Source: https://gdpr-expert.com/article.html?mid=2&id=12
Timestamp: 2020-01-17 16:42:07+00:00
Document Index: 182396336

Matched Legal Cases: ["l'article 12", "l'article 12", "l'article 12", "l'article 12", "l'article 12", 'art. 4', "l'article 87", "l'article 32", "l'article 10", "l'article 32", "l'article 10"]

GDPR.expert, l'outil d'analyse du nouveau règlement européen, développé par le cabinet d'avocats Ulys Article 12 : Transparence des informations et des communications et modalités de l'exercice des droits de la personne concernée - GDPR.expert
Afficher les articles et mots clés liés à l’article 12 du Règlement keyboard_arrow_down Cacher les articles et mots clés liés à l’article 12 keyboard_arrow_up
Articles liés à l'article 12
Mots clés liés à l'article 12
Afficher les considérants du Règlement liés à l'article 12 keyboard_arrow_down Cacher les considérants du Règlement liés à l'article 12 keyboard_arrow_up
Il n'y pas de considérant de la Directive 95/46 lié à l'article 12.
L’article 13 du Règlement renforce le devoir d’information lorsque les données sont collectées auprès de la personne, sauf si la personne concernée dispose déjà des informations visées.
Les éléments d’informations inconditionnés déjà présents dans la Directive se diversifient: l’information donnée devra permettre d’identifier l’éventuel délégué à la protection des données, l’éventuel représentant du responsable du traitement, le fondement juridique du traitement en sus de ses finalités ou les intérêts légitimes sur lesquels se fonde le responsable. Une autre information obligatoire porte sur la volonté d’effectuer un transfert de données vers un destinataire d’un pays tiers ou d’une organisation internationale, l’absence de décision d’adéquation du niveau de protection ou encore, le cas échéant, la référence aux garanties appropriées ou adaptées et les moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition.
La notion de destinataire doit être entendue comme la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui reçoit communication de données à caractère personnel, qu'il s'agisse ou non d'un tiers; les autorités qui sont susceptibles de recevoir communication de données dans le cadre d'une mission d'enquête particulière ne sont toutefois pas considérées comme des destinataires (art. 4, 9).
On vise maintenant notamment la période de conservation des données ou à tout le moins les critères permettant de la déterminer, l’existence de l’ensemble des droits reconnus à la personne (en ce compris par exemple le droit à la portabilité des données ou de retrait du consentement), et le droit d’introduire une réclamation auprès d’une autorité de contrôle.
Il faut également, le cas échéant, informer de l’existence d’une prise de décision automatisée comprenant un profilage au sens des articles 22(1) et (4) ainsi qu’une information significative de la logique sous-jacente et les conséquences du traitement pour la personne.
La Directive ne comprenait pas de disposition générale concernant les modalités générales de l’exercice des droits.
Celles-ci divergeaient donc d’une législation nationale à l’autre, où du reste les modalités de chacun des droits étaient prévues avec plus ou moins de précision.
En droit français, les modalités d’exercice du droit d’accès sont définies aux articles 39 à 42 de la loi Informatique et Libertés. La personne concernée doit exercer ses droits par écrit auprès du responsable du traitement, ou via la CNIL pour certains traitements intéressant la sûreté de l’État la défense ou pour les traitements mis en œuvre par les administrations publiques et les personnes chargées d’une mission de service public. Si le responsable conteste la demande, il lui appartient de démontrer le caractère abusif de la demande.
arrow_back Article précédent • Article 12 • Article suivant arrow_forward
arrow_back Article précédent • Article 12 Article suivant arrow_forward
Lignes directrices relatives au droit à la portabilité des données (5 avril 2017)
L’article 20 du règlement général sur la protection des données crée un nouveau droit à la portabilité des données, qui est étroitement lié au droit d’accès aux données, tout en différant de celui-ci à de nombreux égards. Il confère aux personnes concernées le droit de recevoir les données à caractère personnel qu’elles ont fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre responsable du traitement. Ce nouveau droit a pour objectif de responsabiliser les personnes concernées et de leur permettre de contrôler davantage les données à caractère personnel les concernant.
Dans la mesure où il permet la transmission directe des données à caractère personnel d’un responsable du traitement à un autre, le droit à la portabilité des données constitue également un instrument important qui facilitera la libre circulation des données à caractère personnel dans l’Union et qui stimulera la concurrence entre les responsables du traitement. Il facilitera le passage d’un prestataire de services à un autre et encouragera dès lors la mise au point de nouveaux services dans le contexte de la stratégie pour un marché unique numérique.
Le présent avis fournit des orientations sur la manière d’interpréter et de mettre en oeuvre le droit à la portabilité des données, tel qu’il a été introduit par le règlement général sur la protection des données. Il a pour objet d’examiner la question du droit à la portabilité des données et son champ d’application. Il précise les conditions dans lesquelles ce nouveau droit s’applique compte tenu de la base juridique du traitement des données (soit le consentement de la personne concernée, soit la nécessité d’exécuter un contrat) et du fait que ce droit est limité aux données à caractère personnel fournies par la personne concernée. Le présent avis fournit également des exemples et des critères concrets pour expliquer les circonstances dans lesquelles ce droit s’applique. À cet égard, le groupe de travail «Article 29» considère que le droit à la portabilité des données couvre les données fournies sciemment et activement par la personne concernée, ainsi que les données à caractère personnel générées par son activité. Ce nouveau droit ne peut être remis en cause et limité aux informations à caractère personnel que la personne concernée communique directement, par exemple sur un formulaire en ligne.
