30.12.2008   

FR

Journal officiel de l'Union européenne

L 350/60

(1)

L’Union européenne s’est fixé pour objectif de maintenir et de développer un espace de liberté, de sécurité et de justice dans lequel un niveau élevé de protection doit être assuré par le biais d’une action en commun des États membres dans le domaine de la coopération policière et judiciaire en matière pénale.

(2)

L’action en commun dans le domaine de la coopération policière aux termes de l’article 30, paragraphe 1, point b), du traité sur l’Union européenne et l’action en commun dans le domaine de la coopération judiciaire en matière pénale aux termes de l’article 31, paragraphe 1, point a), du traité sur l’Union européenne supposent le traitement des informations pertinentes qui devraient faire l’objet de dispositions appropriées relatives à la protection des données à caractère personnel.

(3)

La législation qui relève du titre VI du traité sur l’Union européenne devrait promouvoir la coopération policière et judiciaire en matière pénale du point de vue de son efficacité, de sa légitimité et du respect des droits fondamentaux, en particulier du droit au respect de la vie privée et du droit à la protection des données à caractère personnel. Des normes communes relatives au traitement et à la protection des données à caractère personnel traitées dans le but de prévenir et de combattre la criminalité contribuent à la réalisation de ces deux objectifs.

(4)

Le programme de La Haye visant à renforcer la liberté, la sécurité et la justice dans l’Union européenne, adopté par le Conseil européen le 4 novembre 2004, a souligné la nécessité d’une approche innovante de l’échange transfrontière d’informations en matière répressive, dans le strict respect de certaines conditions fondamentales dans le domaine de la protection des données, et a invité la Commission à présenter des propositions à cet égard avant la fin de 2005 au plus tard. C’est ce que reflète le plan d’action du Conseil et de la Commission mettant en Å“uvre le programme de La Haye visant à renforcer la liberté, la sécurité et la justice dans l’Union européenne (2).

(5)

L’échange de données à caractère personnel dans le cadre de la coopération policière et judiciaire en matière pénale, et notamment de la mise en Å“uvre du principe de disponibilité des informations au sens du programme de La Haye, devrait être étayé par des règles claires qui renforcent la confiance mutuelle entre les autorités compétentes et garantissent la protection des informations pertinentes en excluant toute discrimination concernant cette coopération entre les États membres tout en respectant pleinement les droits fondamentaux des personnes. Les instruments qui existent au niveau européen ne sont pas suffisants. La directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (3) ne s’applique pas au traitement des données à caractère personnel dans le cadre d’une activité qui n’entre pas dans le champ d’application du droit communautaire, comme les activités prévues par le titre VI du traité sur l’Union européenne, et en tout cas pas aux opérations de traitement concernant la sécurité publique, la défense, la sécurité de l’État ou les activités de l’État en matière pénale.

(6)

La présente décision-cadre ne s’applique qu’aux données collectées ou traitées par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales. La décision-cadre devrait laisser aux États membres le soin de déterminer plus précisément au niveau national quelles autres fins doivent être considérées comme incompatibles avec l’objectif pour lequel les données à caractère personnel sont collectées à l’origine. En général, le traitement ultérieur à des fins historiques, statistiques ou scientifiques ne devrait pas être considéré comme incompatible avec l’objectif initial du traitement.

(7)

Le champ d’application de la décision-cadre est limité au traitement des données à caractère personnel transmises ou mises à disposition entre les États membres. Aucune conclusion ne devrait pouvoir être tirée de cette limitation quant à la compétence de l’Union pour adopter des actes relatifs à la collecte et au traitement de données à caractère personnel au niveau national ou à l’opportunité pour l’Union d’agir en ce sens à l’avenir.

(8)

Pour faciliter les échanges de données dans l’Union, les États membres se proposent de faire en sorte que le niveau de protection des données atteint pour le traitement de données à l’échelon national corresponde à celui prévu par la présente décision-cadre. En ce qui concerne le traitement national des données, la présente décision-cadre n’empêche pas les États membres de prévoir pour la protection des données à caractère personnel des garanties plus rigoureuses que celles qui sont établies par la présente décision-cadre.

