Projet de réforme européenne sur la protection des données personnelles, enjeux français et anglais
Projet de réforme européenne sur la protection des données personnelles, enjeux français et anglais
Le 25 janvier 2012, la Commission européenne a publié une proposition de règlement relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données. Visant à mieux encadrer le traitement de ces données, ce règlement remplacera l'actuelle Directive 95/46/CE sur la protection des données à caractère personnel. Ce projet donne l'occasion de comparer la législation française et anglaise en matière de protection des données personnelles afin de mettre en évidence les enjeux qu'il pose pour ces deux droits.
Avec la rapide avancée des technologies, le partage et la collecte de données personnelles ont connu une augmentation importante. Les nouvelles technologies ont permis une plus grande facilité dans la collecte, le transfert et l'utilisation de ces données par les entreprises privées et les autorités publiques dans le cadre de leurs activités. Les bases de données personnelles constituent désormais un marché à part entière pour certaines entreprises qui collectent, vendent et diffusent ces informations, on parle alors de « marchandisation » des données personnelles. Tout traitement de données personnelles représente cependant une menace pour le droit au respect de la vie privée des personnes concernées. Ainsi, la protection de ces données par un cadre législatif est indispensable puisqu'il en va de la protection d'un droit fondamental, garantie par l'article 8 de la Convention Européenne des Droits de l'Homme et des Libertés Fondamentales et l'article 8 de la Charte des droits fondamentaux de l'Union européenne. A l'heure où Internet facilite la diffusion en masse des données personnelles à l'échelle planétaire, ce cadre législatif n'a de sens que s'il s'inscrit dans un cadre transnational. Toute la difficulté est de mettre en place une législation qui parvient à concilier les intérêts économiques relatifs à la liberté de circulation des données et les droits relatifs à la protection de la vie privée.
La Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (la Directive), est le texte de référence qui tente d'encadrer le traitement de ces données au niveau européen.
Même si la Directive a permis une certaine forme d'harmonisation du droit de la protection des données personnelles, il existe actuellement une fragmentation des législations des Etats membres comme en témoigne l'exemple des législations françaises et anglaises. En effet, s'agissant d'une directive, ce texte européen ne fait que fixer des objectifs à atteindre, laissant ainsi aux Etats membres une liberté sur certaines questions fondamentales comme la définition même de la notion de donnée personnelle. Cette souplesse a permis à certains Etats membres de mettre en place un système moins protecteur et plus favorable au monde des affaires que d'autres. La fragmentation des législations nationales est également une source de confusion et d'insécurité juridique pour les personnes responsables des traitements de données personnelles ainsi que pour celles concernées par ces traitements.
D'autre part, l'évolution des technologies suscite de nouveaux enjeux pour la protection des données personnelles. Le développement du commerce électronique qui favorise la collecte d'informations tendant à dresser le profil du consommateur à des fins de marketing, ou le développement des technologies de réseaux tel que Facebook dont les membres rendent accessibles des informations les concernant en sont des exemples. Face à cette rapide évolution technologique, la Directive de 1995 devait impérativement être réactualisée.
C'est principalement pour ces raisons que la Commission a proposé une réforme du cadre européen concernant la protection des données personnelles qui s'est concrétisée par la
Proposition de règlement du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. Le choix d’un règlement pour établir ce nouveau cadre n'est pas un hasard. Un règlement, d'applicabilité directe (article 288 TFUE), permettra l'instauration d'un corps harmonisé de règles réduisant ainsi la fragmentation législative actuelle.
Alors que le Parlement européen et le Conseil ont proposé un règlement général visant à réformer la Directive sur la protection des données, quel est le cadre légal au Royaume-Uni et en France? Quels sont les enjeux de cette réforme en cours pour ces deux pays?
Au Royaume-Uni (RU) le texte en vigueur visant à protéger les données personnelles est le Data Protection Act 1998 (loi DPA). Cette loi, entrée en vigueur en 2000, transpose la Directive européenne de 1995 et met en place l'homologue anglais de la Commission Nationale de l'Informatique et des Libertés (CNIL), l'Information Commissioner's Office (ICO), organisme chargé du respect de la protection des données. En France c'est la loi dite informatique et libertés (Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés) qui crée la CNIL. En 2004 une loi (loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel) vient modifier la loi informatique et libertés dans le but de transposer la Directive européenne en droit français.
