Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016

RÈGLEMENTS RÈGLEMENT (UE) 2016/679 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (Texte présentant de l'intérêt pour l'EEE) LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE, vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 16, vu la proposition de la Commission européenne, après transmission du projet d'acte législatif aux parlements nationaux, vu l'avis du Comité économique et social européen (), vu l'avis du Comité des régions («), statuant conformément à la procédure législative ordinaire (Ф), considérant ce qui suit : (1) La protection des personnes physiques à l'égard du traitement des données à caractère personnel est un droit fondamental . L'article 8, paragraphe 1, de la Charte des droits fondamentaux de l'Union européenne (« la Charte ») et l'article 16, paragraphe 1, du traité sur le fonctionnement de l'Union européenne (TFUE) disposent que toute personne a droit à la protection des données à caractère personnel la concernant. Les principes et les règles relatifs à la protection des personnes physiques à l'égard du traitement de leurs données à caractère personnel devraient respecter leurs droits et libertés fondamentaux, en particulier leur droit à la protection des données à caractère personnel, indépendamment de leur nationalité ou de leur lieu de résidence. Le présent règlement vise à contribuer à la réalisation d'un espace de liberté, de sécurité et de justice, à l'union économique, au progrès économique et social, au renforcement et à la convergence des économies au sein du marché intérieur, ainsi qu'au bien-être des personnes physiques. La directive 95/46/CE du Parlement européen et du Conseil (4) visait à harmoniser la protection des droits et libertés fondamentaux des personnes physiques à l'égard du traitement des données à caractère personnel et à garantir la libre circulation des données à caractère personnel entre les États membres. (2) (3) (4) JO C 229 du 31.7.2012, p. 90. (4) JO C 391 du 18.12.2012, p. 127. (2) Position du Parlement européen du 12 mars 2014 (non encore parue au Journal officiel) et position du Conseil en première lecture du 8 avril 2016 (non encore parue au Journal officiel). Position du Parlement européen du 14 avril 2016. (1) Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281 du 23.11.1995, p. 31). 04.05.2016 FR Journal officiel de l'Union européenne L 119/1 I (Actes législatifs) RÈGLEMENTS RÈGLEMENT (UE) 2016/679 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (Texte présentant de l'intérêt pour l'EEE) LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE, vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 16, vu la proposition de la Commission européenne, après transmission du projet d'acte législatif aux parlements nationaux, vu l'avis du Comité économique et social européen (1), vu l'avis du Comité des régions (2), statuant conformément à la procédure législative ordinaire (3), considérant ce qui suit : (1) La protection des personnes physiques à l'égard du traitement des données à caractère personnel est un droit fondamental. L'article 8, paragraphe 1, de la Charte des droits fondamentaux de l'Union européenne (« la Charte ») et l'article 16, paragraphe 1, du traité sur le fonctionnement de l'Union européenne (TFUE) disposent que toute personne a droit à la protection des données à caractère personnel la concernant. (2) Les principes et les règles relatifs à la protection des personnes physiques à l'égard du traitement de leurs données à caractère personnel devraient respecter leurs droits et libertés fondamentaux, en particulier leur droit à la protection des données à caractère personnel, indépendamment de leur nationalité ou de leur lieu de résidence. Le présent règlement vise à contribuer à la réalisation d'un espace de liberté, de sécurité et de justice, à l'union économique, au progrès économique et social, au renforcement et à la convergence des économies au sein du marché intérieur, ainsi qu'au bien-être des personnes physiques. (3) La directive 95/46/CE du Parlement européen et du Conseil (4) visait à harmoniser la protection des droits et libertés fondamentaux des personnes physiques à l'égard du traitement des données à caractère personnel et à garantir la libre circulation des données à caractère personnel entre les États membres. (4) Le traitement des données à caractère personnel devrait être conçu pour servir l'humanité. Le droit à la protection des données à caractère personnel n'est pas un droit absolu ; il doit être considéré en relation avec __________ (1) JO C 229 du 31.7.2012, p. 90. (2) JO C 391 du 18.12.2012, p. 127. (3) Position du Parlement européen du 12 mars 2014 (non encore parue au Journal officiel) et position du Conseil en première lecture du 8 avril 2016 (non encore parue au Journal officiel). Position du Parlement européen du 14 avril 2016. (4) Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281 du 23.11.1995, p. 31). sa fonction dans la société et être mis en balance avec d'autres droits fondamentaux, selon le principe de proportionnalité. Le présent règlement respecte tous les droits et libertés fondamentaux et les principes reconnus par la Charte, tels qu'inscrits dans les traités, notamment le respect de la vie privée et familiale, du domicile et des