(9)

La présente décision-cadre ne devrait pas s’appliquer aux données à caractère personnel qu’un État membre a obtenues en application de la présente décision-cadre et qui proviennent de cet État membre.

(10)

Le rapprochement des législations des États membres ne devrait pas entraîner un affaiblissement de la protection des données qu’elles assurent mais devrait, au contraire, avoir pour objectif de garantir un niveau élevé de protection dans l’Union.

(11)

Il convient de préciser les objectifs en matière de protection des données dans le cadre des activités policières et judiciaires et de définir les règles concernant la licéité du traitement des données à caractère personnel, afin de garantir que toute information susceptible d’être échangée soit traitée en toute licéité et dans le respect des principes fondamentaux relatifs à la qualité des données. En même temps, les activités légitimes de la police, des douanes, des autorités judiciaires et autres autorités compétentes ne sauraient être compromises.

(12)

Il convient d’appliquer le principe d’exactitude des données en tenant compte de la nature et de l’objet du traitement concerné. Par exemple, en particulier au cours d’une procédure judiciaire, les données sont fondées sur des perceptions personnelles subjectives et ne sont pas du tout vérifiables dans certains cas. L’exigence en matière d’exactitude ne peut donc pas s’appliquer à l’exactitude d’une déclaration mais simplement au fait qu’une déclaration spécifique a été faite.

(13)

L’archivage dans un ensemble de données distinct devrait être autorisé si les données ne sont plus nécessaires et utilisées pour la prévention et la détection des infractions pénales, ainsi que pour les enquêtes et les poursuites en la matière ou l’exécution des sanctions pénales. L’archivage dans un ensemble de données distinct devrait également être autorisé si les données archivées sont conservées dans une base de données avec d’autres données d’une telle manière qu’elles ne peuvent plus être utilisées pour la prévention et la détection des infractions pénales, ainsi que pour les enquêtes et les poursuites en la matière ou l’exécution des sanctions pénales. La pertinence de la durée d’archivage devrait dépendre des fins de l’archivage et des intérêts légitimes des personnes concernées. Dans le cas d’un archivage à des fins historiques, une période très longue peut aussi être envisagée.

(14)

On peut également effacer les données en détruisant leur support.

(15)

En ce qui concerne les données inexactes, incomplètes ou périmées qui sont transmises à un autre État membre ou mises à sa disposition et traitées ultérieurement par des autorités quasi judiciaires, c’est-à-dire des autorités compétentes pour prendre des décisions juridiquement contraignantes, leur rectification, effacement ou verrouillage devrait être effectué conformément au droit national.

(16)

Pour garantir un niveau élevé de protection des données à caractère personnel des personnes, des dispositions communes permettant de déterminer la légalité et la qualité des données traitées par les autorités compétentes des autres États membres sont nécessaires.

(17)

Il est opportun de définir au niveau européen les conditions dans lesquelles les autorités compétentes des États membres devraient être autorisées à transmettre des données à caractère personnel reçues d’autres États membres à des autorités et des personnes privées dans les États membres et à les mettre à leur disposition. Dans bon nombre de cas, les services judiciaires, de police ou douaniers doivent transmettre des données à caractère personnel à des personnes privées pour poursuivre des crimes ou prévenir un danger immédiat et sérieux pour la sécurité publique ou une atteinte grave aux droits des personnes, par exemple en signalant de faux titres aux banques et établissements de crédit, ou dans le domaine de la criminalité visant les véhicules, en communiquant des données à caractère personnel aux sociétés d’assurances afin d’empêcher le trafic de véhicules à moteur volés ou d’améliorer les conditions de récupération à l’étranger des véhicules à moteur volés. Cela n’implique pas le transfert de missions de police ou de justice à des personnes privées.

(18)

Les règles de la présente décision-cadre relatives à la transmission à des personnes privées de données à caractère personnel par les services judiciaires, de police ou douaniers ne s’appliquent pas à la transmission de données à des personnes privées (telles que les avocats de la défense et les victimes) dans le cadre de la procédure pénale.

(19)

Le traitement ultérieur des données à caractère personnel transmises ou mises à disposition par l’autorité compétente d’un autre État membre, en particulier la transmission ou la mise à disposition ultérieures de ces données, devrait être régi par des règles communes au niveau européen.

