The text on a date

The publisher's dates this site holds for this act

• Entry into force: 2016-05-05 (the publisher's qualifier, word for word: DATPUB +1 V ART 64)

Not held for this act: application; end of validity; deadline. The publisher's dated statements this site holds for it give no such date, which says nothing of whether the act has one.

None of the dates above is used to choose a wording: each wording below carries its own date.

32016L0680, fra, the consolidated wording of 2016-05-04 (the publisher's consolidation date)

This is the latest wording held: it answers every later date, and an amendment the publisher has not yet consolidated is not in it.

3 other publisher works carry this date: 1 with this same text held here, 2 with no text held here.

/eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra

65 articles quoted, 0 held without text.

Page 1 of 2: Article premier to Article 50.

1. 001 Article premier

   Article premier Objet et objectifs 1. La présente directive établit des règles relatives à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. 2. Conformément à la présente directive, les États membres: a) protègent les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel; et b) veillent à ce que l'échange de données à caractère personnel par les autorités compétentes au sein de l'Union, lorsque cet échange est requis par le droit de l'Union ou le droit d'un État membre, ne soit ni limité ni interdit pour des motifs liés à la protection des personnes physiques à l'égard du traitement des données à caractère personnel. 3. La présente directive n'empêche pas les États membres de prévoir des garanties plus étendues que celles établies dans la présente directive pour la protection des droits et des libertés des personnes concernées à l'égard du traitement des données à caractère personnel par les autorités compétentes.

   Text digest 12ec3ff60760ad04c5e5b3fa1ddca31499696f16c2b4f26614ada21a0a44dc7b, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/001

2. 002 Article 2

   Article 2 Champ d'application 1. La présente directive s'applique au traitement de données à caractère personnel effectué par les autorités compétentes aux fins énoncées à l'article 1er, paragraphe 1. 2. La présente directive s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier. 3. La présente directive ne s'applique pas au traitement de données à caractère personnel effectué: a) dans le cadre d'une activité qui ne relève pas du champ d'application du droit de l'Union; b) par les institutions, organes, et organismes de l'Union.

   Text digest e36425de26b11090a4ae37e9fc409c7daecb46bb2aab1b073c1d0fb3ab93cfd4, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/002

3. 003 Article 3

   Article 3 Définitions Aux fins de la présente directive, on entend par: 1. «données à caractère personnel», toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée»); est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale; 2. «traitement», toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données à caractère personnel ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction; 3. «limitation du traitement», le marquage de données à caractère personnel conservées en vue de limiter leur traitement futur; 4. «profilage», toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne; 5. «pseudonymisation», le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable; 6. «fichier», tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique; 7. «autorité compétente»: a) toute autorité publique compétente pour la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces; ou b) tout autre organisme ou entité à qui le droit d'un État membre confie l'exercice de l'autorité publique et des prérogatives de puissance publique à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces; 8. «responsable du traitement», l'autorité compétente qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personnel; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l'Union ou le droit d'un État membre, le responsable du traitement ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou le droit d'un État membre; 9. «sous-traitant», la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement; 10. «destinataire», la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui reçoit communication des données à caractère personnel, qu'il s'agisse ou non d'un tiers. Toutefois, les autorités publiques qui sont susceptibles de recevoir communication de données à caractère personnel dans le cadre d'une mission d'enquête particulière conformément au droit d'un État membre ne sont pas considérées comme des destinataires; le traitement de ces données par les autorités publiques en question est conforme aux règles applicables en matière de protection des données en fonction des finalités du traitement; 11. «violation de données à caractère personnel», une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données; 12. «données génétiques», les données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d'une personne physique qui donnent des informations uniques sur la physiologie ou l'état de santé de cette personne physique et qui résultent, notamment, d'une analyse d'un échantillon biologique de la personne physique en question; 13. «données biométriques», les données à caractère personnel résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques; 14. «données concernant la santé», les données à caractère personnel relatives à la santé physique ou mentale d'une personne physique, y compris la fourniture de soins de santé, qui révèlent des informations sur l'état de santé de cette personne; 15. «autorité de contrôle», une autorité publique indépendante qui est instituée par un État membre en vertu de l'article 41; 16. «organisation internationale», une organisation internationale et les organismes de droit public international qui en relèvent, ou tout autre organisme qui est créé par un accord entre deux pays ou plus, ou en vertu d'un tel accord.

   Text digest 5486dcf3d651334d3e4df6e84690b2ee1d0522c1a99f4019fe4ea6166887094a, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/003

4. 004 Article 4

   Article 4 Principes relatifs au traitement des données à caractère personnel 1. Les États membres prévoient que les données à caractère personnel sont: a) traitées de manière licite et loyale; b) collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées d'une manière incompatible avec ces finalités; c) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées; d) exactes et, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder; e) conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées; f) traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées. 2. Le traitement, par le même ou par un autre responsable du traitement, pour l'une des finalités énoncées à l'article 1er, paragraphe 1, autre que celles pour lesquelles les données ont été collectées, est autorisé à condition que: a) le responsable du traitement soit autorisé à traiter ces données à caractère personnel pour une telle finalité conformément au droit de l'Union ou au droit d'un État membre; et b) le traitement soit nécessaire et proportionné à cette autre finalité conformément au droit de l'Union ou au droit d'un État membre. 3. Le traitement des données par le même ou par un autre responsable du traitement peut comprendre l'archivage dans l'intérêt public, à des fins scientifiques, statistiques ou historiques, aux fins énoncées à l'article 1er, paragraphe 1, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée. 4. Le responsable du traitement est responsable du respect des paragraphes 1, 2 et 3 et est en mesure de démontrer que ces dispositions sont respectées.

   Text digest 3e9a5b34829c761c1048200c94b54c06a8bd0e0423530581eb3fc9fca8acc0b3, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/004

5. 005 Article 5

   Article 5 Délais de conservation et d'examen Les États membres prévoient que des délais appropriés sont fixés pour l'effacement des données à caractère personnel ou pour la vérification régulière de la nécessité de conserver les données à caractère personnel. Des règles procédurales garantissent le respect de ces délais.

   Text digest 54cc776b9fd099144b0aea37160b58d74e88d8be56a4b0dc68a5de7fc8610f30, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/005

6. 006 Article 6

   Article 6 Distinction entre différentes catégories de personnes concernées Les États membres prévoient que le responsable du traitement établit, le cas échéant et dans la mesure du possible, une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées, telles que: a) les personnes à l'égard desquelles il existe des motifs sérieux de croire qu'elles ont commis ou sont sur le point de commettre une infraction pénale; b) les personnes reconnues coupables d'une infraction pénale; c) les victimes d'une infraction pénale ou les personnes à l'égard desquelles certains faits portent à croire qu'elles pourraient être victimes d'une infraction pénale; et d) les tiers à une infraction pénale, tels que les personnes pouvant être appelées à témoigner lors d'enquêtes en rapport avec des infractions pénales ou des procédures pénales ultérieures, des personnes pouvant fournir des informations sur des infractions pénales, ou des contacts ou des associés de l'une des personnes visées aux points a) et b).

   Text digest cee0a0fb5432dc3dfc9b24d85b0b22d619e5998d561f1e3c335d48b78da6d530, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/006

7. 007 Article 7

   Article 7 Distinction entre les données à caractère personnel et vérification de la qualité des données à caractère personnel 1. Les États membres prévoient que les données à caractère personnel fondées sur des faits sont, dans la mesure du possible, distinguées de celles fondées sur des appréciations personnelles. 2. Les États membres prévoient que les autorités compétentes prennent toutes les mesures raisonnables pour garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont plus à jour ne soient pas transmises ou mises à disposition. À cette fin, chaque autorité compétente vérifie, dans la mesure du possible, la qualité des données à caractère personnel avant leur transmission ou mise à disposition. Dans la mesure du possible, lors de toute transmission de données à caractère personnel, sont ajoutées des informations nécessaires permettant à l'autorité compétente destinataire de juger de l'exactitude, de l'exhaustivité, et de la fiabilité des données à caractère personnel, et de leur niveau de mise à jour. 3. S'il s'avère que des données à caractère personnel inexactes ont été transmises ou que des données à caractère personnel ont été transmises de manière illicite, le destinataire en est informé sans retard. Dans ce cas, les données à caractère personnel sont rectifiées ou effacées ou leur traitement est limité conformément à l'article 16.

   Text digest 9634344b2f8049c264a7ab7dc3892aee49b0bfe9adc957b30e1d7f1cf0837e10, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/007

8. 008 Article 8

   Article 8 Licéité du traitement 1. Les États membres prévoient que le traitement n'est licite que si et dans la mesure où il est nécessaire à l'exécution d'une mission effectuée par une autorité compétente, pour les finalités énoncées à l'article 1er, paragraphe 1, et où il est fondé sur le droit de l'Union ou le droit d'un État membre. 2. Une disposition du droit d'un État membre qui réglemente le traitement relevant du champ d'application de la présente directive précise au moins les objectifs du traitement, les données à caractère personnel devant faire l'objet d'un traitement et les finalités du traitement.

