Source: https://wiki.laquadrature.net/index.php?title=Synth%C3%A8se_du_r%C3%A8glement_sur_la_protection_des_donn%C3%A9es/en&diff=prev&oldid=166238
Timestamp: 2019-10-15 09:51:12+00:00
Document Index: 171487370

Matched Legal Cases: ['§2', '§1', '§8', "l'article 6", '§2', '§3', '§2', '§1', '§8', '§3']

Difference between revisions of "Synthèse du règlement sur la protection des données/en" - La Quadrature du Net
Difference between revisions of "Synthèse du règlement sur la protection des données/en"
Revision as of 12:48, 24 November 2015 (edit)
m (FuzzyBot a déplacé la page Synthèse du règlement sur la protection des données, version du 12 mars 2014/en vers Synthèse du règlement sur la protection des données/en sans laisser de redirection : Extrait de la page à traduire Synthè...)
Revision as of 23:08, 11 December 2015 (edit) (undo)
(Page créée avec « Review of the proposed General Data Protection Regulation, as adopted by the European Parliament on 12 March 2014 »)
On 25 January 2012, the European Commission published their <ref>[http://ec.europa.eu/justice/data-protection/document/review2012/com_2012_11_en.pdf proposal for a regulation]</ref> "on the protection of individuals with regard to the processing of personal data".
La proposition de règlement de l'Union européenne portant sur la protection des données personnelles a été publiée par la Commission européenne le 25 janvier 2012, sur proposition de Viviane Reding, Commissaire des droits fondamentaux. Il est accompagné d'une directive <ref> [http://www.europarl.europa.eu/oeil/popups/ficheprocedure.do?reference=2012/0010%28COD%29&l=fr Fiche de procédure 2012/0010 (COD)] </ref> ayant pour mission de prévenir, détecter ou de poursuivre les infractions pénales et d'appliquer les peines correspondantes.
On the 12 March 2014, the European Parliament adopted an amended version of the <ref>[http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+TA+20140312+ITEMS+DOC+XML+V0//EN#sdocta5 regulation]</ref>, bundling it with a <ref>[http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=COM:2012:0010:FIN:EN:PDF “Processing of personal data for the purposes of crime prevention” Directive]</ref>, together referred to as the Data Protection Reform Package (DPR).
Le Parlement européen a modifié ce règlement et l'a adopté en 1ère lecture, le 12 mars 2014 <ref>[http://www.europarl.europa.eu/oeil/popups/ficheprocedure.do?reference=2012/0010%28COD%29&l=fr Fiche de procédure 2012/0010 (COD)] </ref> <ref> [http://www.europarl.europa.eu/sides/getDoc.do?type=TA&language=FR&reference=P7-TA-2014-0219 Texte du Règlement, version du 12 mars 214] </ref>.
Le Conseil de l'Union européenne (qui réunit les ministres des Etats membres) a proposé un texte amendé et les négociations devraient se poursuivre en procédure de conciliation, plus communément appelée trilogue car cette procédure réunit des délégations de la Commission européenne, du Parlement européen et du Conseil de l'UE.
Ce "paquet législatif" a pour objectif de mettre à jour les règlementations européennes sur la protection des données personnelles, pour les adapter aux transformations de la société, dues aux nouvelles technologies. La directive 95/46/CE <ref> [http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:31995L0046:fr:HTML Texte de la directive 95/46/CE] </ref> pour la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données présentait en effet des lacunes fortes, notamment pour la protection des données sur Internet.
Le texte apporte des changements fondamentaux ayant des conséquences directes sur l'internaute.
Les trilogues ou négociations entre les institutions européennes ont débuté le 24 juin 2015. Plusieurs réunions en trilogue sont prévues les mois prochains afin de traiter les différents chapitres du Règlement.
Le trilogue du 14 juillet a porté sur les points suivants :
* Article 3 – Champ territorial
* Article 4 – Définitions, en particulier le paragraphe(14) sur les représentants
* Article 25 – Les représentants des responsables de traitement non-établis dans l'UE
* Chapitre V – Les transferts de données personnelles aux pays tiers et organisations internationales
Un trilogue est prévu au courant du mois de septembre 2015, pour aborder les points suivants :
* Le chapitre II sur Les principes de protection des données
* Le chapitre III sur les droits des utilisateurs
* Le chapitre IV sur le responsable et le sous-traitant
<sub>En ''italique'', les passages effacés du texte du Parlement Européen dans la version du Conseil </sub>
<sub>En '''gras''', les passages ajoutés dans la version du Conseil de l'Union européenne </sub>
== Le champ d'application territorial du Règlement ==
{| class="wikitable alternance centre"
! scope="col" | Parlement européen
! scope="col" | Conseil de l'Union européenne
! scope="col" | Tentative d'accord du trilogue
| style="width:33%;" |1.This Regulation applies to the processing of personal data in the context of the activities of an establishment of a controller or a processor in the Union, ''whether the processing takes place in the Union or not.''
| style="width:33%;" |1.This Regulation applies to the processing of personal data in the context of the activities of an establishment of a controller or aprocessor in the Union.
| style="width:33%;" |1.This Regulation applies to the processing of personal data in the context of the activities of an establishment of a controller or a processor in the Union, regardless
of whether the processing takes place in the Union or not.
Le texte adopté par le Parlement européen étendait déjà le champ de son application territoriale par rapport à la proposition de la Commission (article 3).
