1.   Le présent règlement établit des règles relatives à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et des règles relatives à la libre circulation de ces données. 2.   Le présent règlement protège les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel. 3.   La libre circulation des données à caractère personnel au sein de l'Union n'est ni limitée ni interdite pour des motifs liés à la protection des personnes physiques à l'égard du traitement des données à caractère personnel. Considérants appropriés Considérant 1 - Protection Des Données En Tant Que Droit FondamentalConsidérant 2 - Respect Des Droits Et Libertés FondamentauxConsidérant 3 - Directive 95/46/Ce HarmonisationConsidérant 4 - Protection Des Données En Équilibre Avec D'Autres Droits FondamentauxConsidérant 5 - Coopération Entre Les États Membres Pour Échanger Des Données PersonnellesConsidérant 6 - Assurer Un Niveau Élevé De Protection Des Données Malgré L'Augmentation Des Échanges De DonnéesConsidérant 7 - Le Cadre Est Basé Sur Le Contrôle Et La CertitudeConsidérant 8 - Incorporation Dans Le Droit NationalConsidérant 9 - Différents Niveaux De Protection Par La Directive 95/46/CeConsidérant 10 - Niveau Harmonisé De Protection Des Données Malgré La Portée NationaleConsidérant 11 - Harmonisation Des Pouvoirs Et Des SanctionsConsidérant 12 - Autorisation Du Parlement Européen Et Du Conseil Foire aux questions sur l'article 1 +Quel est l'objet de l'article 1 du RGPD ? L'article 1 définit l'objet et les objectifs du RGPD. Il établit des règles protégeant les personnes physiques lors du traitement de leurs données à caractère personnel et protège la libre circulation de ces données au sein de l'UE. +Le RGPD protège-t-il les données ou les personnes ? Le RGPD protège les personnes physiques lors du traitement de leurs données à caractère personnel et traite la protection des données comme un droit fondamental. Il ne protège pas les données elles-mêmes, mais les personnes auxquelles elles se rapportent. +La libre circulation des données peut-elle être restreinte selon le RGPD ? Non. L'article 1 dispose que la libre circulation des données à caractère personnel au sein de l'UE ne peut être restreinte ni interdite pour des motifs liés à la protection des personnes lors du traitement. Questions clés connexes RGPD Données personnelles RGPD Traitement RGPD Protection de la vie privée dès la conception

1.   Le présent règlement s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier. 2.   Le présent règlement ne s'applique pas au traitement de données à caractère personnel effectué: a) dans le cadre d'une activité qui ne relève pas du champ d'application du droit de l'Union; b) par les États membres dans le cadre d'activités qui relèvent du champ d'application du chapitre 2 du titre V du traité sur l'Union européenne; c) par une personne physique dans le cadre d'une activité strictement personnelle ou domestique; d) par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces. 4.   Le présent règlement s'applique sans préjudice de la directive 2000/31/CE, et notamment de ses articles 12 à 15 relatifs à la responsabilité des prestataires de services intermédiaires. Considérants appropriés Considérant 13 - Prendre En Compte Les Micro, Petites Et Moyennes EntreprisesConsidérant 14 - Non Applicable Aux Personnes MoralesConsidérant 15 - Neutralité TechnologiqueConsidérant 16 - Non Applicable Aux Activités Concernant La Sécurité Nationale Et CommuneConsidérant 17 - Adaptation Du Règlement (Ce) N° 45/2001Considérant 18 - Non Applicable Aux Activités Personnelles Ou DomestiquesConsidérant 19 - Non Applicable Aux Poursuites PénalesConsidérant 20 - Respecter L'Indépendance Du Pouvoir JudiciaireConsidérant 21 - Les Règles De Responsabilité Des Fournisseurs De Services Intermédiaires Demeurent InchangéesConsidérant 27 - Non Applicable Aux Données Des Personnes Décédées Foire aux questions sur l'article 2 +Que couvre l'article 2 du RGPD ? L'article 2 définit le champ d'application matériel du RGPD. Il s'applique au traitement de données à caractère personnel automatisé en tout ou partie, ainsi qu'au traitement non automatisé de données contenues dans un fichier. +Quels traitements sont exclus du RGPD ? Le RGPD ne s'applique pas aux activités strictement personnelles ou domestiques, à la sécurité nationale, ni au traitement par les autorités à des fins de répression pénale relevant de la directive police-justice. +Le RGPD s'applique-t-il aux dossiers papier ? Oui, mais seulement lorsque les dossiers papier font partie d'un fichier structuré. Des notes manuscrites non structurées qui ne font pas partie d'un fichier échappent au champ d'application matériel. Questions clés connexes RGPD Données personnelles RGPD Pays tiers

1.   Le présent règlement s'applique au traitement des données à caractère personnel effectué dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire de l'Union, que le traitement ait lieu ou non dans l'Union. 2.   Le présent règlement s'applique au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de l'Union par un responsable du traitement ou un sous-traitant qui n'est pas établi dans l'Union, lorsque les activités de traitement sont liées: a) à l'offre de biens ou de services à ces personnes concernées dans l'Union, qu'un paiement soit exigé ou non desdites personnes; ou b) au suivi du comportement de ces personnes, dans la mesure où il s'agit d'un comportement qui a lieu au sein de l'Union. 3.   Le présent règlement s'applique au traitement de données à caractère personnel par un responsable du traitement qui n'est pas établi dans l'Union mais dans un lieu où le droit d'un État membre s'applique en vertu du droit international public. Considérants appropriés Considérant 22 - Traitement Par Un ÉtablissementConsidérant 23 - Applicable Aux Responsables Du Traitement/Sous-Traitants Non Établis Dans L'Union Si Des Personnes Concernées Au Sein De L'Union Sont ViséesConsidérant 24 - Applicable Aux Responsables Du Traitement/Sous-Traitants Non Établis Dans L'Union Si Des Personnes Concernées Au Sein De L'Union Sont ProfiléesConsidérant 25 - Applicable Aux Responsables De Traitement En Raison Du Droit International Foire aux questions sur l'article 3 +À qui s'applique le RGPD ? Le RGPD s'applique aux organisations établies dans l'UE qui traitent des données, et aux organisations hors UE qui offrent des biens ou services à des personnes situées dans l'UE ou suivent leur comportement. +Le RGPD s'applique-t-il aux entreprises hors UE ? Oui. Selon l'article 3, une entreprise hors UE est concernée si elle cible des personnes dans l'UE avec des biens ou services, ou suit le comportement de personnes situées dans l'UE, quel que soit son lieu d'établissement. +Qu'est-ce que la portée extraterritoriale du RGPD ? La portée extraterritoriale signifie que le RGPD peut s'appliquer au-delà des frontières de l'UE. Si une entreprise hors UE traite des données de personnes dans l'UE liées à une offre de biens ou services ou au suivi de comportement, elle doit s'y conformer. Questions clés connexes RGPD Traitement RGPD Délégué à la protection des données

Aux fins du présent règlement, on entend par: 1) «données à caractère personnel», toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée»); est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale; 2) «traitement», toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction; 3) «limitation du traitement», le marquage de données à caractère personnel conservées, en vue de limiter leur traitement futur; 4) «profilage», toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique; 5) «pseudonymisation», le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable; 6) «fichier», tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique; 7) «responsable du traitement», la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou par le droit d'un État membre; 8) «sous-traitant», la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement; 9) «destinataire», la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui reçoit communication de données à caractère personnel, qu'il s'agisse ou non d'un tiers. Toutefois, les autorités publiques qui sont susceptibles de recevoir communication de données à caractère personnel dans le cadre d'une mission d'enquête particulière conformément au droit de l'Union ou au droit d'un État membre ne sont pas considérées comme des destinataires; le traitement de ces données par les autorités publiques en question est conforme aux règles applicables en matière de protection des données en fonction des finalités du traitement; 10) «tiers», une personne physique ou morale, une autorité publique, un service ou un organisme autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, placées sous l'autorité directe du responsable du traitement ou du sous-traitant, sont autorisées à traiter les données à caractère personnel; 11) «consentement» de la personne concernée, toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement; 12) «violation de données à caractère personnel», une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données; 13) «données génétiques», les données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d'une personne physique qui donnent des informations uniques sur la physiologie ou l'état de santé de cette personne physique et qui résultent, notamment, d'une analyse d'un échantillon biologique de la personne physique en question; 14) «données biométriques», les données à caractère personnel résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques; 15) «données concernant la santé», les données à caractère personnel relatives à la santé physique ou mentale d'une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l'état de santé de cette personne; 16) «établissement principal», a) en ce qui concerne un responsable du traitement établi dans plusieurs États membres, le lieu de son administration centrale dans l'Union, à moins que les décisions quant aux finalités et aux moyens du traitement de données à caractère personnel soient prises dans un autre établissement du responsable du traitement dans l'Union et que ce dernier établissement a le pouvoir de faire appliquer ces décisions, auquel cas l'établissement ayant pris de telles décisions est considéré comme l'établissement principal; b) en ce qui concerne un sous-traitant établi dans plusieurs États membres, le lieu de son administration centrale dans l'Union ou, si ce sous-traitant ne dispose pas d'une administration centrale dans l'Union, l'établissement du sous-traitant dans l'Union où se déroule l'essentiel des activités de traitement effectuées dans le cadre des activités d'un établissement du sous-traitant, dans la mesure où le sous-traitant est soumis à des obligations spécifiques en vertu du présent règlement; 17) «représentant», une personne physique ou morale établie dans l'Union, désignée par le responsable du traitement ou le sous-traitant par écrit, en vertu de l'article 27, qui les représente en ce qui concerne leurs obligations respectives en vertu du présent règlement; 18) «entreprise», une personne physique ou morale exerçant une activité économique, quelle que soit sa forme juridique, y compris les sociétés de personnes ou les associations qui exercent régulièrement une activité économique; 19) «groupe d'entreprises», une entreprise qui exerce le contrôle et les entreprises qu'elle contrôle; 20) «règles d'entreprise contraignantes», les règles internes relatives à la protection des données à caractère personnel qu'applique un responsable du traitement ou un sous-traitant établi sur le territoire d'un État membre pour des transferts ou pour un ensemble de transferts de données à caractère personnel à un responsable du traitement ou à un sous-traitant établi dans un ou plusieurs pays tiers au sein d'un groupe d'entreprises, ou d'un groupe d'entreprises engagées dans une activité économique conjointe; 21) «autorité de contrôle», une autorité publique indépendante qui est instituée par un État membre en vertu de l'article 51; 22) «autorité de contrôle concernée», une autorité de contrôle qui est concernée par le traitement de données à caractère personnel parce que: a) le responsable du traitement ou le sous-traitant est établi sur le territoire de l'État membre dont cette autorité de contrôle relève; b) des personnes concernées résidant dans l'État membre de cette autorité de contrôle sont sensiblement affectées par le traitement ou sont susceptibles de l'être; ou c) une réclamation a été introduite auprès de cette autorité de contrôle; 23) «traitement transfrontalier», a) un traitement de données à caractère personnel qui a lieu dans l'Union dans le cadre des activités d'établissements dans plusieurs États membres d'un responsable du traitement ou d'un sous-traitant lorsque le responsable du traitement ou le sous-traitant est établi dans plusieurs États membres; ou b) un traitement de données à caractère personnel qui a lieu dans l'Union dans le cadre des activités d'un établissement unique d'un responsable du traitement ou d'un sous-traitant, mais qui affecte sensiblement ou est susceptible d'affecter sensiblement des personnes concernées dans plusieurs États membres; 24) «objection pertinente et motivée», une objection à un projet de décision quant à savoir s'il y a ou non violation du présent règlement ou si l'action envisagée en ce qui concerne le responsable du traitement ou le sous-traitant respecte le présent règlement, qui démontre clairement l'importance des risques que présente le projet de décision pour les libertés et droits fondamentaux des personnes concernées et, le cas échéant, le libre flux des données à caractère personnel au sein de l'Union; 25) «service de la société de l'information», un service au sens de l'article 1er, paragraphe 1, point b), de la directive (UE) 2015/1535 du Parlement européen et du Conseil; 26) «organisation internationale», une organisation internationale et les organismes de droit public international qui en relèvent, ou tout autre organisme qui est créé par un accord entre deux pays ou plus, ou en vertu d'un tel accord. Considérants appropriés Considérant 15 - Neutralité TechnologiqueConsidérant 24 - Applicable Aux Responsables Du Traitement/Sous-Traitants Non Établis Dans L'Union Si Des Personnes Concernées Au Sein De L'Union Sont ProfiléesConsidérant 26 - Non Applicable Aux Données AnonymesConsidérant 28 - Introduction De La PseudonymisationConsidérant 29 - Pseudonymisation Chez Le Même Responsable De TraitementConsidérant 30 - Identifiants En Ligne Pour Le Profilage Et L'IdentificationConsidérant 31 - Non Applicable Aux Autorités Publiques Dans Le Cadre De Leurs Missions OfficiellesConsidérant 34 - Données GénétiquesConsidérant 35 - Données De SantéConsidérant 36 - Détermination De L'Établissement PrincipalConsidérant 37 - Groupe D'Entreprises Foire aux questions sur l'article 4 +Que sont les données à caractère personnel selon l'article 4 du RGPD ? Les données à caractère personnel sont toute information se rapportant à une personne physique identifiée ou identifiable. Cela inclut les noms, numéros d'identification, données de localisation, identifiants en ligne et éléments propres à l'identité. +Quelle est la différence entre responsable du traitement et sous-traitant ? Le responsable du traitement détermine les finalités et les moyens du traitement, tandis que le sous-traitant agit pour le compte et sur instruction du responsable. L'article 4 fournit les définitions juridiques des deux rôles. +Que signifie le traitement dans le RGPD ? Le traitement couvre presque toute opération sur des données à caractère personnel, notamment la collecte, la conservation, l'utilisation, la divulgation, la modification et l'effacement, qu'elle soit automatisée ou manuelle. Questions clés connexes RGPD Chiffrement RGPD Registre des Activités de Traitement

1.   Les données à caractère personnel doivent être: a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence); b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités; le traitement ultérieur à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques n'est pas considéré, conformément à l'article 89, paragraphe 1, comme incompatible avec les finalités initiales (limitation des finalités); c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données); d) exactes et, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude); e) conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation); f) traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité); 2.   Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité). Considérants appropriés Considérant 39 - Principes Du Traitement Des DonnéesConsidérant 74 - Responsabilité Et Obligations Du Responsable De Traitement Foire aux questions sur l'article 5 +Quels sont les sept principes du RGPD ? L'article 5 énonce sept principes : licéité, loyauté et transparence, limitation des finalités, minimisation des données, exactitude, limitation de la conservation, intégrité et confidentialité, et responsabilité. +Qu'est-ce que le principe de responsabilité dans le RGPD ? La responsabilité signifie que le responsable du traitement est tenu de respecter les principes de protection des données et doit pouvoir le démontrer. C'est le fondement de la documentation et de la gouvernance du RGPD. +Qu'est-ce que la minimisation des données selon l'article 5 ? La minimisation exige que les données collectées soient adéquates, pertinentes et limitées à ce qui est nécessaire à la finalité. Les organisations ne devraient pas collecter plus de données que nécessaire. Questions clés connexes RGPD Droit à l’information RGPD Protection de la vie privée dès la conception RGPD Chiffrement

1.   Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie: a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques; b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci; c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis; d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique; e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement; f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. Le point f) du premier alinéa ne s'applique pas au traitement effectué par les autorités publiques dans l'exécution de leurs missions. 2.   Les États membres peuvent maintenir ou introduire des dispositions plus spécifiques pour adapter l'application des règles du présent règlement pour ce qui est du traitement dans le but de respecter le paragraphe 1, points c) et e), en déterminant plus précisément les exigences spécifiques applicables au traitement ainsi que d'autres mesures visant à garantir un traitement licite et loyal, y compris dans d'autres situations particulières de traitement comme le prévoit le chapitre IX. 3.   Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par: a) le droit de l'Union; ou b) le droit de l'État membre auquel le responsable du traitement est soumis. Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l'application des règles du présent règlement, entre autres: les conditions générales régissant la licéité du traitement par le responsable du traitement; les types de données qui font l'objet du traitement; les personnes concernées; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d'autres situations particulières de traitement comme le prévoit le chapitre IX. Le droit de l'Union ou le droit des États membres répond à un objectif d'intérêt public et est proportionné à l'objectif légitime poursuivi. 4.   Lorsque le traitement à une fin autre que celle pour laquelle les données ont été collectées n'est pas fondé sur le consentement de la personne concernée ou sur le droit de l'Union ou le droit d'un État membre qui constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir les objectifs visés à l'article 23, paragraphe 1, le responsable du traitement, afin de déterminer si le traitement à une autre fin est compatible avec la finalité pour laquelle les données à caractère personnel ont été initialement collectées, tient compte, entre autres: a) de l'existence éventuelle d'un lien entre les finalités pour lesquelles les données à caractère personnel ont été collectées et les finalités du traitement ultérieur envisagé; b) du contexte dans lequel les données à caractère personnel ont été collectées, en particulier en ce qui concerne la relation entre les personnes concernées et le responsable du traitement; c) de la nature des données à caractère personnel, en particulier si le traitement porte sur des catégories particulières de données à caractère personnel, en vertu de l'article 9, ou si des données à caractère personnel relatives à des condamnations pénales et à des infractions sont traitées, en vertu de l'article 10; d) des conséquences possibles du traitement ultérieur envisagé pour les personnes concernées; e) de l'existence de garanties appropriées, qui peuvent comprendre le chiffrement ou la pseudonymisation. Considérants appropriés Considérant 39 - Principes Du Traitement Des DonnéesConsidérant 40 - Licéité Du Traitement Des DonnéesConsidérant 41 - Base Légale Ou Mesures LégislativesConsidérant 42 - Charge De La Preuve Et Exigences En Matière De ConsentementConsidérant 43 - Consentement Librement DonnéConsidérant 44 - Exécution D'Un ContratConsidérant 45 - Respect Des Obligations LégalesConsidérant 46 - Intérêts Vitaux De La Personne ConcernéeConsidérant 47 - Intérêt Légitime PrépondérantConsidérant 48 - Dérogation À L'Intérêt Légitime Au Sein D'Un Groupe D'EntreprisesConsidérant 49 - Sécurité Des Réseaux Et De L'Information En Tant Qu'Intérêt Légitime ImpérieuxConsidérant 50 - Traitement Ultérieur Des Données PersonnellesConsidérant 171 - Abrogation De La Directive 95/46/Ce Et Dispositions Transitoires Foire aux questions sur l'article 6 +Quelles sont les six bases légales du traitement selon le RGPD ? L'article 6 prévoit six bases légales : le consentement, l'exécution d'un contrat, une obligation légale, les intérêts vitaux, une mission d'intérêt public et les intérêts légitimes. Au moins une doit s'appliquer pour que le traitement soit licite. +Faut-il toujours un consentement pour traiter des données personnelles ? Non. Le consentement n'est qu'une des six bases légales. Le traitement peut aussi être licite s'il est nécessaire à un contrat, à une obligation légale, aux intérêts vitaux, à une mission d'intérêt public ou aux intérêts légitimes. +Qu'est-ce que l'intérêt légitime selon le RGPD ? L'intérêt légitime est une base légale permettant le traitement lorsqu'une organisation a un intérêt réel qui ne prévaut pas sur les droits et libertés de la personne concernée. Une mise en balance doit être documentée. Questions clés connexes RGPD Consentement RGPD Traitement

1.   Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant. 2.   Si le consentement de la personne concernée est donné dans le cadre d'une déclaration écrite qui concerne également d'autres questions, la demande de consentement est présentée sous une forme qui la distingue clairement de ces autres questions, sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples. Aucune partie de cette déclaration qui constitue une violation du présent règlement n'est contraignante. 3.   La personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement. 4.   Au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l'exécution d'un contrat, y compris la fourniture d'un service, est subordonnée au consentement au traitement de données à caractère personnel qui n'est pas nécessaire à l'exécution dudit contrat. Considérants appropriés Considérant 32 - Conditions Pour Le ConsentementConsidérant 33 - Consentement À Certaines Domaines De La Recherche ScientifiqueConsidérant 42 - Charge De La Preuve Et Exigences En Matière De ConsentementConsidérant 43 - Consentement Librement Donné Foire aux questions sur l'article 7 +Quelles sont les conditions d'un consentement valable selon le RGPD ? Selon l'article 7, le consentement doit être libre, spécifique, éclairé et univoque. Le responsable du traitement doit pouvoir démontrer le consentement, et la demande doit être clairement distincte des autres questions. +Le consentement peut-il être retiré selon le RGPD ? Oui. Les personnes peuvent retirer leur consentement à tout moment, et le retrait doit être aussi simple que le don du consentement. Le retrait n'affecte pas la licéité du traitement antérieur. +Le RGPD exige-t-il une preuve du consentement ? Oui. Le responsable du traitement doit pouvoir démontrer qu'un consentement valable a été obtenu, ce qui implique de conserver une trace de quand et comment chaque personne a consenti. Questions clés connexes RGPD Marketing par courriel RGPD Droit à l’information

1.   Lorsque l'article 6, paragraphe 1, point a), s'applique, en ce qui concerne l'offre directe de services de la société de l'information aux enfants, le traitement des données à caractère personnel relatives à un enfant est licite lorsque l'enfant est âgé d'au moins 16 ans. Lorsque l'enfant est âgé de moins de 16 ans, ce traitement n'est licite que si, et dans la mesure où, le consentement est donné ou autorisé par le titulaire de la responsabilité parentale à l'égard de l'enfant. Les États membres peuvent prévoir par la loi un âge inférieur pour ces finalités pour autant que cet âge inférieur ne soit pas en-dessous de 13 ans. 2.   Le responsable du traitement s'efforce raisonnablement de vérifier, en pareil cas, que le consentement est donné ou autorisé par le titulaire de la responsabilité parentale à l'égard de l'enfant, compte tenu des moyens technologiques disponibles. 3.   Le paragraphe 1 ne porte pas atteinte au droit général des contrats des États membres, notamment aux règles concernant la validité, la formation ou les effets d'un contrat à l'égard d'un enfant. Considérants appropriés Considérant 38 - Protection Spéciale Des Données Personnelles Des Enfants Foire aux questions sur l'article 8 +À quel âge un enfant peut-il consentir au traitement selon le RGPD ? Selon l'article 8, les enfants peuvent consentir aux services en ligne à partir de 16 ans, les États membres pouvant abaisser cet âge sans descendre sous 13 ans. En deçà, le consentement parental est requis. +Les services en ligne ont-ils besoin du consentement parental pour les enfants ? Oui. Lorsqu'un service en ligne est offert directement à un enfant sous l'âge applicable, le responsable doit obtenir le consentement du titulaire de la responsabilité parentale et s'efforcer raisonnablement de le vérifier. +L'article 8 s'applique-t-il à tout traitement de données d'enfants ? Non. L'article 8 vise spécifiquement les services en ligne fondés sur le consentement offerts directement aux enfants. D'autres bases légales et protections des données d'enfants s'appliquent en dehors de ce cas. Questions clés connexes RGPD Droit à l’information RGPD Protection de la vie privée dès la conception

1.   Le traitement des données à caractère personnel qui révèle l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont interdits. 2.   Le paragraphe 1 ne s'applique pas si l'une des conditions suivantes est remplie: a) la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques, sauf lorsque le droit de l'Union ou le droit de l'État membre prévoit que l'interdiction visée au paragraphe 1 ne peut pas être levée par la personne concernée; b) le traitement est nécessaire aux fins de l'exécution des obligations et de l'exercice des droits propres au responsable du traitement ou à la personne concernée en matière de droit du travail, de la sécurité sociale et de la protection sociale, dans la mesure où ce traitement est autorisé par le droit de l'Union, par le droit d'un État membre ou par une convention collective conclue en vertu du droit d'un État membre qui prévoit des garanties appropriées pour les droits fondamentaux et les intérêts de la personne concernée; c) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique, dans le cas où la personne concernée se trouve dans l'incapacité physique ou juridique de donner son consentement; d) le traitement est effectué, dans le cadre de leurs activités légitimes et moyennant les garanties appropriées, par une fondation, une association ou tout autre organisme à but non lucratif et poursuivant une finalité politique, philosophique, religieuse ou syndicale, à condition que ledit traitement se rapporte exclusivement aux membres ou aux anciens membres dudit organisme ou aux personnes entretenant avec celui-ci des contacts réguliers en liaison avec ses finalités et que les données à caractère personnel ne soient pas communiquées en dehors de cet organisme sans le consentement des personnes concernées; e) le traitement porte sur des données à caractère personnel qui sont manifestement rendues publiques par la personne concernée; f) le traitement est nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice ou chaque fois que des juridictions agissent dans le cadre de leur fonction juridictionnelle; g) le traitement est nécessaire pour des motifs d'intérêt public important, sur la base du droit de l'Union ou du droit d'un 'État membre qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée; h) le traitement est nécessaire aux fins de la médecine préventive ou de la médecine du travail, de l'appréciation de la capacité de travail du travailleur, de diagnostics médicaux, de la prise en charge sanitaire ou sociale, ou de la gestion des systèmes et des services de soins de santé ou de protection sociale sur la base du droit de l'Union, du droit d'un État membre ou en vertu d'un contrat conclu avec un professionnel de la santé et soumis aux conditions et garanties visées au paragraphe 3; i) le traitement est nécessaire pour des motifs d'intérêt public dans le domaine de la santé publique, tels que la protection contre les menaces transfrontalières graves pesant sur la santé, ou aux fins de garantir des normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux, sur la base du droit de l'Union ou du droit de l'État membre qui prévoit des mesures appropriées et spécifiques pour la sauvegarde des droits et libertés de la personne concernée, notamment le secret professionnel; j) le traitement est nécessaire à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, conformément à l'article 89, paragraphe 1, sur la base du droit de l'Union ou du droit d'un État membre qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée. 3.   Les données à caractère personnel visées au paragraphe 1 peuvent faire l'objet d'un traitement aux fins prévues au paragraphe 2, point h), si ces données sont traitées par un professionnel de la santé soumis à une obligation de secret professionnel conformément au droit de l'Union, au droit d'un État membre ou aux règles arrêtées par les organismes nationaux compétents, ou sous sa responsabilité, ou par une autre personne également soumise à une obligation de secret conformément au droit de l'Union ou au droit d'un État membre ou aux règles arrêtées par les organismes nationaux compétents. 4.   Les États membres peuvent maintenir ou introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques, des données biométriques ou des données concernant la santé. Considérants appropriés Considérant 46 - Intérêts Vitaux De La Personne ConcernéeConsidérant 51 - Protection Des Données Personnelles SensiblesConsidérant 52 - Exceptions À L'Interdiction Du Traitement Des Catégories Particulières De Données PersonnellesConsidérant 53 - Traitement Des Données Sensibles Dans Le Secteur De La Santé Et Du SocialConsidérant 54 - Traitement De Données Sensibles Dans Le Secteur De La Santé PubliqueConsidérant 55 - Intérêt Public Dans Le Traitement Par Les Autorités Officielles Pour Les Objectifs Des Communautés Religieuses ReconnuesConsidérant 56 - Traitement Des Données Personnelles Sur Les Opinions Politiques Des Personnes Par Les Partis Foire aux questions sur l'article 9 +Que sont les catégories particulières de données selon le RGPD ? Elles incluent les données révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, les données génétiques et biométriques, les données de santé et celles concernant la vie ou l'orientation sexuelle. +Le traitement de données sensibles est-il interdit selon le RGPD ? Le traitement des catégories particulières est en principe interdit, mais l'article 9 prévoit des exceptions telles que le consentement explicite, les obligations en droit du travail, les intérêts vitaux et les motifs d'intérêt public important. +Quelles conditions permettent de traiter des données de santé ? Les données de santé peuvent être traitées en cas de consentement explicite, pour des soins ou un diagnostic, pour l'intérêt de santé publique ou selon d'autres conditions de l'article 9, généralement avec une base légale de l'article 6. Questions clés connexes RGPD Délégué à la protection des données RGPD Chiffrement

Le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes fondé sur l'article 6, paragraphe 1, ne peut être effectué que sous le contrôle de l'autorité publique, ou si le traitement est autorisé par le droit de l'Union ou par le droit d'un 'État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. Tout registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l'autorité publique. Considérants appropriés Considérant 50 - Traitement Ultérieur Des Données Personnelles Foire aux questions sur l'article 10 +Les entreprises peuvent-elles traiter des données de condamnations selon le RGPD ? L'article 10 restreint le traitement des données relatives aux condamnations et infractions. Il n'est permis que sous le contrôle de l'autorité publique ou lorsqu'il est autorisé par le droit de l'UE ou d'un État membre avec des garanties appropriées. +Les données pénales sont-elles une catégorie particulière selon le RGPD ? Les données de condamnation ne sont pas techniquement une catégorie particulière de l'article 9, mais elles bénéficient d'une protection renforcée similaire au titre de l'article 10 et nécessitent une autorisation juridique spécifique. +Les employeurs peuvent-ils consulter le casier judiciaire selon le RGPD ? Seulement si le droit national l'autorise et que des garanties appropriées existent. Les employeurs ne peuvent pas traiter librement les données de casier et doivent disposer d'une base autorisée par l'article 10. Questions clés connexes GDPR Évaluation d’impact sur la vie privée RGPD – Registre des Activités de Traitement

1.   Si les finalités pour lesquelles des données à caractère personnel sont traitées n'imposent pas ou n'imposent plus au responsable du traitement d'identifier une personne concernée, celui-ci n'est pas tenu de conserver, d'obtenir ou de traiter des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter le présent règlement. 2.   Lorsque, dans les cas visés au paragraphe 1 du présent article, le responsable du traitement est à même de démontrer qu'il n'est pas en mesure d'identifier la personne concernée, il en informe la personne concernée, si possible. En pareils cas, les articles 15 à 20 ne sont pas applicables, sauf lorsque la personne concernée fournit, aux fins d'exercer les droits que lui confèrent ces articles, des informations complémentaires qui permettent de l'identifier. Considérants appropriés Considérant 57 - Données Supplémentaires À Des Fins D'Identification Foire aux questions sur l'article 11 +Que dit l'article 11 du RGPD sur l'identification ? L'article 11 précise que les responsables ne sont pas tenus de conserver, d'obtenir ou de traiter des informations supplémentaires uniquement pour identifier une personne dans le seul but de respecter le RGPD. +Les droits des personnes s'appliquent-ils si le responsable ne peut pas l'identifier ? Si le responsable ne peut pas identifier la personne, certains droits comme l'accès, la rectification et l'effacement peuvent ne pas s'appliquer, sauf si la personne fournit des informations supplémentaires permettant son identification. +L'article 11 favorise-t-il la minimisation des données ? Oui. L'article 11 soutient la minimisation en confirmant que les organisations ne devraient pas collecter de données d'identification supplémentaires uniquement pour satisfaire des obligations lorsque le traitement ne l'exige pas. Questions clés connexes RGPD Droit d’accès RGPD – Droit à l’oubli

