Le Règlement général sur la protection des données personnelles (RGPD) est désormais entré en vigueur abrogeant la directive 95/46/CE. Toutes les entreprises sont concernées, quel que soit leur secteur d’activité : marketing, banque et assurance, santé, automobile, grande distribution, etc.

Règlement général sur la protection des données

Le règlement 2016/679 relatif à la protection des données personnelles (RGPD), adopté le 27 avril 2016 et publié au Journal officiel de l’Union européenne le 4 mai 2016, a vocation à moderniser le cadre européen de la protection des données à caractère personnel afin de prendre en compte les avancées technologiques, notamment numériques et génétiques, et de réduire les écarts juridiques entre les différentes législations des Etats membres de l’Union européenne. Il remplace la directive de 1995 sur la protection des données, abrogée.

Les entreprises doivent repenser la gouvernance qu’elles ont mise en place en matière de protection des données personnelles et déployer de nouvelles actions pour être en conformité avec la nouvelle réglementation.

Il s’agit d’un texte complexe et technique dont les entreprises sont les principaux acteurs. Celles-ci doivent se plier à de nouvelles obligations, par exemple :

• réaliser une analyse d’impact avant la mise en œuvre d’un traitement de données pouvant présenter des risques pour les droits et libertés des personnes ;
• prendre en compte la sécurité dès la conception du traitement de données ;
• être, à tout moment, en mesure de démontrer la conformité du traitement avec le Règlement

La quasi-totalité des entreprises traite des données personnelles de citoyens européens et est donc concernée par le Règlement.

Textes de référence

• Le règlement 2016/679 relatif à la protection des données personnelles (RGPD) en français
• General Data Protection Regulation, le règlement 2016/679 en anglais
• Affichage bilingue « Français – Anglais ». 

Décisions d’exécution de la Commission 

• Décision d’exécution UE-2021-914 du 4 juin 2021 clauses contractuelles types pour le transfert données vers pays tiers
• Décision d’exécution UE-2021-915 du 4 juin 2021 clauses contractuelles types entre les responsables du traitement et les sous-traitants

Nouvelle proposition de règlement

Cinq ans après l’entrée en vigueur du RGPD, règlement général sur la protection des données (Règlement (UE) 2016/679 du 27 avril 2016), la Commission propose un nouveau règlement visant à rationaliser la coopération entre les autorités de protection des données (APD) lors de l’application du RGPD dans les affaires transfrontalières.

Harmoniser les règles de procédure dans les affaires transfrontalières
1. Droits des plaignants
2. Droits des parties faisant l’objet d’une enquête (responsables du traitement et sous-traitants)
3. Rationalisation de la coopération et du règlement des litiges.

• Proposition de règlement établissant des règles de procédure supplémentaires relatives à l’application du RGPD (COM (2023) 348 du 04 07 2023 / Procédure 2023/0202 (COD))

Notifications des Etats membres à la Commission européenne

En vertu du règlement général sur la protection des données (RGPD), tous les États membres de l’UE doivent notifier à la Commission les dispositions :

• sur les autorités chargées de la protection des données (article 51, paragraphe 4),
• sur les sanctions (article 84, paragraphe 2),
• sur la conciliation du droit à la protection des données avec le droit à la liberté d’expression et d’information (article 85 (3)).

Dans le cas où un État membre de l’UE réglementerait la protection des données au niveau national, les dispositions suivantes devraient également être notifiées à la Commission :

• le traitement des données à caractère personnel dans le cadre de l’emploi (article 88, paragraphe 3),
• obligations de secret (article 90, paragraphe 2),
• limitations au transfert de catégories spécifiques de données pour des raisons importantes d’intérêt public (article 49, paragraphe 5),
• d’autres voies de recours au lieu d’amendes administratives (article 83, paragraphe 9).

Notifications des États membres de l’UE à la Commission européenne dans le cadre du RGPD.

Notification des autorités françaises du 19 juillet 2018.

_________________________________

Loi Informatique et libertés (modifiée)

La loi relative à l’informatique, aux fichiers et aux libertés a été modifiée par la loi relative à la protection des données personnelles (Loi n° 2018-493 du 20 juin 2018, JORF du 21 juin 2018) afin :

• d’une part, de l’adapter au règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD/GDPR) ;
• d’autre part, de transposer la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données.

