GDPR

I. Introduction

Depuis le 25 mai 2018, le Règlement général sur la protection des données (RGPD) de l’Union européenne est applicable en Allemagne et dans l’ensemble des États membres de l’Union européenne. Pour assurer sa mise en œuvre, l’Allemagne a procédé à la révision de sa Loi fédérale sur la protection des données (Bundesdatenschutzgesetz, BDSG).

Le Commissaire fédéral à la protection des données et à la liberté d’information (BfDI), ainsi que les autorités de protection des données des différents Länder, sont responsables du contrôle, de l’accompagnement et de l’application du RGPD ainsi que de ses règles nationales d’exécution en Allemagne.

Le cadre allemand de protection des données est entièrement aligné sur le RGPD, tout en intégrant certaines exigences spécifiques du droit allemand afin d’assurer une protection renforcée des données à caractère personnel.

II. Champ d’application

Les règles allemandes d’application du RGPD concernent :

Tous les responsables du traitement (Verantwortlicher) et sous-traitants (Auftragsverarbeiter) établis en Allemagne ;

Les organismes situés à l’étranger qui proposent des biens ou des services à des personnes se trouvant en Allemagne ou qui surveillent leur comportement sur le territoire allemand.

Peu importe que le traitement des données soit effectué en Allemagne ou en dehors du pays : dès lors qu’il implique des données personnelles de personnes situées en Allemagne, la réglementation s’applique.

Ces dispositions couvrent aussi bien les traitements automatisés que les traitements non automatisés intégrés dans un système de classement. Les traitements réalisés à des fins strictement personnelles ou familiales ne sont pas concernés.

III. Principes du traitement des données

Licéité, loyauté et transparence : tout traitement doit reposer sur une base juridique identifiable et les personnes concernées doivent être clairement informées des finalités et des modalités du traitement.

Limitation des finalités : les données personnelles ne peuvent être utilisées que pour des objectifs déterminés, explicites et légitimes, sans être réutilisées au-delà de ces objectifs initiaux.

Minimisation des données : seules les données nécessaires à la réalisation de la finalité déterminée doivent être collectées.

Exactitude : les données doivent être exactes, complètes et actualisées lorsque cela est nécessaire.

Limitation de la conservation : les données ne peuvent être conservées que pendant la durée nécessaire à l’objectif poursuivi ; une fois cette durée écoulée, elles doivent être supprimées ou rendues anonymes.

Sécurité et confidentialité : les responsables du traitement et les sous-traitants doivent mettre en place des mesures techniques et organisationnelles adaptées pour prévenir toute violation, altération ou perte des données.

IV. Droits des personnes concernées

En vertu du RGPD et du droit allemand, les personnes disposent des droits suivants :

Droit à l’information et droit d’accès : être informées des données collectées les concernant et accéder aux modalités de leur traitement.

Droit de rectification : faire corriger des données inexactes ou incomplètes.

Droit à l’effacement (droit à l’oubli) : demander la suppression des données lorsque les conditions légales sont réunies.

Droit à la limitation du traitement : obtenir la restriction de l’utilisation des données dans certaines situations prévues par la loi.

Droit à la portabilité : recevoir les données dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable du traitement.

Droit d’opposition : s’opposer à un traitement fondé sur l’intérêt légitime ou l’intérêt public.

Droits relatifs aux décisions automatisées : lorsqu’une décision repose sur un traitement automatisé, y compris le profilage ou les analyses prédictives, la personne a le droit d’être informée, de s’y opposer et d’obtenir une intervention humaine.

Pour les mineurs de moins de 16 ans, conformément aux dispositions spécifiques applicables en Allemagne, le traitement de leurs données nécessite le consentement des parents ou du représentant légal, et les informations doivent être présentées dans un langage clair et compréhensible.

V. Obligations des acteurs du traitement

Le sous-traitant doit traiter les données uniquement sur la base d’instructions écrites du responsable du traitement.

Il doit mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données.

Il doit assister le responsable du traitement dans l’exécution de ses obligations prévues par le RGPD, notamment pour répondre aux demandes des personnes concernées.

En cas de violation de données, le sous-traitant doit informer immédiatement le responsable du traitement, qui devra notifier l’incident au BfDI dans un délai de 72 heures.

Le responsable du traitement est tenu de conserver un registre des activités de traitement et de réaliser une analyse d’impact relative à la protection des données (DPIA) lorsque le traitement présente un risque élevé.

Certaines organisations ont l’obligation de désigner un délégué à la protection des données (DPO) et de le déclarer auprès de l’autorité de contrôle compétente.

VI. Transferts internationaux de données

Lorsqu’un transfert de données personnelles est effectué vers un pays situé en dehors de l’Union européenne, le responsable du traitement doit s’assurer que le pays destinataire offre un niveau de protection adéquat, notamment par :

Une décision d’adéquation adoptée par la Commission européenne ;

La signature des clauses contractuelles types de l’Union européenne (SCC) ;

Ou tout autre mécanisme de transfert autorisé par le RGPD.

Depuis l’invalidation du mécanisme « Privacy Shield » le 16 juillet 2020, les entreprises allemandes doivent utiliser les clauses contractuelles types mises à jour du 4 juin 2021 ou tout autre mécanisme légal autorisé pour encadrer les transferts internationaux de données.

VII. Contrôle et application

Les autorités allemandes de protection des données, dont le BfDI et les autorités des Länder, disposent de pouvoirs étendus de contrôle et de sanction :

Émettre des avertissements ou ordonner des mesures correctives ;

Limiter ou interdire certaines opérations de traitement ;

Infliger des amendes administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

Le droit allemand permet également aux personnes de formuler des instructions explicites concernant le traitement de leurs données, y compris quant à leur utilisation après leur décès. À défaut d’instructions précises, le traitement doit respecter les dispositions légales applicables.

Le cadre allemand d’application du RGPD vise à protéger efficacement les droits liés aux données personnelles, à renforcer la conformité des organisations et à favoriser la confiance dans l’environnement numérique.