Le Règlement avait ainsi vocation à s'appliquer « que le traitement des données ait lieu ou pas dans l’Union ».
'''Évolution avec le Conseil de l'Union européenne''' : efface cette mention et crée un vide juridique concernant la délocalisation des traitements. Le règlement serait donc inapplicable lorsque des sous-traitants sont situés dans des pays extérieurs à l'Union, tandis que le siège du responsable est au sein de l'Union européenne. Dans la même idée, la mention de "sous-traitant" est retirée plus loin (article 3§2), dans les cas où les activités de traitement concernent les personnes résidant dans l'Union européenne.
'''La tentative d'accord''' : souhaite conserver la proposition plus protectrice du Parlement européen.
| style="width:33%;" |2. This Regulation applies to the processing of personal data of data subjects in the Union by a controller or processor not established in the Union, where the processing activities are related to:
(b) the monitoring of such data subjects
| style="width:33%;" |2.This Regulation applies to the processing of personal data of data subjects residing in the Union by a controller not established in the Union, where the processing activities are related to:
(a) the offering of goods or services, irrespective of whether a payment by the data subject is required, to such data subjects in the Union; or
(b) the monitoring of '''their behaviour as far as their behaviour takes place within the European Union.'''
| style="width:33%;" |2. This Regulation applies to the processing of personal data of data subjects present in the Union by a controller or processor not established in the Union, where the
processing activities are related to:
(a) the offering of goods or services, irrespective of whether a payment of the data subject is
required, to such data subjects in the Union; or
(b) the monitoring of their behaviour as far as their behaviour takes place within the European
Le Règlement, dans la '''version du Parlement''', s'applique également au responsable du traitement des données ou à un sous-traitant, non-établis dans l'Union, lorsque ses activités de traitement concernent l'offre de biens ou de services, ou la surveillance des comportement des utilisateurs observés au sein de l'Union. La surveillance du comportement d'un utilisateur signifie que ce dernier est "suivi" sur internet au moyen de techniques de traitement des données qui consistent au profilage d'un individu pour prendre des décisions le concernant, ou pour analyser voire prédire son ou ses préférences personnelles, son comportement et ses attitudes (considérant 21).
Now the Council of the European Union (also known as the Council of Ministers, it brings together the ministries of member states) is considering the proposals. Negotiations between the European Council, Parliament and Commission – referred to as a “trialogue” - are expected to come to a conclusion at the end of 2015.
==Data Subject Consent==
Article 6 states that a user's ('data subjects') consent is required for data processing. This consent can, for instance, be obtained during the initial registration with a social network service when the user agrees to the EULA and thus to the use of their data by the company. It states that “'the data subject's consent' means any freely given specific, informed and explicit indication of his or her wishes” (Article 4(8)). Moreover, it is specified that it “shall be as easy to withdraw consent as to give it.” (Article 7(3)).
La personne concernée doit donner son accord, avant que le responsable procède au traitement des données (article 6§1). C'est le cas, par exemple, lors d'une inscription sur un réseau social (Facebook , Twitter..), où l'internaute accepte que l'entreprise traite ses données.
Le consentement de la personne concernée doit ainsi être « libre, spécifique, informé et explicite » (article 4§8). L'internaute peut se rétracter aussi aisément qu'il a donné son consentement.
Or, la condition du consentement n'est pas absolue. Il est possible de se passer du consentement de la personne concernée lorsqu'il existe, par exemple, un "intérêt légitime" pour le responsable de traitement. Cette dernière possibilité est une faille dangereuse, la notion d' « intérêt légitime » étant bien trop large et non-définie par le Règlement.
'''Évolution avec le Conseil de l'Union européenne''' : <br />
Le Conseil souhaite que l'indication soit juste spécifique et informée (article 4 ). Il indique dans les considérant - à l'inverse du Parlement - qu'une navigation sur un site constitue un consentement suffisant (en fonction du paramétrage du navigateur).<br />
Il réintègre l'article 6.4 qui permet de détourner le consentement explicite. Les cas sont les suivants :
* Si l'objectif du traitement est compatible avec celui pour lequel le consentement a été donné, alors il n'y a pas de conditions supplémentaires
* Si l'objectif du traitement n'est pas compatible avec celui pour lequel le consentement a été donné :
Soit il y a une base légale (archivage dans l'intérêt public, scientifique, statistique ou historique), dans en vue des besoins d'une éventuelle résolution de conflit, etc.<br />
Soit il faut que l'intérêt à agir (à traiter la donnée) soit supérieur à celui de la personne concernée. Cela permettrait l'autorisation du big data sans le consentement de la personne, et cela est justifié notamment pour des raisons d'innovation. <br />
Le contrôleur européen des données personnelles est en désaccord avec la proposition du Conseil d'autoriser les entreprises à traiter les données ou à les partager avec un tiers, s'il existe pour elle un intérêt légitime. La protection des individus serait insuffisante face à l'intérêt légitime d'une entreprise de vendre ses données pour faire du profit <ref>[https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-07-27_GDPR_Recommendations_EN.pdf]</ref>.