Par l’ordonnance n° 2018-1125 du 12 décembre 2018 prise en application de l’article 32 de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles, le gouvernement a procédé à la réécriture de l’ensemble de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés afin d’apporter les corrections formelles et les adaptations nécessaires à la simplification et à la cohérence ainsi qu’à la simplicité de la mise en œuvre par les personnes concernées des dispositions qui mettent le droit national en conformité avec les textes du 27 avril 2016, le RGPD (règlement (UE) 2016/679 et la directive (UE) 2016/680.

Textes de référence

• Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (modifiée)
• Décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17

  _________________________________

Convention 108+ du Conseil de l’Europe (modernisée)

Le Conseil de l’Europe a élaboré, dès 1981, la « Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel« , la Convention 108 fut ouverte à la signature le 28 janvier 1981. « Trente ans après son entrée en vigueur cette convention reste, à ce jour, le seul instrument juridique international contraignant dans le domaine qui ait une portée potentiellement mondiale« . La modernisation de la Convention 108+, (texte consolidé en mai 2018) a eu « deux objectifs principaux : d’une part, répondre aux défis nés de l’usage des nouvelles technologies de l’information et de la communication et d’autre part, renforcer une mise en œuvre effective de la Convention« .

Texte de référence :

• Français
• Anglais

Le Conseil de l’Europe a aussi élaboré un Manuel de droit européen de protection de données « conçu de façon à permettre aux praticiens du droit qui ne sont pas spécialisés dans la protection des données de se familiariser avec ce nouveau domaine du droit. Il présente un aperçu des cadres légaux applicables de l’UE et du CdE. Il explique la jurisprudence essentielle et résume les principaux arrêts de la Cour de justice de l’Union européenne et de la Cour européenne des droits de l’homme« .

Texte de référence :

• Français
• Disponible aussi en allemand, anglais, bulgare, espagnol, géorgien, grec, hongrois et italien.

La Cour européenne des droits de l’homme met à disposition des fiches de jurisprudence européenne, régulièrement mises à jour, dont :

• Fiche thématique – Protection des données personnelles.

Le site web du Conseil de l’Europe sur la Protection des Données du Conseil de l’Europe, propose aussi toute une série de rapports, études guides, recommandations et avis, dont :

1. Rapport CoE  Intelligence artificielle et protection des données : enjeux et solutions possibles du 25 janvier 2019.
2. Guide pratique sur l’utilisation de données à caractère personnel dans le secteur de la police du 15 février 2018.
3. Guide des principes en matière de respect de la vie privée et de protection des données aux fins du traitement de données en lien avec l’ICANN de 2018.

Lignes directrices du Conseil de l’Europe

Le Conseil de l’Europe est la principale organisation de défense des droits de l’homme du continent européen. Il comprend 47 États membres, dont les 28 membres de l’Union européenne. Sa mission est de promouvoir la démocratie et de protéger les droits de l’homme et l’Etat de droit en Europe.  Il a élaboré des lignes directrices sur différents sujets, dont :

1. Lignes directrices sur la protection des personnes à l’égard du traitement des données à caractère personnel à l’ère des mégadonnées du 23 janvier 2017.

2. Lignes directrices relatives au respect, à la protection et à la réalisation des droits de l’enfant dans l’environnement numérique (Recommandation CM/Rec(2018)7 du Comité des Ministres adoptée le 4 juillet 2018.

3. Lignes directrices sur la protection de la vie privée dans les médias de septembre 2018.

4. Lignes directrices sur l’intelligence artificielle et la protection des données personnelles du 25 janvier 2019.

5. Lignes directrices sur la protection des données personnelles des enfants dans un cadre éducatif du 20 novembre 2020.

• Le rapport « La protection des données personnelles des enfants dans les systèmes éducatifs : enjeux et solutions possibles »

6. Lignes directrices sur la reconnaissance faciale du 28 janvier 2021.

_________________________________

Proposition de règlement sur la protection des données à caractère personnel dans les communications électroniques (e-privacy)

La Commission européenne propose actuellement un nouveau règlement en date du 10 janvier 2017 visant à renforcer le respect de la vie privée dans les communications électroniques et à harmoniser les règles applicables avec les nouvelles normes fixées par le règlement général sur la protection des données. Ce projet de règlement vise également à abroger la directive 2002/58/CE (règlement «vie privée et communications électroniques») qui ne s’appliquait qu’aux opérateurs de télécommunications traditionnels.