(20)

Lorsque des données à caractère personnel peuvent faire l’objet d’un traitement ultérieur après que l’État membre auprès duquel les données ont été collectées a donné son accord au transfert, chaque État membre devrait être en mesure de déterminer les modalités d’un tel accord, y compris, par exemple, par le biais d’un accord général pour des catégories d’informations ou des catégories de traitement ultérieur.

(21)

Lorsque des données à caractère personnel peuvent faire l’objet d’un traitement ultérieur aux fins de procédures administratives, ces dernières incluent aussi les activités menées par des autorités de réglementation et de contrôle.

(22)

Les activités légitimes de la police, des douanes, des autorités judiciaires et autres autorités compétentes peuvent nécessiter la transmission de données à des autorités d’États tiers ou à des instances internationales qui ont des obligations en matière de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière, ou d’exécution de sanctions pénales.

(23)

Lorsque des données à caractère personnel sont transférées d’un État membre vers des États tiers ou des instances internationales, ces données devraient, par principe, bénéficier d’un niveau de protection suffisant.

(24)

Lorsque des données à caractère personnel sont transférées d’un État membre vers des États tiers ou des instances internationales, un tel transfert ne devrait en principe avoir lieu qu’après que l’État membre auprès duquel les données ont été collectées a donné son accord au transfert. Chaque État membre devrait être en mesure de déterminer les modalités d’un tel accord, y compris, par exemple, par le biais d’un accord général pour des catégories d’informations ou des États tiers spécifiques.

(25)

Il est dans l’intérêt d’une coopération efficace en matière répressive que, lorsque le caractère immédiat de la menace pour la sécurité publique d’un État membre ou d’un État tiers est tel qu’il rend impossible l’obtention d’un accord préalable en temps utile, l’autorité compétente soit en mesure de transférer les données à caractère personnel pertinentes à l’État tiers concerné sans un tel accord préalable. Il pourrait en être de même lorsque d’autres intérêts essentiels d’un État membre d’importance égale sont en jeu, par exemple, lorsque l’infrastructure critique d’un État membre pourrait faire l’objet d’une menace immédiate et grave ou lorsque le système financier d’un État membre pourrait être sérieusement perturbé.

(26)

Il peut être impératif d’informer la personne concernée du traitement de ses données, en particulier dans le cas d’atteintes particulièrement graves à ses droits à la suite de mesures relatives à la collecte de données secrètes, afin de lui garantir une protection juridique effective.

(27)

Les États membres devraient veiller à ce que la personne concernée soit informée que ses données à caractère personnel pourraient être ou sont collectées, traitées ou transmises à un autre État membre à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière, ou d’exécution de sanctions pénales. Les modalités du droit de la personne concernée d’être informée et les exceptions en la matière devraient être déterminées par la législation nationale. Cela peut se faire sous une forme générale, par exemple au moyen d’un acte législatif ou par la publication d’une liste des traitements.

(28)

Pour garantir la protection des données à caractère personnel sans compromettre la finalité d’une enquête pénale, il est nécessaire de définir les droits de la personne concernée.

(29)

Certains États membres ont assuré le droit d’accès de la personne concernée en matière pénale par le biais d’un système dans le cadre duquel l’autorité de contrôle nationale a accès, à la place de la personne concernée, à toutes les données à caractère personnel relatives à cette dernière sans aucune restriction, et peut également rectifier, effacer ou mettre à jour les données inexactes. Dans un tel cas d’accès indirect, le droit national de ces États membres peut prévoir que l’autorité de contrôle nationale informera seulement la personne concernée que toutes les vérifications nécessaires ont été effectuées. Toutefois, ces États membres prévoient également des possibilités d’accès direct pour la personne concernée dans des cas spécifiques, comme un accès à des dossiers judiciaires, ou bien pour obtenir des copies de leur dossier pénal ou de documents relatifs à leurs auditions par les services de police.

(30)

Il est opportun de fixer des règles communes en matière de confidentialité et de sécurité du traitement, de responsabilité et de sanctions en cas d’utilisation illicite par les autorités compétentes, ainsi que de voies de recours offertes à la personne concernée. Il appartient néanmoins à chaque État membre de déterminer la nature des règles en matière de responsabilité délictuelle et des sanctions applicables en cas de violation des dispositions nationales sur la protection des données.

