Règlement (UE) 2018/1807 du Parlement européen et du Conseil du 14 novembre 2018 établissant un cadre applicable au libre flux des données à caractère non personnel dans l'Union européenne (Texte présentant de l'intérêt pour l'EEE.)

Le présent règlement vise à assurer le libre flux de données autres que les données à caractère personnel au sein de l'Union, en établissant des règles concernant les exigences de localisation des données, la disponibilité des données pour les autorités compétentes et le portage des données pour les utilisateurs professionnels.

1 Le présent règlement s'applique au traitement de données électroniques autres que les données à caractère personnel dans l'Union, qui est: a) fourni en tant que service aux utilisateurs résidant ou disposant d'un établissement dans l'Union, par un fournisseur de services établi ou non dans l'Union; ou b) effectué par une personne physique ou morale résidant ou disposant d'un établissement dans l'Union pour ses propres besoins.

2 Dans le cas d'un ensemble de données composé à la fois de données à caractère personnel et de données à caractère non personnel, le présent règlement s'applique aux données de l'ensemble à caractère non personnel. Lorsque les données à caractère personnel et les données à caractère non personnel d'un ensemble sont inextricablement liées, le présent règlement est sans préjudice de l'application du règlement (UE) 2016/679.

3 Le présent règlement ne s'applique pas aux activités qui ne relèvent pas du champ d'application du droit de l'Union. Le présent règlement est sans préjudice des dispositions législatives, réglementaires et administratives qui concernent l'organisation interne des États membres et qui attribuent aux autorités publiques et aux organismes de droit public au sens de l'article 2, paragraphe 1, point 4), de la directive 2014/24/UE, des pouvoirs et des responsabilités en matière de traitement des données sans rémunération contractuelle de parties privées, ainsi que des dispositions législatives, réglementaires et administratives des États membres qui prévoient la mise en œuvre de ces pouvoirs et responsabilités.

Aux fins du présent règlement, on entend par: 1) «données», les données autres que les données à caractère personnel au sens de l'article 4, point 1), du règlement (UE) 2016/679; 2) «traitement», toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou à des ensembles de données sous forme électronique, telles que la collecte, l'enregistrement, l'organisation, la structuration, le stockage, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction; 3) «projet d'acte», un texte rédigé en vue d'être édicté comme disposition législative, réglementaire ou administrative de nature générale, et se trouvant au stade de la préparation au cours duquel des modifications substantielles peuvent encore être apportées; 4) «fournisseur de services», une personne physique ou morale qui fournit des services de traitement des données; 5) «exigence de localisation des données», toute obligation, interdiction, condition, limite ou autre exigence prévue par les dispositions législatives, réglementaires ou administratives d'un État membre ou résultant des pratiques administratives générales et cohérentes dans un État membre et les organismes de droit public, notamment dans le domaine des marchés publics, sans préjudice de la directive 2014/24/UE, qui impose le traitement des données sur le territoire d'un État membre donné ou qui entrave le traitement des données dans un autre État membre; 6) «autorité compétente», une autorité d'un État membre ou toute autre entité habilitée en vertu du droit national à exercer une fonction publique ou la puissance publique qui a le pouvoir d'obtenir l'accès aux données traitées par une personne physique ou morale pour l'exécution de ses fonctions officielles, au sens du droit de l'Union ou du droit national; 7) «utilisateur», une personne physique ou morale, y compris une autorité publique ou un organisme de droit public, qui utilise ou demande un service de traitement des données; 8) «utilisateur professionnel», une personne physique ou morale, y compris une autorité publique ou un organisme de droit public, qui utilise ou demande un service de traitement des données à des fins liées à son activité commerciale, industrielle, artisanale, libérale ou à sa mission.

1 Les exigences de localisation des données sont interdites, sauf si elles sont justifiées par des motifs de sécurité publique dans le respect du principe de proportionnalité. Le premier alinéa du présent paragraphe est sans préjudice du paragraphe 3 et des exigences de localisation des données établies sur la base du droit en vigueur de l'Union.

2 Les États membres communiquent immédiatement à la Commission tout projet d'acte qui introduit une nouvelle exigence de localisation des données ou modifie une exigence de localisation des données existante conformément aux procédures définies aux articles 5, 6 et 7 de la directive (UE) 2015/1535.