Ce règlement repose sur l’idée du « marché unique numérique » censé renforcer la confiance et la sécurité à l’ère numérique il est supposé encadrer notamment toute les activités de marketing dans la société de l’information. Les règles en matière de respect de la vie privée s’appliqueront aux nouveaux acteurs dans le secteur des services de communications électroniques, tels que WhatsApp, Facebook Messenger, Skype, Gmail, iMessage ou Viber.

Textes de référence

• Compromis du 18-09-2019
• Français
• Anglais
• Observatoire législatif du Parlement européen
• Projet de rapport sur la proposition de règlement  (9-6-2017)

  _________________________________

Règlement sur la protection des données à caractère personnel par les institutions de l’UE

Le 23 octobre 2018, la Parlement européen et le Conseil de l’Union européenne ont adopté le règlement relatif à la protection des données à caractère personnel par les institutions et organes communautaires et abrogeant le règlement (CE) n° 45/2001 et la décision n° 1247/2002/CE, mettant ainsi les institutions de l’UE en conformité avec le règlement général sur la protection des données.

Textes de référence

• Règlement (UE) 2018-1725 du 23 octobre 2018

_________________________________

Commission nationale de l’informatique et des libertés (Cnil)

Créée en 1978, la Cnil est une autorité administrative indépendante qui exerce ses missions conformément à la loi Informatique et Libertés du 6 janvier 1978 modifiée par la loi du 20 juin 2018. Afin d’aider les particuliers et d’accompagner les professionnels, organismes privés et publics, à se conformer au RGPD, la Cnil propose des guides de bonnes pratiques, des outils techniques, des lignes directrices, des recommandations, des fiches pratiques, etc.

Lignes directrices, recommandations et bonnes pratiques

1. Lignes directrices sur les analyses d’impact relatives à la protection des données (AIPD) prévues par le RGPD

2. Liste des types d’opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données n’est pas requise

3. Liste des types d’opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données est requise

4. Lignes directrices relatives aux opérations de lecture et écriture dans le terminal d’un utilisateur (notamment aux cookies et autres traceurs) et recommandation proposant des modalités pratiques de mise en conformité en cas de recours.

_________________________________

 

Comité européen de la protection des données (CEPD-EDPB)

Le CEPD (European Data Protection Board) remplace le groupe de protection des personnes à l’égard du traitement des données à caractère personnel « G29 » créé par l’article 29 de la directive 95/46/CE abrogée par le RGPD. Le comité européen de la protection des données (CEPD-EDPB) se compose de représentants des autorités nationales chargées de la protection des données et du Contrôleur européen de la protection des données (CEPD-EDPS).

Parmi les nouvelles missions qui lui incombe, figurent notamment celles de publier des lignes directrices, des recommandations et des bonnes pratiques sur diverses questions portant sur l’application des exigences de protection des données dans différents secteurs.

• Rapport annuel 2018 (résumé)
• Liste des 29 Autorités nationales chargées de la protection des données

Avis communs au Comité et au Contrôleur CEPD (EDPB et EDPS)

1. Avis commun 1/2021 du 14-01-2021 Clauses contractuelles type : contrats entre responsables du traitement et sous-traitants.

• Joint Opinion 1/2021 on the SCCs (sets of contractual clauses) for contracts between controllers and processors.

2. Avis commun 2/2021 du 14-01-2021 Clauses contractuelles type : transfert de données personnelles vers pays tiers.

• Joint Opinion 2/2021 on the SCCs (sets of contractual clauses) for the transfer of personal data to third countries.

Recommandations

1. Recommandations 01/2019 sur le projet de liste du Contrôleur européen de la protection des données concernant les traitements soumis à l’exigence d’une analyse d’impact sur la protection des données (article 39.4 du règlement (UE) 2018/1725) – adoptée le 10-07-2019.