(31)

La présente décision-cadre permet de tenir compte du principe d’accès du public aux documents officiels lors de la mise en œuvre des principes qu’elle énonce.

(32)

Lorsqu’il est nécessaire de protéger des données à caractère personnel en ce qui concerne un traitement qui, par son ampleur ou son type, présente des risques spécifiques pour les libertés et les droits fondamentaux, par exemple un traitement au moyen de nouveaux mécanismes, technologies ou procédures, il convient de faire en sorte que les autorités de contrôle nationales compétentes soient consultées avant l’établissement des fichiers destinés au traitement de ces données.

(33)

La création, dans les États membres, d’autorités de contrôle exerçant leurs fonctions en toute indépendance est une composante essentielle de la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire entre les États membres.

(34)

Les autorités de contrôle déjà mises en place dans les États membres en vertu de la directive 95/46/CE peuvent aussi prendre en charge les tâches qui doivent être accomplies par les autorités de contrôle nationales mises en place conformément à la présente décision-cadre.

(35)

Ces autorités de contôle devraient être dotées des moyens nécessaires à l’exécution de leurs tâches, qu’il s’agisse des pouvoirs d’investigation et d’intervention, en particulier lorsqu’elles sont saisies de réclamations émanant de particuliers, ou du pouvoir d’ester en justice. Ces autorités de contôle devraient contribuer à garantir la transparence du traitement de données effectué dans les États membres dont elles relèvent. Toutefois, leurs pouvoirs ne devraient interférer ni avec les règles spécifiques fixées pour la procédure pénale, ni avec l’indépendance du pouvoir judiciaire.

(36)

Aux termes de l’article 47 du traité sur l’Union européenne, rien dans ledit traité ne doit affecter les traités instituant les Communautés européennes ni les traités et actes subséquents qui les ont modifiés ou complétés. En conséquence, la présente décision-cadre n’affecte pas la protection des données à caractère personnel régie par le droit communautaire, notamment telle que prévue par la directive 95/46/CE, le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (4), ainsi que la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive «vie privée et communications électroniques») (5).

(37)

La présente décision-cadre est sans préjudice des règles sur l’accès illicite aux données prévues par la décision-cadre 2005/222/JAI du Conseil du 24 février 2005 relative aux attaques visant les systèmes d’information (6).

(38)

La présente décision-cadre est sans préjudice des obligations et engagements existants incombant aux États membres ou à l’Union en vertu des accords bilatéraux et/ou multilatéraux avec des États tiers. Il convient que les futurs accords respectent les règles relatives aux échanges avec des États tiers.

(39)

Plusieurs actes, adoptés sur la base du titre VI du traité sur l’Union européenne, comportent des dispositions spécifiques relatives à la protection des données à caractère personnel échangées ou traitées en vertu de ces actes. Dans certains cas, ces dispositions constituent un ensemble complet et cohérent de règles couvrant tous les aspects pertinents de la protection des données (principes de qualité des données, règles relatives à la sécurité des données, réglementation des droits des personnes concernées et des garanties qui leur sont offertes, organisation du contrôle et responsabilité) et régissent ces matières de manière plus détaillée que ne le fait la présente décision-cadre. L’ensemble correspondant des dispositions relatives à la protection des données figurant dans ces actes, en particulier celles qui régissent le fonctionnement d’Europol, d’Eurojust, du système d’information Schengen (SIS) et du système d’information douanier (SID), ainsi que celles qui prévoient l’accès direct des autorités des États membres à certains systèmes de données d’autres États membres, ne devrait pas être affecté par la présente décision-cadre. Il en va de même des dispositions relatives à la protection des données qui régissent le transfert automatisé entre États membres de profils ADN, de données dactyloscopiques et de données nationales relatives à l’immatriculation des véhicules au titre de la décision 2008/615/JAI du Conseil du 23 juin 2008 relative à l’approfondissement de la coopération transfrontière, notamment en vue de lutter contre le terrorisme et la criminalité transfrontière (7).

