Recommandation de la Commission du 1 er mars 2011 concernant les lignes directrices régissant l’application de règles relatives à la protection des données au système de coopération en matière de protection des consommateurs (SCPC) (2011/136/UE) LA COMMISSION DES COMMUNAUTÉS EUROPÉENNES, vu le traité sur le fonctionnement de l’Union européenne et notamment son article 292, Considérant ce qui suit: (1) Le règlement (CE) n o 2006/2004 du Parlement européen et du Conseil du 27 octobre 2004 relatif à la coopération entre les autorités nationales chargées de veiller à l’application de la législation en matière de protection des consommateurs ( « Règlement relatif à la coopération en matière de protection des consommateurs » ) (ci-après « le règlement CPC » ) vise à renforcer la coopération dans l’application de la législation concernant la protection des consommateurs dans le marché unique, à mettre en place un réseau communautaire d’autorités publiques nationales chargées de veiller à son application (ci-après le « réseau CPC » ) et à définir le cadre et les conditions générales en vertu desquelles les autorités des États membres chargées de veiller à l’application de la législation sont tenues de coopérer pour protéger l’intérêt économique collectif des consommateurs.
(2) La coopération entre autorités nationales chargées de veiller à l’application de la législation est cruciale pour un fonctionnement efficace du marché unique. Conformément au réseau CPC, toute autorité peut en appeler d’autres à l’aide pour enquêter sur d’éventuelles infractions à la législation de l’Union européenne sur la protection des consommateurs. (3) Le système de coopération en matière de protection des consommateurs (ci-après le « SCPC » ) vise à permettre aux autorités publiques chargées de veiller à l’application de la législation d’échanger dans un environnement sûr des informations sur d’éventuelles infractions à la législation sur la protection des consommateurs.
(4) L’échange d’informations par voie électronique entre États membres doit être conforme aux règles relatives à la protection des données à caractère personnel, règles énoncées dans la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après « la directive relative à la protection des données » ) et dans le règlement (CE) n o 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (ci-après « le règlement relatif à la protection des données » ).
(5) L’article 8 de la Charte des droits fondamentaux de l’Union européenne reconnaît le droit à la protection des données. Le SCPC doit veiller à ce que les diverses obligations et responsabilités incombant tant à la Commission qu’aux États membres en matière de protection des données soient clairement définies et à ce que les personnes concernées par les données puissent disposer de l’information et des mécanismes leur permettant d’affirmer leurs droits. (6) Il convient d’établir des lignes directrices pour l’application des règles relatives à la protection des données dans le cadre du SCPC (ci-après « les lignes directrices » ) afin de garantir que ces règles sont respectées lors du traitement des données par le système.
(7) Les responsables de l’application de la législation doivent être encouragés à prendre contact avec leurs autorités nationales chargées du contrôle de la protection des données pour leur demander aide et conseils sur le meilleur moyen d’appliquer les lignes directrices conformément à la législation nationale et, le cas échéant, pour s’assurer que la notification et les procédures de contrôle préalables des opérations de traitement prévues dans le cadre du SCPC sont menées au niveau national. (8) La participation aux séances de formation organisées par la Commission pour faciliter l’application des lignes directrices doit être fortement encouragée.
(9) Un retour d’informations concernant l’application des lignes directrices est fourni à la Commission, au plus tard deux ans après l’adoption de la présente recommandation. La Commission examine alors le niveau de protection des données dans le SCPC et décide si des dispositions supplémentaires, y compris des mesures réglementaires, sont nécessaires. (10) Il convient de prendre les mesures nécessaires pour faciliter l’application des lignes directrices par les opérateurs et les utilisateurs du SCPC. Les autorités nationales chargées de la protection des données et le contrôleur européen de la protection des données assureront un suivi rigoureux de l’évolution et de l’application des mécanismes de protection des données dans le contexte du SCPC.
(11) Les lignes directrices complètent la décision 2007/76/CE de la Commission et tiennent compte des recommandations du groupe de protection des personnes à l’égard du traitement des données à caractère personnel institué par l’article 29 de la directive relative à la protection des données, ainsi que de l’avis du Contrôleur européen de la protection des données (ci-après « le CEPD » ) institué par l’article 41 du règlement relatif à la protection des données. A ADOPTÉ LA PRÉSENTE RECOMMANDATION: Les États membres sont invités à suivre les lignes directrices établies en annexe.
Fait à Bruxelles, le 1 er mars 2011 . Par la Commission John Dalli Membre de la Commission L 057 2011 FR 44 1 01 20110301 FR 0008.0001 46 1 53 8 ANNEXE Lignes directrices régissant l’application de règles relatives à la protection des données dans le système de coopération en matière de protection des consommateurs (SCPC) 1. INTRODUCTION La coopération entre les autorités nationales chargées de veiller à la protection des consommateurs a une importance fondamentale pour le bon fonctionnement du marché intérieur, étant donné que toute application insuffisante de la législation dans les relations transfrontalières mine la confiance des consommateurs, lesquels hésitent à accepter des offres transfrontalières et, partant, la confiance des mêmes consommateurs dans le marché intérieur, tout en entraînant aussi une distorsion de la concurrence.
