Source: https://www.gdpr-expert.com/article.html?mid=1&id=14
Timestamp: 2019-01-18 03:57:00+00:00

Document:
GDPR.expert, l'outil d'analyse du nouveau règlement européen, développé par le cabinet d'avocats Ulys Article 14 : Informations à fournir lorsque les données n'ont pas été collectées auprès de la personne concernée - GDPR.expert
Afficher les articles et mots clés liés à l’article 14 du Règlement keyboard_arrow_down Cacher les articles et mots clés liés à l’article 14 keyboard_arrow_up
Articles liés à l'article 14
Mots clés liés à l'article 14
Il n'y a pas de considérant du Règlement lié à l'article 14.
Afficher les considérants de la Directive 95/46 liés à l'article 14 keyboard_arrow_down Cacher les considérants de la Directive 95/46 liés à l'article 14 keyboard_arrow_up
Le Règlement en son article 14 renforce ici aussi le devoir d’information lorsque les données n’ont pas été collectées auprès de la personne, tout en élargissant dans le même temps les exceptions générales à celui-ci.
Les éléments d’informations inconditionnés déjà présents dans la Directive se diversifient ici également : l’information donnée devra permettre d’identifier l’éventuel délégué à la protection des données, et indiquer le fondement juridique du traitement en sus de ses finalités ou les intérêts légitimes sur lesquels se fonde le responsable. Une autre information obligatoire porte sur la volonté d’effectuer un transfert de données vers un destinataire d’un pays tiers ou d’une organisation internationale, l’absence de décision d’adéquation du niveau de protection ou encore, le cas échéant, des garanties prises ou des moyens d’obtenir copie. La condition du devoir d’information des autres éléments devient le caractère nécessaire pour garantir « un traitement équitable et transparent », ce qui ne devrait rien changer sur le fond.
Par contre les éléments d’informations sont plus nombreux.
On vise maintenant notamment la période de conservation des données, à tout le moins, les éléments permettant de la déterminer, l’identification des intérêts légitimes en cas de licéité basée sur un équilibre des intérêts, droits et libertés (article 6 §1er, f du Règlement), l’existence de l’ensemble des droits reconnus à la personne (en ce compris par exemple le droit à la portabilité des données ou de retrait du consentement), et le droit d’introduire une réclamation auprès d’une autorité de contrôle. Est enfin spécialement visée la source d’où proviennent les données en ce compris les sources accessibles au public.
Il faut également, le cas échéant, informer de l’existence d’une prise de décision automatisée comprenant un profilage ainsi qu’une information significative de la logique sous-jacente et les conséquences pour la personne.
Le Règlement précise aussi que le responsable doit fournir ces informations à la personne concernée SOIT dans un délai raisonnable qui n’excède pas un mois après la collecte SOIT s’il est envisagé de communiquer les informations à un autre destinataire ou d’utiliser les données pour une communication à la personne concernée, au plus tard lorsque les informations sont communiquées pour la première fois.
Il faut encore informer, le cas échéant, des changements de finalités par rapport à la finalité initiale ce qui implique le cas échéant, une nouvelle information sur l’ensemble des éléments précités.
Des exceptions sont prévues. L’information ne doit pas être fournie si la personne dispose déjà des informations, si elle s’avère impossible ou nécessiterait des efforts disproportionnés. Des précisions apparaissent concernant les traitements pour des finalités d’archivage dans l’intérêt public ainsi que pour des finalités scientifiques, de recherche historique ou statistique.
Une autre exception est prévue dans le cas où l’obtention ou la communication des informations fait l’objet de dispositions spécifiques dans le droit de l’Union ou la législation nationale ou si les données doivent rester confidentielles, sujets à une obligation de secret professionnel conformément à la législation de l’Union ou d’un État membre, en ce compris d’origine statutaire.
Les articles 10 et 11 de la Directive prévoyaient un devoir d’information de la personne concernée qui s’exécutait différemment selon que la collecte se faisait directement auprès de la personne concernée ou auprès d’un tiers.
La législation belge a prévu un devoir d’information au cas où la collecte se fait auprès d’un tiers (article 9). A la suite de la Directive, seuls trois éléments étaient obligatoires inconditionnellement (identité du responsable, des finalités, existence du droit d’opposition), d’autres informations (destinataires, caractère obligatoire de la réponse, existence d’un droit d’accès et de rectification etc.) ne devant être précisées que si elles apparaissaient comme nécessaires à la loyauté du traitement en cause, outre les cas où la personne en est déjà informée. Cette information devait être effectuée lors de l’enregistrement des données ou au plus tard, lors de la première communication des données. La loi du 8 décembre 1992 contient diverses exceptions au devoir d’information, conformément à la Directive (traitements à des fins statistiques, scientifiques ou historiques lorsque l'information de la personne concernée se révèle impossible ou implique des efforts disproportionnés (art. 9, § 2, a).
