Source: http://www.echo.lu/legal/en/dataprot/compenfr.html
Timestamp: 2014-03-12 03:04:26+00:00

Document:
EU Data Protection Directive EN & FR
This is an unofficial text. For the authoritative text of the Directive, reference should be made to the Official Journal of the European Communities of 23 November 1995 No L. 281 p. 31
Ce texte n'est pas officiel. La version de la Directive faisant foi peut être consultée au Journal Officiel des Communautés européennes du 23 Novembre 1995 n° L. 281 p. 31.
DIRECTIVE 95/46/CE DU PARLEMENT EUROPEEN ET DU CONSEIL
LE PARLEMENT EUROPEEN ET LE CONSEIL DE L'UNION EUROPEENNE
statuant conformément à la procédure visée à l'article 189B du traité
(1) considérant que les objectifs de la Communauté, énoncés dans le traité tel que modifié par l'Acte unique européen, consistent à réaliser une union sans cesse plus étroite entre les peuples européens, à établir des relations plus étroites entre les Etats que la Communauté réunit, à assurer par une action commune le progrès économique et social en éliminant les barrières qui divisent l'Europe, à promouvoir l'amélioration constante des conditions de vie de ces peuples, à affermir les sauvegardes de la paix et de la liberté, et à promouvoir la démocratie en se fondant sur les droits fondamentaux reconnus dans les constitutions et les lois des Etats membres, ainsi que dans la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales;
(2) considérant que les systèmes de traitement des données sont au service de l'homme; qu'ils doivent quelle que soit la nationalité ou la résidence des personnes physiques, respecter les libertés et droits fondamentaux des personnes physiques et notamment la vie privée et contribuer au progrès économique et social, au développement des échanges ainsi qu'au bien-être des individus;
(3) considérant que l'établissement et le fonctionnement du marché intérieur dans lequel, conformément à l'article 8 A du Traité, la libre circulation des marchandises, des personnes, des services et des capitaux est assurée nécessitent que non seulement des données à caractère personnel puissent circuler d'un Etat membre à l'autre, mais également, que les droits fondamentaux des personnes soient sauvegardés;
(4) considérant que, dans la Communauté, il est fait de plus en plus fréquemment appel aux traitements de données à caractère personnel dans les divers domaines des activités économiques et sociales; que les progrès des technologies de l'information facilitent considérablement le traitement et l'échange de ces données;
(5) considérant que l'intégration économique et sociale résultant de l'établissement et du fonctionnement du marché intérieur au sens de l'article 8 A du Traité va nécessairement entraîner une augmentation sensible des flux transfrontaliers de données à caractère personnel entre tous les acteurs de la vie économique et sociale des Etats membres, que ces acteurs soient privés ou publics; que l'échange de données à caractère personnel entre des entreprises établies dans des Etats membres différents est appelé à se développer; que les administrations nationales des différents Etats membres sont appelées en application du droit communautaire, à collaborer et à échanger entre elles des données à caractère personnel afin de pouvoir exécuter des tâches pour le compte d'une administration d'un autre Etat membre, dans le cadre de l'espace sans frontière que comporte le marché intérieur;
(6) considérant, en outre, que le renforcement de la coopération scientifique et technique, ainsi que la mise en place coordonnée de nouveaux réseaux de télécommunications dans la Communauté nécessitent et facilitent la circulation transfrontalière de données à caractère personnel;
(7) considérant que la différence de niveaux de protection des droits et libertés des personnes, et notamment de la vie privée, à l'égard des traitements de données à caractère personnel assurés dans les Etats membres peut empêcher la transmission de ces données du territoire d'un Etat membre à celui d'un autre Etat membre; que cette différence peut dès lors constituer un obstacle à l'exercice d'une série d'activités économiques à l'échelle communautaire, fausser la concurrence et entraver la mission des administrations intervenant dans le champ d'application du droit communautaire; que cette différence de niveaux de protection résulte de la disparité des dispositions nationales législatives, réglementaires et administratives;