communications, la protection des données à caractère personnel, la liberté de pensée, de conscience et de religion, la liberté d'expression et d'information, la liberté d'entreprise, le droit à un recours effectif et à accéder à un tribunal impartial, ainsi que la diversité culturelle, religieuse et linguistique. (5) L'intégration économique et sociale résultant du fonctionnement du marché intérieur a entraîné une augmentation considérable des flux transfrontaliers de données à caractère personnel. Les échanges de données à caractère personnel entre acteurs publics et privés, y compris les personnes physiques, les associations et les entreprises, au niveau de l'Union, se sont accrus. Conformément au droit de l'Union, les autorités nationales des États membres sont appelées à coopérer et à échanger des données à caractère personnel afin de pouvoir s'acquitter de leurs missions ou fonctions pour le compte d'une autorité d'un autre État membre. (6) L'évolution technologique rapide et la mondialisation ont créé de nouveaux défis pour la protection des données à caractère personnel. L'ampleur de la collecte et du partage des données à caractère personnel a augmenté de manière significative. Les technologies permettent tant aux entreprises privées qu'aux autorités publiques d'utiliser les données à caractère personnel à une échelle sans précédent pour exercer leurs activités. Les personnes physiques donnent de plus en plus accès à leurs informations personnelles au public et à l'échelle mondiale. Les technologies ont transformé tant l'économie que la vie sociale et devraient continuer à stimuler la libre circulation des données à caractère personnel au sein de l'Union et leur transfert vers des pays tiers et des organisations internationales, tout en assurant un niveau élevé de protection des données à caractère personnel. (7) Ces évolutions exigent un cadre solide et plus cohérent en matière de protection des données dans l'Union, assorti d'un mécanisme d'exécution approprié, compte tenu de l'importance de créer un climat de confiance qui permettra le développement de l'économie numérique au sein du marché intérieur. Les personnes physiques devraient avoir le contrôle de leurs propres données à caractère personnel. Il convient de renforcer la sécurité juridique et la sécurité pratique pour les personnes physiques, les opérateurs économiques et les autorités publiques. (8) Lorsque le présent règlement prévoit une précision ou une limitation de ses règles par le droit des États membres, ces derniers peuvent, dans la mesure nécessaire pour assurer la cohérence et la compréhension des dispositions nationales par les personnes auxquelles elles s'appliquent, incorporer des éléments du présent règlement dans leur droit national. (9) Les objectifs et les principes de la directive 95/46/CE restent valables, mais cette directive n'a pas empêché la fragmentation de la mise en œuvre de la protection des données dans l'Union, l'insécurité juridique ou la perception répandue dans le public que des risques importants existent pour la protection des personnes physiques, notamment en ce qui concerne les activités en ligne. Les différences de niveau de protection des droits et libertés des personnes physiques, notamment du droit à la protection des données à caractère personnel, à l'égard du traitement des données à caractère personnel dans les États membres peuvent empêcher la libre circulation des données à caractère personnel au sein de l'Union. Ces différences peuvent donc faire obstacle à l'exercice d'activités économiques au niveau de l'Union, fausser la concurrence et empêcher les autorités de s'acquitter de leurs obligations en vertu du droit de l'Union. Cette différence de niveau de protection résulte des différences dans la mise en œuvre et l'application de la directive 95/46/CE. (10) Afin d'assurer un niveau cohérent et élevé de protection des personnes physiques et de lever les obstacles aux flux de données à caractère personnel au sein de l'Union, le niveau de protection des droits et libertés des personnes physiques à l'égard du traitement de ces données devrait être équivalent dans tous les États membres. Il convient d'assurer une application cohérente et homogène des règles relatives à la protection des droits et libertés fondamentaux des personnes physiques à l'égard du traitement des données à caractère personnel dans toute l'Union. Lorsque le traitement des données à caractère personnel est effectué pour respecter une obligation légale, pour l'exécution d'une mission d'intérêt public ou pour l'exercice de la puissance publique dont est investi le responsable du traitement, les États membres devraient être autorisés à maintenir ou à introduire des dispositions nationales précisant davantage l'application des règles du présent règlement. Outre la législation générale et horizontale relative à la protection des données mettant en œuvre la directive 95/46/CE, les États membres disposent de plusieurs lois sectorielles dans des domaines qui nécessitent des dispositions plus précises. Le présent règlement laisse également une marge de manœuvre aux États membres pour préciser leurs règles, notamment en ce qui concerne le traitement de catégories particulières de données à caractère personnel (« données sensibles »). À ce titre, le présent règlement