Données à caractère personnel : un nouveau règlement

Après quatre ans de négociations, le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) est paru au JO de l’Union européenne du 4 mai dernier.

Comme tout règlement européen, ce texte ne nécessite pas de transposition en droit français mais est directement applicable. Son article 99 prévoit une application à partir du 25 mai 2018.

Le règlement a pour but de redonner aux citoyens le contrôle des données qui les concernent, que celles-ci soient collectées et utilisées par les acteurs économiques privés ou par les services de l’administration. Il s’appliquera en effet au service public comme aux acteurs privés. Il s’inscrit dans le contexte de la lutte contre le profilage des personnes et pour le contrôle de l’utilisation des données à caractère personnel par les grands acteurs du web (Facebook, Google, etc.) et consacre ou renforce un certain nombre de principes :

  • principe de loyauté (données traitées de manière licite, loyale et transparente),
  • limitation des finalités (données collectées pour une finalité précise et légitime),
  • minimisation des données (collecte de données strictement limitées à ce qui est nécessaire au regard de la finalité du traitement),
  • exactitude (données exactes et à jour),
  • limitation de la conservation (données conservées pendant le temps strict nécessaire à la finalité du traitement),
  • intégrité et confidentialité (mesures garantissant la sécurité des données),
  • responsabilité du responsable du traitement (possibilité pour le responsable de démontrer le respect des obligations qui pèsent sur lui).

De ces principes découlent des droits pour toute personne concernée par un traitement de données : droit d’accès, droit de rectification, droit d’effacement, etc. Un certain nombre d’exceptions sont prévues pour concilier le droit à la protection des données à caractère personnel avec d’autres droits (droit d’accès aux documents officiels, liberté d’expression, etc.).

Alors que la directive 95/46/CE (transposée en France dans la loi 78-17 dite Informatique et liberté) ne citait pas explicitement les archives1, le règlement introduit la notion de « traitements à des fins archivistiques » pour les archives définitives2.

Voici l’essentiel des éléments à retenir en ce qui concerne ces traitements à des fins archivistiques :

  • le règlement ne s’applique pas aux traitements archivistiques concernant des personnes décédées (considérant 158).
  • les traitements ultérieurs à des fins archivistiques dans l’intérêt public sont « compatibles avec les finalités initiales du traitement » ; dans ces traitements, les données peuvent donc être conservées plus longtemps que ce qui était prévu par la finalité initiale (article 5-Principes relatifs au traitement des données à caractère personnel).3
  • les « données sensibles » peuvent être conservées à des fins archivistiques dans l’intérêt public (article 9-Traitement portant sur des catégories particulières de données à caractère personnel).
  • une dérogation au droit à l’oubli est reconnue pour les traitements à des fins archivistiques dans l’intérêt public (article 17-Droit à l’effacement – «droit à l’oubli»).
  • un article spécifique est consacré aux Garanties et dérogations applicables au traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques (article 89). Il liste les autres dérogations dont bénéficient les traitements à des fins archivistiques dans l’intérêt public : dérogations aux droits visés aux articles 15 (Droit d’accès de la personne concernée), 16 (Droit de rectification), 18 (Droit à la limitation du traitement), 19 (Obligation de notification en ce qui concerne la rectification ou l’effacement de données à caractère personnel ou la limitation du traitement), 20 (Droit à la portabilité des données) et 21 (Droit d’opposition). Ces dérogations sont possibles sous réserve du respect de « garanties appropriées pour les droits et libertés de la personne concernée » (qui prennent la forme de « mesures techniques et organisationnelles »).
  •  Ces « garanties appropriées » seront précisées dans un code de conduite (cf. article 40). La rédaction d’un tel code de conduite est le prochain chantier à mener, pour lequel la France s’impliquera au sein de l’EAG (Groupe Européen d’Archives).

Ces dérogations pour les traitements à des fins archivistiques étaient indispensables afin de ne pas mettre en cause la finalité même de la conservation des archives, à savoir la conservation de données fiables et intègres pour faire valoir des droits comme pour servir de matériaux à l’écriture de l’histoire.

Enfin, il faut noter que, pour la première fois dans un texte européen, la définition d’un service d’archives est donnée : « Les autorités publiques ou les organismes publics ou privés qui conservent des archives dans l’intérêt public devraient être des services qui, en vertu du droit de l’Union ou du droit d’un État membre, ont l’obligation légale de collecter, de conserver, d’évaluer, d’organiser, de décrire, de communiquer, de mettre en valeur, de diffuser des archives qui sont à conserver à titre définitif dans l’intérêt public général et d’y donner accès » (considérant 158).

Par ailleurs, est parue au même JO la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil.

Conformément à l’article 9 de cette directive, les traitements ultérieurs de données à des fins archivistiques sont soumis aux dispositions du règlement.

La directive fera l’objet d’une transposition en droit français au plus tard le 6 mai 2018.

Aude Rœlly

  1. La directive de 95 s’en tenait à la notion de « traitement ultérieur de données à caractère personnel à des fins historiques, statistiques ou scientifiques » []
  2. Les archives courantes et intermédiaires relèvent du régime général du règlement. []
  3. On retrouve ici l’exception déjà prévue en droit français par l’article 36 de la loi 78-17 pour les traitements à des fins historiques, statistiques ou scientifiques []