1.   Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d'autres moyens y compris, lorsque c'est approprié, par voie électronique. Lorsque la personne concernée en fait la demande, les informations peuvent être fournies oralement, à condition que l'identité de la personne concernée soit démontrée par d'autres moyens. 2.   Le responsable du traitement facilite l'exercice des droits conférés à la personne concernée au titre des articles 15 à 22. Dans les cas visés à l'article 11, paragraphe 2, le responsable du traitement ne refuse pas de donner suite à la demande de la personne concernée d'exercer les droits que lui confèrent les articles 15 à 22, à moins que le responsable du traitement ne démontre qu'il n'est pas en mesure d'identifier la personne concernée. 3.   Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande. Lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies par voie électronique lorsque cela est possible, à moins que la personne concernée ne demande qu'il en soit autrement. 4.   Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel. 5.   Aucun paiement n'est exigé pour fournir les informations au titre des articles 13 et 14 et pour procéder à toute communication et prendre toute mesure au titre des articles 15 à 22 et de l'article 34. Lorsque les demandes d'une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut: a) exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux communications ou prendre les mesures demandées; ou b) refuser de donner suite à ces demandes. Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande. 6.   Sans préjudice de l'article 11, lorsque le responsable du traitement a des doutes raisonnables quant à l'identité de la personne physique présentant la demande visée aux articles 15 à 21, il peut demander que lui soient fournies des informations supplémentaires nécessaires pour confirmer l'identité de la personne concernée. 7.   Les informations à communiquer aux personnes concernées en application des articles 13 et 14 peuvent être fournies accompagnées d'icônes normalisées afin d'offrir une bonne vue d'ensemble, facilement visible, compréhensible et clairement lisible, du traitement prévu. Lorsque les icônes sont présentées par voie électronique, elles sont lisibles par machine. 8.   La Commission est habilitée à adopter des actes délégués en conformité avec l'article 92, aux fins de déterminer les informations à présenter sous la forme d'icônes ainsi que les procédures régissant la fourniture d'icônes normalisées. Considérants appropriés Considérant 38 - Protection Spéciale Des Données Personnelles Des EnfantsConsidérant 58 - Le Principe De TransparenceConsidérant 59 - Procédures Pour L'Exercice Des Droits Des Personnes ConcernéesConsidérant 60 - Obligation D'InformationConsidérant 73 - Restrictions Des Droits Et Principes Foire aux questions sur l'article 12 +En combien de temps une entreprise doit-elle répondre à une demande d'une personne concernée ? Selon l'article 12, les responsables doivent répondre sans retard injustifié et dans un délai d'un mois. Ce délai peut être prolongé de deux mois supplémentaires pour les demandes complexes ou nombreuses. +Une entreprise peut-elle facturer le traitement d'une demande d'une personne concernée ? Les demandes sont en principe gratuites. Des frais raisonnables peuvent être facturés, ou la demande refusée, uniquement lorsqu'elle est manifestement infondée ou excessive, notamment en cas de répétition. +Comment les informations de confidentialité doivent-elles être présentées selon le RGPD ? Les informations doivent être concises, transparentes, compréhensibles et aisément accessibles, en des termes clairs et simples. Cela vaut particulièrement lorsque les informations s'adressent à des enfants. Questions clés connexes RGPD Droit à l’information RGPD – Droit d’accès RGPD – Droit à l’oubli

1.   Lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, toutes les informations suivantes: a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement b) le cas échéant, les coordonnées du délégué à la protection des données; c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement; d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers; e) les destinataires ou les catégories de destinataires des données à caractère personnel, s'ils existent; et f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par la Commission ou, dans le cas des transferts visés à l'article 46 ou 47, ou à l'article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition; 2.   En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée, au moment où les données à caractère personnel sont obtenues, les informations complémentaires suivantes qui sont nécessaires pour garantir un traitement équitable et transparent: a) la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée; b) l'existence du droit de demander au responsable du traitement l'accès aux données à caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ou du droit de s'opposer au traitement et du droit à la portabilité des données; c) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9, paragraphe 2, point a), l'existence du droit de retirer son consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci; d) le droit d'introduire une réclamation auprès d'une autorité de contrôle; e) des informations sur la question de savoir si l'exigence de fourniture de données à caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la conclusion d'un contrat et si la personne concernée est tenue de fournir les données à caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de ces données; f) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée. 3.   Lorsqu'il a l'intention d'effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont été collectées, le responsable du traitement fournit au préalable à la personne concernée des informations au sujet de cette autre finalité et toute autre information pertinente visée au paragraphe 2. 4.   Les paragraphes 1, 2 et 3 ne s'appliquent pas lorsque, et dans la mesure où, la personne concernée dispose déjà de ces informations. Considérants appropriés Considérant 60 - Obligation D'InformationConsidérant 61 - Délai D'InformationConsidérant 62 - Exceptions À L'Obligation De Fournir Des Informations Foire aux questions sur l'article 13 +Que doit contenir une politique de confidentialité selon l'article 13 du RGPD ? Lors d'une collecte directe, le responsable doit fournir son identité et ses coordonnées, les finalités et la base légale du traitement, les destinataires, les durées de conservation et les droits de la personne. +Quand les informations de confidentialité doivent-elles être données ? Selon l'article 13, les informations doivent être fournies au moment où les données sont obtenues directement auprès de la personne, et non après. +L'article 13 impose-t-il d'indiquer les durées de conservation ? Oui. La politique de confidentialité doit indiquer la durée de conservation des données ou, lorsque ce n'est pas possible, les critères utilisés pour la déterminer. Questions clés connexes RGPD – Droit d’accès RGPD – Pays tiers

1.   Lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée, le responsable du traitement fournit à celle-ci toutes les informations suivantes: a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement; b) le cas échéant, les coordonnées du délégué à la protection des données; c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement; d) les catégories de données à caractère personnel concernées; e) le cas échéant, les destinataires ou les catégories de destinataires des données à caractère personnel; f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un transfert de données à caractère personnel à un destinataire dans un pays tiers ou une organisation internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par la Commission ou, dans le cas des transferts visés à l'article 46 ou 47, ou à l'article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition; 2.   En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée les informations suivantes nécessaires pour garantir un traitement équitable et transparent à l'égard de la personne concernée: a) la durée pendant laquelle les données à caractère personnel seront conservées ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée; b) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers; c) l'existence du droit de demander au responsable du traitement l'accès aux données à caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ainsi que du droit de s'opposer au traitement et du droit à la portabilité des données; d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9, paragraphe 2, point a), l'existence du droit de retirer le consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci; e) le droit d'introduire une réclamation auprès d'une autorité de contrôle; f) la source d'où proviennent les données à caractère personnel et, le cas échéant, une mention indiquant qu'elles sont issues ou non de sources accessibles au public; g) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée. 3.   Le responsable du traitement fournit les informations visées aux paragraphes 1 et 2: a) dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées; b) si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne concernée, au plus tard au moment de la première communication à ladite personne; ou c) s'il est envisagé de communiquer les informations à un autre destinataire, au plus tard lorsque les données à caractère personnel sont communiquées pour la première fois. 4.   Lorsqu'il a l'intention d'effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont été obtenues, le responsable du traitement fournit au préalable à la personne concernée des informations au sujet de cette autre finalité et toute autre information pertinente visée au paragraphe 2. 5.   Les paragraphes 1 à 4 ne s'appliquent pas lorsque et dans la mesure où: a) la personne concernée dispose déjà de ces informations; b) la fourniture de telles informations se révèle impossible ou exigerait des efforts disproportionnés, en particulier pour le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques sous réserve des conditions et garanties visées à l'article 89, paragraphe 1, ou dans la mesure où l'obligation visée au paragraphe 1 du présent article est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement. En pareils cas, le responsable du traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles; c) l'obtention ou la communication des informations sont expressément prévues par le droit de l'Union ou le droit de l'État membre auquel le responsable du traitement est soumis et qui prévoit des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée; ou d) les données à caractère personnel doivent rester confidentielles en vertu d'une obligation de secret professionnel réglementée par le droit de l'Union ou le droit des États membre, y compris une obligation légale de secret professionnel. Considérants appropriés Considérant 60 - Obligation D'InformationConsidérant 61 - Délai D'InformationConsidérant 62 - Exceptions À L'Obligation De Fournir Des Informations Foire aux questions sur l'article 14 +Quelles informations donner lorsque les données sont obtenues indirectement ? L'article 14 exige des informations similaires à l'article 13, plus les catégories de données et leur source, lorsque les données sont collectées auprès d'un tiers et non de la personne elle-même. +Quand informer les personnes si leurs données proviennent d'une autre source ? Les informations doivent être fournies dans un délai raisonnable et au plus tard dans un délai d'un mois, ou lors de la première communication avec la personne si celle-ci intervient plus tôt. +Existe-t-il des exceptions à l'information de l'article 14 ? Oui. Aucune information n'est requise si la personne en dispose déjà, si cela s'avère impossible ou exige des efforts disproportionnés, ou si la collecte est prévue par la loi avec des garanties. Questions clés connexes RGPD – Consentement RGPD – Pays tiers

1.   La personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès auxdites données à caractère personnel ainsi que les informations suivantes: a) les finalités du traitement; b) les catégories de données à caractère personnel concernées; c) les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales; d) lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée; e) l'existence du droit de demander au responsable du traitement la rectification ou l'effacement de données à caractère personnel, ou une limitation du traitement des données à caractère personnel relatives à la personne concernée, ou du droit de s'opposer à ce traitement; f) le droit d'introduire une réclamation auprès d'une autorité de contrôle; g) lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source; h) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée. 2.   Lorsque les données à caractère personnel sont transférées vers un pays tiers ou à une organisation internationale, la personne concernée a le droit d'être informée des garanties appropriées, en vertu de l'article 46, en ce qui concerne ce transfert. 3.   Le responsable du traitement fournit une copie des données à caractère personnel faisant l'objet d'un traitement. Le responsable du traitement peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par la personne concernée. Lorsque la personne concernée présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d'usage courant, à moins que la personne concernée ne demande qu'il en soit autrement. 4.   Le droit d'obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et libertés d'autrui. Considérants appropriés Considérant 63 - Droit D'AccèsConsidérant 64 - Vérification D'Identité Foire aux questions sur l'article 15 +Qu'est-ce que le droit d'accès selon le RGPD ? L'article 15 donne aux personnes le droit de confirmer si leurs données sont traitées et d'en obtenir une copie, ainsi que des informations sur les finalités, les destinataires et la durée de conservation. +Une demande d'accès est-elle gratuite selon le RGPD ? Oui. La première copie des données à caractère personnel doit être fournie gratuitement. Des frais raisonnables fondés sur les coûts administratifs peuvent être demandés pour des copies supplémentaires ou des demandes excessives. +Qu'est-ce qu'une demande d'accès (DAI) ? Une demande d'accès intervient lorsqu'une personne exerce son droit de l'article 15 d'accéder aux données qu'une organisation détient sur elle. L'organisation doit en principe répondre dans un délai d'un mois. Questions clés connexes RGPD Droit d’accès RGPD Registre des Activités de Traitement

La personne concernée a le droit d'obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes. Compte tenu des finalités du traitement, la personne concernée a le droit d'obtenir que les données à caractère personnel incomplètes soient complétées, y compris en fournissant une déclaration complémentaire. Considérants appropriés Considérant 65 - Droit De Rectification Et D'Effacement Foire aux questions sur l'article 16 +Qu'est-ce que le droit de rectification selon le RGPD ? L'article 16 donne aux personnes le droit de faire rectifier des données inexactes et compléter des données incomplètes, y compris au moyen d'une déclaration complémentaire. +Combien de temps une entreprise a-t-elle pour corriger des données inexactes ? Les demandes de rectification suivent le délai de l'article 12 : le responsable doit agir sans retard injustifié et dans un délai d'un mois à compter de la réception de la demande. +Faut-il informer les tiers d'une rectification ? Oui. Selon l'article 19, le responsable doit informer les destinataires auxquels les données ont été communiquées de toute rectification, sauf si cela s'avère impossible ou exige des efforts disproportionnés. Questions clés connexes RGPD Registre des Activités de Traitement RGPD Protection de la vie privée dès la conception

1.   La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s'applique: a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière; b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l'article 6, paragraphe 1, point a), ou à l'article 9, paragraphe 2, point a), et il n'existe pas d'autre fondement juridique au traitement; c) la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il n'existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 2; d) les données à caractère personnel ont fait l'objet d'un traitement illicite; e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis; f) les données à caractère personnel ont été collectées dans le cadre de l'offre de services de la société de l'information visée à l'article 8, paragraphe 1. 2.   Lorsqu'il a rendu publiques les données à caractère personnel et qu'il est tenu de les effacer en vertu du paragraphe 1, le responsable du traitement, compte tenu des technologies disponibles et des coûts de mise en œuvre, prend des mesures raisonnables, y compris d'ordre technique, pour informer les responsables du traitement qui traitent ces données à caractère personnel que la personne concernée a demandé l'effacement par ces responsables du traitement de tout lien vers ces données à caractère personnel, ou de toute copie ou reproduction de celles-ci. 3.   Les paragraphes 1 et 2 ne s'appliquent pas dans la mesure où ce traitement est nécessaire: a) à l'exercice du droit à la liberté d'expression et d'information; b) pour respecter une obligation légale qui requiert le traitement prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis, ou pour exécuter une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement; c) pour des motifs d'intérêt public dans le domaine de la santé publique, conformément à l'article 9, paragraphe 2, points h) et i), ainsi qu'à l'article 9, paragraphe 3; d) à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, dans la mesure où le droit visé au paragraphe 1 est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement; ou e) à la constatation, à l'exercice ou à la défense de droits en justice. Considérants appropriés Considérant 65 - Droit De Rectification Et D'EffacementConsidérant 66 - Droit À L'Oubli Foire aux questions sur l'article 17 +Qu'est-ce que le droit à l'oubli selon le RGPD ? L'article 17 donne aux personnes le droit de faire effacer leurs données dans certaines circonstances, par exemple lorsque les données ne sont plus nécessaires, que le consentement est retiré ou que le traitement était illicite. +Le droit à l'effacement est-il absolu selon le RGPD ? Non. L'effacement peut être refusé lorsque le traitement est nécessaire à la liberté d'expression, à des obligations légales, à la santé publique, à l'archivage d'intérêt public ou à la constatation de droits en justice. +Quand une entreprise peut-elle refuser une demande de suppression ? Un responsable peut refuser l'effacement lorsqu'il dispose encore d'une base légale ou d'une obligation valable de conserver les données, par exemple pour respecter la loi ou défendre des droits en justice. Questions clés connexes RGPD Droit à l’oubli RGPD Consentement RGPD Marketing par courriel

1.   La personne concernée a le droit d'obtenir du responsable du traitement la limitation du traitement lorsque l'un des éléments suivants s'applique: a) l'exactitude des données à caractère personnel est contestée par la personne concernée, pendant une durée permettant au responsable du traitement de vérifier l'exactitude des données à caractère personnel; b) le traitement est illicite et la personne concernée s'oppose à leur effacement et exige à la place la limitation de leur utilisation; c) le responsable du traitement n'a plus besoin des données à caractère personnel aux fins du traitement mais celles-ci sont encore nécessaires à la personne concernée pour la constatation, l'exercice ou la défense de droits en justice; d) la personne concernée s'est opposée au traitement en vertu de l'article 21, paragraphe 1, pendant la vérification portant sur le point de savoir si les motifs légitimes poursuivis par le responsable du traitement prévalent sur ceux de la personne concernée. 2.   Lorsque le traitement a été limité en vertu du paragraphe 1, ces données à caractère personnel ne peuvent, à l'exception de la conservation, être traitées qu'avec le consentement de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice, ou pour la protection des droits d'une autre personne physique ou morale, ou encore pour des motifs importants d'intérêt public de l'Union ou d'un État membre. 3.   Une personne concernée qui a obtenu la limitation du traitement en vertu du paragraphe 1 est informée par le responsable du traitement avant que la limitation du traitement ne soit levée. Considérants appropriés Considérant 67 - Limitation Du Traitement Foire aux questions sur l'article 18 +Qu'est-ce que le droit à la limitation du traitement selon le RGPD ? L'article 18 permet aux personnes de limiter l'utilisation de leurs données dans certaines situations, par exemple pendant la contestation de l'exactitude ou lorsque le traitement est illicite mais que la personne préfère la limitation à l'effacement. +Que signifie concrètement limiter le traitement ? Lorsque le traitement est limité, les données peuvent être conservées mais non utilisées autrement, sauf avec le consentement, pour des droits en justice, pour protéger autrui ou pour un motif d'intérêt public important. +Quand une personne peut-elle demander la limitation plutôt que l'effacement ? La limitation peut être demandée lorsque l'exactitude est contestée, que le traitement est illicite, que les données ne sont plus nécessaires mais utiles pour des droits en justice, ou qu'une opposition est en cours de vérification. Questions clés connexes RGPD Registre des Activités de Traitement RGPD Droit d’accès

Le responsable du traitement notifie à chaque destinataire auquel les données à caractère personnel ont été communiquées toute rectification ou tout effacement de données à caractère personnel ou toute limitation du traitement effectué conformément à l'article 16, à l'article 17, paragraphe 1, et à l'article 18, à moins qu'une telle communication se révèle impossible ou exige des efforts disproportionnés. Le responsable du traitement fournit à la personne concernée des informations sur ces destinataires si celle-ci en fait la demande. Considérants appropriés Considérant 66 - Droit À L'Oubli Foire aux questions sur l'article 19 +Qu'exige l'article 19 du RGPD ? L'article 19 oblige les responsables à notifier à chaque destinataire des données toute rectification, tout effacement ou toute limitation du traitement, sauf si cela s'avère impossible ou exige des efforts disproportionnés. +Faut-il indiquer aux personnes avec qui leurs données ont été partagées ? Oui. Si la personne le demande, le responsable doit l'informer des destinataires auxquels ses données à caractère personnel ont été communiquées. +Pourquoi l'article 19 est-il important pour l'exactitude des données ? Il garantit que les corrections et effacements soient répercutés à toutes les parties ayant reçu les données, afin que des informations inexactes ou obsolètes ne soient pas conservées ailleurs. Questions clés connexes RGPD Registre des Activités de Traitement RGPD Droit à l’information

1.   Les personnes concernées ont le droit de recevoir les données à caractère personnel les concernant qu'elles ont fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine, et ont le droit de transmettre ces données à un autre responsable du traitement sans que le responsable du traitement auquel les données à caractère personnel ont été communiquées y fasse obstacle, lorsque: a) le traitement est fondé sur le consentement en application de l'article 6, paragraphe 1, point a), ou de l'article 9, paragraphe 2, point a), ou sur un contrat en application de l'article 6, paragraphe 1, point b); et b) le traitement est effectué à l'aide de procédés automatisés. 2.   Lorsque la personne concernée exerce son droit à la portabilité des données en application du paragraphe 1, elle a le droit d'obtenir que les données à caractère personnel soient transmises directement d'un responsable du traitement à un autre, lorsque cela est techniquement possible. 3.   L'exercice du droit, visé au paragraphe 1 du présent article s'entend sans préjudice de l'article 17. Ce droit ne s'applique pas au traitement nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. 4.   Le droit visé au paragraphe 1 ne porte pas atteinte aux droits et libertés de tiers. Considérants appropriés Considérant 68 - Droit À La Portabilité Des Données Foire aux questions sur l'article 20 +Qu'est-ce que le droit à la portabilité selon le RGPD ? L'article 20 permet aux personnes de recevoir les données qu'elles ont fournies dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre responsable sans entrave. +Quand le droit à la portabilité s'applique-t-il ? Il s'applique uniquement lorsque le traitement repose sur le consentement ou un contrat et qu'il est effectué de manière automatisée. Il ne couvre pas les données traitées sur d'autres bases légales. +Les personnes peuvent-elles transférer leurs données directement entre prestataires ? Oui, lorsque cela est techniquement possible. L'article 20 donne aux personnes le droit de faire transmettre leurs données directement d'un responsable à un autre. Questions clés connexes RGPD Protection de la vie privée dès la conception RGPD Droit à l’information

1.   La personne concernée a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l'article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu'il ne démontre qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice. 2.   Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s'opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection. 3.   Lorsque la personne concernée s'oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins. 4.   Au plus tard au moment de la première communication avec la personne concernée, le droit visé aux paragraphes 1 et 2 est explicitement porté à l'attention de la personne concernée et est présenté clairement et séparément de toute autre information. 5.   Dans le cadre de l'utilisation de services de la société de l'information, et nonobstant la directive 2002/58/CE, la personne concernée peut exercer son droit d'opposition à l'aide de procédés automatisés utilisant des spécifications techniques. 6.   Lorsque des données à caractère personnel sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques en application de l'article 89, paragraphe 1, la personne concernée a le droit de s'opposer, pour des raisons tenant à sa situation particulière, au traitement de données à caractère personnel la concernant, à moins que le traitement ne soit nécessaire à l'exécution d'une mission d'intérêt public. Considérants appropriés Considérant 69 - Droit D'OppositionConsidérant 70 - Droit D'Opposition Au Marketing Direct Foire aux questions sur l'article 21 +Qu'est-ce que le droit d'opposition selon le RGPD ? L'article 21 donne aux personnes le droit de s'opposer au traitement fondé sur l'intérêt légitime ou une mission d'intérêt public, et un droit absolu de s'opposer au traitement à des fins de prospection. +Puis-je empêcher une entreprise d'utiliser mes données à des fins de marketing ? Oui. Selon l'article 21, les personnes ont un droit absolu d'opposition à la prospection, et le responsable doit cesser immédiatement le traitement à cette fin. +Une entreprise peut-elle continuer le traitement après une opposition ? Pour un traitement fondé sur l'intérêt légitime, le responsable ne peut continuer que s'il démontre des motifs légitimes impérieux prévalant sur les intérêts de la personne, ou si le traitement est nécessaire à des droits en justice. Questions clés connexes GDPR Amendes / Sanctions GDPR Évaluation d’impact sur la vie privée

1.   La personne concernée a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire. 2.   Le paragraphe 1 ne s'applique pas lorsque la décision: a) est nécessaire à la conclusion ou à l'exécution d'un contrat entre la personne concernée et un responsable du traitement; b) est autorisée par le droit de l'Union ou le droit de l'État membre auquel le responsable du traitement est soumis et qui prévoit également des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée; ou c) est fondée sur le consentement explicite de la personne concernée. 3.   Dans les cas visés au paragraphe 2, points a) et c), le responsable du traitement met en œuvre des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée, au moins du droit de la personne concernée d'obtenir une intervention humaine de la part du responsable du traitement, d'exprimer son point de vue et de contester la décision. 4.   Les décisions visées au paragraphe 2 ne peuvent être fondées sur les catégories particulières de données à caractère personnel visées à l'article 9, paragraphe 1, à moins que l'article 9, paragraphe 2, point a) ou g), ne s'applique et que des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée ne soient en place. Considérants appropriés Considérant 71 - ProfilageConsidérant 72 - Orientation Du Comité Européen De La Protection Des Données Concernant Le ProfilageConsidérant 91 - Nécessité D'Une Évaluation D'Impact Sur La Protection Des Données Foire aux questions sur l'article 22 +Que dit le RGPD sur les décisions automatisées ? L'article 22 donne aux personnes le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou similaires significatifs. +Quand la décision automatisée est-elle autorisée selon le RGPD ? Elle est permise lorsqu'elle est nécessaire à un contrat, autorisée par la loi ou fondée sur le consentement explicite, avec des garanties comme le droit à une intervention humaine et celui de contester la décision. +L'article 22 s'applique-t-il à l'IA et au profilage ? Oui. Lorsque l'IA ou le profilage prend des décisions exclusivement automatisées ayant des effets significatifs sur une personne, l'article 22 s'applique et des garanties effectives doivent être offertes. Questions clés connexes RGPD Protection de la vie privée dès la conception GDPR Évaluation d’impact sur la vie privée

1.   Le droit de l'Union ou le droit de l'État membre auquel le responsable du traitement ou le sous-traitant est soumis peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits prévus aux articles 12 à 22 et à l'article 34, ainsi qu'à l'article 5 dans la mesure où les dispositions du droit en question correspondent aux droits et obligations prévus aux articles 12 à 22, lorsqu'une telle limitation respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir: a) la sécurité nationale; b) la défense nationale; c) la sécurité publique; d) la prévention et la détection d'infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces; e) d'autres objectifs importants d'intérêt public général de l'Union ou d'un État membre, notamment un intérêt économique ou financier important de l'Union ou d'un État membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale; f) la protection de l'indépendance de la justice et des procédures judiciaires; g) la prévention et la détection de manquements à la déontologie des professions réglementées, ainsi que les enquêtes et les poursuites en la matière; h) une mission de contrôle, d'inspection ou de réglementation liée, même occasionnellement, à l'exercice de l'autorité publique, dans les cas visés aux points a) à e) et g); i) la protection de la personne concernée ou des droits et libertés d'autrui; j) l'exécution des demandes de droit civil. 2.   En particulier, toute mesure législative visée au paragraphe 1 contient des dispositions spécifiques relatives, au moins, le cas échéant: a) aux finalités du traitement ou des catégories de traitement; b) aux catégories de données à caractère personnel; c) à l'étendue des limitations introduites; d) aux garanties destinées à prévenir les abus ou l'accès ou le transfert illicites; e) à la détermination du responsable du traitement ou des catégories de responsables du traitement; f) aux durées de conservation et aux garanties applicables, en tenant compte de la nature, de la portée et des finalités du traitement ou des catégories de traitement; g) aux risques pour les droits et libertés des personnes concernées; et h) au droit des personnes concernées d'être informées de la limitation, à moins que cela risque de nuire à la finalité de la limitation. Considérants appropriés Considérant 73 - Restrictions Des Droits Et Principes Foire aux questions sur l'article 23 +Que permet l'article 23 du RGPD ? L'article 23 permet au droit de l'UE ou d'un État membre de limiter certains droits et obligations du RGPD lorsque cela est nécessaire et proportionné pour sauvegarder des intérêts tels que la sécurité nationale, la défense ou la sécurité publique. +Les droits des personnes peuvent-ils être limités selon le RGPD ? Oui. L'article 23 permet des limitations encadrées des droits pour des objectifs d'intérêt public déterminés, mais toute limitation doit respecter le contenu essentiel des droits fondamentaux et être nécessaire et proportionnée. +Quelles garanties s'appliquent aux limitations de l'article 23 ? Les mesures législatives imposant des limitations doivent prévoir des dispositions spécifiques relatives aux finalités, à la portée, aux garanties, à la conservation et aux risques pour les personnes, afin d'éviter l'arbitraire. Questions clés connexes RGPD Pays tiers GDPR Amendes / Sanctions

1.   Compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure de démontrer que le traitement est effectué conformément au présent règlement. Ces mesures sont réexaminées et actualisées si nécessaire. 2.   Lorsque cela est proportionné au regard des activités de traitement, les mesures visées au paragraphe 1 comprennent la mise en œuvre de politiques appropriées en matière de protection des données par le responsable du traitement. 3.   L'application d'un code de conduite approuvé comme le prévoit l'article 40 ou de mécanismes de certification approuvés comme le prévoit l'article 42 peut servir d'élément pour démontrer le respect des obligations incombant au responsable du traitement. Considérants appropriés Considérant 74 - Responsabilité Et Obligations Du Responsable De TraitementConsidérant 75 - Risques Pour Les Droits Et Libertés Des Personnes PhysiquesConsidérant 76 - Évaluation Des RisquesConsidérant 77 - Lignes Directrices Pour L'Évaluation Des Risques Foire aux questions sur l'article 24 +Quelles sont les responsabilités d'un responsable du traitement selon le RGPD ? L'article 24 oblige les responsables à mettre en œuvre des mesures techniques et organisationnelles appropriées pour assurer et démontrer la conformité du traitement au RGPD, en tenant compte des risques pour les personnes. +Comment un responsable démontre-t-il sa conformité au RGPD ? Les responsables démontrent leur conformité par des politiques documentées, des mesures de protection, des registres et, lorsque cela est proportionné, l'adhésion à des codes de conduite approuvés ou à des certifications. +Qu'est-ce que l'obligation de responsabilité pour les responsables ? La responsabilité signifie que les responsables ne doivent pas seulement respecter le RGPD mais aussi pouvoir le prouver au moyen de mesures appropriées, revues et mises à jour selon les besoins. Questions clés connexes RGPD Délégué à la protection des données RGPD Protection de la vie privée dès la conception

1.   Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, que présente le traitement pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre, tant au moment de la détermination des moyens du traitement qu'au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées, telles que la pseudonymisation, qui sont destinées à mettre en œuvre les principes relatifs à la protection des données, par exemple la minimisation des données, de façon effective et à assortir le traitement des garanties nécessaires afin de répondre aux exigences du présent règlement et de protéger les droits de la personne concernée. 2.   Le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées. Cela s'applique à la quantité de données à caractère personnel collectées, à l'étendue de leur traitement, à leur durée de conservation et à leur accessibilité. En particulier, ces mesures garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans l'intervention de la personne physique concernée. 3.   Un mécanisme de certification approuvé en vertu de l'article 42 peut servir d'élément pour démontrer le respect des exigences énoncées aux paragraphes 1 et 2 du présent article. Considérants appropriés Considérant 78 - Mesures Techniques Et Organisationnelles Appropriées Foire aux questions sur l'article 25 +Qu'est-ce que la protection des données dès la conception et par défaut ? L'article 25 oblige les responsables à intégrer la protection des données dès le départ et à garantir, par défaut, que seules les données nécessaires à chaque finalité sont traitées. +Que signifie la protection des données par défaut ? Par défaut, les paramètres doivent limiter la quantité de données collectées, l'étendue du traitement, la durée de conservation et l'accessibilité, afin que les données ne soient pas rendues accessibles à un nombre indéterminé de personnes. +Comment mettre en œuvre le privacy by design selon le RGPD ? Le privacy by design se met en œuvre par des mesures telles que la pseudonymisation, la minimisation des données, le contrôle des accès et l'intégration de garanties dans les systèmes dès la phase de conception. Questions clés connexes RGPD Chiffrement GDPR Évaluation d’impact sur la vie privéei