Le SCPC est un outil informatique créé par le règlement CPC. Il fournit aux autorités nationales qui sont chargées de veiller à la protection des consommateurs et qui appartiennent au réseau CPC un mécanisme structuré d’échange d’informations. Il permet à toute autorité publique de requérir l’aide d’autres pouvoirs publics membres du réseau CPC pour enquêter sur d’éventuelles infractions à la législation communautaire en matière de protection des consommateurs, les réprimer et mettre ainsi un terme aux pratiques commerciales illégales de commerçants et de fournisseurs qui ciblent les consommateurs résidant dans d’autres États membres de l’Union européenne.
Il est utilisé entre autorités publiques compétentes pour toute demande d’information et toute communication sur l’application du règlement CPC. Le règlement CPC vise à renforcer l’application de la législation en matière de protection des consommateurs dans l’ensemble du marché intérieur grâce à la mise en place d’un réseau, à travers toute l’Europe, d’autorités nationales chargées de veiller à l’application de cette législation, et à définir les conditions régissant la coopération mutuelle entre États membres. Il prévoit que les échanges d’informations et les demandes d’assistance mutuelle entre autorités nationales, responsables de l’application, doivent être effectués par le biais d’une base de données déterminée.
En conséquence, le SCPC a été conçu pour faciliter cette coopération administrative et l’échange d’informations, en vue d’appliquer la législation communautaire en matière de protection des consommateurs. L’étendue de la coopération est limitée aux contraventions intracommunautaires aux actes juridiques énumérés dans l’annexe du règlement CPC, conçu pour protéger les intérêts économiques collectifs des consommateurs. 2. CHAMP D’APPLICATION ET OBJECTIF DES LIGNES DIRECTRICES Les présentes lignes directrices visent à répondre à une préoccupation majeure: assurer l’équilibre entre, d’une part, la coopération effective et efficace entre autorités compétentes des différents États membres, pour ce qui est de l’application de la législation et, d’autre part, le respect du droit fondamental à la vie privée et à la protection des données à caractère personnel.
Une donnée à caractère personnel est définie par la directive relative à la protection des données comme toute information concernant une personne physique identifiée ou identifiable; une personne identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment par un numéro d’identification ou un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale. Étant donné que les responsables nationaux de l’application de la législation (c’est-à-dire les préposés au traitement) qui utilisent le SCPC ne sont pas toujours des experts de la protection des données et qu’ils peuvent être insuffisamment informés des exigences de leur législation nationale en la matière, il est recommandé de fournir aux utilisateurs du SCPC des lignes directrices expliquant le fonctionnement du système d’un point de vue pratique et de préciser les garanties prévues par le système, ainsi que les risques liés à son utilisation.
L’objectif des lignes directrices est de traiter les principales problématiques associées à la protection des données dans le contexte du SCPC et de fournir des explications facilement exploitables auxquelles tous les utilisateurs du SCPC peuvent se référer. Elles ne visent toutefois pas à analyser dans le détail les implications du SCPC en matière de protection des données. Il est fortement recommandé de consulter les autorités responsables de la protection des données dans les États membres pour veiller à ce que ces recommandations soient complétées par des obligations spécifiques prévues dans la législation nationale sur la protection des données.
Les utilisateurs du SCPC peuvent aussi obtenir conseils et assistance auprès de ces autorités nationales pour s’assurer que les exigences en la matière sont respectées. La liste de ces autorités ainsi que les coordonnées des responsables et des sites web peut être consultée sur: http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/#eu Il convient, de toute évidence, de traiter les données à caractère personnel dans le respect des principes et conditions spécifiques établis par la directive relative à la protection des données. Dans le cadre du règlement CPC, les préposés au traitement ont le droit d’échanger des données, y compris des données à caractère personnel, grâce au SCPC si le traitement de ces données vise à mettre fin à une infraction à la législation communautaire en matière de protection des consommateurs telle qu’elle figure à l’annexe au règlement CPC.
Néanmoins, avant de traiter ces données, il convient d’examiner attentivement si les principes de protection des données sont respectés et si le traitement de ces données est absolument nécessaire pour atteindre les objectifs du règlement CPC. Compte tenu de ce qui précède, les préposés au traitement ayant accès au SCPC devront analyser chaque cas avant de procéder . Les présentes lignes directrices visent à aider les préposés au traitement à effectuer cette évaluation, en leur fournissant quelques principes directeurs à prendre en compte concernant la protection des données.