Bien que la législation française et anglaise en matière de protection des données personnelles s'inspirent d'un même texte européen, de nombreuses divergences subsistent dans ces deux systèmes juridiques en matière de protection des données. La flexibilité de la Directive est à l'origine d'un niveau de protection des données personnelles différents dans ces deux pays. Trois aspects de la législation française et anglaise seront analysés et comparés avec la solution du projet européen afin d'illustrer les principaux enjeux que représente ce projet pour ces deux droits. Enfin, une nouvelle mesure introduite par le projet de réforme sera étudiée au vue de l'enjeu qu'elle représente pour le droit français.
Définition de la donnée personnelle
C'est dans la définition de la donnée personnelle que l'on trouve l'une des divergences les plus importantes entre les systèmes juridiques français et anglais. La définition de la donnée personnelle est fondamentale puisqu'elle détermine le champ d'application de la protection de ces données.
En France, selon la loi informatique et libertés (article 2) « constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres ».
Cette définition, très large, est quasiment identique à celle de la Directive européenne. L'interprétation qu'en a fait la CNIL est également en conformité avec la directive et permet d'inclure aisément dans le champ d'application de la loi toute donnée justifiant d'une protection. La CNIL considère des données comme étant personnelles dès lors qu'elles permettent d'identifier directement ou indirectement des personnes physiques. La définition anglaise d'une donnée personnelle anglaise issue de la loi DPA est plus complexe et a donné lieu à une interprétation par les tribunaux anglais plutôt contestable.
Selon la loi DPA (section 1(1)) une donnée personnelle est celle liée à un individu qui peut être identifié soit grâce à cette donnée, soit grâce à cette donnée et d'autres informations détenues par, ou qui pourraient être détenues par le contrôleur des données. L'interprétation de cette définition par les tribunaux anglais, notamment dans la décision Durant (Michael John Durant v Financial Services Authority [2003] EWCA Civ 1746) qui constitue le précédent en la matière, a été vivement critiquée en ce qu'elle réduit la portée de la protection des données personnelles. Selon cette interprétation, pour être protégée la donnée doit cibler la personne prétendument concernée, et non plus seulement être liée à cette personne, et elle doit toucher à sa vie privée (paragraphe 28 du jugement). Cette définition est plus restrictive que celle de la directive européenne dans la mesure où, contrairement à la directive qui implicitement fait des données personnelles des données touchant en elle-même la vie privée, le droit anglais considère qu'il existe des situations où des données personnelles n'affectent pas la vie privée et ne doivent donc pas bénéficier d'une protection.
Dans la décision Durant, les juges ont estimé que la simple mention du nom d'un individu dans un document détenu par le responsable du traitement ne constitue pas nécessairement une donnée personnelle. En France, la CNIL considère le nom d'une personne comme étant une donnée personnelle par le seul fait qu'il permet d'identifier une personne. Selon la CNIL « une donnée personnelle est toute information relative à une personne physique identifiée ou qui peut être identifiée (…) par référence à un nom etc. ». (Document élaboré par la CNIL, Canevas législatif « Informatique et libertés », Paris le 13 décembre 2006).
Suite à la décision Durant la Commission européenne a adressé en 2004 une lettre de mise en demeure au RU, soulignant la non-conformité de nombreux aspects de la loi DPA et de son application par les tribunaux britanniques, notamment la définition trop étroite de la notion de donnée personnelle, avec la Directive européenne (lettre non-publiée par le gouvernement britannique mais dont le porte-parole de la Commission européenne pour le Marché intérieur, Jonathan Todd, en a confirmé l'existence).
La décision Durant et son interprétation étroite de la définition des données personnelles a été confirmée par la plus haute cour du RU en 2008 (Common Services Agency (Appellants) v Scottish Information Commissioner (Respondent) (Scotland) [2008] UKHL 47). Bien que l'ICO ait tenté de réconcilier la définition européenne des données personnelles avec celle du jugement Durant, ce nouveau jugement de 2008 ne fait qu'aggraver l'ambigüité juridique existante à ce sujet. Le projet de règlement devrait permettre de résoudre cette ambigüité.
