Protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’UE

POINTS CLÉS

Les données à caractère personnel doivent être:

• traitées de manière licite, loyale et transparente;
• collectées à des fins déterminées, explicites et légitimes;
• adéquates, pertinentes et limitées à ce qui est nécessaire;
• exactes et, si nécessaire, tenues à jour;
• conservées de telle sorte que les personnes concernées ne peuvent être identifiées plus longtemps que ce qui est nécessaire;
• traitées avec la confidentialité appropriée.

Le responsable du traitement² est chargé de veiller au respect de tous les principes relatifs au traitement des données mentionnés ci-dessus et doit être en mesure de le démontrer.

En outre, les données à caractère personnel:

• peuvent être transmises à un destinataire au sein de l’UE autre qu’une institution, organe ou organisme de l’UE sous réserve qu’il soit soumis à des garanties supplémentaires;
• ne peuvent être transférées en dehors de l’UE qu’en respectant des conditions strictes;
• qui révèlent l’origine raciale ou ethnique d’une personne, ses opinions politiques, ses convictions religieuses ou philosophiques, son appartenance syndicale, et le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique n’est pas autorisé, sauf dans des circonstances particulières;
• nécessitent des garanties appropriées dans le cas d’un archivage dans l’intérêt public, à des fins scientifiques, historiques ou statistiques.

Les demandes de consentement auprès d’une personne pour l’utilisation de ses données doivent être aisément accessibles, faciles à comprendre et formulées en des termes clairs et simples. Le consentement de la personne doit être un acte positif et clair.

Les personnes (dites «personnes concernées» selon les termes législatifs) ont le droit:

• de retirer leur consentement à tout moment, aussi simplement que lorsqu’elles l’ont donné;
• d’être informées du traitement éventuel de leurs données à caractère personnel et d’être en mesure d’y avoir accès;
• d’obtenir la correction de toute donnée à caractère personnel qui serait inexacte;
• de supprimer ou de limiter toute donnée à caractère personnel du processus de traitement, sous réserve que certaines conditions soient respectées;
• de recevoir les données à caractère personnel les concernant fournies au responsable du traitement dans un format structuré, couramment utilisé et lisible par machine et les transmettre à un autre responsable du traitement;
• de s’opposer à l’utilisation de leurs données à caractère personnel à des fins d’intérêt public, en raison de leur situation particulière;
• de ne pas être soumises à des décisions fondées uniquement sur un traitement automatisé et qui produit des effets juridiques les concernant;
• de déposer une plainte auprès du CEPD si elles pensent que leurs données à caractère personnel font l’objet d’un traitement qui enfreint le règlement;
• d’être indemnisées pour tout dommage matériel ou immatériel qu’elles subissent en raison des actions d’une institution, d’un organe ou d’un organisme de l’UE;
• de mandater un organisme à but non lucratif pour qu’il introduise une réclamation auprès du CEPD.

Les responsables du traitement:

• doivent informer les personnes concernées en des termes simples et comportant des faits, comme les coordonnées du responsable du traitement et la finalité du traitement des données à caractère personnel, dès lors que des données à caractère personnel sont collectées;
• doivent répondre à toutes les demandes de la part des personnes concernées, comme les demandes d’accès à leurs données à caractère personnel ou leur correction, dès que possible et dans un délai maximal d’un mois;
• doivent appliquer toute mesure technique ou organisationnelle, y compris la pseudonymisation³ pour garantir la conformité du traitement des données à caractère personnel au règlement;
• doivent faire appel uniquement à des sous-traitants qui répondent aux exigences de l’UE;
• tiennent un relevé détaillé des traitements de données dont ils ont la charge;
• coopèrent avec le CEPD;
• informent le CEPD et, dans certains cas, également la personne concernée dès que possible de toute violation de données à caractère personnel;
• effectuent une analyse d’impact sur la protection des données pour certains traitements de données à caractère personnel à haut risque;
• garantissent la confidentialité et la sécurité de leurs réseaux de communications électroniques;
• informent le CEPD lorsqu’ils élaborent des mesures administratives ou des règles internes relatives au traitement de données à caractère personnel.

La législation crée la fonction de CEPD. Celui-ci est nommé pour une durée de cinq ans, renouvelable une fois. Établie à Bruxelles, la personne occupant cette fonction:

• agit en toute indépendance;
• est tenue au secret professionnel pour toutes les informations confidentielles qu’elle traite;
• contrôle l’application de la législation par les institutions, organes et organismes de l’UE;
• favorise la sensibilisation du public et sa compréhension du traitement des données à caractère personnel;
• traite les réclamations et effectue les enquêtes nécessaires;
• avertit et sanctionne les responsables des données;
• saisit la Cour, qui traite tout litige relatif à la législation;
• soumet un rapport annuel au Parlement européen, au Conseil et à la Commission européenne;
• coopère avec les autorités de contrôle nationales de la protection des données.

Règlement intérieur du CEPD

Une décision du 15 mai 2020 adopte le règlement intérieur du CEPD. Elle établit en détail:

• la mission, les principes directeurs et l’organisation du CEPD;
• les moyens par lesquels il suit et garantit l’application du règlement;
• les procédures pour sa consultation législative, pour la veille technologique, les projets de recherche et les procédures pénales; et
• les procédures de coopération avec les autorités de surveillance nationale et de coopération internationale.

Règles spéciales pour les institutions, organes et organismes de l’UE

Les règles spéciales s’appliquent aux institutions, organes et organismes de l’UE qui traitent des données opérationnelles à caractère personnel⁴ aux fins de l’application de la loi (par exemple Eurojust). Elles sont couvertes dans un chapitre spécifique du présent règlement. Les règles de ce chapitre sont alignées avec la directive d’application de la loi. En outre, les actes constitutifs de ces organes et organismes comportent des règles propres qui permettent de prendre en compte leurs spécificités.

Le traitement des données opérationnelles à caractère personnel par Europol et le Parquet européen est exclu du champ d’application du règlement et est à la place régi par des dispositions spécifiques dans les actes juridiques les instituant. Toutefois, leur traitement administratif de données à caractère personnel (par exemple, pour la gestion du personnel) est soumis au règlement.

Délégués à la protection des données

Les contrôleurs nomment également un délégué à la protection des données pour une durée de trois à cinq ans qui:

• donne son conseil personnel sur le traitement des données;
• contrôle le respect des règles de protection des données.

Rapports

La Commission européenne doit présenter son premier rapport sur le réexamen du présent règlement au plus tard le 30 avril 2022.