Enfin, les présentes lignes directrices visent aussi à clarifier certains des aspects complexes de la structure du SCPC relatifs aux opérations de traitement et de contrôle conjoints; à cet effet, elles définissent les rôles respectifs de la Commission et des autorités compétentes des États membres en tant que « contrôleurs conjoints » des échanges de données effectués grâce au SCPC. 3. LE SCPC – UN OUTIL ÉLECTRONIQUE DE COOPÉRATION EN MATIÈRE D’APPLICATION DE LA LÉGISLATION Le SCPC est un outil électronique conçu et géré par la Commission, en coopération avec les États membres.
Il est destiné à aider ces derniers à appliquer dans la pratique la législation communautaire sur la protection des consommateurs. Il est utilisé par le réseau CPC, qui est constitué d’autorités publiques nommées par les États membres et les pays de l’EEE, pour coopérer et échanger des informations relatives à l’application de la législation sur la protection des consommateurs, telle qu’elle est prévue par le règlement CPC. L’article 10 du règlement CPC dispose ce qui suit: « La Commission gère une base de données électronique, dans laquelle elle stocke et traite les informations qu’elle reçoit en vertu des articles 7, 8 et 9.
La base de données est mise uniquement à la disposition des autorités compétentes à des fins de consultation […]. » L’article 12, paragraphe 3, du même règlement ajoute ceci: « Les demandes d’assistance et toutes les transmissions d’informations se font par écrit au moyen d’un formulaire standard et sont transmises par voie électronique, via la base de données visée à l’article 10. » Le SCPC facilite la coopération et les échanges d’informations limités aux contraventions intracommunautaires aux directives et aux règlements qui figurent à l’annexe du règlement CPC et qui traitent de divers sujets, dont les pratiques commerciales déloyales, la vente à distance, le crédit à la consommation, les voyages à forfait, les clauses abusives, l’achat en temps partagé, le commerce électronique, etc.
Le SCPC ne peut être utilisé pour les échanges d’informations dans les domaines de la législation qui ne sont pas spécifiquement mentionnés dans cette annexe. Exemples: I. un commerçant établi en Belgique utilise des clauses abusives lorsqu’il traite avec des consommateurs résidant en France, en violation de la directive « Clauses abusives » . L’autorité responsable des consommateurs en France peut recourir au SCPC pour demander à l’autorité responsable des consommateurs en Belgique de prendre toutes les mesures d’application nécessaires et inscrites dans la législation belge à l’encontre du commerçant et de mettre un terme à l’infraction intracommunautaire dans les meilleurs délais;
II. l’autorité responsable des consommateurs du Danemark reçoit des plaintes selon lesquelles un site web particulier a recours à des pratiques commerciales frauduleuses et trompeuses au détriment de consommateurs. Le site web est hébergé en Suède. L’autorité responsable des consommateurs du Danemark a besoin d’informations à son sujet. Elle peut donc utiliser le SCPC pour demander des informations à l’autorité responsable des consommateurs en Suède, qui est tenue de les lui fournir. Des informations sont téléchargées par les États membres, stockées dans le SCPC, consultées par l’État membre auquel l’information était adressée, puis supprimées par la Commission .
Le SCPC sert de répertoire et de moyen d’échange d’informations, grâce à un système de communication efficace et sûr. Du point de vue de la protection des données, la création d’une telle base de données est nécessairement associée à certains risques concernant le droit fondamental à la protection des données, notamment les aspects suivants: le partage d’un plus grand nombre d’informations que le strict nécessaire pour assurer une coopération efficace, la conservation de données qui auraient dû être supprimées ou qui ne sont plus exactes ou correctes, et le non-respect des droits des personnes concernées et des obligations des contrôleurs des données.
En conséquence, il convient de traiter ces risques en s’assurant que les utilisateurs du SCPC sont bien informés et formés concernant les règles de protection des données, et qu’ils sont capables de veiller au respect de la législation applicable en matière de protection des données. 4. LA PROTECTION DES DONNÉES: UN CADRE DE LOIS ET DE CONTRÔLE L’Union européenne dispose d’un cadre législatif établi depuis 1995: la directive relative à la protection des données , qui régit le traitement des données à caractère personnel par les États membres, et le règlement relatif à la protection des données , qui régit le traitement des données à caractère personnel par les institutions et organes communautaires.
À l’heure actuelle, les modalités d’application de la législation en matière de protection des données dépendent de l’identité de l’opérateur ou de l’utilisateur du SCPC. Le traitement des données effectué par la Commission est régi par le règlement relatif à la protection des données, tandis que celui qui est effectué par les préposés au traitement dans les services des autorités nationales compétentes en matière d’application de la législation est régi par les lois nationales transposant la directive relative à la protection des données. Dès lors que la Commission et les autorités compétentes désignées sont les deux opérateurs principaux, en tant que contrôleurs conjoints, investis de rôles spécifiques à assumer au sein du SCPC, elles sont tenues de notifier et de présenter leurs opérations de traitement respectives aux autorités de contrôle compétentes pour les soumettre à un contrôle préalable et garantir le respect des règles en matière de protection des données.
