Source: http://oncela.net/gdpr/
Timestamp: 2019-03-18 20:31:35+00:00
Document Index: 148390666

Matched Legal Cases: ['§1', '§2', '§7', '§8', '§1', '§1', '§1', '§11', '§1', '§1', '§1', '§1', '§4', '§4', '§2', '§4', '§1', "l'article 4", '§2', '§2', '§3', '§6', '§16', '§22', '§23', '§24', "l'article 29", "l'article 29"]

Dans l'Union européenne, la protection des données personnelles est principalement assurée depuis 20 ans par la directive 95/46/CE (« la directive »), qui sera remplacée le 25 mai 2018 par le règlement 2016/679 (« le règlement »).
Cet exposé, destiné au grand public, vise à expliquer l'ensemble de ce règlement, tout en le comparant à l'actuelle directive.
les traitements concernés par le règlement ;
les conditions de licéité des traitements ;
les droits des individus dont les données sont traitées ;
les obligations des acteurs traitant des données ;
le contrôle et la sanction de ces règles.
Cet exposé peut être corrigé ou commenté sur ce pad.
Cliquez sur le titre d'une partie pour dérouler celle-ci.
Le règlement (comme la directive) concerne tout traitement de données personnelles qui présente un lien avec le territoire de l'Union européenne.
Dans la directive, les notions qui définissent ces traitements doivent être interprétées par chaque État membre, chargé de les transposer dans son droit national. Cette situation conduit à ce que différentes interprétations peuvent coexister dans l'Union.
Le règlement apporte une innovation importante en étant d'application directe dans toute l'Union, sans avoir à être transposé par chaque État membre et renforçant ainsi son application homogène.
Le règlement reprend sensiblement les définitions de la directive pour désigner les activités auxquelles il s'applique.
Une « donnée personnelle » est une information qui porte sur un individu et qui peut être associée à cet individu. Par exemple, il peut s'agir de son nom ou d'une photographie le représentant.
Une « donnée anonyme » est une information qui, bien que portant sur un individu, ne peut pas être rattachée à celui-ci. Une telle donnée n'est pas protégée par le règlement (ni par la directive).
Par exemple, un fichier recensant uniquement la date de naissance des habitants d'une ville, sans que cette date ne soit liée au nom de ces habitants, ne contient que des données anonymes.
Toutefois, une donnée apparemment anonyme redevient « personnelle » si elle peut être recoupée avec d'autres informations afin d'être rattachée à la personne qu'elle concerne.
Par exemple, on ne peut pas précisément identifier une personne en ne connaissant que sa date de naissance ou son adresse mais, en recoupant ces deux informations, il devient facile d'en retrouver l'identité - puisqu'il est rare que deux personnes nées le même jour habitent à la même adresse. Ainsi, dans l'exemple précédent, si le fichier lie les dates recensées à l'adresse des habitants concernés, ces deux informations sont des données personnelles.
La personne à laquelle une donnée personnelle est rattachable est appelée « personne concernée », et le règlement (comme la directive) lui confère certains droits.
Directive : article 2, a), b)
Règlement : article 4, §1 et §2
Le règlement (comme la directive) n'autorise le « traitement » de données personnelles que sous certaines conditions. Un « traitement » est toute opération, automatisée ou non, réalisée sur une donnée. Il s'agit par exemple des opérations de collecte, de modification, de consultation, de transfert ou de recoupement de données.
La personne qui décide pourquoi et comment des données sont traités est le « responsable » du traitement et est à ce titre soumise à certaines obligations. Les personnes qui se contentent de traiter des données pour le compte d'autrui sont des « sous-traitants » et sont ainsi soumises à d'autres obligations.
Ces deux types d'acteurs sont généralement des entreprises ou des personnes publiques, mais il peut aussi s'agir d'associations ou d'individus isolés.
Directive : article 2, d), e)
Règlement : article 4, §7 et §8
Par exception, le règlement (comme la directive) ne s’applique pas aux traitements réalisés par une personne physique pour ses besoins purement personnels (lorsqu'elle collecte l'adresse e-mail d'un proche, par exemple) ou par les États en matières pénale, de sécurité publique, de contrôles aux frontières, d’asile et d'immigration.
Directive : article 3
Règlement : article 2
Traitements liés à l'Union européenne
Le règlement (comme la directive) ne concerne que les traitements liés à l'Union européenne, ce lien pouvant résulter de deux situations.
Acteurs établis dans l'Union
D'abord, le règlement (comme la directive) s'applique à tout traitement rattaché à un établissement situé sur le territoire de l'Union - cet établissement étant celui du responsable ou du sous-traitant (son siège social, une succursale, une filiale...).
Un traitement est rattaché à un établissement lorsqu'il y est directement réalisé ou, plus largement, lorsqu'il est réalisé « dans le cadre des activités » de cet établissement.
Par exemple, la Cour de Justice de l'UE a décidé que le moteur de recherche Google, opéré depuis les États-Unis, entrait « dans le cadre des activités » de filiales de Google qui, situés sur le territoire de l'Union, se contentaient d'assurer la promotion d'espaces publicitaires placés sur ce moteur de recherche - ce dernier étant donc soumis au droit de l'UE.
Directive : article 4
Règlement : article 3
Personnes concernées situées dans l'Union
Ensuite, le règlement s'applique aussi à tout traitement qui, concernant des personnes situées dans l’Union, est lié à une offre de biens ou de services à ces personnes (même à titre gratuit) ou à « l’observation » de leur comportement.
Ce second cas est une innovation importante du règlement. En effet, en principe, la directive ne s'applique pas aux traitements qui sont réalisés hors de l'Union, même s'ils concernent des personnes qui y sont situées. Toutefois, et par exception seulement, la directive s'applique aussi à de tels traitements s'ils utilisent des « équipements » (un espace de stockage, par exemple) situés sur le territoire de l'Union. Ce critère étant devenu superflus dans le règlement (car plus restreint), il n'y a pas été repris.
Tout traitement de données personnelles doit respecter une condition générale de licéité.
Certains traitements, causant des risques ou poursuivant des intérêts particuliers, sont soumis à des conditions particulières.
Le règlement (comme la directive) prévoit que seuls sont licites les traitements qui poursuivent une finalité licite.
Une finalité est licite si elle répond à un intérêt légitime, si la personne concernée y a consenti ou si elle correspond à l'une des finalités encadrées par le règlement. De plus, les finalités ultérieures (définies après la collecte initiale des données) doivent répondre à une condition supplémentaire.
La « finalité » d'un traitement est ce que cherche à en obtenir le responsable. Il peut s'agir, par exemple, de :
mesurer l'audience d'un site internet ;
proposer des produits à un public susceptible de l'acheter ;
communiquer avec des clients ;
recenser la population ou en sonder l'opinion.
C'est cette finalité qui délimite le cadre du traitement : aucune donnée personnelle ne doit être traitée ou conservée au-delà de ce qui est nécessaire à son accomplissement.
La délimitation des finalités licites est ainsi le centre du droit à la protection des données.
Directive : article 6, §1, a, b, c, e
Règlement : article 5 (§1, a, b, c, e)
La poursuite de n'importe quelle finalité est susceptible de nuire aux personnes dont les données sont traitées, ne serait-ce qu'en portant atteinte à leur vie privée. Ainsi, par principe, le règlement (comme la directive) prévoit qu'une finalité n'est licite que si elle sert un « intérêt légitime » supérieur à cette nuisance.