La définition retenue par le projet est : « toute information se rapportant à une personne concernée » (article 4 (2)). La définition clé du projet est donc celle de la « personne concernée » (article 4 (1)). Cette définition a été élargie pour inclure les personnes qui peuvent être identifiées par des moyens raisonnablement susceptibles d'être utilisés par le responsable du traitement ou par toute autre personne. En conséquence les informations qui sont raisonnablement susceptibles d'être utilisées pour identifier une personne entrent dans la définition de données personnelles et ce, alors même qu'elles seraient détenues par des personnes tierces. Contrairement au droit anglais, la loi française précise déjà que pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne (article 2, loi informatique et libertés).
Enfin, la définition de la « personne concernée » a été élargie pour inclure les personnes susceptibles d'être identifiées par référence à un identifiant en ligne ou à des données de localisation. Ainsi, le projet s'adapte aux nouvelles technologies en faisant de l'adresse IP et des identifiants cookie des données personnelles.
Cette définition est beaucoup plus large que celle actuellement retenue par le droit anglais afin de mieux protéger les données personnelles et par extension, le droit fondamental au respect de la vie privée. Si le projet est adopté sous la forme d'un règlement, il aura un effet direct et les EM devront l'appliquer en l'état. Le droit anglais sera donc contraint d'élargir sa définition de données personnelles afin de se conformer au droit européen.
Même si l'ICO a exprimé son opposition quant au choix d'un règlement par une déclaration publiée sur son site le jour même de l'adoption du projet (ICO, Initial response from the ICO on the European Commission’s proposal for a new general Data Protection Regulation, 25 janvier 2012) et juge la proposition excessivement contraignante, elle ne remet pas en cause la définition retenue par le projet mais au contraire demande plus de précisions afin d'éviter toute ambigüité future.
Transfert de données personnelles vers un pays tiers (hors Union Européenne)
En 2010, la Commission européenne a de nouveau exprimé son inquiétude quant à l'insuffisance du niveau de protection de la réglementation nationale britannique par rapport à celle de la Directive. Plus précisément la Commission a, par un avis motivé, demandé au RU de renforcer les pouvoirs du ICO (site EUROPA, « Protection des données : la Commission demande au RU de renforcer les pouvoirs de l'autorité nationale chargée de la protection des données, comme le prescrit le droit de l'Union européenne », 24 juin 2010). La Commission reproche en effet au RU de ne pas accorder à son autorité de protection le pouvoir de vérifier, avant tout transfert international de données personnelles, si le niveau de protection des données par les pays tiers (hors Union Européenne) est adéquat. Selon la loi DPA (Annexe 1, Partie 1) le responsable d’un traitement ne peut transférer des données à caractère personnel vers un État n’appartenant pas à l'Espace Economique Européen que si cet État assure un niveau de protection suffisant des libertés et droits fondamentaux des personnes à l’égard du traitement dont ces données font l’objet. Cependant, il appartient au responsable du traitement de s'assurer de ce niveau de protection suffisant. L'ICO ne fait que donner des indications sur ce qui doit être considéré par le responsable du traitement comme étant une protection adéquate.
En France, la CNIL dispose de ce pouvoir prévu par la loi informatique et liberté (articles 68, 69) et ses décrets d'applications (article 105, décret n°2007-451 du 25 mars 2007 modifiant le décret n° 2005-1309 du 20 octobre 2005). Avant tout transfert de données personnelles dans un pays tiers, le responsable du traitement est soumis à un lourd formalisme. Il doit transmettre à la CNIL les informations suivantes : le pays d'établissement du ou des destinataires du transfert ; les finalités générales du transfert ; la nature des traitements opérés chez le ou les destinataires ; les catégories de données à caractère personnel transférées ; les catégories de personnes intéressées par le transfert de données ; les catégories de tiers qui seront rendus destinataires des données transférées (article 101, décret n°2007-451).
D'autre part, le transfert est subordonné à l'information des personnes concernées par les données, de l'existence de ce transfert. La plupart des informations susmentionnées doivent donc également être transmises aux personnes auprès desquelles les données à caractère personnel sont recueillies (article 91, décret n°2007-451).