(8) considérant que, pour éliminer les obstacles à la circulation des données à caractère personnel, le niveau de protection des droits et libertés des personnes à l'égard des traitements de ces données doit être équivalent dans tous les Etats membres; que cet objectif, fondamental pour le marché intérieur, ne peut pas être réalisé par la seule action des Etats membres, compte tenu en particulier de l'ampleur des divergences qui existent actuellement entre les législations nationales applicables en la matière et de la nécessité de coordonner les législations des Etats membres pour que le flux transfrontalier de données à caractère personnel soit réglementé d'une manière cohérente et conforme à l'objectif du marché intérieur au sens de l'article 7 A du Traité; qu'une intervention de la Communauté visant à un rapprochement des législations est donc nécessaire;
(9) considérant, que du fait de la protection équivalente résultant du rapprochement des législations nationales, les Etats membres ne pourront plus faire obstacle à la libre circulation entre eux de données à caractère personnel pour des raisons relatives à la protection des droits et libertés des personnes physiques, et notamment du droit à la vie privée; que les Etats membres disposeront d'une marge de manoeuvre qui, dans le contexte de la mise en oeuvre de la présente directive, pourra a être utilisée par les partenaires économiques et sociaux; qu'ils pourront donc préciser, dans leur législation nationale, les conditions générales de licéité des traitements; que ce faisant, les Etats membres s'efforcent d'améliorer la protection actuelle assurée par leur législation; que, dans les limites de cette marge de manoeuvre et conformément au droit communautaire, des disparités pourront se produire dans la mise enn oeuvre de la directive et que cela pourra avoir des incidences sur la circulation des données tant à l'intérieur d'un Etat membre que dans la Communauté;
(10) considérant que l'objet des législations nationales relatives au traitement des données à caractère personnel est d'assurer le respect des droits et libertés fondamentaux, notamment du droit à la vie privée reconnu également dans l'article 8 de la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales et dans les principes généraux du droit communautaire; que, pour cette raison, le rapprochement de ces législations ne doit pas conduire à affaiblir la protection qu'elles assurent mais doit, au contraire, avoir pour objectif de garantir un haut niveau de protection dans la Communauté;
(11) considérant que les principes de la protection des droits et des libertés des personnes, et notamment du respect de la vie privée, contenus dans la présente directive concrétisent et amplifient ceux contenus dans la convention du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel;
(12) considérant que les principes de la protection doivent s'appliquer à tous les traitements des données à caractère personnel dès lors que les activités du responsable du traitement relèvent du champ d'application du droit communautaire; que doivent être exclus les traitements effectués par une personne physique pour l'exercice d'activités exclusivement personnelles ou domestiques, telles la correspondance et à la tenue de répertoires d'adresses;
(13) Whereas the activities referred to in Titles V and VI of the Treaty on European Union regarding public safety, defence, State security or the activities of the State in the area of criminal laws fall outside the scope of Community law, without prejudice to the obligations incumbent upon Member States under Article 56 (2), Article 57 or Article 100a of the Treaty establishing the European Community; whereas the processing of personal data that is necessary to safeguard the economic well-being of the State does not fall within the scope of this Directive where such processing relates to State security matters;
(13) considérant que les activités visées aux titres V et VI du traité sur l'Union européenne concernant la sécurité publique, la défense, la sûreté de l'Etat ou des activités de l'Etat dans le domaine pénal ne relèvent pas du champ d'application du droit communautaire, sans préjudice des obligations incombant aux Etats membres au titre de l'article 56 paragraphe 2 et des articles 57 et 100A du traité; que le traitement de données à caractère personnel qui est nécessaire à la sauvegarde du bien-être économique de l'Etat ne relève pas de la présente directive lorsque ce traitement est lié à des questions de sûreté de l'Etat;
(14) considérant que, compte tenu de l'importance du développement en cours, dans le cadre de la société de l'information, des techniques pour capter, transmettre, manipuler, enregistrer, conserver ou communiquer les données constituées par des sons et des images, relatives aux personnes physiques, la présente directive est appelée à s'appliquer aux traitement portant sur ces données;