   Text digest 8a912d5594bdfeffb24eb4a6b767687e10fec8a2578f97e08d446abb1746f86b, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/008

9. 009 Article 9

   Article 9 Conditions spécifiques applicables au traitement 1. Les données à caractère personnel collectées par les autorités compétentes pour les finalités énoncées à l'article 1er, paragraphe 1, ne peuvent être traitées à des fins autres que celles énoncées à l'article 1er, paragraphe 1, à moins qu'un tel traitement ne soit autorisé par le droit de l'Union ou le droit d'un État membre. Lorsque des données à caractère personnel sont traitées à de telles autres fins, le règlement (UE) 2016/679 s'applique, à moins que le traitement ne soit effectué dans le cadre d'une activité ne relevant pas du champ d'application du droit de l'Union. 2. Lorsque les autorités compétentes sont chargées par le droit d'un État membre d'exécuter des missions autres que celles exécutées pour les finalités énoncées à l'article 1er, paragraphe 1, le règlement (UE) 2016/679 s'applique au traitement effectué à de telles fins, y compris à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques, à moins que le traitement ne soit effectué dans le cadre d'une activité ne relevant pas du champ d'application du droit de l'Union. 3. Les États membres prévoient que, lorsque le droit de l'Union ou le droit d'un État membre applicable à l'autorité compétente qui transmet les données soumet le traitement à des conditions spécifiques, l'autorité compétente qui transmet les données informe le destinataire de ces données à caractère personnel de ces conditions et de l'obligation de les respecter. 4. Les États membres prévoient que l'autorité compétente qui transmet les données n'applique pas aux destinataires dans les autres États membres ou aux services, organes et organismes établis en vertu des chapitres 4 et 5 du titre V du traité sur le fonctionnement de l'Union européenne des conditions en vertu du paragraphe 3 différentes de celles applicables aux transferts de données similaires à l'intérieur de l'État membre dont relève l'autorité compétente qui transmet les données.

   Text digest 53b452d7f932d39015b4017e555a8d58c052ac6ca7ba0c7e77411a22f022ba06, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/009

10. 010 Article 10

    Article 10 Traitement portant sur des catégories particulières de données à caractère personnel Le traitement des données à caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l'appartenance syndicale, et le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique est autorisé uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée, et uniquement: a) lorsqu'ils sont autorisés par le droit de l'Union ou le droit d'un État membre; b) pour protéger les intérêts vitaux de la personne concernée ou d'une autre personne physique; ou c) lorsque le traitement porte sur des données manifestement rendues publiques par la personne concernée.

    Text digest 588e687763e1461f7e101d2ab1ff4ed2d366f8a676e888a36ff8bc1d959e3d5b, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/010

11. 011 Article 11

    Article 11 Décision individuelle automatisée 1. Les États membres prévoient que toute décision fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques défavorables pour la personne concernée ou l'affecte de manière significative, est interdite, à moins qu'elle ne soit autorisée par le droit de l'Union ou le droit d'un État membre auquel le responsable du traitement est soumis et qui fournit des garanties appropriées pour les droits et libertés de la personne concernée, et au minimum le droit d'obtenir une intervention humaine de la part du responsable du traitement. 2. Les décisions visées au paragraphe 1 du présent article ne sont pas fondées sur les catégories particulières de données à caractère personnel visées à l'article 10, à moins que des mesures appropriées pour la sauvegarde des droits et des libertés et des intérêts légitimes de la personne concernée ne soient en place. 3. Tout profilage qui entraîne une discrimination à l'égard des personnes physiques sur la base des catégories particulières de données à caractère personnel visées à l'article 10 est interdit, conformément au droit de l'Union.

    Text digest 7d7376cd9671e04e7f4c97c874792b4a4045d9049bb636615e771afc0246e76e, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/011

12. 012 Article 12

    Article 12 Communication et modalités de l'exercice des droits de la personne concernée 1. Les États membres prévoient que le responsable du traitement prend des mesures raisonnables pour fournir toute information visée à l'article 13 et procède à toute communication relative au traitement ayant trait à l'article 11, aux articles 14 à 18 et à l'article 31 à la personne concernée d'une façon concise, compréhensible et aisément accessible, en des termes clairs et simples. Les informations sont fournies par tout moyen approprié, y compris par voie électronique. De manière générale, le responsable du traitement fournit les informations sous la même forme que la demande. 2. Les États membres prévoient que le responsable du traitement facilite l'exercice des droits conférés à la personne concernée par l'article 11 et les articles 14 à 18. 3. Les États membres prévoient que le responsable du traitement informe par écrit, dans les meilleurs délais, la personne concernée des suites données à sa demande. 4. Les États membres prévoient qu'aucun paiement n'est exigé pour fournir les informations visées à l'article 13 et pour procéder à toute communication et prendre toute mesure au titre de l'article 11, des articles 14 à 18 et de l'article 31. Lorsque les demandes d'une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut: a) soit exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder à la communication ou prendre les mesures demandées; b) soit refuser de donner suite à la demande. Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande. 5. Lorsque le responsable du traitement a des doutes raisonnables quant à l'identité de la personne physique présentant la demande visée à l'article 14 ou 16, il peut demander que lui soient fournies des informations supplémentaires nécessaires pour confirmer l'identité de la personne concernée.

    Text digest 4fcde5eb7116cae38ce3b4245fe05129a3447f9d9ae53808a914cafe7d94fdcc, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/012

13. 013 Article 13

    Article 13 Informations à mettre à la disposition de la personne concernée ou à lui fournir 1. Les États membres prévoient que le responsable du traitement met à la disposition de la personne concernée au moins les informations suivantes: a) l'identité et les coordonnées du responsable du traitement; b) le cas échéant, les coordonnées du délégué à la protection des données; c) les finalités du traitement auquel sont destinées les données à caractère personnel; d) le droit d'introduire une réclamation auprès d'une autorité de contrôle et les coordonnées de ladite autorité; e) l'existence du droit de demander au responsable du traitement l'accès aux données à caractère personnel, leur rectification ou leur effacement, et la limitation du traitement des données à caractère personnel relatives à une personne concernée. 2. En plus des informations visées au paragraphe 1, les États membres prévoient, par la loi, que le responsable du traitement fournit à la personne concernée, dans des cas particuliers, les informations additionnelles suivantes afin de lui permettre d'exercer ses droits: a) la base juridique du traitement, b) la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée; c) le cas échéant, les catégories de destinataires des données à caractère personnel, y compris dans les pays tiers ou au sein d'organisations internationales; d) au besoin, des informations complémentaires, en particulier lorsque les données à caractère personnel sont collectées à l'insu de la personne concernée. 3. Les États membres peuvent adopter des mesures législatives visant à retarder ou limiter la fourniture des informations à la personne concernée en application du paragraphe 2, ou à ne pas fournir ces informations, dès lors et aussi longtemps qu'une mesure de cette nature constitue une mesure nécessaire et proportionnée dans une société démocratique, en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée pour: a) éviter de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires; b) éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales; c) protéger la sécurité publique; d) protéger la sécurité nationale; e) protéger les droits et libertés d'autrui. 4. Les États membres peuvent adopter des mesures législatives afin de déterminer des catégories de traitements susceptibles de relever, dans leur intégralité ou en partie, d'un quelconque des points énumérés au paragraphe 3.

    Text digest f815f56b29e7d3c949c2176e75951026da3d33d51af5c7bf34771c2e095e2670, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/013

14. 014 Article 14

    Article 14 Droit d'accès par la personne concernée Sous réserve de l'article 15, les États membres prévoient que la personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès auxdites données ainsi que les informations suivantes: a) les finalités du traitement ainsi que sa base juridique; b) les catégories de données à caractère personnel concernées; c) les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales; d) lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée; e) l'existence du droit de demander au responsable du traitement la rectification ou l'effacement des données à caractère personnel, ou la limitation du traitement des données à caractère personnel relatives à la personne concernée; f) le droit d'introduire une réclamation auprès de l'autorité de contrôle et les coordonnées de ladite autorité; g) la communication des données à caractère personnel en cours de traitement, ainsi que toute information disponible quant à leur source.