Cet « intérêt légitime » n'est pas précisément défini par les textes et peut ainsi couvrir une infinité d'objectifs. De plus, l'intérêt légitime défendu par le responsable du traitement peut tout aussi bien être son propre intérêt (c'est par exemple le cas lorsqu'un marchand cherche à vendre ses produits) que l'intérêt d'autres personnes (c'est le cas lorsqu'un journaliste informe le public).
En pratique, c'est le responsable du traitement qui évalue si la finalité qu'il poursuit ne nuit pas de façon excessive aux personnes concernées. Ce n'est que plus tard que, si elle en est saisie, une autorité de contrôle évaluera cet équilibre pour, éventuellement, si elle le juge insatisfaisant, déclarer la finalité illicite et sanctionner le responsable.
Toutefois, le règlement (comme la directive) prévoit que certaines finalités sont systématiquement licites, indépendamment de cet équilibre, lorsqu'elles respectent certaines conditions (définies ci-dessous).
Directive : article 7, f.
Règlement : article 6 (§1, f)
Le règlement (comme la directive) prévoit qu'est systématiquement licite toute finalité pour laquelle la personne concernée a, de façon éclairée, libre et explicite, consenti à ce que ses données soient traitées.
D'abord, le caractère éclairé du consentement exige que la personne en ait reçu une information complète (voir plus loin quant aux informations auxquelles elle a droit).
Ensuite, le caractère libre du consentement exige qu'il n'ait pas été donné sous la contrainte. Le règlement innove en précisant que le consentement n'est pas libre s'il existe un déséquilibre manifeste entre la personne concernée et le responsable du traitement, lorsque, par exemple, ce dernier est son employeur ou une autorité publique.
De plus, le règlement innove en précisant que, si le responsable exige de la personne qu'elle consente à un traitement afin de pouvoir bénéficier d'un service ou de l'exécution d'un contrat, ce consentement est présumé non libre si ce traitement n'est pas nécessaire à la réalisation de ce service ou de ce contrat.
Par exemple, si un forum exige que, pour pouvoir y publier des messages, ses utilisateurs consentent à ce que leur messages (qui sont des données personnelles) soient stockées sur les serveurs du site et affichés sur celui-ci, un tel consentement est valide, car le service rendu ne peut l'être sans de tels traitements.
Au contraire, si le forum exige, en plus, que les utilisateurs consentent à ce que leurs messages soient analysés à des fins publicitaires, un tel consentement est présumé non valide, car il porterait sur un traitement non nécessaire au service refusé.
Enfin, le règlement innove quant à la façon dont le consentement doit être donné. En effet, la directive exige simplement que le consentement soit « indubitablement » donné par la personne concernée (sans laisser de doute quant à sa volonté de consentir). Ainsi, dans certain cas, ce critère permet qu'un acte passif (tel le fait de ne pas s'opposer à un traitement) soit considéré comme le consentement de la personne. À l'inverse, le règlement innove en exigeant que le consentement se manifeste « par une déclaration ou par un acte positif explicite » de la personne concernée, excluant tout acte passif.
De plus, le règlement innove encore en prévoyant que le consentement peut être retiré par la personne qui l'a donné.
Directive : article 2, h, article 7, a.
Règlement : article 4 (§11), article 6 (§1.a) et article 7, considérant 43
Finalités encadrées
Le règlement (comme la directive) prévoit que sont systématiquement licites les cinq finalités suivantes :
l’exécution d’un contrat passé avec la personne concernée ;
l'exécution de mesures pré-contractuelles demandées par celle-ci ;
l’exécution d’une obligation légale ;
l'exécution d’une mission d’intérêt public ;
la protection de la vie d’une personne.
Directive : article 7, b, c, d, e.
Règlement : article 6 (§1.b, c, d, e)
Certaines finalités peuvent remplir des conditions amoindries selon le moment où elles sont définies.
En effet, selon ce critère, on peut distinguer deux types de finalités :
la finalité initiale est la raison pour laquelle un responsable collecte des données auprès de personnes concernées ;
une finalité ultérieure est définie plus tard, soit par le responsable qui a collecté les données soit par un autre responsable les ayant acquis auprès de ce premier, et vise à traiter les données pour une raison différente de la finalité initiale.
Le règlement (comme la directive) prévoit qu'une finalité ultérieure est licite si elle est « compatible » avec la finalité initiale, ce qui est notamment déterminé en fonction :
du lien entre les deux finalités ;
du contexte dans lesquelles les données ont été collectées ;
de ce à quoi pouvait s'attendre la personne concernée.
Le règlement innove en prévoyant deux conditions alternatives : les finalités ultérieures peuvent aussi être licites si elles reçoivent le consentement de la personne concernée ou si elles sont spécifiquement autorisées par une loi. Dans ces deux cas, peu importe que les finalités soient compatibles ou non à la finalité initiale.
Directive : article 6, §1, b.
Règlement : article 5 (§1.b), article 6 (§4), considérant 50
À coté de la condition générale de licéité, certains traitements particuliers doivent ou peuvent remplir d'autres conditions.
Ces conditions sont plus ou moins strictes selon que les traitements présentent des risques particuliers (données sensibles, décisions automatisées, transferts hors UE) ou, au contraire, poursuivent un intérêt important (liberté d'expression, droit du travail, sécurité publique...).
Est une « donnée sensible » toute donnée qui révèle ou concerne, à propos de la personne concernée :
les opinions politiques, religieuses ou philosophiques ;
la vie sexuelle ou l'orientation sexuelle ;
la santé, la génétique ou la biométrie.
Le règlement (comme la directive) prévoit qu'un traitement de données sensibles est licite s'il remplit l'une de deux conditions suivantes :
la personne concernée a explicitement consenti à la finalité poursuivie ;
les données sensibles ont déjà été rendues publiques par la personne concernée avant d'être collectées pour le traitement.
De plus, le règlement (comme la directive) prévoit qu'un traitement de données sensibles est aussi licite s'il poursuit l'une des sept finalités suivantes :
l'exercice ou la défense d'un droit en justice ;
une finalité politique, philosophique, religieuse ou syndicale poursuivie par une organisation à but non lucratif et ne concernant que des personnes avec lesquelles elle est en contact régulier ;
la protection de la vie d’une personne, lorsque la personne concernée n’est pas en état de donner son consentement ;
l'exercice de droits et obligations en matière de droit du travail ou de protection sociale, lorsque le traitement est prévu par la loi ou par une convention collective ;
l'archivage ou la recherche scientifique, historique ou statistique ;
un autre intérêt public important prévu par la loi.
Par ailleurs, le règlement (comme la directive) prévoit que les données relatives aux infractions pénales et aux mesures de sûretés (qui sont aussi des données particulières) ne peuvent être traitées que sous le contrôle de l’autorité publique ou lorsque tel traitement est autorisé par la loi.
Directive : article 8.
Règlement : article 9
Une « décision individuelle automatisée » est une décision :
individuelle, en ce qu'elle a des conséquences significatives sur la situation d'une personne - tel qu'en produisant des effets juridiques à son égard ;
automatisée, en ce qu'elle résulte exclusivement d'un traitement automatisé de données personnelles la concernant.
L'exemple type d'une telle décision est un traitement automatisé réalisé par un banquier ou une assurance sur les données personnelles d'un client potentiel afin de vérifier que ce dernier correspond au profil recherché pour un contrat proposé.
D'abord, la directive prévoit que, par principe, une telle décision est illicite si elle résulte d'un « profilage ». Un profilage est un traitement automatisé qui vise à évaluer certains aspects d'une personne, notamment son rendement au travail, sa situation économique, sa santé, ses intérêts, son comportement ou ses déplacements.