1.   Lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement. Les responsables conjoints du traitement définissent de manière transparente leurs obligations respectives aux fins d'assurer le respect des exigences du présent règlement, notamment en ce qui concerne l'exercice des droits de la personne concernée, et leurs obligations respectives quant à la communication des informations visées aux articles 13 et 14, par voie d'accord entre eux, sauf si, et dans la mesure, où leurs obligations respectives sont définies par le droit de l'Union ou par le droit de l'État membre auquel les responsables du traitement sont soumis. Un point de contact pour les personnes concernées peut être désigné dans l'accord. 2.   L'accord visé au paragraphe 1 reflète dûment les rôles respectifs des responsables conjoints du traitement et leurs relations vis-à-vis des personnes concernées. Les grandes lignes de l'accord sont mises à la disposition de la personne concernée. 3.   Indépendamment des termes de l'accord visé au paragraphe 1, la personne concernée peut exercer les droits que lui confère le présent règlement à l'égard de et contre chacun des responsables du traitement. Considérants appropriés Considérant 58 - Le Principe De TransparenceConsidérant 79 - Répartition Des Responsabilités Foire aux questions sur l'article 26 +Que sont les responsables conjoints selon le RGPD ? Les responsables conjoints sont deux responsables ou plus qui déterminent conjointement les finalités et les moyens du traitement. L'article 26 leur impose de définir leurs responsabilités respectives dans un accord. +Les responsables conjoints ont-ils besoin d'un accord écrit ? Oui. Les responsables conjoints doivent définir de manière transparente leurs obligations respectives, en particulier sur les droits des personnes et l'information, et mettre l'essentiel de l'accord à disposition des personnes. +Une personne peut-elle exercer ses droits auprès de chaque responsable conjoint ? Oui. Indépendamment de l'accord interne, les personnes peuvent exercer leurs droits à l'égard de chacun des responsables conjoints. Questions clés connexes RGPD Délégué à la protection des données GDPR Évaluation d’impact sur la vie privéei RGPD Registre des Activités de Traitement

1.   Lorsque l'article 3, paragraphe 2, s'applique, le responsable du traitement ou le sous-traitant désigne par écrit un représentant dans l'Union. 2.   L'obligation prévue au paragraphe 1 du présent article ne s'applique pas: a) à un traitement qui est occasionnel, qui n'implique pas un traitement à grande échelle des catégories particulières de données visées à l'article 9, paragraphe 1, ou un traitement de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l'article 10, et qui n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques, compte tenu de la nature, du contexte, de la portée et des finalités du traitement; ou b) à une autorité publique ou à un organisme public; 3.   Le représentant est établi dans un des États membres dans lesquels se trouvent les personnes physiques dont les données à caractère personnel font l'objet d'un traitement lié à l'offre de biens ou de services, ou dont le comportement fait l'objet d'un suivi. 4.   Le représentant est mandaté par le responsable du traitement ou le sous-traitant pour être la personne à qui, notamment, les autorités de contrôle et les personnes concernées doivent s'adresser, en plus ou à la place du responsable du traitement ou du sous-traitant, pour toutes les questions relatives au traitement, aux fins d'assurer le respect du présent règlement. 5.   La désignation d'un représentant par le responsable du traitement ou le sous-traitant est sans préjudice d'actions en justice qui pourraient être intentées contre le responsable du traitement ou le sous-traitant lui-même. Considérants appropriés Considérant 80 - Désignation D'Un Représentant Foire aux questions sur l'article 27 +Les entreprises hors UE ont-elles besoin d'un représentant dans l'UE selon le RGPD ? L'article 27 impose aux responsables et sous-traitants hors UE relevant du RGPD de désigner un représentant établi dans l'UE, avec des exceptions limitées pour les traitements occasionnels et à faible risque. +Que fait un représentant dans l'UE selon le RGPD ? Le représentant sert de point de contact pour les autorités de contrôle et les personnes pour toute question liée au traitement, aidant à assurer la conformité au nom de l'organisation hors UE. +Quand un représentant dans l'UE n'est-il pas requis ? Aucun représentant n'est requis lorsque le traitement est occasionnel, ne comporte pas de données sensibles ou pénales à grande échelle et est peu susceptible d'entraîner un risque, ou lorsqu'il s'agit d'une autorité publique. Questions clés connexes RGPD Registre des Activités de Traitement RGPD Pays tiers

1.   Lorsqu'un traitement doit être effectué pour le compte d'un responsable du traitement, celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée. 2.   Le sous-traitant ne recrute pas un autre sous-traitant sans l'autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Dans le cas d'une autorisation écrite générale, le sous-traitant informe le responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement d'autres sous-traitants, donnant ainsi au responsable du traitement la possibilité d'émettre des objections à l'encontre de ces changements. 3.   Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l'Union ou du droit d'un État membre, qui lie le sous-traitant à l'égard du responsable du traitement, définit l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement. Ce contrat ou cet autre acte juridique prévoit, notamment, que le sous-traitant: a) ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, à moins qu'il ne soit tenu d'y procéder en vertu du droit de l'Union ou du droit de l'État membre auquel le sous-traitant est soumis; dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public; b) veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité; c) prend toutes les mesures requises en vertu de l'article 32; d) respecte les conditions visées aux paragraphes 2 et 4 pour recruter un autre sous-traitant; e) tient compte de la nature du traitement, aide le responsable du traitement, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d'exercer leurs droits prévus au chapitre III; f) aide le responsable du traitement à garantir le respect des obligations prévues aux articles 32 à 36, compte tenu de la nature du traitement et des informations à la disposition du sous-traitant; g) selon le choix du responsable du traitement, supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation de services relatifs au traitement, et détruit les copies existantes, à moins que le droit de l'Union ou le droit de l'État membre n'exige la conservation des données à caractère personnel; et h) met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent article et pour permettre la réalisation d'audits, y compris des inspections, par le responsable du traitement ou un autre auditeur qu'il a mandaté, et contribuer à ces audits. En ce qui concerne le point h) du premier alinéa, le sous-traitant informe immédiatement le responsable du traitement si, selon lui, une instruction constitue une violation du présent règlement ou d'autres dispositions du droit de l'Union ou du droit des États membres relatives à la protection des données. 4.   Lorsqu'un sous-traitant recrute un autre sous-traitant pour mener des activités de traitement spécifiques pour le compte du responsable du traitement, les mêmes obligations en matière de protection de données que celles fixées dans le contrat ou un autre acte juridique entre le responsable du traitement et le sous-traitant conformément au paragraphe 3, sont imposées à cet autre sous-traitant par contrat ou au moyen d'un autre acte juridique au titre du droit de l'Union ou du droit d'un État membre, en particulier pour ce qui est de présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement. Lorsque cet autre sous-traitant ne remplit pas ses obligations en matière de protection des données, le sous-traitant initial demeure pleinement responsable devant le responsable du traitement de l'exécution par l'autre sous-traitant de ses obligations. 5.   L'application, par un sous-traitant, d'un code de conduite approuvé comme le prévoit l'article 40 ou d'un mécanisme de certification approuvé comme le prévoit l'article 42 peut servir d'élément pour démontrer l'existence des garanties suffisantes conformément aux paragraphes 1 et 4 du présent article. 6.   Sans préjudice d'un contrat particulier entre le responsable du traitement et le sous-traitant, le contrat ou l'autre acte juridique visé aux paragraphes 3 et 4 du présent article peut être fondé, en tout ou en partie, sur les clauses contractuelles types visées aux paragraphes 7 et 8 du présent article, y compris lorsqu'elles font partie d'une certification délivrée au responsable du traitement ou au sous-traitant en vertu des articles 42 et 43. 7.   La Commission peut établir des clauses contractuelles types pour les questions visées aux paragraphes 3 et 4 du présent article et conformément à la procédure d'examen visée à l'article 93, paragraphe 2. 8.   Une autorité de contrôle peut adopter des clauses contractuelles types pour les questions visées aux paragraphes 3 et 4 du présent article et conformément au mécanisme de contrôle de la cohérence visé à l'article 63. 9.   Le contrat ou l'autre acte juridique visé aux paragraphes 3 et 4 se présente sous une forme écrite, y compris en format électronique. 10.   Sans préjudice des articles 82, 83 et 84, si, en violation du présent règlement, un sous-traitant détermine les finalités et les moyens du traitement, il est considéré comme un responsable du traitement pour ce qui concerne ce traitement. Considérants appropriés Considérant 81 - L'Utilisation De Sous-Traitants Foire aux questions sur l'article 28 +Que doit contenir un contrat de sous-traitance selon l'article 28 ? Le contrat doit couvrir l'objet, la durée, la nature et la finalité du traitement, les types de données, les obligations des parties, les mesures de sécurité, les règles de sous-traitance ultérieure et l'assistance à la conformité. +Un sous-traitant peut-il recourir à des sous-traitants ultérieurs selon le RGPD ? Un sous-traitant ne peut recourir à des sous-traitants ultérieurs qu'avec l'autorisation préalable du responsable et doit leur imposer par contrat les mêmes obligations de protection des données. +Quelles sont les obligations d'un sous-traitant selon le RGPD ? Les sous-traitants ne traitent les données que sur instructions documentées, garantissent la confidentialité, mettent en œuvre des mesures de sécurité, assistent le responsable et effacent ou restituent les données à la fin de la prestation. Questions clés connexes RGPD Chiffrement RGPD Registre des Activités de Traitement

Le sous-traitant et toute personne agissant sous l'autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne peut pas traiter ces données, excepté sur instruction du responsable du traitement, à moins d'y être obligé par le droit de l'Union ou le droit d'un État membre. Récitals connexes Considérant 39 – Principes Du Traitement Des Données Considérant 40 – Licéité Du Traitement Des Données Considérant 74 – Responsabilité Et Obligations Du Responsable De Traitement Foire aux questions sur l'article 29 +Qu'exige l'article 29 du RGPD ? L'article 29 exige que toute personne agissant sous l'autorité d'un responsable ou d'un sous-traitant ne traite les données que sur instruction du responsable, sauf obligation légale contraire. +Les salariés peuvent-ils traiter des données sans instructions selon le RGPD ? Non. Le personnel et les autres personnes ayant accès aux données ne peuvent les traiter que sur instructions documentées du responsable, ce qui soutient la responsabilité et limite les usages non autorisés. +Comment l'article 29 se rattache-t-il à la sécurité des données ? En limitant le traitement aux instructions autorisées, l'article 29 réduit le risque d'usage abusif et soutient les obligations de confidentialité et d'intégrité prévues ailleurs dans le RGPD. Questions clés connexes RGPD Chiffrement RGPD Délégué à la protection des données RGPD Protection de la vie privée dès la conception

1.   Chaque responsable du traitement et, le cas échéant, le représentant du responsable du traitement tiennent un registre des activités de traitement effectuées sous leur responsabilité. Ce registre comporte toutes les informations suivantes: a) le nom et les coordonnées du responsable du traitement et, le cas échéant, du responsable conjoint du traitement, du représentant du responsable du traitement et du délégué à la protection des données; b) les finalités du traitement; c) une description des catégories de personnes concernées et des catégories de données à caractère personnel; d) les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, y compris les destinataires dans des pays tiers ou des organisations internationales; e) le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l'identification de ce pays tiers ou de cette organisation internationale et, dans le cas des transferts visés à l'article 49, paragraphe 1, deuxième alinéa, les documents attestant de l'existence de garanties appropriées; f) dans la mesure du possible, les délais prévus pour l'effacement des différentes catégories de données; g) dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l'article 32, paragraphe 1. 2.   Chaque sous-traitant et, le cas échéant, le représentant du sous-traitant tiennent un registre de toutes les catégories d'activités de traitement effectuées pour le compte du responsable du traitement, comprenant: a) le nom et les coordonnées du ou des sous-traitants et de chaque responsable du traitement pour le compte duquel le sous-traitant agit ainsi que, le cas échéant, les noms et les coordonnées du représentant du responsable du traitement ou du sous-traitant et celles du délégué à la protection des données; b) les catégories de traitements effectués pour le compte de chaque responsable du traitement; c) le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l'identification de ce pays tiers ou de cette organisation internationale et, dans le cas des transferts visés à l'article 49, paragraphe 1, deuxième alinéa, les documents attestant de l'existence de garanties appropriées; d) dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l'article 32, paragraphe 1. 3.   Les registres visés aux paragraphes 1 et 2 se présentent sous une forme écrite y compris la forme électronique. 4.   Le responsable du traitement ou le sous-traitant et, le cas échéant, leur représentant mettent le registre à la disposition de l'autorité de contrôle sur demande. 5.   Les obligations visées aux paragraphes 1 et 2 ne s'appliquent pas à une entreprise ou à une organisation comptant moins de 250 employés, sauf si le traitement qu'elles effectuent est susceptible de comporter un risque pour les droits et des libertés des personnes concernées, s'il n'est pas occasionnel ou s'il porte notamment sur les catégories particulières de données visées à l'article 9, paragraphe 1, ou sur des données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l'article 10. Considérants appropriés Considérant 13 - Prendre En Compte Les Micro, Petites Et Moyennes EntreprisesConsidérant 82 - Registre Des Activités De Traitement Foire aux questions sur l'article 30 +Qu'est-ce que le registre des activités de traitement ? L'article 30 oblige les responsables et sous-traitants à tenir un registre de leurs activités de traitement, comprenant les finalités, les catégories de données et de destinataires, les transferts, les durées de conservation et les mesures de sécurité. +Les petites entreprises sont-elles dispensées du registre des traitements ? Les organisations de moins de 250 salariés sont partiellement dispensées, mais doivent tenir un registre lorsque le traitement n'est pas occasionnel, porte sur des données sensibles ou est susceptible d'engendrer un risque. +Quelles informations figurent dans un registre RGPD ? Le registre comprend généralement les coordonnées du responsable, les finalités, les catégories de personnes et de données, les destinataires, les transferts internationaux, les durées de conservation et une description des mesures de sécurité. Questions clés connexes GDPR Évaluation d’impact sur la vie privée RGPD Pays tiers

Le responsable du traitement et le sous-traitant ainsi que, le cas échéant, leurs représentants coopèrent avec l'autorité de contrôle, à la demande de celle-ci, dans l'exécution de ses missions. Considérants appropriés Considérant 82 - Registre Des Activités De Traitement Foire aux questions sur l'article 31 +Qu'exige l'article 31 du RGPD ? L'article 31 oblige les responsables et sous-traitants à coopérer, sur demande, avec l'autorité de contrôle dans l'exercice de ses missions. +Les entreprises doivent-elles coopérer avec les autorités de protection des données ? Oui. La coopération est une obligation légale, et les organisations doivent répondre aux demandes de l'autorité de contrôle et soutenir ses fonctions d'enquête et de correction. +Comment l'article 31 soutient-il l'application du RGPD ? En imposant la coopération, l'article 31 permet aux autorités d'enquêter sur les plaintes, de contrôler les traitements et de prendre efficacement des mesures correctrices. Questions clés connexes GDPR Amendes / Sanctions GDPR Évaluation d’impact sur la vie privée

1.   Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins: a) la pseudonymisation et le chiffrement des données à caractère personnel; b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement; c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique; d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement. 2.   Lors de l'évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l'altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou de l'accès non autorisé à de telles données, de manière accidentelle ou illicite. 3.   L'application d'un code de conduite approuvé comme le prévoit l'article 40 ou d'un mécanisme de certification approuvé comme le prévoit l'article 42 peut servir d'élément pour démontrer le respect des exigences prévues au paragraphe 1 du présent article. 4.   Le responsable du traitement et le sous-traitant prennent des mesures afin de garantir que toute personne physique agissant sous l'autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne les traite pas, excepté sur instruction du responsable du traitement, à moins d'y être obligée par le droit de l'Union ou le droit d'un État membre. Considérants appropriés Considérant 75 - Risques Pour Les Droits Et Libertés Des Personnes PhysiquesConsidérant 76 - Évaluation Des RisquesConsidérant 77 - Lignes Directrices Pour L'Évaluation Des RisquesConsidérant 78 - Mesures Techniques Et Organisationnelles AppropriéesConsidérant 79 - Répartition Des ResponsabilitésConsidérant 83 - Sécurité Du Traitement Foire aux questions sur l'article 32 +Quelles mesures de sécurité le RGPD exige-t-il ? L'article 32 exige des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque, y compris la pseudonymisation, le chiffrement, la confidentialité, l'intégrité, la disponibilité et la résilience. +Le chiffrement est-il obligatoire selon le RGPD ? Le chiffrement n'est pas strictement obligatoire mais l'article 32 le cite comme exemple de mesure appropriée. Les organisations doivent choisir des mesures proportionnées au risque de leur traitement. +Comment évaluer le niveau de sécurité approprié ? Les organisations doivent peser l'état de l'art, les coûts ainsi que la nature et les risques du traitement, puis mettre en œuvre des mesures réduisant le risque pour les personnes à un niveau acceptable. Questions clés connexes RGPD Délégué à la protection des données RGPD Protection de la vie privée dès la conception

1.   En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l'autorité de contrôle compétente conformément à l'article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification à l'autorité de contrôle n'a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard. 2.   Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. 3.   La notification visée au paragraphe 1 doit, à tout le moins: a) décrire la nature de la violation de données à caractère personnel y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d'enregistrements de données à caractère personnel concernés; b) communiquer le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues; c) décrire les conséquences probables de la violation de données à caractère personnel; d) décrire les mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives. 4.   Si, et dans la mesure où, il n'est pas possible de fournir toutes les informations en même temps, les informations peuvent être communiquées de manière échelonnée sans autre retard indu. 5.   Le responsable du traitement documente toute violation de données à caractère personnel, en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier. La documentation ainsi constituée permet à l'autorité de contrôle de vérifier le respect du présent article. Considérants appropriés Considérant 85 - Obligation De Notification Des Violations À L'Autorité De ContrôleConsidérant 87 - Rapidité De Rapport / NotificationConsidérant 88 - Format Et Procédures De La Notification Foire aux questions sur l'article 33 +En combien de temps une violation de données doit-elle être notifiée selon le RGPD ? L'article 33 impose aux responsables de notifier une violation de données à l'autorité de contrôle sans retard injustifié et, si possible, dans les 72 heures après en avoir pris connaissance. +Toutes les violations de données doivent-elles être notifiées à l'autorité ? Non. Une violation doit être notifiée sauf si elle est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. Même les violations non notifiées doivent être documentées en interne. +Que doit contenir une notification de violation RGPD ? La notification doit décrire la nature de la violation, les catégories et le nombre de personnes concernées, les conséquences probables et les mesures prises pour y remédier. Questions clés connexes RGPD Délégué à la protection des données GDPR Amendes / Sanctions

1.   Lorsqu'une violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et libertés d'une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais. 2.   La communication à la personne concernée visée au paragraphe 1 du présent article décrit, en des termes clairs et simples, la nature de la violation de données à caractère personnel et contient au moins les informations et mesures visées à l'article 33, paragraphe 3, points b), c) et d). 3.   La communication à la personne concernée visée au paragraphe 1 n'est pas nécessaire si l'une ou l'autre des conditions suivantes est remplie: a) le responsable du traitement a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et ces mesures ont été appliquées aux données à caractère personnel affectées par ladite violation, en particulier les mesures qui rendent les données à caractère personnel incompréhensibles pour toute personne qui n'est pas autorisée à y avoir accès, telles que le chiffrement; b) le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés des personnes concernées visé au paragraphe 1 n'est plus susceptible de se matérialiser; c) elle exigerait des efforts disproportionnés. Dans ce cas, il est plutôt procédé à une communication publique ou à une mesure similaire permettant aux personnes concernées d'être informées de manière tout aussi efficace. 4.   Si le responsable du traitement n'a pas déjà communiqué à la personne concernée la violation de données à caractère personnel la concernant, l'autorité de contrôle peut, après avoir examiné si cette violation de données à caractère personnel est susceptible d'engendrer un risque élevé, exiger du responsable du traitement qu'il procède à cette communication ou décider que l'une ou l'autre des conditions visées au paragraphe 3 est remplie. Considérants appropriés Considérant 86 - Notification Des Personnes Concernées En Cas De Violation De DonnéesConsidérant 87 - Rapidité De Rapport / NotificationConsidérant 88 - Format Et Procédures De La Notification Foire aux questions sur l'article 34 +Quand les personnes doivent-elles être informées d'une violation de données ? L'article 34 impose aux responsables d'informer les personnes concernées sans retard injustifié lorsqu'une violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés. +Quand l'information des personnes sur une violation n'est-elle pas requise ? Elle n'est pas requise si les données étaient chiffrées ou rendues incompréhensibles, si des mesures ultérieures ont écarté le risque élevé, ou si cela exigerait des efforts disproportionnés, une communication publique pouvant alors suffire. +Que doit contenir l'information adressée aux personnes ? Elle doit décrire la violation en termes clairs et indiquer le point de contact pour plus d'informations, les conséquences probables et les mesures prises ou proposées pour y remédier. Questions clés connexes RGPD Délégué à la protection des données RGPD Droit à l’information

1.   Lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel. Une seule et même analyse peut porter sur un ensemble d'opérations de traitement similaires qui présentent des risques élevés similaires. 2.   Lorsqu'il effectue une analyse d'impact relative à la protection des données, le responsable du traitement demande conseil au délégué à la protection des données, si un tel délégué a été désigné. 3.   L'analyse d'impact relative à la protection des données visée au paragraphe 1 est, en particulier, requise dans les cas suivants: a) l'évaluation systématique et approfondie d'aspects personnels concernant des personnes physiques, qui est fondée sur un traitement automatisé, y compris le profilage, et sur la base de laquelle sont prises des décisions produisant des effets juridiques à l'égard d'une personne physique ou l'affectant de manière significative de façon similaire; b) le traitement à grande échelle de catégories particulières de données visées à l'article 9, paragraphe 1, ou de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l'article 10; ou c) la surveillance systématique à grande échelle d'une zone accessible au public. 4.   L'autorité de contrôle établit et publie une liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise conformément au paragraphe 1. L'autorité de contrôle communique ces listes au comité visé à l'article 68. 5.   L'autorité de contrôle peut aussi établir et publier une liste des types d'opérations de traitement pour lesquelles aucune analyse d'impact relative à la protection des données n'est requise. L'autorité de contrôle communique cette liste au comité. 6.   Avant d'adopter les listes visées aux paragraphes 4 et 5, l'autorité de contrôle compétente applique le mécanisme de contrôle de la cohérence visé à l'article 63, lorsque ces listes comprennent des activités de traitement liées à l'offre de biens ou de services à des personnes concernées ou au suivi de leur comportement dans plusieurs États membres, ou peuvent affecter sensiblement la libre circulation des données à caractère personnel au sein de l'Union. 7.   L'analyse contient au moins: a) une description systématique des opérations de traitement envisagées et des finalités du traitement, y compris, le cas échéant, l'intérêt légitime poursuivi par le responsable du traitement; b) une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités; c) une évaluation des risques pour les droits et libertés des personnes concernées conformément au paragraphe 1; et d) les mesures envisagées pour faire face aux risques, y compris les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect du présent règlement, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes affectées. 8.   Le respect, par les responsables du traitement ou sous-traitants concernés, de codes de conduite approuvés visés à l'article 40 est dûment pris en compte lors de l'évaluation de l'impact des opérations de traitement effectuées par lesdits responsables du traitement ou sous-traitants, en particulier aux fins d'une analyse d'impact relative à la protection des données. 9.   Le cas échéant, le responsable du traitement demande l'avis des personnes concernées ou de leurs représentants au sujet du traitement prévu, sans préjudice de la protection des intérêts généraux ou commerciaux ou de la sécurité des opérations de traitement. 10.   Lorsque le traitement effectué en application de l'article 6, paragraphe 1, point c) ou e), a une base juridique dans le droit de l'Union ou dans le droit de l'État membre auquel le responsable du traitement est soumis, que ce droit règlemente l'opération de traitement spécifique ou l'ensemble des opérations de traitement en question et qu'une analyse d'impact relative à la protection des données a déjà été effectuée dans le cadre d'une analyse d'impact générale réalisée dans le cadre de l'adoption de la base juridique en question, les paragraphes 1 à 7 ne s'appliquent pas, à moins que les États membres n'estiment qu'il est nécessaire d'effectuer une telle analyse avant les activités de traitement. 11.   Si nécessaire, le responsable du traitement procède à un examen afin d'évaluer si le traitement est effectué conformément à l'analyse d'impact relative à la protection des données, au moins quand il se produit une modification du risque présenté par les opérations de traitement. Considérants appropriés Considérant 75 - Risques Pour Les Droits Et Libertés Des Personnes PhysiquesConsidérant 84 - Évaluation Des Risques Et Analyse D'ImpactConsidérant 89 - Élimination De L'Exigence Générale De DéclarationConsidérant 90 - Analyse D'Impact Relative À La Protection Des DonnéesConsidérant 91 - Nécessité D'Une Évaluation D'Impact Sur La Protection Des DonnéesConsidérant 92 - Évaluation D'Impact Plus Large Sur La Protection Des DonnéesConsidérant 93 - Évaluation D'Impact Sur La Protection Des Données Auprès Des Autorités Foire aux questions sur l'article 35 +Quand une analyse d'impact (AIPD) est-elle requise ? L'article 35 exige une AIPD lorsque le traitement est susceptible d'engendrer un risque élevé pour les personnes, par exemple un traitement à grande échelle de données sensibles, une surveillance systématique ou un profilage étendu. +Qu'est-ce qu'une AIPD selon le RGPD ? Une AIPD est une évaluation structurée de la manière dont un traitement affecte la protection des données, identifiant les risques et les mesures nécessaires pour les atténuer avant le début du traitement. +Que doit contenir une AIPD ? Une AIPD doit décrire le traitement et ses finalités, évaluer la nécessité et la proportionnalité, apprécier les risques pour les personnes et exposer les mesures prévues pour y faire face. Questions clés connexes RGPD Délégué à la protection des données RGPD Protection de la vie privée dès la conception

1.   Le responsable du traitement consulte l'autorité de contrôle préalablement au traitement lorsqu'une analyse d'impact relative à la protection des données effectuée au titre de l'article 35 indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque. 2.   Lorsque l'autorité de contrôle est d'avis que le traitement envisagé visé au paragraphe 1, constituerait une violation du présent règlement, en particulier lorsque le responsable du traitement n'a pas suffisamment identifié ou atténué le risque, l'autorité de contrôle fournit par écrit, dans un délai maximum de huit semaines à compter de la réception de la demande de consultation, un avis écrit au responsable du traitement et, le cas échéant, au sous-traitant, et peut faire usage des pouvoirs visés à l'article 58. Ce délai peut être prolongé de six semaines, en fonction de la complexité du traitement envisagé. L'autorité de contrôle informe le responsable du traitement et, le cas échéant, le sous-traitant de la prolongation du délai ainsi que des motifs du retard, dans un délai d'un mois à compter de la réception de la demande de consultation. Ces délais peuvent être suspendus jusqu'à ce que l'autorité de contrôle ait obtenu les informations qu'elle a demandées pour les besoins de la consultation. 3.   Lorsque le responsable du traitement consulte l'autorité de contrôle en application du paragraphe 1, il lui communique: a) le cas échéant, les responsabilités respectives du responsable du traitement, des responsables conjoints et des sous-traitants participant au traitement, en particulier pour le traitement au sein d'un groupe d'entreprises; b) les finalités et les moyens du traitement envisagé; c) les mesures et les garanties prévues afin de protéger les droits et libertés des personnes concernées en vertu du présent règlement; d) le cas échéant, les coordonnées du délégué à la protection des données; e) l'analyse d'impact relative à la protection des données prévue à l'article 35; et f) toute autre information que l'autorité de contrôle demande. 4.   Les États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement. 5.   Nonobstant le paragraphe 1, le droit des États membres peut exiger que les responsables du traitement consultent l'autorité de contrôle et obtiennent son autorisation préalable en ce qui concerne le traitement effectué par un responsable du traitement dans le cadre d'une mission d'intérêt public exercée par celui-ci, y compris le traitement dans le cadre de la protection sociale et de la santé publique. Considérants appropriés Considérant 94 - Consultation De L'Autorité De ContrôleConsidérant 95 - Assistance Par Le Sous-TraitantConsidérant 96 - Consultation De L'Autorité De Contrôle Dans Le Cadre D'Un Processus Législatif Foire aux questions sur l'article 36 +Qu'est-ce que la consultation préalable selon l'article 36 du RGPD ? L'article 36 impose aux responsables de consulter l'autorité de contrôle avant le traitement lorsqu'une AIPD révèle un risque élevé qui ne peut être atténué par les mesures dont dispose le responsable. +Quand faut-il consulter l'autorité de protection des données avant le traitement ? La consultation est requise lorsqu'une AIPD montre que le traitement engendrerait un risque résiduel élevé pour les personnes en l'absence de mesures prises par le responsable pour l'atténuer. +Que peut faire l'autorité de contrôle lors d'une consultation préalable ? L'autorité peut fournir un avis écrit et user de ses pouvoirs, y compris des avertissements ou des restrictions, si elle estime que le traitement envisagé violerait le RGPD. Questions clés connexes GDPR Évaluation d’impact sur la vie privée RGPD Droit à l’information

1.   Le responsable du traitement et le sous-traitant désignent en tout état de cause un délégué à la protection des données lorsque: a) le traitement est effectué par une autorité publique ou un organisme public, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle; b) les activités de base du responsable du traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées; ou c) les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de catégories particulières de données visées à l'article 9 et de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l'article 10. 2.   Un groupe d'entreprises peut désigner un seul délégué à la protection des données à condition qu'un délégué à la protection des données soit facilement joignable à partir de chaque lieu d'établissement. 3.   Lorsque le responsable du traitement ou le sous-traitant est une autorité publique ou un organisme public, un seul délégué à la protection des données peut être désigné pour plusieurs autorités ou organismes de ce type, compte tenu de leur structure organisationnelle et de leur taille. 4.   Dans les cas autres que ceux visés au paragraphe 1, le responsable du traitement ou le sous-traitant ou les associations et autres organismes représentant des catégories de responsables du traitement ou de sous-traitants peuvent désigner ou, si le droit de l'Union ou le droit d'un État membre l'exige, sont tenus de désigner un délégué à la protection des données. Le délégué à la protection des données peut agir pour ces associations et autres organismes représentant des responsables du traitement ou des sous-traitants. 5.   Le délégué à la protection des données est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir les missions visées à l'article 39. 6.   Le délégué à la protection des données peut être un membre du personnel du responsable du traitement ou du sous-traitant, ou exercer ses missions sur la base d'un contrat de service. 7.   Le responsable du traitement ou le sous-traitant publient les coordonnées du délégué à la protection des données et les communiquent à l'autorité de contrôle. Considérants appropriés Considérant 97 - Délégué À La Protection Des Données Foire aux questions sur l'article 37 +Quand un délégué à la protection des données (DPD) est-il requis selon le RGPD ? L'article 37 exige un DPD lorsque le traitement est effectué par une autorité publique, ou lorsque les activités de base impliquent un suivi systématique à grande échelle ou un traitement à grande échelle de données sensibles. +Toute entreprise a-t-elle besoin d'un DPD selon le RGPD ? Non. Un DPD n'est obligatoire que dans les cas prévus par l'article 37, mais toute organisation peut en désigner un volontairement, par bonne pratique. +Un DPD peut-il être un consultant externe ? Oui. Le DPD peut être un salarié ou exercer la fonction au titre d'un contrat de service, à condition de disposer de l'expertise requise et de pouvoir agir de manière indépendante. Questions clés connexes RGPD Délégué à la protection des données GDPR Évaluation d’impact sur la vie privée