    Text digest 733b68063e0195bb86827d11edab1c08668d63f31fed7303b511a60b5b601c83, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/014

15. 015 Article 15

    Article 15 Limitations du droit d'accès 1. Les États membres peuvent adopter des mesures législatives limitant, entièrement ou partiellement, le droit d'accès de la personne concernée, dès lors et aussi longtemps qu'une telle limitation partielle ou complète constitue une mesure nécessaire et proportionnée dans une société démocratique, en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée, pour: a) éviter de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires; b) éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales; c) protéger la sécurité publique; d) protéger la sécurité nationale; e) protéger les droits et libertés d'autrui. 2. Les États membres peuvent adopter des mesures législatives afin de déterminer des catégories de traitements de données susceptibles de relever, dans leur intégralité ou en partie, des points a) à e) du paragraphe 1. 3. Dans les cas visés aux paragraphes 1 et 2, les États membres prévoient que le responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, de tout refus ou de toute limitation d'accès, ainsi que des motifs du refus ou de la limitation. Ces informations peuvent ne pas être fournies lorsque leur communication risque de compromettre l'un des objectifs énoncés au paragraphe 1. Les États membres prévoient que le responsable du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès d'une autorité de contrôle ou de former un recours juridictionnel. 4. Les États membres prévoient que le responsable du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition des autorités de contrôle.

    Text digest fae76d1fe79acf81bbfe0c84060d538fbbe149e9f9bd20ad057d766f6df6ebbd, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/015

16. 016 Article 16

    Article 16 Droit de rectification ou d'effacement des données à caractère personnel et limitation du traitement 1. Les États membres prévoient le droit pour la personne concernée d'obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes. Compte tenu des finalités du traitement, les États membres prévoient que la personne concernée a le droit d'obtenir que les données à caractère personnel incomplètes soient complétées, y compris en fournissant à cet effet une déclaration complémentaire. 2. Les États membres exigent que le responsable du traitement efface dans les meilleurs délais les données à caractère personnel et accordent à la personne concernée le droit d'obtenir du responsable du traitement l'effacement dans les meilleurs délais de données à caractère personnel la concernant lorsque le traitement constitue une violation des dispositions adoptées en vertu de l'article 4, 8 ou 10 ou lorsque les données à caractère personnel doivent être effacées pour respecter une obligation légale à laquelle est soumis le responsable du traitement. 3. Au lieu de procéder à l'effacement, le responsable du traitement limite le traitement lorsque: a) l'exactitude des données à caractère personnel est contestée par la personne concernée et qu'il ne peut être déterminé si les données sont exactes ou non; ou b) les données à caractère personnel doivent être conservées à des fins probatoires. Lorsque le traitement est limité en vertu du premier alinéa, point a), le responsable du traitement informe la personne concernée avant de lever la limitation du traitement. 4. Les États membres prévoient que le responsable du traitement informe la personne concernée par écrit de tout refus de rectifier ou d'effacer des données à caractère personnel ou de limiter le traitement, ainsi que des motifs du refus. Les États membres peuvent adopter des mesures législatives limitant, en tout ou partie, l'obligation de fournir ces informations, dès lors qu'une telle limitation constitue une mesure nécessaire et proportionnée dans une société démocratique en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée pour: a) éviter de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires; b) éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales; c) protéger la sécurité publique; d) protéger la sécurité nationale; e) protéger les droits et libertés d'autrui. Les États membres prévoient que le responsable du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès d'une autorité de contrôle ou de former un recours juridictionnel. 5. Les États membres prévoient que le responsable du traitement communique la rectification des données à caractère personnel inexactes à l'autorité compétente dont proviennent les données à caractère personnel inexactes. 6. Les États membres prévoient que, lorsque des données à caractère personnel ont été rectifiées ou effacées ou que le traitement a été limité au titre des paragraphes 1, 2 et 3, le responsable du traitement adresse une notification aux destinataires et que ceux-ci rectifient ou effacent les données à caractère personnel ou limitent le traitement des données à caractère personnel sous leur responsabilité.

    Text digest 534ddb85426f0b920b747135bb8701536a241ff70310863702fa5b169906bc20, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/016

17. 017 Article 17

    Article 17 Exercice des droits de la personne concernée et vérification par l'autorité de contrôle 1. Dans les cas visés à l'article 13, paragraphe 3, à l'article 15, paragraphe 3, et à l'article 16, paragraphe 4, les États membres adoptent des mesures afin que les droits de la personne concernée puissent également être exercés par l'intermédiaire de l'autorité de contrôle compétente. 2. Les États membres prévoient que le responsable du traitement informe la personne concernée de la possibilité qu'elle a d'exercer ses droits par l'intermédiaire de l'autorité de contrôle en application du paragraphe 1. 3. Lorsque le droit visé au paragraphe 1 est exercé, l'autorité de contrôle informe au moins la personne concernée du fait qu'elle a procédé à toutes les vérifications nécessaires ou à un examen. L'autorité de contrôle informe également la personne concernée de son droit de former un recours juridictionnel.

    Text digest 14a8631ed4bf46420f6bd65f624c3f696a1bdb0d15a52815ad40f8fb8a8f7482, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/017

18. 018 Article 18

    Article 18 Droits des personnes concernées lors des enquêtes judiciaires et des procédures pénales Les États membres peuvent prévoir que les droits visés aux articles 13, 14 et 16 sont exercés conformément au droit d'un État membre lorsque les données à caractère personnel figurent dans une décision judiciaire ou un casier ou dossier judiciaire faisant l'objet d'un traitement lors d'une enquête judiciaire et d'une procédure pénale.

    Text digest bc6b8170c7ed8156f5fa8f11e5f8d23d08c54897f4e72abdc9984e6f1760db3f, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/018

19. 019 Article 19

    Article 19 Obligations incombant au responsable du traitement 1. Les États membres prévoient que le responsable du traitement, compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, met en œuvre les mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure de démontrer que le traitement est effectué conformément à la présente directive. Ces mesures sont réexaminées et actualisées, si nécessaire. 2. Lorsque cela est proportionné au regard des activités de traitement, les mesures visées au paragraphe 1 comprennent la mise en œuvre de politiques appropriées en matière de protection des données par le responsable du traitement.

    Text digest d3cf3ed5737f33f9c59f597b369fac0e16753604b6773f08bdf0022c8991a1cd, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/019

20. 020 Article 20

    Article 20 Protection des données dès la conception et protection des données par défaut 1. Les États membres prévoient que, compte tenu de l'état des connaissances, des coûts de la mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques, dont le degré de probabilité et de gravité varie, que présente le traitement pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre, tant lors de la détermination des moyens du traitement que lors du traitement proprement dit, des mesures techniques et organisationnelles appropriées, telles que la pseudonymisation, qui sont destinées à mettre en œuvre les principes relatifs à la protection des données, par exemple la minimisation des données, de façon effective et à assortir le traitement des garanties nécessaires, afin de répondre aux exigences de la présente directive et de protéger les droits des personnes concernées. 2. Les États membres prévoient que le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées. Cette obligation s'applique à la quantité de données à caractère personnel collectées, à l'étendue de leur traitement, à leur durée de conservation et à leur accessibilité. En particulier, ces mesures garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans l'intervention de la personne concernée.

    Text digest 63a7634f04d0b4b060530755bdc11748e48f3527b28dec382e007a42878c0002, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/020

21. 021 Article 21

    Article 21 Responsables conjoints du traitement 1. Les États membres prévoient que, lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement. Les responsables conjoints du traitement définissent de manière transparente leurs obligations respectives aux fins d'assurer le respect de la présente directive, notamment en ce qui concerne l'exercice des droits de la personne concernée, et leurs obligations respectives quant à la communication des informations visées à l'article 13, par voie d'accord entre eux, sauf si et dans la mesure où leurs obligations respectives sont définies par le droit de l'Union ou le droit d'un État membre auquel les responsables du traitement sont soumis. Le point de contact pour les personnes concernées est désigné dans l'accord. Les États membres peuvent préciser lequel des responsables conjoints peut servir de point de contact unique pour que les personnes concernées puissent exercer leurs droits. 2. Indépendamment des termes de l'accord visé au paragraphe 1, les États membres peuvent prévoir que la personne concernée peut exercer les droits que lui confère les dispositions adoptées en vertu de la présente directive à l'égard de et contre chacun des responsables du traitement.

    Text digest 17b2d7c6d2b93e05ddcc443fc9c48f105056bfb1ec5ba1ef74944c77eb1eadf3, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/021

22. 022 Article 22

    Article 22 Sous-traitant 1. Les États membres prévoient que le responsable du traitement, lorsqu'un traitement doit être effectué pour son compte, fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière que le traitement réponde aux exigences de la présente directive et garantisse la protection des droits de la personne concernée. 2. Les États membres prévoient que le sous-traitant ne recrute pas un autre sous-traitant sans l'autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Dans le cas d'une autorisation écrite générale, le sous-traitant informe le responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement d'autres sous-traitants, donnant ainsi au responsable du traitement la possibilité d'émettre des objections à l'encontre de ces changements. 3. Les États membres prévoient que le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l'Union ou du droit d'un État membre, qui lie le sous-traitant à l'égard du responsable du traitement et qui définit l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées et les obligations et les droits du responsable du traitement. Ce contrat ou cet autre acte juridique prévoit, notamment, que le sous-traitant: a) n'agit que sur instruction du responsable du traitement; b) veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité; c) aide le responsable du traitement, par tout moyen approprié, à veiller au respect des dispositions relatives aux droits de la personne concernée; d) selon le choix du responsable du traitement, supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation des services de traitement des données, et détruit les copies existantes, à moins que le droit de l'Union ou le droit d'un État membre n'exige la conservation des données à caractère personnel; e) met à la disposition du responsable du traitement toutes les informations nécessaires pour apporter la preuve du respect du présent article; f) respecte les conditions visées aux paragraphes 2 et 3 pour recruter un autre sous-traitant. 4. Le contrat ou l'autre acte juridique visé au paragraphe 3 revêt la forme écrite, y compris la forme électronique. 5. Si, en violation de la présente directive, un sous-traitant détermine les finalités et les moyens du traitement, il est considéré comme un responsable du traitement pour ce qui concerne ce traitement.