Concernant les conditions du consentement (article 7) et plus particulièrement sa force, celle-ci est décrue par les propositions du Conseil :
! scope="col" | Propositions du CEPD (Contrôleur européen de la protection des données)
| style="width:33%;" |
4. Consent shall
be purpose-limited and shall lose its validity when the
purpose ceases to exist or as soon
as the processing of personal data
is no longer necessary for carrying
out the purpose for which they
were originally collected. The
execution of a contract or the
provision of a service shall not be
made conditional on the consent to
the processing of data that is not
necessary for the execution of the
contract or the provision of the
service pursuant to Article 6(1),
point (b).
| style="width:33%;" |effacé
4. When assessing
whether consent is freely given, it must be
considered, among others:
(a) whether there is a significant
imbalance between the data subject
and the controller, and
(b) in cases of processing under
Article 6(1)(b), whether the
provision of a service is made
conditional on the consent to the
processing of data that is not
necessary for these purposes.
The regulation, as proposed, contains a huge loophole in the form of the notion of “legitimate interest” (see Article 6(1)(f)). Left too vague and undefined in the regulation, it would allow companies to argue “legitimate interest” in order to by-pass the constraints inherent in the requirement for users' consent. It would allow the use of personal data in ways that the user did not consciously agree to.
Le Parlement affirme que le consentement devrait-être limité à une finalité, et perdre sa validité lorsque la finalité disparaît.
== Data Subjects Rights==
'''Évolution avec le Conseil de l'Union européenne :''' suppression de cette mention. Le consentement perd ainsi sa qualité d'élément essentiel et est dénaturé. Il peut-être détourné facilement par une entreprise pour une finalité autre que celle à laquelle l'utilisateur a donné son accord.
The version adopted by the European Parliament introduces a new article, Article 10(a)(2) on the “General principles for data subject rights”.
== Les droits des personnes concernées ==
This proposed regulation would sanction 'profiling'. Profiling is defined in the text as “any form of automated processing of personal data intended to evaluate certain personal aspects relating to a natural person or to analyse or predict in particular that natural person’s performance at work, economic situation, location, health, personal preferences, reliability or behaviour” (Article 4(3a)).
La dernière version adoptée par le Parlement Européen, introduit un nouvel article sur la protection des données des utilisateurs (dites "personnes concernées") (article 10bis §2).
Profiling of individuals exacerbates the power imbalance between states and corporations on one hand and the individual user on the other. In the case of a private enterprise, data can be used in order to deduce consumer habits in order to more effectively target advertisements or decide on the terms and conditions of a bank loan. Profiling is also of interest to governments' security efforts. The surveillance of a person or group of persons can be done through the collection of their data to study their habits, movements, activities and international contacts. (See amongst other, Article 20)
=== Le profilage ===
The text prohibits profiling that “has the effect of discriminating against individuals on the basis of race or ethnic origin, political opinions, religion or beliefs, trade union membership, sexual orientation or gender identity” and requests that the controller act to prevent discrimination. (Article 20(3)).
Cet article ouvre la possibilité de sanctionner le profilage.
Le profilage est décrit comme un traitement automatisé de données permettant d'évaluer "certains aspects personnels propres à une personne physique ou à prévoir le rendement professionnel de celle-ci, sa situation économique, sa localisation, son état de santé, ses préférences personnelles, sa fiabilité ou son comportement"(article 4§3 bis).
Le profilage constitue un outil très puissant pour les Etats ou les entreprises à qui les données sont transmises. Il peut s'agir, pour une entreprise privée, d'effectuer un profilage des individus, pour mieux connaître leurs habitudes de consommations et davantage cibler les actions de promotion. Le profilage représente également un intérêt pour les Etats, à des fins de sécurité publique. Il s'agit ainsi de surveiller une personne ou un groupe de personnes, à partir de leurs données, afin de connaître leurs habitudes de vie, lieux de séjour et déplacements, ainsi que leurs activités et relations internationales.
Le profilage doit être interdit s'il est discriminatoire, basé par exemple sur l'origine ethnique ou sur l'opinion d'un utilisateur.
The European Parliament's version deletes the 'right to portability' of data initially proposed by the Commission in Article 18. Portability means that a user can demand that their data be transferred to another company (similar to the principle of portability of telephone numbers when switching providers). The deleted article also contained provisions aimed at encouraging the development of standards that would facilitate the inter-operability between systems, a necessary condition for the efficient sharing and porting of data between IT systems. (See Recital 55)
=== La portabilité des données ===
Le nouveau texte supprime le droit à la portabilité des données, autrement dit, la possibilité pour l'internaute de demander le transfert de ses données personnelles vers de nouveaux prestataires (même principe que la portabilité des numéros de téléphone). Cet article proposé par la Commission européenne et supprimé par le Parlement européen prévoyait entre autre une interopérabilité des systèmes et plateformes pour permettre la portabilité des données.
L'interopérabilité correspond à la capacité d'un système informatique à fonctionner avec d'autres systèmes ou plateformes, sans restriction d'accès ou de mise en oeuvre. Elle est une condition nécessaire à la portabilité qui désigne la possiblité de porter ses données d'un système à un autre, ou de les partager entre plusieurs systèmes.
'''Évolution avec le Conseil de l'Union européenne :''' réinstaure le droit à la portabilité qui avait été supprimé de la version du Parlement (article 18). Il s'agit ainsi du droit à l'accès et au transfert de celles-ci à un autre système lorsque le traitement est automatisé et que l'internaute y a consenti. <br />
La portabilité ne doit néanmoins pas avoir lieu s'il s'agit d'un traitement mené dans l'intérêt public ou effectué par une autorité publique.