1.   Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel. 2.   Le responsable du traitement et le sous-traitant aident le délégué à la protection des données à exercer les missions visées à l'article 39 en fournissant les ressources nécessaires pour exercer ces missions, ainsi que l'accès aux données à caractère personnel et aux opérations de traitement, et lui permettant d'entretenir ses connaissances spécialisées. 3.   Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données ne reçoive aucune instruction en ce qui concerne l'exercice des missions. Le délégué à la protection des données ne peut être relevé de ses fonctions ou pénalisé par le responsable du traitement ou le sous-traitant pour l'exercice de ses missions. Le délégué à la protection des données fait directement rapport au niveau le plus élevé de la direction du responsable du traitement ou du sous-traitant. 4.   Les personnes concernées peuvent prendre contact avec le délégué à la protection des données au sujet de toutes les questions relatives au traitement de leurs données à caractère personnel et à l'exercice des droits que leur confère le présent règlement. 5.   Le délégué à la protection des données est soumis au secret professionnel ou à une obligation de confidentialité en ce qui concerne l'exercice de ses missions, conformément au droit de l'Union ou au droit des États membres. 6.   Le délégué à la protection des données peut exécuter d'autres missions et tâches. Le responsable du traitement ou le sous-traitant veillent à ce que ces missions et tâches n'entraînent pas de conflit d'intérêts. Considérants appropriés Considérant 97 - Délégué À La Protection Des Données Foire aux questions sur l'article 38 +Quel est le rôle d'un DPD au sein d'une organisation ? L'article 38 exige que le DPD soit associé de manière appropriée et en temps utile à toutes les questions de protection des données, dispose de ressources suffisantes et rende compte au plus haut niveau de la direction. +Un DPD doit-il être indépendant selon le RGPD ? Oui. Le DPD doit exercer ses missions de manière indépendante, ne peut être relevé ni pénalisé pour l'exercice de ses fonctions et ne reçoit aucune instruction sur la manière de les accomplir. +Un DPD peut-il avoir d'autres fonctions dans l'entreprise ? Un DPD peut exercer d'autres missions, mais l'organisation doit veiller à ce que celles-ci n'entraînent pas de conflit d'intérêts avec ses responsabilités en matière de protection des données. Questions clés connexes GDPR Évaluation d’impact sur la vie privée RGPD Registre des Activités de Traitement

1.   Les missions du délégué à la protection des données sont au moins les suivantes: a) informer et conseiller le responsable du traitement ou le sous-traitant ainsi que les employés qui procèdent au traitement sur les obligations qui leur incombent en vertu du présent règlement et d'autres dispositions du droit de l'Union ou du droit des États membres en matière de protection des données; b) contrôler le respect du présent règlement, d'autres dispositions du droit de l'Union ou du droit des États membres en matière de protection des données et des règles internes du responsable du traitement ou du sous-traitant en matière de protection des données à caractère personnel, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux opérations de traitement, et les audits s'y rapportant; c) dispenser des conseils, sur demande, en ce qui concerne l'analyse d'impact relative à la protection des données et vérifier l'exécution de celle-ci en vertu de l'article 35; d) coopérer avec l'autorité de contrôle; e) faire office de point de contact pour l'autorité de contrôle sur les questions relatives au traitement, y compris la consultation préalable visée à l'article 36, et mener des consultations, le cas échéant, sur tout autre sujet. 2.   Le délégué à la protection des données tient dûment compte, dans l'accomplissement de ses missions, du risque associé aux opérations de traitement compte tenu de la nature, de la portée, du contexte et des finalités du traitement. Considérants appropriés Considérant 97 - Délégué À La Protection Des Données Foire aux questions sur l'article 39 +Quelles sont les missions d'un délégué à la protection des données ? L'article 39 charge le DPD de conseiller sur les obligations, de contrôler la conformité, de conseiller sur les AIPD, de coopérer avec l'autorité de contrôle et d'en être le point de contact. +Le DPD est-il responsable de la conformité au RGPD ? Non. Le DPD contrôle et conseille sur la conformité, mais la responsabilité juridique de la conformité incombe au responsable ou au sous-traitant. +Pour qui le DPD est-il le point de contact ? Le DPD est le point de contact de l'autorité de contrôle et peut aussi traiter les demandes des personnes relatives au traitement de leurs données et à leurs droits. Questions clés connexes GDPR Amendes / Sanctions RGPD Registre des Activités de Traitement

1.   Les États membres, les autorités de contrôle, le comité et la Commission encouragent l'élaboration de codes de conduite destinés à contribuer à la bonne application du présent règlement, compte tenu de la spécificité des différents secteurs de traitement et des besoins spécifiques des micro, petites et moyennes entreprises. 2.   Les associations et autres organismes représentant des catégories de responsables du traitement ou de sous-traitants peuvent élaborer des codes de conduite, les modifier ou les proroger, aux fins de préciser les modalités d'application du présent règlement, telles que: a) le traitement loyal et transparent; b) les intérêts légitimes poursuivis par les responsables du traitement dans des contextes spécifiques; c) la collecte des données à caractère personnel; d) la pseudonymisation des données à caractère personnel; e) les informations communiquées au public et aux personnes concernées; f) l'exercice des droits des personnes concernées; g) les informations communiquées aux enfants et la protection dont bénéficient les enfants et la manière d'obtenir le consentement des titulaires de la responsabilité parentale à l'égard de l'enfant; h) les mesures et les procédures visées aux articles 24 et 25 et les mesures visant à assurer la sécurité du traitement visées à l'article 32; i) la notification aux autorités de contrôle des violations de données à caractère personnel et la communication de ces violations aux personnes concernées; j) le transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales; ou k) les procédures extrajudiciaires et autres procédures de règlement des litiges permettant de résoudre les litiges entre les responsables du traitement et les personnes concernées en ce qui concerne le traitement, sans préjudice des droits des personnes concernées au titre des articles 77 et 79. 3.   Outre leur application par les responsables du traitement ou les sous-traitants soumis au présent règlement, les codes de conduite qui sont approuvés en vertu du paragraphe 5 du présent article et qui sont d'application générale en vertu du paragraphe 9 du présent article peuvent aussi être appliqués par des responsables du traitement ou des sous-traitants qui ne sont pas soumis au présent règlement en vertu de l'article 3, afin de fournir des garanties appropriées dans le cadre des transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale dans les conditions visées à l'article 46, paragraphe 2, point e). Ces responsables du traitement ou sous-traitants prennent l'engagement contraignant et doté de force obligatoire au moyen d'instruments contractuels ou d'autres instruments juridiquement contraignants, d'appliquer ces garanties appropriées, y compris en ce qui concerne les droits des personnes concernées. 4.   Le code de conduite visé au paragraphe 2 du présent article comprend les mécanismes permettant à l'organisme visé à l'article 41, paragraphe 1, de procéder au contrôle obligatoire du respect de ses dispositions par les responsables du traitement ou les sous-traitants qui s'engagent à l'appliquer, sans préjudice des missions et des pouvoirs de l'autorité de contrôle qui est compétente en vertu de l'article 55 ou 56. 5.   Les associations et autres organismes visés au paragraphe 2 du présent article qui ont l'intention d'élaborer un code de conduite ou de modifier ou proroger un code de conduite existant soumettent le projet de code, la modifications ou la prorogation à l'autorité de contrôle qui est compétente en vertu de l'article 55. L'autorité de contrôle rend un avis sur la question de savoir si le projet de code, la modification ou la prorogation respecte le présent règlement et approuve ce projet de code, cette modification ou cette prorogation si elle estime qu'il offre des garanties appropriées suffisantes. 6.   Lorsque le projet de code, la modification ou la prorogation est approuvé conformément au paragraphe 5, et lorsque le code de conduite concerné ne porte pas sur des activités de traitement menées dans plusieurs États membres, l'autorité de contrôle enregistre et publie le code de conduite. 7.   Lorsque le projet de code de conduite concerne des activités de traitement menées dans plusieurs États membres, l'autorité de contrôle qui est compétente en vertu de l'article 55 soumet le projet de code, la modification ou la prorogation, avant approbation, selon la procédure visée à l'article 63, au comité, qui rend un avis sur la question de savoir si le projet de code, la modification ou la prorogation respecte le présent règlement ou, dans la situation visée au paragraphe 3 du présent article, s'il offre des garanties appropriées. 8.   Lorsque l'avis visé au paragraphe 7 confirme que le projet de code, la modification ou la prorogation respecte le présent règlement ou, dans la situation visée au paragraphe 3, offre des garanties appropriées, le comité soumet son avis à la Commission. 9.   La Commission peut décider, par voie d'actes d'exécution, que le code de conduite, la modification ou la prorogation approuvés qui lui ont été soumis en vertu du paragraphe 8 du présent article sont d'application générale au sein de l'Union. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 93, paragraphe 2. 10.   La Commission veille à garantir une publicité appropriée aux codes approuvés dont elle a décidé qu'ils sont d'application générale conformément au paragraphe 9. 11.   Le comité consigne dans un registre tous les codes de conduite, les modifications et les prorogations approuvés et les met à la disposition du public par tout moyen approprié. Considérants appropriés Considérant 98 - Élaboration De Codes De Conduite Par Les Organisations Et AssociationsConsidérant 99 - Consultation Des Parties Prenantes Et Des Personnes Concernées Dans L'Élaboration Des Codes De Conduite Foire aux questions sur l'article 40 +Que sont les codes de conduite selon le RGPD ? L'article 40 encourage les associations à élaborer des codes de conduite précisant l'application du RGPD dans un secteur, aidant les organisations à démontrer leur conformité et leurs bonnes pratiques. +Comment les codes de conduite aident-ils à la conformité au RGPD ? L'adhésion à un code approuvé peut servir à démontrer le respect d'obligations telles que la sécurité et la responsabilité, et témoigne d'un engagement en faveur de bonnes pratiques. +Qui approuve un code de conduite RGPD ? Les codes sont soumis à l'autorité de contrôle compétente pour approbation, et les codes ayant une portée transfrontalière font intervenir le Comité européen de la protection des données. Questions clés connexes RGPD Protection de la vie privée dès la conception RGPD Pays tiers

1.   Sans préjudice des missions et des pouvoirs de l'autorité de contrôle compétente au titre des articles 57 et 58, le contrôle du respect du code de conduite en vertu de l'article 40 peut être effectué par un organisme qui dispose d'un niveau d'expertise approprié au regard de l'objet du code et qui est agréé à cette fin par l'autorité de contrôle compétente. 2.   Un organisme visé au paragraphe 1 peut être agréé pour contrôler le respect d'un code de conduite lorsque cet organisme a: a) démontré, à la satisfaction de l'autorité de contrôle compétente, son indépendance et son expertise au regard de l'objet du code; b) établi des procédures qui lui permettent d'apprécier si les responsables du traitement et les sous-traitants concernés satisfont aux conditions pour appliquer le code, de contrôler le respect de ses dispositions et d'examiner périodiquement son fonctionnement; c) établi des procédures et des structures pour traiter les réclamations relatives aux violations du code ou à la manière dont le code a été ou est appliqué par un responsable du traitement ou un sous-traitant, et pour rendre ces procédures et structures transparentes à l'égard des personnes concernées et du public; et d) démontré, à la satisfaction de l'autorité de contrôle compétente, que ses tâches et ses missions n'entraînent pas de conflit d'intérêts. 3.   L'autorité de contrôle compétente soumet le projet de critères d'agrément d'un organisme visé au paragraphe 1 du présent article au comité en application du mécanisme de contrôle de la cohérence visé à l'article 63. 4.   Sans préjudice des missions et des pouvoirs de l'autorité de contrôle compétente et des dispositions du chapitre VIII, un organisme visé au paragraphe 1 du présent article prend, sous réserve des garanties appropriées, des mesures appropriées en cas de violation du code par un responsable du traitement ou un sous-traitant, et peut notamment suspendre ou exclure le responsable du traitement ou le sous-traitant concerné de l'application du code. Il informe l'autorité de contrôle compétente de ces mesures et des raisons pour lesquelles elles ont été prises. 5.   L'autorité de contrôle compétente révoque l'agrément d'un organisme visé au paragraphe 1 si les conditions d'agrément ne sont pas ou ne sont plus réunies ou si les mesures prises par l'organisme constituent une violation du présent règlement. 6.   Le présent article ne s'applique pas au traitement effectué par les autorités publiques et les organismes publics. Considérants appropriés Considérant 77 – Lignes Directrices Pour L’Évaluation Des Risques Considérant 81 – L’Utilisation De Sous-Traitants Considérant 98 – Élaboration De Codes De Conduite Par Les Organisations Et Associations Considérant 99 – Consultation Des Parties Prenantes Et Des Personnes Concernées Dans L’Élaboration Des Codes De Conduite Foire aux questions sur l'article 41 +Qui contrôle le respect des codes de conduite RGPD ? L'article 41 permet à un organisme accrédité disposant de l'expertise appropriée de contrôler le respect d'un code de conduite approuvé, en complément des pouvoirs de l'autorité de contrôle. +Que se passe-t-il si une organisation enfreint un code de conduite ? L'organisme de suivi peut prendre des mesures, y compris suspendre ou exclure l'organisation du code, et doit informer l'autorité de contrôle de ces mesures. +Les organismes de suivi remplacent-ils les autorités de contrôle ? Non. Les organismes de suivi complètent mais ne remplacent pas l'autorité de contrôle, qui conserve l'ensemble de ses pouvoirs d'exécution au titre du RGPD. Questions clés connexes GDPR Évaluation d’impact sur la vie privée RGPD Registre des Activités de Traitement

1.   Les États membres, les autorités de contrôle, le comité et la Commission encouragent, en particulier au niveau de l'Union, la mise en place de mécanismes de certification en matière de protection des données ainsi que de labels et de marques en la matière, aux fins de démontrer que les opérations de traitement effectuées par les responsables du traitement et les sous-traitants respectent le présent règlement. Les besoins spécifiques des micro, petites et moyennes entreprises sont pris en considération. 2.   Outre l'application par les responsables du traitement ou les sous-traitants soumis au présent règlement, les mécanismes de certification, les labels ou les marques en matière de protection des données approuvés en vertu du paragraphe 5 du présent article peuvent être établis aux fins de démontrer que des responsables du traitement ou des sous-traitants qui ne sont pas soumis au présent règlement en vertu du l'article 3 fournissent des garanties appropriées dans le cadre des transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale dans les conditions visées à l'article 46, paragraphe 2, point f). Ces responsables du traitement ou sous-traitants prennent l'engagement contraignant et exécutoire, au moyen d'instruments contractuels ou d'autres instruments juridiquement contraignants, d'appliquer ces garanties appropriées, y compris en ce qui concerne les droits des personnes concernées. 3.   La certification est volontaire et accessible via un processus transparent. 4.   Une certification en vertu du présent article ne diminue par la responsabilité du responsable du traitement ou du sous-traitant quant au respect du présent règlement et est sans préjudice des missions et des pouvoirs des autorités de contrôle qui sont compétentes en vertu de l'article 55 ou 56. 5.   Une certification en vertu du présent article est délivrée par les organismes de certification visés à l'article 43 ou par l'autorité de contrôle compétente sur la base des critères approuvés par cette autorité de contrôle compétente en application de l'article 58, paragraphe 3, ou par le comité en application de l'article 63. Lorsque les critères sont approuvés par le comité, cela peut donner lieu à une certification commune, le label européen de protection des données. 6.   Le responsable du traitement ou le sous-traitant qui soumet son traitement au mécanisme de certification fournit à l'organisme de certification visé à l'article 43 ou, le cas échéant, à l'autorité de contrôle compétente toutes les informations ainsi que l'accès à ses activités de traitement, qui sont nécessaires pour mener la procédure de certification. 7.   La certification est délivrée à un responsable du traitement ou à un sous-traitant pour une durée maximale de trois ans et peut être renouvelée dans les mêmes conditions tant que les exigences applicables continuent d'être satisfaites. La certification est retirée, s'il y a lieu, par les organismes de certification visés à l'article 43 ou par l'autorité de contrôle compétente lorsque les exigences applicables à la certification ne sont pas ou plus satisfaites. 8.   Le comité consigne dans un registre tous les mécanismes de certification et les labels ou les marques en matière de protection des données et les met à la disposition du public par tout moyen approprié. Considérants appropriés Considérant 100 - Certification Foire aux questions sur l'article 42 +Qu'est-ce que la certification RGPD selon l'article 42 ? L'article 42 encourage les mécanismes de certification, labels et marques permettant aux organisations de démontrer la conformité de leurs traitements au RGPD. +La certification RGPD prouve-t-elle une conformité totale ? Non. La certification aide à démontrer la conformité mais ne réduit pas la responsabilité du responsable ou du sous-traitant, qui demeurent pleinement responsables au titre du RGPD. +La certification RGPD est-elle obligatoire ? Non. La certification est volontaire et passe par un processus transparent ; elle sert d'outil pour démontrer les bonnes pratiques et instaurer la confiance. Questions clés connexes RGPD Chiffrement GDPR Évaluation d’impact sur la vie privée

1.   Sans préjudice des missions et des pouvoirs de l'autorité de contrôle compétente au titre des articles 57 et 58, les organismes de certification disposant d'un niveau d'expertise approprié en matière de protection des données délivrent et renouvellent les certifications, après en avoir informé l'autorité de contrôle pour qu'elle puisse exercer au besoin les pouvoirs qui lui sont dévolus en vertu de l'article 58, paragraphe 2, point h). Les États membres veillent à ce que ces organismes de certification soient agréés par une des entités suivantes ou les deux: a) l'autorité de contrôle qui est compétente en vertu de l'article 55 ou 56; 2.   Les organismes de certification visés au paragraphe 1 ne sont agréés conformément audit paragraphe que lorsqu'ils ont: a) démontré, à la satisfaction de l'autorité de contrôle compétente, leur indépendance et leur expertise au regard de l'objet de la certification; b) pris l'engagement de respecter les critères visés à l'article 42, paragraphe 5, et approuvés par l'autorité de contrôle qui est compétente en vertu de l'article 55 ou 56 ou par le comité, en vertu de l'article 63; c) mis en place des procédures en vue de la délivrance, de l'examen périodique et du retrait d'une certification, de labels et de marques en matière de protection des données; d) établi des procédures et des structures pour traiter les réclamations relatives aux violations de la certification ou à la manière dont la certification a été ou est appliquée par un responsable du traitement ou un sous-traitant, et pour rendre ces procédures et structures transparentes à l'égard des personnes concernées et du public; et e) démontré, à la satisfaction de l'autorité de contrôle compétente, que leurs tâches et leurs missions n'entraînent pas de conflit d'intérêts. 4.   Les organismes de certification visés au paragraphe 1 sont chargés de procéder à l'évaluation appropriée conduisant à la délivrance de la certification ou au retrait de cette certification, sans préjudice de la responsabilité du responsable du traitement ou du sous-traitant en ce qui concerne le respect du présent règlement. L'agrément est délivré pour une durée maximale de cinq ans et peut être renouvelé dans les mêmes conditions tant que l'organisme de certification satisfait aux exigences énoncées au présent article. 5.   Les organismes de certification visés au paragraphe 1 communiquent aux autorités de contrôle compétentes les raisons de la délivrance ou du retrait de la certification demandée. 6.   Les exigences visées au paragraphe 3 du présent article et les critères visés à l'article 42, paragraphe 5, sont publiés par les autorités de contrôle sous une forme aisément accessible. Les autorités de contrôle transmettent aussi ces exigences et ces critères au comité. Le comité consigne dans un registre tous les mécanismes de certification et les labels en matière de protection des données et les met à la disposition du public par tout moyen approprié. 7.   Sans préjudice du chapitre VIII, l'autorité de contrôle compétente ou l'organisme national d'accréditation révoque l'agrément d'un organisme de certification en application du paragraphe 1 du présent article si les conditions d'agrément ne sont pas ou ne sont plus réunies ou si les mesures prises par l'organisme de certification constituent une violation du présent règlement. 8.   La Commission est habilitée à adopter des actes délégués en conformité avec l'article 92, aux fins de préciser les exigences à prendre en considération en ce qui concerne les mécanismes de certification en matière de protection des données visés à l'article 42, paragraphe 1. 9.   La Commission peut adopter des actes d'exécution visant à fixer des normes techniques pour les mécanismes de certification, les labels et les marques en matière de protection des données, ainsi que les mécanismes aux fins de la promotion et de la reconnaissance de ces mécanismes de certification, labels et marques. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 93, paragraphe 2. Considérants appropriés Considérant 77 – Lignes Directrices Pour L’Évaluation Des Risques Considérant 81 – L’Utilisation De Sous-Traitants Considérant 98 – Élaboration De Codes De Conduite Par Les Organisations Et Associations Considérant 99 – Consultation Des Parties Prenantes Et Des Personnes Concernées Dans L’Élaboration Des Codes De Conduite Considérant 100 – Certification Considérant 148 – Pénalités Foire aux questions sur l'article 43 +Que sont les organismes de certification selon le RGPD ? L'article 43 prévoit que des organismes de certification accrédités peuvent délivrer, renouveler et retirer des certifications RGPD, à condition de disposer de l'expertise appropriée et de remplir les exigences d'accréditation. +Qui accrédite les organismes de certification RGPD ? Les organismes de certification sont accrédités par l'autorité de contrôle ou l'organisme national d'accréditation, sur la base de critères approuvés par l'autorité compétente. +Une certification peut-elle être retirée ? Oui. Un organisme de certification doit retirer une certification lorsque les exigences ne sont plus remplies, et les autorités de contrôle peuvent également en ordonner le retrait. Questions clés connexes RGPD Délégué à la protection des données RGPD Registre des Activités de Traitement

Un transfert, vers un pays tiers ou à une organisation internationale, de données à caractère personnel qui font ou sont destinées à faire l'objet d'un traitement après ce transfert ne peut avoir lieu que si, sous réserve des autres dispositions du présent règlement, les conditions définies dans le présent chapitre sont respectées par le responsable du traitement et le sous-traitant, y compris pour les transferts ultérieurs de données à caractère personnel au départ du pays tiers ou de l'organisation internationale vers un autre pays tiers ou à une autre organisation internationale. Toutes les dispositions du présent chapitre sont appliquées de manière à ce que le niveau de protection des personnes physiques garanti par le présent règlement ne soit pas compromis. Considérants appropriés Considérant 101 - Principes Généraux Pour Les Transferts Internationaux De DonnéesConsidérant 102 - Accords Internationaux Pour Un Niveau Adéquat De Protection Des Données Foire aux questions sur l'article 44 +Quel est le principe général des transferts internationaux selon le RGPD ? L'article 44 dispose que les données ne peuvent être transférées hors UE que si les conditions du chapitre 5 sont remplies, afin que le niveau de protection garanti par le RGPD ne soit pas compromis. +Les données personnelles peuvent-elles quitter l'UE selon le RGPD ? Oui, mais seulement en présence d'une décision d'adéquation, de garanties appropriées ou d'une dérogation applicable. Le niveau de protection doit rester essentiellement équivalent à celui du RGPD. +Qu'est-ce qu'un transfert encadré selon le RGPD ? Un transfert encadré est un transfert de données vers un pays ou une organisation hors UE ou EEE, licite uniquement si un mécanisme de transfert du chapitre 5 est en place. Questions clés connexes RGPD Évaluation d’impact sur la vie privée RGPD Registre des Activités de Traitement RGPD Pays tiers

1.   Un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale peut avoir lieu lorsque la Commission a constaté par voie de décision que le pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou l'organisation internationale en question assure un niveau de protection adéquat. Un tel transfert ne nécessite pas d'autorisation spécifique. 2.   Lorsqu'elle évalue le caractère adéquat du niveau de protection, la Commission tient compte, en particulier, des éléments suivants: a) l'état de droit, le respect des droits de l'homme et des libertés fondamentales, la législation pertinente, tant générale que sectorielle, y compris en ce qui concerne la sécurité publique, la défense, la sécurité nationale et le droit pénal ainsi que l'accès des autorités publiques aux données à caractère personnel, de même que la mise en œuvre de ladite législation, les règles en matière de protection des données, les règles professionnelles et les mesures de sécurité, y compris les règles relatives au transfert ultérieur de données à caractère personnel vers un autre pays tiers ou à une autre organisation internationale qui sont respectées dans le pays tiers ou par l'organisation internationale en question, la jurisprudence, ainsi que les droits effectifs et opposables dont bénéficient les personnes concernées et les recours administratifs et judiciaires que peuvent effectivement introduire les personnes concernées dont les données à caractère personnel sont transférées; b) l'existence et le fonctionnement effectif d'une ou de plusieurs autorités de contrôle indépendantes dans le pays tiers, ou auxquelles une organisation internationale est soumise, chargées d'assurer le respect des règles en matière de protection des données et de les faire appliquer, y compris par des pouvoirs appropriés d'application desdites règles, d'assister et de conseiller les personnes concernées dans l'exercice de leurs droits et de coopérer avec les autorités de contrôle des États membres; et c) les engagements internationaux pris par le pays tiers ou l'organisation internationale en question, ou d'autres obligations découlant de conventions ou d'instruments juridiquement contraignants ainsi que de sa participation à des systèmes multilatéraux ou régionaux, en particulier en ce qui concerne la protection des données à caractère personnel. 3.   La Commission, après avoir évalué le caractère adéquat du niveau de protection, peut décider, par voie d'actes d'exécution, qu'un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans un pays tiers, ou une organisation internationale, assure un niveau de protection adéquat au sens du paragraphe 2 du présent article. L'acte d'exécution prévoit un mécanisme d'examen périodique, au moins tous les quatre ans, qui prend en compte toutes les évolutions pertinentes dans le pays tiers ou au sein de l'organisation internationale. L'acte d'exécution précise son champ d'application territorial et sectoriel et, le cas échéant, nomme la ou des autorités de contrôle visées au paragraphe 2, point b), du présent article. L'acte d'exécution est adopté en conformité avec la procédure d'examen visée à l'article 93, paragraphe 2. 4.   La Commission suit, de manière permanente, les évolutions dans les pays tiers et au sein des organisations internationales qui pourraient porter atteinte au fonctionnement des décisions adoptées en vertu du paragraphe 3 du présent article et des décisions adoptées sur la base de l'article 25, paragraphe 6, de la directive 95/46/CE. 5.   Lorsque les informations disponibles révèlent, en particulier à l'issue de l'examen visé au paragraphe 3 du présent article, qu'un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans un pays tiers, ou une organisation internationale n'assure plus un niveau de protection adéquat au sens du paragraphe 2 du présent article, la Commission si nécessaire, abroge, modifie ou suspend la décision visée au paragraphe 3 du présent article par voie d'actes d'exécution sans effet rétroactif. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 93, paragraphe 2. Pour des raisons d'urgence impérieuses dûment justifiées, la Commission adopte des actes d'exécution immédiatement applicables en conformité avec la procédure visée à l'article 93, paragraphe 3. 6.   La Commission engage des consultations avec le pays tiers ou l'organisation internationale en vue de remédier à la situation donnant lieu à la décision adoptée en vertu du paragraphe 5. 7.   Une décision adoptée en vertu du paragraphe 5 du présent article est sans préjudice des transferts de données à caractère personnel vers le pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou à l'organisation internationale en question, effectués en application des articles 46 à 49. 8.   La Commission publie au Journal officiel de l'Union européenne et sur son site internet une liste des pays tiers, des territoires et des secteurs déterminés dans un pays tiers et des organisations internationales pour lesquels elle a constaté par voie de décision qu'un niveau de protection adéquat est ou n'est plus assuré. 9.   Les décisions adoptées par la Commission sur la base de l'article 25, paragraphe 6, de la directive 95/46/CE demeurent en vigueur jusqu'à leur modification, leur remplacement ou leur abrogation par une décision de la Commission adoptée conformément au paragraphe 3 ou 5 du présent article. Considérants appropriés Considérant 103 - Niveau Approprié De Protection Des Données Fondé Sur Une Décision D'AdéquationConsidérant 104 - Critères Pour Une Décision D'AdéquationConsidérant 105 - Examen Des Accords Internationaux Pour Une Décision D'AdéquationConsidérant 106 - Surveillance Et Révision Périodique Du Niveau De Protection Des DonnéesConsidérant 107 - Modification, Révocation Et Suspension Des Décisions D'Adéquation Foire aux questions sur l'article 45 +Qu'est-ce qu'une décision d'adéquation selon le RGPD ? Une décision d'adéquation est une constatation de la Commission européenne selon laquelle un pays tiers offre un niveau de protection adéquat, permettant le transfert des données sans garanties supplémentaires. +Quels pays bénéficient d'une décision d'adéquation de l'UE ? Plusieurs pays disposent de décisions d'adéquation, dont le Royaume-Uni, la Suisse, le Japon et d'autres. La liste est tenue et révisée par la Commission européenne et peut évoluer. +Faut-il des garanties supplémentaires pour transférer vers un pays adéquat ? Non. Lorsqu'une décision d'adéquation couvre la destination, les transferts peuvent avoir lieu librement sans garanties supplémentaires telles que les clauses contractuelles types. Questions clés connexes RGPD Délégué à la protection des données RGPD Registre des Activités de Traitement

1.   En l'absence de décision en vertu de l'article 45, paragraphe 3, le responsable du traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers un pays tiers ou à une organisation internationale que s'il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives. 2.   Les garanties appropriées visées au paragraphe 1 peuvent être fournies, sans que cela ne nécessite une autorisation particulière d'une autorité de contrôle, par: a) un instrument juridiquement contraignant et exécutoire entre les autorités ou organismes publics; b) des règles d'entreprise contraignantes conformément à l'article 47; c) des clauses types de protection des données adoptées par la Commission en conformité avec la procédure d'examen visée à l'article 93, paragraphe 2; d) des clauses types de protection des données adoptées par une autorité de contrôle et approuvées par la Commission en conformité avec la procédure d'examen visée à l'article 93, paragraphe 2; e) un code de conduite approuvé conformément à l'article 40, assorti de l'engagement contraignant et exécutoire pris par le responsable du traitement ou le sous-traitant dans le pays tiers d'appliquer les garanties appropriées, y compris en ce qui concerne les droits des personnes concernées; ou f) un mécanisme de certification approuvé conformément à l'article 42, assorti de l'engagement contraignant et exécutoire pris par le responsable du traitement ou le sous-traitant dans le pays tiers d'appliquer les garanties appropriées, y compris en ce qui concerne les droits des personnes concernées. 3.   Sous réserve de l'autorisation de l'autorité de contrôle compétente, les garanties appropriées visées au paragraphe 1 peuvent aussi être fournies, notamment, par: a) des clauses contractuelles entre le responsable du traitement ou le sous-traitant et le responsable du traitement, le sous-traitant ou le destinataire des données à caractère personnel dans le pays tiers ou l'organisation internationale; ou b) des dispositions à intégrer dans des arrangements administratifs entre les autorités publiques ou les organismes publics qui prévoient des droits opposables et effectifs pour les personnes concernées. 4.   L'autorité de contrôle applique le mécanisme de contrôle de la cohérence visé à l'article 63 dans les cas visés au paragraphe 3 du présent article. 5.   Les autorisations accordées par un État membre ou une autorité de contrôle sur le fondement de l'article 26, paragraphe 2, de la directive 95/46/CE demeurent valables jusqu'à leur modification, leur remplacement ou leur abrogation, si nécessaire, par ladite autorité de contrôle. Les décisions adoptées par la Commission sur le fondement de l'article 26, paragraphe 4, de la directive 95/46/CE demeurent en vigueur jusqu'à leur modification, leur remplacement ou leur abrogation, si nécessaire, par une décision de la Commission adoptée conformément au paragraphe 2 du présent article. Considérants appropriés Considérant 108 - Garanties AppropriéesConsidérant 109 - Clauses Types Sur La Protection Des Données Foire aux questions sur l'article 46 +Quelles sont les garanties appropriées pour les transferts internationaux ? L'article 46 permet les transferts moyennant des garanties appropriées, telles que des clauses contractuelles types, des règles d'entreprise contraignantes, des codes de conduite approuvés ou des mécanismes de certification. +Que sont les clauses contractuelles types (CCT) ? Les CCT sont des clauses types de protection des données approuvées par la Commission européenne que les responsables et sous-traitants peuvent utiliser pour offrir des garanties appropriées aux transferts hors UE. +Faut-il une analyse d'impact du transfert avec les CCT ? En pratique, les organisations utilisant des CCT doivent évaluer si les lois de la destination compromettent les garanties et ajouter des mesures supplémentaires si nécessaire. Questions clés connexes RGPD Registre des Activités de Traitement RGPD Pays tiers

