Article 2 - Champ d'application matériel
1. Le présent règlement s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.2. Le présent règlement ne s'applique pas au traitement de données à caractère personnel effectué:
- a) dans le cadre d'une activité qui ne relève pas du champ d'application du droit de l'Union;
- b) par les États membres dans le cadre d'activités qui relèvent du champ d'application du chapitre 2 du titre V du traité sur l'Union européenne;
- c) par une personne physique dans le cadre d'une activité strictement personnelle ou domestique;
- d) par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces.
4. Le présent règlement s'applique sans préjudice de la directive 2000/31/CE, et notamment de ses articles 12 à 15 relatifs à la responsabilité des prestataires de services intermédiaires.
En savoir plus...
L'article 2 définit le champ d'application matériel du RGPD. Le paragraphe 1 précise que le règlement s'applique à tout traitement de données à caractère personnel effectué à l'aide de procédés automatisés ou au traitement non automatisé de données à caractère personnel qui sont ou sont destinées à être conservées dans un fichier. Le paragraphe 2 prévoit des exceptions, telles que le traitement de données relatives à des activités en dehors du champ d'application du droit européen ou relatives à des activités purement personnelles ou domestiques. Le paragraphe 3 confirme la validité des lois sectorielles sur la protection des données pour le traitement effectué par les institutions européennes, à condition que ces réglementations soient mises en conformité avec le Règlement. Enfin, le paragraphe 4 précise que les règles de la directive 2000/31/CE ne sont pas affectées par les dispositions du RGPD.Le RGPD prévoit-il une amende en cas d'infraction à cet article ?
Bien que cela ne soit pas toujours pertinent, cela reste théoriquement possible en vertu de l'article 84 du RGPD, qui permet aux Etats Membres de prévoir des sanctions supplémentaires (sous certaines conditions).
Considérants pertinents
13. Afin d'assurer un niveau cohérent de protection des personnes physiques dans l'ensemble de l'Union, et d'éviter que des divergences n'entravent la libre circulation des données à caractère personnel au sein du marché intérieur, un règlement est nécessaire pour garantir la sécurité juridique et la transparence aux opérateurs économiques, y compris les micro, petites et moyennes entreprises, pour offrir aux personnes physiques de tous les États membres un même niveau de droits opposables et d'obligations et de responsabilités pour les responsables du traitement et les sous-traitants, et pour assurer une surveillance cohérente du traitement des données à caractère personnel, et des sanctions équivalentes dans tous les États membres, ainsi qu'une coopération efficace entre les autorités de contrôle des différents États membres. Pour que le marché intérieur fonctionne correctement, il est nécessaire que la libre circulation des données à caractère personnel au sein de l'Union ne soit ni limitée ni interdite pour des motifs liés à la protection des personnes physiques à l'égard du traitement des données à caractère personnel. Pour tenir compte de la situation particulière des micro, petites et moyennes entreprises, le présent règlement comporte une dérogation pour les organisations occupant moins de 250 employés en ce qui concerne la tenue de registres. Les institutions et organes de l'Union, et les États membres et leurs autorités de contrôle sont en outre encouragés à prendre en considération les besoins spécifiques des micro, petites et moyennes entreprises dans le cadre de l'application du présent règlement. Pour définir la notion de micro, petites et moyennes entreprises, il convient de se baser sur l'article 2 de l'annexe de la recommandation 2003/361/CE de la Commission.
[Non applicabilité aux personnes morales]
14. La protection conférée par le présent règlement devrait s'appliquer aux personnes physiques, indépendamment de leur nationalité ou de leur lieu de résidence, en ce qui concerne le traitement de leurs données à caractère personnel. Le présent règlement ne couvre pas le traitement des données à caractère personnel qui concernent les personnes morales, et en particulier des entreprises dotées de la personnalité juridique, y compris le nom, la forme juridique et les coordonnées de la personne morale.
[Neutralité technologique]
15. Afin d'éviter de créer un risque grave de contournement, la protection des personnes physiques devrait être neutre sur le plan technologique et ne devrait pas dépendre des techniques utilisées. Elle devrait s'appliquer aux traitements de données à caractère personnel à l'aide de procédés automatisés ainsi qu'aux traitements manuels, si les données à caractère personnel sont contenues ou destinées à être contenues dans un fichier. Les dossiers ou ensembles de dossiers de même que leurs couvertures, qui ne sont pas structurés selon des critères déterminés ne devraient pas relever du champ d'application du présent règlement.
[Non applicabilité aux domaines de la sécurité nationale]
16. Le présent règlement ne s'applique pas à des questions de protection des libertés et droits fondamentaux ou de libre flux des données à caractère personnel concernant des activités qui ne relèvent pas du champ d'application du droit de l'Union, telles que les activités relatives à la sécurité nationale. Le présent règlement ne s'applique pas au traitement des données à caractère personnel par les États membres dans le contexte de leurs activités ayant trait à la politique étrangère et de sécurité commune de l'Union.