n'exclut pas le droit d'un État membre de déterminer les circonstances de situations particulières de traitement, notamment en précisant les conditions dans lesquelles le traitement de données à caractère personnel est licite. (11) Une protection effective des données à caractère personnel dans toute l'Union exige le renforcement et la description détaillée des droits des personnes concernées et des obligations de ceux qui effectuent le traitement et prennent les décisions concernant le traitement de données à caractère personnel, ainsi que l'octroi de pouvoirs équivalents en matière de surveillance et de contrôle du respect des règles relatives à la protection des données à caractère personnel et l'application de sanctions appropriées en cas de violation des droits dans les États membres. (12) L'article 16, paragraphe 2, du TFUE habilite le Parlement européen et le Conseil à établir des règles relatives à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et des règles relatives à la libre circulation des données à caractère personnel. (13) Afin d'assurer un niveau cohérent de protection des personnes physiques dans toute l'Union et de prévenir les divergences qui entravent la libre circulation des données à caractère personnel au sein du marché intérieur, il est nécessaire que le règlement assure la sécurité juridique et la transparence pour les opérateurs économiques, y compris les micro, petites et moyennes entreprises, et offre aux personnes physiques dans tous les États membres le même niveau de droits et d'obligations juridiquement contraignants pour les responsables du traitement et les sous-traitants, garantisse une surveillance cohérente du traitement des données à caractère personnel, des sanctions appropriées dans tous les États membres, ainsi qu'une coopération effective entre les autorités de contrôle des différents États membres. Le bon fonctionnement du marché intérieur exige que la libre circulation des données à caractère personnel dans toute l'Union ne soit ni limitée ni interdite pour des raisons liées à la protection des personnes physiques à l'égard du traitement des données à caractère personnel. Pour tenir compte de la situation particulière des micro, petites et moyennes entreprises, le présent règlement prévoit une dérogation en matière de tenue de registres pour les organisations comptant moins de 250 salariés. En outre, les institutions et organes de l'Union, les États membres ainsi que leurs autorités de contrôle sont invités à tenir compte des besoins spécifiques des micro, petites et moyennes entreprises lors de l'application du présent règlement. La notion de micro, petites et moyennes entreprises devrait correspondre à la définition figurant à l'article 2 de l'annexe de la recommandation 2003/361/CE de la Commission (1). (14) La protection prévue par le présent règlement s'applique aux personnes physiques, indépendamment de leur nationalité ou de leur lieu de résidence, à l'égard du traitement de leurs données à caractère personnel. Le présent règlement ne s'applique pas au traitement de données à caractère personnel des personnes morales et, en particulier, des entreprises constituées en personnes morales, y compris le nom, la forme juridique et les coordonnées de la personne morale. (15) Afin de prévenir le risque grave de contournement de la protection, la protection des personnes physiques devrait être technologiquement neutre et indépendante des techniques utilisées. La protection des personnes physiques s'applique au traitement de données à caractère personnel par des moyens automatisés et manuels, lorsque les données à caractère personnel sont contenues ou destinées à être __________ (1) Recommandation de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises (C(2003) 1422) (JO L 124 du 20.5.2003, p. 36). versées dans un fichier. Les fichiers ou ensembles de fichiers ainsi que leurs pages de couverture, qui ne sont pas structurés selon des critères spécifiques, ne relèvent pas du champ d'application du présent règlement. (16) Le présent règlement ne s'applique pas aux questions relatives à la protection des droits et libertés fondamentaux ou à la libre circulation des données à caractère personnel liées à des activités qui ne relèvent pas du champ d'application du droit de l'Union, telles que les activités concernant la sécurité nationale. Le présent règlement ne s'applique pas au traitement de données à caractère personnel par les États membres dans le cadre d'activités relevant de la politique étrangère et de sécurité commune de l'Union. (17) Le règlement (CE) n° 45/2001 du Parlement européen et du Conseil (1) s'applique au traitement de données à caractère personnel par les institutions, organes, bureaux et agences de l'Union. Le règlement (CE) n° 45/2001 et les autres actes juridiques de l'Union applicables à ce traitement de données à caractère personnel devraient être adaptés aux principes et règles établis par le présent règlement et applicables en liaison avec celui-ci. Afin d'assurer un cadre solide et cohérent en matière de protection des données dans l'Union, il convient d'adapter le règlement (CE) n° 45/2001 après l'adaptation du présent règlement, ce qui permettra son application en même temps que le présent règlement. (18) Le présent règlement ne s'applique pas au traitement de