    Text digest 68b2a42eb4ea6e79c2292157bbb7aa3fee1bd9a7b69ac86559bdcf07cd19a5ed, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/022

23. 023 Article 23

    Article 23 Traitement effectué sous l'autorité du responsable du traitement ou du sous-traitant Les États membres prévoient que le sous-traitant et toute personne agissant sous l'autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne les traite que sur instruction du responsable du traitement, à moins d'y être obligé par le droit de l'Union ou le droit d'un État membre.

    Text digest ce35faacc7c8bb32aceffed4de716bb31e9c153b705be4d6dd77948c26ebb101, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/023

24. 024 Article 24

    Article 24 Registre des activités de traitement 1. Les États membres prévoient que les responsables du traitement tiennent un registre de toutes les catégories d'activités de traitement effectuées sous leur responsabilité. Ce registre comporte toutes les informations suivantes: a) le nom et les coordonnées du responsable du traitement et, le cas échéant, du responsable conjoint du traitement et du délégué à la protection des données; b) les finalités du traitement; c) les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, y compris les destinataires dans des pays tiers ou des organisations internationales; d) une description des catégories de personnes concernées et des catégories de données à caractère personnel; e) le cas échéant, le recours au profilage; f) le cas échéant, les catégories de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale; g) une indication de la base juridique de l'opération de traitement, y compris les transferts, à laquelle les données à caractère personnel sont destinées; h) dans la mesure du possible, les délais prévus pour l'effacement des différentes catégories de données à caractère personnel; i) dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l'article 29, paragraphe 1. 2. Les États membres prévoient que chaque sous-traitant tient un registre de toutes les catégories d'activités de traitement effectuées pour le compte du responsable du traitement, comprenant: a) le nom et les coordonnées du ou des sous-traitants, de chaque responsable du traitement pour le compte duquel le sous-traitant agit et, le cas échéant, du délégué à la protection des données; b) les catégories de traitements effectués pour le compte de chaque responsable du traitement; c) le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, lorsqu'il en est expressément chargé par le responsable du traitement, y compris l'identification de ce pays tiers ou de cette organisation internationale; d) dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l'article 29, paragraphe 1. 3. Les registres visés aux paragraphes 1 et 2 se présentent sous une forme écrite, y compris la forme électronique. Le responsable du traitement et le sous-traitant mettent ces registres à la disposition de l'autorité de contrôle, sur demande.

    Text digest 54057cf0c84a81ffcb509a6be140bd3bc3f5a2178cd372c5075fbd07992b725a, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/024

25. 025 Article 25

    Article 25 Journalisation 1. Les États membres prévoient que des journaux sont établis au moins pour les opérations de traitement suivantes dans des systèmes de traitement automatisé: la collecte, la modification, la consultation, la communication, y compris les transferts, l'interconnexion et l'effacement. Les journaux des opérations de consultation et de communication permettent d'établir le motif, la date et l'heure de celles-ci et, dans la mesure du possible, l'identification de la personne qui a consulté ou communiqué les données à caractère personnel, ainsi que l'identité des destinataires de ces données à caractère personnel. 2. Les journaux sont utilisés uniquement à des fins de vérification de la licéité du traitement, d'autocontrôle, de garantie de l'intégrité et de la sécurité des données à caractère personnel et à des fins de procédures pénales. 3. Le responsable du traitement et le sous-traitant mettent les journaux à la disposition de l'autorité de contrôle, sur demande.

    Text digest 2adcc51ae92c9969f0932b8e996d9f78b65abdc8fb15604be631cf21b5b7f463, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/025

26. 026 Article 26

    Article 26 Coopération avec l'autorité de contrôle Les États membres prévoient que le responsable du traitement et le sous-traitant coopèrent avec l'autorité de contrôle, à la demande de celle-ci, dans l'exécution de ses missions.

    Text digest 7456082e029d42158c938f50124e50638cebd37f80a98fcc1d15007f30eea713, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/026

27. 027 Article 27

    Article 27 Analyse d'impact relative à la protection des données 1. Lorsqu'un type de traitement, en particulier par le recours aux nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, les États membres prévoient que le responsable du traitement effectue préalablement au traitement une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel. 2. L'analyse visée au paragraphe 1 contient au moins une description générale des opérations de traitement envisagées, une évaluation des risques pour les droits et libertés des personnes concernées, les mesures envisagées pour faire face à ces risques, les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect de la présente directive, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes touchées.

    Text digest b9275b7a5f0eb19ce97713b0d9b501ed742783780e8d304250d88b238e9cb549, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/027

28. 028 Article 28

    Article 28 Consultation préalable de l'autorité de contrôle 1. Les États membres prévoient que le responsable du traitement ou le sous-traitant consulte l'autorité de contrôle préalablement au traitement des données à caractère personnel qui fera partie d'un nouveau fichier à créer: a) lorsqu'une analyse d'impact relative à la protection des données, telle qu'elle est prévue à l'article 27, indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque; ou b) lorsque le type de traitement, en particulier, en raison de l'utilisation de nouveaux mécanismes, technologies ou procédures, présente des risques élevés pour les libertés et les droits des personnes concernées. 2. Les États membres prévoient que l'autorité de contrôle est consultée dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national ou d'une mesure réglementaire fondée sur une telle mesure législative qui se rapporte au traitement. 3. Les États membres prévoient que l'autorité de contrôle peut établir une liste des opérations de traitement devant faire l'objet d'une consultation préalable conformément au paragraphe 1. 4. Les États membres prévoient que le responsable du traitement fournit à l'autorité de contrôle l'analyse d'impact relative à la protection des données en vertu de l'article 27 et, sur demande, toute autre information afin de permettre à l'autorité de contrôle d'apprécier la conformité du traitement et, en particulier, les risques pour la protection des données à caractère personnel de la personne concernée et les garanties qui s'y rapportent. 5. Les États membres prévoient que, lorsque l'autorité de contrôle est d'avis que le traitement prévu, visé au paragraphe 1 du présent article, constituerait une violation des dispositions adoptées en vertu de la présente directive, en particulier lorsque le responsable du traitement n'a pas suffisamment identifié ou atténué le risque, l'autorité de contrôle fournit par écrit, dans un délai maximum de six semaines à compter de la réception de la demande de consultation, un avis écrit au responsable du traitement, et le cas échéant au sous-traitant, et elle peut faire usage des pouvoirs visés à l'article 47. Ce délai peut être prolongé d'un mois, en fonction de la complexité du traitement prévu. L'autorité de contrôle informe le responsable du traitement et, le cas échéant, le sous-traitant de toute prorogation dans un délai d'un mois à compter de la réception de la demande de consultation, ainsi que des motifs du retard.

    Text digest 4ae84a1f36e1613cffd4b565f31ed91c8b6717e59814d42c6f16eebbe4bf425f, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/028

29. 029 Article 29

    Article 29 Sécurité du traitement 1. Les États membres prévoient que, compte tenu de l'état des connaissances, des coûts de la mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment en ce qui concerne le traitement portant sur des catégories particulières de données à caractère personnel visées à l'article 10. 2. En ce qui concerne le traitement automatisé, chaque État membre prévoit que le responsable du traitement ou le sous-traitant met en œuvre, à la suite d'une évaluation des risques, des mesures destinées à: a) empêcher toute personne non autorisée d'accéder aux installations utilisées pour le traitement (contrôle de l'accès aux installations); b) empêcher que des supports de données puissent être lus, copiés, modifiés ou supprimés de façon non autorisée (contrôle des supports de données); c) empêcher l'introduction non autorisée de données à caractère personnel dans le fichier, ainsi que l'inspection, la modification ou l'effacement non autorisé de données à caractère personnel enregistrées (contrôle de la conservation); d) empêcher que les systèmes de traitement automatisé puissent être utilisés par des personnes non autorisées à l'aide d'installations de transmission de données (contrôle des utilisateurs); e) garantir que les personnes autorisées à utiliser un système de traitement automatisé ne puissent accéder qu'aux données à caractère personnel sur lesquelles porte leur autorisation (contrôle de l'accès aux données); f) garantir qu'il puisse être vérifié et constaté à quelles instances des données à caractère personnel ont été ou peuvent être transmises ou mises à disposition par des installations de transmission de données (contrôle de la transmission); g) garantir qu'il puisse être vérifié et constaté a posteriori quelles données à caractère personnel ont été introduites dans les systèmes de traitement automatisé, et à quel moment et par quelle personne elles y ont été introduites (contrôle de l'introduction); h) empêcher que, lors de la transmission de données à caractère personnel ainsi que lors du transport de supports de données, les données puissent être lues, copiées, modifiées ou supprimées de façon non autorisée (contrôle du transport); i) garantir que les systèmes installés puissent être rétablis en cas d'interruption (restauration); j) garantir que les fonctions du système opèrent, que les erreurs de fonctionnement soient signalées (fiabilité) et que les données à caractère personnel conservées ne puissent pas être corrompues par un dysfonctionnement du système (intégrité).