1.   L'autorité de contrôle compétente approuve des règles d'entreprise contraignantes conformément au mécanisme de contrôle de la cohérence prévu à l'article 63, à condition que: a) ces règles soient juridiquement contraignantes, et soient mises en application par toutes les entités concernées du groupe d'entreprises ou du groupe d'entreprises engagées dans une activité économique conjointe, y compris leurs employés; b) elles confèrent expressément aux personnes concernées des droits opposables en ce qui concerne le traitement de leurs données à caractère personnel; et c) elles répondent aux exigences prévues au paragraphe 2. 2.   Les règles d'entreprise contraignantes visées au paragraphe 1 précisent au moins: a) la structure et les coordonnées du groupe d'entreprises ou du groupe d'entreprises engagées dans une activité économique conjointe et de chacune de leurs entités; b) les transferts ou l'ensemble des transferts de données, y compris les catégories de données à caractère personnel, le type de traitement et ses finalités, le type de personnes concernées affectées et le nom du ou des pays tiers en question; c) leur nature juridiquement contraignante, tant interne qu'externe; d) l'application des principes généraux relatifs à la protection des données, notamment la limitation de la finalité, la minimisation des données, la limitation des durées de conservation des données, la qualité des données, la protection des données dès la conception et la protection des données par défaut, la base juridique du traitement, le traitement de catégories particulières de données à caractère personnel, les mesures visant à garantir la sécurité des données, ainsi que les exigences en matière de transferts ultérieurs à des organismes qui ne sont pas liés par les règles d'entreprise contraignantes; e) les droits des personnes concernées à l'égard du traitement et les moyens d'exercer ces droits y compris le droit de ne pas faire l'objet de décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, conformément à l'article 22, le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente et devant les juridictions compétentes des États membres conformément à l'article 79 et d'obtenir réparation et, le cas échéant, une indemnisation pour violation des règles d'entreprise contraignantes; f) l'acceptation, par le responsable du traitement ou le sous-traitant établi sur le territoire d'un État membre, de l'engagement de sa responsabilité pour toute violation des règles d'entreprise contraignantes par toute entité concernée non établie dans l'Union; le responsable du traitement ou le sous-traitant ne peut être exonéré, en tout ou en partie, de cette responsabilité que s'il prouve que le fait générateur du dommage n'est pas imputable à l'entité en cause; g) la manière dont les informations sur les règles d'entreprise contraignantes, notamment en ce qui concerne les éléments mentionnés aux points d), e) et f) du présent paragraphe sont fournies aux personnes concernées, en sus des informations visées aux articles 13 et 14; h) les missions de tout délégué à la protection des données, désigné conformément à l'article 37, ou de toute autre personne ou entité chargée de la surveillance du respect des règles d'entreprise contraignantes au sein du groupe d'entreprises, ou du groupe d'entreprises engagées dans une activité économique conjointe, ainsi que le suivi de la formation et le traitement des réclamations; i) les procédures de réclamation; j) les mécanismes mis en place au sein du groupe d'entreprises, ou du groupe d'entreprises engagées dans une activité économique conjointe pour garantir que le contrôle du respect des règles d'entreprise contraignantes. Ces mécanismes prévoient des audits sur la protection des données et des méthodes assurant que des mesures correctrices seront prises pour protéger les droits de la personne concernée. Les résultats de ce contrôle devraient être communiqués à la personne ou à l'entité visée au point h) et au conseil d'administration de l'entreprise qui exerce le contrôle du groupe d'entreprises, ou du groupe d'entreprises engagées dans une activité économique conjointe, et devraient être mis à la disposition de l'autorité de contrôle compétente sur demande; k) les mécanismes mis en place pour communiquer et consigner les modifications apportées aux règles et pour communiquer ces modifications à l'autorité de contrôle; l) le mécanisme de coopération avec l'autorité de contrôle mis en place pour assurer le respect des règles par toutes les entités du groupe d'entreprises, ou du groupe d'entreprises engagées dans une activité économique conjointe, notamment en mettant à la disposition de l'autorité de contrôle les résultats des contrôles des mesures visés au point j); m) les mécanismes permettant de communiquer à l'autorité de contrôle compétente toutes les obligations juridiques auxquelles une entité du groupe d'entreprises, ou du groupe d'entreprises engagées dans une activité économique conjointe, est soumise dans un pays tiers qui sont susceptibles d'avoir un effet négatif important sur les garanties fournies par les règles d'entreprise contraignantes; et n) la formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel. 3.   La Commission peut, pour les règles d'entreprise contraignantes au sens du présent article, préciser la forme de l'échange d'informations entre les responsables du traitement, les sous-traitants et les autorités de contrôle, ainsi que les procédures qui s'y rapportent. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 93, paragraphe 2. Considérants appropriés Considérant 110 - Règles D'Entreprise Contraignantes Foire aux questions sur l'article 47 +Que sont les règles d'entreprise contraignantes (BCR) selon le RGPD ? L'article 47 permet aux groupes multinationaux de transférer des données en interne au moyen de règles d'entreprise contraignantes, qui sont des politiques internes de protection des données approuvées par une autorité de contrôle. +Qui peut utiliser les règles d'entreprise contraignantes ? Les BCR sont utilisées par des groupes d'entreprises ou des groupes engagés dans une activité économique conjointe pour permettre les transferts de données au sein du groupe au-delà des frontières. +Comment les règles d'entreprise contraignantes sont-elles approuvées ? Les BCR doivent être approuvées par l'autorité de contrôle compétente dans le cadre du mécanisme de cohérence faisant intervenir le Comité européen de la protection des données. Questions clés connexes RGPD Délégué à la protection des données RGPD Droit à l’information

Toute décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant d'un responsable du traitement ou d'un sous-traitant qu'il transfère ou divulgue des données à caractère personnel ne peut être reconnue ou rendue exécutoire de quelque manière que ce soit qu'à la condition qu'elle soit fondée sur un accord international, tel qu'un traité d'entraide judiciaire, en vigueur entre le pays tiers demandeur et l'Union ou un État membre, sans préjudice d'autres motifs de transfert en vertu du présent chapitre. Considérants appropriés Considérant 115 - Règles Dans Les Pays Tiers Contraires Au Règlement Foire aux questions sur l'article 48 +Que dit l'article 48 du RGPD sur les décisions de justice étrangères ? L'article 48 prévoit qu'un jugement ou une décision d'une autorité d'un pays tiers exigeant un transfert n'est reconnu que s'il repose sur un accord international tel qu'un traité d'entraide judiciaire. +Une entreprise peut-elle remettre des données de l'UE à des autorités étrangères ? Pas sur la seule base d'une décision de justice étrangère. La divulgation doit reposer sur un accord international, sinon la demande doit être appréciée au regard des règles de transfert du RGPD. +Pourquoi l'article 48 est-il important pour les entreprises mondiales ? Il encadre la manière dont les organisations répondent aux demandes des gouvernements et tribunaux étrangers portant sur des données de l'UE, aidant à prévenir les conflits entre droit local et obligations RGPD. Questions clés connexes GDPR Amendes / Sanctions RGPD Pays tiers

1.   En l'absence de décision d'adéquation en vertu de l'article 45, paragraphe 3, ou de garanties appropriées en vertu de l'article 46, y compris des règles d'entreprise contraignantes, un transfert ou un ensemble de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ne peut avoir lieu qu'à l'une des conditions suivantes: a) la personne concernée a donné son consentement explicite au transfert envisagé, après avoir été informée des risques que ce transfert pouvait comporter pour elle en raison de l'absence de décision d'adéquation et de garanties appropriées; b) le transfert est nécessaire à l'exécution d'un contrat entre la personne concernée et le responsable du traitement ou à la mise en œuvre de mesures précontractuelles prises à la demande de la personne concernée; c) le transfert est nécessaire à la conclusion ou à l'exécution d'un contrat conclu dans l'intérêt de la personne concernée entre le responsable du traitement et une autre personne physique ou morale; d) le transfert est nécessaire pour des motifs importants d'intérêt public; e) le transfert est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice; f) le transfert est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'autres personnes, lorsque la personne concernée se trouve dans l'incapacité physique ou juridique de donner son consentement; g) le transfert a lieu au départ d'un registre qui, conformément au droit de l'Union ou au droit d'un État membre, est destiné à fournir des 'informations au public et est ouvert à la consultation du public en général ou de toute personne justifiant d'un intérêt légitime, mais uniquement dans la mesure où les conditions prévues pour la consultation dans le droit de l'Union ou le droit de l'État membre sont remplies dans le cas d'espèce. Lorsqu'un transfert ne peut pas être fondé sur une disposition de l'article 45 ou 46, y compris les dispositions relatives aux règles d'entreprise contraignantes, et qu'aucune des dérogations pour des situations particulières visées au premier alinéa du présent paragraphe n'est applicable, un transfert vers un pays tiers ou à une organisation internationale ne peut avoir lieu que si ce transfert ne revêt pas de caractère répétitif, ne touche qu'un nombre limité de personnes concernées, est nécessaire aux fins des intérêts légitimes impérieux poursuivis par le responsable du traitement sur lesquels ne prévalent pas les intérêts ou les droits et libertés de la personne concernée, et si le responsable du traitement a évalué toutes les circonstances entourant le transfert de données et a offert, sur la base de cette évaluation, des garanties appropriées en ce qui concerne la protection des données à caractère personnel. Le responsable du traitement informe l'autorité de contrôle du transfert. Outre qu'il fournit les informations visées aux articles 13 et 14, le responsable du traitement informe la personne concernée du transfert et des intérêts légitimes impérieux qu'il poursuit. 2.   Un transfert effectué en vertu du paragraphe 1, premier alinéa, point g), ne porte pas sur la totalité des données à caractère personnel ni sur des catégories entières de données à caractère personnel contenues dans le registre. Lorsque le registre est destiné à être consulté par des personnes justifiant d'un intérêt légitime, le transfert n'est effectué qu'à la demande de ces personnes ou lorsqu'elles en sont les destinataires. 3.   Les points a), b), et c) du premier alinéa du paragraphe 1 et le deuxième alinéa du paragraphe 1 ne sont pas applicables aux activités des autorités publiques dans l'exercice de leurs prérogatives de puissance publique. 4.   L'intérêt public visé au paragraphe 1, premier alinéa, point d), est reconnu par le droit de l'Union ou le droit de l'État membre auquel le responsable du traitement est soumis. 5.   En l'absence de décision d'adéquation, le droit de l'Union ou le droit d'un État membre peut, pour des motifs importants d'intérêt public, fixer expressément des limites au transfert de catégories spécifiques de données à caractère personnel vers un pays tiers ou à une organisation internationale. Les États membres notifient de telles dispositions à la Commission. 6.   Le responsable du traitement ou le sous-traitant documente, dans les registres visés à l'article 30, l'évaluation ainsi que les garanties appropriées visées au paragraphe 1, deuxième alinéa, du présent article. Considérants appropriés Considérant 111 - Exceptions Pour Certains Cas De Transferts InternationauxConsidérant 112 - Transferts De Données Pour Des Raisons Importantes D'Intérêt PublicConsidérant 113 - Transferts Qualifiés De Non Répétitifs Et Qui Concernent Uniquement Un Nombre Limité De Personnes ConcernéesConsidérant 114 - Sauvegarde De L'Exécution Des Droits Et Obligations En L'Absence De Décision D'AdéquationConsidérant 115 - Règles Dans Les Pays Tiers Contraires Au Règlement Foire aux questions sur l'article 49 +Quelles sont les dérogations pour les transferts internationaux de données ? L'article 49 permet des transferts dans des situations spécifiques sans adéquation ni garanties, par exemple le consentement explicite, l'exécution d'un contrat, un motif d'intérêt public important ou des droits en justice. +Puis-je transférer des données à l'étranger sur la base du consentement ? Oui. Le consentement explicite est une dérogation de l'article 49, à condition que la personne soit informée des risques possibles du transfert en raison de l'absence d'adéquation ou de garanties. +Les dérogations de l'article 49 sont-elles destinées aux transferts réguliers ? Non. Les dérogations sont destinées à des transferts occasionnels et non répétitifs, et non à servir de base habituelle à des flux internationaux continus. Questions clés connexes RGPD Consentement RGPD Registre des Activités de Traitement

La Commission et les autorités de contrôle prennent, à l'égard des pays tiers et des organisations internationales, les mesures appropriées pour: a) élaborer des mécanismes de coopération internationale destinés à faciliter l'application effective de la législation relative à la protection des données à caractère personnel; b) se prêter mutuellement assistance sur le plan international dans l'application de la législation relative à la protection des données à caractère personnel, y compris par la notification, la transmission des réclamations, l'entraide pour les enquêtes et l'échange d'informations, sous réserve de garanties appropriées pour la protection des données à caractère personnel et d'autres libertés et droits fondamentaux; c) associer les parties prenantes intéressées aux discussions et activités visant à développer la coopération internationale dans le domaine de l'application de la législation relative à la protection des données à caractère personnel; d) favoriser l'échange et la documentation de la législation et des pratiques en matière de protection des données à caractère personnel, y compris en ce qui concerne les conflits de compétence avec des pays tiers. Considérants appropriés Considérant 116 - Coopération Entre Les Autorités De Contrôle Foire aux questions sur l'article 50 +Que promeut l'article 50 du RGPD ? L'article 50 encourage la Commission et les autorités de contrôle à développer des mécanismes de coopération internationale pour faciliter l'application effective des législations sur la protection des données. +Comment le RGPD soutient-il la coopération mondiale en matière de protection des données ? Il promeut l'entraide, la coopération internationale dans l'application des règles et l'échange de bonnes pratiques afin de protéger les données par-delà les frontières. +L'article 50 crée-t-il des obligations contraignantes ? L'article 50 est largement programmatique : il invite les autorités à favoriser la coopération sans imposer d'obligations contraignantes spécifiques aux organisations. Questions clés connexes GDPR Amendes / Sanctions RGPD Registre des Activités de Traitement

1.   Chaque État membre prévoit qu'une ou plusieurs autorités publiques indépendantes sont chargées de surveiller l'application du présent règlement, afin de protéger les libertés et droits fondamentaux des personnes physiques à l'égard du traitement et de faciliter le libre flux des données à caractère personnel au sein de l'Union (ci-après dénommée «autorité de contrôle»). 2.   Chaque autorité de contrôle contribue à l'application cohérente du présent règlement dans l'ensemble de l'Union. À cette fin, les autorités de contrôle coopèrent entre elles et avec la Commission conformément au chapitre VII. 3.   Lorsqu'un État membre institue plusieurs autorités de contrôle, il désigne celle qui représente ces autorités au comité et définit le mécanisme permettant de s'assurer du respect, par les autres autorités, des règles relatives au mécanisme de contrôle de la cohérence visé à l'article 63. 4.   Chaque État membre notifie à la Commission les dispositions légales qu'il adopte en vertu du présent chapitre, au plus tard, le 25 mai 2018 et, sans tarder, toute modification ultérieure les affectant. Considérants appropriés Considérant 117 - Établissement Des Autorités De ContrôleConsidérant 118 - Surveillance Des Autorités De ContrôleConsidérant 119 - Organisation De Plusieurs Autorités De Contrôle D'Un État MembreConsidérant 120 - Caractéristiques Des Autorités De Contrôle Foire aux questions sur l'article 51 +Qu'est-ce qu'une autorité de contrôle selon le RGPD ? L'article 51 impose à chaque État membre d'établir une ou plusieurs autorités publiques indépendantes chargées de surveiller et de faire appliquer le RGPD sur son territoire. +Que fait une autorité de protection des données ? Une autorité de contrôle surveille la conformité, traite les plaintes, mène des enquêtes et peut imposer des mesures correctrices et des amendes en cas de violation du RGPD. +Combien d'autorités de contrôle un pays peut-il avoir ? Un État membre peut établir plusieurs autorités de contrôle ; dans ce cas, il doit en désigner une pour le représenter au sein du Comité européen de la protection des données. Questions clés connexes GDPR Évaluation d’impact sur la vie privée RGPD Registre des Activités de Traitement

1.   Chaque autorité de contrôle exerce en toute indépendance les missions et les pouvoirs dont elle est investie conformément au présent règlement. 2.   Dans l'exercice de leurs missions et de leurs pouvoirs conformément au présent règlement, le ou les membres de chaque autorité de contrôle demeurent libres de toute influence extérieure, qu'elle soit directe ou indirecte, et ne sollicitent ni n'acceptent d'instructions de quiconque. 3.   Le ou les membres de chaque autorité de contrôle s'abstiennent de tout acte incompatible avec leurs fonctions et, pendant la durée de leur mandat, n'exercent aucune activité professionnelle incompatible, rémunérée ou non. 4.   Chaque État membre veille à ce que chaque autorité de contrôle dispose des ressources humaines, techniques et financières ainsi que des locaux et de l'infrastructure nécessaires à l'exercice effectif de ses missions et de ses pouvoirs, y compris lorsque celle-ci doit agir dans le cadre de l'assistance mutuelle, de la coopération et de la participation au comité. 5.   Chaque État membre veille à ce que chaque autorité de contrôle choisisse et dispose de ses propres agents, qui sont placés sous les ordres exclusifs du ou des membres de l'autorité de contrôle concernée. 6.   Chaque État membre veille à ce que chaque autorité de contrôle soit soumise à un contrôle financier qui ne menace pas son indépendance et qu'elle dispose d'un budget annuel public propre, qui peut faire partie du budget global national ou d'une entité fédérée. Considérants appropriés Considérant 117 - Établissement Des Autorités De ContrôleConsidérant 118 - Surveillance Des Autorités De ContrôleConsidérant 120 - Caractéristiques Des Autorités De ContrôleConsidérant 121 - Indépendance Des Autorités De Contrôle Foire aux questions sur l'article 52 +Pourquoi les autorités de contrôle doivent-elles être indépendantes ? L'article 52 exige que les autorités de contrôle agissent en toute indépendance, à l'abri de toute influence extérieure, afin que la protection des données soit appliquée de manière impartiale et efficace. +Qui finance les autorités de contrôle de la protection des données ? Les États membres doivent doter chaque autorité des ressources humaines, techniques et financières nécessaires à l'accomplissement de ses missions tout en préservant son indépendance. +Les gouvernements peuvent-ils donner des instructions à une autorité de contrôle ? Non. Les membres d'une autorité de contrôle doivent rester libres de toute instruction extérieure et exercer leurs missions de manière indépendante. Questions clés connexes RGPD Délégué à la protection des données RGPD Droit à l’oubli

1.   Les États membres prévoient que chacun des membres de leurs autorités de contrôle est nommé selon une procédure transparente par: — leur parlement; — leur gouvernement; — leur chef d'État; ou — un organisme indépendant chargé de procéder à la nomination en vertu du le droit de l'État membre 2.   Chaque membre a les qualifications, l'expérience et les compétences nécessaires, notamment dans le domaine de la protection des données à caractère personnel, pour l'exercice de ses fonctions et de ses pouvoirs. 3.   Les fonctions d'un membre prennent fin à l'échéance de son mandat, en cas de démission ou de mise à la retraite d'office, conformément au droit de l'État membre concerné. 4.   Un membre ne peut être démis de ses fonctions que s'il a commis une faute grave ou s'il ne remplit plus les conditions nécessaires à l'exercice de ses fonctions. Considérants appropriés Considérant 121 - Indépendance Des Autorités De Contrôle Foire aux questions sur l'article 53 +Comment les membres des autorités de contrôle sont-ils nommés ? L'article 53 exige que les membres soient nommés selon une procédure transparente par le parlement, le gouvernement, le chef de l'État ou un organisme indépendant selon le droit de l'État membre. +Quelles qualifications les membres d'une autorité de contrôle doivent-ils avoir ? Les membres doivent disposer des qualifications, de l'expérience et des compétences, notamment en protection des données, nécessaires à l'exercice de leurs missions et pouvoirs. +Un membre d'une autorité de contrôle peut-il être démis ? Un membre ne peut être démis qu'en cas de faute grave ou s'il ne remplit plus les conditions d'exercice de ses fonctions, ce qui protège son indépendance. Questions clés connexes GDPR Amendes / Sanctions RGPD Protection de la vie privée dès la conception

1.   Chaque État membre prévoit, par la loi, tous les éléments suivants: a) la création de chaque autorité de contrôle; b) les qualifications et les conditions d'éligibilité requises pour être nommé membre de chaque autorité de contrôle; c) les règles et les procédures pour la nomination du ou des membres de chaque autorité de contrôle; d) la durée du mandat du ou des membres de chaque autorité de contrôle, qui ne peut être inférieure à quatre ans, sauf pour le premier mandat après le 24 mai 2016, dont une partie peut être d'une durée plus courte lorsque cela est nécessaire pour protéger l'indépendance de l'autorité de contrôle au moyen d'une procédure de nominations échelonnées; e) le caractère renouvelable ou non du mandat du ou des membres de chaque autorité de contrôle et, si c'est le cas, le nombre de mandats; f) les conditions régissant les obligations du ou des membres et des agents de chaque autorité de contrôle, les interdictions d'activités, d'emplois et d'avantages incompatibles avec celles-ci, y compris après la fin de leur mandat, et les règles régissant la cessation de l'emploi. 2.   Le ou les membres et les agents de chaque autorité de contrôle sont soumis, conformément au droit de l'Union ou au droit des États membres, au secret professionnel concernant toute information confidentielle dont ils ont eu connaissance dans l'exercice de leurs missions ou de leurs pouvoirs, y compris après la fin de leur mandat. Pendant la durée de leur mandat, ce secret professionnel s'applique en particulier au signalement par des personnes physiques de violations du présent règlement. Considérants appropriés Considérant 117 - Établissement Des Autorités De ContrôleConsidérant 121 - Indépendance Des Autorités De Contrôle Foire aux questions sur l'article 54 +Quelles règles régissent l'établissement d'une autorité de contrôle ? L'article 54 impose aux États membres de prévoir par la loi l'établissement, les qualifications des membres, les règles de nomination, la durée du mandat et les conditions de service de chaque autorité. +Les membres de l'autorité de contrôle sont-ils tenus à la confidentialité ? Oui. Les membres et le personnel sont soumis au secret professionnel concernant les informations confidentielles auxquelles ils ont accès dans l'exercice de leurs missions. +Quelle est la durée du mandat des membres de l'autorité de contrôle ? La durée du mandat est fixée par le droit national et doit être d'au moins quatre ans, avec des règles assurant stabilité et indépendance. Questions clés connexes RGPD Délégué à la protection des données RGPD Registre des Activités de Traitement

1.   Chaque autorité de contrôle est compétente pour exercer les missions et les pouvoirs dont elle est investie conformément au présent règlement sur le territoire de l'État membre dont elle relève. 2.   Lorsque le traitement est effectué par des autorités publiques ou des organismes privés agissant sur la base de l'article 6, paragraphe 1, point c) ou e), l'autorité de contrôle de l'État membre concerné est compétente. Dans ce cas, l'article 56 n'est pas applicable. 3.   Les autorités de contrôle ne sont pas compétentes pour contrôler les opérations de traitement effectuées par les juridictions dans l'exercice de leur fonction juridictionnelle. Considérants appropriés Considérant 122 - Responsabilité Des Autorités De Contrôle Foire aux questions sur l'article 55 +Quelle est la compétence d'une autorité de contrôle ? L'article 55 confère à chaque autorité de contrôle la compétence d'exercer ses missions et pouvoirs sur le territoire de son propre État membre. +Quelle autorité traite les traitements transfrontaliers ? Les cas transfrontaliers sont traités via le mécanisme de l'autorité chef de file, chaque autorité restant néanmoins compétente, dans de nombreux cas, pour les traitements sur son propre territoire. +Les juridictions sont-elles supervisées par les autorités de protection des données ? Les autorités de contrôle ne sont pas compétentes pour contrôler les traitements effectués par les juridictions dans l'exercice de leur fonction juridictionnelle. Questions clés connexes RGPD Registre des Activités de Traitement RGPD Pays tiers

1.   Sans préjudice de l'article 55, l'autorité de contrôle de l'établissement principal ou de l'établissement unique du responsable du traitement ou du sous-traitant est compétente pour agir en tant qu'autorité de contrôle chef de file concernant le traitement transfrontalier effectué par ce responsable du traitement ou ce sous-traitant, conformément à la procédure prévue à l'article 60. 2.   Par dérogation au paragraphe 1, chaque autorité de contrôle est compétente pour traiter une réclamation introduite auprès d'elle ou une éventuelle violation du présent règlement, si son objet concerne uniquement un établissement dans l'État membre dont elle relève ou affecte sensiblement des personnes concernées dans cet État membre uniquement. 3.   Dans les cas visés au paragraphe 2 du présent article, l'autorité de contrôle informe sans tarder l'autorité de contrôle chef de file de la question. Dans un délai de trois semaines suivant le moment où elle a été informée, l'autorité de contrôle chef de file décide si elle traitera ou non le cas conformément à la procédure prévue à l'article 60, en considérant s'il existe ou non un établissement du responsable du traitement ou du sous-traitant dans l'État membre de l'autorité de contrôle qui l'a informée. 4.   Si l'autorité de contrôle chef de file décide de traiter le cas, la procédure prévue à l'article 60 s'applique. L'autorité de contrôle qui a informé l'autorité de contrôle chef de file peut lui soumettre un projet de décision. L'autorité de contrôle chef de file tient le plus grand compte de ce projet lorsqu'elle élabore le projet de décision visé à l'article 60, paragraphe 3. 5.   Lorsque l'autorité de contrôle chef de file décide de ne pas traiter le cas, l'autorité de contrôle qui l'a informée le traite conformément aux articles 61 et 62. 6.   L'autorité de contrôle chef de file est le seul interlocuteur du responsable du traitement ou du sous-traitant pour le traitement transfrontalier effectué par ce responsable du traitement ou ce sous-traitant. Considérants appropriés Considérant 124 - Autorité Chef De File Concernant Le Traitement Dans Plusieurs États MembresConsidérant 127 - Informations De L'Autorité De Contrôle Concernant Le Traitement LocalConsidérant 128 - Responsabilité Concernant Le Traitement Dans L'Intérêt Public Foire aux questions sur l'article 56 +Qu'est-ce que l'autorité de contrôle chef de file selon le RGPD ? L'article 56 institue l'autorité chef de file comme principal régulateur des traitements transfrontaliers, généralement l'autorité du pays où l'organisation a son établissement principal. +Comment l'autorité chef de file est-elle déterminée ? Il s'agit en général de l'autorité de l'État membre où le responsable ou le sous-traitant a son établissement principal ou son établissement unique dans l'UE. +Qu'est-ce que le mécanisme du guichet unique ? Le guichet unique permet aux organisations effectuant des traitements transfrontaliers de s'adresser principalement à une seule autorité chef de file, qui se coordonne avec les autres autorités concernées. Questions clés connexes RGPD Chiffrement GDPR Amendes / Sanctions

1.   Sans préjudice des autres missions prévues au titre du présent règlement, chaque autorité de contrôle, sur son territoire: a) contrôle l'application du présent règlement et veille au respect de celui-ci; b) favorise la sensibilisation du public et sa compréhension des risques, des règles, des garanties et des droits relatifs au traitement. Les activités destinées spécifiquement aux enfants font l'objet d'une attention particulière; c) conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement; d) encourage la sensibilisation des responsables du traitement et des sous-traitants en ce qui concerne les obligations qui leur incombent en vertu du présent règlement; e) fournit, sur demande, à toute personne concernée des informations sur l'exercice des droits que lui confère le présent règlement et, si nécessaire, coopère, à cette fin, avec les autorités de contrôle d'autres États membres; f) traite les réclamations introduites par une personne concernée ou par un organisme, une organisation ou une association, conformément à l'article 80, examine l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête ou une coordination avec une autre autorité de contrôle est nécessaire; g) coopère avec d'autres autorités de contrôle, y compris en partageant des informations, et fournit une assistance mutuelle dans ce cadre en vue d'assurer une application cohérente du présent règlement et des mesures prises pour en assurer le respect; h) effectue des enquêtes sur l'application du présent règlement, y compris sur la base d'informations reçues d'une autre autorité de contrôle ou d'une autre autorité publique; i) suit les évolutions pertinentes, dans la mesure où elles ont une incidence sur la protection des données à caractère personnel, notamment dans le domaine des technologies de l'information et de la communication et des pratiques commerciales; j) adopte les clauses contractuelles types visées à l'article 28, paragraphe 8, et à l'article 46, paragraphe 2, point d); k) établit et tient à jour une liste en lien avec l'obligation d'effectuer une analyse d'impact relative à la protection des données en application de l'article 35, paragraphe 4; l) fournit des conseils sur les opérations de traitement visées à l'article 36, paragraphe 2; m) encourage l'élaboration de codes de conduite en application de l'article 40, paragraphe 1, rend un avis et approuve les codes de conduite qui fournissent des garanties suffisantes, en application de l'article 40, paragraphe 5; n) encourage la mise en place de mécanismes de certification ainsi que de labels et de marques en matière de protection des données en application de l'article 42, paragraphe 1, et approuve les critères de certification en application de l'article 42, paragraphe 5; o) procède, le cas échéant, à l'examen périodique des certifications délivrées conformément à l'article 42, paragraphe 7; p) rédige et publie les critères d'agrément d'un organisme chargé du suivi des codes de conduite en application de l'article 41 et d'un organisme de certification en application de l'article 43; q) procède à l'agrément d'un organisme chargé du suivi des codes de conduite en application de l'article 41 et d'un organisme de certification en application de l'article 43; r) autorise les clauses contractuelles et les dispositions visées à l'article 46, paragraphe 3; s) approuve les règles d'entreprise contraignantes en application de l'article 47; t) contribue aux activités du comité; u) tient des registres internes des violations au présent règlement et des mesures prises conformément à l'article 58, paragraphe 2; et v) s'acquitte de toute autre mission relative à la protection des données à caractère personnel. 2.   Chaque autorité de contrôle facilite l'introduction des réclamations visées au paragraphe 1, point f), par des mesures telles que la fourniture d'un formulaire de réclamation qui peut aussi être rempli par voie électronique, sans que d'autres moyens de communication ne soient exclus. 3.   L'accomplissement des missions de chaque autorité de contrôle est gratuit pour la personne concernée et, le cas échéant, pour le délégué à la protection des données. 4.   Lorsque les demandes sont manifestement infondées ou excessives, en raison, notamment, de leur caractère répétitif, l'autorité de contrôle peut exiger le paiement de frais raisonnables basés sur les coûts administratifs ou refuser de donner suite à la demande. Il incombe à l'autorité de contrôle de démontrer le caractère manifestement infondé ou excessif de la demande. Considérants appropriés Considérant 122 - Responsabilité Des Autorités De ContrôleConsidérant 123 - Coopération Des Autorités De Contrôle Entre Elles Et Avec La CommissionConsidérant 132 - Activités De Sensibilisation Et Mesures SpécifiquesConsidérant 133 - Assistance Mutuelle Et Mesures ProvisoiresConsidérant 137 - Mesures Provisoires Foire aux questions sur l'article 57 +Quelles sont les missions d'une autorité de contrôle ? L'article 57 énumère des missions telles que surveiller et faire appliquer le RGPD, sensibiliser le public, traiter les plaintes, mener des enquêtes et conseiller sur les questions de protection des données. +Peut-on porter plainte gratuitement auprès d'une autorité de protection des données ? Oui. Les autorités de contrôle doivent traiter gratuitement les plaintes des personnes, sauf lorsque les demandes sont manifestement infondées ou excessives. +Les autorités de contrôle sensibilisent-elles le public ? Oui. Parmi leurs missions figure la sensibilisation du public aux risques, règles, garanties et droits liés au traitement, avec une attention particulière portée aux enfants. Questions clés connexes RGPD Délégué à la protection des données RGPD Droit à l’information