The regulation specifies 'the right to erasure' of data of a personal nature under certain conditions (Article 17). An individual may request that their data be deleted when “the data are no longer necessary in relation to the purposes for which they were collected or otherwise processed” or when the data subject withdraws consent. The Parliament added that the right to erasure is also possible after a decision by a court or regulatory authority based in the EU or when the data “has been unlawfully processed" while restricting this right to cases other than when the data is needed “for exercising the right of freedom of expression” (Article 17(3a)).
==Pseudoanonymous data===
'''Évolution avec le Conseil de l'Union européenne :''' Le droit à l'effacement devient presque absolu lorsque les données ont été recueillies quand l'utilisateur était un enfant. Dans ce cas, le responsable a l'obligation d'effacer ces données, sur la demande de l'utilisateur.<br />
Il ajoute cependant qu'en cas d'objection de l'utilisateur au traitement de ses données, le responsable devra les effacer que s'il n'existe pas un intérêt légitime supérieur, justifiant leur conservation.
Cette exception limite considérablement le droit des utilisateurs de disposer de leurs données personnelles.
The proposal introduces the notion of “pseudonymous data” for some research purposes that require data to be less than anonymous but which nevertheless would be exempt from the requirement for data subjects’ consent (Article 81(2a)). The use of the notion of “pseudonymous” is however anything but innocent (see Article 4(2a)).
== La notion de données pseudonymisées ==
“Anonymous data” is data that has been stripped of all information that could allow the identification of an individual. In other words, data no longer links to the user and the user's right to anonymity is fully respected. In the case of “pseudonymous data” on the other hand, the data controller retains the link between the pseudonymous data and identifying data such as the user’s name, address or credit card information. Even without this link, it is frequently too easy to isolate one user from a set of data using only a few data points, such as a post code, purchases made, nationality etc, and therefore it therefore fails to provide sufficient protection to the users.
Le rapport a introduit dans le texte la notion de «données pseudonymisées », concernant les fins de recherche qui font exception à l'accord de l'internaute. Les données pourraient être uniquement « pseudonymisées », au lieu d'être « anonymisées » lorsque cela n'est pas possible, pour ces fins (article 81 2bis).
Le terme « pseudonymisées » n'est pas employée de manière anodine.
Les données « anonymisées » sont des données à partir desquelles il n'est pas possible d'isoler et d'identifier un individu. Son anonymat étant ainsi pleinement respecté. Les données « pseudonymisées » restent en revanche relatives à un individu identifiable, en raison du lien existant entre le pseudonyme et les données d'identification (nom, prénom, adresse...) disponible pour l'organisation collectant l'information. En outre, il est extrêmement aisé d'identifier un individu avec relativement peu de données pseudonymisées. Par conséquent, la pseudonymisation n'est pas une solution suffisamment protectrice pour les utilisateurs qui peuvent être identifiés trop facilement.
==The responsibilities of data controllers and processors ==
== Les obligations du responsable du traitement garantissant la protection des données ==
The data controller and processor are required to ensure the protection data subjects' data.
Le responsable de traitement doit assurer la protection des données des personnes concernées par le traitement.
Il a ainsi trois obligations principales :
* Une obligation de documentation (article 28) des traitements réalisés. Ces documents pourront être vérifiés à tout moment par l'autorité nationale de contrôle, sous peine de sanctions.
They have three main responsibilities:
* Une obligation de réaliser une étude d'impact pour les traitements à risque (article 32 bis). Celle-ci doit-être réalisée systématiquement lorsque le traitement présente des risques particuliers pour les droits et libertés des personnes (ex : données sensibles, fichiers de grande ampleur concernant des enfants, données génétiques, biométriques).
* The obligation to “maintain regularly updated documentation necessary to fulfill the requirements laid down in this Regulation” (Article 28). These documentation can be verified at any time by the national supervisory authority with possible sanctions.
* Une obligation d'assurer la sécurité du traitement des données, en garantissant sa confidentialité, et l'intégrité de la personne concernée.
== Les accords internationaux ==
Il existe trois types d'accords internationaux portant sur le traitement des données personnelles :
* Les accords avec les pays dont le niveau de protection est équivalent (article 41) ;
* L'«Umbrella agreement» (article 42) ;
* Les accords avec les autres pays moyennant des garanties suffisantes (article 42) ;
=== Les accords avec les pays dont le niveau de protection est équivalent ===
Ces accords concernent a priori les pays européens situés en dehors de l'Union européenne (exemples : Irlande, Norvège etc.).
Le transfert n'est, dans ce cas, pas soumis à une autorisation supplémentaire. La Commission doit prendre en compte certains éléments lors de l'évaluation du niveau adéquat de protection :
* Le respect de la loi, notamment des droits de l'Homme et des libertés fondamentales, ainsi que les lois sur les données personnelles (a). '''Évolution apportée par le Conseil''' : suppression de la mention de sécurité publique et ajout des règles spécifiques sur le transfert des données personnelles à des pays tiers ou à des organisations internationales, ainsi que l'existence de droits des personnes concernées.
* Un pouvoir de sanction suffisant (b) ; '''Évolution apportée par le Conseil et la tentative d'accord''' : un pouvoir de sanction adéquat.