Cela étant, les actes nationaux qui transposent la directive relative à la protection des données peuvent prévoir des dérogations aux obligations de notification et de contrôle préalable. L’harmonisation de la législation sur la protection des données visait tout à la fois à garantir un niveau élevé de protection des données et à préserver les droits fondamentaux des personnes physiques, tout en permettant la libre circulation des données à caractère personnel entre États membres. Étant donné que les mesures nationales d’application peuvent entraîner l’adoption de règles divergentes, il est vivement conseillé aux utilisateurs du SCPC, en vue de garantir le respect des règles en matière de protection des données, de discuter des présentes lignes directrices avec les autorités nationales compétentes en matière de protection des données, car les règles peuvent varier, par exemple, en ce qui concerne les informations à fournir aux personnes physiques ou l’obligation de notifier certaines opérations de traitement des données aux autorités chargées de veiller à la protection de celles-ci.
Le fait que le cadre législatif communautaire régissant la protection des données est contrôlé par des autorités indépendantes constitue une caractéristique importante. Les individus ont le droit de déposer des plaintes auprès de ces autorités et d’obtenir toutes les assurances voulues quant à la protection de leurs données sans devoir aller en justice. Au niveau national, le traitement des données à caractère personnel est surveillé par les autorités chargées de veiller à la protection des données; au niveau des institutions européennes, il est surveillé par le Contrôleur européen de la protection des données (CEPD) .
En conséquence, la Commission est soumise au contrôle du CEPD, alors que les autres utilisateurs du SCPC sont soumis au contrôle des autorités nationales chargées de veiller à la protection des données. 5. QUI FAIT QUOI DANS LE SCPC? – LA QUESTION DU CONTRÔLE CONJOINT Le SCPC est un exemple clair de traitement de données et de contrôle conjoints. Seules les autorités compétentes nationales recueillent, enregistrent, communiquent et échangent des données à caractère personnel, certes, mais le stockage et la suppression de ces données sur les propres serveurs du système relève de la responsabilité de la Commission.
Ainsi, cette dernière n’a pas accès aux données à caractère personnel et est davantage considérée comme le gestionnaire et l’opérateur du système. En conséquence, la répartition des diverses tâches et responsabilités entre la Commission et les États membres peut être résumée comme suit: chaque autorité compétente assume le rôle de contrôleur des données en ce qui concerne ses propres activités de traitement des données, la Commission n’est pas l’utilisateur, mais l’opérateur du système: elle est essentiellement responsable de l’entretien et de la sécurité de la structure de celui-ci; néanmoins, elle a aussi accès aux alertes, aux informations de retour et à d’autres informations liées à des affaires traitées .
L’accès de la Commission a pour objectif la surveillance de l’application du règlement CPC et la législation visée à son annexe concernant la protection des consommateurs, ainsi que la compilation de données statistiques relatives à l’exécution de ces tâches. La Commission n’a cependant pas accès aux informations contenues dans les demandes d’assistance mutuelle ou d’application, puisque ces demandes s’adressent uniquement aux autorités compétentes des États membres traitant de l’affaire en question; Cependant, le règlement CPC ne prévoit pas la possibilité, pour la Commission, de prêter assistance aux autorités compétentes en cas de litige et d’être invitée à participer à des enquêtes coordonnées concernant plus de deux États membres , les différents acteurs du SCPC partagent la responsabilité de la légitimité du traitement de données, de la fourniture d’informations, des droits d’accès, des objections et des rectifications, il incombe tant à la Commission qu’aux autorités compétentes, lorsqu’elles assument leur rôle de contrôleur, de veiller à ce que les règles qu’elles appliquent à leurs opérations de traitement soient compatibles avec celles qui sont prévues pour la protection des données.
6. OPÉRATEURS ET UTILISATEURS DU SCPC Le SCPC prévoit différents types d’accès. En effet, l’accès à la base de données est limité aux seuls préposés désignés par l’autorité compétente (utilisateurs authentifiés); il n’est pas transférable. Les demandes d’accès au SCPC ne peuvent être octroyées qu’aux préposés désignés à la Commission par les autorités compétentes des États membres. Un nom d’utilisateur et un mot de passe sont nécessaires pour entrer dans le système. Ils peuvent être obtenus auprès du bureau de liaison unique. Seuls les utilisateurs travaillant pour les services compétents des autorités requises et requérantes compétentes peuvent accéder sans restriction à l’ensemble des informations échangées dans tel ou tel autre cas, y compris à tous les documents joints au dossier enregistré dans le SCPC.
Les bureaux de liaison uniques ne sont habilités qu’à accéder aux principales informations. Ils peuvent ainsi déterminer l’autorité compétente à laquelle ils doivent adresser la requête. Ils ne peuvent accéder aux documents confidentiels accompagnant une requête ou une alerte. Dans les affaires traitant d’application de la législation, des informations générales sont partagées entre les utilisateurs de toutes les autorités compétentes, désignées comme responsables des actes législatifs auxquels il a été contrevenu. Ce partage se fait via les notifications. Celles-ci décrivent brièvement l’affaire en évitant de mentionner des données à caractère personnel.
