Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

pour la personne concernée d’obtenir une intervention humaine de la part du responsable du traitement soit garanti.

Le chapitre III règle les droits de la personne concernée. L’art. 16 par. 3 prescrit qu’au lieu de procéder à l’effacement, le responsable du traitement est tenu de limiter le traitement lorsque l’exactitude des données est contestée par la personne concernée et qu’elle ne peut pas être déterminée. L’art. 17 dispose qu’en cas de restriction, la personne concernée doit pouvoir exercer ses droits par l’intermédiaire de l’autorité de contrôle. L’art. 18 prévoit en outre que les Etats Schengen peuvent prévoir que les droits prévus aux art. 13, 14 et 16 sont exercés conformément au droit de procédure de l’Etat Schengen lorsque les données figurent dans une décision ou un dossier judiciaire faisant l’objet d’un traitement lors d’une enquête judiciaire et d’une procédure pénale.

Le chapitre IV règle les obligations du responsable du traitement et du sous-traitant. Il introduit le principe de protection des données dès la conception et par défaut (art. 19 et 20).

L’art. 24 prévoit quant à lui une obligation pour le responsable du traitement et le soustraitant de tenir un registre de toutes les catégories d’activités de traitement effectuées sous leur responsabilité. Les responsables du traitement sont tenus d’autre part d’effectuer une analyse d’impact relative à la protection des données préalablement à certains traitements (art. 27) et consulter le cas échéant l’autorité de contrôle (art. 28). Les art. 30 et 31 introduisent une obligation pour le responsable du traitement de notifier certains cas de violation des données à l’autorité de contrôle et le cas échéant à la personne concernée.

Le chapitre V règle le transfert de données vers des pays-tiers ou à des organisations internationales. La Commission européenne est chargée d'évaluer le niveau de protection assuré par un territoire ou un secteur de traitement dans un pays tiers (art. 36). Lorsque la Commission européenne n'a pas constaté par voie de décision le caractère adéquat du niveau de protection dans l’Etat tiers, le transfert de données peut néanmoins avoir lieu lorsque des garanties appropriées ont été fournies (art. 37) ou par dérogations dans des situations particulières (art. 38). L’art. 39 de la directive (UE) 2016/680 règle quant à lui le transfert de données à caractère personnel à des destinataires établis dans des Etats tiers, lorsque des données ne peuvent pas être transmises aux autorités compétentes par les canaux habituels de la coopération policière ou judiciaire.

Le chapitre VI oblige les Etats Schengen à instituer des autorités de contrôle indépendantes en matière de protection des données. Les art. 45, 46 et 47 règlent les compétences, les missions et les pouvoirs des autorités de contrôle. En vertu de l’art. 45 par. 2, les Etats Schengen prévoient que l’autorité de contrôle n’est pas compétente pour contrôler les traitements effectués par les juridictions dans l’exercice de leur fonction juridictionnelle. En vertu de l’art. 45 par. 2, les Etats Schengen peuvent également prévoir une exception pour les traitements des données effectués par d’autres autorités judiciaires indépendantes lorsqu’elles agissent dans l’exercice de leur fonction juridictionnelle. Il peut s’agir par exemple du ministère public. L’art. 47 par. 1 oblige les Etats Schengen à prévoir que l’autorité de contrôle doit être dotée de pouvoirs d’enquête effectifs, soit au moins d’obtenir du responsable du traitement ou du sous-traitant l’accès aux données traitées et à toute information nécessaire à l’accomplissement de ses tâches. En vertu du par. 2, l’autorité de contrôle doit également disposer de pouvoirs effectifs en matière d’adoption de mesures correctrices tels que par exemple le pouvoir d’adresser un avertissement à un responsable du traitement ou à un sous-traitant, d’ordonner la mise en conformité des traitements le cas échéant par une rectification ou un effacement des données ainsi que d’ordonner la limitation temporaire ou définitive du traitement y compris son interdiction. Les pouvoirs de l’autorité de contrôle ne doivent toutefois pas interférer avec les règles spécifiques à la procédure pénale, y compris pour les enquêtes et les poursuites concernant les infractions pénales, ni avec

l’indépendance du pouvoir judiciaire. Le chapitre VII porte sur les voies de recours, la responsabilité et les sanctions. L’art. 52 prescrit que la personne concernée a le droit

d’introduire une réclamation auprès de l’autorité de contrôle. En vertu de l’art. 53, la personne concernée a également le droit de former un recours juridictionnel effectif contre une décision de l’autorité de contrôle la concernant. L’art. 55 prévoit en outre un droit pour les personnes concernées de se faire représenter à certains conditions.