Le règlement apporte un changement important en prévoyant que sont désormais illicites par principe toutes les décisions individuelles automatisées, peu importe qu'elles se fondent ou non sur un profilage.
À cette interdiction de principe, la directive et le règlement prévoient les deux mêmes exceptions : sont licites les décisions automatisés spécifiquement autorisée par une loi ou nécessaire à la conclusion ou à l'exécution d'un contrat avec la personne concernée (ce qui peut couvrir l'exemple donné plus tôt).
Ici, le règlement innove encore en ajoutant une nouvelle exception : une décision est aussi licite si la personne concernée y a explicitement consenti.
Par ailleurs, le règlement ajoute que, pour bénéficier des exceptions tirées d'un contrat ou du consentement, une décision « automatisée » doit désormais impérativement inclure une intervention humaine de la part du responsable du traitement (et, ainsi, ne plus être strictement automatisée).
Enfin, le règlement prévoit de nouvelles obligations pour les décisions qui, bénéficiant d'une exception, se fondent sur un profilage : la personne concernée doit être spécifiquement informée de l'existence d'une telle décision, de sa logique sous-jacente et des conséquences qu'en attend le responsable.
Directive : article 15.
Règlement : article 4 (§4), article 22
Transfert en dehors de l'UE
Difficultés posées par les transferts de données
Techniquement, des données personnelles peuvent être transférées en dehors du territoire de l'Union européenne de deux façons :
une personne située en dehors l'Union les collecte directement auprès de personnes concernées (via un site Internet, par exemple) ;
une personne située dans l'Union y collecte des données puis les transfère à une personne ou vers un lieu de stockage situés en dehors.
Dans ces deux cas, le traitement des données exportées n'échappe pas nécessairement au droit de l'Union (par exemple, la Cour de justice a reconnu que les données traitées par Google depuis les États-Unis entraient toujours dans le champ de la directive).
Toutefois, et dans tous les cas, la protection apportée par le droit de l'Union en est largement réduite. En effet, notamment, les autorités de contrôle ne peuvent pas se rendre dans les locaux de responsables situés à l'étranger pour examiner concrètement la conformité des traitements. De plus, l'effectivité de leur sanction dépend alors entièrement de la coopération d'États étrangers.
Trois encadrements
Ainsi, le règlement (comme la directive) prévoit qu'aucune donnée collectée sur le territoire de l'Union ne peut être licitement transférée en dehors si l'une des trois conditions suivantes n'est pas remplie :
les données sont transférées vers un pays offrant un niveau de protection adéquat ;
le transfert est réalisé dans un cadre offrant des garanties suffisantes ;
le transfert poursuit une des finalités spécifiques prévues par la loi.
Les mêmes conditions s'appliquent pour tout transfert ultérieur - entre un pays tiers et un autre pays tiers - de données initialement collectées dans l'Union.
Le règlement (comme la directive) prévoit que des données peuvent être licitement transférées vers tout pays tiers ayant fait l'objet d'une « décision d'adéquation » de la Commission européenne. Une telle décision constate que la législation et les règles en vigueur dans un pays assurent un niveau de protection adéquat des données personnelles au regard de celui offert par le droit européen.
Actuellement, neuf territoires bénéficient d'une telle décision :
l’Uruguay ;
les dépendances de la Couronne britannique (les bailliages de Guernesey et de Jersey et l'île de Man).
Le règlement a ici innové en précisant les éléments que la Commission doit prendre en compte pour évaluer le niveau de protection. Il s'agit, pour le pays tiers, des éléments suivants :
la législation en matière de protection des données, sa jurisprudence et sa mise en œuvre ;
les droits effectifs dont bénéficient les personnes concernées et les recours administratifs et judiciaires leur étant effectivement ouverts ;
le pouvoir et le fonctionnement effectif d'une ou plusieurs autorités de contrôle indépendantes ;
les règles relatives au transfert ultérieur de données à caractère personnel vers un autre pays tiers ;
la législation concernant la sécurité publique, la défense, la sécurité nationale et le droit pénal ;
l'accès des autorités publiques aux données à caractère personnel ;
l'état de droit, le respect des droits de l'homme et des libertés fondamentales.
Champ de la décision
Par ailleurs, le règlement (comme la directive) prévoit qu'une décision d'adéquation ne concerne pas nécessairement l'ensemble d'un pays, mais peut ne concerner qu'une partie de son territoire ou de ses secteurs d'activité.
Par exemple, en 2000, la Commission avait constaté que bénéficiaient d'un niveau de protection adéquat les données transférées vers les entreprises qui, située aux États-Unis, s'étaient soumises au « Safe Harbor ». Le « Safe Harbor » est un ensemble de règles en matière de protection des données auxquels les entreprises peuvent volontairement se soumettre, sous le contrôle d'autorités des États-Unis. Ainsi, la décision d'adéquation ne bénéficiait pas à toutes les entreprises situées aux États-Unis mais seulement à celles soumises à ces règles.
Il faut toutefois souligner que cette décision d'adéquation a depuis était invalidée par la Cour de justice de l'Union dans sa décision Schrems du 6 octobre 2015. Les raisons de cette invalidation font d'ailleurs directement écho aux nouvelles exigences du règlement ci-dessus exposées : la Commission avait omis de préciser dans sa décision le contenu de la législation des États-Unis en matière de sécurité nationale et d'accès des autorités publiques aux données transférées, ainsi que les voies de recours ouvertes aux européens contre cet accès.
Évolution de la décision
Enfin, le règlement (comme la directive) prévoit que la Commission peut retirer sa décision d'adéquation lorsqu'elle réalise que les éléments qui l'avaient initialement justifiée ont depuis disparu (compétence qu'elle partage avec la Cour de justice). Le règlement innove encore ici en exigeant que la Commission s'assure au moins tous les quatre ans que ces éléments n'ont pas disparu.
Directive : article 25
Règlement : article 45
Le règlement (comme la directive) prévoit que des données peuvent être licitement transférées en dehors de l'Union si elles le sont dans un cadre présentant des « garanties suffisantes » pour assurer la protection de ces données, conférant notamment des droits effectifs aux personnes concernées.
Le cadre typique pour prévoir de telles garanties est un contrat entre un responsable qui collecte les données dans l'Union et son partenaire qui, situé dans un pays tiers, les y importe. Le règlement (comme la directive) prévoit ainsi que contient des garanties suffisantes :
un contrat reconnu comme satisfaisant par une autorité de contrôle ;
un contrat incluant des clauses types édictées par la Commission (il existe actuellement deux ensembles de clauses types).
Le règlement ajoute que les autorités de contrôle peuvent désormais aussi édicter des clauses types, qui doivent toutefois encore être approuvées par la Commission.
Ensuite, le règlement innove en intégrant dans les textes une pratique initialement développée par les autorités de contrôle. Désormais, bénéficient aussi de garanties suffisantes les transferts réalisés au sein d'un même groupe d'entreprises - dont certaines sont situées dans l'UE et d'autres en dehors - lorsque ce groupe se soumet à des « règles d'entreprise contraignantes » approuvées par une autorité de contrôle.
Le règlement exige que, pour être approuvées, ces règles doivent au moins :
être contraignantes pour tous les membres du groupe ;
conférer des droits effectifs aux personnes concernées ;
engager la responsabilité des membres européens du groupe pour la violation des règles par les membres non-européens ;
établir un mécanisme de contrôle du respect des règles au sein du groupe.