Il existe des exceptions à cette règle, comme le nom du vendeur ou du fournisseur (s’il s’agit d’une personne physique). La Commission n’a accès ni aux informations, ni aux demandes d’application, ni même aux documents confidentiels, mais elle reçoit les notifications et les alertes. 7. PRINCIPES DE LA PROTECTION DES DONNÉES APPLICABLES AUX ÉCHANGES D’INFORMATIONS Le traitement des données à caractère personnel par les utilisateurs du SCPC des États membres ne peut être effectué que dans certaines conditions et conformément aux principes établis par la directive. Il incombe au Contrôleur des données de s’assurer du respect des principes applicables à la protection des données, lorsque des données à caractère personnel sont traitées grâce au SCPC.
Il convient aussi de noter que les règles en matière de confidentialité et de protection des données s’appliquent au SCPC. Les règles relatives à la confidentialité et celles qui concernent le secret professionnel peuvent être appliquées aux données en général, tandis que les règles sur la protection des données sont limitées aux données à caractère personnel. Il importe d’avoir à l’esprit que les utilisateurs du SCPC dans les États membres sont responsables de nombreuses autres opérations de traitement sans pour autant être des experts de la protection des données.
Le respect de la protection des données dans le SCPC ne doit pas être inutilement compliqué ou entraîner une charge administrative excessive. Le SCPC ne doit pas non plus faire office de système unique et passe- partout. Les présentes lignes directrices sont des recommandations sur le traitement des données à caractère personnel. Cependant, il convient de rappeler que toutes les données échangées via le SCPC ne sont pas nécessairement des données à caractère personnel. Préalablement à tout téléchargement d’informations dans le SCPC, les responsables de l’application doivent se poser la question de savoir si les données à caractère personnel à envoyer sont absolument nécessaires pour l’efficacité de la coopération; ils doivent aussi se demander qui sera le destinataire de ces données.
Les responsables de l’application doivent aussi chercher à savoir si le destinataire reçoit strictement ces informations pour une alerte ou pour une requête d’assistance mutuelle. La liste de principes fondamentaux qui suit vise à aider les responsables de l’application ayant accès au SPCS à vérifier, cas par cas, si les règles applicables à la protection des données et liées au traitement des données à caractère personnel sont respectées chaque fois qu’ils traitent des données à caractère personnel dans le système. Ces responsables doivent également tenir compte du fait que l’application de ces principes, énumérés ci-dessous, peut faire l’objet d’exceptions et de limitations au niveau national.
En conséquence, il leur est recommandé de consulter les autorités compétentes en matière de protection des données de leur pays . Quels sont les principes de protection des données à observer? Les principes généraux de protection des données qu’il convient de considérer avant d’entreprendre le traitement de toute donnée à caractère personnel s’inspirent de la directive relative à la protection des données. Cette directive ayant été transposée dans le droit national, il est rappelé aux préposés au traitement des affaires qu’ils doivent consulter leurs autorités nationales chargées du contrôle de la protection des données sur l’application des principes énumérés ci-après.
Il leur est aussi conseillé de vérifier si des exceptions ou des limitations sont applicables à ces principes. Principe de transparence Conformément à la directive relative à la protection des données, la personne dont des données à caractère personnel font l’objet d’un traitement a le droit d’en être informée. Le préposé au traitement est tenu de divulguer son identité et son adresse et d’indiquer la finalité du traitement, les destinataires des données, ainsi que toute autre information requise pour garantir le traitement loyal des données . Le traitement des données ne peut être effectué que dans les circonstances suivantes : la personne concernée y consent, il est nécessaire à l’exécution ou à la conclusion d’un contrat, il est nécessaire au respect d’une obligation légale, il est nécessaire à la sauvegarde de l’intérêt vital de la personne, il est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le préposé au traitement ou le tiers auquel les données sont communiquées, il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le préposé au traitement ou par le ou les tiers auxquels les données sont communiquées.
Principe de traitement licite et loyal Les données à caractère personnel ne peuvent être recueillies ou traitées de manière illicite ou déloyale. Elles ne doivent pas non plus être utilisées à des fins incompatibles avec les objectifs définis dans le règlement CPC. Pour que le traitement soit licite, les préposés du traitement doivent s’assurer que le besoin de procéder au traitement est clairement justifié. Le traitement doit se faire pour des finalités déterminées, explicites et légitimes et ne peut être approfondi de manière incompatible avec ces finalités . Ces raisons ne peuvent se trouver que dans le règlement CPC.
Pour que le traitement soit loyal, les personnes concernées par les données doivent être informées des finalités du traitement des données et de leurs droits d’accès, de rectification et d’objection. Principe de proportionnalité, principe d’exactitude et périodes de conservation Les informations doivent être proportionnées, adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont recueillies ou traitées plus avant. Les données sont exactes et mises à jour s’il y a lieu; toutes les mesures raisonnables doivent être prises pour garantir que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles ont été collectées ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées; les données à caractère personnel doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées.