    Text digest 8e88e1d762330a7b5e3e894e1aaee42439aeec11b1302dff70daa15612eeda06, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/029

30. 030 Article 30

    Article 30 Notification à l'autorité de contrôle d'une violation de données à caractère personnel 1. Les États membres prévoient qu'en cas de violation de données à caractère personnel, le responsable du traitement notifie la violation en question à l'autorité de contrôle dans les meilleurs délais et, si possible, dans un délai de 72 heures au plus tard après en avoir pris connaissance, à moins qu'il soit peu probable que la violation en question n'engendre des risques pour les droits et les libertés d'une personne physique. Lorsque la notification à l'autorité de contrôle n'a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard. 2. Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. 3. La notification visée au paragraphe 1 doit, à tout le moins: a) décrire la nature de la violation de données à caractère personnel y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d'enregistrements de données à caractère personnel concernés; b) communiquer le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues; c) décrire les conséquences probables de la violation de données à caractère personnel; d) décrire les mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives. 4. Si et dans la mesure où il n'est pas possible de fournir toutes les informations en même temps, les informations peuvent être communiquées de manière échelonnée sans autre retard indu. 5. Les États membres prévoient que le responsable du traitement documente toute violation de données à caractère personnel visée au paragraphe 1, en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier. La documentation ainsi constituée permet à l'autorité de contrôle de vérifier le respect du présent article. 6. Les États membres prévoient que, lorsque la violation de données à caractère personnel porte sur des données à caractère personnel qui ont été transmises par le responsable du traitement d'un autre État membre ou à celui-ci, les informations visées au paragraphe 3 sont communiquées au responsable du traitement de cet État membre dans les meilleurs délais.

    Text digest 6ee7bee0c1601f9ea429701695b2a4085b6bef0120d3a806001124354fdda8d5, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/030

31. 031 Article 31

    Article 31 Communication à la personne concernée d'une violation de données à caractère personnel 1. Les États membres prévoient que, lorsqu'une violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et les libertés d'une personne physique, le responsable du traitement communique la violation à la personne concernée dans les meilleurs délais. 2. La communication à la personne concernée visée au paragraphe 1 du présent article décrit, en des termes clairs et simples, la nature de la violation de données à caractère personnel et contient au moins les informations et les mesures visées à l'article 30, paragraphe 3, points b), c) et d). 3. La communication à la personne concernée visée au paragraphe 1 n'est pas nécessaire si l'une ou l'autre des conditions suivantes est remplie: a) le responsable du traitement a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et ces dernières ont été appliquées aux données à caractère personnel affectées par ladite violation, en particulier les mesures qui rendent les données à caractère personnel incompréhensibles pour toute personne qui n'est pas autorisée à y avoir accès, telles que le chiffrement; b) le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et les libertés des personnes concernées visé au paragraphe 1 n'est plus susceptible de se matérialiser; c) elle exigerait des efforts disproportionnés. Dans ce cas, il est plutôt procédé à une communication publique ou à une mesure similaire permettant aux personnes concernées d'être informées de manière tout aussi efficace. 4. Si le responsable du traitement n'a pas déjà communiqué à la personne concernée la violation de données à caractère personnel la concernant, l'autorité de contrôle peut, après avoir examiné si cette violation est susceptible d'engendrer un risque élevé, exiger du responsable du traitement qu'il procède à cette communication ou décider que l'une ou l'autre des conditions visées au paragraphe 3 est remplie. 5. La communication à la personne concernée visée au paragraphe 1 du présent article peut être retardée, limitée ou omise, sous réserve des conditions et pour les motifs visés à l'article 13, paragraphe 3.

    Text digest 9f1edc30b36be2a69be1dc9ba984eb0278205e9e5b4698730d01188cfd322e87, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/031

32. 032 Article 32

    Article 32 Désignation du délégué à la protection des données 1. Les États membres prévoient que le responsable du traitement désigne un délégué à la protection des données. Les États membres peuvent dispenser les tribunaux et d'autres autorités judiciaires indépendantes de cette obligation lorsqu'elles agissent dans l'exercice de leur fonction juridictionnelle. 2. Le délégué à la protection des données est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à exercer les missions visées à l'article 34. 3. Un seul délégué à la protection des données peut être désigné pour plusieurs autorités compétentes, compte tenu de leur structure organisationnelle et de leur taille. 4. Les États membres prévoient que le responsable du traitement publie les coordonnées du délégué à la protection des données et les communique à l'autorité de contrôle.

    Text digest 1a947f1cd9db2eafb5ad0eb29d7c5b7f92875d374cac75e87eab36c1c25d8824, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/032

33. 033 Article 33

    Article 33 Fonction du délégué à la protection des données 1. Les États membres prévoient que le responsable du traitement veille à ce que le délégué à la protection des données soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel. 2. Le responsable du traitement aide le délégué à la protection des données à exercer les missions visées à l'article 34 en fournissant les ressources nécessaires pour exercer ces missions ainsi que l'accès aux données à caractère personnel et aux traitements, et lui permettant d'entretenir ses connaissances spécialisées.

    Text digest dc669460fa787a61058cf8701f0fa9e50bc405f88ac91381dabc46fe911a7d4c, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/033

34. 034 Article 34

    Article 34 Missions du délégué à la protection des données Les États membres prévoient que le responsable du traitement confie au délégué à la protection des données au moins les missions suivantes: a) informer et conseiller le responsable du traitement et les employés qui procèdent au traitement sur les obligations qui leur incombent en vertu de la présente directive et d'autres dispositions du droit de l'Union ou du droit des États membres en matière de protection des données; b) contrôler le respect de la présente directive, d'autres dispositions du droit de l'Union ou du droit des États membres en matière de protection des données et des règles internes du responsable du traitement en matière de protection des données à caractère personnel, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel participant à des opérations de traitement, et les audits s'y rapportant; c) dispenser des conseils, sur demande, en ce qui concerne l'analyse d'impact relative à la protection des données et vérifier l'exécution de celle-ci en vertu de l'article 27; d) coopérer avec l'autorité de contrôle; e) faire office de point de contact pour l'autorité de contrôle sur les questions relatives au traitement, y compris la consultation préalable visée à l'article 28, et mener des consultations, le cas échéant, sur tout autre sujet.

    Text digest ff05cc3955bf0d2b540942246b106e389bbdbe7c0ac1a1dffe48699358a599a5, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/034

35. 035 Article 35

    Article 35 Principes généraux applicables aux transferts de données à caractère personnel 1. Les États membres prévoient qu'un transfert, par des autorités compétentes, de données à caractère personnel qui font ou sont destinées à faire l'objet d'un traitement après leur transfert vers un pays tiers ou à une organisation internationale, y compris des transferts ultérieurs vers un autre pays tiers ou à une autre organisation internationale, n'a lieu, sous réserve du respect des dispositions nationales adoptées en application d'autres dispositions de la présente directive, que lorsque les conditions définies dans le présent chapitre sont respectées, à savoir: a) le transfert est nécessaire aux fins énoncées à l'article 1er, paragraphe 1; b) les données à caractère personnel sont transférées à un responsable du traitement dans un pays tiers ou à une organisation internationale qui est une autorité compétente aux fins visées à l'article 1er, paragraphe 1; c) en cas de transmission ou de mise à disposition de données à caractère personnel provenant d'un autre État membre, celui-ci a préalablement autorisé ce transfert conformément à son droit national; d) la Commission a adopté une décision d'adéquation en application de l'article 36, ou, en l'absence d'une telle décision, des garanties appropriées ont été prévues ou existent en application de l'article 37 ou, en l'absence de décision d'adéquation au titre de l'article 36 et de garanties appropriées conformément à l'article 37, des dérogations pour des situations particulières s'appliquent en vertu de l'article 38; et e) en cas de transfert ultérieur vers un autre pays tiers ou à une autre organisation internationale, l'autorité compétente qui a procédé au transfert initial ou une autre autorité compétente du même État membre autorise le transfert ultérieur, après avoir dûment pris en considération l'ensemble des facteurs pertinents, y compris la gravité de l'infraction pénale, la finalité pour laquelle les données à caractère personnel ont été transférées initialement et le niveau de protection des données à caractère personnel dans le pays tiers ou au sein de l'organisation internationale vers lequel/laquelle les données à caractère personnel sont transférées ultérieurement. 2. Les États membres prévoient que les transferts effectués sans l'autorisation préalable d'un autre État membre prévue au paragraphe 1, point c), sont autorisés uniquement lorsque le transfert de données à caractère personnel est nécessaire aux fins de la prévention d'une menace grave et immédiate pour la sécurité publique d'un État membre ou d'un pays tiers ou pour les intérêts essentiels d'un État membre et si l'autorisation préalable ne peut pas être obtenue en temps utile. L'autorité à laquelle il revient d'accorder l'autorisation préalable est informée sans retard. 3. Toutes les dispositions du présent chapitre sont appliquées de manière que le niveau de protection des personnes physiques assuré par la présente directive ne soit pas compromis.

