Le droit à l'information

En cas de traitement de données à caractère personnel vous concernant, les informations suivantes doivent vous être fournies :

1. l'identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement;
2. le cas échéant, les coordonnées du délégué à la protection des données données (« DPD ») (en anglais « data protection officer » ou DPO);
3. les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement;
4. les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers lorsque le traitement utilise ce fondement;
5. les destinataires ou les catégories de destinataires des données à caractère personnel, s'ils existent; et
6. le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par la Commission ou, dans le cas des transferts visés à l'article 46 ou 47, ou à l'article 49, paragraphe 1, deuxième alinéa, du RGPD, la référence aux garanties appropriées ou adaptées et les moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition;
7. la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée;
8. l'existence du droit de demander au responsable du traitement l'accès aux données à caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ou du droit de s'opposer au traitement et du droit à la portabilité des données;
9. lorsque le traitement est fondé sur votre consentement, l'existence du droit de retirer son consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci;
10. le droit d'introduire une réclamation auprès d'une autorité de contrôle;
11. des informations sur la question de savoir si l'exigence de fourniture de données à caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la conclusion d'un contrat et si la personne concernée est tenue de fournir les données à caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de ces données;
12. l'existence d'une prise de décision automatisée, y compris un profilage, produisant des effets juridiques la concernant et pouvant utiliser des catégories particulières de données, et au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée..

En cas de collecte indirecte, c’est à dire si les données n’ont pas été collectées directement auprès de vous, les catégories de données à caractère personnel concernées doivent également vous être fournies.

Enfin, certaines informations particulières doivent vous être communiquées en cas de violation de données à caractère personnel.

C’est le responsable du traitement qui doit vous communiquer ces éléments d’informations.

Le responsable du traitement est défini par le RGPD comme « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ».

Il s’agit donc de l’entreprise, l’administration, l’association, le professionnel, etc. qui traite vos données, et le cas échéant qui envisage de les transmettre à d’autres organismes.

Les informations qui vous sont communiquées doivent être aisément accessibles, faciles à comprendre et formulées dans des termes clairs et simples.

Les informations peuvent être fournies par écrit ou par d'autres moyens y compris, lorsque c'est approprié, par voie électronique.

Si les données ont été collectées directement auprès de vous, ces informations doivent vous être fournies au moment où les données en question sont obtenues.

En cas de collecte indirecte, c’est à dire si les données n’ont pas été collectées directement auprès de vous-même, ces informations doivent vous être fournies:

1. dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées
2. si les données à caractère personnel doivent être utilisées par le responsable du traitement aux fins de communication avec vous, au plus tard au moment de la première communication; ou
3. s'il est envisagé de communiquer les informations à un autre destinataire, au plus tard lorsque les données à caractère personnel sont communiquées pour la première fois.

Le droit à l’information ne s’applique pas lorsque vous disposez déjà de ces informations.

En outre, en cas de collecte indirecte, c’est à dire si les données n’ont pas été collectées directement auprès de vous-même, le droit à l’information ne s’applique pas lorsque :

1. la fourniture de telles informations se révèle impossible ou exigerait des efforts disproportionnés, en particulier pour le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques sous réserve des conditions et garanties visées à l'article 89, paragraphe 1 du RGPD, ou dans la mesure où le droit à l’information est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement. En pareils cas, le responsable du traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles;
2. l'obtention ou la communication des informations sont expressément prévues par le droit de l'Union ou le droit de l'État membre auquel le responsable du traitement est soumis et qui prévoit des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée; ou
3. les données à caractère personnel doivent rester confidentielles en vertu d'une obligation de secret professionnel réglementée par le droit de l'Union ou le droit des États membre, y compris une obligation légale de secret professionnel.

Lorsqu'une violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour vos droits et libertés, celle-ci doit vous être communiquée par le responsable du traitement dans les meilleurs délais.

Cette communication doit décrire, en des termes clairs et simples, la nature de la violation de données à caractère personnel et contient au moins les informations et mesures visées à l'article 33, paragraphe 3, points b), c) et d) du RGPD.

Cette communication n’est cependant pas nécessaire si l'une ou l'autre des conditions suivantes est remplie:

1. le responsable du traitement a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et ces mesures ont été appliquées aux données à caractère personnel affectées par ladite violation, en particulier les mesures qui rendent les données à caractère personnel incompréhensibles pour toute personne qui n'est pas autorisée à y avoir accès, telles que le chiffrement ;
2. le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés des personnes concernées visé au paragraphe 1 (article 34 RGPD) n'est plus susceptible de se matérialiser ;
3. la communication exigerait des efforts disproportionnés. Dans ce cas, il est plutôt procédé à une communication publique ou à une mesure similaire permettant aux personnes concernées d'être informées de manière tout aussi efficace.