Des garanties appropriées doivent être fournies par le système pour les données à caractère personnel qui sont conservées au-delà de la période précitée, à des fins historiques, statistiques ou scientifiques. Les préposés au traitement doivent s’assurer que les informations qu’ils traitent sont strictement nécessaires au regard des finalités poursuivies. Principe de limitation de la finalité Les données à caractère personnel doivent être collectées à des fins déterminées, explicites et légitimes. La finalité des traitements ultérieurs à la collecte ne peut être incompatible avec celle qui a été initialement spécifiée à la personne concernée.
Les préposés au traitement ne doivent traiter de données à caractère personnel que s’il existe une finalité clairement établie pour ce faire: par exemple, lorsque le règlement CPC prévoit des raisons juridiques justifiant le transfert de données. Droits d’accès Conformément à la directive relative à la protection des données , il convient d’informer les personnes concernées que des données les concernant sont traitées, de leur indiquer la finalité du traitement auquel les données sont destinées, de leur indiquer aussi les destinataires des données et de les informer de leurs droits spécifiques, notamment le droit d’accès aux données les concernant et de rectification de ces données.
La personne concernée a le droit d’accéder à toutes les données traitées la concernant. Elle peut également demander la rectification, l’effacement ou le verrouillage des données incomplètes, inexactes ou dont le traitement n’est pas conforme aux règles de protection des données . Données sensibles Il est interdit de traiter des données à caractère personnel révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou encore, l’appartenance syndicale, ainsi que des données sur la santé et la vie sexuelle, les infractions et les condamnations pénales.
Cependant, la directive relative à la protection des données prévoit certaines exceptions à cette règle, puisque des données sensibles peuvent être traitées à certaines conditions . La prudence est conseillée aux utilisateurs du SCPC, qui peuvent être confrontés à une situation où ils doivent traiter des données sensibles . Il leur est aussi recommandé de consulter l’autorité nationale responsable de la protection des données pour savoir si des dérogations ont éventuellement été prévues pour le traitement des données sensibles. Exceptions Dans le contexte de la prévention, de l’investigation, de la détection et de la poursuite d’infractions pénales, la directive relative à la protection des données prévoit des exceptions.
Il est recommandé aux préposés au traitement de consulter la législation nationale pour savoir si de telles exceptions sont possibles, et dans quelle mesure . Si c’est le cas, elles doivent être clairement indiquées dans les déclarations de confidentialité de chaque autorité compétente. Application des principes de protection des données L’application de ces principes de protection des données au fonctionnement du SCPC entraîne les recommandations suivantes: 1) l’utilisation du SCPC doit être strictement limitée aux finalités prévues par le règlement CPC. L’article 13, paragraphe 1, du règlement CPC dispose que les informations communiquées ne peuvent être utilisées que pour garantir le respect des lois qui protègent les intérêts des consommateurs.
Ces dispositions sont reprises en annexe au règlement CPC; 2) il est recommandé aux préposés au traitement de n’utiliser l’information obtenue grâce à une requête d’assistance mutuelle ou à une alerte qu’à des fins liées à cette requête spécifique, dans le strict respect des dispositions légales applicables à la protection des données et après avoir évalué la nécessité du traitement des données concernées dans le contexte des recherches menées dans l’intérêt général; 3) lors d’un transfert de données, les préposés au traitement doivent procéder à une évaluation cas par cas pour déterminer quels devraient être les destinataires de l’information à traiter;
4) les utilisateurs du SCPC doivent choisir minutieusement les questions qu’ils posent dans la requête d’assistance mutuelle et ne pas demander plus d’informations que nécessaire. Il ne s’agit pas uniquement de respecter les principes de qualité des données, mais de réduire la charge administrative; 5) la directive relative à la protection des données demande que les données à caractère personnel soient exactes et mises à jour. Elle dispose qu’il incombe à l’autorité compétente ayant fourni les informations de veiller à garantir la précision des données stockées dans le SCPC.
Des incrustations ont été préalablement enregistrées dans le SCPC pour rappeler régulièrement aux préposés au traitement de vérifier si les données à caractère personnel sont exactes et à jour; 6) une façon pratique d’informer de leurs droits les personnes concernées par les données consiste à créer une page web exposant en détail la politique de confidentialité. Il est recommandé que chaque autorité compétente prévoie une page web exposant sa politique de confidentialité. Chaque déclaration de confidentialité doit être conforme aux obligations d’information établies par la directive relative à la protection des données, comporter un lien vers la page web exposant la politique de confidentialité de la Commission et fournir des détails complémentaires, notamment les coordonnées de contact de l’autorité compétente concernée ainsi que toutes les limitations au droit d’accès ou d’information, prévues au niveau national.