(40)

Dans d’autres cas, les dispositions relatives à la protection des données figurant dans des actes adoptés sur la base du titre VI du traité sur l’Union européenne ont un champ d’application plus limité. Elles prévoient souvent, pour les États membres qui reçoivent des informations contenant des données à caractère personnel d’autres États membres, des conditions spécifiques en ce qui concerne les fins pour lesquelles ils peuvent utiliser ces données, mais elles renvoient, pour d’autres aspects de la protection des données, à la convention du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, ou au droit national. Dans la mesure où les dispositions qui figurent dans ces actes imposent aux États membres destinataires, en ce qui concerne l’utilisation ou le transfert ultérieur de données à caractère personnel, des conditions plus restrictives que celles figurant dans les dispositions correspondantes de la présente décision-cadre, les premières citées ne devraient pas s’en trouver affectées. Cependant, pour tous les autres aspects, les règles prévues dans la présente décision-cadre devraient s’appliquer.

(41)

La présente décision-cadre n’a pas d’incidence sur la convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, le protocole additionnel à cette convention du 8 novembre 2001 ou les conventions du Conseil de l’Europe sur la coopération judiciaire en matière pénale.

(42)

Étant donné que les objectifs de la présente décision-cadre, à savoir définir des règles communes pour la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale, ne peuvent pas être réalisés de manière suffisante par les États membres, et peuvent donc en raison des dimensions et des effets de l’action envisagée être mieux réalisés au niveau de l’Union, l’Union peut prendre des mesures, conformément au principe de subsidiarité consacré à l’article 5 du traité instituant la Communauté européenne et visé à l’article 2 du traité sur l’Union européenne. Conformément au principe de proportionnalité tel qu’énoncé à l’article 5 du traité instituant la Communauté européenne, la présente décision-cadre n’excède pas ce qui est nécessaire pour atteindre cet objectif.

(43)

Le Royaume-Uni participe à la présente décision-cadre conformément à l’article 5 du protocole intégrant l’acquis de Schengen dans le cadre de l’Union européenne annexé au traité sur l’Union européenne et au traité instituant la Communauté européenne et à l’article 8, paragraphe 2, de la décision 2000/365/CE du Conseil du 29 mai 2000 relative à la demande du Royaume-Uni de Grande-Bretagne et d’Irlande du Nord de participer à certaines dispositions de l’acquis de Schengen (8).

(44)

L’Irlande participe à la présente décision-cadre conformément à l’article 5 du protocole intégrant l’acquis de Schengen dans le cadre de l’Union européenne annexé au traité sur l’Union européenne et au traité instituant la Communauté européenne et à l’article 6, paragraphe 2, de la décision 2002/192/CE du Conseil du 28 février 2002 relative à la demande de l’Irlande de participer à certaines dispositions de l’acquis de Schengen (9).

(45)

En ce qui concerne l’Islande et la Norvège, la présente décision-cadre constitue un développement des dispositions de l’acquis de Schengen au sens de l’accord conclu par le Conseil de l’Union européenne et la République d’Islande et le Royaume de Norvège sur l’association de ces États à la mise en Å“uvre, à l’application et au développement de l’acquis de Schengen (10), qui relève du domaine visé à l’article 1er, points H et I, de la décision 1999/437/CE du Conseil (11) relative à certaines modalités d’application dudit accord.

(46)

En ce qui concerne la Suisse, la présente décision-cadre constitue un développement des dispositions de l’acquis de Schengen au sens de l’accord conclu entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en Å“uvre, à l’application et au développement de l’acquis de Schengen (12), qui relève du domaine visé à l’article 1er, points H et I, de la décision 1999/437/CE en liaison avec l’article 3 de la décision 2008/149/JAI du Conseil (13) relative à la conclusion, au nom de l’Union européenne, dudit accord.

(47)

En ce qui concerne le Liechtenstein, la présente décision-cadre constitue un développement des dispositions de l’acquis de Schengen au sens du protocole signé entre l’Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l’adhésion de la Principauté de Liechtenstein à l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en Å“uvre, à l’application et au développement de l’acquis de Schengen, qui relève du domaine visé à l’article 1er, points H et I, de la décision 1999/437/CE en liaison avec l’article 3 de la décision 2008/262/JAI du Conseil (14) relative à la signature, au nom de l’Union européenne, dudit protocole.

