GDPR

 

I. Introduction

Depuis le 25 mai 2018, le Règlement général sur la protection des données (RGPD) est applicable en Allemagne et dans l’ensemble de l’Union européenne. Pour en assurer la mise en œuvre au niveau national, l’Allemagne a adapté sa Loi fédérale sur la protection des données (Bundesdatenschutzgesetz, BDSG).

La surveillance et l’application de ces règles sont assurées par le Commissaire fédéral à la protection des données et à la liberté d’information (BfDI), ainsi que par les autorités régionales compétentes. Ensemble, ils veillent au respect des obligations légales en matière de protection des données.

Le cadre allemand s’aligne pleinement sur le RGPD tout en intégrant certaines spécificités nationales afin de garantir un haut niveau de protection des données personnelles.

II. Champ d’application

La réglementation allemande relative au RGPD s’applique :

Aux responsables du traitement et sous-traitants établis en Allemagne ;

Aux organisations situées hors d’Allemagne qui proposent des biens ou services à des personnes se trouvant en Allemagne, ou qui analysent ou surveillent leur comportement sur le territoire allemand.

Peu importe que le traitement soit effectué en Allemagne ou à l’étranger : dès lors qu’il concerne des données personnelles de personnes situées en Allemagne, la réglementation s’applique.

Elle couvre les traitements automatisés ainsi que les traitements non automatisés intégrés dans un système structuré de fichiers. Les activités purement personnelles ou domestiques sont exclues.

III. Principes du traitement des données

Le traitement des données doit respecter plusieurs principes fondamentaux :

Licéité, loyauté et transparence : chaque traitement doit reposer sur une base juridique valide et être clairement expliqué aux personnes concernées.

Limitation des finalités : les données ne peuvent être utilisées que pour des objectifs précis et légitimes.

Minimisation des données : seules les informations nécessaires doivent être collectées.

Exactitude : les données doivent être correctes et mises à jour si nécessaire.

Limitation de la conservation : elles ne peuvent être conservées que pour la durée strictement nécessaire.

Sécurité et confidentialité : des mesures techniques et organisationnelles appropriées doivent être mises en place pour éviter toute violation ou perte.

IV. Droits des personnes

Les personnes disposent de droits étendus :

Être informées et accéder à leurs données ;

Faire rectifier des informations inexactes ;

Demander l’effacement lorsque les conditions sont réunies ;

Limiter le traitement dans certaines situations ;

Recevoir leurs données dans un format structuré et les transférer ;

S’opposer à certains traitements ;

Obtenir des garanties en cas de décisions automatisées.

En Allemagne, pour les mineurs de moins de 16 ans, le consentement parental est requis et l’information doit être formulée de manière compréhensible.

V. Obligations des acteurs du traitement

Les sous-traitants doivent agir uniquement sur instruction écrite du responsable.

Ils doivent assurer un niveau élevé de sécurité technique et organisationnelle.

Ils doivent coopérer avec le responsable pour répondre aux demandes des personnes concernées.

En cas de violation de données, le responsable doit notifier l’autorité compétente dans un délai de 72 heures.

Des obligations supplémentaires incluent la tenue d’un registre des traitements, la réalisation d’analyses d’impact en cas de risque élevé, et la désignation éventuelle d’un délégué à la protection des données.

VI. Transferts internationaux

Les transferts de données vers des pays hors UE nécessitent des garanties appropriées, telles qu’une décision d’adéquation, des clauses contractuelles types ou d’autres mécanismes reconnus par le RGPD.

Depuis l’invalidation du Privacy Shield en juillet 2020, les entreprises doivent utiliser les clauses contractuelles types actualisées ou des solutions juridiques équivalentes.

VII. Contrôle et sanctions

Les autorités allemandes disposent de pouvoirs étendus pour contrôler et sanctionner les manquements : avertissements, limitations de traitement et amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel.

Le cadre allemand vise à protéger efficacement les droits des individus, à renforcer la conformité des entreprises et à favoriser la confiance dans l’économie numérique.