Finalement, le règlement prévoit désormais qu'offre aussi des garanties suffisantes :
un dispositif légalement contraignant entre des personnes publiques ;
un engagement pris par l'importateur de respecter les garanties prévues par un code de conduite ou un mécanisme de certification (définis plus loin) approuvés par une autorité de contrôle.
Directive : article 26, §2, §4.
Règlement : articles 46 et article 47.
Sept finalités
Le règlement (comme la directive) prévoit que sont licites les transferts en dehors de l'Union qui poursuivent l'une des sept finalités suivantes :
une finalité pour laquelle la personne concernée a consenti que ces données soient transférées, après avoir été informée de l'absence de décision d'adéquation concernant le pays de destination et de garanties suffisantes encadrant le transfert ;
l’exécution d’un contrat avec la personne concernée ou l'exécution de mesures pré-contractuelles demandées par celle-ci ;
la conclusion ou l’exécution d’un contrat avec un tiers, réalisée dans l’intérêt de la personne concernée ;
un intérêt public important prévu par le droit de l'Union ou d'un État membre ;
l'utilisation de données contenues en Europe dans un registre ouvert au public.
Tout d'abord, le règlement innove en précisant, s'agissant du consentement, qu'il doit être explicitement donné (par un acte positif) alors que la directive exige seulement qu'il le soit indubitablement (ce qui peut comprendre un acte passif).
Ensuite, le règlement innove en prévoyant qu'un transfert est aussi licite si sa finalité sert l'intérêt légitime du responsable du traitement et ne nuit pas de façon disproportionnée à la personne concernée. Toutefois, ce transfert n'est licite que s'il respecte les quatre conditions suivantes :
il n'est pas « répétitif » ;
il concerne un « nombre limité » de personnes concernées ;
il est encadré de garanties suffisantes au regard des circonstances ;
il est notifié à l'autorité de contrôle compétente.
Directive : article 26, §1.
Règlement : article 49
Conciliations avec d'autres intérêts importants
La protection des données offerte par le droit européenne peut être trop forte ou trop faible lorsqu'elle rencontre d'autres droits fondamentaux ou certains intérêts importants. Le règlement (comme la directive) aborde directement certaines de ces situations.
Le règlement (comme la directive) exige des États membres qu'ils prennent les lois nécessaires pour concilier le droit à la protection des données à la liberté d'expression et d'information. S'agissant des traitements à fins journalistiques ou d'expression universitaire, artistique ou littéraire, ces lois peuvent déroger à n'importe quelle disposition du règlement.
Pour assurer le droit d'accès aux documents administratifs, le règlement innove en précisant explicitement que, lorsque le droit de l'Union ou d'un État membre le prévoit, toute personne publique ou, dans le cadre de l'exécution d'une mission d'intérêt public, toute personne privée peut communiquer les données à caractère personnel figurant dans les documents officiels qu'elle détient.
Le règlement autorise les États membres à prévoir, par la loi ou au moyen de conventions collectives, des règles plus spécifiques que celles prévues par le règlement pour assurer la protection des données personnel des employés dans leurs relations de travail.
Statistiques, recherches et archives publiques
Le règlement (comme la directive) permet au droit de l'Union ou à celui d'un État membre de prévoir des dérogations aux droits d'accès, de rectification et d'opposition des personnes concernées lorsque ces droit entraveraient sérieusement la poursuite de finalités statistiques ou de recherche scientifique ou historique. Le règlement innove en ajoutant à cette liste les finalités archivistiques dans l'intérêt public, pour lesquelles il peut en plus être dérogé au droit à la portabilité des données.
Sécurité et autres intérêts nationaux
Enfin, le règlement (comme la directive) prévoit que les États membres peuvent, par leur loi, autoriser certains traitements à déroger aux conditions de licéité et aux droits des personnes concernées pour des motifs liés à :
la prévention, l'enquête et les poursuites des infractions pénales ou des manquements à la déontologie de profession réglementées ;
d'autres objectifs importants d'intérêt public, notamment économiques, financiers, fiscaux, de santé ou de la sécurité sociale ;
le protection de la personne concernée ;
la garantie des droits et libertés d'autrui.
Le règlement innove ici en exigeant que ces lois précisent les finalités et les catégories de données qu'elles couvrent, les limitations qu'elles réalisent, les garanties qu'elles prévoient pour restreindre ces limitations à ce qui est nécessaire, les responsables de traitement concernés et les périodes de conservation des données.
Directive : articles 9, 11, 13
Règlement : article 23, article 85, article 86, article 88 et article 89
En principe, les personnes dont les données sont traitées ne l'ont pas choisi (elles ne l'ont choisi que si le responsable du traitement a voulu se soumettre à leur consentement).
Ainsi, à défaut d'une maîtrise systématique sur leurs données, elles sont informées des traitements dont elles font l'objet afin de pouvoir les contester si elles le jugent nécessaire. Ces droits sont toutefois sujets à certaines limites.
Le droit principal des personnes concernées est de savoir que données les concernant sont traitées, par qui et comment.
Ce droit se traduit par une obligation pour le responsable d'informer la personne concernée (c'est le « droit à l'information ») et par certains pouvoirs conférés à cette dernière (« droit d'accès » et « droit à la portabilité »).
Le règlement (comme la directive) prévoit que le responsable du traitement doit fournir à la personne concernée les éléments suivant :
l’étendue des droits de la personne concernée ; et
si les données sont transmises à des tiers, l'identité de ces destinataires ou la catégorie de ces destinataires (par exemple : « nos partenaires économiques »).
Le règlement innove en prévoyant que le responsable doit aussi indiquer :
la condition de licéité remplie par le traitement – en précisant, selon le cas, l'intérêt légitime défendu ou la possibilité de retiré le consentement donné ;
la durée de conservation des données (par exemple : « 6 mois ») ou, si cette durée ne peut être directement définie, les critères utilisés pour la déterminer (par exemple : « jusqu'au terme du contrat ») ;
Le règlement innove encore en exigeant la fourniture des éléments suivants lorsqu'ils existent :
les coordonnées du délégué à la protection des données (défini plus loin) ;
l’existence d'une prise de décision automatisée, ainsi que la logique et les conséquences prévues d'une décision résultant d'un profilage.
Information relative au mode de collecte
Certaines informations doivent être fournies selon que le responsable collecte directement ou indirectement les données auprès de la personne concernée.
Dans le premier cas, les données sont directement fournies par la personne concernée (dans un formulaire d'inscription à un site internet, par exemple). Ici, le règlement (comme la directive) exige que la personne concernée soit au préalable informée des conséquences qu'entraînerait son refus de fournir ces données. Le règlement innove en précisant qu'il doit aussi lui être indiqué si cette fourniture conditionne la conclusion d'un contrat ou si la personne concernée y est contrainte en vertu d'une obligation légale ou contractuelle.
Dans le second cas, le responsable n’acquiert pas les données auprès de la personne concernée mais auprès d'un tiers (qui les a obtenues auprès de la personne, par exemple) ou d'une source publique (tel qu'un site internet où la personne les aurait publiées). Ici, le règlement (comme la directive) exige que le responsable informe la personne de la « catégorie » à laquelle appartiennent les données en cause (par exemple, des « données de correspondance »). Le règlement innove en exigeant qu'il l'informe aussi de l'identité du tiers ou de la source publique auprès duquel il a obtenu les données.
Si le responsable collecte directement les données auprès de la personne concernée, le règlement (comme la directive) exige qu'il lui fournisse les informations au même moment que la collecte.