(48)

La présente décision-cadre respecte les droits fondamentaux et observe les principes reconnus, en particulier, par la charte des droits fondamentaux de l’Union européenne (15). Elle tend à préserver pleinement le droit au respect de la vie privée et le droit à la protection des données à caractère personnel consacrés aux articles 7 et 8 de la charte,

a)

sont ou ont été transmises ou mises à disposition entre les États membres,

b)

sont ou ont été transmises à des autorités ou des systèmes d’information créés sur la base du titre VI du traité sur l’Union européenne ou mises à leur disposition par des États membres, ou

c)

sont ou ont été transmises aux autorités compétentes des États membres, ou mises à leur disposition, par des autorités ou des systèmes d’information créés sur la base du traité sur l’Union européenne ou du traité instituant la Communauté européenne.

a)

«données à caractère personnel»: toute information concernant une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée»); est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale;

b)

«traitement de données à caractère personnel» et «traitement»: toute opération ou ensemble d’opérations, effectuées ou non à l’aide de procédés automatisés, et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction;

c)

«verrouillage»: le marquage de données à caractère personnel enregistrées, en vue de limiter leur traitement futur;

d)

«fichier de données à caractère personnel» et «fichier»: tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique;

e)

«sous-traitant»: tout organisme qui traite des données à caractère personnel pour le compte du responsable du traitement;

f)

«destinataire»: tout organisme qui reçoit communication de données;

g)

«consentement de la personne concernée»: toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement;

h)

«autorités compétentes»: les agences ou organismes créés en vertu d’actes juridiques adoptés par le Conseil en vertu du titre VI du traité sur l’Union européenne, ainsi que les autorités de police, les autorités douanières, les autorités judiciaires et les autres autorités compétentes des États membres qui sont autorisées par le droit national à traiter des données à caractère personnel dans le cadre du champ d’application de la présente décision-cadre;

i)

«responsable du traitement»: la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel;

j)

«marquage»: l’apposition d’une marque sur des données à caractère personnel enregistrées sans chercher à limiter leur traitement futur;

k)

«rendre anonyme»: le fait de modifier des données à caractère personnel d’une façon telle que des données particulières sur des situations personnelles ou matérielles ne puissent plus être rattachées à une personne physique identifiée ou identifiable ou alors seulement moyennant un effort démesuré en termes de temps, de coût et de main-d’œuvre.

a)

ce traitement n’est pas incompatible avec la finalité pour laquelle les données ont été collectées;

b)

les autorités compétentes sont autorisées à traiter ces données pour d’autres finalités conformément aux dispositions légales applicables; et

c)

ce traitement est nécessaire et proportionné à ces finalités.

a)

pour la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière, ou l’exécution de sanctions pénales, à condition que ces infractions et sanctions soient distinctes de celles pour lesquelles les données ont été transmises ou mises à disposition;

b)

pour d’autres procédures judiciaires et administratives directement liées à la prévention et la détection des infractions pénales, aux enquêtes et poursuites en la matière, ou à l’exécution de sanctions pénales;

c)

pour prévenir un danger immédiat et sérieux pour la sécurité publique; ou

d)

pour toute autre finalité, uniquement avec l’accord préalable de l’État membre qui transmet les données ou avec le consentement de la personne concernée, donné conformément au droit national.

a)

cela est nécessaire à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière, ou d’exécution de sanctions pénales;

b)

l’autorité destinataire de l’État tiers ou l’instance internationale destinataire est chargée de la prévention et de la détection des infractions pénales, des enquêtes et des poursuites en la matière ou de l’exécution des sanctions pénales;

c)

l’État membre auprès duquel les données ont été collectées a donné son accord au transfert dans le respect de sa législation nationale, et

d)

l’État tiers ou l’instance internationale concerné assure un niveau de protection adéquat pour le traitement de données envisagé.

a)

la législation nationale de l’État membre qui transfère les données le prévoit

b)

l’État tiers ou l’instance internationale destinataire prévoit des garanties qui sont jugées adéquates par l’État membre concerné conformément à sa législation nationale.

