Données à caractère personnel

11°) Règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation des ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) [1]

2(JOUE L 119, 4 mai 2016, p. 1)

3NDLR : Le règlement 2016/679 a pour objet de définir à la fois un régime de protection des personnes physiques à l’égard du traitement des données à caractère personnel et un cadre juridique pour la libre circulation de ces données. Cet ambitieux programme, qui accompagne les deux directives signalées ici relatives à la dimension pénale de cette protection, donne lieu à un texte complexe de près de 90 pages. La lecture des 173 considérants attire l’attention sur l’omniprésence de considérations de droit international, public et privé, dans le dessin des règles applicables, notamment lorsqu’il s’agit du transfert (de l’exportation) de ces données vers les pays tiers. Outre la nécessité (qui s’imposerait en l’absence de règlement) de vérifier que le pays de destination respecte bien les droits fondamentaux des personnes, on notera en particulier l’avertissement suivant (considérant 115), qui désigne sans doute les États-Unis : « Certains pays tiers adoptent des lois, des règlements et d’autres actes juridiques qui visent à réglementer directement les activités de traitement effectuées par des personnes physiques et morales qui relèvent de la compétence des États membres. Il peut s’agir de décisions de juridictions ou d’autorités administratives de pays tiers qui exigent d’un responsable du traitement ou d’un sous-traitant qu’il transfère ou divulgue des données à caractère personnel, et qui ne sont pas fondées sur un accord international, tel qu’un traité d’entraide judiciaire, en vigueur entre le pays tiers demandeur et l’Union ou un État membre. L’application extraterritoriale de ces lois, règlements et autres actes juridiques peut être contraire au droit international et faire obstacle à la protection des personnes physiques garantie dans l’Union par le présent règlement. Les transferts ne devraient être autorisés que lorsque les conditions fixées par le présent règlement pour les transferts vers les pays tiers sont remplies. Ce peut être le cas, entre autres, lorsque la divulgation est nécessaire pour un motif important d’intérêt public reconnu par le droit de l’Union ou le droit d’un État membre auquel le responsable du traitement est soumis ».

4Par ailleurs, le champ d’application territorial du règlement est largement défini, de façon à couvrir à la fois le traitement des données effectué par un établissement situé dans l’Union et, à défaut, à certaines conditions, lorsque les données concernent des personnes qui se trouvent dans l’Union. Ainsi, selon article 3 de cet instrument :

5« 1. Le présent règlement s’applique au traitement des données à caractère personnel effectué dans le cadre des activités d’un établissement d’un responsable du traitement ou d’un sous-traitant sur le territoire de l’Union, que le traitement ait lieu ou non dans l’Union.

62. Le présent règlement s’applique au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de l’Union par un responsable du traitement ou un sous-traitant qui n’est pas établi dans l’Union, lorsque les activités de traitement sont liées :

7

1. à l’offre de biens ou de services à ces personnes concernées dans l’Union, qu’un paiement soit exigé ou non desdites personnes ; ou
2. au suivi du comportement de ces personnes, dans la mesure où il s’agit d’un comportement qui a lieu au sein de l’Union.

83. Le présent règlement s’applique au traitement de données à caractère personnel par un responsable du traitement qui n’est pas établi dans l’Union mais dans un lieu où le droit d’un État membre s’applique en vertu du droit international public ».

92°) Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution des sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil

10(JOUE L 119 du 4 mai 2016, p. 89)

113°) Directive (UE) 2016/681 du Parlement européen et du Conseil du 27 avril 2016 relative à l’utilisation des données des dossiers passagers (PNR) pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière

12(JOUE L 119 du 4 mai 2016, p. 132)

Espace Schengen – Contrôle aux frontières intérieures

13Décision d’exécution (UE) 2016/894 du Conseil du 12 mai 2016 arrêtant une recommandation relative à la réintroduction temporaire du contrôle aux frontières intérieures en cas de circonstances exceptionnelles mettant en péril le fonctionnement global de l’espace Schengen

14(JOUE L151 du 8 juin 2016, p. 8)