(16) considérant que les traitements des données constituées par des sons et des images, tels que ceux de vidéo-surveillance, ne relèvent pas du champ d'application de la présente directive s'ils sont mis en oeuvre à des fins de sécurité publique, de défense, de sûreté de l'Etat ou pour l'exercice des activités de l'Etat relatives à des domaines du droit pénal ou pour l'exercice d'autres activités qui ne relèvent pas du champ d'application du droit communautaire;
(18) considérant qu'il est nécessaire, afin d'éviter qu'une personne soit exclue de la protection qui lui est garantie en vertu de la présente directive, que tout traitement de données à caractère personnel effectué dans la Communauté respecte la législation de l'un des Etats membres; que, à cet égard, il est opportun de soumettre les traitements effectués par toute personne opérant sous l'autorité du responsable du traitement établi dans un Etat membre à l'application de la législation de cet Etat;
(19) Whereas establishment on the territory of a Member State implies the effective and real exercise of activity through stable arrangements; whereas the legal form of such an establishment, whether simply 'branch or a subsidiary with a legal personality, is not the determining factor in this respect; whereas, when a single controller is established on the territory of several Member States, particularly by means of subsidiaries, he must ensure, in order to avoid any circumvention of national rules, that each of the establishments fulfils the obligations imposed by the national law applicable to its activities;
(19) considérant que l'établissement sur le territoire d'un Etat membre suppose l'exercice effectif et réel d'une activité au moyen d'une installation stable; que la forme juridique retenue pour un tel établissement, qu'il s'agisse d'une simple succursale ou d'une filiale ayant la personnalité juridique, n'est pas déterminante à cet égard; que lorsqu'un même responsable est établi sur le territoire de plusieurs Etats membres, en particulier par le biais d'une filiale, il doit s'assurer, notamment en vue d'éviter tout contournement, que chacun des établissements remplit les obligations prévues par le droit national applicable aux activités de chacun d'eux;
(20)que l'établissement dans un pays tiers du responsable des traitements ne doit pas faire obstacle à la protection des personnes prévue par la présente directive; que, dans ce cas, il convient de soumettre les traitements effectués à la loi de l'Etat membre dans lequel des moyens utilisés pour les traitements en cause sont localisés et de prendre des garanties pour que les droits et obligations prévues par la présente directive soient effectivement respectés;
(22) considérant que les Etats membres préciseront dans leur législation ou lors de la mise en oeuvre des dispositions prises en application de la présente directive les conditions générales dans lesquelles le traitement des données est licite; que, en particulier, l'article 5, en liaison avec les articles 7 et 8, permet aux Etats membres de prévoir, indépendamment des règles générales, des conditions particulières pour les traitements de données dans des secteurs spécifiques et pour les différentes catégories de données visées à l'article 8;
(23) considérant que les Etats membres sont habilités à assurer la mise en oeuvre de la protection des personnes, tant par une loi générale relative à la protection des personnes à l'égard du traitement des données à caractère personnel que par des lois sectorielles telles que celles relatives par exemple aux instituts de statistiques;
(25) considérant que les principes de la protection trouvent leur expression, d'une part, dans les obligations mises à la charge des personnes, autorités publiques, entreprises ou organismes, qui mettent en oeuvre des traitements, ces obligations concernant en particulier la qualité des données, la sécurité technique, la notification à l'autorité de contrôle, les fondements des traitements, l'un d'eux pouvant être le consentement de la personne concernée, et, d'autre part, dans les droits donnés aux personnes dont les données font l'objet des traitements d'être informées sur ceux-ci, de pouvoir accéder aux données, de demander la rectification de celles-ci, voire de s'opposer aux traitements;
(26) Whereas the principles of protection must apply to any information concerning an identified or identifiable person; whereas, to determine whether a person is identifiable, account should be taken of all the means likely reasonably to be used either by the controller or by any other person to identify the said person; whereas the' principles of protection shall not apply to data rendered anonymous in such a way that the data subject is no longer identifiable; whereas codes of conduct within the meaning of Article 27 may be a useful instrument for providing guidance as to the ways in which data may be rendered anonymous and retained in a form in which identification of the data subject is no longer possible;