La difficulté ne naît pas tant du plus grand nombre d’informations dont il faudra tenir compte, mais de l’incertitude quant à leur transmission à la personne concernée, dès lors que la grande majorité de celles-ci est conditionnée par sa nécessité à un traitement « équitable et transparent ». Difficile de dire si dans le doute, les responsables choisiront la transparence ou non. D’autant que le contenu de certaines de ces informations risque poser difficulté (identification des intérêts légitimes, par exemple).
arrow_back Article précédent • Article 14 • Article suivant arrow_forward
arrow_back Article précédent • Article 14 Article suivant arrow_forward
Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679 (6 février 2018)
g) le cas échéant, son intention d'effectuer un transfert vers un pays tiers ou à une organisation internationale, et le niveau de protection offert par le pays tiers ou l'organisation internationale en question, par référence à une décision relative au caractère adéquat du niveau de protection rendue par la Commission;
h) toute autre information nécessaire pour assurer un traitement loyal des données à l'égard de la personne concernée, compte tenu des circonstances particulières dans lesquelles les données à caractère personnel sont collectées
4. Le responsable du traitement fournit les informations visées aux paragraphes 1, 2 et 3: a) au moment où les données à caractère personnel sont recueillies auprès de la personne concernée, ou b) lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, au moment de l’enregistrement ou dans un délai raisonnable après la collecte, eu égard aux circonstances particulières dans lesquelles les données sont collectées ou traitées, ou si la communication à un autre destinataire est envisagée, et au plus tard au moment où les données sont communiquées pour la première fois.
b) les données ne sont pas collectées auprès de la personne concernée et que la fourniture de ces informations se révèle impossible ou supposerait des efforts disproportionnés;
1. Lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée, le responsable du traitement peut lui fournir les informations qui suivent:
2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée les autres informations qui sont nécessaires pour garantir qu'elle fait l'objet d'un traitement équitable et transparent, compte tenu des circonstances spécifiques et du contexte du traitement des données à caractère personnel, à savoir:
a) les catégories de données à caractère personnel concernées;
c) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers;
d) les destinataires ou les catégories de destinataires des données à caractère personnel;
d bis) le cas échéant, la volonté du responsable du traitement d'effectuer un transfert de données à caractère personnel vers un destinataire d'un pays tiers ou d'une organisation internationale;
e) l'existence du droit de demander au responsable du traitement l'accès aux données à caractère personnel relatives à la personne concernée, la rectification ou l'effacement de celles-ci ou une limitation de leur traitement, ainsi que du droit de s'opposer au traitement de ces données et du droit à la portabilité des données (...); e bis) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9, paragraphe 2, point a), l'existence du droit de retirer le consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement avant le retrait de celui-ci;
g) la source d'où proviennent les données à caractère personnel, à moins qu'elles soient issues de sources accessibles au public;
h) l'existence d'une prise de décision automatisée comprenant un profilage visé à l'article 20, paragraphes 1 et 3, et des informations concernant (…) la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée.
a) dans un délai raisonnable mais ne dépassant pas un mois après la collecte, eu égard aux circonstances particulières dans lesquelles les données sont traitées,
b) s'il est envisagé de communiquer les informations à un autre destinataire, au plus tard lorsque les informations sont communiquées pour la première fois. 3 bis. Lorsqu'il a l'intention de traiter les données à des fins autres que la finalité initiale pour laquelle les données ont été obtenues, le responsable du traitement fournit au préalable à la personne concernée des informations au sujet de cette autre finalité et toute autre information pertinente visée au paragraphe 2.
4. Les paragraphes 1 à 3 bis ne s'appliquent pas lorsque et dans la mesure où:
a) la personne concernée dispose déjà de ces informations; ou
b) la fourniture de telles informations (...) s'avère impossible ou nécessiterait des efforts disproportionnés; en pareils cas, le responsable du traitement prend des mesures appropriées pour protéger les droits et les libertés ainsi que les intérêts légitimes de la personne concernée;
ou c) l'obtention ou la communication des informations sont expressément prévues par le droit de l'Union ou la législation de l'État membre à laquelle le responsable du traitement est soumis et qui établit des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée;
ou d) (...);
e) les données doivent rester confidentielles conformément à la législation de l'Union ou d'un l'État membre (...).
- les catégories de données concernées;
- les destinataires ou les catégories de destinataires;
b) lorsque l'enregistrement ou la communication des données à caractère personnel est effectué en vue de l'application d'une disposition prévue par ou en vertu d'une loi, d'un décret ou d'une ordonnance.
Le Roi détermine par arrêté délibéré en Conseil des ministres après avis de la Commission de la protection de la vie privée les conditions pour l'application de l'alinéa précédent.
Lorsque la première communication des données à été effectuée avant l'entrée en vigueur de cette disposition, la communication de l'information doit être effectuée, par dérogation à l'alinéa 1er, au plus tard dans un délai de 3 années suivant la date de l'entrée en vigueur de cette disposition. Cette information ne doit toutefois pas être fournie, lorsque le responsable du traitement était exempté de l'obligation d'informer la personne concernée de l'enregistrement des données en vertu des dispositions légales et réglementaires en application le jour précédant la date de l'entrée en vigueur de cette disposition.
préalablement donné son autorisation écrite au responsable du traitement que les données à caractère personnel la concernant peuvent être traitées à des fins médico-scientifiques et que la communication de ces données peut dès lors être différée.

References: l'article 14
 l'article 14
 l'article 14
 l'article 14
 l'article 14
 §1
 § 2
 l'article 6
 l'article 6
 l'article 9
 l'article 20