• Recommendations 01/2019 on the draft list of the European Data Protection Supervisor regarding the processing operations subject to the requirement of a data protection impact assessment (Article 39.4 of Regulation (EU) 2018/1725).

2. Recommandations 01/2020 sur les mesures complétant les outils de transfert pour assurer le respect du niveau de protection des données à caractère personnel de l’UE, V.2.0 du 18-06-2021.

• Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data – V.2.0 18-06-2021.

3. Recommandations 02/2020 sur les garanties essentielles européennes pour les mesures de surveillance, adoptées le 10-11-2020.

• Recommendations 02/2020 on the European Essential Guarantees for surveillance measures – Adopted on 10 November 2020.

4. Recommandations 01/2021 Référentiel d’adéquation en vertu de la directive sur l’application de la loi (LED), adoptées le 02-02-2021.

• Recommendations 01/2021 Adequacy referential under the Law Enforcement Directive (LED) – Adopted on 2 february 2021.

Lignes directrices et bonnes pratiques

1. Lignes directrices 1/2018 sur la certification et l’identification des critères de certification conformément aux articles 42 et 43 du Règlement 2016/679 (V3.0 du 04-06-2019) + Addendum aux lignes directrices 1/2018 : Guide sur l’évaluation des critères de certification (Version du 06-04-2021 pour consultation publique du 14 avril au 26 mai 2021). 

• Guidelines 1/2018 on certification and identifying certification criteria in accordance with Articles 42 and 43 of the Regulation 2016/679 + Addendum to Guidelines 1/2018 : Guidance on certification criteria assessment.

2. Lignes directrices 2/2018 concernant les dérogations prévues à l’article 49 du Règlement 2016/679 (V1 du 25-05-2018).

• Guidelines 2/2018 on derogations of Article 49 under Regulation 2016/679.

3. Lignes directrices 3/2018 sur la portée territoriale du RGPD (article 3) – version adoptée (V2.0 du 12-11-2019).

• Guidelines 3/2018 on the territorial scope of the GDPR (Article 3) – version (V2.1) adopted after public consultation.

4. Lignes directrices 4/2018 relatives à l’agrément des organismes de certification au titre de l’article 43 du RGPD (V3.0 du 04-06-2019).

• Guidelines 4/2018 on the accreditation of certification bodies under Article 43 of the GDPR – version adopted after public consultation.

5. Lignes directrices 1/2019 sur les codes de conduite et les organismes de surveillance au titre du RGPD – version adoptée (V2.0 du 04-06-2019).

• Guidelines 1/2019 on Codes of Conduct and Monitoring Bodies under GDPR – version adopted after public consultation.

5. Lignes directrices 2/2019 sur le traitement des données à caractère personnel au titre de l’article 6, 1, b) du RGPD dans le cadre de la fourniture de services en ligne aux personnes concernées – version adoptée (V2.0 du 08-10-2019).

• Guidelines 2/2019 on the processing of personal data under Article 6(1)(b) GDPR in the context of the provision of online services to data subjects – adopted version.

6. Lignes directrices 3/2019 sur le traitement des données personnelles par le biais d’appareils vidéo – Version adoptée (V2.0 du 29-01-2020).

• Guidelines 3/2019 on processing of personal data through video devices – Adopted after public consultation.

7. Lignes directrices 4/2019 de la protection des données par conception et par défaut de l’article 25 du RGPD – V.2.0. version adoptée du 20-10-2020.

• Guidelines 4/2019 on Article 25 Data Protection by Design and by Default – (20-10-2020) adopted version V.2.0.

8. Lignes directrices 5/2019 sur les critères du droit à l’oubli dans les cas des moteurs de recherche du RGPD (partie 1) – version adoptée (V.2 du 07-07-2020).

• Guidelines 5/2019 on the criteria of the Right to be Forgotten in the search engines cases under the GDPR (part 1) – adopted version.

9. Lignes directrices 1/2020 sur le traitement des données à caractère personnel dans le contexte des véhicules connectés et des applications liées à la mobilité – version pour consultation publique – version adoptée (V.2 du 09-03-2021).