1.   Chaque autorité de contrôle dispose de tous les pouvoirs d'enquête suivants: a) ordonner au responsable du traitement et au sous-traitant, et, le cas échéant, au représentant du responsable du traitement ou du sous-traitant, de lui communiquer toute information dont elle a besoin pour l'accomplissement de ses missions; b) mener des enquêtes sous la forme d'audits sur la protection des données; c) procéder à un examen des certifications délivrées en application de l'article 42, paragraphe 7; d) notifier au responsable du traitement ou au sous-traitant une violation alléguée du présent règlement; e) obtenir du responsable du traitement et du sous-traitant l'accès à toutes les données à caractère personnel et à toutes les informations nécessaires à l'accomplissement de ses missions; f) obtenir l'accès à tous les locaux du responsable du traitement et du sous-traitant, notamment à toute installation et à tout moyen de traitement, conformément au droit de l'Union ou au droit procédural des États membres. 2.   Chaque autorité de contrôle dispose du pouvoir d'adopter toutes les mesures correctrices suivantes: a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions du présent règlement; b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les opérations de traitement ont entraîné une violation des dispositions du présent règlement; c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits en application du présent règlement; d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de traitement en conformité avec les dispositions du présent règlement, le cas échéant, de manière spécifique et dans un délai déterminé; e) ordonner au responsable du traitement de communiquer à la personne concernée une violation de données à caractère personnel; f) imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement; g) ordonner la rectification ou l'effacement de données à caractère personnel ou la limitation du traitement en application des articles 16, 17 et 18 et la notification de ces mesures aux destinataires auxquels les données à caractère personnel ont été divulguées en application de l'article 17, paragraphe 2, et de l'article 19; h) retirer une certification ou ordonner à l'organisme de certification de retirer une certification délivrée en application des articles 42 et 43, ou ordonner à l'organisme de certification de ne pas délivrer de certification si les exigences applicables à la certification ne sont pas ou plus satisfaites; i) imposer une amende administrative en application de l'article 83, en complément ou à la place des mesures visées au présent paragraphe, en fonction des caractéristiques propres à chaque cas; j) ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale. 3.   Chaque autorité de contrôle dispose de tous les pouvoirs d'autorisation et de tous les pouvoirs consultatifs suivants: a) conseiller le responsable du traitement conformément à la procédure de consultation préalable visée à l'article 36; b) émettre, de sa propre initiative ou sur demande, des avis à l'attention du parlement national, du gouvernement de l'État membre ou, conformément au droit de l'État membre, d'autres institutions et organismes ainsi que du public, sur toute question relative à la protection des données à caractère personnel; c) autoriser le traitement visé à l'article 36, paragraphe 5, si le droit de l'État membre exige une telle autorisation préalable; d) rendre un avis sur les projets de codes de conduite et les approuver en application de l'article 40, paragraphe 5; e) agréer des organismes de certification en application de l'article 43; f) délivrer des certifications et approuver des critères de certification conformément à l'article 42, paragraphe 5; g) adopter les clauses types de protection des données visées à l'article 28, paragraphe 8, et à l'article 46, paragraphe 2, point d); h) autoriser les clauses contractuelles visées à l'article 46, paragraphe 3, point a); i) autoriser les arrangements administratifs visés à l'article 46, paragraphe 3, point b); j) approuver les règles d'entreprise contraignantes en application de l'article 47. 4.   L'exercice des pouvoirs conférés à l'autorité de contrôle en application du présent article est subordonné à des garanties appropriées, y compris le droit à un recours juridictionnel effectif et à une procédure régulière, prévues par le droit de l'Union et le droit des États membres conformément à la Charte. 5.   Chaque État membre prévoit, par la loi, que son autorité de contrôle a le pouvoir de porter toute violation du présent règlement à l'attention des autorités judiciaires et, le cas échéant, d'ester en justice d'une manière ou d'une autre, en vue de faire appliquer les dispositions du présent règlement. 6.   Chaque État membre peut prévoir, par la loi, que son autorité de contrôle dispose de pouvoirs additionnels à ceux visés aux paragraphes 1, 2 et 3. L'exercice de ces pouvoirs n'entrave pas le bon fonctionnement du chapitre VII. Considérants appropriés Considérant 122 - Responsabilité Des Autorités De ContrôleConsidérant 129 - Tâches Et Pouvoirs Des Autorités De ContrôleConsidérant 131 - Tentative De Règlement À L'Amiable Foire aux questions sur l'article 58 +Quels pouvoirs ont les autorités de protection des données selon le RGPD ? L'article 58 confère des pouvoirs d'enquête, de correction, d'autorisation et de conseil, dont l'ordre de se conformer, l'émission d'avertissements, l'imposition d'amendes et l'interdiction de traitement. +Une autorité de contrôle peut-elle ordonner à une entreprise de cesser un traitement ? Oui. Les pouvoirs de correction incluent la faculté d'imposer une limitation temporaire ou définitive du traitement, y compris une interdiction. +Les autorités peuvent-elles auditer les organisations selon le RGPD ? Oui. Les pouvoirs d'enquête permettent aux autorités de mener des audits de protection des données et d'obtenir l'accès aux données et aux locaux dans les limites prévues par la loi. Questions clés connexes RGPD Droit d’accès RGPD Pays tiers

Chaque autorité de contrôle établit un rapport annuel sur ses activités, qui peut comprendre une liste des types de violations notifiées et des types de mesures prises conformément à l'article 58, paragraphe 2. Ces rapports sont transmis au parlement national, au gouvernement et à d'autres autorités désignées par le droit de l'État membre. Ils sont mis à la disposition du public, de la Commission et du comité. Considérants appropriés Considérant 117 – Établissement Des Autorités De Contrôle Considérant 118 – Surveillance Des Autorités De Contrôle Foire aux questions sur l'article 59 +Que sont les rapports d'activité des autorités de contrôle ? L'article 59 impose à chaque autorité de contrôle d'établir un rapport annuel d'activité, pouvant inclure les types de violations et les mesures correctrices prises. +Les rapports d'application du RGPD sont-ils publics ? Oui. Les rapports d'activité sont transmis aux organes nationaux et mis à la disposition du public, de la Commission et du Comité européen de la protection des données. +Pourquoi les autorités de contrôle publient-elles des rapports ? Les rapports renforcent la transparence et la responsabilité, aidant le public et les organisations à comprendre les tendances d'application et les priorités de l'autorité. Questions clés connexes RGPD Délégué à la protection des données RGPD Registre des Activités de Traitement

1.   L'autorité de contrôle chef de file coopère avec les autres autorités de contrôle concernées conformément au présent article en s'efforçant de parvenir à un consensus. L'autorité de contrôle chef de file et les autorités de contrôle concernées échangent toute information utile. 2.   L'autorité de contrôle chef de file peut demander à tout moment aux autres autorités de contrôle concernées de se prêter mutuellement assistance en application de l'article 61 et peut mener des opérations conjointes en application de l'article 62, en particulier pour effectuer des enquêtes ou contrôler l'application d'une mesure concernant un responsable du traitement ou un sous-traitant établi dans un autre État membre. 3.   L'autorité de contrôle chef de file communique, sans tarder, les informations utiles sur la question aux autres autorités de contrôle concernées. Elle soumet sans tarder un projet de décision aux autres autorités de contrôle concernées en vue d'obtenir leur avis et tient dûment compte de leur point de vue. 4.   Lorsqu'une des autres autorités de contrôle concernées formule, dans un délai de quatre semaines après avoir été consultée conformément au paragraphe 3 du présent article, une objection pertinente et motivée à l'égard du projet de décision, l'autorité de contrôle chef de file, si elle ne suit pas l'objection pertinente et motivée ou si elle est d'avis que cette objection n'est pas pertinente ou motivée, soumet la question au mécanisme de contrôle de la cohérence visé à l'article 63. 5.   Lorsque l'autorité de contrôle chef de file entend suivre l'objection pertinente et motivée formulée, elle soumet aux autres autorités de contrôle concernées un projet de décision révisé en vue d'obtenir leur avis. Ce projet de décision révisé est soumis à la procédure visée au paragraphe 4 dans un délai de deux semaines. 6.   Lorsqu'aucune des autres autorités de contrôle concernées n'a formulé d'objection à l'égard du projet de décision soumis par l'autorité de contrôle chef de file dans le délai visé aux paragraphes 4 et 5, l'autorité de contrôle chef de file et les autorités de contrôle concernées sont réputées approuver ce projet de décision et sont liées par lui. 7.   L'autorité de contrôle chef de file adopte la décision, la notifie à l'établissement principal ou à l'établissement unique du responsable du traitement ou du sous-traitant, selon le cas, et informe les autres autorités de contrôle concernées et le comité de la décision en question, y compris en communiquant un résumé des faits et motifs pertinents. L'autorité de contrôle auprès de laquelle une réclamation a été introduite informe de la décision l'auteur de la réclamation. 8.   Par dérogation au paragraphe 7, lorsqu'une réclamation est refusée ou rejetée, l'autorité de contrôle auprès de laquelle la réclamation a été introduite adopte la décision, la notifie à l'auteur de la réclamation et en informe le responsable du traitement. 9.   Lorsque l'autorité de contrôle chef de file et les autorités de contrôle concernées sont d'accord pour refuser ou rejeter certaines parties d'une réclamation et donner suite à d'autres parties de cette réclamation, une décision distincte est adoptée pour chacune des parties. L'autorité de contrôle chef de file adopte la décision pour la partie relative aux actions concernant le responsable du traitement, la notifie à l'établissement principal ou à l'établissement unique du responsable du traitement ou du sous-traitant sur le territoire de l'État membre dont elle relève et en informe l'auteur de la réclamation, tandis que l'autorité de contrôle de l'auteur de la réclamation adopte la décision pour la partie concernant le refus ou le rejet de cette réclamation, la notifie à cette personne et en informe le responsable du traitement ou le sous-traitant. 10.   Après avoir été informé de la décision de l'autorité de contrôle chef de file en application des paragraphes 7 et 9, le responsable du traitement ou le sous-traitant prend les mesures nécessaires pour assurer le respect de cette décision en ce qui concerne les activités de traitement menées dans le cadre de tous ses établissements dans l'Union. Le responsable du traitement ou le sous-traitant notifie les mesures prises pour assurer le respect de la décision à l'autorité de contrôle chef de file, qui informe les autres autorités de contrôle concernées. 11.   Lorsque, dans des circonstances exceptionnelles, une autorité de contrôle concernée a des raisons de considérer qu'il est urgent d'intervenir pour protéger les intérêts des personnes concernées, la procédure d'urgence visée à l'article 66 s'applique. 12.   L'autorité de contrôle chef de file et les autres autorités de contrôle concernées se communiquent par voie électronique et au moyen d'un formulaire type, les informations requises en vertu du présent article. Considérants appropriés Considérant 124 - Autorité Chef De File Concernant Le Traitement Dans Plusieurs États MembresConsidérant 125 - Compétences De L'Autorité Chef De FileConsidérant 130 - Considération De L'Autorité Auprès De Laquelle La Plainte A Été Déposée Foire aux questions sur l'article 60 +Comment les autorités de contrôle coopèrent-elles sur les cas transfrontaliers ? L'article 60 impose à l'autorité chef de file de coopérer avec les autres autorités concernées, de partager les informations et de rechercher un consensus avant d'adopter des décisions dans les cas transfrontaliers. +Que se passe-t-il si les autorités sont en désaccord sur un cas transfrontalier ? Si une autorité concernée formule une objection pertinente et motivée que l'autorité chef de file ne suit pas, l'affaire est soumise au mécanisme de cohérence. +Qu'est-ce qu'un projet de décision dans la coopération RGPD ? L'autorité chef de file prépare un projet de décision et le soumet aux autres autorités concernées pour avis avant l'adoption d'une décision finale. Questions clés connexes RGPD Délégué à la protection des données RGPD Registre des Activités de Traitement

1.   Les autorités de contrôle se communiquent les informations utiles et se prêtent mutuellement assistance en vue de mettre en œuvre et d'appliquer le présent règlement de façon cohérente, et mettent en place des mesures pour coopérer efficacement. L'assistance mutuelle concerne notamment les demandes d'informations et les mesures de contrôle, telles que les demandes d'autorisation et de consultation préalables, les inspections et les enquêtes. 2.   Chaque autorité de contrôle prend toutes les mesures appropriées requises pour répondre à une demande d'une autre autorité de contrôle dans les meilleurs délais et au plus tard un mois après réception de la demande. De telles mesures peuvent comprendre, notamment, la transmission d'informations utiles sur la conduite d'une enquête. 3.   Les demandes d'assistances contiennent toutes les informations nécessaires, notamment la finalité et les motifs de la demande. Les informations échangées ne sont utilisées qu'aux fins pour lesquelles elles ont été demandées. 4.   Une autorité de contrôle requise ne peut refuser de satisfaire à une demande d'assistance, sauf si: a) elle n'est pas compétente pour traiter l'objet de la demande ou pour prendre les mesures qu'elle est requise d'exécuter; ou b) satisfaire à la demande constituerait une violation du présent règlement ou du droit de l'Union ou du droit de l'État membre auquel l'autorité de contrôle qui a reçu la demande est soumise. 5.   L'autorité de contrôle requise informe l'autorité de contrôle requérante des résultats obtenus ou, selon le cas, de l'avancement des mesures prises pour donner suite à la demande. L'autorité de contrôle requise explique les raisons de tout refus de satisfaire à une demande en application du paragraphe 4. 6.   En règle générale, les autorités de contrôle requises communiquent par voie électronique et au moyen d'un formulaire type, les informations demandées par d'autres autorités de contrôle. 7.   Les autorités de contrôle requises ne perçoivent pas de frais pour toute action qu'elles prennent à la suite d'une demande d'assistance mutuelle. Les autorités de contrôle peuvent convenir de règles concernant l'octroi de dédommagements entre elles pour des dépenses spécifiques résultant de la fourniture d'une assistance mutuelle dans des circonstances exceptionnelles. 8.   Lorsqu'une autorité de contrôle ne fournit pas les informations visées au paragraphe 5 du présent article dans un délai d'un mois à compter de la réception de la demande formulée par une autre autorité de contrôle, l'autorité de contrôle requérante peut adopter une mesure provisoire sur le territoire de l'État membre dont elle relève conformément à l'article 55, paragraphe 1. Dans ce cas, les circonstances permettant de considérer qu'il est urgent d'intervenir conformément à l'article 66, paragraphe 1, sont réputées réunies et nécessitent une décision contraignante d'urgence du comité en application de l'article 66, paragraphe 2. 9.   La Commission peut, par voie d'actes d'exécution, préciser la forme et les procédures de l'assistance mutuelle visée au présent article, ainsi que les modalités de l'échange d'informations par voie électronique entre les autorités de contrôle et entre les autorités de contrôle et le comité, notamment en ce qui concerne le formulaire type visé au paragraphe 6 du présent article. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 93, paragraphe 2. Considérants appropriés Considérant 123 - Coopération Des Autorités De Contrôle Entre Elles Et Avec La CommissionConsidérant 132 - Activités De Sensibilisation Et Mesures SpécifiquesConsidérant 133 - Assistance Mutuelle Et Mesures Provisoires Foire aux questions sur l'article 61 +Qu'est-ce que l'assistance mutuelle selon le RGPD ? L'article 61 impose aux autorités de contrôle de se fournir mutuellement les informations et l'assistance pertinentes pour mettre en œuvre et appliquer le RGPD de manière cohérente dans l'UE. +Les autorités doivent-elles répondre aux demandes des autres ? Oui. Les autorités doivent répondre aux demandes d'assistance mutuelle sans retard injustifié et dans un délai d'un mois, le refus n'étant permis que dans des cas limités. +Comment l'assistance mutuelle soutient-elle l'application du RGPD ? Elle permet aux autorités de partager les résultats d'enquêtes et de coordonner leurs actions, contribuant à une application cohérente entre les États membres.

1.   Les autorités de contrôle mènent, le cas échéant, des opérations conjointes, y compris en effectuant des enquêtes conjointes et en prenant des mesures répressives conjointes, auxquelles participent des membres ou des agents des autorités de contrôle d'autres États membres. 2.   Lorsque le responsable du traitement ou le sous-traitant est établi dans plusieurs États membres ou si un nombre important de personnes concernées dans plusieurs États membres sont susceptibles d'être sensiblement affectées par des opérations de traitement, une autorité de contrôle de chacun de ces États membres a le droit de participer aux opérations conjointes. L'autorité de contrôle qui est compétente en vertu de l'article 56, paragraphe 1 ou 4, invite l'autorité de contrôle de chacun de ces États membres à prendre part aux opérations conjointes concernées et donne suite sans tarder à toute demande d'une autorité de contrôle souhaitant y participer. 3.   Une autorité de contrôle peut, conformément au droit d'un État membre, et avec l'autorisation de l'autorité de contrôle d'origine, conférer des pouvoirs, notamment des pouvoirs d'enquête, aux membres ou aux agents de l'autorité de contrôle d'origine participant à des opérations conjointes ou accepter, pour autant que le droit de l'État membre dont relève l'autorité de contrôle d'accueil le permette, que les membres ou les agents de l'autorité de contrôle d'origine exercent leurs pouvoirs d'enquête conformément au droit de l'État membre dont relève l'autorité de contrôle d'origine. Ces pouvoirs d'enquête ne peuvent être exercés que sous l'autorité et en présence de membres ou d'agents de l'autorité de contrôle d'accueil. Les membres ou agents de l'autorité de contrôle d'origine sont soumis au droit de l'État membre de l'autorité de contrôle d'accueil. 4.   Lorsque, conformément au paragraphe 1, les agents de l'autorité de contrôle d'origine opèrent dans un autre État membre, l'État membre dont relève l'autorité de contrôle d'accueil assume la responsabilité de leurs actions, y compris la responsabilité des dommages qu'ils causent au cours des opérations dont ils sont chargés, conformément au droit de l'État membre sur le territoire duquel ils opèrent. 5.   L'État membre sur le territoire duquel les dommages ont été causés répare ces dommages selon les conditions applicables aux dommages causés par ses propres agents. L'État membre dont relève l'autorité de contrôle d'origine dont les agents ont causé des dommages à des personnes sur le territoire d'un autre État membre rembourse intégralement à cet autre État membre les sommes qu'il a versées aux ayants droit. 6.   Sans préjudice de l'exercice de ses droits à l'égard des tiers et sous réserve du paragraphe 5, chaque État membre s'abstient, dans le cas prévu au paragraphe 1, de demander à un autre État membre le remboursement lié aux dommages visés au paragraphe 4. 7.   Lorsqu'une opération conjointe est envisagée et qu'une autorité de contrôle ne se conforme pas, dans un délai d'un mois, à l'obligation fixée au paragraphe 2, deuxième phrase, du présent article, les autres autorités de contrôle peuvent adopter une mesure provisoire sur le territoire de l'État membre dont celle-ci relève conformément à l'article 55. Dans ce cas, les circonstances permettant de considérer qu'il est urgent d'intervenir conformément à l'article 66, paragraphe 1, sont présumées être réunies et nécessitent un avis ou une décision contraignante d'urgence du comité en application de l'article 66, paragraphe 2. Considérants appropriés Considérant 126 - Décisions ConjointesConsidérant 134 - Participation À Des Opérations Conjointes Foire aux questions sur l'article 62 +Que sont les opérations conjointes selon le RGPD ? L'article 62 permet aux autorités de contrôle de mener des opérations conjointes, dont des enquêtes et des mesures d'exécution conjointes, surtout lorsqu'un traitement affecte des personnes dans plusieurs États membres. +Les autorités de protection des données peuvent-elles enquêter ensemble ? Oui. Les autorités peuvent mener des enquêtes conjointes et détacher des membres ou du personnel auprès des opérations des autres, selon des conditions convenues. +Pourquoi les opérations conjointes sont-elles utiles ? Elles permettent aux autorités de mutualiser ressources et expertise pour des affaires couvrant plusieurs États membres, améliorant l'efficacité de l'application.

Afin de contribuer à l'application cohérente du présent règlement dans l'ensemble de l'Union, les autorités de contrôle coopèrent entre elles et, le cas échéant, avec la Commission dans le cadre du mécanisme de contrôle de la cohérence établi dans la présente section. Considérants appropriés Considérant 135 - Mécanisme De Cohérence Foire aux questions sur l'article 63 +Qu'est-ce que le mécanisme de cohérence selon le RGPD ? L'article 63 institue le mécanisme de cohérence, par lequel les autorités de contrôle coopèrent via le Comité européen de la protection des données pour assurer une application cohérente du RGPD dans l'UE. +Pourquoi le RGPD a-t-il besoin d'un mécanisme de cohérence ? Il prévient les interprétations et décisions divergentes entre autorités nationales, garantissant que personnes et organisations soient soumises à des règles cohérentes dans l'UE. +Quand le mécanisme de cohérence est-il utilisé ? Il s'applique en particulier aux cas transfrontaliers et aux questions de portée générale, lorsque des décisions coordonnées sont nécessaires.

1.   Le comité émet un avis chaque fois qu'une autorité de contrôle compétente envisage d'adopter l'une des mesures ci-après. À cet effet, l'autorité de contrôle compétente communique le projet de décision au comité, lorsque ce projet: a) vise à adopter une liste d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données doit être effectuée en application de l'article 35, paragraphe 4; b) concerne la question de savoir, en application de l'article 40, paragraphe 7, si un projet de code de conduite ou une modification ou une prorogation d'un code de conduite respecte le présent règlement; c) vise à approuver les critères d'agrément d'un organisme en application de l'article 41, paragraphe 3, ou d'un organisme de certification en application de l'article 43, paragraphe 3; d) vise à fixer des clauses types de protection des données visées à l'article 46, paragraphe 2, point d), et à l'article 28, paragraphe 8; e) vise à autoriser les clauses contractuelles visées à l'article 46, paragraphe 3, point a); ou f) vise à approuver des règles d'entreprise contraignantes au sens de l'article 47. 2.   Toute autorité de contrôle, le président du comité ou la Commission peuvent demander que toute question d'application générale ou produisant des effets dans plusieurs États membres soit examinée par le comité en vue d'obtenir un avis, en particulier lorsqu'une autorité de contrôle compétente ne respecte pas les obligations relatives à l'assistance mutuelle conformément à l'article 61 ou les obligations relatives aux opérations conjointes conformément à l'article 62. 3.   Dans les cas visés aux paragraphes 1 et 2, le comité émet un avis sur la question qui lui est soumise, à condition qu'il n'ait pas déjà émis un avis sur la même question. Cet avis est adopté dans un délai de huit semaines à la majorité simple des membres du comité. Ce délai peut être prolongé de six semaines en fonction de la complexité de la question. En ce qui concerne le projet de décision visé au paragraphe 1 transmis aux membres du comité conformément au paragraphe 5, un membre qui n'a pas formulé d'objection dans un délai raisonnable fixé par le président est réputé approuver le projet de décision. 4.   Les autorités de contrôle et la Commission communiquent, dans les meilleurs délais, au comité, par voie électronique et au moyen d'un formulaire type, toutes les informations utiles, y compris, selon le cas, un résumé des faits, le projet de décision, les motifs rendant nécessaire l'adoption de cette mesure et les points de vue des autres autorités de contrôle concernées. 5.   Le président du comité transmet dans les meilleurs délais par voie électronique: a) toutes les informations utiles qui lui ont été communiquées aux membres du comité et à la Commission, au moyen d'un formulaire type. Le secrétariat du comité fournit, si nécessaire, les traductions des informations utiles; et b) l'avis à l'autorité de contrôle visée, selon le cas, aux paragraphes 1 et 2, et à la Commission, et le publie. 6.   L'autorité de contrôle compétente n'adopte pas son projet de décision visé au paragraphe 1 lorsque le délai visé au paragraphe 3 court. 7.   L'autorité de contrôle visée au paragraphe 1 tient le plus grand compte de l'avis du comité et fait savoir au président du comité par voie électronique au moyen d'un formulaire type, dans un délai de deux semaines suivant la réception de l'avis, si elle maintiendra ou si elle modifiera son projet de décision et, le cas échéant, son projet de décision modifié. 8.   Lorsque l'autorité de contrôle concernée informe le président du comité dans le délai visé au paragraphe 7 du présent article qu'elle n'a pas l'intention de suivre, en tout ou en partie, l'avis du comité, en fournissant les motifs pertinents, l'article 65, paragraphe 1, s'applique. Considérants appropriés Considérant 136 - Décisions Contraignantes Et Avis Du Comité Foire aux questions sur l'article 64 +Quand le Comité européen de la protection des données rend-il un avis ? L'article 64 impose au Comité de rendre des avis sur certaines questions, telles que les codes de conduite, les règles d'entreprise contraignantes et les mesures à effet transfrontalier. +Les avis du Comité sont-ils contraignants pour les autorités de contrôle ? Les avis sont consultatifs, mais les autorités doivent en tenir le plus grand compte ; ne pas suivre un avis peut déclencher la procédure contraignante de règlement des litiges. +Quel est le rôle de l'avis du CEPD ? L'avis favorise la cohérence en guidant les autorités sur la manière d'appliquer le RGPD dans des cas précis ou des questions générales.

1.   En vue d'assurer l'application correcte et cohérente du présent règlement dans les cas d'espèce, le comité adopte une décision contraignante dans les cas suivants: a) lorsque, dans le cas visé à l'article 60, paragraphe 4, une autorité de contrôle concernée a formulé une objection pertinente et motivée à l'égard d'un projet de décision de l'autorité de contrôle chef de file ou que l'autorité de contrôle chef de file a rejeté cette objection au motif qu'elle n'est pas pertinente ou motivée. La décision contraignante concerne toutes les questions qui font l'objet de l'objection pertinente et motivée, notamment celle de savoir s'il y a violation du présent règlement; b) lorsqu'il existe des points de vue divergents quant à l'autorité de contrôle concernée qui est compétente pour l'établissement principal; c) lorsqu'une autorité de contrôle compétente ne demande pas l'avis du comité dans les cas visés à l'article 64, paragraphe 1, ou qu'elle ne suit pas l'avis du comité émis en vertu de l'article 64. Dans ce cas, toute autorité de contrôle concernée ou la Commission peut saisir le comité de la question. 2.   La décision visée au paragraphe 1 est adoptée à la majorité des deux tiers des membres du comité dans un délai d'un mois à compter de la transmission de la question. Ce délai peut être prolongé d'un mois en fonction de la complexité de la question. La décision visée au paragraphe 1, est motivée et est adressée à l'autorité de contrôle chef de file et à toutes les autorités de contrôle concernées et est contraignante à leur égard. 3.   Lorsque le comité n'a pas été en mesure d'adopter une décision dans les délais visés au paragraphe 2, il adopte sa décision, à la majorité simple de ses membres, dans un délai de deux semaines suivant l'expiration du deuxième mois visé au paragraphe 2. En cas d'égalité des voix au sein du comité, la voix de son président est prépondérante. 4.   Les autorités de contrôle concernées n'adoptent pas de décision sur la question soumise au comité en vertu du paragraphe 1 lorsque les délais visés aux paragraphes 2 et 3 courent. 5.   Le président du comité notifie, dans les meilleurs délais, la décision visée au paragraphe 1 aux autorités de contrôle concernées. Il en informe la Commission. La décision est publiée sur le site internet du comité sans tarder après que l'autorité de contrôle a notifié la décision finale visée au paragraphe 6. 6.   L'autorité de contrôle chef de file ou, selon le cas, l'autorité de contrôle auprès de laquelle la réclamation a été introduite adopte sa décision finale sur la base de la décision visée au paragraphe 1 du présent article, dans les meilleurs délais et au plus tard un mois après que le comité a notifié sa décision. L'autorité de contrôle chef de file ou, selon le cas, l'autorité de contrôle auprès de laquelle la réclamation a été introduite informe le comité de la date à laquelle sa décision finale est notifiée, respectivement, au responsable du traitement ou au sous-traitant et à la personne concernée. La décision finale des autorités de contrôle concernées est adoptée aux conditions de l'article 60, paragraphes 7, 8 et 9. La décision finale fait référence à la décision visée au paragraphe 1 du présent article et précise que celle-ci sera publiée sur le site internet du comité conformément au paragraphe 5 du présent article. La décision visée au paragraphe 1 du présent article est jointe à la décision finale. Considérants appropriés Considérant 136 - Décisions Contraignantes Et Avis Du Comité Foire aux questions sur l'article 65 +Comment les litiges entre autorités de contrôle sont-ils réglés ? L'article 65 habilite le Comité européen de la protection des données à adopter des décisions contraignantes pour régler les litiges entre autorités, par exemple sur des objections dans des cas transfrontaliers. +Les décisions de règlement des litiges du CEPD sont-elles contraignantes ? Oui. Les décisions au titre de l'article 65 sont contraignantes pour les autorités de contrôle concernées, qui doivent adopter leurs décisions finales en conséquence. +Quand le Comité intervient-il pour régler un litige ? Le Comité intervient lorsque les autorités ne parviennent pas à s'accorder, par exemple lorsqu'une autorité chef de file ne suit pas une objection pertinente et motivée d'une autre autorité.

