Rapport explicatif

Art. 32 Sécurité des données

De nouveaux points e bis, j bis et j ter ont été insérés au par. 2. Ils visent à empêcher l’utilisation de systèmes de traitement automatisé de données par des personnes non autorisées (point e bis), à garantir le rétablissement des systèmes installés en cas d’interruption (point j bis) mais aussi à signaler dûment toute erreur survenant dans le fonctionnement des systèmes et à rétablir les données à caractère personnel en cas de corruption due à un dysfonctionnement des systèmes (point j ter). Le par. 3 a subi une modification purement linguistique, l’expression « instance gestionnaire » ayant été remplacée par « eu-LISA ».

Art. 32 bis Incidents de sécurité

Cette disposition règle la procédure à suivre par les autorités en cas d’évènements ayant ou pouvant avoir des effets sur la sécurité du VIS.

Art. 33 Responsabilité

Cet article a fait l’objet d’ajustements rédactionnels et structurels. Le par. 1 comporte désormais deux points a et b qui définissent respectivement la responsabilité relative aux dommages subis du fait d’une opération illicite de traitement de données à caractère personnel et la responsabilité relative aux dommages subis du fait d’un organe. Le par. 2 définit la responsabilité en cas de non-respect des obligations. Le par. 3 précise en outre que les actions en réparation intentées contre un organe s’entendent sous réserve des dispositions prévues dans les traités.

Art. 34 Tenue de registres

Le par. 1 dispose désormais que chaque État Schengen, Frontex et l’eu-LISA devront tenir des registres de toutes leurs opérations de traitement de données effectuées dans le VIS. Pour le reste, on a procédé à des modifications purement rédactionnelles et structurelles.

Art. 36 Sanctions

On a procédé ici à des modifications rédactionnelles en raison de modifications apportées à d’autres règlements. Cet article précise désormais que le traitement de données à caractère personnel effectué en violation du présent règlement sera également sanctionné. Les sanctions devront être effectives, proportionnées et dissuasives.

2.3.6 Chapitre VI : Droits et surveillance en matière de protection des données

Art. 36 bis Protection des données

Cette disposition se réfère au traitement des données à caractère personnel et renvoie, à cet égard, à d’autres actes juridiques de l’UE. Dans ce cadre, il est notamment fait référence à la directive (UE) 2016/680⁴³ pour ce qui concerne les missions des autorités chargées de prévenir les infractions pénales ainsi que d’enquêter et de mener des poursuites en la matière. Cette directive a été reprise par la Suisse dans la loi du 28 septembre 2018 sur la protection des données Schengen (LPDS)⁴⁴. Il est également fait référence au règlement (UE) 2016/679 pour les missions accomplies par les autres autorités au titre du présent règlement.

Art. 37 Droit à l’information

Le par. 1 contient à présent des renvois à d’autres dispositions. Les points a et c ont fait l’objet de modifications purement rédactionnelles en raison de modifications apportées à d’autres articles auxquels ils renvoient. On a par ailleurs ajouté de nouveaux points c bis et e bis, qui prévoient que les États Schengen et Europol pourront avoir accès au VIS à des fins répressives (point c bis) et que les données stockées dans le VIS pourront être transférées à un pays tiers ou à une organisation internationale et aux États membres (point e bis).

Le par. 2 est complété et dispose désormais que les informations devront être fournies aux personnes concernées sous une forme compréhensible, en recourant à des termes clairs. Les enfants devront ainsi être informés à l’aide de brochures ou d’infographies.

Le par. 3 a fait l’objet d’une modification purement rédactionnelle.

Art. 38 Droit d’accès aux données à caractère personnel, droit de faire rectifier, compléter et effacer les données à carac-

tère personnel, et droit à en faire limiter le traitement

Des modifications linguistiques et rédactionnelles ont été effectuées dans l’ensemble de cet article. Le par. 7 détermine dans quels cas un État Schengen pourra décider de ne pas fournir des informations à la personne concernée.

La décision devra être motivée par l’État Schengen et mise à la disposition de l’autorité de contrôle. La personne concernée pourra exercer ses droits par l’intermédiaire des autorités de contrôle compétentes.

Art. 39 Coopération en vue de garantir les droits en matière de protection des données

Le par. 1 prévoit désormais que les autorités compétentes des États Schengen devront coopérer activement afin de faire respecter les droits prévus à l’art. 38. Les anciens par. 2 et 3 ont été réunis dans un seul paragraphe et ont fait l’objet de modifications linguistiques et rédactionnelles.

Comme c’est le cas aujourd’hui, l’autorité de contrôle devra, dans chaque État Schengen, assister, sur demande, la personne souhaitant faire valoir son droit de faire rectifier, compléter ou effacer les données à caractère personnel la concernant conformément au règlement (UE) 2016/679.