• Guidelines 1/2020 on processing personal data in the context of connected vehicles and mobility related applications – adopted version.

10. Lignes directrices 2/2020 sur les transferts de données à caractère personnel entre les autorités et organismes publics de l’EEE et des pays non membres de l’EEE – V.2.0 version adoptée du 15-12-2020.

• Guidelines 2/2020 on articles 46 (2) (a) and 46 (3) (b) of Regulation 2016/679 for transfers of personal data between EEA and non-EEA public authorities and bodie – (15-12-2020) adopted version V.2.0.

11. Lignes directrices 3/2020 sur le traitement de données concernant la santé à des fins de recherche scientifique dans le contexte de la pandémie de COVID-19, adoptée le 21-04-2020, Version corrigée du 30-04-2020

• Guidelines 03/2020 on the processing of data concerning health for the purpose of scientific research in the context of the COVID-19 outbreak.

12. Lignes directrices 4/2020 relatives à l’utilisation de données de localisation et d’outils de recherche de contacts dans le cadre de la pandémie de COVID-19 – Version adoptée le 21-04-2020.

• Guidelines 04/2020 on the use of location data and contact tracing tools in the context of the COVID-19 outbreak.

13. Lignes directrices 5/2020 sur le consentement selon le RGPD – Version adoptée (V1.1 du 04-05-2020).

• Guidelines 05/2020 on consent under Regulation 2016/679.

14. Lignes directrices eHealth Network Interoperability (13-05-2020).

• Guidelines eHealth Network Interoperability 2020 for approved contact tracing mobile applications in the EU, Adopted by consensus, 13 May 2020.

14 bis. Déclaration sur l’interopérabilité des applications de suivi des contacts.

• Statement on the data protection impact of the interoperability of contact tracing apps, adopted on 16 June 2020.

15. Lignes directrices 6/2020 Interaction de la 2ème directive Services de paiement et du RGPD – V.2.0 version adoptée du 15-12-2020.

• Guidelines 06/2020 on the interplay of the Second Payment Services Directive and the GDPR – (15-12-2020) adopted version V.2.0.

16. Lignes directrices 7/2020 Concepts de responsable du traitement et de sous-traitant dans le RGPD – version adoptée le 02-09-2020.

• Guidelines 07/2020 on the concepts of controller and processor in the GDPR – adopted version.

17. Lignes directrices 8/2020 Ciblage des utilisateurs des médias sociaux – version 2.0 adoptée le 13-04-2021.

• Guidelines 08/2020 on the targeting of social media users – adopted version 2.0.

18. Lignes directrices 09/2020 sur l’objection pertinente et motivée au titre du RGPD – V.2.0 du 09-03-2021.

• Guidelines 09/2020 on relevant and reasoned objection (RRO) under Regulation 2016/679 – adopted V.2.0.

19. Lignes directrices 10/2020 sur les restrictions en vertu de l’article 23 du RGPD – Ouvert aux commentaires du 18-12-2020 au 12-02-2021.

• Guidelines 10/2020 on restrictions under Article 23 GDPR – Open for Feedback (18-12-2020 to 12-02-2021).

20. Lignes directrices 01/2021 sur les exemples concernant la notification de violation de données – version pour consultation publique du 19-01-2021 au 02-03-2021.

• Guidelines 01/2021 on Examples regarding Data Breach Notification – Open for Feedback (19-01-2021 to 02-03-2021).

21. Lignes directrices 02/2021 sur les Agents conversationnels, assistants vocaux virtuels ou chatbots (Version 1.0 pour consultation publique du 09-03-2021)

• Guidelines 2021-02 on Virtual Voice Assistants (Version 1.0 for public consultation, 09-03-2021)

22. Lignes directrices 03/2021 pour l’application de l’article 65, 1, a, du RGPD [« Règlement des litiges par le comité » : décision contraignante du Comité en cas d’objection pertinente et motivée de la part d’une Autorité de contrôle concernée] (Version 1.0 pour consultation publique du 13-04-2021)

• Guidelines 2021-03 on the application of Article 65(1)(a) GDPR (Version 1.0 for public consultation, 13-04-2021)

Lignes directrices et FAQ du G29

Le groupe de l’article 29 (G29) devenu le Comité européen de la protection des données (CEPD-EDPB) a adopté des lignes directrices et des FAQ relatifs aux études d’impact, au droit à la portabilité, au délégué à la protection des données personnelles et à l’autorité chef de file.