données à caractère personnel effectué par une personne physique dans le cadre d'une activité strictement personnelle ou domestique et donc sans lien avec une activité professionnelle ou commerciale. Les activités personnelles ou domestiques peuvent consister à tenir une correspondance et à conserver des adresses, ou à tenir des réseaux sociaux et à exercer des activités en ligne dans le cadre de ces activités. Toutefois, le présent règlement s'applique aux responsables du traitement et aux sous-traitants qui fournissent les moyens de traiter des données à caractère personnel pour de telles activités personnelles ou domestiques. (19) La protection des personnes physiques à l'égard du traitement de données à caractère personnel par les autorités compétentes aux fins de prévention, d'investigation, de détection ou de poursuites d'infractions pénales ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, et la libre circulation de ces données, relève d'un acte juridique spécifique de l'Union. Le présent règlement ne devrait donc pas s'appliquer au traitement de données à ces fins. Toutefois, le traitement de données à caractère personnel effectué par les autorités publiques conformément au présent règlement, lorsqu'il est utilisé à ces fins, devrait être régi par un acte juridique spécifique plus précis de l'Union, à savoir la directive (UE) 2016/680 du Parlement européen et du Conseil (2). Les États membres peuvent confier aux autorités compétentes au sens de la directive (UE) 2016/680 des missions qui ne sont pas nécessairement effectuées aux fins de prévention, d'investigation, de détection ou de poursuites d'infractions pénales ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, de sorte que le traitement de données à caractère personnel à ces autres fins, dans la mesure où il relève du champ d'application du droit de l'Union, relève du présent règlement. Dans le domaine du traitement de données à caractère personnel par ces autorités compétentes aux fins relevant du champ d'application du présent règlement, les États membres devraient être autorisés à maintenir ou à introduire des dispositions plus précises afin d'adapter l'application des règles du présent règlement. Ces dispositions peuvent préciser davantage les exigences spécifiques applicables au traitement de données à caractère personnel par ces autorités compétentes aux fins précitées, compte tenu de la structure constitutionnelle, organisationnelle et administrative de l'État membre concerné. Lorsque le traitement de données à caractère personnel par des __________ (1) Règlement (CE) n° 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (JO L 8 du 12.1.2001, p. 1). (2) Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes aux fins de prévention, d'investigation, de détection ou de poursuites d'infractions pénales ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (voir page 89 du présent Journal officiel). organismes privés relève du champ d'application du présent règlement, celui-ci devrait permettre aux États membres d'introduire, dans des circonstances particulières, des limitations au niveau législatif à certaines obligations et certains droits lorsque cette limitation constitue une mesure nécessaire et proportionnée pour la sauvegarde d'intérêts spécifiques importants dans une société démocratique, notamment la sécurité publique et la prévention, la détection ou les poursuites d'infractions pénales ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. Cela est notamment approprié dans le contexte de la lutte contre le blanchiment de capitaux ou des activités des laboratoires de police scientifique. (20) Le présent règlement s'appliquant, entre autres, aux activités des tribunaux et autres autorités judiciaires, il convient que le droit de l'Union ou des États membres puisse préciser les opérations et procédures de traitement liées au traitement de données à caractère personnel par les tribunaux et autres autorités judiciaires. La compétence des autorités de contrôle ne devrait pas s'étendre au traitement de données à caractère personnel dans les cas où les tribunaux agissent dans l'exercice de leur fonction juridictionnelle, afin de préserver leur indépendance dans l'exercice de leurs fonctions judiciaires, y compris dans le cadre de la prise et de l'adoption de décisions. Il convient de permettre que la surveillance des opérations de traitement de ces données soit confiée à des organes spécifiques au sein du système judiciaire de l'État membre, qui devraient notamment veiller au respect des règles du présent règlement, sensibiliser les représentants des autorités judiciaires à leurs obligations au titre du présent règlement et traiter les réclamations relatives à ces opérations de traitement. (21) Le présent règlement respecte l'application de la directive 2000/31/CE du Parlement européen et du Conseil (1), et notamment les règles relatives à la responsabilité des prestataires de services intermédiaires prévues aux articles 12 à 15 de ladite directive. Ladite directive vise à contribuer au bon fonctionnement du marché intérieur en garantissant la libre circulation des services de la société de l'information entre les États membres. (22) Tout traitement de données à caractère personnel dans le cadre des activités d'un établissement d'un responsable du traitement