Notre précédente publication* sur le Règlement (UE) 2016/79 sur la protection des données personnelles (RGPD), entré en vigueur le 25/05/2018, avait pour objectif d’alerter les entreprises monégasques sur les apports majeurs et les conséquences de cette législation européenne à portée extraterritoriale, alors que le thème était encore peu abordé en Principauté.

La présente publication tend à mettre en lumière un aspect singulier du RGPD : alors qu’un Règlement de l’Union Européenne est en principe d’application directe, une marge de manœuvre est laissée aux États-membres s’agissant d’un certain nombre de dispositions du RGPD.

Autrement dit, bien qu’ayant vocation à harmoniser le droit européen de la protection des données personnelles des personnes physiques, le RGPD ne sera pas appliqué par les États-membres de manière complètement uniforme.

Un état des lieux des législations nationales d’intégration du RGPD vous est proposé sous forme de tableau.

* « Le Règlement (UE) 2016/79 sur la protection des données personnelles (GDPR) : pourquoi les entreprises à Monaco doivent s’y préparer », Newsletter #18 – 09/2017.

• Les clauses d’ouverture du RGPD

• Les législations d’intégration du RGPD

• Tableau « Aperçu des législations des États-membres de l’Union Européenne intégrant le RGPD » (état : 06/06/2018)

Bien que le RGPD tende à « assurer une application cohérente et homogène des règles de protection des libertés et droits fondamentaux des personnes physiques à l’égard du traitement des données à caractère personnel dans l’ensemble de l’Union »[1], les États-membres peuvent préciser ou restreindre la portée de certaines de ses règles[2] (clauses d’ouverture).

Le RGPD n’harmonise donc pas complètement le droit européen de la protection des données personnelles.

• Les clauses d’ouverture du RGPD

Les États-membres de l’Union Européenne ont la faculté :

— de maintenir ou introduire des dispositions nationales précisant l’application des règles du RGPD relatives au traitement de données personnelles nécessaire au respect d’une obligation légale, à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement (art. 23, § 1 RGPD)[3] ;

— de préciser les règles du RGPD s’agissant de secteurs spécifiques et de situations particulières de traitement (art. 85 à 91 RGPD)[4] ;

— de déterminer plus précisément les conditions de licéité du traitement nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique (art. 6, § 2 RGPD) ;

— en ce qui concerne l’offre directe de services de la société de l’information[5] aux enfants, d’abaisser l’âge de 16 ans jusqu’à 13 ans pour que le traitement soit licite (art. 8, § 1 RGPD) ;

— de maintenir ou introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques, biométriques ou concernant la santé (art. 9, § 4 RGPD) ;

— d’exiger que les responsables du traitement consultent l’autorité de contrôle et obtiennent son autorisation préalable en ce qui concerne le traitement dans le cadre d’une mission d’intérêt public exercée par celui-ci, y compris le traitement dans le cadre de la protection sociale et de la santé publique (art. 36, § 5 RGPD) ;

— de fixer expressément des limites au transfert de catégories spécifiques de données personnelles vers un pays tiers, pour des motifs importants d’intérêt public (art. 49 RGPD) ;

— de prévoir que son autorité de contrôle dispose de pouvoirs additionnels à son pouvoir d’enquête, son pouvoir d’adopter des mesures correctrices, son pouvoir d’autorisation et ses pouvoirs consultatifs listés par le RGPD (art. 58, § 6 RGPD) ;

— de prévoir, si le système juridique national ne prévoit pas d’amendes administratives, que l’amende est déterminée par l’autorité de contrôle compétente et imposée par les juridictions nationales compétentes (art. 83, § 9 RGPD) ;

— de déterminer le régime des sanctions applicables pour les violations du RGPD qui ne font pas l’objet d’amendes administratives (art. 84, § 1 RGPD).

• Les législations d’intégration du RGPD

Au moment de l’entrée en vigueur du RGPD le 25/05/2018, seuls 12 États-membres avaient pu mener à terme leur processus législatif et adopter les dispositions nationales d’intégration (voir le tableau ci-après).

Ces États peuvent être répartis en trois groupes, au regard de l’utilisation faite des clauses d’ouverture du RGPD :

— Approche minimale avec une utilisation limitée des clauses d’ouverture (Autriche, Croatie, Pologne, Pays-Bas, Slovaquie) : modification des dispositions nationales en ce que cela est nécessaire à la mise en œuvre du RGPD ; rares cas de limitation de l’exercice des droits des personnes concernées ;

— Approche libérale favorable aux personnes concernées avec une utilisation modérée des clauses d’ouverture (Danemark, Espagne, France, Irlande, Royaume-Uni, Suède) : élargissement du champ des traitements licites dans des secteurs spécifiques et situations particulières ; rares cas de limitation de l’exercice des droits des personnes concernées ;

— Approche libérale favorable aux entreprises avec une utilisation large des clauses d’ouverture (Allemagne) : élargissement du champ des traitements licites dans des secteurs spécifiques et situations particulières ; nombreux cas de limitation de l’exercice des droits des personnes concernées.

Les écarts suscitant les plus vives inquiétudes concernent :

— l’âge conditionnant la licéité du traitement des données des enfants dans le cadre de l’offre directe de services de la société de l’information, variant selon les États-membres entre 13 et 16 ans (art. 8 RGPD) ;

— le droit de toute personne ayant subi un dommage matériel ou moral du fait d’une violation du RGPD d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi, dont les modalités et les facilités d’exercice pourront varier selon l’État membre devant lequel ce droit serait exercé (art. 80 et 82 RGPD).

Au vu des disparités nationales, la vigilance est de rigueur, à tout le moins lorsque l’activité de l’entreprise touche les résidents de plusieurs États-membres de l’Union Européenne.

• Aperçu des législations des États-membres de l’Union Européenne intégrant le RGPD