    Text digest 58bf8f760a31f680f69190e545bb12efc16f6e3d2101553a6f25e2bcfae7845a, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/035

36. 036 Article 36

    Article 36 Transferts sur la base d'une décision d'adéquation 1. Les États membres prévoient qu'un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale peut avoir lieu lorsque la Commission a constaté par voie de décision que le pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou l'organisation internationale en question assure un niveau de protection adéquat. Un tel transfert ne nécessite pas d'autorisation spécifique. 2. Lorsqu'elle évalue le caractère adéquat du niveau de protection, la Commission tient compte en particulier des éléments suivants: a) l'état de droit, le respect des droits de l'homme et des libertés fondamentales, la législation pertinente, tant générale que sectorielle, y compris en ce qui concerne la sécurité publique, la défense, la sécurité nationale et le droit pénal ainsi que l'accès des autorités publiques aux données à caractère personnel, de même que la mise en œuvre de ladite législation, les règles en matière de protection des données, les règles professionnelles et les mesures de sécurité, y compris les règles relatives au transfert ultérieur de données à caractère personnel vers un autre pays tiers ou à une autre organisation internationale qui sont respectées dans le pays tiers ou par l'organisation internationale en question, la jurisprudence, ainsi que les droits effectifs et opposables dont bénéficient les personnes concernées et les recours administratifs et judiciaires que peuvent effectivement introduire les personnes concernées dont les données à caractère personnel sont transférées; b) l'existence et le fonctionnement effectif d'une ou de plusieurs autorités de contrôle indépendantes dans le pays tiers, ou auxquelles une organisation internationale est soumise, chargées d'assurer le respect des règles en matière de protection des données et de les faire appliquer, y compris par des pouvoirs appropriés d'application desdites règles, d'assister et de conseiller les personnes concernées dans l'exercice de leurs droits et de coopérer avec les autorités de contrôle des États membres; et c) les engagements internationaux pris par le pays tiers ou l'organisation internationale en question, ou d'autres obligations découlant de conventions ou d'instruments juridiquement contraignants et de sa participation à des systèmes multilatéraux ou régionaux, en particulier en ce qui concerne la protection des données à caractère personnel. 3. La Commission, après avoir évalué le caractère adéquat du niveau de protection, peut constater au moyen d'un acte d'exécution qu'un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans un pays tiers en question, ou une organisation internationale, assure un niveau de protection adéquat au sens du paragraphe 2 du présent article. L'acte d'exécution prévoit un mécanisme d'examen périodique, au moins tous les quatre ans, qui prend en compte toutes les évolutions pertinentes dans le pays tiers ou au sein de l'organisation internationale. L'acte d'exécution précise son champ d'application territorial et sectoriel et, le cas échéant, nomme la ou des autorités de contrôle visées au paragraphe 2, point b), du présent article. L'acte d'exécution est adopté en conformité avec la procédure d'examen visée à l'article 58, paragraphe 2. 4. La Commission suit, de manière permanente, les évolutions dans les pays tiers et au sein des organisations internationales qui pourraient porter atteinte au fonctionnement des décisions adoptées en vertu du paragraphe 3. 5. Lorsque les informations disponibles révèlent, en particulier à la suite de l'examen visé au paragraphe 3 du présent article, qu'un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans un pays tiers, ou une organisation internationale n'assure plus un niveau de protection adéquat au sens du paragraphe 2 du présent article, la Commission abroge, modifie ou suspend, si nécessaire, la décision visée au paragraphe 3 du présent article par voie d'actes d'exécution sans effet rétroactif. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 58, paragraphe 2. Pour des raisons d'urgence impérieuses dûment justifiées, la Commission adopte des actes d'exécution immédiatement applicables en conformité avec la procédure visée à l'article 58, paragraphe 3. 6. La Commission engage des consultations avec le pays tiers ou l'organisation internationale en vue de remédier à la situation donnant lieu à la décision adoptée en vertu du paragraphe 5. 7. Les États membres prévoient qu'une décision adoptée en vertu du paragraphe 5 est sans préjudice des transferts de données à caractère personnel vers le pays tiers, le territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou à l'organisation internationale en question, effectués en application des articles 37 et 38. 8. La Commission publie au Journal officiel de l'Union européenne et sur son site internet une liste des pays tiers, des territoires et des secteurs déterminés dans un pays tiers et des organisations internationales pour lesquels elle a constaté par voie de décision qu'un niveau de protection adéquat est ou n'est plus assuré.

    Text digest 3c4e4aaa82b0ccb5a98ff8b9e64e1175551ee13cb3aa0928a0bc1316ac0a9d37, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/036

37. 037 Article 37

    Article 37 Transferts moyennant des garanties appropriées 1. En l'absence de décision en vertu de l'article 36, paragraphe 3, les États membres prévoient qu'un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale peut avoir lieu lorsque: a) des garanties appropriées en ce qui concerne la protection des données à caractère personnel sont fournies dans un instrument juridiquement contraignant; ou b) le responsable du traitement a évalué toutes les circonstances du transfert et estime qu'il existe des garanties appropriées au regard de la protection des données à caractère personnel. 2. Le responsable du traitement informe l'autorité de contrôle des catégories de transferts relevant du paragraphe 1, point b). 3. Lorsqu'un transfert est effectué sur la base du paragraphe 1, point b), ce transfert est documenté et la documentation est mise à la disposition de l'autorité de contrôle, sur demande, et comporte la date et l'heure du transfert, des informations sur l'autorité compétente destinataire, la justification du transfert et les données à caractère personnel transférées.

    Text digest dc86f215ac0a140e6a7f340ac6e7e0e9ec59747c30b2d58ebad286915fd3db22, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/037

38. 038 Article 38

    Article 38 Dérogations pour des situations particulières 1. En l'absence de décision d'adéquation en vertu de l'article 36 ou de garanties appropriées en vertu de l'article 37, les États membres prévoient qu'un transfert ou une catégorie de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ne peut avoir lieu qu'à condition que le transfert soit nécessaire: a) à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne; b) à la sauvegarde des intérêts légitimes de la personne concernée lorsque le droit de l'État membre transférant les données à caractère personnel le prévoit; c) pour prévenir une menace grave et immédiate pour la sécurité publique d'un État membre ou d'un pays tiers; d) dans des cas particuliers, aux fins énoncées à l'article 1er, paragraphe 1; ou e) dans un cas particulier, à la constatation, à l'exercice ou à la défense de droits en justice en rapport avec les fins énoncées à l'article 1er, paragraphe 1. 2. Les données à caractère personnel ne sont pas transférées si l'autorité compétente qui transfère les données estime que les libertés et droits fondamentaux de la personne concernée l'emportent sur l'intérêt public dans le cadre du transfert visé au paragraphe 1, points d) et e). 3. Lorsqu'un transfert est effectué sur la base du paragraphe 1, point b), ce transfert est documenté et la documentation est mise à la disposition de l'autorité de contrôle, sur demande, et indique la date et l'heure du transfert, donne des informations sur l'autorité compétente destinataire, indique la justification du transfert et les données à caractère personnel transférées.

