soient tenues, par une obligation légale ou statutaire, ou par une disposition contractuelle équivalente, au respect du caractère confidentiel des données visées.
§ 1. Le traitement de données à caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, ainsi que le traitement des données relatives à la vie sexuelle, est interdit.

References: l'article 9
 l'article 9
 l'article 9
 l'article 9
 l'article 9
 § 5
 § 4
 §2
 art. 8
 art. 8
 art. 8
 art. 8
 § 2
 art. 8
 § 2

§ 2

§ 3

§ 1