1.   Dans des circonstances exceptionnelles, lorsqu'une autorité de contrôle concernée considère qu'il est urgent d'intervenir pour protéger les droits et libertés des personnes concernées, elle peut, par dérogation au mécanisme de contrôle de la cohérence visé aux articles 63, 64 et 65 ou à la procédure visée à l'article 60, adopter immédiatement des mesures provisoires visant à produire des effets juridiques sur son propre territoire et ayant une durée de validité déterminée qui n'excède pas trois mois. L'autorité de contrôle communique sans tarder ces mesures et les raisons de leur adoption aux autres autorités de contrôle concernées, au comité et à la Commission. 2.   Lorsqu'une autorité de contrôle a pris une mesure en vertu du paragraphe 1 et estime que des mesures définitives doivent être adoptées d'urgence, elle peut demander un avis d'urgence ou une décision contraignante d'urgence au comité, en motivant sa demande d'avis ou de décision. 3.   Toute autorité de contrôle peut, en motivant sa demande d'avis ou de décision et notamment l'urgence d'intervenir, demander au comité un avis d'urgence ou une décision contraignante d'urgence, selon le cas, lorsqu'une autorité de contrôle compétente n'a pas pris de mesure appropriée dans une situation où il est urgent d'intervenir afin de protéger les droits et libertés des personnes concernées. 4.   Par dérogation à l'article 64, paragraphe 3, et à l'article 65, paragraphe 2, l'avis d'urgence ou la décision contraignante d'urgence visés aux paragraphes 2 et 3 du présent article est adopté dans un délai de deux semaines à la majorité simple des membres du comité. Considérants appropriés Considérant 137 - Mesures ProvisoiresConsidérant 138 - Procédure D'Urgence Foire aux questions sur l'article 66 +Qu'est-ce que la procédure d'urgence selon le RGPD ? L'article 66 permet à une autorité de contrôle d'adopter immédiatement des mesures provisoires lorsqu'une action urgente est nécessaire pour protéger les personnes, en contournant le mécanisme de cohérence habituel. +Combien de temps durent les mesures d'urgence RGPD ? Les mesures provisoires adoptées dans le cadre de la procédure d'urgence sont valables pour une durée limitée n'excédant pas trois mois. +Le CEPD peut-il agir en urgence ? Oui. Le Comité peut adopter une décision contraignante en urgence lorsqu'une autorité le demande en raison de la nécessité d'une action urgente.

La Commission peut adopter des actes d'exécution de portée générale afin de définir les modalités de l'échange d'informations par voie électronique entre les autorités de contrôle, et entre ces autorités et le comité, notamment le formulaire type visé à l'article 64. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 93, paragraphe 2. Considérants appropriés Considérant 123 – Coopération Des Autorités De Contrôle Entre Elles Et Avec La Commission Considérant 124 – Autorité Chef De File Concernant Le Traitement Dans Plusieurs États Membres Considérant 125 – Compétences De L’Autorité Chef De File Foire aux questions sur l'article 67 +Que couvre l'article 67 du RGPD ? L'article 67 permet à la Commission d'adopter des mesures précisant la manière dont les autorités de contrôle et le Comité échangent des informations par voie électronique et de façon normalisée. +Comment les autorités partagent-elles les informations selon le RGPD ? Les autorités utilisent des formats normalisés et des moyens électroniques sécurisés pour échanger des informations, soutenant la coopération et le mécanisme de cohérence. +Pourquoi normaliser l'échange d'informations ? La normalisation améliore l'efficacité et la fiabilité lorsque les autorités coopèrent sur des enquêtes, des avis et des décisions par-delà les frontières.

1.   Le comité européen de la protection des données (ci-après dénommé «comité») est institué en tant qu'organe de l'Union et possède la personnalité juridique. 2.   Le comité est représenté par son président. 3.   Le comité se compose du chef d'une autorité de contrôle de chaque État membre et du Contrôleur européen de la protection des données, ou de leurs représentants respectifs. 4.   Lorsque, dans un État membre, plusieurs autorités de contrôle sont chargées de surveiller l'application des dispositions du présent règlement, un représentant commun est désigné conformément au droit de cet État membre. 5.   La Commission a le droit de participer aux activités et réunions du comité sans droit de vote. La Commission désigne un représentant. Le président du comité informe la Commission des activités du comité. 6.   Dans les cas visés à l'article 65, le Contrôleur européen de la protection des données ne dispose de droits de vote qu'à l'égard des décisions concernant des principes et règles applicables aux institutions, organes et organismes de l'Union qui correspondent, en substance, à ceux énoncés dans le présent règlement. Considérants appropriés Considérant 139 - Comité Européen De La Protection Des Données Foire aux questions sur l'article 68 +Qu'est-ce que le Comité européen de la protection des données (CEPD) ? L'article 68 institue le CEPD comme un organe indépendant de l'UE composé des responsables des autorités de contrôle nationales et du Contrôleur européen de la protection des données. +Que fait le CEPD ? Le CEPD assure l'application cohérente du RGPD, publie des lignes directrices et des avis, et règle les litiges entre autorités de contrôle nationales. +Qui siège au Comité européen de la protection des données ? Il comprend le responsable d'une autorité de contrôle par État membre et le Contrôleur européen de la protection des données, la Commission y participant sans droit de vote.

1.   Le comité exerce les missions et les pouvoirs qui lui sont conférés conformément aux articles 70 et 71 en toute indépendance. 2.   Sans préjudice des demandes de la Commission visées à l'article 70, paragraphe 1, point b), et à l'article 70, paragraphe 2, le comité ne sollicite ni n'accepte d'instructions de quiconque dans l'exercice de ses missions et de ses pouvoirs. Considérants appropriés Considérant 139 - Comité Européen De La Protection Des Données Foire aux questions sur l'article 69 +Le Comité européen de la protection des données est-il indépendant ? Oui. L'article 69 exige que le CEPD agisse en toute indépendance dans l'exercice de ses missions et pouvoirs, à l'abri de toute instruction extérieure. +Quelqu'un peut-il donner des instructions au CEPD ? Non. Le Comité ne doit ni solliciter ni accepter d'instructions de quiconque dans l'exercice de ses fonctions au titre du RGPD. +Pourquoi l'indépendance du CEPD est-elle importante ? L'indépendance garantit l'impartialité des orientations et décisions du Comité, renforçant la confiance dans une application cohérente à l'échelle de l'UE.

1.   Le comité veille à l'application cohérente du présent règlement. À cet effet, le comité, de sa propre initiative ou, le cas échéant, à la demande de la Commission, a notamment pour missions: a) de surveiller et garantir la bonne application du présent règlement dans les cas prévus aux articles 64 et 65, sans préjudice des missions des autorités de contrôle nationales; b) de conseiller la Commission sur toute question relative à la protection des données à caractère personnel dans l'Union, y compris sur tout projet de modification du présent règlement; c) de conseiller la Commission, en ce qui concerne les règles d'entreprise contraignantes, sur la forme de l'échange d'informations entre les responsables du traitement, les sous-traitants et les autorités de contrôle, ainsi que les procédures qui s'y rapportent; d) de publier des lignes directrices, des recommandations et des bonnes pratiques sur les procédures de suppression des liens vers des données à caractère personnel, des copies ou des reproductions de celles-ci existant dans les services de communication accessibles au public, ainsi que le prévoit l'article 17, paragraphe 2; e) d'examiner, de sa propre initiative, à la demande de l'un de ses membres ou à la demande de la Commission, toute question portant sur l'application du présent règlement, et de publier des lignes directrices, des recommandations et des bonnes pratiques afin de favoriser l'application cohérente du présent règlement; f) de publier des lignes directrices, des recommandations et des bonnes pratiques conformément au point e) du présent paragraphe, en vue de préciser davantage les critères et conditions applicables aux décisions fondées sur le profilage en vertu de l'article 22, paragraphe 2; g) de publier des lignes directrices, des recommandations et des bonnes pratiques conformément au point e) du présent paragraphe, en vue d'établir les violations de données à caractère personnel, de déterminer les meilleurs délais visés à l'article 33, paragraphes 1 et 2, et de préciser les circonstances particulières dans lesquelles un responsable du traitement ou un sous-traitant est tenu de notifier la violation de données à caractère personnel; h) de publier des lignes directrices, des recommandations et des bonnes pratiques conformément au point e) du présent paragraphe concernant les circonstances dans lesquelles une violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques comme le prévoit l'article 34, paragraphe 1; i) de publier des lignes directrices, des recommandations et des bonnes pratiques conformément au point e) du présent paragraphe, aux fins de préciser davantage les critères et exigences applicables aux transferts de données à caractère personnel fondés sur des règles d'entreprise contraignantes appliquées par les responsables du traitement et sur des règles d'entreprise contraignantes appliquées par les sous-traitants et concernant les autres exigences nécessaires pour assurer la protection des données à caractère personnel des personnes concernées visées à l'article 47; j) de publier des lignes directrices, des recommandations et des bonnes pratiques conformément au point e) du présent paragraphe, en vue de préciser davantage les critères et exigences applicables aux transferts de données à caractère personnel sur la base de l'article 49, paragraphe 1; k) d'élaborer, à l'intention des autorités de contrôle, des lignes directrices concernant l'application des mesures visées à l'article 58, paragraphes 1, 2 et 3, ainsi que la fixation des amendes administratives en vertu de l'article 83; l) de faire le bilan de l'application pratique des lignes directrices, recommandations et des bonnes pratiques visées aux points e) et f); m) de publier des lignes directrices, des recommandations et des bonnes pratiques conformément au point e) du présent paragraphe, en vue d'établir des procédures communes pour le signalement par des personnes physiques de violations du présent règlement en vertu de l'article 54, paragraphe 2; n) d'encourager l'élaboration de codes de conduite et la mise en place de mécanismes de certification et de labels et de marques en matière de protection des données en vertu des articles 40 et 42; o) de procéder à l'agrément des organismes de certification et à l'examen périodique de cet agrément en vertu de l'article 43 et de tenir un registre public des organismes agréés en vertu de l'article 43, paragraphe 6, ainsi que des responsables du traitement ou des sous-traitants agréés établis dans des pays tiers en vertu de l'article 42, paragraphe 7; p) de définir les exigences visées à l'article 43, paragraphe 3, aux fins de l'agrément des organismes de certification prévu à l'article 42; q) de rendre à la Commission un avis sur les exigences en matière de certification visées à l'article 43, paragraphe 8; r) de rendre à la Commission un avis sur les icônes visées à l'article 12, paragraphe 7; s) de rendre à la Commission un avis en ce qui concerne l'évaluation du caractère adéquat du niveau de protection assuré par un pays tiers ou une organisation internationale, y compris concernant l'évaluation visant à déterminer si un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou une organisation internationale n'assurent plus un niveau adéquat de protection. À cette fin, la Commission fournit au comité tous les documents nécessaires, y compris la correspondance avec le gouvernement du pays tiers, en ce qui concerne ledit pays tiers, territoire ou secteur déterminé ou avec l'organisation internationale; t) d'émettre des avis sur les projets de décisions des autorités de contrôle conformément au mécanisme de contrôle de la cohérence visé à l'article 64, paragraphe 1, sur les questions soumises en vertu de l'article 64, paragraphe 2, et d'émettre des décisions contraignantes en vertu de l'article 65, y compris dans les cas visés à l'article 66; u) de promouvoir la coopération et l'échange bilatéral et multilatéral effectif d'informations et de bonnes pratiques entre les autorités de contrôle; v) de promouvoir l'élaboration de programmes de formation conjoints et de faciliter les échanges de personnel entre autorités de contrôle, ainsi que, le cas échéant, avec les autorités de contrôle de pays tiers ou d'organisations internationales; w) de promouvoir l'échange, avec des autorités de contrôle de la protection des données de tous pays, de connaissances et de documentation sur la législation et les pratiques en matière de protection des données; x) d'émettre des avis sur les codes de conduite élaborés au niveau de l'Union en application de l'article 40, paragraphe 9; et y) de tenir un registre électronique, accessible au public, des décisions prises par les autorités de contrôle et les juridictions sur les questions traitées dans le cadre du mécanisme de contrôle de la cohérence. 2.   Lorsque la Commission demande conseil au comité, elle peut mentionner un délai, selon l'urgence de la question. 3.   Le comité transmet ses avis, lignes directrices, recommandations et bonnes pratiques à la Commission et au comité visé à l'article 93, et les publie. 4.   Le comité consulte, le cas échéant, les parties intéressées et leur permet de formuler des observations dans un délai raisonnable. Il met les résultats de la procédure de consultation à la disposition du public, sans préjudice de l'article 76. Considérants appropriés Considérant 136 - Décisions Contraignantes Et Avis Du ComitéConsidérant 139 - Comité Européen De La Protection Des Données Foire aux questions sur l'article 70 +Quelles sont les missions du Comité européen de la protection des données ? L'article 70 charge le CEPD d'assurer l'application cohérente du RGPD, de publier des lignes directrices et bonnes pratiques, de conseiller la Commission et de promouvoir la coopération entre autorités. +Le CEPD publie-t-il des lignes directrices RGPD ? Oui. Le Comité publie des lignes directrices, recommandations et bonnes pratiques pour clarifier la manière d'interpréter et d'appliquer le RGPD. +Le CEPD conseille-t-il la Commission européenne ? Oui. Parmi ses missions, le Comité conseille la Commission sur les questions de protection des données et sur les projets de législation de l'UE concernant les données.

1.   Le comité établit un rapport annuel sur la protection des personnes physiques à l'égard du traitement dans l'Union et, s'il y a lieu, dans les pays tiers et les organisations internationales. Le rapport est rendu public et communiqué au Parlement européen, au Conseil et à la Commission. 2.   Le rapport annuel présente notamment le bilan de l'application pratique des lignes directrices, recommandations et bonnes pratiques visées à l'article 70, paragraphe 1, point l), ainsi que des décisions contraignantes visées à l'article 65. Considérants appropriés Considérant 135 – Mécanisme De Cohérence Considérant 136 – Décisions Contraignantes Et Avis Du Comité Foire aux questions sur l'article 71 +Le Comité européen de la protection des données publie-t-il des rapports ? Oui. L'article 71 impose au CEPD d'établir un rapport annuel sur la protection des personnes à l'égard du traitement dans l'UE et, le cas échéant, dans les pays tiers. +Les rapports du CEPD sont-ils publics ? Oui. Le rapport annuel est rendu public et transmis au Parlement européen, au Conseil et à la Commission. +Que couvrent les rapports du CEPD ? Les rapports peuvent inclure des orientations sur les bonnes pratiques et un aperçu de l'état de la protection des données dans l'UE.

1.   Le comité prend ses décisions à la majorité simple de ses membres, sauf disposition contraire du présent règlement. 2.   Le comité adopte son règlement intérieur à la majorité des deux tiers de ses membres et détermine ses modalités de fonctionnement. Considérants appropriés Considérant 10 – Niveau Harmonisé De Protection Des Données Malgré La Portée Nationale Considérant 11 – Harmonisation Des Pouvoirs Et Des Sanctions Considérant 117 – Établissement Des Autorités De Contrôle Foire aux questions sur l'article 72 +Comment le Comité européen de la protection des données prend-il ses décisions ? L'article 72 prévoit que le CEPD prend ses décisions à la majorité simple de ses membres, sauf disposition contraire de son règlement intérieur. +Le CEPD a-t-il un règlement intérieur ? Oui. Le Comité adopte son propre règlement intérieur à la majorité des deux tiers et organise ses propres modalités de fonctionnement. +Comment les votes du CEPD sont-ils comptabilisés ? Les décisions sont en général prises à la majorité simple, des majorités spécifiques étant requises pour certaines questions comme l'adoption du règlement intérieur.

1.   Le comité élit son président et deux vice-présidents en son sein à la majorité simple. 2.   Le président et les vice-présidents sont élus pour un mandat de cinq ans renouvelable une fois. Considérants appropriés Considérant 117 – Établissement Des Autorités De Contrôle Considérant 123 – Coopération Des Autorités De Contrôle Entre Elles Et Avec La Commission Foire aux questions sur l'article 73 +Qui préside le Comité européen de la protection des données ? L'article 73 prévoit que le CEPD élit parmi ses membres, à la majorité simple, un président et deux vice-présidents. +Quelle est la durée du mandat du président du CEPD ? Le président et les vice-présidents ont un mandat de cinq ans, renouvelable une fois. +Quel est le rôle du président du CEPD ? Le président dirige les travaux du Comité, convoque les réunions et représente le Comité, assisté des vice-présidents.

1.   Le président a pour missions: a) de convoquer les réunions du comité et d'établir l'ordre du jour; b) de notifier les décisions adoptées par le comité en application de l'article 65 à l'autorité de contrôle chef de file et aux autorités de contrôle concernées; c) de veiller à l'accomplissement, dans les délais, des missions du comité, notamment en ce qui concerne le mécanisme de contrôle de la cohérence visé à l'article 63. 2.   Le comité fixe dans son règlement intérieur la répartition des tâches entre le président et les vice-présidents. Considérants appropriés Considérant 13 – Prendre En Compte Les Micro, Petites Et Moyennes Entreprises Considérant 22 – Traitement Par Un Établissement Considérant 80 – Désignation D’Un Représentant Foire aux questions sur l'article 74 +Quelles sont les missions du président du CEPD ? L'article 74 charge le président de convoquer les réunions du Comité, d'en préparer l'ordre du jour et de notifier les décisions aux autorités de contrôle, entre autres. +Le président du CEPD fixe-t-il l'ordre du jour des réunions ? Oui. Le président prépare et communique l'ordre du jour et veille à l'accomplissement en temps utile des missions du Comité. +Qui gère les communications du CEPD avec les autorités ? Le président est chargé de notifier les décisions du Comité à l'autorité chef de file et aux autorités concernées.

1.   Le comité dispose d'un secrétariat, qui est assuré par le Contrôleur européen de la protection des données. 2.   Le secrétariat accomplit ses tâches sous l'autorité exclusive du président du comité. 3.   Le personnel du Contrôleur européen de la protection des données qui participe à l'exercice des missions que le présent règlement confie au comité est soumis à une structure hiérarchique distincte de celle du personnel qui participe à l'exercice des missions confiées au Contrôleur européen de la protection des données. 4.   Le cas échéant, le comité et le Contrôleur européen de la protection des données établissent et publient un protocole d'accord mettant en œuvre le présent article, fixant les modalités de leur coopération et s'appliquant au personnel du Contrôleur européen de la protection des données qui participe à l'exercice des missions que le présent règlement confie au comité. 5.   Le secrétariat fournit un soutien analytique, administratif et logistique au comité. 6.   Le secrétariat est notamment chargé de: a) la gestion courante du comité; b) la communication entre les membres du comité, son président et la Commission; c) la communication avec d'autres institutions et le public; d) l'utilisation des voies électroniques pour la communication interne et externe; e) la traduction des informations utiles; f) la préparation et le suivi des réunions du comité; g) la préparation, la rédaction et la publication d'avis, de décisions relatives au règlement des litiges entre autorités de contrôle et d'autres textes adoptés par le comité. Considérants appropriés Considérant 140 - Secrétariat Et Personnel Du Conseil Foire aux questions sur l'article 75 +Qui assure le secrétariat du Comité européen de la protection des données ? L'article 75 prévoit que le Contrôleur européen de la protection des données assure le secrétariat du CEPD, en agissant uniquement sur instruction du président. +Que fait le secrétariat du CEPD ? Le secrétariat fournit un appui analytique, administratif et logistique, prépare les documents et soutient les missions de communication et de coopération du Comité. +Le secrétariat du CEPD est-il indépendant ? Le secrétariat accomplit ses missions exclusivement sur instruction du président du Comité, ce qui soutient son fonctionnement indépendant.

1. Les travaux du Comité européen de la protection des données sont confidentiels dans la mesure où le Comité le juge nécessaire, conformément à son règlement intérieur. 2. L'accès aux documents soumis aux membres du Comité européen de protection des données, aux experts et aux représentants de tiers est régi par le règlement (CE) n° 1049/2001 du Parlement européen et du Conseil. Considérants appropriés Considérant 58 – Le Principe De Transparence Considérant 63 – Droit D’Accès Considérant 74 – Responsabilité Et Obligations Du Responsable De Traitement Considérant 83 – Sécurité Du Traitement Foire aux questions sur l'article 76 +Les discussions du Comité européen de la protection des données sont-elles confidentielles ? L'article 76 prévoit que les discussions du Comité sont confidentielles lorsque le Comité l'estime nécessaire, selon son règlement intérieur. +Le public peut-il accéder aux documents du CEPD ? L'accès aux documents est régi par les règles de transparence de l'UE, mises en balance avec la confidentialité que le Comité peut appliquer à certaines discussions. +Pourquoi le CEPD applique-t-il la confidentialité ? La confidentialité protège les délibérations sensibles et les affaires en cours, tandis que les règles de transparence permettent toujours un accès public approprié aux documents.

1.   Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d'introduire une réclamation auprès d'une autorité de contrôle, en particulier dans l'État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement. 2.   L'autorité de contrôle auprès de laquelle la réclamation a été introduite informe l'auteur de la réclamation de l'état d'avancement et de l'issue de la réclamation, y compris de la possibilité d'un recours juridictionnel en vertu de l'article 78. Considérants appropriés Considérant 141 - Droit D'Introduire Une Réclamation Foire aux questions sur l'article 77 +Comment porter plainte contre une violation du RGPD ? L'article 77 donne à toute personne le droit d'introduire une réclamation auprès d'une autorité de contrôle si elle estime que le traitement de ses données viole le RGPD. +Où puis-je déposer une réclamation RGPD ? Vous pouvez saisir l'autorité de contrôle de votre État membre de résidence, de votre lieu de travail ou du lieu de la violation présumée. +Serai-je informé de l'issue de ma réclamation RGPD ? Oui. L'autorité de contrôle doit informer le réclamant de l'état d'avancement et de l'issue, y compris de la possibilité d'un recours juridictionnel.

1.   Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d'une autorité de contrôle qui la concerne. 2.   Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne concernée a le droit de former un recours juridictionnel effectif lorsque l'autorité de contrôle qui est compétente en vertu des articles 55 et 56 ne traite pas une réclamation ou n'informe pas la personne concernée, dans un délai de trois mois, de l'état d'avancement ou de l'issue de la réclamation qu'elle a introduite au titre de l'article 77. 3.   Toute action contre une autorité de contrôle est intentée devant les juridictions de l'État membre sur le territoire duquel l'autorité de contrôle est établie. 4.   Dans le cas d'une action intentée contre une décision d'une autorité de contrôle qui a été précédée d'un avis ou d'une décision du comité dans le cadre du mécanisme de contrôle de la cohérence, l'autorité de contrôle transmet l'avis ou la décision en question à la juridiction concernée. Considérants appropriés Considérant 141 - Droit D'Introduire Une RéclamationConsidérant 143 - Recours Judiciaires Foire aux questions sur l'article 78 +Puis-je poursuivre une autorité de contrôle selon le RGPD ? Oui. L'article 78 donne aux personnes et organisations le droit à un recours juridictionnel effectif contre une décision juridiquement contraignante d'une autorité de contrôle les concernant. +Que faire si une autorité de contrôle ne traite pas ma réclamation ? Si une autorité ne traite pas une réclamation ou ne vous informe pas de l'état d'avancement dans un délai de trois mois, vous avez droit à un recours juridictionnel. +Quelle juridiction connaît des actions contre une autorité de contrôle ? Les actions sont portées devant les juridictions de l'État membre où l'autorité de contrôle est établie.

1.   Sans préjudice de tout recours administratif ou extrajudiciaire qui lui est ouvert, y compris le droit d'introduire une réclamation auprès d'une autorité de contrôle au titre de l'article 77, chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés du fait d'un traitement de ses données à caractère personnel effectué en violation du présent règlement. 2.   Toute action contre un responsable du traitement ou un sous-traitant est intentée devant les juridictions de l'État membre dans lequel le responsable du traitement ou le sous-traitant dispose d'un établissement. Une telle action peut aussi être intentée devant les juridictions de l'État membre dans lequel la personne concernée a sa résidence habituelle, sauf si le responsable du traitement ou le sous-traitant est une autorité publique d'un État membre agissant dans l'exercice de ses prérogatives de puissance publique. Considérants appropriés Considérant 141 - Droit D'Introduire Une RéclamationConsidérant 145 - Choix De Juridiction Foire aux questions sur l'article 79 +Puis-je poursuivre une entreprise pour une violation du RGPD ? Oui. L'article 79 donne aux personnes le droit à un recours juridictionnel effectif contre un responsable ou un sous-traitant lorsqu'elles estiment qu'il a été porté atteinte à leurs droits. +Où puis-je intenter une action RGPD contre une entreprise ? Les actions peuvent être portées devant les juridictions du lieu d'établissement du responsable ou du sous-traitant, ou du lieu de résidence de la personne, sauf si le défendeur est une autorité publique agissant dans ses prérogatives. +Le recours juridictionnel est-il distinct de la réclamation auprès de l'autorité ? Oui. Le recours juridictionnel s'ajoute au droit d'introduire une réclamation auprès d'une autorité de contrôle et aux autres recours administratifs.

1.   La personne concernée a le droit de mandater un organisme, une organisation ou une association à but non lucratif, qui a été valablement constitué conformément au droit d'un État membre, dont les objectifs statutaires sont d'intérêt public et est actif dans le domaine de la protection des droits et libertés des personnes concernées dans le cadre de la protection des données à caractère personnel les concernant, pour qu'il introduise une réclamation en son nom, exerce en son nom les droits visés aux articles 77, 78 et 79 et exerce en son nom le droit d'obtenir réparation visé à l'article 82 lorsque le droit d'un État membre le prévoit. 2.   Les États membres peuvent prévoir que tout organisme, organisation ou association visé au paragraphe 1 du présent article, indépendamment de tout mandat confié par une personne concernée, a, dans l'État membre en question, le droit d'introduire une réclamation auprès de l'autorité de contrôle qui est compétente en vertu de l'article 77, et d'exercer les droits visés aux articles 78 et 79 s'il considère que les droits d'une personne concernée prévus dans le présent règlement ont été violés du fait du traitement. Considérants appropriés Considérant 142 - Le Droit Des Personnes Concernées De Mandater Un Organisme, Une Organisation Ou Une Association À But Non Lucratif Foire aux questions sur l'article 80 +Un organisme peut-il me représenter dans une réclamation RGPD ? Oui. L'article 80 permet aux personnes de mandater un organisme à but non lucratif actif en protection des données pour introduire des réclamations et exercer certains droits en leur nom. +Les actions collectives sont-elles autorisées selon le RGPD ? Les États membres peuvent permettre à des organismes qualifiés d'intenter des actions représentatives, parfois même sans mandat spécifique des personnes, selon le droit national. +Quel type d'organisation peut représenter les personnes concernées ? Il doit s'agir d'un organisme à but non lucratif constitué régulièrement, ayant des objectifs statutaires d'intérêt public et actif dans la protection des droits relatifs aux données.

1.   Lorsqu'une juridiction compétente d'un État membre est informée qu'une action concernant le même objet a été intentée à l'égard d'un traitement effectué par le même responsable du traitement ou le même sous-traitant et est pendante devant une juridiction d'un autre État membre, elle contacte cette juridiction dans l'autre État membre pour confirmer l'existence d'une telle action. 2.   Lorsqu'une action concernant le même objet a été intentée à l'égard d'un traitement effectué par le même responsable du traitement ou le même sous-traitant et est pendante devant une juridiction d'un autre État membre, toute juridiction compétente autre que la juridiction saisie en premier lieu peut suspendre son action. 3.   Lorsque cette action est pendante devant des juridictions du premier degré, toute juridiction autre que la juridiction saisie en premier lieu peut également se dessaisir, à la demande de l'une des parties, à condition que la juridiction saisie en premier lieu soit compétente pour connaître des actions en question et que le droit applicable permette leur jonction. Considérants appropriés Considérant 144 - Procédures Connexes Foire aux questions sur l'article 81 +Qu'est-ce que la suspension d'une action selon le RGPD ? L'article 81 permet à une juridiction de suspendre son action lorsque des procédures parallèles portant sur le même traitement sont pendantes devant une juridiction d'un autre État membre. +Pourquoi le RGPD permet-il la suspension d'une action ? Elle évite les jugements contradictoires et les procédures en double lorsque le même objet, impliquant le même responsable ou sous-traitant, est jugé ailleurs dans l'UE. +Les juridictions peuvent-elles coordonner des affaires RGPD connexes ? Oui. Lorsque des actions connexes sont pendantes en première instance, une juridiction compétente peut aussi se dessaisir pour permettre une jonction, sous réserve des règles applicables.

1.   Toute personne ayant subi un dommage matériel ou moral du fait d'une violation du présent règlement a le droit d'obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. 2.   Tout responsable du traitement ayant participé au traitement est responsable du dommage causé par le traitement qui constitue une violation du présent règlement. Un sous-traitant n'est tenu pour responsable du dommage causé par le traitement que s'il n'a pas respecté les obligations prévues par le présent règlement qui incombent spécifiquement aux sous-traitants ou qu'il a agi en-dehors des instructions licites du responsable du traitement ou contrairement à celles-ci. 3.   Un responsable du traitement ou un sous-traitant est exonéré de responsabilité, au titre du paragraphe 2, s'il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable. 4.   Lorsque plusieurs responsables du traitement ou sous-traitants ou lorsque, à la fois, un responsable du traitement et un sous-traitant participent au même traitement et, lorsque, au titre des paragraphes 2 et 3, ils sont responsables d'un dommage causé par le traitement, chacun des responsables du traitement ou des sous-traitants est tenu responsable du dommage dans sa totalité afin de garantir à la personne concernée une réparation effective. 5.   Lorsqu'un responsable du traitement ou un sous-traitant a, conformément au paragraphe 4, réparé totalement le dommage subi, il est en droit de réclamer auprès des autres responsables du traitement ou sous-traitants ayant participé au même traitement la part de la réparation correspondant à leur part de responsabilité dans le dommage, conformément aux conditions fixées au paragraphe 2. 6.   Les actions judiciaires engagées pour exercer le droit à obtenir réparation sont intentées devant les juridictions compétentes en vertu du droit de l'État membre visé à l'article 79, paragraphe 2. Considérants appropriés Considérant 146 - IndemnitéConsidérant 147 - Compétence Foire aux questions sur l'article 82 +Puis-je demander réparation pour une violation du RGPD ? Oui. L'article 82 donne à toute personne ayant subi un dommage matériel ou moral du fait d'une violation du RGPD le droit d'obtenir réparation du responsable ou du sous-traitant. +La réparation RGPD couvre-t-elle le préjudice moral ? Oui. La réparation couvre le dommage moral, qui peut inclure la détresse, ainsi que les pertes financières matérielles résultant de la violation. +Qui est tenu de verser la réparation RGPD ? Le responsable est tenu du dommage causé par un traitement non conforme, et le sous-traitant est tenu lorsqu'il manque à ses obligations propres ou agit hors des instructions.