Si le responsable collecte les données auprès d'une autre source, le règlement exige qu'il informe la personne dans le mois suivant cette collecte ou, selon le cas :
s'il utilise les données pour communiquer avec la personne (par son adresse e-mail, par exemple), au moment de la première communication ; ou
s'il envisage de transmettre les données à des tiers, lorsqu'il les transmet pour la première fois ;
Le règlement innove ici, puisque la directive exige que le responsable informe la personne dès le moment de la collecte ou, s'il envisage de transmettre les données à des tiers, lorsqu'il les transmet pour la première fois.
Enfin, le règlement innove en précisant que, quel que soit le mode de collecte, le responsable doit aussi fournir toutes les informations requises lorsqu'il réutilise des données préalablement obtenues pour poursuivre une nouvelle finalité - différente de celle pour laquelle il les a initialement collectées.
Directive : articles 10 et 11
Règlement : article 13 et article 14
Pouvoirs de s'informer
Le règlement (comme la directive) prévoit que toute personne peut exiger de tout responsable qu'il lui indique traiter ou non des données la concernant. Si tel est le cas, elle peut demander au responsable de lui fournir les informations qu'il était tenu de lui communiquer ainsi qu'une copie de toutes les données la concernant.
Le règlement innove en étendant ce droit d'obtenir une copie à un « droit à la portabilité » lorsque trois conditions sont réunies :
la personne concernée a consenti au traitement ou celui-ci est licite en raison d'un contrat avec elle ;
les données ont été directement fournies par la personne concernée ;
les données sont traitées de façon automatisée.
Ce droit à la portabilité permet :
d'obtenir une copie des données dans un format adapté à un traitement automatisé ; ou
d'exiger que les données soient transmises vers un autre responsable de traitement. Par exemple, l'utilisateur d'un service de messagerie électronique peut exiger que son prestataire transmette la liste de contacts qu'il y a établie vers un service concurrent.
Directive : article 12
Règlement : article 15 et article 20
Ayant connaissance des traitements qu'elle subit, toute personne concerner peut contester ceux-ci directement auprès du responsable (« droit à l'effacement », « droit de rectification », « droit d'opposition ») ou auprès d'une autorité ou d'un juge (« droit au recours »).
Demande d'effacement et de rectification
Le règlement (comme la directive) prévoit qu'une personne concernée peut exiger du responsable qu'il corrige les données la concernant qui sont inexactes ou qu'il supprime celles qu'il traite de façon illicite.
Le règlement (comme la directive) prévoit que le responsable doit alors notifier cette correction ou cet effacement aux tiers à qui il a communiqué les données, sauf si cette notification est impossible ou exige un « effort disproportionné ». Le règlement innove ici en prévoyant que, lorsqu'il a rendu les données publiques, le responsable doit aussi essayer d'avertir tous les tiers les ayant récupérées.
Droit à l'oublie pour les enfants
Ensuite, le règlement innove en prévoyant que toute personne peut exiger, alors même que le traitement est licite, que soient supprimées les données qu'elle a fournies sur un site internet alors qu'elle était enfant.
Un enfant est défini par principe comme un mineur de 16 ans, mais les États membres peuvent prévoir que, sur leur territoire, il s'agit de personnes plus jeunes (cette limite d'âge ne peut toutefois être fixée en deçà de 13 ans).
Enfin, le règlement innove encore en privant les personnes concernées de leur droit à l'effacement s'agissant des traitements nécessaires à l'une des cinq finalités suivantes :
l'exécution d'une obligation légale ;
l'exécution d'une mission d'intérêt public ;
des fins d'archivage, statistiques ou de recherche scientifique ou historique.
Directive : articles 12 et 13
Règlement : article 8, article 16, article 17 et article 19
Opposition aux traitements publicitaires
Le règlement (comme la directive) prévoit que, lorsque des données sont traitées à des fins publicitaires, la personne concernée peut systématiquement exiger du responsable qu'il cesse d'utiliser les données à ces fins.
Le règlement innove en précisant que, lorsque la personne est en relation avec le responsable via des sites internet, celle-ci peut signifier son opposition de façon automatisée (en configurant son navigateur ou en y ajoutant une extension appropriée, par exemple).
Toutefois, le règlement ne prévoit plus, contrairement à la directive, que le responsable doit, avant de transmettre des données à un tiers à des fins publicitaires, offrir à la personne concernée la possibilité de s'opposer à ce transfert.
Directive : article 14
Règlement : article 21
Contestation devant une autorité ou un juge
Le règlement (comme la directive) prévoit que toute personne concernée peut, dans son État de résidence, contester la licéité du traitement de ses données devant une autorité de contrôle ou un juge afin d'obtenir la cessation du traitement ou l'indemnisation du dommage qu'elle en a subit.
Le règlement (comme la directive) prévoit que la personne peut être représentée par une association lorsqu'elle saisit l'autorité de contrôle.
Le règlement innove en prévoyant qu'elle peut aussi être représentée lorsqu'elle saisit un juge. De plus, le règlement laisse aux États membres la possibilité de permettre à des associations non-mandatées de contester la licéité de tout traitements devant une autorité de contrôle ou un juge.
Directive : articles 22, 23 et 28
Règlement : article 77, article 78, article 79 et article 80
Comme exposé plus tôt, le règlement (comme la directive) prévoit que les États membres peuvent, par leur loi, limiter l'étendue des droits d'information, d'accès, de portabilité, de rectification, d'effacement et d'opposition pour des motifs liés à :
Le règlement innove en exigeant que ces lois précisent les finalités et les catégories de données qu'elles couvrent, les limitations qu'elles réalisent, les garanties qu'elles prévoient pour restreindre ces limitations à ce qui est nécessaire, les responsables de traitement concernés et les périodes de conservation des données.
Directive : article 13
Règlement : article 23
La principale obligation des personnes traitant dans données personnelles est d'assurer la sécurité de celles-ci.
Ensuite, elles sont soumises à certaines formalités ainsi qu'à certaines obligation lorsqu'une multiplicité d'acteurs participent au traitement.
Enfin, elles peuvent aménager leurs obligations au moyen de codes de conduite et de mécanismes de certification.
Les personnes traitant des données doivent, au préalable, prendre les mesures assurant la sécurité des données et, ultérieurement, signaler les failles de sécurité qu'elles subiraient.
Le règlement (comme la directive) prévoit que le responsable doit prendre toute mesure appropriées pour :
éviter la destruction ou l'altération des données qu'il traite ;
s'assurer que seules les personnes autorisée y ont accès ; et
s'assurer que ces personnes ne traitent pas les données autrement que selon ses instructions ou selon les obligations légales auxquelles elles sont tenues.
Le règlement innove en prévoyant que ces obligations pèsent aussi sur le sous-traitant, alors que la directive ne l'y soumet qu'au travers de son contrat avec le responsable du traitement (voir plus loin le développement dédié au sous-traitant).
Appréciation concrète
Le règlement (comme la directive) prévoit que le caractère approprié des mesures doit être apprécié au cas par cas selon :
leur coût de mise en œuvre et l'état des connaissances techniques ;
la nature, l'étendue, le contexte et les finalités du traitement mis en œuvre ;
la gravité de l'atteinte aux droits et libertés des personnes concernées si, compte tenu de ce traitement, ces mesures devaient faillir, ainsi que la probabilité de cette défaillance.
Le règlement innove en proposant des exemples concrets de mesures qui, selon les besoins, peuvent être appropriées, dont notamment :
le chiffrement ou la « pseudonymisation » des données (consistant à conserver de façons séparées les données traitées et les données permettant de rattacher ces premières aux personnes concernées) ;
une procédure visant à évaluer régulièrement l'efficacité des mesures mises en place pour assurer la sécurité du traitement.
