Trilogue/ Trilogue Data protection

⚠ Travail en cours

Cette page présente un contenu en cours de réalisation.

Si vous souhaitez participer, n'hésitez pas à laisser votre avis sur la page de discussion en suivant au mieux ces recommandations.

Rappel des étapes de l'adoption du Règlement sur les données personnelles :

• Proposition d'un Règlement général sur la protection des données adopté par le Parlement, le 25 janvier 2012 pour remplacer la Directive 95/46/EC. Ce règlement est complété par une Directive sur le traitement des données 5833/12, adoptée par le Parlement également et en attente de lecture au Conseil.
• Le Parlement européen a adopté, en première lecture, le Règlement et la directive, le 12 mars 2014.
• Le Conseil de l'UE adopte son approche générale ("General Approach") du règlement, le 15 juin 2015.

Les trilogues ou négociations entre les institutions européennes ont débuté le 24 juin 2015. Plusieurs réunions en trilogue sont prévues les mois prochains afin de traiter les différents chapitres du Règlement.

Le trilogue du 14 juillet a porté sur les points suivants :

• Article 3(2) – Champ territorial
• Article 4 – Définitions, en particulier le paragraphe(14) sur les représentants
• Article 25 – Les représentants des responsables de traitement non-établis dans l'UE
• Chapitre V – Les transferts de données personnelles aux pays tiers et organisations internationales

Article 3(2) – Champ territorial

Parlement européen	Conseil de l'Union européenne	Tentative d'accord du trilogue
1.This Regulation applies to the processing of personal data in the context of the activities of an establishment of a controller or a processor in the Union, whether the processing takes place in the Union or not.	1.This Regulation applies to the processing of personal data in the context of the activities of an establishment of a controller or aprocessor in the Union.	1.This Regulation applies to the processing of personal data in the context of the activities of an establishment of a controller or a processor in the Union, regardless of whether the processing takes place in the Union or not.

Le texte adopté par le Parlement européen étendait déjà le champ de son application territoriale par rapport à la proposition de la Commission. Le Règlement avait ainsi vocation à s'appliquer « que le traitement des données ait lieu ou pas dans l’Union » (article 3§1). Le Conseil de l'Union européenne efface cette mention. Cela crée un vide juridique concernant la délocalisation des traitements. Il s'agit ainsi des sous-traitants situés dans des pays extérieurs à l'Union, tandis que le siège du responsable est au sein de l'Union européenne. Dans la même idée, la mention de "sous-traitant" est retirée plus loin (article 3§2), dans les cas où les activités de traitement concernent les personnes résidant dans l'Union européenne. La tentative d'accord souhaite conserver la proposition plus protectrice du Parlement européen.

Parlement européen	Conseil de l'Union européenne	Tentative d'accord du trilogue
2. This Regulation applies to theprocessing of personal data of data subjects in the Union by a controller or processor not established in the Union, where the processing activities are related to: (a) the offering of goods or services, irrespective of whether a payment of the data subject is required, to such data subjects in the Union; or (b) the monitoring of such data subjects	2.This Regulation applies to thenprocessing of personal data of data subjects residing in the Union by a controller not established in the Union, where the processing activities are related to: (a) the offering of goods or services, irrespective of whether a payment by the data subject is required, to such data subjects in the Union; or (b) the monitoring of their behaviour as far as their behaviour takes place within the European Union.	2. This Regulation applies to the processing of personal data of data subjects present in the Union by a controller or processor not established in the Union, where the processing activities are related to: (a) the offering of goods or services, irrespective of whether a payment of the data subject is required, to such data subjects in the Union; or (b) the monitoring of their behaviour as far as their behaviour takes place within the European Union.

Le Règlement, dans la version du Parlement, s'applique également au responsable du traitement des données ou à un sous-traitant, non-établis dans l'Union, lorsque leurs activités de traitement concernent les personnes résidant dans un pays de l'Union européenne (article 3§2). Le §2 admet cependant l'application du texte sur le traitement des données des personnes concernées résidant au sein de l'Union lorsque le responsable n'est pas établi dans l'Union, lorsque les activités de traitement concernent l'offre de biens ou de services, ou concernent la surveillance de leur comportement, lorsque ces comportements sont observés au sein de l'Union. La surveillance du comportement d'un utilisateur signifie que ce dernier est "suivi" sur internet au moyen de techniques de traitement des données qui consistent au profilage d'un individu pour prendre des décisions le concernant, ou pour analyser voire prédire son ou ses préférences personnelles, son comportement et ses attitudes (considérant 21).