En outre, en vertu de ce même article, le responsable du traitement doit également informer les personnes concernées du niveau de protection offert par le pays tiers. De ce fait, il peut être amené à informer ces personnes (potentiellement sa clientèle ou son personnel), que le destinataire de leurs données (prestataire de service, filial, etc.) est situé dans un pays qui n'assure pas un niveau de protection suffisant des données personnelles. Cette mention, peu rassurante pour les personnes concernées, revêt un caractère « anti-marketing » pour les opérateurs économiques.
Ce lourd formalisme français n'est pas adapté au transfert massif d'informations, et selon les opérateurs économiques qui transfèrent régulièrement ce type de données vers des pays tiers, il constitue un frein à leur activité. L'approche anglaise, bien que moins en conformité avec la Directive européenne, a le mérite de faciliter la circulation transfrontière des données à caractère personnel vers des pays tiers, nécessaire au développement de la coopération internationale et du commerce mondial. C'est une approche propice au monde des affaires.
La nécessité de faciliter le transfert international des données personnelles tout en assurant une protection effective de ces données est un enjeu qui a été traité dans le projet de règlement. L'approche du projet de règlement n'est toutefois pas aussi souple que celle du droit anglais en matière de transferts de données internationaux puisqu'il prévoit (article 42 (5)) la nécessité d'une autorisation des autorités de contrôle dans tout cas de transfert dans un pays n'assurant pas un niveau de protection adéquat et, lorsque les garanties appropriées quant à la protection de données à caractère personnel ne sont pas prévues dans un instrument juridiquement contraignant. Cela signifie que le transfert de données à caractère personnel vers un pays tiers est possible sans autorisation si le responsable du traitement a offert des garanties appropriées (énumérées au paragraphe 2 du même article) en ce qui concerne la protection des données à caractère personnel dans un instrument juridiquement contraignant. Cette exigence d'autorisation, si toutefois elle est conservée, représentera une nouveauté pour le RU.
En exigeant une autorisation de la part des autorités nationales lorsque les garanties appropriées font défaut le législateur européen tente de préserver les intérêts économiques relatifs à la liberté de circulation des données tout en assurant une protection des données personnelles adéquate.
L'Assemblée Nationale qualifie cependant cette nouvelle mesure comme étant une auto-évaluation des conditions de transfert par les responsables de traitement qui conduirait à une baisse considérable du niveau de protection des droits des citoyens. Elle appelle à un meilleur encadrement des transferts internationaux de données (Assemblée Nationale, texte adopté n° 888, « petite loi », constitution du 4 octobre 1958, treizième législature, session ordinaire de 2011-2012, 23 mars 2012). L'Assemblée estime nécessaire de préserver les pouvoirs de contrôle et d’autorisation des autorités nationales de protection pour tout échange vers un pays tiers n'assurant pas une protection des données personnelles adéquate.
Au RU, au contraire, l'autorité anglaise de protection estime que le projet de règlement ne prend pas en compte la réalité des transferts internationaux (hors Union Européenne) de données personnelles dans le contexte actuel de la mondialisation et, de ce fait, ce projet ne saisit pas l'opportunité d'adapter le dispositif règlementaire européen à cette réalité. L'ICO se place donc encore une fois du côté des operateurs économiques qui redoutent un système contraignant mettant un frein à l'exercice de leurs activités.
On trouve la même différence d'approche (approche plus protectrice des données personnelles en France et plus favorable aux opérateurs économiques au RU) dans les formalités préalables aux traitements de données personnelles.
Formalités préalables aux traitements de données personnelles
Ces formalités sont beaucoup plus contraignantes en France qu'elles ne le sont au RU, où celles-ci sont quasiment inexistantes. Les formalités au RU ne servent qu'à satisfaire une exigence de transparence et d'ouverture, afin que l'ICO puisse tenir un registre de tous les responsables de traitements de données personnelles ouvert au publique. Au RU les traitements de données personnelles (non-exemptés) doivent simplement faire l'objet d'une déclaration auprès de l'ICO. La déclaration doit contenir le nom et l'adresse du responsable du traitement et une description du traitement envisagé comprenant sa finalité, les données personnelles traitées, la catégorie des personnes concernées, les destinataires des données et les transferts de ces données dans des pays tiers envisagés.