Directive : article 17
Règlement : article 32
La directive ne prévoit pas que, en cas de faille des mesures de sécurité mises en place par le responsable, celui-ci doit réagir d'une quelconque façon.
Toutefois, l'article 4 de la directive ePrivacy 2002/58 prévoit une obligation spéciale de signalement des failles de sécurité pour les opérateurs de communications électroniques. Le règlement a repris cette obligation pour l'étendre à tous les responsables de traitement.
Notification à l'autorité de contrôle
Ainsi, le règlement prévoit que toute destruction, altération ou accès non autorisé aux données doit être notifié par le responsable à l'autorité de contrôle compétente dans les 72 heures - s'il ne peut le faire dans ces délais, il doit s'en justifier.
La notification doit préciser :
les catégories et le nombre des personnes et données affectées ;
les conséquences probables de la faille de sécurité ;
les mesures prises ou proposées pour remédier à la faille ou en atténuer les conséquences.
Le responsable n'est toutefois pas tenu de notifier une faille s'il est « peu probable que la violation en question engendre un risque pour les droits et libertés des personnes ». Il doit néanmoins en conserver une trace documentaire, en indiquant le contexte et les effets, ainsi que les mesures prises pour y remédier.
Par ailleurs, et à l'opposé, chaque fois qu'une faille « est susceptible d'engendré un risque élevé pour les droits et libertés d'une personne », le responsable doit aussi en informer cette personne, dans les meilleurs délais, en précisant la nature et les conséquences probables de la faille ainsi que les mesures prises pour y remédier ou en atténuer les effets. Il lui indique aussi les coordonnés d'un point de contact auprès duquel obtenir davantage d'informations.
Le risque élevé pour les droits et libertés des personnes - qui conditionne l'obligation d'informer celles-ci - n'est pas constitué lorsqu'une des conditions suivantes est remplie :
les données affectées par la faille étaient préalablement soumises à des mesures de sécurité appropriées, tel que le cryptage ;
des mesures de sécurité ultérieures ont été prises pour garantir que le risque n'est plus susceptible de se matérialiser.
Cette évaluation du risque revient en dernier ressort à l'autorité de contrôle - lorsque la faille lui a été notifiée -, qui peut enjoindre au responsable d'en informer les personnes affectées.
Enfin, le responsable n'a pas à informer individuellement chaque personne affectée si cela exigerait pour lui des efforts disproportionnées et qu'une communication publique permettrait à celles-ci d'en être tout aussi efficacement informées.
Règlement : article 33 et article 34
Une innovation importante du règlement est de recentrer les nombreuses formalités prévues par la directive autours de certains traitements ou acteurs spécifiques.
Ces formalités, dans la directive comme dans le règlement, ont pour but premier d'inciter les personnes traitant des données à prendre conscience des risques qu'ils créent ainsi que de faciliter le travail des autorités de contrôle.
La directive exige que tout responsable de traitement notifie à l'autorité de contrôle compétente tout traitement automatisé qu'il entend mettre en œuvre.
Par dérogation, la directive permet aux États membre de prévoir des exceptions à cette obligation si l'une des deux conditions suivantes est remplie :
le traitement, précisément défini par l'État membre, n'est pas susceptibles de porter atteinte aux droits et libertés des personnes concernées ;
le responsable a désigné en son sein une personne indépendante chargée d'assurer la protection des données et de tenir un registre des traitements réalisés.
Le règlement n'a pas repris cette obligation de notification en tant que telle. À la place, il a seulement repris la dérogation consistant à tenir un registre pour la rendre obligatoire sous certaines conditions et l'imposer aux responsables comme aux sous-traitants.
Ainsi, le règlement prévoit qu'un responsable ou un sous-traitant doit tenir un registre de ses activités lorsqu'une des quatre conditions suivantes est remplie :
il emploie au moins 250 employés ;
le traitement n'est pas occasionnel ;
les données traitées sont sensibles.
Ce registre est remis à l'autorité de contrôle quand celle-ci le demande.
Registre du responsable
D'une part, le registre du responsable doit comporter les informations suivantes (qui correspondent à celles devant être notifiées en application de la directive) :
une description générale des mesures de sécurité ;
le cas échéant, les catégories de destinataires auxquels les données sont communiquées ;
le cas échéant, les transferts hors Union.
Le registre du responsable doit aussi contenir les informations suivantes (qui n'ont pas à figurer dans la notification exigée par la directive) :
le cas échéant, le nom et les coordonnées du responsable conjoint (abordé plus loin) ;
le cas échéant, le nom et les coordonnées du délégué à la protection des données (abordé plus loin).
Registre du sous-traitant
D'autre part, le registre du sous-traitant doit contenir les informations suivantes :
le nom et les coordonnées de chaque responsable pour le compte duquel il agit ;
les catégories de traitements effectués pour le compte de chaque responsable ;
le cas échéant, le nom et les coordonnées du délégué à la protection des données ;
Directive : articles 18 et 19
Règlement : article 30
Comme vu plus tôt, la directive permet une dérogation à l'obligation de notification préalable des traitements lorsque le responsable désigne en son sein une personne indépendante chargée de s'assurer de la licéité des traitements réalisés.
Le règlement innove en rendant cette possibilité obligatoire et en l'imposant au responsable comme au sous-traitant. Ainsi, ceux-ci doivent désigner un « délégué à la protection des données » lorsque leurs « activités de base » exigent :
un suivi régulier, systématique et à grande échelle de personnes concernées ; ou
un traitement à grande échelle de données sensibles.
Les personnes publiques sont, elles, systématiquement tenues d'en désigner un. De plus, les États membres peuvent prévoir d'autres cas dans lesquels telle désignation est obligatoire.
Indépendance et missions du délégué
Le délégué peut être un employé du responsable ou du sous-traitant ou bien un contractant tiers. Il doit avoir accès à toutes les données traitées et à toutes ressources nécessaires à la réalisation de ses missions. Son indépendance est assurée par l'interdiction faite au responsable ou au sous-traitant de lui donner des ordres, de le licencier ou de le sanctionner quant à l'exercice de ses missions.
être un point de contact pour les personnes concernées ;
informer et conseiller le responsable ou le sous-traitant ainsi que leurs employés ;
contrôler le respect du droit à la protection des données ;
Directive : article 18
Règlement : article 37, article 38 et article 39
Représentation des acteurs situés hors Union
Le règlement (comme la directive) prévoit que, lorsque le traitement est localisé hors de l'Union mais reste soumis à son droit (car lié au territoire de l'Union d'une autre façon), le responsable doit être représenté par une personne qui y est située et qui servira de point de contact supplémentaire pour les autorités de contrôle et les personnes concernées.
Le règlement innove en imposant aussi cette obligation aux sous-traitants situés hors de l'Union.
Le règlement innove encore en prévoyant que la désignation d'un tel représentant n'est pas obligatoire si l'une des deux conditions suivant est remplie :
le traitement est occasionnel, ne traite pas à grande échelle des données sensibles et n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques ;
le responsable est une personne publique.
Directive : article 4, §2
Règlement : article 27
La directive exige que les traitements présentant un risque particulier pour les droits et libertés des personnes concernées soient, préalablement à leur mise en œuvre, examinés par une autorité de contrôle ou par une personne indépendante chargée, auprès du responsable, d'assurer la protection des données.