3 Au plus tard le 30 mai 2021, les États membres veillent à ce que toute exigence existante de localisation des données qui est établie dans une disposition législative, réglementaire ou administrative de nature générale et qui n'est pas conforme au paragraphe 1 du présent article soit abrogée. Au plus tard le 30 mai 2021, si un État membre estime qu'une mesure existante incluant une exigence de localisation des données est conforme au paragraphe 1 du présent article et peut donc rester en vigueur, il communique cette mesure à la Commission, accompagnée d'une justification de son maintien en vigueur. Sans préjudice de l'article 258 du traité sur le fonctionnement de l'Union européenne, la Commission examine, dans un délai de six mois à compter de la date de réception de cette communication, la conformité de cette mesure avec le paragraphe 1 du présent article et adresse, le cas échéant, des observations à l'État membre concerné, y compris en lui recommandant au besoin de modifier ou d'abroger la mesure.

4 Les États membres publient les détails de toutes les exigences de localisation des données, établies dans une disposition législative, réglementaire ou administrative de nature générale et applicables sur leur territoire, par l'intermédiaire d'un point d'information unique en ligne national qu'ils tiennent à jour, ou fournissent des détails actualisés de telles exigences de localisation à un point d'information central établi au titre d'un autre acte de l'Union.

5 Les États membres communiquent à la Commission l'adresse de leur point d'information unique visé au paragraphe 4. La Commission publie sur son site internet les liens vers ces points d'information uniques, ainsi qu'une liste consolidée régulièrement mise à jour de toutes les exigences de localisation des données visées au paragraphe 4, avec une synthèse des informations sur ces exigences.

1 Le présent règlement n'affecte pas le pouvoir des autorités compétentes de demander ou d'obtenir l'accès à des données pour l'accomplissement de leurs fonctions officielles, conformément au droit de l'Union ou au droit national. L'accès aux données par les autorités compétentes ne peut être refusé au motif que les données sont traitées dans un autre État membre.

2 Lorsqu'une autorité compétente, après avoir demandé l'accès aux données d'un utilisateur, n'obtient pas l'accès aux données et qu'il n'existe pas de mécanisme de coopération spécifique en vertu du droit de l'Union ou d'accords internationaux pour l'échange de données entre autorités compétentes de différents États membres, cette autorité compétente peut solliciter l'assistance de l'autorité compétente dans un autre État membre, conformément à la procédure prévue à l'article 7.

3 Lorsqu'une demande d'assistance implique d'obtenir, de la part de l'autorité sollicitée, l'accès à tous les locaux d'une personne physique ou morale, y compris à tous les équipements et moyens de traitement des données, cet accès doit être conforme au droit de l'Union ou au droit procédural national.

4 Les États membres peuvent imposer des sanctions effectives, proportionnées et dissuasives en cas de manquement à l'obligation de fournir des données, conformément au droit de l'Union et au droit national. Lorsqu'un utilisateur spécifique abuse de ses droits, un État membre peut imposer des mesures provisoires strictement proportionnées à cet utilisateur, lorsque l'urgence de l'accès aux données le justifie et compte tenu des intérêts des parties concernées. Si une mesure provisoire impose la relocalisation des données pour une durée supérieure à 180 jours à compter de la relocalisation, elle est communiquée à la Commission au cours de cette période de 180 jours. La Commission examine, dans les plus brefs délais possibles, la mesure et sa compatibilité avec le droit de l'Union et, le cas échéant, prend les mesures qui s'imposent. La Commission échange des informations sur l'expérience acquise en la matière avec les points de contact uniques des États membres visés à l'article 7.