(26) considérant que les principes de la protection doivent s'appliquer à toute information concernant une personne identifiée ou identifiable; que pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens susceptibles d'être raisonnablement mis en oeuvre , soit par le responsable du traitement, soit par un tiers, pour identifier ladite personne; que les principes de la protection ne s'appliquent pas aux données rendues anonymes d'une manière telle que la personne concernée n'est plus identifiable; que les codes de conduite au sens de l'article 27 peuvent être un instrument utile pour fournir des indications sur les moyens par lesquels les données peuvent être rendues anonymes et conservées sous une forme ne permettant plus l'identification de la personne concernée;
(27) considérant que la protection des personnes doit s'appliquer aussi bien au traitement de données automatisé qu'au traitement manuel; que le champ de cette protection ne doit pas en effet dépendre des techniques utilisées, sauf à créer de graves risques de détournement; que toutefois, s'agissant du traitement manuel, la présente directive ne couvre que les fichiers et ne s'applique pas aux dossiers non structurés; que, en particulier, le contenu d'un fichier doit être structuré selon des critères déterminés relatifs aux personnes permettant un accès facile aux données à caractère personnel; que, conformément à la définition figurant à l'article 2 point c), les différents critères permettant de déterminer les éléments d'un ensemble structuré de données à caractère personnel et les dofférents critères régissant l'accès à cet ensemble de données peuvent être définis par chaque Etat membre; que les dossiers ou ensembles de dossiers, de même que leurs couvertures, qui ne sont pas structurés selon des critères déterminés n'entrent en aucun cas dans le champ d'application de la présente directive;
(28) considérant que tout traitement de données à caractère personnel doit être effectué licitement et loyalement vis-à-vis des personnes concernées; qu'il doit en particulier porter sur des données pertinentes et non excessives au regard des finalités poursuivies; que ces finalités doivent être explicites et légitimes et doivent être déterminées lors de la collecte des données; que les finalités des traitements ultérieurs à la collecte ne peuvent pas être incompatibles avec les finalités telles que spécifiées à l'origine;
(29) considérant que le traitement ultérieur de données à caractère personnel à des fins historiques, statistiques ou scientifiques n'est pas considéré en général comme incompatible avec les finalités pour lesquelles les données ont été auparavant collectées, dans la mesure où les Etats membres prévoient des garanties appropriées; que ces garanties doivent notamment empêcher l'utilisation des données à l'appui de mesures ou de décisions prises à l'encontre d'une personne;
(30) considérant que, pour être licite, un traitement de données à caractère personnel doit en outre être fondé sur le consentement de la personne concernée ou être nécessaire à la conclusion ou à l'exécution d'un contrat liant la personne concernée, ou au respect d'une obligation légale, ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique, ou encore à la réalisation d'un intérêt légitime d'une personne à condition que ne prévalent pas l'intérêt ou les droits et libertés de la personne concernée; que, en particulier, en vue d'assurer l'équilibre des intérêts en cause, tout en garantissant une concurrence effective, les Etats membres peuvent préciser les conditions dans lesquelles des données à caractère personnel peuvent être utilisées et communiquées à des tiers dans le cadre d'activités légitimes de gestion courante des entreprises et autres organismes; que, de même, ils peuvent préciser les conditions dans lesquelles la communication à des tiers de données à caractère personnel peut être effectuée à des fins de prospection commerciale, ou de prospection faite par une association à but caritatif ou par d'autres associations ou fondations, par exemple à caractère politique, dans le respect de dispositions visant à permettre aux personnes concernées de s'opposer sans devoir indiquer leurs motifs et sans frais au traitement des données les concernant;
(31) considérant qu'un traitement de données à caractère personnel doit être considéré comme licite lorsqu'il est effectué en vue de protéger un intérêt essentiel à la vie de la personne concernée;
(32) considérant qu'il appartient aux législations nationales de déterminer si le responsable du traitement investi d'une mission d'intérêt public ou d'une mission relevant de l'exercice de l'autorité publique doit être une administration publique ou une personne soumise au droit public ou au droit privé, telle qu'une association professionnelle;