* Toute convention légalement formée ou tout instrument respectant la protection des données personnelles doit être pris en compte (c) ; '''Évolution apportée par le Conseil et la tentative d'accord''': toute obligation naissant de la participation du tiers dans un système régional ou multilatéral, en particulier en relation avec la protection des données personnelles est aussi un élément qui doit être pris en compte.
=== L'«Umbrella agreement» ===
Un accord entre l'Union européenne et les États-Unis, non-prévu par le Règlement, dont la négociation a commencé en 2010 mais n'a pas encore aboutie. Le but de cet accord est d'assurer un haut niveau de protection des données personnelles, ainsi que d'améliorer la coopération entre l'Union européenne et les États-Unis dans le cadre de la prévention, l'investigation et la détection de la criminalité <ref>[http://ec.europa.eu/justice/data-protection/files/factsheets/umbrella_factsheet_en.pdf]</ref>. Cet accord vise également à assurer un droit de recours effectif à l'utilisateur, également à encadrer plus strictement les finalités et les modalités du transfert, ainsi que la durée de rétention de données.
=== Les accords avec les autres pays moyennant des garanties suffisantes ===
* The obligation to "carry out a risk analysis of the potential impact of the intended data processing on the rights and freedoms of the data subjects" (Article 32(a), introduced by the Parliament). This risk analysis has to be conducted systematically when it concerns sensitive data such as health data, data related to children, genetic or biometric data.
En l'absence d'une décision de la Commission, un responsable peut opérer un transfert de données personnelles dans un pays tiers ou une organisation internationale en prenant des garanties suffisantes pour couvrir le transfert. Il s'agit notamment des accords entre les Etats membres de l'Union et les pays tiers, tels que le Safe Harbor.
Le «Safe Harbor» ou havre de sécurité permet aux entreprises américaines opérant en Europe, de transférer les données des citoyens européens vers les États-Unis, et de les exploiter commercialement. En contrepartie, l'entreprise est tenue de respecter les lois européennes, plus protectrices que les lois américaines dans le domaine de la protection des données. Par exemple, le transfert de données n'est possible que si l'individu a la liberté de s'y opposer. Le Safe Harbor prévoit également un système d'auto-certification des entreprises, et une possibilité de notification à un autorité ayant un pouvoir de sanction en cas de non de respect de ces règles. Or, ce système reste cependant peu contraignant et peu protecteur des données personnelles.
* The obligation to ensure the security of data processing to ensure the confidentiality and integrity of the data subject.
Environ 4500 entreprises sont concernées par cet accord, dont la moitié sont des entreprises européennes <ref>[https://safeharbor.export.gov/list.aspx]</ref>. L'accord du «Safe Harbor« avait été mis en place en 2000. Il a cependant vocation à être renégocié étant donné que le règlement a pour mission de créer des garanties de protection plus grandes que la directive de 1995 pour les citoyens européens. Il est en réalité difficile pour un utilisateur résidant dans l'Union de saisir une autorité judiciaire ou administrative américaine, les citoyens européens n'ayant pas les mêmes recours que les résidents américains. L'un des points bloquants :l'Union européenne demande que les entreprises qui obtiennent la certification indiquent dans leurs politiques de confidentialité, les informations concernant la loi américaine, qui permet aux autorités publiques de recueillir et traiter les données transférées dans le cadre du «Safe Harbor». Cf : la surveillance effectuée par la NSA. Le Parlement n'est pas favorable à cet accord. Il avait voté, en parallèle du Règlement, une résolution demandant la suspension de cet accord. Les Etats membres, quant à eux, sont divisés. La France est réticente, au contraire de l'Allemagne qui est en faveur de ce type d'accords.
==A heavy monetary penalty==
== Une sanction pécuniaire lourde ==
If the data processors, most notably enterprises, fail to comply to the rules, the supervisory authority can impose a fine up to 100 000 000 EUR or 5% of their annual worldwide turnover, whichever is higher. (See Article 79(2a))
Si les responsables de traitement, notamment les entreprises, ne respectent pas le texte, ils sont soumis à une sanction pécuniaire très conséquente, à hauteur de 5% du chiffre d'affaire mondial du responsable de traitement (article 79).
[[Category:Data Protection]]
La proposition de règlement de l'Union européenne portant sur la protection des données personnelles a été publiée par la Commission européenne le 25 janvier 2012, sur proposition de Viviane Reding, Commissaire des droits fondamentaux. Il est accompagné d'une directive [1] ayant pour mission de prévenir, détecter ou de poursuivre les infractions pénales et d'appliquer les peines correspondantes.
Le Parlement européen a modifié ce règlement et l'a adopté en 1ère lecture, le 12 mars 2014 [2] [3]. Le Conseil de l'Union européenne (qui réunit les ministres des Etats membres) a proposé un texte amendé et les négociations devraient se poursuivre en procédure de conciliation, plus communément appelée trilogue car cette procédure réunit des délégations de la Commission européenne, du Parlement européen et du Conseil de l'UE.
Ce "paquet législatif" a pour objectif de mettre à jour les règlementations européennes sur la protection des données personnelles, pour les adapter aux transformations de la société, dues aux nouvelles technologies. La directive 95/46/CE [4] pour la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données présentait en effet des lacunes fortes, notamment pour la protection des données sur Internet. Le texte apporte des changements fondamentaux ayant des conséquences directes sur l'internaute.