[Adaptation du Règlement n°45/2001]
17. Le règlement (CE) no 45/2001 du Parlement européen et du Conseil (6) s'applique au traitement des données à caractère personnel par les institutions, organes et organismes de l'Union. Le règlement (CE) no 45/2001 et les autres actes juridiques de l'Union applicables audit traitement des données à caractère personnel devraient être adaptés aux principes et aux règles fixés dans le présent règlement et appliqués à la lumière du présent règlement. Pour mettre en place un cadre de protection des données solide et cohérent dans l'Union, il convient, après l'adoption du présent règlement, d'apporter les adaptations nécessaires au règlement (CE) no 45/2001 de manière à ce que celles-ci s'appliquent en même temps que le présent règlement.
[Exception domestique]
18. Le présent règlement ne s'applique pas aux traitements de données à caractère personnel effectués par une personne physique au cours d'activités strictement personnelles ou domestiques, et donc sans lien avec une activité professionnelle ou commerciale. Les activités personnelles ou domestiques pourraient inclure l'échange de correspondance et la tenue d'un carnet d'adresses, ou l'utilisation de réseaux sociaux et les activités en ligne qui ont lieu dans le cadre de ces activités. Toutefois, le présent règlement s'applique aux responsables du traitement ou aux sous-traitants qui fournissent les moyens de traiter des données à caractère personnel pour de telles activités personnelles ou domestiques.
[Non applicabilité aux procédures pénales]
19. La protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces et la libre circulation de ces données, fait l'objet d'un acte juridique spécifique de l'Union. Le présent règlement ne devrait dès lors pas s'appliquer aux activités de traitement effectuées à ces fins. Toutefois, les données à caractère personnel traitées par des autorités publiques en vertu du présent règlement devraient, lorsqu'elles sont utilisées à ces fins, être régies par un acte juridique de l'Union plus spécifique, à savoir la directive (UE) 2016/680 du Parlement européen et du Conseil (7). Les États membres peuvent confier à des autorités compétentes au sens de la directive (UE) 2016/680 des missions qui ne sont pas nécessairement effectuées à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, de manière à ce que le traitement de données à caractère personnel à ces autres fins, pour autant qu'il relève du champ d'application du droit de l'Union, relève du champ d'application du présent règlement.
En ce qui concerne le traitement de données à caractère personnel par ces autorités compétentes à des fins relevant du champ d'application du présent règlement, les États membres devraient pouvoir maintenir ou introduire des dispositions plus spécifiques pour adapter l'application des règles du présent règlement. Ces dispositions peuvent déterminer plus précisément les exigences spécifiques au traitement de données à caractère personnel par ces autorités compétentes à ces autres fins, compte tenu de la structure constitutionnelle, organisationnelle et administrative de l'État membre concerné. Lorsque le traitement de données à caractère personnel par des organismes privés relève du champ d'application du présent règlement, celui-ci devrait prévoir la possibilité pour les États membres, sous certaines conditions, de limiter par la loi certaines obligations et certains droits lorsque cette limitation constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir des intérêts spécifiques importants tels que la sécurité publique, ainsi que la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. Cela est pertinent, par exemple, dans le cadre de la lutte contre le blanchiment d'argent ou des activités des laboratoires de police scientifique.
[Respect de l'indépendance du pouvoir judiciaire]
20. Bien que le présent règlement s'applique, entre autres, aux activités des juridictions et autres autorités judiciaires, le droit de l'Union ou le droit des États membres pourrait préciser les opérations et procédures de traitement en ce qui concerne le traitement des données à caractère personnel par les juridictions et autres autorités judiciaires. La compétence des autorités de contrôle ne devrait pas s'étendre au traitement de données à caractère personnel effectué par les juridictions dans l'exercice de leur fonction juridictionnelle, afin de préserver l'indépendance du pouvoir judiciaire dans l'accomplissement de ses missions judiciaires, y compris lorsqu'il prend des décisions. Il devrait être possible de confier le contrôle de ces opérations de traitement de données à des organes spécifiques au sein de l'appareil judiciaire de l'État membre, qui devraient notamment garantir le respect des règles du présent règlement, sensibiliser davantage les membres du pouvoir judiciaire aux obligations qui leur incombent en vertu du présent règlement et traiter les réclamations concernant ces opérations de traitement de données.
[Application sans préjudice de la directive 2000/31/EC]
21. Le présent règlement s'applique sans préjudice de l'application de la directive 2000/31/CE du Parlement européen et du Conseil (8), et notamment du régime de responsabilité des prestataires de services intermédiaires prévu dans ses articles 12 à 15. Cette directive a pour objectif de contribuer au bon fonctionnement du marché intérieur en assurant la libre circulation des services de la société de l'information entre les États membres.