Le règlement reprend cette obligation pour la développer bien plus en détail, exigeant d'abord que le responsable réalise lui-même une analyse d'impact des traitements présentant un tel risque.
Le règlement précise qu'un tel risque est évalué selon la nature, la portée, le contexte et les finalités du traitement, devant être particulièrement pris en compte le recours à de nouvelles technologies. Il précise aussi qu'un tel risque est systématiquement caractérisé pour les trois types de traitement suivants :
l'évaluation systématique et approfondie d'aspects personnels de personnes concernées conduisant à des décisions individuelles automatisées ;
le traitement à grande échelle de données sensibles ;
Les autorités de contrôle peuvent établir une liste des traitements nécessitant systématiquement ou ne nécessitant jamais la réalisation d'une analyse d'impact.
L'analyse d'impact doit au moins contenir :
une description systématique des opérations de traitement envisagées ;
le cas échéant, l'intérêt légitime poursuivi ;
une évaluation de la nécessité et de la proportionnalité des traitements au regard des finalités ;
les mesures envisagées pour faire face aux risques, y compris mesures et mécanismes de sécurité.
Consultation de l'autorité
Ensuite, si l'analyse révèle que le traitement présenterait un risque élevé si aucune mesure n'était prise pour l'atténuer, son responsable doit en informer l'autorité de contrôle compétente, lui transmettant l'analyse d'impact et toute information demandée par elle.
Si l'autorité considère que les mesures prises par le responsable ne suffisent pas à atténuer le risque, elle notifie à ce dernier que le traitement est contraire au règlement dans un délai de 8 semaines, qui peut être prolongé de 6 semaines supplémentaires en cas de difficultés et qui est chaque fois suspendu le temps que le responsable fournisse à l'autorité les informations qu'elle lui demande.
Directive : article 20
Règlement : article 35 et article 36
Divers acteurs peuvent intervenir sur un même traitement, soit parce que la personne qui décide pourquoi et comment réaliser un traitement n'est pas celle qui le met en œuvre, soit parce qu'elle prend cette décision à plusieurs.
Le règlement (comme la directive) exige que la relation entre un responsable et son sous-traitant soit encadrée par un contrat.
Le règlement innove en détaillant ce que doit préciser ce contrat, soit notamment :
De plus, ce contrat doit imposer au sous-traitant de :
ne traiter les données que sur instruction écrite du responsable, à moins qu'il n'y soit autrement tenu par la loi ;
prendre les mesures de sécurités que le règlement lui impose de prendre ;
aider le responsable à remplir ses obligations de sécurité et d'analyse d'impact ;
aider le responsable pour répondre aux demandes des personnes concernées ;
supprimer ou retourner toutes les données au terme du contrat ;
immédiatement informer le responsable s'il considère recevoir une instruction illicite.
Le règlement innove encore en interdisant au sous-traitant de recruter un sous-sous-traitant sans l'autorisation du responsable en en dehors d'un contrat similaire à celui passé avec le responsable.
Directive : article 17, §2 et §3
Règlement : article 28
Si les finalités et les moyens de mise en œuvre d'un traitement sont décidés par plusieurs personnes, celles-ci en sont les responsables conjoints.
Le règlement innove en exigeant qu'elles décident ensemble sur qui pèse chacune des différentes obligations prévues par le règlement, notamment quant à l'obligation d'informer les personnes concernées et de gérer les demandes de celles-ci.
Le règlement précise toutefois que les personnes concernées peuvent exercer leurs droits auprès de n'importe lequel des responsables conjoints.
Règlement : article 26
Contenu des codes
Le règlement (comme la directive) prévoit que des associations professionnelles peuvent élaborer des codes de conduite à destination de responsables. Le règlement innove en étendant cette faculté aux sous-traitants.
Ces codes visent à traduire en mesures concrètes, propres à des secteurs d'activités identifiés, les obligations juridiques qui pèsent sur ces acteurs.
Le règlement innove en indiquant explicitement que ces codes peuvent préciser, selon le contexte spécifique auquel ils s'appliquent :
les intérêts légitimes que les responsables peuvent défendre ;
les informations que les personnes concernées doivent recevoir ;
la façon de répondre aux demandes de ces dernières ;
les mesures de sécurité appropriées ;
la façon de notifier les failles de sécurité aux autorités et personnes concernées ;
les bases légales permettant de transférer des données hors UE.
Approbation des codes
Le règlement (comme la directive) prévoit que ces codes peuvent être soumis à une autorité de contrôle qui, si elle les considère conformes au règlement, les approuve.
Un code ainsi approuvé offre aux acteurs qui le respectent une certaine garantie de ce qu'ils respectent aussi le règlement et qu'ils ne seront donc pas sanctionnés.
De plus, le règlement (comme la directive) prévoit que des codes peuvent être aussi soumis aux autorités de divers États membres pour produire leur effet dans chacun de ceux-ci. Le règlement innove en prévoyant que ces codes peuvent alors, sur décision de le Commission européenne, se voir reconnaître d'application générale dans toute l'Union.
Enfin, le règlement innove encore en prévoyant que des responsables étrangers non soumis au règlement peuvent s'engager à respecter de tels codes d'application générale afin de démontrer fournir des garanties appropriées dans le cadre de transferts hors UE - et pouvoir donc en bénéficier licitement.
Le règlement innove en prévoyant qu'une autorité de contrôle peut agréer un organisme à veiller au respect de certains codes de conduite. Un tel agrément exige pour cet organisme de démontrer son expertise, son indépendance et sa capacité à assurer le contrôle du code.
L'organisme doit alors prendre des sanctions à l'égard des personnes ne respectant pas le code, pouvant exclure celles-ci de son application.
Règlement : article 40 et article 41
Le règlement innove en prévoyant la possibilité pour les responsables et sous-traitant d'être individuellement certifiés comme respectant le règlement.
Une telle certification ne peut être délivrée que par une autorité de contrôle ou un organisme agréé par cette première au regard de son indépendance, de son expertise et de ses moyens.
Pour délivrer chaque certification, l'autorité ou l'organisme doit examiner l'ensemble des traitements réalisés par l'acteur qui en fait la demande. Cet examen doit reposer sur un mécanisme précis qui (comme les codes de conduites) a dû être préalablement approuvé par une autorité de contrôle et peut être ensuite approuvé au niveau européen pour y déployer ses effets.
La certification est délivrée pour une durée de 3 ans maximum et l'agrément des organismes de certification l'est pour une durée de 5 ans.
Enfin, les responsables étrangers non soumis au règlement peuvent s'engager à respecter de tels mécanisme de certification afin de démontrer fournir des garanties appropriées dans le cadre de transferts hors UE - et pouvoir donc en bénéficier licitement.
Règlement : article 42 et article 43
Le contrôle du respect du droit à la protection revient en priorité aux autorités de contrôle de chaque État membre.
Toutefois, pour éviter qu'une multitude d'autorités ne soient compétentes pour contrôle un même traitement ou, au contraire, qu'un responsable puisse échapper à certaines pour ne se soumettre qu'aux moins sévères, le règlement a introduit de nouveaux mécanismes d'harmonisation entre autorités.
Enfin, le règlement prévoit un plafond homogène aux amendes sanctionnant sa violation, parachevant cette entreprise d'harmonisation.
Le règlement (comme la directive) exige de chaque État membre qu'il institue une ou plusieurs autorités publiques indépendantes chargées d'assurer le respect du droit à la protection des données personnelles sur leur territoire. Les membres de ces autorités ne peuvent recevoir aucun ordre extérieur, ces autorités disposant d'un budget et d'agents qui leur sont propres.