(34) considérant que les Etats membres doivent également être autorisés à déroger à l'interdiction de traiter des catégories de données sensibles lorsqu'un motif d'intérêt public important le justifie dans des domaines tels que la santé publique et la protection sociale - particulièrement afin d'assurer la qualité et la rentabilité en ce qui concerne les procédures utilisées pour régler les demandes de prestations et de services dans le régime d'assurance maladie - et tels que la recherche scientifique et les statistiques publiques; qu'il leur incombe, toutefois, de prévoir les garanties appropriées et spécifiques aux fins de protéger les droits fondamentaux et la vie privée des personnes;
(35) Whereas, moreover, the processing of personal data by official authorities for achieving aims, laid down in constitutional law or international public law, of officially recognized religious associations is carried out on important grounds of public' interest;
(36) considérant que, si, dans le cadre d'activités liées à des élections, le fonctionnement du système démocratique suppose, dans certains Etats membres, que les partis politiques collectent des données relatives aux opinions politiques des personnes, le traitement de telles données eût être autorisé en raison de l'intérêt public important, à condition que des garanties appropriées soient prévues;
(37) Whereas the processing of personal data for purposes of journalism or for purposes of literary of artistic expression, in particular in the audiovisual field, should qualify for exemption from the requirements of certain provisions of this Directive in so far as this is necessary to reconcile the fundamental rights of individuals with freedom of information and notably the right to receive and impart information, as guaranteed in particular in Article 1 0 of the European Convention for the Protection of Human Rights and Fundamental Freedoms; whereas Member States should therefore lay down exemptions and derogations necessary for the purpose of balance between fundamental rights as regards general measures on the legitimacy of data processing, measures on the transfer of data to third countries and the power of the supervisory authority; whereas this should not, however, lead Member States to lay down exemptions from the measures to ensure security of processing; whereas at least the supervisory authority responsible for this sector should also be provided with certain ex-post powers, e.g. to publish a regular report or to refer matters to the judicial authorities;
(37) considérant que le traitement de données à caractère personnel à des fins de journalisme ou d'expression artistique ou littéraire, notamment dans le domaine audiovisuel, doit bénéficier de dérogations ou de limitations de certaines dispositions de la présente directive dans la mesure où elles sont nécessaires à la conciliation des droits fondamentaux de la personne avec la liberté d'expression, et notamment la liberté de recevoir ou de communiquer des informations, telle que garantie notamment à l'article 10 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales; qu'il incombe donc aux Etats membres, aux fins de la pondération entre les droits fondamentaux, de prévoir les dérogations et limitations nécessaires en ce qui concerne les mesures générales relatives à la légalité du traitement des données, les mesures relatives au transfert des données vers des pays tiers ainsi que les compétences des autorités de contrôle, sans qu'il y ait lieu toutefois de prévoir des dérogations aux mesures visant à garantir la sécurité du traitement; qu'il conviendrait également de conférer au moins à l'autorité de contrôle compétente en la matière certaines compétences à posteriori, consistant par exemple à publier périodiquement un rapport ou à saisir les autorités judiciaires;
(38) considérant que le traitement loyal des données suppose que les personnes concernées puissent connaître l'existence des traitements et bénéficier, lorsque des données sont collectées auprès d'elles, d'une information effective et complète au regard des circonstances de cette collecte
(39) Whereas certain processing operations involve data which the controller has not collected directly from the data subject; whereas, furthermore, data can be legitimately disclosed to a third party, even if the disclosure was not anticipated at the time the data were collected from the data subject; whereas, in all these cases, the data subject should be informed when the data are recorded or at the latest when the data are first discl

References: l'article 189
 l'article 8
 l'article 8
 l'article 7
 l'article 8
 l'article 56
 l'article 5
 l'article 8
 l'article 27
 l'article 2
 l'article 10