Article 3 – Champ territorial
Article 4 – Définitions, en particulier le paragraphe(14) sur les représentants
Article 25 – Les représentants des responsables de traitement non-établis dans l'UE
Chapitre V – Les transferts de données personnelles aux pays tiers et organisations internationales
Le chapitre II sur Les principes de protection des données
Le chapitre III sur les droits des utilisateurs
Le chapitre IV sur le responsable et le sous-traitant
En italique, les passages effacés du texte du Parlement Européen dans la version du Conseil
En gras, les passages ajoutés dans la version du Conseil de l'Union européenne
1 Le champ d'application territorial du Règlement
2 Data Subject Consent
3 Les droits des personnes concernées
3.1 Le profilage
3.2 La portabilité des données
4 La notion de données pseudonymisées
5 Les obligations du responsable du traitement garantissant la protection des données
6 Les accords internationaux
6.1 Les accords avec les pays dont le niveau de protection est équivalent
6.2 L'«Umbrella agreement»
6.3 Les accords avec les autres pays moyennant des garanties suffisantes
7 Une sanction pécuniaire lourde
Le champ d'application territorial du Règlement
Tentative d'accord du trilogue
1.This Regulation applies to the processing of personal data in the context of the activities of an establishment of a controller or a processor in the Union, whether the processing takes place in the Union or not. 1.This Regulation applies to the processing of personal data in the context of the activities of an establishment of a controller or aprocessor in the Union. 1.This Regulation applies to the processing of personal data in the context of the activities of an establishment of a controller or a processor in the Union, regardless
Le texte adopté par le Parlement européen étendait déjà le champ de son application territoriale par rapport à la proposition de la Commission (article 3). Le Règlement avait ainsi vocation à s'appliquer « que le traitement des données ait lieu ou pas dans l’Union ».
Évolution avec le Conseil de l'Union européenne : efface cette mention et crée un vide juridique concernant la délocalisation des traitements. Le règlement serait donc inapplicable lorsque des sous-traitants sont situés dans des pays extérieurs à l'Union, tandis que le siège du responsable est au sein de l'Union européenne. Dans la même idée, la mention de "sous-traitant" est retirée plus loin (article 3§2), dans les cas où les activités de traitement concernent les personnes résidant dans l'Union européenne.
La tentative d'accord : souhaite conserver la proposition plus protectrice du Parlement européen.
2. This Regulation applies to the processing of personal data of data subjects in the Union by a controller or processor not established in the Union, where the processing activities are related to:
2.This Regulation applies to the processing of personal data of data subjects residing in the Union by a controller not established in the Union, where the processing activities are related to:
(b) the monitoring of their behaviour as far as their behaviour takes place within the European Union.
2. This Regulation applies to the processing of personal data of data subjects present in the Union by a controller or processor not established in the Union, where the
Le Règlement, dans la version du Parlement, s'applique également au responsable du traitement des données ou à un sous-traitant, non-établis dans l'Union, lorsque ses activités de traitement concernent l'offre de biens ou de services, ou la surveillance des comportement des utilisateurs observés au sein de l'Union. La surveillance du comportement d'un utilisateur signifie que ce dernier est "suivi" sur internet au moyen de techniques de traitement des données qui consistent au profilage d'un individu pour prendre des décisions le concernant, ou pour analyser voire prédire son ou ses préférences personnelles, son comportement et ses attitudes (considérant 21).
Now the Council of the European Union (also known as the Council of Ministers, it brings together the ministries of member states) is considering the proposals. Negotiations between the European Council, Parliament and Commission – referred to as a “trialogue” - are expected to come to a conclusion at the end of 2015. The aim is to bring European legislation on the use of personal data up to date with technical, commercial and societal changes brought about by the digital age. The previous legislation, a directive - hence legislation that relies on being transposed into national law as opposed to a regulation that applies to all member states equally - dates from 1995, [5], fails on many counts but most notably on the protection of personal data.
The proposed texts introduce some fundamental changes that directly impact internet users:
La personne concernée doit donner son accord, avant que le responsable procède au traitement des données (article 6§1). C'est le cas, par exemple, lors d'une inscription sur un réseau social (Facebook , Twitter..), où l'internaute accepte que l'entreprise traite ses données. Le consentement de la personne concernée doit ainsi être « libre, spécifique, informé et explicite » (article 4§8). L'internaute peut se rétracter aussi aisément qu'il a donné son consentement. Or, la condition du consentement n'est pas absolue. Il est possible de se passer du consentement de la personne concernée lorsqu'il existe, par exemple, un "intérêt légitime" pour le responsable de traitement. Cette dernière possibilité est une faille dangereuse, la notion d' « intérêt légitime » étant bien trop large et non-définie par le Règlement.
Évolution avec le Conseil de l'Union européenne :
Le Conseil souhaite que l'indication soit juste spécifique et informée (article 4 ). Il indique dans les considérant - à l'inverse du Parlement - qu'une navigation sur un site constitue un consentement suffisant (en fonction du paramétrage du navigateur).
Si l'objectif du traitement est compatible avec celui pour lequel le consentement a été donné, alors il n'y a pas de conditions supplémentaires
Si l'objectif du traitement n'est pas compatible avec celui pour lequel le consentement a été donné :
Soit il y a une base légale (archivage dans l'intérêt public, scientifique, statistique ou historique), dans en vue des besoins d'une éventuelle résolution de conflit, etc.