[Non applicabilité aux données de personnes décédées]
27. Le présent règlement ne s'applique pas aux données à caractère personnel des personnes décédées. Les États membres peuvent prévoir des règles relatives au traitement des données à caractère personnel des personnes décédées.
Droit souple
Références
Jurisprudence
Cliquez sur une ligne pour obtenir tous les détails.
Note importante : cette base de données n'est pas achevée ; par ailleurs, le développement du "RGPD annoté" implique sa re-structuration complète: il est donc possible que la partie soit vide, ou que certains résultats soient peu pertinents ou soient manquants. Veuillez ne pas hésiter à me le signaler !
Actualités
Profitez de nos actualités en lien avec cet article !Note importante : Le flux RSS correpondant à cet article semble vide. Nous avons très récemment re-structuré la partie 'veille' afin de vous proposer des actualités plus précises sur le RGPD annoté, mais il va falloir un peu de temps pour 'remplir' la partie actualité de chaque article. En attendant, nous vous proposons le flux ci-dessous, qui utilise une catégorie plus large.
Quadrature du Net : « Vidéosurveillance algorithmique et biométrie : la CNIL démissionnaire » Après la loi sur les Jeux Olympiques de 2023 qui légitimait la vidéosurveillance algorithmique (VSA) en temps réel, la VSA dite « a posteriori » s’est récemment retrouvée à l’agenda législatif. Nous vous en avons déjà parlé : ce type de logiciel permet […]
Corée du Sud : Arrestation d’un PDG qui équipait secrètement ses récepteurs satellite de fonctions DDoS La police sud-coréenne a annoncé le 28 novembre l’arrestation d’un CEO et de cinq salariés d’une même société, soupçonnés d’avoir modifié 240 000 récepteurs satellite pour les équiper de fonctionnalités d’attaque par déni de service (DDoS). Ce type d’attaques […]
En Italie, pas de photos d’enfants de moins de 14 ans sur les médias sociaux sans le consentement des deux parents Dans sa newsletter du 3 décembre, l’autorité italienne a évoqué avoir mis en garde un père pour avoir publié sur les réseaux sociaux des photos de son enfant de moins de 14 ans sans […]
Télémarketing : le garant de la vie privée sanctionne la chaîne TV « Sky Italia » à une amende de 842 000 euros Dans sa newsletter du 3 décembre, l’autorité italienne a évoqué avoir sanctionné Sky Italia srl (en septembre) pour de nombreuses violations constatées lors d’activités de télémarketing et d’envoi de communications commerciales. L’Autorité, qui est […]
L’EDPB clarifie les règles relatives au partage de données avec les autorités de pays tiers et approuve la certification du sceau de protection des données. Lors de sa dernière session plénière, le comité européen de la protection des données (CEPD) a publié des lignes directrices sur l’article 48 du RGPD (seulement disponibles en anglais pour […]
Aux États-Unis, Apple poursuivi pour espionnage de ses salariés Un salarié d’Apple a porté plainte contre son employeur devant un tribunal californien. Il accuse la firme d’avoir surveillé illégalement et abusivement ses employés, via leurs appareils et leurs comptes iCloud personnels. Les salariés auraient en outre interdiction de parler de leurs conditions de travail, ainsi […]
Norauto victime d’une cyberattaque, les pièces d’identité de ses clients exposés La société française d’entretien et de réparation automobile a prévenu ses clients que certaines données personnelles gérées par son service location avaient été visées. Des informations sensibles en font partie, comme les numéros de pièce d’identité. La semaine dernière, un cybercriminel revendiquait l’exfiltration de […]
L’association NOYB est désormais habilité à intenter des actions de recours collectif NOYB a annoncé aujourd’hui être désormais agréée en tant qu' »entité qualifiée » pour intenter des actions de recours collectif devant les tribunaux de l’Union européenne. Une telle action en vertu de la directive (UE) 2020/1828 peut être une « injonction » ou une mesure de « réparation ». […]
Ordinateur portable perdu avec des données : l’autorité polonaise sanctionne des scouts à hauteur de 24 555 PLN (environ 5700 euros) Aujourd’hui, le président de l’UODO a imposé une amende de 24 000 555 PLN à la Stołeczna Chorąg ZHP (le Cercle Régional des Scouts de Varsovie) pour n’avoir pas mis en œuvre les mesures techniques […]
Les données des « test d’indépendance et d’impartialité » auxquels sont soumis les juges peuvent-elles être publiées ? L’UODO donne son avis Le premier président de la Cour suprême, Małgorzata Manowska, a demandé au président de l’UODO d’expliquer comment appliquer les dispositions de la loi sur l’accès à l’information publique en tenant compte du droit à la […]