Liste des avis du G29 (groupe de travail de l’article 29) approuvés par le CEPD-EDPB

• Endorsement of GDPR WP29 Documents

1. Lignes directrices sur le consentement Remplacées par Guidelines 05/2020 sur le consentement au sens du RGPD

• Guidelines on consent under Regulation 2016/679, WP259 rev.01

2. Lignes directrices sur la transparence telle que prévue par le Règlement 2016/679 (WP 260 du 28 novembre 2017, révisées le 11 avril 2018)

• Guidelines on transparency under Regulation 2016/679, WP260 rev.01

3. Lignes directrices sur le profilage et la prise de décision individuelle  automatisés aux fins du règlement 2016/679 (WP 251 du 3 octobre 2017, révisées le 6 février 2018)

• Guidelines on automated individual decision-making and profiling for the purposes of Regulation 2016/679, WP251 rev.01 

4. Lignes directrices sur la notification de violation de données personnelles en vertu du règlement 2016/679, (WP 250 du 3 octobre 2017, révisées le 6 février 2018)

• Guidelines on Personal data breach notification under Regulation 2016/679, WP250 rev.01 

5. Lignes directrices et FAQ sur le droit à la portabilité des données (WP 242 du 13 décembre 2016, révisées le 5 avril 2017)

• Guidelines on the right to data portability (WP242 rev.01)
• Frequently asked questions WP242 ANNEX

6. Lignes directrices sur les études d’impact vie privée (WP 248 du 4 avril 2017, révisées le 4 octobre 2017)

• Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 (WP248 rev.01)

7. Lignes directrices et FAQ du DPO, délégué à la protection des données (WP 243 du 13 décembre 2016, révisées le 5 avril 2017)

• Guidelines on Data Protection Officers (DPOs) (WP243 rev.01)
• Frequently asked questions WP 243 ANNEX

8. Lignes directrices et FAQ pour l’identification de l’autorité chef de file (WP 244 du 13 décembre 2016, révisées le 5 avril 2017)

• Guidelines for identifying a controller or processor’s lead supervisory authority (WP244 rev.01)
• Frequently asked questions WP 244 ANNEX II

9. Prise de position sur le registre des activités de traitement et les dérogations à l’obligation de conserver des enregistrements en vertu de l’article 30, paragraphe 5, du RGPD, du 19 avril 2018

• Position Paper on the derogations from the obligation to maintain records of processing activities pursuant to Article 30(5) GDPR

10. Document de travail établissant une procédure de coopération pour l’approbation des BCR «règles d’entreprise contraignantes» pour les responsables de traitement et les sous-traitants dans le cadre du GDPR (WP 263 du 11 avril 2018, rév.01)

• Working Document Setting Forth a Co-Operation Procedure for the approval of “Binding Corporate Rules” for controllers and processors under the GDPR, WP 263 rev.01

11. Recommandation sur la demande standard d’approbation des BCR-C, règles d’entreprise contraignantes pour le responsable du traitement, pour le transfert de données à caractère personnel (WP 264 du 11 avril 2018)

• Recommendation on the Standard Application for Approval of Controller Binding Corporate Rules for the Transfer of Personal Data, WP 264

12. Recommandation sur le formulaire type de candidature à l’approbation des BCR-P, règles d’entreprise contraignantes pour les sous-traitants concernant le transfert de données à caractère personnel (WP 265 du 11 avril 2018)

• Recommendation on the Standard Application form for Approval of Processor Binding Corporate Rules for the Transfer of Personal Data, WP 265

13. Document de travail établissant un tableau avec les éléments et les principes figurant dans les BRC-C, Règles d’entreprise contraignantes pour les responsables du traitement (WP 256 du 28 novembre 2017, révisé le 6 février 2018)

• Working Document setting up a table with the elements and principles to be found in Binding Corporate Rules for Controllers, WP 256 rev.01