Il incombe à tous les contrôleurs des données concernés de s’assurer de la publication des remarques exposant la politique de confidentialité; 7) une personne concernée par des données peut demander l’accès, la rectification et la suppression de ses données à caractère personnel auprès de plusieurs sources différentes. Bien que chaque autorité compétente assume, en tant que contrôleur des données, la responsabilité des opérations de traitement qu’elle effectue, il convient de pouvoir donner une réponse coordonnée aux requêtes de nature transfrontalière. Dans de tels cas, il est recommandé que les autorités compétentes informent leurs homologues de la réception de la requête.
Si une autorité compétente considère que le fait d’accéder à une requête peut avoir un effet sur une enquête ou sur une procédure d’exécution menée par d’autres autorités compétentes, elle doit demander l’opinion de ces dernières avant de satisfaire à la requête. Une personne concernée par des données peut aussi adresser sa requête à la Commission. Celle-ci ne peut satisfaire à une requête que pour des données auxquelles elle a accès. Lors de la réception de la requête, la Commission doit consulter l’autorité compétente qui a fourni l’information. Si aucune objection n’est formulée ou si l’autorité compétente ne répond pas dans un délai raisonnable, la Commission peut décider d’accéder à la requête ou de la rejeter en vertu du règlement concernant la protection des données.
La Commission doit aussi consulter les autorités compétentes lorsque le fait de satisfaire à la requête est susceptible d’avoir des conséquences pour leurs activités de recherche ou d’exécution. Il convient que la Commission détermine si l’intégration de fonctionnalités supplémentaires dans le SCPC pourrait faciliter ces échanges; 8) la décision d’application du règlement CPC (2007/76/CE) définit les domaines de données repris dans le SCPC et fournit les noms des directeurs d’entreprises. Les responsables de l’application sont tenus de vérifier si le fait d’inclure ce type de données à caractère personnel est nécessaire pour résoudre la question.
Il convient de procéder à une évaluation cas par cas pour décider s’il est nécessaire d’inclure le nom du directeur d’une entreprise dans le domaine de données visé, préalablement à tout téléchargement d’information dans le SCPC, et avant d’envoyer une alerte ou une demande d’assistance mutuelle à une autre autorité compétente; 9) la décision 2007/76/CE dispose que l’autorité compétente qui télécharge des informations ou enregistre des demandes d’application ou des alertes doit indiquer si l’information doit être traitée de manière confidentielle. Cette décision est prise cas par cas.
De la même manière, lorsqu’elle fournit des informations, l’autorité requise est tenue d’indiquer si cette information doit être traitée de manière confidentielle. Le SCPC prévoit un élément de valeur par défaut, à savoir que pour autoriser l’accès à des documents, les utilisateurs du SCPC doivent obligatoirement cliquer sur le drapeau indiquant le caractère confidentiel pour annuler cette fonction. 8. LE SCPC ET LA PROTECTION DES DONNÉES Un environnement de protection des données d’utilisation aisée Le SCPC a été conçu en tenant compte de la législation en matière de protection des données: le SCPC utilise le réseau s-TESTA (secured Trans European Services for Telematics between Administrations).
Ce réseau constitue une plate-forme de communication encadrée, fiable et sécurisée pour toutes les administrations nationales et européennes. s-TESTA s’appuie sur une infrastructure privée spécifique entièrement séparée de l’internet. La conception du système prévoit des mesures de sécurité destinées à garantir la meilleure protection possible du réseau. Du point de vue de la sécurité, le réseau est accrédité pour la transmission d’informations classifiées « restreint UE » , un certain nombre de caractéristiques techniques ont été introduites dans le système: des mots de passe sûrs et personnalisés ont été communiqués à des responsables compétents travaillant dans les services des autorités désignées, le réseau utilisé est sécurisé (s-TESTA), des incrustations apparaissent pour rappeler aux préposés au traitement qu’ils doivent tenir compte des règles à appliquer en matière de protection des données lorsqu’ils traitent des données à caractère personnel, divers profils d’utilisateurs ont été créés pour réglementer l’accès à l’information en fonction du rôle de l’utilisateur (autorité compétente, bureau de liaison unique ou Commission), il a été prévu de pouvoir éventuellement limiter l’accès à des documents en les définissant comme confidentiels, et un message figure sur la page d’accueil du SCPC pour attirer l’attention sur les règles applicables à la protection des données, les règles d’application couvrent les points principaux pour garantir le respect de la protection des données: règles de suppression claires (quelle information, comment et quand supprimer des données); des principes réglementent les types d’accès à l’information (seules les autorités compétentes directement concernées jouissent d’un accès sans restriction, tandis que les autres autorités n’ont accès qu’à des informations générales), des lignes directrices de fonctionnement offrent des précisions complémentaires sur les éléments dont il faut tenir compte au moment de remplir les différents domaines de données, et notamment les présentes lignes directrices , des examens sont prévus chaque année pour s’assurer, d’une part, que les autorités compétentes vérifient l’exactitude des données à caractère personnel (une classification est prévue mais n’a pas encore été appliquée) et, d’autre part, que les cas traités sont clos ou supprimés suivant les règles, pour éviter qu’ils ne soient oubliés;
La Commission passe systématiquement en revue, avec les États membres, les dossiers dont la durée de traitement est sensiblement supérieure à la moyenne; ces examens sont organisés régulièrement, un système automatique a été mis en place pour supprimer les cas d’assistance mutuelle cinq ans après la clôture de chaque cas, comme l’exige le règlement CPC, le SCPC est un outil informatique en évolution qui vise à la protection des données. Un grand nombre de mesures de protection ont déjà été intégrées dans la structure du système décrit ci-dessus. La Commission entend poursuivre dans cette voie et concevoir des améliorations supplémentaires, au fur et à mesure que les besoins l’exigeront.