1.   Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives. 2.   Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2, points a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des éléments suivants: a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu'elles ont subi; b) le fait que la violation a été commise délibérément ou par négligence; c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées; d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des articles 25 et 32; e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant; f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les éventuels effets négatifs; g) les catégories de données à caractère personnel concernées par la violation; h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation; i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures; j) l'application de codes de conduite approuvés en application de l'article 40 ou de mécanismes de certification approuvés en application de l'article 42; et k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation. 3.   Si un responsable du traitement ou un sous-traitant viole délibérément ou par négligence plusieurs dispositions du présent règlement, dans le cadre de la même opération de traitement ou d'opérations de traitement liées, le montant total de l'amende administrative ne peut pas excéder le montant fixé pour la violation la plus grave. 4.   Les violations des dispositions suivantes font l'objet, conformément au paragraphe 2, d'amendes administratives pouvant s'élever jusqu'à 10 000 000 EUR ou, dans le cas d'une entreprise, jusqu'à 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu: a) les obligations incombant au responsable du traitement et au sous-traitant en vertu des articles 8, 11, 25 à 39, 42 et 43; b) les obligations incombant à l'organisme de certification en vertu des articles 42 et 43; c) les obligations incombant à l'organisme chargé du suivi des codes de conduite en vertu de l'article 41, paragraphe 4. 5.   Les violations des dispositions suivantes font l'objet, conformément au paragraphe 2, d'amendes administratives pouvant s'élever jusqu'à 20 000 000 EUR ou, dans le cas d'une entreprise, jusqu'à 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu: a) les principes de base d'un traitement, y compris les conditions applicables au consentement en vertu des articles 5, 6, 7 et 9; b) les droits dont bénéficient les personnes concernées en vertu des articles 12 à 22 c) les transferts de données à caractère personnel à un destinataire situé dans un pays tiers ou à une organisation internationale en vertu des articles 44 à 49; d) toutes les obligations découlant du droit des États membres adoptées en vertu du chapitre IX; e) le non-respect d'une injonction, d'une limitation temporaire ou définitive du traitement ou de la suspension des flux de données ordonnée par l'autorité de contrôle en vertu de l'article 58, paragraphe 2, ou le fait de ne pas accorder l'accès prévu, en violation de l'article 58, paragraphe 1. 6.   Le non-respect d'une injonction émise par l'autorité de contrôle en vertu de l'article 58, paragraphe 2, fait l'objet, conformément au paragraphe 2 du présent article, d'amendes administratives pouvant s'élever jusqu'à 20 000 000 EUR ou, dans le cas d'une entreprise, jusqu'à 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. 7.   Sans préjudice des pouvoirs dont les autorités de contrôle disposent en matière d'adoption de mesures correctrices en vertu de l'article 58, paragraphe 2, chaque État membre peut établir les règles déterminant si et dans quelle mesure des amendes administratives peuvent être imposées à des autorités publiques et à des organismes publics établis sur son territoire. 8.   L'exercice, par l'autorité de contrôle, des pouvoirs que lui confère le présent article est soumis à des garanties procédurales appropriées conformément au droit de l'Union et au droit des États membres, y compris un recours juridictionnel effectif et une procédure régulière. 9.   Si le système juridique d'un État membre ne prévoit pas d'amendes administratives, le présent article peut être appliqué de telle sorte que l'amende est déterminée par l'autorité de contrôle compétente et imposée par les juridictions nationales compétentes, tout en veillant à ce que ces voies de droit soit effectives et aient un effet équivalent aux amendes administratives imposées par les autorités de contrôle. En tout état de cause, les amendes imposées sont effectives, proportionnées et dissuasives. Les États membres concernés notifient à la Commission les dispositions légales qu'ils adoptent en vertu du présent paragraphe au plus tard le 25 mai 2018 et, sans tarder, toute disposition légale modificative ultérieure ou toute modification ultérieure les concernant. Considérants appropriés Considérant 148 - PénalitésConsidérant 149 - Sanctions Pour Violations Des Règles NationalesConsidérant 150 - Amendes AdministrativesConsidérant 151 - Amendes Administratives Au Danemark Et En EstonieConsidérant 152 - Pouvoir De Sanction Des États Membres Foire aux questions sur l'article 83 +Quelles sont les amendes maximales du RGPD ? L'article 83 prévoit deux niveaux : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel pour certaines violations, et jusqu'à 20 millions d'euros ou 4 % pour les violations plus graves, le montant le plus élevé étant retenu. +Comment les amendes RGPD sont-elles calculées ? Les amendes doivent être effectives, proportionnées et dissuasives. Les autorités tiennent compte de la nature et de la gravité de la violation, de l'intention, de l'atténuation et de la coopération avec l'autorité. +Quelle est la différence entre les deux niveaux d'amendes RGPD ? Le niveau inférieur vise des obligations comme les registres et la sécurité, tandis que le niveau supérieur vise les atteintes aux principes fondamentaux, aux droits des personnes et aux règles de transfert international.

1.   Les États membres déterminent le régime des autres sanctions applicables en cas de violations du présent règlement, en particulier pour les violations qui ne font pas l'objet des amendes administratives prévues à l'article 83, et prennent toutes les mesures nécessaires pour garantir leur mise en œuvre. Ces sanctions sont effectives, proportionnées et dissuasives. 2.   Chaque État membre notifie à la Commission les dispositions légales qu'il adopte en vertu du paragraphe 1 au plus tard le 25 mai 2018 et, sans tarder, toute modification ultérieure les concernant. Considérants appropriés Considérant 149 - Sanctions Pour Violations Des Règles NationalesConsidérant 150 - Amendes AdministrativesConsidérant 151 - Amendes Administratives Au Danemark Et En EstonieConsidérant 152 - Pouvoir De Sanction Des États Membres Foire aux questions sur l'article 84 +Quelles sanctions existent au-delà des amendes RGPD ? L'article 84 impose aux États membres de prévoir d'autres sanctions pour les violations non couvertes par les amendes administratives, en veillant à ce qu'elles soient effectives, proportionnées et dissuasives. +Les violations du RGPD peuvent-elles entraîner des sanctions pénales ? Les États membres peuvent prévoir des sanctions pénales ou autres en droit national pour certaines violations, en plus des amendes administratives du RGPD. +Les sanctions varient-elles d'un pays de l'UE à l'autre ? Oui. Comme l'article 84 laisse les sanctions supplémentaires au droit national, les sanctions concrètes peuvent différer d'un État membre à l'autre.

1.   Les États membres concilient, par la loi, le droit à la protection des données à caractère personnel au titre du présent règlement et le droit à la liberté d'expression et d'information, y compris le traitement à des fins journalistiques et à des fins d'expression universitaire, artistique ou littéraire. 2.   Dans le cadre du traitement réalisé à des fins journalistiques ou à des fins d'expression universitaire, artistique ou littéraire, les États membres prévoient des exemptions ou des dérogations au chapitre II (principes), au chapitre III (droits de la personne concernée), au chapitre IV (responsable du traitement et sous-traitant), au chapitre V (transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales), au chapitre VI (autorités de contrôle indépendantes), au chapitre VII (coopération et cohérence) et au chapitre IX (situations particulières de traitement) si celles-ci sont nécessaires pour concilier le droit à la protection des données à caractère personnel et la liberté d'expression et d'information. 3.   Chaque État membre notifie à la Commission les dispositions légales qu'il a adoptées en vertu du paragraphe 2 et, sans tarder, toute disposition légale modificative ultérieure ou toute modification ultérieure les concernant. Considérants appropriés Considérant 153 - Traitement De Données Personnelles Uniquement À Des Fins Journalistiques Ou À Des Fins D'Expression Académique, Artistique Ou Littéraire Foire aux questions sur l'article 85 +Comment le RGPD concilie-t-il vie privée et liberté d'expression ? L'article 85 impose aux États membres de concilier le droit à la protection des données avec la liberté d'expression et d'information, y compris le traitement à des fins journalistiques, universitaires, artistiques ou littéraires. +Les journalistes sont-ils exemptés du RGPD ? Pas entièrement. Les États membres doivent prévoir des exemptions ou dérogations à des fins journalistiques lorsque cela est nécessaire pour concilier protection des données et liberté d'expression. +Le RGPD s'applique-t-il à la couverture médiatique ? Oui, mais avec des dérogations. Les lois nationales ajustent l'application du RGPD au journalisme pour protéger la liberté de la presse tout en préservant les données à caractère personnel.

Les données à caractère personnel figurant dans des documents officiels détenus par une autorité publique ou par un organisme public ou un organisme privé pour l'exécution d'une mission d'intérêt public peuvent être communiquées par ladite autorité ou ledit organisme conformément au droit de l'Union ou au droit de l'État membre auquel est soumis l'autorité publique ou l'organisme public, afin de concilier le droit d'accès du public aux documents officiels et le droit à la protection des données à caractère personnel au titre du présent règlement. Considérants appropriés Considérant 154 - Principe De L'Accès Public Aux Documents Officiels Foire aux questions sur l'article 86 +Le RGPD affecte-t-il les demandes d'accès aux documents administratifs ? L'article 86 permet de divulguer les données à caractère personnel figurant dans des documents officiels détenus par des autorités publiques conformément aux lois sur l'accès du public, conciliant transparence et protection des données. +Les autorités publiques peuvent-elles communiquer des documents contenant des données personnelles ? Oui, lorsque le droit de l'UE ou d'un État membre relatif à l'accès aux documents officiels l'autorise, conciliant la transparence et le droit à la protection des données. +Comment l'article 86 affecte-t-il les lois sur la transparence ? Il confirme que le RGPD ne prime pas automatiquement sur les règles nationales d'accès à l'information, qui continuent de régir l'accès du public aux côtés de la protection des données.

Les États membres peuvent préciser les conditions spécifiques du traitement d'un numéro d'identification national ou de tout autre identifiant d'application générale. Dans ce cas, le numéro d'identification national ou tout autre identifiant d'application générale n'est utilisé que sous réserve des garanties appropriées pour les droits et libertés de la personne concernée adoptées en vertu du présent règlement. Considérants appropriés Considérant 41 – Base Légale Ou Mesures Législatives Considérant 51 – Protection Des Données Personnelles Sensibles Considérant 75 – Risques Pour Les Droits Et Libertés Des Personnes Physiques Considérant 78 – Mesures Techniques Et Organisationnelles Appropriées Foire aux questions sur l'article 87 +Le RGPD encadre-t-il les numéros d'identification nationaux ? L'article 87 permet aux États membres de fixer des conditions spécifiques au traitement des numéros d'identification nationaux, qui ne peuvent être utilisés qu'avec des garanties appropriées pour les droits des personnes. +Les entreprises peuvent-elles utiliser librement les numéros d'identification nationaux ? Non. L'utilisation des numéros d'identification nationaux est soumise à des règles et garanties nationales, les organisations devant donc vérifier les conditions propres à chaque État membre. +Pourquoi les numéros d'identification nationaux sont-ils traités spécialement ? Parce qu'ils peuvent identifier de façon unique les personnes à travers de nombreux systèmes, ils présentent des risques accrus et justifient des garanties supplémentaires en droit national.

1.   Les États membres peuvent prévoir, par la loi ou au moyen de conventions collectives, des règles plus spécifiques pour assurer la protection des droits et libertés en ce qui concerne le traitement des données à caractère personnel des employés dans le cadre des relations de travail, aux fins, notamment, du recrutement, de l'exécution du contrat de travail, y compris le respect des obligations fixées par la loi ou par des conventions collectives, de la gestion, de la planification et de l'organisation du travail, de l'égalité et de la diversité sur le lieu de travail, de la santé et de la sécurité au travail, de la protection des biens appartenant à l'employeur ou au client, aux fins de l'exercice et de la jouissance des droits et des avantages liés à l'emploi, individuellement ou collectivement, ainsi qu'aux fins de la résiliation de la relation de travail. 2.   Ces règles comprennent des mesures appropriées et spécifiques pour protéger la dignité humaine, les intérêts légitimes et les droits fondamentaux des personnes concernées, en accordant une attention particulière à la transparence du traitement, au transfert de données à caractère personnel au sein d'un groupe d'entreprises, ou d'un groupe d'entreprises engagées dans une activité économique conjointe et aux systèmes de contrôle sur le lieu de travail. 3.   Chaque État membre notifie à la Commission les dispositions légales qu'il adopte en vertu du paragraphe 1 au plus tard le 25 mai 2018 et, sans tarder, toute modification ultérieure les concernant. Considérants appropriés Considérant 155 - Traitement Dans Le Contexte De L'Emploi Foire aux questions sur l'article 88 +Le RGPD s'applique-t-il aux données des salariés ? Oui. L'article 88 permet aux États membres de prévoir des règles plus spécifiques pour le traitement des données des salariés, avec des garanties pour la dignité et les intérêts des travailleurs. +Les employeurs peuvent-ils surveiller les salariés selon le RGPD ? La surveillance est soumise aux règles nationales du travail et aux garanties du RGPD, exigeant transparence, nécessité et proportionnalité pour protéger les droits des salariés. +Quelles garanties s'appliquent au traitement des données sur le lieu de travail ? Les règles nationales doivent inclure des mesures protégeant la dignité humaine, les intérêts légitimes et les droits fondamentaux, notamment pour la transparence, la surveillance et les transferts au sein de groupes.

1.   Le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques est soumis, conformément au présent règlement, à des garanties appropriées pour les droits et libertés de la personne concernée. Ces garanties garantissent la mise en place de mesures techniques et organisationnelles, en particulier pour assurer le respect du principe de minimisation des données. Ces mesures peuvent comprendre la pseudonymisation, dans la mesure où ces finalités peuvent être atteintes de cette manière. Chaque fois que ces finalités peuvent être atteintes par un traitement ultérieur ne permettant pas ou plus l'identification des personnes concernées, il convient de procéder de cette manière. 2.   Lorsque des données à caractère personnel sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques, le droit de l'Union ou le droit d'un État membre peut prévoir des dérogations aux droits visés aux articles 15, 16, 18 et 21, sous réserve des conditions et des garanties visées au paragraphe 1 du présent article, dans la mesure où ces droits risqueraient de rendre impossible ou d'entraver sérieusement la réalisation des finalités spécifiques et où de telles dérogations sont nécessaires pour atteindre ces finalités. 3.   Lorsque des données à caractère personnel sont traitées à des fins archivistiques dans l'intérêt public, le droit de l'Union ou le droit d'un État membre peut prévoir des dérogations aux droits visés aux articles 15, 16, 18, 19, 20 et 21, sous réserve des conditions et des garanties visées au paragraphe 1 du présent article, dans la mesure où ces droits risqueraient de rendre impossible ou d'entraver sérieusement la réalisation des finalités spécifiques et où de telles dérogations sont nécessaires pour atteindre ces finalités. 4.   Lorsqu'un traitement visé aux paragraphes 2 et 3 sert dans le même temps une autre finalité, les dérogations sont applicables au seul traitement effectué aux fins visées auxdits paragraphes. Considérants appropriés Considérant 156 - Traitement À Des Fins D'Archivage, De Recherche Scientifique Ou Historique Ou À Des Fins StatistiquesConsidérant 157 - Informations Provenant Des Registres Et De La Recherche ScientifiqueConsidérant 158 - Traitement À Des Fins D'ArchivageConsidérant 159 - Traitement À Des Fins De Recherche ScientifiqueConsidérant 160 - Traitement À Des Fins De Recherche HistoriqueConsidérant 161 - Consentement À La Participation À Des Essais CliniquesConsidérant 162 - Traitement À Des Fins StatistiquesConsidérant 163 - Production De Statistiques Européennes Et Nationales Foire aux questions sur l'article 89 +Quelles garanties s'appliquent aux données de recherche selon le RGPD ? L'article 89 exige des garanties appropriées, telles que la minimisation des données et la pseudonymisation, pour le traitement à des fins archivistiques d'intérêt public, de recherche scientifique ou historique, ou statistiques. +Existe-t-il des dérogations RGPD pour la recherche scientifique ? Oui. Les États membres peuvent prévoir des dérogations à certains droits des personnes lorsque cela est nécessaire à des fins de recherche ou de statistique, sous réserve de garanties. +Qu'est-ce que la pseudonymisation dans la recherche ? La pseudonymisation remplace les éléments identifiants par des pseudonymes, de sorte que les personnes ne puissent être identifiées sans informations supplémentaires, protégeant ainsi les données utilisées pour la recherche.

1.   Les États membres peuvent adopter des règles spécifiques afin de définir les pouvoirs des autorités de contrôle visés à l'article 58, paragraphe 1, points e) et f) à l'égard des responsables du traitement ou des sous-traitants qui sont soumis, en vertu du droit de l'Union ou du droit d'un État membre ou de règles arrêtées par les organismes nationaux compétents, à une obligation de secret professionnel ou à d'autres obligations de secret équivalentes, lorsque cela est nécessaire et proportionné pour concilier le droit à la protection des données à caractère personnel et l'obligation de secret. Ces règles ne sont applicables qu'en ce qui concerne les données à caractère personnel que le responsable du traitement ou le sous-traitant a reçues ou a obtenues dans le cadre d'une activité couverte par ladite obligation de secret. 2.   Chaque État membre notifie à la Commission les règles qu'il adopte en vertu du paragraphe 1, au plus tard le 25 mai 2018, et, sans tarder, toute modification ultérieure les concernant. Considérants appropriés Considérant 164 - Obligations De Secret Professionnel Ou Autres Obligations De Secret Équivalentes Foire aux questions sur l'article 90 +Que dit l'article 90 du RGPD sur le secret professionnel ? L'article 90 permet aux États membres de fixer des règles régissant les pouvoirs des autorités de contrôle à l'égard des responsables et sous-traitants soumis à des obligations de secret professionnel. +Comment le RGPD traite-t-il les professions confidentielles ? Il autorise des règles nationales spécifiques pour concilier le contrôle de la protection des données avec les obligations de secret dans des professions comme le droit, la médecine ou d'autres domaines réglementés. +Les autorités peuvent-elles accéder à des données couvertes par le secret professionnel ? L'accès peut être limité par des règles nationales protégeant le secret professionnel, conciliant le contrôle avec les obligations de confidentialité.

1.   Lorsque, dans un État membre, des églises et des associations ou communautés religieuses appliquent, à la date d'entrée en vigueur du présent règlement, un ensemble complet de règles relatives à la protection des personnes physiques à l'égard du traitement, elles peuvent continuer d'appliquer lesdites règles à condition de les mettre en conformité avec le présent règlement. 2.   Les églises et les associations religieuses qui appliquent un ensemble complet de règles conformément au paragraphe 1 du présent article sont soumises au contrôle d'une autorité de contrôle indépendante qui peut être spécifique, pour autant qu'elle remplisse les conditions fixées au chapitre VI du présent règlement. Considérants appropriés Considérant 165 - Aucun Préjudice Au Statut Des Églises Et Associations Religieuses Foire aux questions sur l'article 91 +Les églises ont-elles leurs propres règles de protection des données selon le RGPD ? L'article 91 permet aux églises et associations religieuses qui appliquaient des règles complètes de protection des données avant le RGPD de les maintenir, à condition de les mettre en conformité avec le RGPD. +Les organisations religieuses sont-elles exemptées du RGPD ? Non. Elles ne sont pas exemptées, mais celles disposant de règles complètes préexistantes peuvent les conserver sous le contrôle d'un organisme indépendant, si elles sont alignées sur le RGPD. +Qui supervise les règles de protection des données des églises ? Ces règles peuvent être soumises au contrôle d'un organisme de contrôle indépendant, pouvant être propre à l'organisation religieuse, conformément aux normes du RGPD.

1.   Le pouvoir d'adopter des actes délégués conféré à la Commission est soumis aux conditions fixées au présent article. 2.   La délégation de pouvoir visée à l'article 12, paragraphe 8, et à l'article 43, paragraphe 8, est conférée à la Commission pour une durée indéterminée à compter du 24 mai 2016. 3.   La délégation de pouvoir visée à l'article 12, paragraphe 8, et à l'article 43, paragraphe 8, peut être révoquée à tout moment par le Parlement européen ou le Conseil. La décision de révocation met fin à la délégation de pouvoir qui y est précisée. La révocation prend effet le jour suivant celui de la publication de ladite décision au Journal officiel de l'Union européenne ou à une date ultérieure qui est précisée dans ladite décision. Elle ne porte pas atteinte à la validité des actes délégués déjà en vigueur. 4.   Aussitôt qu'elle adopte un acte délégué, la Commission le notifie au Parlement européen et au Conseil simultanément. 5.   Un acte délégué adopté en vertu de l'article 12, paragraphe 8, et de l'article 43, paragraphe 8, n'entre en vigueur que si le Parlement européen ou le Conseil n'a pas exprimé d'objections dans un délai de trois mois à compter de la notification de cet acte au Parlement européen et au Conseil ou si, avant l'expiration de ce délai, le Parlement européen et le Conseil ont tous deux informé la Commission de leur intention de ne pas exprimer d'objections. Ce délai est prolongé de trois mois à l'initiative du Parlement européen ou du Conseil. Considérants appropriés Considérant 166 - Actes Délégués De La CommissionConsidérant 167 - Pouvoirs D'Exécution De La CommissionConsidérant 168 - Actes D'Exécution Sur Les Clauses Contractuelles TypesConsidérant 169 - Actes D'Exécution D'Application ImmédiateConsidérant 170 - Principe De Subsidiarité Et Principe De Proportionnalité Foire aux questions sur l'article 92 +Que couvre l'article 92 du RGPD ? L'article 92 précise comment la Commission européenne peut exercer son pouvoir d'adopter des actes délégués au titre du RGPD, y compris la durée et les conditions de ce pouvoir. +La Commission européenne peut-elle modifier les règles du RGPD ? La Commission ne peut adopter des actes délégués que dans les limites fixées par le RGPD, et le Parlement et le Conseil peuvent révoquer la délégation ou s'opposer à des actes spécifiques. +Qu'est-ce qu'un acte délégué selon le RGPD ? Un acte délégué est une mesure non législative que la Commission peut adopter pour compléter ou modifier certains éléments non essentiels du RGPD dans des limites définies.

1. La Commission est assistée par un comité. Ce comité est un comité au sens du Règlement (UE) n° 182/2011. 2. Lorsqu'il est fait référence au présent paragraphe, l'article 5 du Règlement (UE) n° 182/2011 s'applique. 3. Lorsqu'il est fait référence au présent paragraphe, l'article 8 du règlement (UE) n° 182/2011, lu en combinaison avec l'article 5, s'applique. Considérants appropriés Considérant 8 – Incorporation Dans Le Droit National Considérant 10 – Niveau Harmonisé De Protection Des Données Malgré La Portée Nationale Considérant 11 – Harmonisation Des Pouvoirs Et Des Sanctions Foire aux questions sur l'article 93 +Qu'est-ce que la procédure de comité selon l'article 93 du RGPD ? L'article 93 prévoit que la Commission est assistée d'un comité lorsqu'elle adopte des actes d'exécution, selon les procédures de comitologie habituelles de l'UE. +Comment les actes d'exécution du RGPD sont-ils adoptés ? Les actes d'exécution sont adoptés avec la participation d'un comité de représentants des États membres, selon la procédure d'examen prévue par les règles de l'UE. +Quelle est la différence entre actes délégués et actes d'exécution ? Les actes délégués complètent ou modifient des parties non essentielles de la loi, tandis que les actes d'exécution fixent des conditions uniformes d'application, avec la participation des États membres au sein d'un comité.

1.   La directive 95/46/CE est abrogée avec effet au 25 mai 2018. 2.   Les références faites à la directive abrogée s'entendent comme faites au présent règlement. Les références faites au groupe de protection des personnes à l'égard du traitement des données à caractère personnel institué par l'article 29 de la directive 95/46/CE s'entendent comme faites au comité européen de la protection des données institué par le présent règlement. Considérants appropriés Considérant 171 - Abrogation De La Directive 95/46/Ce Et Dispositions Transitoires Foire aux questions sur l'article 94 +Le RGPD a-t-il remplacé la directive sur la protection des données ? Oui. L'article 94 a abrogé la directive 95/46/CE avec effet au 25 mai 2018, date à laquelle le RGPD est devenu applicable dans toute l'UE. +Qu'était la directive 95/46/CE ? La directive 95/46/CE était l'ancien cadre de protection des données de l'UE, que le RGPD a remplacé pour créer un règlement unique, directement applicable dans tous les États membres. +Les références à l'ancienne directive s'appliquent-elles encore ? Les références à la directive abrogée s'entendent comme des références au RGPD, et les références à l'ancien groupe de travail comme des références au Comité européen de la protection des données.

Le présent règlement n'impose pas d'obligations supplémentaires aux personnes physiques ou morales quant au traitement dans le cadre de la fourniture de services de communications électroniques accessibles au public sur les réseaux publics de communications dans l'Union en ce qui concerne les aspects pour lesquels elles sont soumises à des obligations spécifiques ayant le même objectif énoncées dans la directive 2002/58/CE. Considérants appropriés Considérant 173 - Relation Avec La Directive 2002/58/Ce Foire aux questions sur l'article 95 +Comment le RGPD s'articule-t-il avec la directive vie privée et communications électroniques ? L'article 95 prévoit que le RGPD n'impose pas d'obligations supplémentaires lorsque la directive 2002/58/CE fixe déjà des obligations spécifiques pour le même traitement dans les communications électroniques. +Pour les cookies, est-ce le RGPD ou la directive ePrivacy qui s'applique ? Les règles ePrivacy régissent de nombreux aspects des cookies et des communications électroniques, tandis que le RGPD s'applique aux données concernées, les deux fonctionnant ensemble. +Qu'est-ce que la directive vie privée et communications électroniques ? La directive 2002/58/CE, dite directive ePrivacy, fixe des règles de confidentialité spécifiques aux communications électroniques, dont la confidentialité et l'utilisation des cookies.

Les accords internationaux impliquant le transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales qui ont été conclus par les États membres avant le 24 mai 2016 et qui respectent le droit de l'Union tel qu'il est applicable avant cette date restent en vigueur jusqu'à leur modification, leur remplacement ou leur révocation. Considérants appropriés Considérant 108 – Garanties Appropriées Considérant 109 – Clauses Types Sur La Protection Des Données Foire aux questions sur l'article 96 +Les anciens accords internationaux survivent-ils au RGPD ? L'article 96 prévoit que les accords internationaux impliquant des transferts conclus avant le 24 mai 2016 restent en vigueur jusqu'à leur modification, remplacement ou révocation, s'ils étaient conformes au droit alors applicable. +Les accords de transfert antérieurs au RGPD peuvent-ils encore être utilisés ? Oui, s'ils ont été conclus avant la date butoir et étaient conformes au droit en vigueur à l'époque, jusqu'à leur mise à jour ou révocation. +Pourquoi l'article 96 est-il important pour les transferts internationaux ? Il assure une continuité juridique, garantissant que les accords existants ne soient pas automatiquement invalidés par le RGPD tout en encourageant un alignement ultérieur.

1.   Au plus tard le 25 mai 2020 et tous les quatre ans par la suite, la Commission présente au Parlement européen et au Conseil un rapport sur l'évaluation et le réexamen du présent règlement. Ces rapports sont publiés. 2.   Dans le cadre des évaluations et réexamens visés au paragraphe 1, la Commission examine, en particulier, l'application et le fonctionnement du: a) chapitre V sur le transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales, en particulier en ce qui concerne les décisions adoptées en vertu de l'article 45, paragraphe 3 du présent règlement, et des décisions adoptées sur la base de l'article 25, paragraphe 6, de la directive 95/46/CE; b) chapitre VII sur la coopération et la cohérence. 3.   Aux fins du paragraphe 1, la Commission peut demander des informations aux États membres et aux autorités de contrôle. 4.   Lorsqu'elle procède aux évaluations et réexamens visés aux paragraphes 1 et 2, la Commission tient compte des positions et des conclusions du Parlement européen, du Conseil, et d'autres organismes ou sources pertinents. 5.   La Commission soumet, si nécessaire, des propositions appropriées visant à modifier le présent règlement, notamment en tenant compte de l'évolution des technologies de l'information et à la lumière de l'état d'avancement de la société de l'information. Considérants appropriés Considérant 6 – Assurer Un Niveau Élevé De Protection Des Données Malgré L’Augmentation Des Échanges De Données Considérant 7 – Le Cadre Est Basé Sur Le Contrôle Et La Certitude Considérant 9 – Différents Niveaux De Protection Par La Directive 95/46/Ce Foire aux questions sur l'article 97 +La Commission européenne réexamine-t-elle le RGPD ? Oui. L'article 97 impose à la Commission de faire rapport périodiquement sur l'évaluation et le réexamen du RGPD, le premier rapport étant attendu pour le 25 mai 2020. +À quelle fréquence le RGPD est-il évalué ? La Commission doit présenter des rapports au moins tous les quatre ans, examinant des aspects tels que les transferts internationaux et la coopération entre autorités de contrôle. +Le RGPD peut-il être modifié après réexamen ? Oui. Sur la base de ses évaluations, la Commission peut, le cas échéant, présenter des propositions de modification du RGPD.

La Commission présente, au besoin, des propositions législatives en vue de modifier d'autres actes juridiques de l'Union relatifs à la protection des données à caractère personnel, afin d'assurer une protection uniforme et cohérente des personnes physiques à l'égard du traitement. Cela concerne en particulier les règles relatives à la protection des personnes physiques à l'égard du traitement par des institutions, organes et organismes de l'Union et à la libre circulation de ces données. Considérants appropriés Considérant 7 – Le Cadre Est Basé Sur Le Contrôle Et La Certitude Considérant 8 – Incorporation Dans Le Droit National Considérant 9 – Différents Niveaux De Protection Par La Directive 95/46/Ce Considérant 13 – Prendre En Compte Les Micro, Petites Et Moyennes Entreprises Foire aux questions sur l'article 98 +Qu'exige l'article 98 du RGPD ? L'article 98 charge la Commission de réexaminer d'autres actes juridiques de l'UE relatifs à la protection des données, comme ceux applicables aux institutions de l'UE, afin de les aligner sur le RGPD le cas échéant. +Le RGPD s'applique-t-il aux institutions de l'UE ? Les institutions de l'UE relèvent de règles distinctes mais alignées, et l'article 98 soutient la mise à jour de ces actes pour assurer une protection cohérente dans l'UE. +Pourquoi réexaminer d'autres lois de l'UE sur la protection des données ? Le réexamen des actes connexes assure une approche cohérente et uniforme de la protection des données dans l'ensemble de la législation de l'UE, et pas seulement le RGPD.

1.   Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l'Union européenne. 2.   Il est applicable à partir du 25 mai 2018. Considérants appropriés Considérant 4 – Protection Des Données En Équilibre Avec D’Autres Droits Fondamentaux Considérant 6 – Assurer Un Niveau Élevé De Protection Des Données Malgré L’Augmentation Des Échanges De Données Considérant 7 – Le Cadre Est Basé Sur Le Contrôle Et La Certitude Foire aux questions sur l'article 99 +Quand le RGPD est-il entré en vigueur ? L'article 99 prévoit que le RGPD est entré en vigueur le 24 mai 2016 et est devenu applicable à partir du 25 mai 2018, accordant aux organisations une période de transition de deux ans. +Quelle est la différence entre entrée en vigueur et application ? Le RGPD est entré en vigueur en 2016, mais ses obligations ne sont devenues exécutoires, c'est-à-dire applicables, qu'à partir du 25 mai 2018. +Le RGPD est-il directement applicable dans tous les pays de l'UE ? Oui. En tant que règlement, le RGPD est obligatoire dans tous ses éléments et directement applicable dans tous les États membres, sans transposition nationale.