En France la liste des éléments à inclure dans la déclaration auprès de la CNIL est plus longue. Elle doit comporter tous les éléments requis au RU, mais aussi l'interconnexion ou mise en relation avec d’autres traitements (le cas échéant), la durée de conservation des informations traitées ; les services chargés de la mise en œuvre du traitement ; les personnes ou services auprès desquels s’exerce le droit d’accès ; les mesures prises pour l’exercice de ce droit et les dispositions prises pour assurer la sécurité des traitements et des données (article 30, loi informatique et libertés). La déclaration est donc plus contraignante mais également plus protectrice des données personnelles.
En outre, alors qu'au RU aucun contrôle préalable des traitements de données n'est effectué, en France, certains traitements de données sont soumis à autorisation de la CNIL et bénéficient donc d'une protection renforcée. C'est le cas notamment des traitements portant sur des données génétiques (avec des exceptions pour la médecine); les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté et les traitements automatisés comportant des données biométriques nécessaires au contrôle de l'identité des personnes (article 25, loi informatique et libertés). D’autres traitements dits sensibles, du fait de la nature des informations traitées, ne sont autorisés qu'après l’intervention d’un acte réglementaire et d’un avis motivé de la CNIL sur cet acte. C’est le cas notamment des traitements qui font apparaître des données sensibles comme les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci (article 26, loi informatique et libertés).
Encore une fois, sur ce point, le projet de règlement adopte une approche intermédiaire en ce qu'il n'impose pas une notification pour tout traitement de données mais laisse aux responsables de traitement la responsabilité d'évaluer si le traitement envisagé exige une consultation auprès des autorités de contrôle (au vue d'une liste préétablie par chaque autorité de contrôles nationales précisant les traitements devant faire l’objet d’une consultation préalable) (article 34 (2) (b) et 34 (4)). Le projet de règlement est donc plus souple que le droit français (plus de déclaration contraignante pour tout traitement de données personnelles) mais plus contraignant que le droit anglais (la consultation préalable au traitement auprès des autorités de contrôles pouvant aboutir à une interdiction de traitement est prévue dans certains cas). Dans le cas où l'autorité de contrôle est d'avis que le traitement prévu n'est pas conforme au règlement elle doit interdire le traitement et formuler des propositions afin de remédier à cette non-conformité (article 34 (5)).
Cette position intermédiaire témoigne d'une volonté de concilier les intérêts économiques que représentent ces données et les droits relatifs à la protection de la vie privée. Le législateur européen tente un équilibre, pour le moins difficile à réaliser, entre un modèle suffisamment protecteur des données personnelles et un modèle qui ne soit pas excessivement contraignant pour les opérateurs économiques.
Le critére du principal établissement du responsable de traitement
La CNIL, l'Assemblée Nationale et le Sénat ont tous exprimé leur opposition claire à l’inscription, dans le règlement proposé, du critère du principal établissement du responsable de traitement pour déterminer l'autorité de contrôle compétente.
En vertu de ce critère, dans le cas où l’établissement principal d'une entreprise est situé dans un autre pays, l'autorité compétente en cas de litige est celle de ce pays et non l'autorité de contrôle nationale de la personne concernée. Cette disposition prive ainsi les citoyens de la protection offerte par leur autorité nationale. Par l'adoption de ce critère, le législateur européen souhaite simplifier la tâche des opérateurs économiques qui n'auront à traiter qu'avec une seule autorité nationale.
Selon la CNIL (« Projet de règlement européen : la défense de la vie privée s'éloigne du citoyen », 26 janvier 2012) cette disposition porte un risque d’éloignement entre les citoyens européens et leur autorité nationale. Par ailleurs, comme l'a soulevé l'Assemblée Nationale cette solution est propice au développement de la pratique du « forum shopping ». Elle encouragerait les entreprises à s'établir au sein des Etats membres dont les autorités de contrôle privilégient une approche plus souple (comme le RU). La France, avec son système très protecteur et moins favorable aux entreprises, a de quoi être inquiète de ce phénomène.
La pratique d'un forum shopping est également problématique lorsqu'il s'accompagne d'un alignement par le bas du niveau de protection des droits fondamentaux par les Etats. Les Etats membres qui appliquent actuellement des normes plus protectrices des droits seront peut être enclins à les abaisser afin d'éviter un forum shopping qui jouerait à leur désavantage (établissement des entreprises au sein des Etats moins protecteurs des données personnelles). L'Assemblée Nationale défend le maintien de la compétence d’une autorité de contrôle d’un État sur tout traitement de données concernant la population de cet Etat alors même que le responsable du traitement est établi au sein d'un autre Etat membre.