Le règlement prévoit que les missions d'une autorité de contrôle sur le territoire de son État membres sont notamment les suivantes :
informer le public sur leurs droits ;
faciliter et traiter les réclamations des personnes concernées (gratuitement et dans les trois mois) ;
réaliser des enquêtes pour s'assurer du respect du droit à la protection des données ;
autoriser des clauses contractuelles et des règles d'entreprise contraignantes ainsi que publier des clauses types permettant des transferts de données hors UE.
Pour accomplir ces missions, le règlement (comme la directive) prévoit que les autorités disposent notamment des pouvoirs suivants :
ordonner qu'on lui communique toute information qu'elle requiert ;
accéder à toutes données personnelles et à tous locaux des responsables et sous-traitants ;
ordonner d'accepter les demandes de personnes concernées ;
ordonner des corriger des traitements dans un délai déterminé ;
ordonner la rectification ou l'effacement de données à caractère personnel ;
interdire ou limiter temporairement un traitement, tels que des transferts hors UE ;
imposer une amende administrative ;
saisir l'autorité judiciaire.
Enfin, le règlement (comme la directive) prévoit que les actes ou l'inaction d'une autorité de contrôle peuvent être contestés devant un juge, qui a le pouvoir de contraindre ou de sanctionner cette dernière.
Directive : article 28
Règlement : articles 51 à 54, article 57, article 58 et article 78
Le règlement prévoit deux nouveaux mécanismes d'harmonisation entre autorités de contrôle.
Un premier vise à centraliser le contrôle des traitements concernant plusieurs États membre. Un second vise à laisser les décisions européennes les plus importantes à un comité unique représentant l'ensemble des autorités.
Par principe, le règlement (comme la directive) prévoit que chaque autorité de contrôle est compétente pour assurer le respect du règlement sur le territoire de son État membre.
Par exception, le règlement innove en prévoyant un encadrement spécifique des traitements « transfrontaliers », qui concernent plusieurs États membres car :
ils se rattachent à plusieurs établissements situés dans plusieurs États membres ; ou
ils affectent ou sont susceptibles d'affecter sensiblement des personnes situées dans plusieurs États membres.
Sont toutefois exclus de cette catégorie les traitements qui, bien que concernant plusieurs États membres, sont réalisés par des autorités publiques ou en raison d'une obligation légale ou d'un intérêt public national.
Les traitements transfrontaliers sont soumis au contrôle exclusif d'une « autorité chef de file ». Cette autorité est celle de l'État membre où est situé l'« établissement principal » du responsable ou du sous-traitant.
Leur établissement principal est en principe celui de leur administration centrale. Toutefois, si les finalités et les moyens des traitements ne sont pas décidés par l'administration centrale du responsable mais par un autre de ses établissements, c'est ce dernier qui est son établissement principal.
L'autorité chef de file est en principe la seule autorité compétente pour contrôler un traitement transfrontalier et interagir avec les acteurs qui le réalisent.
Par exception, les autres autorités restent compétentes au sujet de violations qui ne concernent que des établissements ou n'affectent sensiblement que des personnes situés sur leur État membre.
Lorsqu'une telle affaire se présente, toutefois, l'autorité chef de file doit en être informée et dispose alors un délai de trois semaines pour décider de s'en saisir. À défaut, c'est l'autorité initiale qui la traite.
L'autorité chef de file doit soumettre chacune de ses décisions aux autres autorités concernées (qui ont reçu une plainte ou dont l'État membre accueil un établissement rattaché au traitement ou des personnes sensiblement concernées).
Ces autorités disposent alors d'un délai de quatre semaines pour s'opposer à la décision. Si l'autorité chef de file se conforme à leur objection, elle doit soumettre sa décision corrigée aux autres autorités, qui ont cette fois-ci deux semaines pour s'opposer.
Dans tous les cas, l'autorité chef de file ne peut prendre aucune décision si une autre autorité concernée s'y oppose : en cas de conflit, la décision est rendue par le comité européen de la protection des données.
Directive : article 28, §6
Règlement : article 4 (§16, §22, §23, §24), article 55, article 56 et article 60
La directive prévoit un groupe de travail composé d'un représentant de la ou des autorités de contrôle de chaque État membre. Ce groupe est couramment appelé « groupe de l'article 29 », en référence à l'article le prévoyant. Il s'agit d'une institution consultative, qui émet des avis et des recommandations non contraignantes visant à favoriser l'application efficace et homogène de la directive dans l'Union.
Le règlement reprend cette structure pour créer le comité européen de la protection des données, lui conférant un rôle bien plus important que le groupe de l'article 29.
Chaque autorité de contrôle doit soumettre à l'avis du comité chacune des décisions suivantes :
l'autorisation de transferts hors UE fondés sur des clauses contractuelles ou des règles d'entreprise contraignantes ;
la liste de types de traitements systématiquement soumis à une analyse d'impact ;
l'approbation d'un code de conduite concernant des activités menées dans plusieurs États membres ;
l'approbation de critères d'agrément d'un organisme de contrôle du respect d'un code de conduite ou d'un organisme de certification.
Le comité rend son avis dans un délai de huit semaine à la majorité simple de ses membres, ce délai étant prolongé de six semaine si l'affaire est complexe.
L'autorité qui a saisi ne peut pas prendre sa décision tant que l'avis n'a pas été rendu ou si l'avis est défavorable. Dans ce dernier cas, la décision revient au comité.
Le comité rend une décision contraignante dans l'un des trois cas suivants :
une autorité chef de file veut prendre une décision à laquelle s'est opposée une autre autorité concernée ;
une autorité conteste la qualité de chef de file de l'autorité s'en prévalant ;
une autorité qui a dû soumettre sa décision au comité n'entend pas en suivre l'avis.
Le comité rend sa décision dans un délai d'un mois - prolongée d'un autre mois si l'affaire est complexe - à la majorité des deux tiers de ses membres. S'il ne parvient à atteindre une telle majorité dans ce délai, il dispose d'un délai supplémentaire de deux semaines pour rendre sa décision à la majorité simple.
L'autorité concernée par la décision du comité est tenue de prendre une décision conforme à celle-ci.
Directive : articles 29 et 30
Règlement : articles 64 à 70
Alors que la directive laisse les États membres fixer librement le montant des amendes administratives sanctionnant sa violation, le règlement est bien plus précis, harmonisant un tel montant dans l'Union.
Ainsi, le règlement prévoit que les autorités de contrôle peuvent prononcer des amendes administratives plafonnées à 20 millions d'euros ou, si le montant est plus élevé, à 4% du chiffre d'affaire annuel mondial de l'acteur sanctionné.
Cette amende peut être prononcée pour sanctionner l'une des violations suivantes :
traitement illicite ;
transfert illicite de données hors UE ;
non-respect du droit des personnes concernées ;
non-respect d'une injonction, d'une interdiction ou d'une limitation temporaire ordonnée par l'autorité de contrôle ;
refus d'accorder à l'autorité de contrôle l'accès aux données traitées ou aux locaux.
Une amende dont la limite est deux fois moins élevée peut être prononcée pour l'une des violations suivantes :
non-respect des obligations incombant aux acteurs (sécurité, formalité...) ;
non-respect des obligations incombant aux organismes de certification ou à ceux chargés du suivi des codes de conduite.
Toutefois, le règlement (comme la directive) laisse les États membres fixer librement le plafond des amendes que peuvent prononcer les juridictions en cas de violation du droit à la protection des données personnelles.
Directive : article 24
Règlement : article 83