Le GDPR et le contexte juridique.
Objet et objectifs du GDPR
- Ce règlement fixe les règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation des données à caractère personnel.
- Ce règlement protège les libertés et droits fondamentaux des personnes physiques et notamment leur droit à la protection des données à caractère personnel.
- La libre circulation des données à caractère personnel dans l’Union n’est ni restreinte ni interdite pour des motifs liés à la protection des personnes physiques à l’égard du traitement des données à caractère personnel.
Champ d’application matériel du GDPR
- Le présent règlement s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement de données à caractère personnel contenues ou appelées à figurer dans un fichier.
- Ce règlement ne s’applique pas au traitement des données personnelles :
(a) dans le cadre d’activités ne relevant pas du champ d’application du droit de l’Union ;
(b) par les États membres lorsqu’ils exercent des activités relevant du champ d’application de l’UE ;
(c) par une personne physique dans l’exercice d’une activité purement personnelle ou domestique ;
(d) par les autorités compétentes pour la prévention, la recherche, la détection et la poursuite d’infractions pénales ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces - Le traitement des données à caractère personnel par les institutions, organes et organismes de l’Union est régi par le règlement (CE) n° 45/2001. Règlement (CE) no. 45/2001 et d’autres actes juridiques de l’Union applicables à ce traitement de données à caractère personnel sont adaptés aux principes et règles du présent règlement conformément à l’article 98.
- Le présent règlement est sans préjudice de l’application de la directive 2000/31/CE et, en particulier, des règles des articles 12 à 15 de cette directive concernant la responsabilité des prestataires de services intermédiaires.
Champ d’application territorial de la législation GDPR
- Le présent règlement s’applique au traitement des données à caractère personnel dans le cadre des activités d’un établissement d’un responsable du traitement ou d’un sous-traitant dans l’Union, que le traitement ait lieu ou non dans l’Union.
Ainsi, dès qu’une organisation a une succursale dans l’Union, la LVA s’applique. Que la transformation ait lieu ou non dans l’Union !
Exemple : Microsoft, Facebook ont une filiale européenne, le paragraphe 1 est donc applicable. Twitter et Google n’ont pas cette possibilité, d’où la présence d’un membre ?
- Le présent règlement s’applique au traitement des données à caractère personnel des personnes concernées situées dans l’Union par un responsable du traitement ou un sous-traitant qui n’est pas établi dans l’Union, lorsque le traitement est lié :
(a) offrir des biens ou des services à ces personnes concernées dans l’Union, indépendamment du fait qu’un paiement par les personnes concernées soit exigé ou non ; ou
(b) surveiller leur comportement, dans la mesure où ce comportement a lieu dans l’Union.Toutefois, ils doivent désigner un représentant au sein de l’Union. (article 27)
- Le présent règlement s’applique au traitement de données à caractère personnel par un responsable du traitement qui n’est pas établi dans l’Union, mais dans un lieu où, en vertu du droit international public, le droit de l’État membre s’applique.
Exemple : traitement par les consulats et autres établissements diplomatiques des États membres de l’Union, en dehors de l’Union