    Text digest a8d6e8dbd1b0f99ca39dd1299e9a93f06a446b94651c3a3370276a499a2a0259, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/038

39. 039 Article 39

    Article 39 Transferts de données à caractère personnel à des destinataires établis dans des pays tiers 1. Par dérogation à l'article 35, paragraphe 1, point b), et sans préjudice de tout accord international visé au paragraphe 2 du présent article, le droit de l'Union ou le droit d'un État membre peut prévoir que les autorités compétentes au sens de l'article 3, point 7) a), peuvent, dans certains cas particuliers, transférer des données à caractère personnel directement aux destinataires établis dans des pays tiers, uniquement lorsque les autres dispositions de la présente directive sont respectées et que toutes les conditions ci-après sont remplies: a) le transfert est strictement nécessaire à l'exécution de la mission de l'autorité compétente qui transfère les données ainsi que le prévoit le droit de l'Union ou le droit d'un État membre aux fins énoncées à l'article 1er, paragraphe 1; b) l'autorité compétente qui transfère les données établit qu'il n'existe pas de libertés ni de droits fondamentaux de la personne concernée qui prévalent sur l'intérêt public nécessitant le transfert dans le cas en question; c) l'autorité compétente qui transfère les données estime que le transfert à une autorité qui est compétente aux fins visées à l'article 1er, paragraphe 1, dans le pays tiers est inefficace ou inapproprié, notamment parce que le transfert ne peut pas être effectué en temps opportun; d) l'autorité qui est compétente aux fins visées à l'article 1er, paragraphe 1, dans le pays tiers est informée dans les meilleurs délais, à moins que cela ne soit inefficace ou inapproprié; e) l'autorité compétente qui transfère les données informe le destinataire de la finalité ou des finalités déterminées pour lesquelles les données à caractère personnel ne doivent faire l'objet d'un traitement que par cette dernière, à condition qu'un tel traitement soit nécessaire. 2. Par accord international visé au paragraphe 1, on entend tout accord international bilatéral ou multilatéral en vigueur entre les États membres et des pays tiers dans le domaine de la coopération judiciaire en matière pénale et de la coopération policière. 3. L'autorité compétente qui transfère les données informe l'autorité de contrôle des transferts relevant du présent article. 4. Lorsqu'un transfert est effectué sur la base du paragraphe 1, ce transfert est documenté.

    Text digest 7b4d23a46a304398034382c2eee5d71b350f12dde7661e18a427c0250716ca57, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/039

40. 040 Article 40

    Article 40 Coopération internationale dans le domaine de la protection des données à caractère personnel La Commission et les États membres prennent, à l'égard des pays tiers et des organisations internationales, les mesures appropriées pour: a) élaborer des mécanismes de coopération internationaux destinés à faciliter l'application effective de la législation relative à la protection des données à caractère personnel; b) se prêter mutuellement assistance sur le plan international dans l'application de la législation relative à la protection des données à caractère personnel, notamment par la notification, la transmission des réclamations, l'entraide pour les enquêtes et l'échange d'informations, sous réserve de garanties appropriées pour la protection des données à caractère personnel et pour d'autres libertés et droits fondamentaux; c) associer les parties prenantes intéressées aux discussions et activités visant à développer la coopération internationale dans le domaine de l'application de la législation relative à la protection des données à caractère personnel; d) favoriser l'échange et la documentation de la législation et des pratiques en matière de protection des données à caractère personnel, y compris en ce qui concerne les conflits de compétence avec des pays tiers.

    Text digest 83aa0a6bfc4e8872e797950a26f35a20296c218a207c04116006d3af7fbe6024, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/040

41. 041 Article 41

    Article 41 Autorité de contrôle 1. Chaque État membre prévoit qu'une ou plusieurs autorités publiques indépendantes sont chargées de surveiller l'application de la présente directive, afin de protéger les libertés et droits fondamentaux des personnes physiques à l'égard du traitement et de faciliter le libre flux des données à caractère personnel au sein de l'Union (ci-après dénommées «autorité de contrôle»). 2. Chaque autorité de contrôle contribue à l'application cohérente de la présente directive dans l'ensemble de l'Union. À cette fin, les autorités de contrôle coopèrent entre elles et avec la Commission conformément au chapitre VII. 3. Les États membres peuvent prévoir qu'une autorité de contrôle instituée au titre du règlement (UE) 2016/679 est l'autorité de contrôle visée dans la présente directive et prend en charge les missions de l'autorité de contrôle devant être instituée en vertu du paragraphe 1 du présent article. 4. Lorsqu'un État membre institue plusieurs autorités de contrôle, il désigne celle qui représente ces autorités au comité visé à l'article 51.

    Text digest 81ce2eb9eb37859b79f8d5ca1653a5c37efbc93e8c4c4af8eee63a606b8a1a68, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/041

42. 042 Article 42

    Article 42 Indépendance 1. Chaque État membre prévoit que chaque autorité de contrôle agit en toute indépendance dans l'exercice de ses missions et des pouvoirs dont elle est investie conformément à la présente directive. 2. Les États membres prévoient que, dans l'exercice de leurs missions et de leurs pouvoirs conformément à la présente directive, le ou les membres de leurs autorités de contrôle demeurent libres de toute influence extérieure, qu'elle soit directe ou indirecte, et ne sollicitent ni n'acceptent d'instructions de quiconque. 3. Le ou les membres des autorités de contrôle des États membres s'abstiennent de tout acte incompatible avec leurs fonctions et, pendant la durée de leur mandat, n'exercent aucune activité professionnelle incompatible, rémunérée ou non. 4. Chaque État membre veille à ce que chaque autorité de contrôle dispose des ressources humaines, techniques et financières ainsi que des locaux et de l'infrastructure nécessaires à l'exercice effectif de ses missions et de ses pouvoirs, y compris lorsque celle-ci doit agir dans le cadre de l'assistance mutuelle, de la coopération et de la participation au comité. 5. Chaque État membre veille à ce que chaque autorité de contrôle choisisse et dispose de ses propres agents, qui sont placés sous les ordres exclusifs du membre ou des membres de l'autorité de contrôle concernée. 6. Chaque État membre veille à ce que chaque autorité de contrôle soit soumise à un contrôle financier qui ne menace pas son indépendance et qu'elle dispose d'un budget annuel public propre, qui peut faire partie du budget global national ou d'une entité fédérée.

    Text digest 842d2735de0e9d924e80a373fdd8d3f07fb73086d55e83760ed2a625677400e3, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/042

43. 043 Article 43

    Article 43 Conditions générales applicables aux membres de l'autorité de contrôle 1. Les États membres prévoient que chacun des membres de leurs autorités de contrôle est nommé selon une procédure transparente par: leur parlement, leur gouvernement, leur chef d'État, ou un organisme indépendant chargé de procéder à la nomination en vertu du droit de l'État membre. 2. Chaque membre a les qualifications, l'expérience et les compétences nécessaires, en particulier dans le domaine de la protection des données à caractère personnel, pour l'exercice de leurs fonctions et de leurs pouvoirs. 3. Les fonctions d'un membre prennent fin à l'échéance de son mandat, en cas de démission ou de mise à la retraite d'office, conformément au droit de l'État membre concerné. 4. Un membre ne peut être démis de ses fonctions que s'il a commis une faute grave ou s'il ne remplit plus les conditions nécessaires à l'exercice de ses fonctions.

    Text digest d3c02b617a1497ef28ffa6e24cc82d96948192ceca28902666b5ef12a2545832, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/043

44. 044 Article 44

    Article 44 Règles relatives à l'établissement de l'autorité de contrôle 1. Chaque État membre prévoit, par la loi, tous les éléments suivants: a) la création de chaque autorité de contrôle; b) les qualifications et les conditions d'éligibilité requises pour être nommé membre de chaque autorité de contrôle; c) les règles et les procédures pour la nomination du ou des membres de chaque autorité de contrôle; d) la durée du mandat du ou des membres de chaque autorité de contrôle, qui ne peut être inférieure à quatre ans, sauf pour la première nomination après le 6 mai 2016, dont une partie peut être d'une durée plus courte lorsque cela est nécessaire pour protéger l'indépendance de l'autorité de contrôle au moyen d'une procédure de nominations échelonnées; e) le caractère renouvelable ou non renouvelable du mandat du ou des membres de chaque autorité de contrôle et, si c'est le cas, le nombre de mandats; f) les conditions régissant les obligations du ou des membres et des agents de chaque autorité de contrôle, les interdictions d'activités, d'emplois et d'avantages incompatibles avec celles-ci, y compris après la fin de leur mandat, et les règles régissant la cessation de l'emploi. 2. Le membre ou les membres et les agents de chaque autorité de contrôle sont soumis, conformément au droit de l'Union ou au droit de l'État membre, au secret professionnel concernant toute information confidentielle dont ils ont eu connaissance dans l'exercice de leurs missions ou de leurs pouvoirs, y compris après la cessation de leurs activités. Pendant la durée de leur mandat, ce devoir de secret professionnel s'applique en particulier au signalement par des personnes physiques de violations de la présente directive.

    Text digest 1454f73b4c00c5b7662856f6f5504af076922fdadc7bebd4bbd13b404de2e0b3, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/044

45. 045 Article 45

    Article 45 Compétence 1. Chaque État membre prévoit que chaque autorité de contrôle est compétente pour exercer les missions et les pouvoirs dont elle est investie conformément à la présente directive, sur le territoire de l'État membre dont elle relève. 2. Chaque État membre prévoit que chaque autorité de contrôle n'est pas compétente pour contrôler les opérations de traitement effectuées par les juridictions dans l'exercice de leur fonction juridictionnelle. Les États membres peuvent prévoir que leur autorité de contrôle n'est pas compétente pour contrôler les opérations de traitement effectuées par d'autres autorités judiciaires indépendantes lorsqu'elles agissent dans l'exercice de leur fonction juridictionnelle.

