|
CHAPITRE VI AUTORITÉ DE CONTRÔLE ET
GROUPE DE PROTECTION DES PERSONNES À L'ÉGARD DU TRAITEMENT DES DONNÉES
À CARACTÈRE PERSONNEL
Article 28
Autorité de contrôle
1. Chaque État membre prévoit qu'une ou plusieurs autorités publiques
sont chargées de surveiller l'application, sur son territoire, des
dispositions adoptées par les États membres en application de la présente
directive.
Ces autorités exercent en toute indépendance les missions dont elles
sont investies.
2. Chaque État membre prévoit que les autorités de contrôle sont
consultées lors de l'élaboration des mesures réglementaires ou
administratives relatives à la protection des droits et libertés des
personnes à l'égard du traitement de données à caractère personnel.
3. Chaque autorité de contrôle dispose notamment:
- de pouvoirs d'investigation, tels que le pouvoir d'accéder aux données
faisant l'objet d'un traitement et de recueillir toutes les informations nécessaires
à l'accomplissement de sa mission de contrôle,
- de pouvoirs effectifs d'intervention, tels que, par exemple, celui de
rendre des avis préalablement à la mise en oeuvre des traitements,
conformément à l'article 20, et d'assurer une publication appropriée de
ces avis ou celui d'ordonner le verrouillage, l'effacement ou la
destruction de données, ou d'interdire temporairement ou définitivement
un traitement, ou celui d'adresser un avertissement ou une admonestation
au responsable du traitement ou celui de saisir les parlements nationaux
ou d'autres institutions politiques,
- du pouvoir d'ester en justice en cas de violation des dispositions
nationales prises en application de la présente directive ou du pouvoir
de porter ces violations à la connaissance de l'autorité judiciaire.
Les décisions de l'autorité de contrôle faisant grief peuvent faire
l'objet d'un recours juridictionnel.
4. Chaque autorité de contrôle peut être saisie par toute personne, ou
par une association la représentant, d'une demande relative à la
protection de ses droits et libertés à l'égard du traitement de données
à caractère personnel. La personne concernée est informée des suites
données à sa demande.
Chaque autorité de contrôle peut, en particulier, être saisie par toute
personne d'une demande de vérification de la licéité d'un traitement
lorsque les dispositions nationales prises en vertu de l'article 13 de la
présente directive sont d'application. La personne est à tout le moins
informée de ce qu'une vérification a eu lieu.
5. Chaque autorité de contrôle établit à intervalles réguliers un
rapport sur son activité. Ce rapport est publié.
6. Indépendamment du droit national applicable au traitement en cause,
chaque autorité de contrôle a compétence pour exercer, sur le
territoire de l'État membre dont elle relève, les pouvoirs dont elle est
investie conformément au paragraphe 3. Chaque autorité peut être appelée
à exercer ses pouvoirs sur demande d'une autorité d'un autre État
membre.
Les autorités de contrôle coopèrent entre elles dans la mesure nécessaire
à l'accomplissement de leurs missions, notamment en échangeant toute
information utile.
7. Les États membres prévoient que les membres et agents des autorités
de contrôle sont soumis, y compris après cessation de leurs activités,
à l'obligation du secret professionnel à l'égard des informations
confidentielles auxquelles ils ont accès.
Article 29
Groupe de protection des personnes à l'égard du traitement des données
à caractère personnel
1. Il est institué un groupe de protection des personnes à l'égard du
traitement des données à caractère personnel, ci-après dénommé «groupe».
Le groupe a un caractère consultatif et indépendant.
2. Le groupe se compose d'un représentant de l'autorité ou des autorités
de contrôle désignées par chaque État membre, d'un représentant de
l'autorité ou des autorités créées pour les institutions et organismes
communautaires et d'un représentant de la Commission.
Chaque membre du groupe est désigné par l'institution, l'autorité ou
les autorités qu'il représente. Lorsqu'un État membre a désigné
plusieurs autorités de contrôle, celles-ci procèdent à la nomination
d'un représentant commun. Il en va de même pour les autorités créées
pour les institutions et organismes communautaires.
3. Le groupe prend ses décisions à la majorité simple des représentants
des autorités de contrôle.
4. Le groupe élit son président. La durée du mandat du président est
de deux ans. Le mandat est renouvelable.
5. Le secrétariat du groupe est assuré par la Commission.
6. Le groupe établit son règlement intérieur.
7. Le groupe examine les questions mises à l'ordre du jour par son président,
soit à l'initiative de celui-ci, soit à la demande d'un représentant
des autorités de contrôle ou de la Commission.
Article 30
1. Le groupe a pour mission:
a) d'examiner toute question portant sur la mise en oeuvre des
dispositions nationales prises en application de la présente directive,
en vue de contribuer à leur mise en oeuvre homogène;
b) de donner à la Commission un avis sur le niveau de protection dans la
Communauté et dans les pays tiers;
c) de conseiller la Commission sur tout projet de modification de la présente
directive, sur tout projet de mesures additionnelles ou spécifiques à
prendre pour sauvegarder les droits et libertés des personnes physiques
à l'égard du traitement des données à caractère personnel, ainsi que
sur tout autre projet de mesures communautaires ayant une incidence sur
ces droits et libertés;
d) de donner un avis sur les codes de conduite élaborés au niveau
communautaire.
2. Si le groupe constate que des divergences, susceptibles de porter
atteinte à l'équivalence de la protection des personnes à l'égard du
traitement des données à caractère personnel dans la Communauté, s'établissent
entre les législations et pratiques des États membres, il en informe la
Commission.
3. Le groupe peut émettre de sa propre initiative des recommandations sur
toute question concernant la protection des personnes à l'égard du
traitement de données à caractère personnel dans la Communauté.
4. Les avis et recommandations du groupe sont transmis à la Commission et
au comité visé à l'article 31.
5. La Commission informe le groupe des suites qu'elle a données à ses
avis et recommandations. Elle rédige à cet effet un rapport qui est
transmis également au Parlement européen et au Conseil. Ce rapport est
publié.
6. Le groupe établit un rapport annuel sur l'état de la protection des
personnes physiques à l'égard du traitement des données à caractère
personnel dans la Communauté et dans les pays tiers, qu'il communique à
la Commission, au Parlement européen et au Conseil. Ce rapport est publié. |