1 La Commission encourage et facilite l'élaboration de codes de conduite par autorégulation au niveau de l'Union (ci-après dénommés «codes de conduite»), afin de contribuer à une économie des données compétitive, fondée sur les principes de transparence et d'interopérabilité et tenant dûment compte des normes ouvertes, concernant, notamment, les aspects suivants: a) les bonnes pratiques qui facilitent le changement de fournisseurs de services et le portage des données dans des formats structurés, usuels et lisibles par machine, notamment dans des formats standard ouverts, lorsque le fournisseur de services obtenant les données le demande ou l'exige; b) les exigences minimales d'information afin que les utilisateurs professionnels disposent, préalablement à la conclusion d'un contrat de traitement des données, d'informations suffisamment détaillées, claires et transparentes en ce qui concerne les processus, les exigences techniques, les délais et les frais qui s'appliquent dans le cas où un utilisateur professionnel souhaite changer de fournisseur de services ou transférer ses données pour les rapatrier vers ses propres systèmes informatiques; c) les approches en matière de dispositifs de certification facilitant la comparaison entre les produits et services de traitement des données pour les utilisateurs professionnels, compte tenu des normes nationales ou internationales établies afin de faciliter la comparabilité de ces produits et services. Ces approches peuvent porter, entre autres, sur la gestion de la qualité, la gestion de la sécurité de l'information, la gestion de la continuité des activités et la gestion environnementale; d) les feuilles de route de communication axées sur une démarche pluridisciplinaire afin d'informer les parties intéressées sur les codes de conduite.

2 La Commission veille à ce que les codes de conduite soient élaborés en étroite coopération avec toutes les parties intéressées, y compris les associations de PME et de jeunes pousses, les utilisateurs et les fournisseurs de services en nuage.

3 La Commission encourage les fournisseurs de services à terminer le développement des codes de conduite au plus tard le 29 novembre 2019 et à les mettre effectivement en œuvre au plus tard le 29 mai 2020.

1 Chaque État membre désigne un point de contact unique qui assure la liaison avec les points de contact uniques des autres États membres et la Commission en ce qui concerne l'application du présent règlement. Les États membres notifient à la Commission les points de contact uniques désignés et toute modification ultérieure les concernant.

2 Lorsqu'une autorité compétente d'un État membre sollicite l'assistance d'un autre État membre, conformément à l'article 5, paragraphe 2, afin d'obtenir l'accès à des données, elle présente au point de contact unique désigné de cet État membre une demande dûment motivée. La demande comprend une explication écrite des motifs et des bases juridiques pour demander l'accès aux données.

3 Le point de contact unique identifie l'autorité compétente concernée de son État membre et lui transmet la demande reçue conformément au paragraphe 2.

4 L'autorité compétente concernée ainsi sollicitée veille, sans retard injustifié et dans des délais proportionnés à l'urgence de la demande, à fournir une réponse en communiquant les données demandées ou en informant l'autorité compétente qui a présenté la demande qu'elle ne considère pas que les conditions requises pour demander une assistance au titre du présent règlement sont réunies.

5 Toutes les informations échangées dans le cadre de la demande d'assistance et fournies en vertu de l'article 5, paragraphe 2, ne sont utilisées qu'aux fins pour lesquelles elles ont été demandées.

6 Les points de contact uniques fournissent aux utilisateurs des informations générales sur le présent règlement, notamment sur les codes de conduite.

1 Au plus tard le 29 novembre 2022, la Commission soumet un rapport au Parlement européen, au Conseil et au Comité économique et social européen faisant état de son évaluation de la mise en œuvre du présent règlement, notamment en ce qui concerne: a) l'application du présent règlement, en particulier aux ensembles de données composés à la fois de données à caractère personnel et de données à caractère non personnel, à la lumière de l'évolution des marchés et de l'évolution technologique qui pourraient élargir les possibilités de désanonymisation des données; b) la mise en œuvre par les États membres de l'article 4, paragraphe 1, et en particulier l'exception relative à la sécurité publique; et c) l'élaboration et la mise en œuvre effective des codes de conduite, ainsi que la fourniture effective d'informations par les fournisseurs de services.

2 Les États membres communiquent à la Commission toutes les informations nécessaires à l'établissement du rapport visé au paragraphe 1.

3 Au plus tard le 29 mai 2019, la Commission publie des lignes directrices sur l'interaction entre le présent règlement et le règlement (UE) 2016/679, en particulier en ce qui concerne les ensembles de données composés à la fois de données à caractère personnel et de données à caractère non personnel.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l'Union européenne. Il s'applique six mois après la date de sa publication.