Soit il faut que l'intérêt à agir (à traiter la donnée) soit supérieur à celui de la personne concernée. Cela permettrait l'autorisation du big data sans le consentement de la personne, et cela est justifié notamment pour des raisons d'innovation.
Le contrôleur européen des données personnelles est en désaccord avec la proposition du Conseil d'autoriser les entreprises à traiter les données ou à les partager avec un tiers, s'il existe pour elle un intérêt légitime. La protection des individus serait insuffisante face à l'intérêt légitime d'une entreprise de vendre ses données pour faire du profit [6].
Propositions du CEPD (Contrôleur européen de la protection des données)
4. Consent shall be purpose-limited and shall lose its validity when the purpose ceases to exist or as soon as the processing of personal data is no longer necessary for carrying out the purpose for which they were originally collected. The execution of a contract or the provision of a service shall not be made conditional on the consent to the processing of data that is not necessary for the execution of the contract or the provision of the service pursuant to Article 6(1), point (b).
4. When assessing whether consent is freely given, it must be considered, among others: (a) whether there is a significant imbalance between the data subject and the controller, and (b) in cases of processing under Article 6(1)(b), whether the execution of a contract or the provision of a service is made conditional on the consent to the processing of data that is not necessary for these purposes.
Évolution avec le Conseil de l'Union européenne : suppression de cette mention. Le consentement perd ainsi sa qualité d'élément essentiel et est dénaturé. Il peut-être détourné facilement par une entreprise pour une finalité autre que celle à laquelle l'utilisateur a donné son accord.
Cet article ouvre la possibilité de sanctionner le profilage. Le profilage est décrit comme un traitement automatisé de données permettant d'évaluer "certains aspects personnels propres à une personne physique ou à prévoir le rendement professionnel de celle-ci, sa situation économique, sa localisation, son état de santé, ses préférences personnelles, sa fiabilité ou son comportement"(article 4§3 bis). Le profilage constitue un outil très puissant pour les Etats ou les entreprises à qui les données sont transmises. Il peut s'agir, pour une entreprise privée, d'effectuer un profilage des individus, pour mieux connaître leurs habitudes de consommations et davantage cibler les actions de promotion. Le profilage représente également un intérêt pour les Etats, à des fins de sécurité publique. Il s'agit ainsi de surveiller une personne ou un groupe de personnes, à partir de leurs données, afin de connaître leurs habitudes de vie, lieux de séjour et déplacements, ainsi que leurs activités et relations internationales. Le profilage doit être interdit s'il est discriminatoire, basé par exemple sur l'origine ethnique ou sur l'opinion d'un utilisateur.
Le nouveau texte supprime le droit à la portabilité des données, autrement dit, la possibilité pour l'internaute de demander le transfert de ses données personnelles vers de nouveaux prestataires (même principe que la portabilité des numéros de téléphone). Cet article proposé par la Commission européenne et supprimé par le Parlement européen prévoyait entre autre une interopérabilité des systèmes et plateformes pour permettre la portabilité des données. L'interopérabilité correspond à la capacité d'un système informatique à fonctionner avec d'autres systèmes ou plateformes, sans restriction d'accès ou de mise en oeuvre. Elle est une condition nécessaire à la portabilité qui désigne la possiblité de porter ses données d'un système à un autre, ou de les partager entre plusieurs systèmes.
Évolution avec le Conseil de l'Union européenne : réinstaure le droit à la portabilité qui avait été supprimé de la version du Parlement (article 18). Il s'agit ainsi du droit à l'accès et au transfert de celles-ci à un autre système lorsque le traitement est automatisé et que l'internaute y a consenti.
The 'right of information' is accorded to the user (see Recital 59). This information includes the purposes for which the data are being collected and the length of its retention. The user should know the identity of the data controller and be informed if the data are passed to third parties for commercial ends.
Évolution avec le Conseil de l'Union européenne : Le droit à l'effacement devient presque absolu lorsque les données ont été recueillies quand l'utilisateur était un enfant. Dans ce cas, le responsable a l'obligation d'effacer ces données, sur la demande de l'utilisateur.
Il ajoute cependant qu'en cas d'objection de l'utilisateur au traitement de ses données, le responsable devra les effacer que s'il n'existe pas un intérêt légitime supérieur, justifiant leur conservation. Cette exception limite considérablement le droit des utilisateurs de disposer de leurs données personnelles.
La notion de données pseudonymisées
Le rapport a introduit dans le texte la notion de «données pseudonymisées », concernant les fins de recherche qui font exception à l'accord de l'internaute. Les données pourraient être uniquement « pseudonymisées », au lieu d'être « anonymisées » lorsque cela n'est pas possible, pour ces fins (article 81 2bis). Le terme « pseudonymisées » n'est pas employée de manière anodine. Les données « anonymisées » sont des données à partir desquelles il n'est pas possible d'isoler et d'identifier un individu. Son anonymat étant ainsi pleinement respecté. Les données « pseudonymisées » restent en revanche relatives à un individu identifiable, en raison du lien existant entre le pseudonyme et les données d'identification (nom, prénom, adresse...) disponible pour l'organisation collectant l'information. En outre, il est extrêmement aisé d'identifier un individu avec relativement peu de données pseudonymisées. Par conséquent, la pseudonymisation n'est pas une solution suffisamment protectrice pour les utilisateurs qui peuvent être identifiés trop facilement.
