E-Justice, Droit et Justice en réseaux dans l’ Union Européenne vendredi 23 novembre 2012

1. Le projet de règlement Européen E-Justice, Droit et Justice en réseaux dans l’ Union Européenne vendredi 23 novembre 2012 Traitement des données à caractère personnel et circulation de ces données au sein d’E-Justice : quelle(s) réglementation(s), quel(s) outils au sein de l’Union ? Nathalie Métallinos, Avocat Bird & Bird AARPI, Responsable de l’atelier ADIJ « Protection des données personnelles » nathalie.metallinos@twobirds.com

2. Le règlement est directement applicable Adoption prévue en 2014, entrée en vigueur : 2016 Harmonisation partielle en dépit de l’instauration d’un mécanisme de cohérence 1) Projet de Directive Police-Justice (ex-3èle pilier) 2) Conséquence nationale résiduelle: Condamnations pénales (Art 9) Prévention des infractions (A. 21) Journalisme (A.80) Santé (A.81) Emploi (A.82) Recherches statistiques et historiques (A.83) Secret professionnel (A.84) Eglises (A.85) Le nouveau règlement a vocation à remplacer les règles actuelles posée par la Directive 95/46 et harmoniser le cadre européen • Extrême complexité du texte • 91 articles/90 pages + 139 considérants + renvoi à plus de 50 actes délégués (contre 34 articles, 72 considérants pour la directive 95/46)

3. Plan • Nouvelles règles de compétence des autorités • Obligation de prouver la conformité • Nouvelle définitions des traitement « à risques » • Régime des sanctions • Obligation de désigner un délégué des données personnelles • Notification des « violations de sécurité • Renforcement des droits des personnes • Transferts de données – reconnaissance des “Règles internes d’entreprises” et simplifications

4. 1. Nouvelles règles de compétence des autorités :dépend du lieu de l’établissement principal (Art. 51 & 4, 13)

5. 1.1 Les limites de la règle du guichet unique

6. 2. Les traitements « à risques » (Art.33 et 34) • Notamment : • Profils automatisés…   « systématiques » ou « à grande échelle » • vidéosurveillance …« à grande échelle » • données sensibles (dont condamnations) données relatives aux mineurs, données génétiques ou biométriques • Mais aussi : • ceux identifiés comme présentant des risques (rôle de l’étude d’impact) • Ceux listés par l’autorité de contrôle • Ceux qui seront prévus dans les actes délégués

7. 3: Nécessite de prouver la conformité (Art 5-f)

8. 4: Des sanctions qui se veulent dissuasives

9. 5. Obligation de désigner un délégué des données personnelles (art.35) (y compris dans le secteur public) • Seuil de 250 employés ou • Activités exigeant un « suivi régulier et systématique des individus »

10. 6. Notification des « violations de sécurité » (Art. 31)

11. 7. Renforcement des droits des personnes (tenir compte des problématique propres à internet – mais concerne aussi le “hors ligne”) • Droit à l’oubli/effacement • Portabilité des données • Droit d’opposition aux mesures de profilage • Droit à réclamation auprès de l’autorité de contrôle, droit à un recours juridictionnel, Droit à réparation + étendu à des organismes/associations œuvrant à la protection des personnes • Condition de consentement (ne vaut si « déséquilibre significatif ») • Traitement des données relatives aux enfants • Extension aux sous-traitants de la responsabilité du fait des traitements

12. Principe d’adéquation (vise également les organisation internationales et les secteurs de traitement) BCR reconnus dans le règlement et étendus pour couvrir données traitées pour le compte de clients (BCR sous-traitants) Clauses contractuelles type - y compris ad hoc (sous réserve d’approbation) Transferts basés sur l’intérêt légitime(sous réserve de formalité auprès de l’autorité de contrôle Transferts exclusivement destinés à reporter à des obligations issues de législations étrangères (hors UE) – principe d’interdiction 8: Transferts de données – reconnaissance des “Règles internes d’entreprises” et simplifications

13. Questions & discussion?

14. Nathalie.metallinos@twobirds.com Bird & Bird is an international legal practice comprising Bird & Bird LLP and its affiliated and associated businesses. Bird & Bird LLP is a limited liability partnership, registered in England and Wales with registered number OC340318 and is regulated by the Solicitors Regulation Authority. Its registered office and principal place of business is at 15 Fetter Lane, London EC4A 1JP. A list of members of Bird & Bird LLP and of any non-members who are designated as partners, and of their respective professional qualifications, is open to inspection at that address. www.twobirds.com