Le forum shopping et le risque d'un alignement par le bas des niveaux de protection des droits sont des problèmes classiques générés par la globalisation et le développement des nouvelles technologies. Ces phénomènes remettent en cause l’équilibre entre protection des intérêts fondamentaux et développement de l’économie.
Cependant, le choix d'un règlement comme instrument d'harmonisation devrait permettre un alignement des niveaux de protection des données personnelles réduisant ainsi le risque de la pratique d'un forum shopping et par extension, le risque d'un nivellement de protection par le bas.
Les réactions des autorités françaises et anglaises face à ce nouveau projet sont en accord avec l'approche jusqu'alors adoptée par ces deux pays en ce qui concerne la protection des données personnelles. Le RU souhaite conserver flexibilité et souplesse que lui accordait la Directive jusqu'à présent afin de préserver son cadre législatif favorable aux acteurs économiques alors que la France craint une régression dans la protection des données personnelles et s'inquiète des répercussions d'un éventuel phénomène de forum shopping.
Le projet devrait être voté par le Parlement européen vers la fin du mois d'avril. L'Irlande, qui préside actuellement le Conseil de l'Union Européenne jusqu'à fin juin 2013, a fait de l'adoption de ce projet une priorité et travail pour obtenir un accord politique avant la fin de sa présidence.
Bibliographie
Textes Légaux
- Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés
- Data Protection Act 1998
- Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, Journal officiel n° L 281 du 23/11/1995 p. 0031 - 0050.
- Proposition de règlement du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données), Bruxelles, le 25.1.2012, COM(2012) 11 final, 2012/0011 (COD).
- Assemblée Nationale texte adopté n° 888, « petite loi », constitution du 4 octobre 1958, treizième législature, session ordinaire de 2011-2012, 23 mars 2012, résolution européenne sur la proposition de règlement relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.
- Sénat, résolution européenne adoptée le 6 mars 2012 n° 110, session ordinaire de 2011-2012 résolution européenne sur la proposition de règlement du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (E 7055).
Site de l'ICO
- Initial response from the ICO on the European Commission’s proposal for a new general Data Protection Regulation, 25 January 2012
- Initial analysis of the European Commission’s proposals for a revised data protection legislative framework, February 2012
- Data Protection Technical Guidance Determining what is personal data
- Data protection reform, Information Commissioner’s Office Latest views
- Proposed new EU General Data Protection, Regulation : Article-by-article analysis paper, 12 February 2013
- Can I send personal data overseas?
http://www.ico.gov.uk/for_organisations/data_protection/overseas.aspx
Site de la CNIL
- Document élaboré par la Commission Nationale de l’Informatique et des Libertés, Canevas législatif « Informatique et libertés », Paris le 13 décembre 2006 http://www.cnil.fr/fileadmin/documents/approfondir/dossier/international...
- Projet de règlement européen : la défense de la vie privée s'éloigne du citoyen, 26 janvier 2012 http://www.cnil.fr/fileadmin/documents/approfondir/dossier/international/Francophonie/Canevas-legislatif.pdf
Jurisprudence
- Durant v. Financial Services Authority (2003) EWCA Civ 1746
- Michael John Durant v Financial Services Authority [2003] EWCA Civ 1746 http://www.bailii.org/cgi-/markup.cgi?/ew/cases/EWCA/Civ/2003/1746.html&query=Durant&method=all
Articles
- « La Cnil, un obstacle aux transferts de données hors Union européenne ? », avril 2008
http://www.feral-avocats.com/fr/nos-publications/articles_de_presse/419/430.html
- « European Commission suggests UK’s Data Protection Act is deficient », 15 juillet 2004 http://www.out-law.com/page-4717
- EUROPA, Communiqués de presse, « Protection des données : la Commission demande au Royaume-Uni de renforcer les pouvoirs de l'autorité nationale chargée de la protection des données, comme le prescrit le droit de l'Union européenne ». http://europa.eu/rapid/press-release_IP-10-811_fr.htm