Les obligations du responsable du traitement garantissant la protection des données
Le responsable de traitement doit assurer la protection des données des personnes concernées par le traitement. Il a ainsi trois obligations principales :
Une obligation de documentation (article 28) des traitements réalisés. Ces documents pourront être vérifiés à tout moment par l'autorité nationale de contrôle, sous peine de sanctions.
Une obligation de réaliser une étude d'impact pour les traitements à risque (article 32 bis). Celle-ci doit-être réalisée systématiquement lorsque le traitement présente des risques particuliers pour les droits et libertés des personnes (ex : données sensibles, fichiers de grande ampleur concernant des enfants, données génétiques, biométriques).
Une obligation d'assurer la sécurité du traitement des données, en garantissant sa confidentialité, et l'intégrité de la personne concernée.
Les accords avec les pays dont le niveau de protection est équivalent (article 41) ;
L'«Umbrella agreement» (article 42) ;
Les accords avec les autres pays moyennant des garanties suffisantes (article 42) ;
Les accords avec les pays dont le niveau de protection est équivalent
Ces accords concernent a priori les pays européens situés en dehors de l'Union européenne (exemples : Irlande, Norvège etc.). Le transfert n'est, dans ce cas, pas soumis à une autorisation supplémentaire. La Commission doit prendre en compte certains éléments lors de l'évaluation du niveau adéquat de protection :
Le respect de la loi, notamment des droits de l'Homme et des libertés fondamentales, ainsi que les lois sur les données personnelles (a). Évolution apportée par le Conseil : suppression de la mention de sécurité publique et ajout des règles spécifiques sur le transfert des données personnelles à des pays tiers ou à des organisations internationales, ainsi que l'existence de droits des personnes concernées.
Un pouvoir de sanction suffisant (b) ; Évolution apportée par le Conseil et la tentative d'accord : un pouvoir de sanction adéquat.
Toute convention légalement formée ou tout instrument respectant la protection des données personnelles doit être pris en compte (c) ; Évolution apportée par le Conseil et la tentative d'accord: toute obligation naissant de la participation du tiers dans un système régional ou multilatéral, en particulier en relation avec la protection des données personnelles est aussi un élément qui doit être pris en compte.
L'«Umbrella agreement»
Un accord entre l'Union européenne et les États-Unis, non-prévu par le Règlement, dont la négociation a commencé en 2010 mais n'a pas encore aboutie. Le but de cet accord est d'assurer un haut niveau de protection des données personnelles, ainsi que d'améliorer la coopération entre l'Union européenne et les États-Unis dans le cadre de la prévention, l'investigation et la détection de la criminalité [7]. Cet accord vise également à assurer un droit de recours effectif à l'utilisateur, également à encadrer plus strictement les finalités et les modalités du transfert, ainsi que la durée de rétention de données.
Les accords avec les autres pays moyennant des garanties suffisantes
En l'absence d'une décision de la Commission, un responsable peut opérer un transfert de données personnelles dans un pays tiers ou une organisation internationale en prenant des garanties suffisantes pour couvrir le transfert. Il s'agit notamment des accords entre les Etats membres de l'Union et les pays tiers, tels que le Safe Harbor. Le «Safe Harbor» ou havre de sécurité permet aux entreprises américaines opérant en Europe, de transférer les données des citoyens européens vers les États-Unis, et de les exploiter commercialement. En contrepartie, l'entreprise est tenue de respecter les lois européennes, plus protectrices que les lois américaines dans le domaine de la protection des données. Par exemple, le transfert de données n'est possible que si l'individu a la liberté de s'y opposer. Le Safe Harbor prévoit également un système d'auto-certification des entreprises, et une possibilité de notification à un autorité ayant un pouvoir de sanction en cas de non de respect de ces règles. Or, ce système reste cependant peu contraignant et peu protecteur des données personnelles.
Environ 4500 entreprises sont concernées par cet accord, dont la moitié sont des entreprises européennes [8]. L'accord du «Safe Harbor« avait été mis en place en 2000. Il a cependant vocation à être renégocié étant donné que le règlement a pour mission de créer des garanties de protection plus grandes que la directive de 1995 pour les citoyens européens. Il est en réalité difficile pour un utilisateur résidant dans l'Union de saisir une autorité judiciaire ou administrative américaine, les citoyens européens n'ayant pas les mêmes recours que les résidents américains. L'un des points bloquants :l'Union européenne demande que les entreprises qui obtiennent la certification indiquent dans leurs politiques de confidentialité, les informations concernant la loi américaine, qui permet aux autorités publiques de recueillir et traiter les données transférées dans le cadre du «Safe Harbor». Cf : la surveillance effectuée par la NSA. Le Parlement n'est pas favorable à cet accord. Il avait voté, en parallèle du Règlement, une résolution demandant la suspension de cet accord. Les Etats membres, quant à eux, sont divisés. La France est réticente, au contraire de l'Allemagne qui est en faveur de ce type d'accords.
Une sanction pécuniaire lourde
↑ Fiche de procédure 2012/0010 (COD)
↑ Texte du Règlement, version du 12 mars 214
↑ Texte de la directive 95/46/CE
↑ Directive 95/46/CE
Retrieved from "https://wiki.laquadrature.net/index.php?title=Synthèse_du_règlement_sur_la_protection_des_données/en&oldid=166238"