À titre de bonne pratique, les responsables du traitement devraient commencer à élaborer les moyens qui contribueront à répondre aux demandes de portabilité des données, comme des outils de téléchargement et des interfaces de programme d’application. Ils devraient garantir que les données à caractère personnel sont transmises dans un format structuré, couramment utilisé et lisible par machine et doivent être encouragés à garantir l’interopérabilité du format de données fourni dans le cadre de l’exercice d’une demande de portabilité des données.
Le présent avis aide également les responsables du traitement à comprendre clairement leurs obligations respectives et recommande des bonnes pratiques et des outils visant à soutenir le respect du droit à la portabilité des données. Enfin, il recommande que les parties prenantes du secteur et les associations professionnelles travaillent de concert sur une série commune de normes et de formats interopérables afin de satisfaire aux exigences liées au droit à la portabilité des données.
1. Le responsable du traitement établit les procédures d'information prévues à l’article 14 et les procédures d'exercice des droits des personnes concernées mentionnés aux articles 13, et 15 à 19. Il met notamment en place des mécanismes facilitant l’introduction de la demande portant sur les mesures prévues aux articles 13, et 15 à 19. Lorsque des données à caractère personnel font l'objet d'un traitement automatisé, le responsable du traitement doit également fournir les moyens d'effectuer des demandes par voie électronique. Le responsable du traitement informe la personne concernée sans tarder et, au plus tard, dans un délai d'un mois à compter de la réception de la demande, indépendamment de l'éventuelle adoption d'une mesure conformément aux articles 13, et 15 à 19 et fournit les informations demandées. Ce délai peut être prolongé d'un mois, si plusieurs personnes concernées exercent leurs droits et si leur coopération est suffisamment nécessaire pour empêcher un effort inutile et disproportionné de la part du responsable du traitement. Ces informations sont données par écrit. Lorsque la personne concernée en fait la demande sous forme électronique, les informations sont fournies sous forme électronique, à moins que la personne concernée ne demande qu'il en soit autrement.
3. Si le responsable du traitement refuse de prendre des mesures demandées par la personne concernée, il informe cette dernière des motifs du refus, des possibilités d'introduire une réclamation auprès de l'autorité de contrôle et de former un recours juridictionnel.
4. Les informations et les mesures prises dans le cadre des demandes visées au paragraphe 1 sont gratuites. Lorsque les demandes sont manifestement excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut exiger le paiement de frais pour fournir les informations ou pour prendre les mesures demandées, peut s'abstenir de prendre les mesures demandées. Dans ce cas, il incombe au responsable du traitement de prouver le caractère manifestement excessif de la demande.
5. La Commission est habilitée à adopter des actes délégués en conformité avec l’article 86, aux fins de préciser davantage les critères et conditions applicables aux demandes manifestement excessives, et les frais visés au paragraphe 4.
6. La Commission peut établir des formulaires types et préciser des procédures types pour la communication visée au paragraphe 2, y compris sous forme électronique. Ce faisant, la Commission prend les mesures appropriées pour les micro, petites et moyennes entreprises. Les actes d'exécution correspondants sont adoptés conformément à la procédure d'examen prévue à l'article 87, paragraphe 2.
Article 13 Droits à l'égard des destinataires
Le responsable du traitement communique à chaque destinataire à qui les données ont été transmises toute rectification ou effacement effectué conformément aux articles 16 et 17, à moins qu'une telle communication se révèle impossible ou suppose un effort disproportionné.
1. Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 14 et 14 bis ainsi que pour procéder à toute communication visée aux articles 15 à 19 et à l'article 32 en ce qui concerne le traitement des données à caractère personnel de la personne concernée d'une façon compréhensible et facilement accessible, en des termes clairs et simples. Les informations sont fournies par écrit ou par d'autres moyens, le cas échéant par voie électronique. Lorsque la personne concernée en fait la demande sous forme électronique, les informations peuvent en règle générale être fournies sous forme électronique, à moins que la personne concernée ne demande qu'il en soit autrement. Lorsque la personne concernée en fait la demande, les informations peuvent être communiquées oralement, à condition que l'identité de la personne concernée soit démontrée.
1 bis. Le responsable du traitement facilite l'exercice des droits conférés à la personne concernée en vertu des articles 15 à 19. (...) Dans les cas visés à l'article 10, paragraphe 2, le responsable du traitement ne refuse pas de donner suite à la demande de la personne concernée d'exercer les droits que lui confèrent les articles 15 à 19, à moins que le responsable du traitement ne démontre qu'il n'est pas en mesure d'identifier la personne concernée.
2. Le contrôleur fournit à la personne concernée(...) les informations sur les mesures prises sur demande en application des articles 15 et 16 à 19, sans tarder et au plus tard dans un délai d'un mois après la réception de la demande (…). Ce délai peut être prolongé de deux mois au besoin, compte tenu de la complexité et du nombre des demandes. En cas de prolongation du délai, la personne concernée est informée, dans un délai d'un mois à compter de la réception de la demande, des raisons du report.
3. Si le responsable du traitement ne donne aucune suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle (…).
4. Les informations visées aux articles 14 et 14 bis (…) ainsi que toute communication au titre des articles 16 à 19 et de l'article 32, sont fournies gratuitement. Lorsque des demandes d'une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement (…) peut refuser d'y donner suite. Dans ce cas, il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande.
4 bis. Sans préjudice de l'article 10, lorsque le responsable du traitement a des doutes fondés quant à l'identité de la personne présentant la demande visée aux articles 15 à 19, il peut demander la fourniture des informations complémentaires nécessaires pour confirmer l'identité de la personne concernée.
Cf décret 2005/1309 articles 92 à 95 pour les modalités de l’exercice des droits de la personne concernée. Cf également le règlement intérieur de la CNIL
CF TITRE VI du décret pris pour l'application de la loi n°78-17 du 6 janvier 1978.