14. Document de travail établissant un tableau avec les éléments et les principes figurant dans BRC-P, Règles d’entreprise contraignantes pour les sous-traitants (WP 257 du 28 novembre 2017, révisé le 6 février 2018)

• Working Document setting up a table with the elements and principles to be found in Binding Corporate Rules for Processors, WP 257 rev.01

15. Référentiel d’adéquation, Critères de références pour l’adéquation (WP 254 du 28 novembre 2017, révisé le 6 février 2018)

• Adequacy Referential, WP 254 rev.01

16. Lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement 2016/679, (WP 253 du 3 octobre 2017)

• Guidelines on the application and setting of administrative fines for the purposes of the Regulation 2016/679, WP 253

(+) Avis 05/2014 sur les techniques d’anonymisation (WP  216 du 10 avril 2014) NB : la Cnil y fait encore référence en juin 2020.

• G29 Opinion 05/2014 on Anonymisation Techniques, WP216

  _________________________________

Contrôleur européen de la protection des données (CEPD-EDPS)

Le Contrôleur européen de la protection des données (European Data Protection Supervisor) est l’autorité indépendante chargée de la protection des données à caractère personnel et de la vie privée lors du traitement d’informations personnelles par les institutions et organes de l’Union européenne. Il a élaboré des lignes directrices sur différents sujets.

NB : Pour les Avis communs au Comité et au Contrôleur CEPD (EDPB et EDPS), voir la rubrique précédente sur le Comité.

Lignes directrices

1. Lignes directrices sur le traitement des renseignements personnels dans les enquêtes administratives et les procédures disciplinaires adoptées le 18 novembre 2016 :

• Guidelines on processing personal information in administrative inquiries and disciplinary proceedings (adopted on 18 November 2016)

2. Lignes directrices sur la protection des données personnelles traitées par les applications mobiles fournies par les institutions de l’Union européenne adoptées le 7 novembre 2016 :

• Guidelines on the protection of personal data processed by mobile applications provided by European Union institutions (adopted on 7 November 2016)

3. Lignes directrices sur la protection des données personnelles traitées par les services Web fournis par les institutions de l’UE adoptées le 7 novembre 2016 :

• Guidelines on the protection of personal data processed through web services provided by EU institutions (adopted on 7 November 2016)

4. Lignes directrices relatives au traitement d’informations à caractère personnel dans le cadre d’une procédure d’alerte éthique adoptées le 16 juillet 2016 :

• Guidelines on processing personal information within a whistleblowing procedure (adopted on 16 July 2016)

Documents complémentaires

1. Guide sur les mesures de sécurité relatives au traitement des données à caractère personnel – Article 22 du règlement 45/2001 relatif à l’accès du public aux documents du Parlement européen, du Conseil et de la Commission :

• Guidance Security Measures for Personal Data Processing Article 22 of Regulation 45/2001 (21 March 2016)

2. Rapport annuel 2018 du CEPD-EDPS Contrôleur Européen de la protection des données
et son résumé en français.

3. Rapport annuel 2019 du CEPD-EDPS Contrôleur Européen de la protection des données
et son résumé en français.

4. Stratégie du CEPD-Contrôleur du 29-10-2020, pour se conformer au jugement Schrems II (Strategy for Union institutions, offices, bodies and agencies to comply with the ‘‘Schrems II’’ Ruling)

_________________________________

Lignes directrices des DPA européennes

Les DPA (Data Protection Authority) sont les autorités nationales chargées de la protection des données personnelles pour chaque pays, telles que la Cnil pour la France ou le CEPD-EDPS pour l’Union européenne.

• Data sharing code of practice, Information Commissioner’s Office, May 2011

Il s’agit d’un code regroupant un ensemble de recommandations de bonne conduite concernant le partage de données personnelles, élaboré par l’ICO, le DPA britannique, en application de la loi nationale sur la protection des données. La pertinence de ce code sur ce point en fait un document de référence qui peut être aisément transposé en application du RGPD/GDPR. Il fournit des conseils pratiques à toutes les organisations, qu’il s’agisse de secteur public ou privé, qui partagent, ponctuellement ou régulièrement, des données personnelles afin de les aider à collecter et à partager des données personnelles d’une manière juste, transparente et conforme aux droits et aux attentes des personnes concernées.