E-Justice, Droit et Justice en réseaux dans l Union Européenne vendredi 23 novembre 2012 Traitement des données à caractère personnel et circulation de ces données au sein dE-Justice : quelle(s) réglementation(s), quel(s) outils au sein de lUnion ? Nathalie Métallinos, Avocat Bird & Bird AARPI, Responsable de latelier ADIJ « Protection des données personnelles » Le projet de règlement Européen

Page 2 © Bird & Bird LLP 2012 Le nouveau règlement a vocation à remplacer les règles actuelles posée par la Directive 95/46 et harmoniser le cadre européen Le règlement est directement applicable Adoption prévue en 2014, entrée en vigueur : 2016 Harmonisation partielle en dépit de linstauration dun mécanisme de cohérence 1) Projet de Directive Police-Justice (ex-3èle pilier) 2) Conséquence nationale résiduelle: Condamnations pénales (Art 9) Prévention des infractions (A. 21) Journalisme (A.80) Santé (A.81) Emploi (A.82) Recherches statistiques et historiques (A.83) Secret professionnel (A.84) Eglises (A.85) Extrême complexité du texte 91 articles/90 pages considérants + renvoi à plus de 50 actes délégués (contre 34 articles, 72 considérants pour la directive 95/46)

Page 3 © Bird & Bird LLP 2012 Plan 1.Nouvelles règles de compétence des autorités 2.Obligation de prouver la conformité 3.Nouvelle définitions des traitement « à risques » 4.Régime des sanctions 5.Obligation de désigner un délégué des données personnelles 6.Notification des « violations de sécurité 7.Renforcement des droits des personnes 8.Transferts de données – reconnaissance des Règles internes dentreprises et simplifications

Page 4 © Bird & Bird LLP Nouvelles règles de compétence des autorités : dépend du lieu de létablissement principal (Art. 51 & 4, 13) Responsable des traitementsSous-traitant Lieu où sont prises les principales décisions ou à défaut Lieu de ladministration centrale Lieu où sont exercées les principales activités de traitement

Page 5 © Bird & Bird LLP Les limites de la règle du guichet unique Compétence exclusive de lautorité du principal établissement pour Formalités Supervision du groupe Conjointe si des individus situés dans dautres Etats membres sont concernés Individus pouvant saisir lautorité de leur droit Individus pouvant exercer un recours dans les états membres Mécanisme de cohérence – rôle du CEPD Exigences droit local (droit du travail, dérogations,..)

Page 6 © Bird & Bird LLP Les traitements « à risques » (Art.33 et 34) Notamment : Profils automatisés… « systématiques » ou « à grande échelle » vidéosurveillance …« à grande échelle » données sensibles (dont condamnations) données relatives aux mineurs, données génétiques ou biométriques Mais aussi : ceux identifiés comme présentant des risques (rôle de létude dimpact) Ceux listés par lautorité de contrôle Ceux qui seront prévus dans les actes délégués

Page 7 © Bird & Bird LLP : Nécessite de prouver la conformité (Art 5-f) Tenue de la documentation (Art.28) Privacy by design (Art. 23) Etudes dimpact (Art.33) Audit (Art.22) Maintien de la documentation relative aux traitements (remplace formalités) Mesures et procédures appropriées pour assurer conformité (en particulier sagissant de la minimisation), protection par défaut / dès la conception Pour les traitements à risques Règles internes et audit indépendant

Page 8 © Bird & Bird LLP : Des sanctions qui se veulent dissuasives Exemple de manquementsAmende (% du CA mondial) Absence de mécanismes permettant lexercice droit daccès ou insuffisance de la réponse 0.5% Manque de transparence, défaut de respect des droits des personnes, défaut de tenue de la documentation 1% Défaut de base légale pour traiter les données Non prise en compte du droit dopposition Défaut de notification des failles de sécurité 2%

Page 9 © Bird & Bird LLP Obligation de désigner un délégué des données personnelles (art.35) (y compris dans le secteur public) CIL Durée minimale de 2 ans Expertise professionnelle Peut être externalisé Absence de Conflit dintérêt Indépendant Peut être mutualisé Seuil de 250 employés ou Activités exigeant un « suivi régulier et systématique des individus »

Page 10 © Bird & Bird LLP Notification des « violations de sécurité » (Art. 31) Toute violation de sécurité conduisant à la perte, accidentelle ou illicite, ou laltération des données personnelles ou un accès / une communication non autorisés Notification à lautorité de contrôle Toute faille doit être notifiée dans les 24 heures de la découverte Notification aux individus Si susceptible de porter atteinte à la protection des données personnelles/vie privée Sans retards indu Non requis si mesures de protection technologiques appropriées Conservation de traces documentaires de la violation Sanction maximum (Arts. 31 – 32, Considérants 67 – 69)

Page 11 © Bird & Bird LLP Renforcement des droits des personnes (tenir compte des problématique propres à internet – mais concerne aussi le hors ligne) Droit à loubli/effacement Portabilité des données Droit dopposition aux mesures de profilage Droit à réclamation auprès de lautorité de contrôle, droit à un recours juridictionnel, Droit à réparation + étendu à des organismes/associations œuvrant à la protection des personnes Condition de consentement (ne vaut si « déséquilibre significatif ») Traitement des données relatives aux enfants Extension aux sous-traitants de la responsabilité du fait des traitements

Page 12 © Bird & Bird LLP : Transferts de données – reconnaissance des Règles internes dentreprises et simplifications Principe dadéquation (vise également les organisation internationales et les secteurs de traitement) BCR reconnus dans le règlement et étendus pour couvrir données traitées pour le compte de clients (BCR sous-traitants) Clauses contractuelles type - y compris ad hoc (sous réserve dapprobation) Transferts basés sur lintérêt légitime(sous réserve de formalité auprès de lautorité de contrôle Transferts exclusivement destinés à reporter à des obligations issues de législations étrangères (hors UE) – principe dinterdiction

Page 13 © Bird & Bird LLP 2012 Questions & discussion?

Thank you Bird & Bird is an international legal practice comprising Bird & Bird LLP and its affiliated and associated businesses. Bird & Bird LLP is a limited liability partnership, registered in England and Wales with registered number OC and is regulated by the Solicitors Regulation Authority. Its registered office and principal place of business is at 15 Fetter Lane, London EC4A 1JP. A list of members of Bird & Bird LLP and of any non-members who are designated as partners, and of their respective professional qualifications, is open to inspection at that address.