a)

l’autorité compétente de l’État membre auprès duquel les données ont été collectées a consenti à la transmission dans le respect de sa législation nationale;

b)

aucun intérêt spécifique légitime de la personne concernée n’empêche la transmission, et

c)

dans des cas particuliers, le transfert est essentiel pour l’autorité compétente qui transmet les données à une personne privée pour:

a)

la confirmation du responsable du traitement ou de l’autorité de contrôle nationale que des données la concernant ont été transmises ou mises à disposition et des informations sur les destinataires ou catégories de destinataires auxquels les données ont été communiquées, et la communication des données faisant l’objet du traitement; ou

b)

la confirmation de l’autorité de contrôle nationale que toutes les vérifications nécessaires ont eu lieu.

a)

éviter de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires;

b)

éviter de nuire à la prévention, à la détection, à la recherche et à la poursuite d’infractions pénales ou pour exécuter des sanctions pénales;

c)

protéger la sécurité publique;

d)

protéger la sûreté de l’État;

e)

protéger la personne concernée ou les droits et libertés d’autrui.

a)

empêcher toute personne non autorisée d’accéder aux installations utilisées pour le traitement de données à caractère personnel (contrôle de l’accès aux installations);

b)

empêcher que des supports de données ne puissent être lus, copiés, modifiés ou enlevés par une personne non autorisée (contrôle des supports de données);

c)

empêcher l’introduction non autorisée de données dans le fichier, ainsi que toute inspection, modification ou effacement non autorisé de données à caractère personnel enregistrées (contrôle du stockage);

d)

empêcher que les systèmes de traitement automatisé de données puissent être utilisés par des personnes non autorisées à l’aide d’installations de transmission de données (contrôle des utilisateurs);

e)

garantir que les personnes autorisées à utiliser un système de traitement automatisé de données ne puissent accéder qu’aux données sur lesquelles porte leur autorisation (contrôle de l’accès aux données);

f)

garantir qu’il puisse être vérifié et constaté à quelles instances des données à caractère personnel ont été ou peuvent être transmises ou mises à disposition par des installations de transmission de données (contrôle de la transmission);

g)

garantir qu’il puisse être vérifié et constaté a posteriori quelles données à caractère personnel ont été introduites dans les systèmes de traitement automatisé de données, et à quel moment et par quelle personne elles y ont été introduites (contrôle de l’introduction);

h)

empêcher que, lors de la transmission de données à caractère personnel ainsi que lors du transport de supports de données, les données puissent être lues, copiées, modifiées ou effacées de façon non autorisée (contrôle du transport);

i)

garantir que les systèmes installés puissent être rétablis en cas d’interruption (restauration);

j)

garantir que les fonctions du système opèrent, que les erreurs de fonctionnement soient signalées (fiabilité) et que les données conservées ne puissent pas être corrompues par un dysfonctionnement du système (intégrité).

a)

le traitement concerne certaines catégories de données visées à l’article 6, ou

b)

le type de traitement présente, notamment en raison de l’utilisation de nouveaux mécanismes, technologies ou procédures, des risques spécifiques pour les droits et libertés fondamentaux, notamment pour la protection de la vie privée des personnes concernées.

a)

de pouvoirs d’investigation, tels que le pouvoir d’accéder aux données faisant l’objet d’un traitement et de recueillir toutes les informations nécessaires à l’accomplissement de sa mission de contrôle;

b)

de pouvoirs effectifs d’intervention, tels que, par exemple, celui de rendre des avis préalablement à la mise en œuvre des traitements et d’assurer une publication appropriée de ces avis, d’ordonner le verrouillage, l’effacement ou la destruction de données, d’interdire temporairement ou définitivement un traitement, d’adresser un avertissement ou une admonestation au responsable du traitement ou de saisir les parlements nationaux ou d’autres institutions politiques;

c)

du pouvoir d’ester en justice en cas de violation des dispositions nationales adoptées en application de la présente décision-cadre ou du pouvoir de porter cette violation à la connaissance de l’autorité judiciaire. Les décisions de l’autorité de contrôle donnant lieu à des réclamations peuvent faire l’objet d’un recours juridictionnel.