Conseils supplémentaires Combien de temps un cas doit-il être enregistré et quand doit-il être clôturé ou supprimé? Seule la Commission peut supprimer des informations de la base de données du SCPC , ce qu’elle fait normalement à la demande d’une autorité compétente. Dans ce cas, l’autorité compétente doit préciser les motifs pour lesquels elle demande la suppression des données. Les demandes d’application sont la seule exception à cette pratique. En effet, elles sont automatiquement supprimées par la Commission cinq ans après la notification par l’autorité requérante.
Des règles assorties de limites dans le temps ont été établies pour garantir la suppression des informations qui ne sont plus nécessaires, qui sont inexactes ou non fondées ou dont la période de conservation est arrivée à son terme. Pourquoi la période de conservation est-elle fixée à cinq ans? La période de conservation vise à faciliter la coopération entre les autorités publiques responsables de l’application des lois protégeant les intérêts des consommateurs, lorsqu’elles traitent de cas d’infractions intracommunautaires et à contribuer au fonctionnement harmonieux du marché intérieur, à favoriser la qualité et la cohérence dans l’application des lois qui protègent les intérêts des consommateurs, à contrôler la protection des intérêts économiques des consommateurs et à permettre d’améliorer la qualité et la cohérence de l’application.
Pendant la période de conservation, les agents de l’autorité compétente qui sont chargés de veiller au respect de la législation et à qui une affaire donnée avait initialement été confiée peuvent consulter le dossier en question afin d’établir des liens avec des infractions éventuellement répétées. Une telle démarche contribue à améliorer le contrôle de l’application de la réglementation, notamment du point de vue de son efficacité. Quelles informations peut-on inclure dans le forum de discussion? Le forum de discussion est associé au SCPC. Il s’agit d’un outil destiné à l’échange d’informations sur des questions telles que les nouveaux pouvoirs d’exécution et les meilleures pratiques.
En règle générale, ce forum de discussion, qui n’est pas fréquemment utilisé par les responsables de l’application, ne devrait pas servir à échanger des données sur des cas particuliers, ni mentionner des données à caractère personnel. Quel type d’informations peut-on inclure dans les résumés succincts et dans les documents joints? La décision 2007/76/CE relative à l’application du règlement CPC prévoit le champ de données « Documents joints » dans les cas d’alertes ou de demandes d’information et d’application. Les résumés succincts sont les champs où il convient de décrire l’irrégularité.
Il est recommandé de ne pas inclure de données à caractère personnel dans les résumés succincts, étant donné que ce champ de données est réservé à la description générale de l’irrégularité. Les données à caractère personnel qui figurent dans les documents joints et qui ne sont pas strictement nécessaires doivent être biffées ou supprimées. Qu’entend-on par « bonnes raisons de soupçonner » qu’une infraction a été commise? L’expression « bonnes raisons de soupçonner » doit être interprétée en fonction de la législation nationale. Il est néanmoins recommandé de n’enregistrer les « soupçons d’infraction » dans le SCPC que si des preuves permettent d’étayer la thèse selon laquelle une infraction a assurément ou vraisemblablement été commise.
Qu’en est-il des transferts vers des pays tiers? Le règlement CPC précise que des informations peuvent être transmises à une autorité d’un pays tiers par un État membre dans le cadre d’un accord bilatéral d’assistance conclu avec ce pays, dès lors que l’autorité compétente qui a initialement fourni l’information y consent et conformément à la législation sur la protection des données. En l’absence d’un accord de coopération et d’assistance mutuelle entre l’Union européenne et un pays tiers , il est recommandé que tout accord d’assistance bilatéral conclu avec un pays tiers donné prévoie des garanties adéquates pour la protection des données et soit notifié aux autorités compétentes chargées du contrôle de la protection des données, de sorte que, sauf à estimer que le pays tiers concerné assure un niveau de protection approprié des données à caractère personnel transmises par l’Union, au sens de l’article 25 de la directive relative à la protection des données, la Commission puisse entreprendre des vérifications préalables.