    Text digest 049158d57e2ae2165c931b19d600fcd1ac6a89fcc6a550ef18d49498c88a2553, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/045

46. 046 Article 46

    Article 46 Missions 1. Chaque État membre prévoit que, sur son territoire, chaque autorité de contrôle: a) contrôle l'application des dispositions adoptées en application de la présente directive et de ses mesures d'exécution et veille au respect de celles-ci; b) favorise la sensibilisation du public et sa compréhension des risques, des règles, des garanties et des droits relatifs au traitement; c) conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement; d) encourage la sensibilisation des responsables du traitement et des sous-traitants aux obligations qui leur incombent en vertu de la présente directive; e) fournit, sur demande, à toute personne concernée, des informations sur l'exercice de ses droits découlant de la présente directive et, le cas échéant, coopère à cette fin avec les autorités de contrôle d'autres États membres; f) traite les réclamations introduites par une personne concernée ou par un organisme, une organisation ou une association conformément à l'article 55, enquête sur l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête ou une coordination avec une autre autorité de contrôle est nécessaire; g) vérifie la licéité du traitement en vertu de l'article 17, et informe la personne concernée dans un délai raisonnable de l'issue de la vérification, conformément au paragraphe 3 dudit article, ou des motifs ayant empêché sa réalisation; h) coopère avec d'autres autorités de contrôle, y compris en partageant des informations, et leur fournit une assistance mutuelle dans ce cadre en vue d'assurer une application cohérente de la présente directive et des mesures prises pour en assurer le respect; i) effectue des enquêtes sur l'application de la présente directive, y compris sur la base d'informations reçues d'une autre autorité de contrôle ou d'une autre autorité publique; j) suit les évolutions pertinentes, dans la mesure où elles ont une incidence sur la protection des données à caractère personnel, notamment dans le domaine des technologies de l'information et de la communication; k) fournit des conseils sur les opérations de traitement visées à l'article 28; et l) contribue aux activités du comité. 2. Chaque autorité de contrôle facilite l'introduction des réclamations visées au paragraphe 1, point f), par des mesures telles que la fourniture d'un formulaire de réclamation qui peut être rempli également par voie électronique, sans que d'autres moyens de communication ne soient exclus. 3. L'accomplissement des missions de chaque autorité de contrôle est gratuit pour la personne concernée et pour le délégué à la protection des données. 4. Lorsqu'une demande est manifestement infondée ou excessive, en raison, notamment, de son caractère répétitif, l'autorité de contrôle peut exiger le paiement de frais raisonnables basés sur ses coûts administratifs ou refuser de donner suite à la demande. Il incombe à l'autorité de contrôle de démontrer le caractère manifestement infondé ou excessif de la demande.

    Text digest 9291237285df13d0856299293fd37f3a655519f6469b8b4eb3d522b99f9b8d68, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/046

47. 047 Article 47

    Article 47 Pouvoirs 1. Chaque État membre prévoit, par la loi, que chaque autorité de contrôle dispose de pouvoirs d'enquête effectifs. Ces pouvoirs comprennent au moins celui d'obtenir du responsable du traitement ou du sous-traitant l'accès à toutes les données à caractère personnel qui sont traitées et à toutes les informations nécessaires à l'exercice de ses missions. 2. Chaque État membre prévoit, par la loi, que chaque autorité de contrôle dispose de pouvoirs effectifs en matière d'adoption de mesures correctrices, tels que, par exemple: a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions adoptées en vertu de la présente directive; b) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de traitement en conformité avec les dispositions adoptées en vertu de la présente directive, le cas échéant, de manière spécifique et dans un délai déterminé, en particulier en ordonnant la rectification ou l'effacement de données à caractère personnel ou la limitation du traitement en application de l'article 16; c) limiter temporairement ou définitivement, y compris interdire, un traitement. 3. Chaque État membre prévoit, par la loi, que chaque autorité de contrôle dispose de pouvoirs consultatifs effectifs pour conseiller le responsable du traitement conformément à la procédure de consultation préalable visée à l'article 28 et d'émettre, de sa propre initiative ou sur demande, des avis à l'attention de son parlement national et de son gouvernement ou, conformément à son droit national, d'autres institutions et organismes ainsi que du public, sur toute question relative à la protection des données à caractère personnel. 4. L'exercice des pouvoirs conférés à l'autorité de contrôle en application du présent article est subordonné à des garanties appropriées, y compris le droit à un recours juridictionnel effectif et à une procédure régulière, prévues par le droit de l'Union et le droit de l'État membre conformément à la Charte. 5. Chaque État membre prévoit, par la loi, que chaque autorité de contrôle a le pouvoir de porter les violations des dispositions adoptées en vertu de la présente directive à la connaissance des autorités judiciaires et, le cas échéant, d'ester en justice d'une manière ou d'une autre, en vue de faire respecter les dispositions adoptées en vertu de la présente directive.

    Text digest 489dd6703dc35b003b85a9e9c1569a932261f65512a39ce8c5434bf3994a23bf, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/047

48. 048 Article 48

    Article 48 Signalement des violations Les États membres prévoient que les autorités compétentes mettent en place des mécanismes efficaces pour encourager le signalement confidentiel des violations de la présente directive.

    Text digest cf8054f66ad338d24d68fae0f8b3d7d191bf1aafc0d88a7871753154bbd6c74d, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/048

49. 049 Article 49

    Article 49 Rapports d'activité Chaque autorité de contrôle établit un rapport annuel sur ses activités, qui peut comprendre une liste des types de violations notifiées et des types de sanctions imposées. Les rapports sont transmis au parlement national, au gouvernement et à d'autres autorités désignées par le droit de l'État membre. Ils sont mis à la disposition du public, de la Commission et du comité.

    Text digest 2e7db4b819893e50fa18634afaf8d9040953a02d512c994e184c6af530b0dda7, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/049

50. 050 Article 50

    Article 50 Assistance mutuelle 1. Chaque État membre prévoit que leurs autorités de contrôle se communiquent les informations utiles et se prêtent mutuellement assistance en vue de mettre en œuvre et d'appliquer la présente directive de façon cohérente, et met en place des mesures pour coopérer efficacement. L'assistance mutuelle concerne notamment les demandes d'information et les mesures de contrôle, telles que les demandes de consultation, les inspections et les enquêtes. 2. Chaque État membre prévoit que chaque autorité de contrôle prend toutes les mesures appropriées requises pour répondre à la demande d'une autre autorité de contrôle dans les meilleurs délais et au plus tard un mois après réception de la demande. De telles mesures peuvent comprendre notamment la transmission d'informations utiles sur la conduite d'une enquête. 3. Les demandes d'assistance contiennent toutes les informations nécessaires, notamment la finalité et les motifs de la demande. Les informations échangées ne sont utilisées qu'aux fins pour lesquelles elles ont été demandées. 4. Une autorité de contrôle saisie d'une demande ne peut refuser d'y satisfaire, sauf si: a) elle n'est pas compétente pour traiter l'objet de la demande ou les mesures qu'elle est invitée à exécuter; ou b) satisfaire à la demande constituerait une violation de la présente directive ou du droit de l'Union ou du droit de l'État membre auquel l'autorité de contrôle qui a reçu la demande est soumise. 5. L'autorité de contrôle requise informe l'autorité de contrôle requérante des résultats obtenus ou, selon le cas, de l'avancement du dossier ou des mesures prises pour donner suite à la demande. L'autorité de contrôle requise donne les motifs de tout refus de satisfaire à une demande en application du paragraphe 4. 6. Les autorités de contrôle requises communiquent, en règle générale, par voie électronique et au moyen d'un formulaire type, les informations demandées par d'autres autorités de contrôle. 7. Les autorités de contrôle requises ne perçoivent pas de frais pour une mesure qu'elles prennent à la suite d'une demande d'assistance mutuelle. Les autorités de contrôle peuvent convenir de règles concernant l'octroi de dédommagements entre elles pour des dépenses spécifiques résultant de la fourniture d'une assistance mutuelle dans des circonstances exceptionnelles. 8. La Commission peut, par voie d'actes d'exécution, préciser la forme et les procédures de l'assistance mutuelle visée au présent article, ainsi que les modalités de l'échange d'informations par voie électronique entre les autorités de contrôle et entre les autorités de contrôle et le comité. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 58, paragraphe 2.

    Text digest e3f86b70760c81ee7de3d4ec71db5fa6465c004a72b96502631c3bd0c5433825, body digest 1d47f325e999f17c2c2e756ccd37cb980c55e0553ec1c63f8db691b4c937dd3c, official source https://publications.europa.eu/resource/cellar/57435734-a5ec-4e15-8485-6e2b0039c3f6.0019.01, /eu-eurlex/32016L0680/2016-05-04--1d512c3987aa9b5acd0a939ab3669c323e1afcc72bdef457556b6547a9ae6056/fra/050